假如你想要搭建一個Linux伺服器，並且希望可以長期維護的話，就需要考慮安全效能與速度等眾多因素。一份正確的Linux基本安全配置手冊就顯得格外重要。在我本文中就向大家介紹在edhat/centos 4，5下的Linux伺服器基本安全配置手冊。
安裝注意
1.刪除系統特殊的的使用者帳號：
禁止所有預設的被作業系統本身啟動的且不需要的帳號，當你第一次裝上系統時就應該做此檢查，Linux提供了各種帳號，你可能不需要，如果你不需要這個帳號，就移走它，你有的帳號越多，就越容易受到攻擊。
#為刪除你係統上的使用者，用下面的命令：［root@c1gstudio］# userdel username#批次刪除方式#這裡刪除“adm lp sync shutdown halt mail news uucp operator games gopher ftp ”賬號#如果你開著ftp等服務可以把ftp賬號保留下來。for i in adm lp sync shutdown halt mail news uucp operator games gopher ftp ；do userdel $i ；done
2.刪除系統特殊的組帳號
［root@c1gstudio］# groupdel groupname#批次刪除方式for i in adm lp mail news uucp games dip pppusers popusers slipusers ；do groupdel $i ；done
3.使用者密碼設定
安裝linux時預設的密碼最小長度是5個位元組，但這並不夠，要把它設為8個位元組。修改最短密碼長度需要編輯login。defs檔案#vi /etc/login。defs
PASS_MAX_DAYS 99999 ##密碼設定最長有效期（預設值）PASS_MIN_DAYS 0 ##密碼設定最短有效期PASS_MIN_LEN 5 ##設定密碼最小長度，將5改為8PASS_WARN_AGE 7 ##提前多少天警告使用者密碼即將過期。然後修改Root密碼#passwd rootNew UNIX password：Retype new UNIX password：passwd： all authentication tokens updated successfully。
4.修改自動登出帳號時間
自動登出帳號的登入，在Linux系統中root賬戶是具有最高特權的。如果系統管理員在離開系統之前忘記登出root賬戶，那將會帶來很大的安全隱患，應該讓系統會自動登出。透過修改賬戶中“TMOUT”引數，可以實現此功能。TMOUT按秒計算。編輯你的profile檔案（vi /etc/profile），在“HISTSIZE=”後面加入下面這行：
TMOUT=300
300，表示300秒，也就是表示5分鐘。這樣，如果系統中登陸的使用者在5分鐘內都沒有動作，那麼系統會自動登出這個賬戶。
5.限制Shell命令記錄大小
預設情況下，bash shell會在檔案$HOME/。bash_history中存放多達500條命令記錄（根據具體的系統不同，預設記錄條數不同）。系統中每個使用者的主目錄下都有一個這樣的檔案。在此筆者強烈建議限制該檔案的大小。
您可以編輯/etc/profile檔案，修改其中的選項如下：
HISTFILESIZE=30或HISTSIZE=30#vi /etc/profileHISTSIZE=30
6.登出時刪除命令記錄
編輯/etc/skel/。bash_logout檔案，增加如下行：
rm -f $HOME/。bash_history
這樣，系統中的所有使用者在登出時都會刪除其命令記錄。
如果只需要針對某個特定使用者，如root使用者進行設定，則可只在該使用者的主目錄下修改/$HOME/。bash_history檔案，增加相同的一行即可。
7.用下面的命令加需要的使用者組和使用者帳號
［root@c1gstudio］# groupadd例如：增加website 使用者組，groupadd website然後呼叫vigr命令檢視已新增的使用者組用下面的命令加需要的使用者帳號［root@c1gstudio］# useradd username –g website //新增使用者到website組（作為webserver的普通管理員，而非root管理員）然後呼叫vipw命令檢視已新增的使用者用下面的命令改變使用者口令（至少輸入8位字母和數字組合的密碼，並將密碼記錄於本地機的專門文件中，以防遺忘）［root@c1gstudio］# passwd username
8.阻止任何人su作為root
如果你不想任何人能夠su作為root，你能編輯/etc/pam。d/su加下面的行：
#vi /etc/pam。d/suauth sufficient /lib/security/$ISA/pam_rootok。so debugauth required /lib/security/$ISA/pam_wheel。so group=website意味著僅僅website組的使用者可以su作為root。
9.修改ssh服務的root登入許可權
修改ssh服務配置檔案，使的ssh服務不允許直接使用root使用者來登入，這樣減少系統被惡意登入攻擊的機會。
#vi /etc/ssh/sshd_configPermitRootLogin yes
將這行前的＃去掉後，修改為：
PermitRootLogin no
10.修改ssh服務的sshd 埠
ssh預設會監聽在22埠，你可以修改至6022埠以避過常規的掃描。
注意：修改埠錯誤可能會導致你下次連不到伺服器，可以先同時開著22和6022兩個埠，然後再關掉22埠；
重啟sshd不會彈掉你當前的連線，可以另外開一個客戶端來測試服務；
