安全加固方案

交换机安全加固

查看是否关闭未使用的接口

25GE1/0/1、25GE1/0/47、25GE1/0/48需要使用，暂不关闭

system-view

interface Eth-Trunk99

shutdown

quit

interface Eth-Trunk100

shutdown

quit

interface Eth-Trunk110

shutdown

quit

interface 25GE1/0/2

shutdown

interface 25GE1/0/3

shutdown

interface 25GE1/0/4

shutdown

interface 25GE1/0/5

shutdown

interface 25GE1/0/6

shutdown

interface 25GE1/0/7

shutdown

interface 25GE1/0/8

shutdown

interface 25GE1/0/9

shutdown

interface 25GE1/0/10

shutdown

interface 25GE1/0/11

shutdown

interface 25GE1/0/12

shutdown

interface 25GE1/0/13

shutdown

interface 25GE1/0/14

shutdown

interface 25GE1/0/15

shutdown

interface 25GE1/0/16

shutdown

interface 25GE1/0/17

shutdown

interface 25GE1/0/18

shutdown

interface 25GE1/0/19

shutdown

interface 25GE1/0/20

shutdown

interface 25GE1/0/21

shutdown

interface 25GE1/0/22

shutdown

interface 25GE1/0/23

shutdown

interface 25GE1/0/24

shutdown

interface 25GE1/0/25

shutdown

interface 25GE1/0/26

shutdown

interface 25GE1/0/27

shutdown

interface 25GE1/0/28

shutdown

interface 25GE1/0/29

shutdown

interface 25GE1/0/30

shutdown

interface 25GE1/0/31

shutdown

interface 25GE1/0/32

shutdown

interface 25GE1/0/33

shutdown

interface 25GE1/0/34

shutdown

interface 25GE1/0/35

shutdown

interface 25GE1/0/36

shutdown

interface 25GE1/0/37

shutdown

interface 25GE1/0/38

shutdown

interface 25GE1/0/39

shutdown

interface 25GE1/0/40

shutdown

interface 25GE1/0/41

shutdown

interface 25GE1/0/42

shutdown

interface 25GE1/0/43

shutdown

interface 25GE1/0/44

shutdown

interface 25GE1/0/45

shutdown

interface 25GE1/0/46

shutdown

interface 100GE1/0/1

shutdown

interface 100GE1/0/2

shutdown

interface 100GE1/0/3

shutdown

interface 100GE1/0/4

shutdown

interface 100GE1/0/5

shutdown

interface 100GE1/0/6

shutdown

interface 100GE1/0/7

shutdown

interface 100GE1/0/8

shutdown

quit

commit

quit

save

检查是否配置远程访问IP地址限制

ssh 放行全部地址进来，后面需要网管老师去限定ssh的入向源地址

system-view

acl number 2000

rule 200 permit source any

quit

user-interface vty 0 4

acl 2000 inbound

quit

commit

quit

save

检查是否配置防地址欺骗攻击

目前使用端口都为2层口，暂不支持该功能

Ubunut20.04安全加固

需使用root账号配置

cmcc登录后使用su - root 切换

设置重复登录失败后锁定时间限制、查口令锁定策略

内容：设置密码输入错误5次后锁定账户15分钟（900秒）、帐户被锁定，不再提示让再次登录；

vim /etc/pam.d/common-auth

在图中位置添加如下命令

auth required pam_tally2.so deny=5 onerr=fail no_magic_root unlock_time=900

验证

解锁账户

设置用户缺省UMASK、登录超时

内容：设置umask 027、登陆超时30分钟

步骤：

vim /etc/profile

在末尾添加

Plain Text
umask 027
TMOUT=1800
export TMOUT

保存退出

生效配置

root@cmcc:~# source /etc/profile

验证

设置限制su命令用户组

内容：添加wheel组并将cmcc添加到改组，启用su命令控制

步骤：

vim /etc/pam.d/su

在打开的配置文件的中，添加以下参数：
auth required pam_wheel.so

保存退出

创建 wheel 组 并添加用户

Shell
groupadd wheel
usermod -G wheel cmcc

验证

cmcc添加到wheel组后可以切换root

非wheel组用户无法切换

设置SSH是否使用业界认可的加密算法

内容：ssh添加指定算法

步骤：

使用文本编辑器（如vim）编辑/etc/ssh/sshd_config文件。
vi /etc/ssh/sshd_config

在打开的配置文件中，如图位置添加如下参数：

Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr

KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group14-sha256

MACs umac-128-etm@openssh.com,umac-64-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

保存并退出

在vim编辑器中，按Esc键，然后输入:wq并回车以保存更改并退出编辑器。

生效配置

root@cmcc:/etc/ssh# sshd -T #检查配置有无问题

Missing privilege separation directory: /run/sshd

root@cmcc:/etc/ssh# systemctl restart sshd

root@cmcc:/etc/ssh# systemctl status sshd

限制root远程登陆

内容：root远程登录不成功

步骤：

Shell
vi /etc/ssh/sshd_config
#添加如下内容
PermitRootLogin no

修改PermitRootLogin设置为no并不被注释，保存退出。

生效配置

Shell
root@cmcc:/etc/ssh# systemctl restart sshd
root@cmcc:/etc/ssh# systemctl status sshd

