Linux运维工程师：提高SCPRoot系统安全性的关键

一、强密码策略

1、密码长度应至少为10个字符。较长的密码能够防止暴力破解。另外，应考虑使用密码短语，而不是单独的单词或数字。

2、密码应包含大小写字母、数字以及符号。复杂的密码能够防止字典和暴力攻击。

3、密码应定期更换，并不得重复使用。这会防止针对历史数据的攻击，并促使用户选择更复杂的密码。

# 修改密码长度限制为10个字符
sudo sed -i 's/minlen=8/minlen=10/g' /etc/security/pwquality.conf

# 限制密码重复使用
sudo vim /etc/pam.d/common-password 
# 添加以下一行，使密码不能重复使用十次以内
password required pam_pwhistory.so remember=10

二、定期更新系统

1、在每个系统更新后，应及时安装软件包。这些更新通常包含制定的安全漏洞或修复缺陷的修复程序，以及增强安全功能的改进。

2、如果系统安装了防病毒程序，请确保其定期更新，并对系统进行定期的病毒扫描。

3、即便系统没有服务功能，也应运行两个基本安全系统：SELinux和Firewalld。这两个系统能够提供运行管道机制和网络分离，从而保护系统免受攻击。

# 更新软件包
sudo yum -y update

# 安装防病毒程序
sudo yum -y install clamav
sudo freshclam

# 安装SELinux
sudo yum -y install policycoreutils

# 设置SELinux状态为enforcing
sudo setenforce 1

# 安装Firewalld
sudo yum -y install firewalld

# 启动Firewalld
sudo systemctl start firewalld

# 将firewalld添加为开机启动
sudo systemctl enable firewalld

三、远程访问控制

1、对SSH盟员应为更安全的SSH密钥进行控制，而不是使用基于密码的身份验证。

2、SSH应仅允许来自必要IP地址的访问。

3、禁用不必要的网络文件共享协议，如FTP和SMB，以及危险或过时的协议，如Telnet和Rlogin。

# 禁用root直接登录SSH，并使用SSH密钥进行认证
sudo vim /etc/ssh/sshd_config
# 找到以下两行，并将其取消注释
PermitRootLogin no
PasswordAuthentication no

# 重启sshd服务
sudo systemctl restart sshd.service

# 使用iptables阻止除了指定的IP地址以外的SSH访问
sudo systemctl enable iptables.service
sudo systemctl start iptables.service
sudo iptables -A INPUT -p tcp -s 10.0.0.0/8 --dport ssh -j ACCEPT
sudo iptables -A INPUT -p tcp --dport ssh -j DROP

四、安全日志管理

1、记录所有有效事件，并定期查看和分析日志文件，以检测潜在的攻击和漏洞。

2、定期清理日志，以避免占用过多空间，并确保正确的数据记录。

3、应默认启用标准安全框架（如Audit），以保持安全性日志跟踪和追踪。

# 安装Audit
sudo yum -y install audit

# 启动Audit
sudo systemctl start auditd

# 将Audit设置为开机启动
sudo systemctl enable auditd

# 配置Audit记录文件系统访问、权限更改和文件创建事件
sudo auditctl -a exit,always -F arch=b64 -S all -F key=perm_change
sudo auditctl -a exit,always -F arch=b64 -S all -F path=/home/jsmith -F perm=rwxa -F key=smith_files
sudo auditctl -a exit,always -F arch=b64 -S all -F path=/var/log/auth.log -F perm=r -F key=auth_log

五、加密数据

1、加密文件和目录，使用加密交换协议（如SSL或TLS）来保护数据以及在网络上传输的信息。由于SCP使用SSH作为底层，因此传输是加密的。

2、对于包含敏感信息的服务器，应考虑使用硬件安全模块（HSM）保护密钥。

# 加密文件和目录
sudo yum -y install gpg
gpg --import mykey.asc
gpg --output doc.asc --encrypt doc.txt

# 使用SSL保护数据传输
openssl s_server -cert server-cert.pem -key server-key.pem

# 使用HSM保护密钥
sudo yum -y install opensc
pkcs11-tool --init-token --label="My Token 1" --so-pin 1234 --pin 1234

六、访问控制

1、使用进程分离和强制访问控制来限制进程之间的通信，以及向内部和向外部公共网络的访问。

2、对系统资源（如文件和目录）进行访问控制，以防止未经授权的访问，同时确保良好运作。

3、根据用户角色和需要，配置最小权限，并在可能的情况下避免允许任意所有权限。

# 使用AppArmor进行进程隔离和强制访问控制
sudo yum -y install apparmor
sudo systemctl start apparmor
sudo systemctl enable apparmor

# 关闭SELinux
sudo setenforce 0

# 配置访问控制列表
sudo setfacl -m u:jsmith:rwx /home/jsmith/documents/
sudo setfacl -m g:operations:rx /var/log/operations/

七、加固SSH

1、使用公钥进行SSH登录，可免去密码传输，并增强了系统的安全性。

2、使用前端认证和多因素身份验证方法，以增加对帐户的安全性。

3、定期检查安全配置，如果有机会利用，应善意漏洞的发现并优化系统。

# 生成SSH密钥对
ssh-keygen -t rsa -b 4096

# 在远程系统上添加SSH公钥
ssh-copy-id jsmith@remote-server

# 安装Google Authenticator
sudo yum -y install google-authenticator

# 配置多因素身份验证
sudo vim /etc/pam.d/sshd
# 在文件末尾添加以下行
auth required pam_google_authenticator.so nullok