#vi /etc/ssh/sshd_config#增加修改#Port 22 #關閉22埠Port 6022 #增加6022埠#重啟sshd服務service sshd restart檢查一下sshd的監聽埠對不對netstat -lnp|grep ssh#iptables開放sshd的6022埠vi /etc/sysconfig/iptables#如果使用redhat預設規則則增加-A RH-Firewall-1-INPUT -m state ——state NEW -m tcp -p tcp ——dport 6022 -j ACCEPT#或iptables -A INPUT -p tcp ——dport 6022 -j ACCEPTiptables -A OUTPUT -p udp ——sport 6022 -j ACCEPT
重啟iptables 服務
service iptables restart#測試兩個埠是否都能連上，連上後再將22埠刪除
詳細參考：
Linux作業系統下SSH預設22埠修改方法
11.關閉系統不使用的服務：
cd /etc/init。d #進入到系統init程序啟動目錄，在這裡有兩個方法，可以關閉init目錄下的服務：
一、將init目錄下的檔名mv成*。old類的檔名，即修改檔名，作用就是在系統啟動的時候找不到這個服務的啟動檔案。
二、使用chkconfig系統命令來關閉系統啟動等級的服務。
注：在使用以下任何一種方法時，請先檢查需要關閉的服務是否是本伺服器特別需要啟動支援的服務，以防關閉正常使用的服務。
使用chkcofig命令來關閉不使用的系統服務 （level前面為2個減號）要想在修改啟動指令碼前瞭解有多少服務正在執行，輸入：
ps aux | wc -l
然後修改啟動指令碼後，重啟系統，再次輸入上面的命令，就可計算出減少了多少項服務。越少服務在執行，安全性就越好。另外執行以下命令可以瞭解還有多少服務在執行：
netstat -na ——ip
批次方式先停止服務
for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ；do service $i stop；done
關閉啟動服務
for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ；do chkconfig $i off；done
以下為手動方式及解釋，執行批次方式後不需再執行了
chkconfig ——level 345 apmd off ##筆記本需要chkconfig ——level 345 netfs off ## nfs客戶端chkconfig ——level 345 yppasswdd off ## NIS伺服器，此服務漏洞很多chkconfig ——level 345 ypserv off ## NIS伺服器，此服務漏洞很多chkconfig ——level 345 dhcpd off ## dhcp服務chkconfig ——level 345 portmap off ##執行rpc（111埠）服務必需chkconfig ——level 345 lpd off ##列印服務chkconfig ——level 345 nfs off ## NFS伺服器，漏洞極多chkconfig ——level 345 sendmail off ##郵件服務， 漏洞極多chkconfig ——level 345 snmpd off ## SNMP，遠端使用者能從中獲得許多系統資訊chkconfig ——level 345 rstatd off ##避免執行r服務，遠端使用者可以從中獲取很多資訊chkconfig ——level 345 atd off ##和cron很相似的定時執行程式的服務注：以上chkcofig 命令中的3和5是系統啟動的型別，以下為數字代表意思0：開機（請不要切換到此等級）1：單人使用者模式的文字介面2：多人使用者模式的文字介面，不具有網路檔案系統（NFS）功能3：多人使用者模式的文字介面，具有網路檔案系統（NFS）功能4：某些發行版的linux使用此等級進入x windows system5：某些發行版的linux使用此等級進入x windows system6：重新啟動
如果不指定——level 單用on和off開關，系統預設只對執行級3，4，5有效
chkconfig cups off #印表機chkconfig bluetooth off # 藍芽chkconfig hidd off # 藍芽chkconfig ip6tables off # ipv6chkconfig ipsec off # vpnchkconfig auditd off #使用者空間監控程式chkconfig autofs off #光碟軟盤硬碟等自動載入服務chkconfig avahi-daemon off #主要用於Zero Configuration Networking ，一般沒什麼用建議關閉chkconfig avahi-dnsconfd off #主要用於Zero Configuration Networking ，同上，建議關閉chkconfig cpuspeed off #動態調整CPU頻率的程序，在伺服器系統中這個程序建議關閉chkconfig isdn off #isdnchkconfig kudzu off #硬體自動監測服務chkconfig nfslock off #NFS文件鎖定功能。文件共享支援，無需的能夠關了chkconfig nscd off #負責密碼和組的查詢，在有NIS服務時需要chkconfig pcscd off #智慧卡支援，，如果沒有可以關了chkconfig yum-updatesd off #yum更新chkconfig acpid offchkconfig autofs offchkconfig firstboot offchkconfig mcstrans off #selinuxchkconfig microcode_ctl offchkconfig rpcgssd offchkconfig rpcidmapd offchkconfig setroubleshoot offchkconfig xfs offchkconfig xinetd offchkconfig messagebus offchkconfig gpm off #滑鼠chkconfig restorecond off #selinuxchkconfig haldaemon offchkconfig sysstat offchkconfig readahead_early offchkconfig anacron off