验证

尝试使用ssh登录root,回显不通过。

检查登录提示-是否设置ssh警告

内容：ssh登录时 提示 Authorized users only. All activity may be monitored and reported

步骤：

echo " Authorized users only. All activity may be monitored and reported " >/etc/sshbanner

vim /etc/ssh/sshd_config文件

在打开的配置文件的中，添加以下参数并保存退出：

Shell
Banner /etc/sshbanner

重启服务

systemctl restart sshd

验证

检查系统是否不存开发编译及网络嗅探类工具

Shell
#查看安装的软件包
root@cmcc:~# apt list --installed Tcpdump
Listing... Done
root@cmcc:~# apt list --installed Gdb
Listing... Done
root@cmcc:~# apt list --installed strace
Listing... Done
strace/focal,now 4.26-0.2ubuntu3 amd64 [installed,upgradable to: 5.5-3ubuntu1]
root@cmcc:~# apt list --installed dexdump
Listing... Done
root@cmcc:~# apt list --installed cpp
Listing... Done
root@cmcc:~# apt list --installed gcc
Listing... Done
root@cmcc:~# apt list --installed tcpdump
Listing... Done
root@cmcc:~# apt list --installed ethereal
Listing... Done
root@cmcc:~# apt list --installed wireshark
Listing... Done
#卸载安装的软件包
root@cmcc:~# apt autoremove strace
Reading package lists... Done
Building dependency tree
Reading state information... Done
The following packages will be REMOVED:
libunwind8 strace ubuntu-standard
0 upgraded, 0 newly installed, 3 to remove and 310 not upgraded.
After this operation, 1,798 kB disk space will be freed.
Do you want to continue? [Y/n] y
(Reading database ... 70747 files and directories currently installed.)
Removing ubuntu-standard (1.450) ...
Removing strace (4.26-0.2ubuntu3) ...
Removing libunwind8:amd64 (1.2.1-9build1) ...
Processing triggers for man-db (2.9.1-1) ...
Processing triggers for libc-bin (2.31-0ubuntu9) ...

检查是否关闭IP转发功能、是否开启反向路径过滤、禁止icmp重定向

系统默认没开IP转发功能

Shell
sysctl net.ipv4.ip_forward
sysctl net.ipv4.conf.all.forwarding
sysctl net.ipv4.conf.all.forwarding

如果要修改

vim /etc/sysctl.conf文件

并在/etc/sysctl.conf中添加如下内容：

Bash
net.ipv4.ip_forward = 0
net.ipv4.conf.all.forwarding = 0
net.ipv4.conf.default.forwarding = 0

修改后，运行sysctl -p来应用更改。

配置文件仲该设置被注释了取消注释即可

vim /etc/sysctl.conf 把 # 去掉然后保存退出

生效配置

日志大小进行配置

内容：修改日志大小位10M

步骤：

Vim /etc/logrotate.d/rsyslog

在打开的配置文件的中，添加以下参数并保存退出：

size 10M

重启服务

systemctl restart rsyslog.service

检查帐号文件权限设置

内容：修改文件权限

步骤：

Shell
root@cmcc:~# ls -la /etc/passwd
-rw-r--r-- 1 root root 2016 Oct 31 05:52 /etc/passwd # 文件权限 644
root@cmcc:~# ls -la /etc/group
-rw-r--r-- 1 root root 861 Nov 4 02:28 /etc/group # 文件权限 644
root@cmcc:~# ls -la /etc/shadow
-rw-r----- 1 root shadow 1928 Oct 31 05:52 /etc/shadow # 文件权限 400 不符合要求

返回如下

Shell
chmod 400 /etc/shadow
chmod 644 /etc/group
chmod 644 /etc/shadow

开启命令及登录失败记录

内容：开启登录失败记录

步骤：

vim /etc/login.defs

找到 LASTLOG_ENAB 项，取消注释并添加yes

找到 FAILLOG_ENAB 取消注释并添加yes （如果已经修改则无需变动）

保存文件并退出 wq

口令重复次数限制、口令生存周期要求

内容：强制密码历史”设置为“记住5个密码；口令生存周期最大90天，最小8天，不足7天告警

口令重复次数限制

创建文件/etc/security/opasswd，并设置权限： #

touch /etc/security/opasswd

chown root:root /etc/security/opasswd

chmod 600 /etc/security/opasswd 3、修改策略设置： #vi /etc/pam.d/common-passwd 在password required pam_unix.so所在行增加remember=5，保存退出。

口令生存周期要求

编辑/etc/login.defs文件，设置密码的过期策略，保存退出：

Shell
PASS_MAX_DAYS   90
PASS_MIN_DAYS   7
PASS_WARN_AGE   7

修改cmcc用户密码生成周期

Shell
root@cmcc:~# chage -M 90 -m 8 -W 7 cmcc
root@cmcc:~# chage -l cmcc
Last password change                                    : Nov 04, 2024
Password expires                                        : Feb 02, 2025
Password inactive                                       : never
Account expires                                         : never
Minimum number of days between password change          : 7
Maximum number of days between password change          : 90
Number of days of warning before password expires       : 7
root@cmcc:~#