需要保留的服務
crond ， irqbalance ， microcode_ctl ，network ， sshd ，syslog
因為有些服務已執行，所以設定完後需重啟
chkconfig/*
語法：chkconfig ［——add］［——del］［——list］［系統服務］ 或 chkconfig ［——level ］［系統服務］［on/off/reset］
補充說明：這是Red Hat公司遵循GPL規則所開發的程式，它可查詢作業系統在每一個執行等級中會執行哪些系統服務，其中包括各類常駐服務。
引數：
——add 增加所指定的系統服務，讓chkconfig指令得以管理它，並同時在系統啟動的敘述檔案內增加相關資料。——del 刪除所指定的系統服務，不再由chkconfig指令管理，並同時在系統啟動的敘述檔案內刪除相關資料。——level 指定讀系統服務要在哪一個執行等級中開啟或關畢*/
12.阻止系統響應任何從外部/內部來的ping請求
既然沒有人能ping通你的機器並收到響應，你可以大大增強你的站點的安全性。你可以加下面的一行命令到/etc/rc。d/rc。local，以使每次啟動後自動執行。
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all#這個可以不做哈
13.修改“/etc/host.conf”檔案
“/etc/host。conf”說明了如何解析地址。編輯“/etc/host。conf”檔案（vi /etc/host。conf），加入下面這行：# Lookup names via DNS first then fall back to /etc/hosts。order hosts，bind# We have machines with multiple IP addresses。multi on# Check for IP address spoofing。nospoof on
第一項設定首先透過DNS解析IP地址，然後透過hosts檔案解析。第二項設定檢測是否“/etc/hosts”檔案中的主機是否擁有多個IP地址（比如有多個以太口網絡卡）。第三項設定說明要注意對本機未經許可的電子欺騙。
14.不允許從不同的控制檯進行root登陸
“/etc/securetty”檔案允許你定義root使用者可以從那個TTY裝置登陸。你可以編輯“/etc/securetty”檔案，再不需要登陸的TTY裝置前新增“#”標誌，來禁止從該TTY裝置進行root登陸。
在/etc/inittab檔案中有如下一段話：
# Run gettys in standard runlevels1：2345：respawn：/sbin/mingetty tty12：2345：respawn：/sbin/mingetty tty2#3：2345：respawn：/sbin/mingetty tty3#4：2345：respawn：/sbin/mingetty tty4#5：2345：respawn：/sbin/mingetty tty5#6：2345：respawn：/sbin/mingetty tty6
系統預設的可以使用6個控制檯，即Alt+F1，Alt+F2。。。，這裡在3，4，5，6前面加上“#”，註釋該句話，這樣現在只有兩個控制檯可供使用，最好保留兩個。然後重新啟動init程序，改動即可生效！
15.禁止Control-Alt-Delete鍵盤關閉命令
在“/etc/inittab” 檔案中註釋掉下面這行（使用#）：ca：：ctrlaltdel：/sbin/shutdown -t3 -r now改為：#ca：：ctrlaltdel：/sbin/shutdown -t3 -r now為了使這項改動起作用，輸入下面這個命令：# /sbin/init q
16.用chattr命令給下面的檔案加上不可更改屬性。
［root@c1gstudio］# chattr +i /etc/passwd［root@c1gstudio］# chattr +i /etc/shadow［root@c1gstudio］# chattr +i /etc/group［root@c1gstudio］# chattr +i /etc/gshadow
【注：chattr是改變檔案屬性的命令，引數i代表不得任意更動檔案或目錄，此處的i為不可修改位（immutable）。檢視方法：lsattr /etc/passwd，撤銷為chattr –i /etc/group】
補充說明：這項指令可改變存放在ext2檔案系統上的檔案或目錄屬性，這些屬性共有以下8種模式：
a：讓檔案或目錄僅供附加用途。b：不更新檔案或目錄的最後存取時間。c：將檔案或目錄壓縮後存放。d：將檔案或目錄排除在傾倒操作之外。i：不得任意更動檔案或目錄。s：保密性刪除檔案或目錄。S：即時更新檔案或目錄。u：預防以外刪除。
引數：
-R 遞迴處理，將指定目錄下的所有檔案及子目錄一併處理。-v 設定檔案或目錄版本。-V 顯示指令執行過程。+ 開啟檔案或目錄的該項屬性。- 關閉檔案或目錄的該項屬性。= 指定檔案或目錄的該項屬性。
17.給系統服務埠列表檔案加鎖
主要作用：防止未經許可的刪除或新增服務
chattr +i /etc/services【檢視方法：lsattr /etc/ services，撤銷為chattr –i /etc/ services】
18.系統檔案許可權修改
Linux檔案系統的安全主要是透過設定檔案的許可權來實現的。每一個Linux的檔案或目錄，都有3組屬性，分別定義檔案或目錄的所有者，使用者組和其他人的使用許可權（只讀、可寫、可執行、允許SUID、允許SGID等）。特別注意，許可權為SUID和SGID的可執行檔案，在程式執行過程中，會給程序賦予所有者的許可權，如果被駭客發現並利用就會給系統造成危害。
（1）修改init目錄檔案執行許可權：
chmod -R 700 /etc/init。d/* （遞迴處理，owner具有rwx，group無，others無）
（2）修改部分系統檔案的SUID和SGID的許可權：
chmod a-s /usr/bin/chagechmod a-s /usr/bin/gpasswdchmod a-s /usr/bin/wallchmod a-s /usr/bin/chfnchmod a-s /usr/bin/chshchmod a-s /usr/bin/newgrpchmod a-s /usr/bin/writechmod a-s /usr/sbin/usernetctlchmod a-s /usr/sbin/traceroutechmod a-s /bin/mountchmod a-s /bin/umountchmod a-s /sbin/netreport
（3）修改系統引導檔案
chmod 600 /etc/grub。confchattr +i /etc/grub。conf【檢視方法：lsattr /etc/grub。conf，撤銷為chattr –i /etc/grub。conf】
19.增加dns
#vi /etc/resolv。confnameserver 8。8。8。8 #google dnsnameserver 8。8。4。4
20.hostname 修改
#注意需先把mysql、postfix等服務停了1。hostname servername2。vi /etc/sysconfig/networkservice network restart3。vi /etc/hosts
21.selinux 修改
開啟selinux可以增加安全性，但裝軟體時可能會遇到一些奇怪問題
以下是關閉方法
#vi /etc/selinux/config
改成disabled
22.關閉ipv6
echo “alias net-pf-10 off” >> /etc/modprobe。confecho “alias ipv6 off” >> /etc/modprobe。conf#vi /etc/sysconfig/networkNETWORKING_IPV6=no
重啟服務
Service ip6tables stopService network restart
關閉自動啟動
chkconfig ——level 235 ip6tables off
23.設定iptables
iptables 預設安全規則指令碼
重啟系統
以上大部分設定可以執行指令碼來完成。linux安全設定快捷指令碼
設定完成後重啟系統
其它設定項
linux調整系統時區/時間的方法
把/usr/share/zoneinfo裡相應的時區與/etc/localtime做個軟link。比如使用上海時區的時間：ln -s /usr/share/zoneinfo/Asia/Shanghai /etc/localtime 如果要使用UTC計時方式，則應在/etc/sysconfig/clock檔案裡改UTC=TRUE 時間的設定： 使用date 命令加s引數修改，注意linux的時間格式為“月日時分年”，也可以只修改時間date -s 22：30：20，如果修改的是年月日和時間，格式為“月日時分年。秒”，2007-03-18 11：01：56則應寫為“date -s 031811012007。56 硬體時間與當前時間更新： hwclock ——systohc 如果硬體記時用UTC，則為 hwclock ——systohc ——utc
linux調整系統時區/時間的方法
1） 找到相應的時區檔案
/usr/share/zoneinfo/Asia/Shanghai
用這個檔案替換當前的/etc/localtime檔案。
步驟：cp –i /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
選擇覆蓋
2） 修改/etc/sysconfig/clock檔案，修改為：
ZONE=”Asia/Shanghai“UTC=falseARC=false
3） 時間設定成2005年8月30日的命令如下：
#date -s 08/30/2005
將系統時間設定成下午6點40分0秒的命令如下：
#date -s 18：40：00
4）同步BIOS時鐘，強制把系統時間寫入CMOS，命令如下：
#clock -w
安裝ntpd
#yum install ntp#chkconfig ——levels 235 ntpd on#ntpdate ntp。api。bz #先手動校準下#service ntpd start
設定語言
英文語言，中文支援
#vi /etc/sysconfig/i18nLANG=”en_US。UTF-8“SUPPORTED=”zh_CN。UTF-8：zh_CN：zh“SYSFONT=”latarcyrheb-sun16“
tmpwatch 定時清除
假設伺服器自定義了php的session和upload目錄
#vi /etc/cron。daily/tmpwatch在240 /tmp 前增加-x /tmp/session -x /tmp/upload#mkdir /tmp/session#mkdir /tmp/upload#chown nobody：nobody /tmp/upload#chmod 0770 /tmp/upload