https://www.cnblogs.com/wangyang0210/p/13593936.html

    1. #######################################################################
    2. ###########################LINUX 配置规范###############################
    3. ######################################################################
    5. #!/bin/bash
    6. ##检查口令最小长度
    7. cp /etc/login.defs /etc/login.defs.back
    8. sed -i "/^PASS_MIN_LEN/c PASS_MIN_LEN    8" /etc/login.defs
    10. ##检查口令生存周期
    11. sed -i "/^PASS_MAX_DAYS/c PASS_MAX_DAYS   90" /etc/login.defs
    13. ##检查设备密码复杂度策略
    14. cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak
    15. sed -i "/^password/i password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1" /etc/pam.d/system-auth
    18. ##检查是否设置文件与目录缺省权限
    19. cp /etc/profile /etc/profile.bak
    20. sed -i "/umask 002/c  umask 027" /etc/profile
    22. ##检查是否设置命令行界面超时退出
    23. sed -i "/^TMOUT=1800/c TMOUT=300" /etc/profile
    25. ##检查是否限制root用户远程登录
    26. cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
    27. sed -i "/^PermitRootLogin/c PermitRootLogin no" /etc/ssh/sshd_config
    28. #重启sshd服务
    31. ##检查是否配置远程日志功能
    32. cp /etc/rsyslog.conf /etc/rsyslog.conf.bak
    33. sed -i "/*.* @@remote-host:514/c *.* @@remote-host:514" /etc/rsyslog.conf
    35. ##检查是否配置用户所需最小权限
    36.   #检查/etc/group文件权限
    37.     # chmod 644 /etc/group
    38.   #检查/etc/passwd文件权限
    39.     # chmod 644 /etc/passwd
    40.   #检查/etc/shadow文件权限
    41.     chmod 600 /etc/shadow
    43. ##检查是否修改系统banner
    44. #删除"/etc"目录下的 issue.net 和 issue 文件：
    45. mv /etc/issue /etc/issue.bak
    46. mv /etc/issue.net /etc/issue.net.bak
    49. ##sshd弱算法
    50.  cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
    51.  echo "Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc" >> /etc/ssh/sshd_config
    52.  systemctl restart sshd.service
    55. ##检查是否安装OS补丁
    56. #可以使用OnlineUpdate或Patch CD Update等方式升级系统补丁
    58. ##检查FTP Banner设置
    59.   #1.修改vsftp回显信息
    60.   ## vi /etc/vsftpd.conf(或/etc/vsftpd/vsftpd.conf)
    61.   #ftpd_banner=” Authorized users only. All activity will be monitored and reported.”
    62.   #可根据实际需要修改该文件内容。
    63.   #重启服务：
    64.   ## /etc/init.d/vsftpd restart
    65.   #2.修改pure-ftp配置文件：
    66.   ##vi /etc/pure-ftpd/pure-ftpd.conf
    67.   #找到以下行，确保该行未被注释。
    68.   #FortunesFile /usr/share/fortune/zippy
    69.   #编辑/usr/share/fortune/zippy文件（如没有fortune文件夹或者zippy文件，则新建该文件夹或该文件）：
    70.   ##vi /usr/share/fortune/zippy
    71.   #将自定义BANNER写入其中。
    72.   #重启服务：
    73.   ## /etc/init.d/pure-ftpd restart
    77. ##检查FTP用户上传的文件所具有的权限
    78.   #如果系统使用vsftp：
    79.   #修改/etc/vsftpd.conf（或者为/etc/vsftpd/vsftpd.conf）
    80.   ## vi /etc/vsftpd.conf
    81.   #确保以下行未被注释掉，如果没有该行，请添加：
    82.   #write_enable=YES //允许上传。如果不需要上传权限，此项可不进行更改。
    83.   #ls_recurse_enable=YES
    84.   #local_umask=022 //设置用户上传文件的属性为755
    85.   #anon_umask=022 //匿名用户上传文件(包括目录)的 umask
    86.   #重启网络服务
    87.   ## /etc/init.d/vsftpd restart
    88.   #如果系统使用pure-ftp
    89.   #修改/etc/pure-ftpd/pure-ftpd.conf
    90.   ## vi /etc/pure-ftpd/pure-ftpd.conf
    91.   #确保以下行未被注释掉，如果没有该行，请添加：
    92.   #umask 177:077
    93.   #重启ftp服务
    94.   ##/etc/init.d/pure-ftpd restart
    98. ##检查是否关闭不必要的服务和端口
    99.   #检查是否关闭tftp服务
    100.   #chkconfig [--level levels] tftp off
    101.   #注:levels为运行级别,需要重启机器
    102.   #检查是否关闭sendmail服务
    103.   #chkconfig [--level levels] sendmail off
    104.   #注:levels为运行级别,需要重启机器
    105.   #检查是否关闭ypbind服务
    106.   #chkconfig [--level levels] ypbind off
    107.   #注:levels为运行级别,需要重启机器
    108.   #检查是够关闭kshell服务
    109.   #hkconfig [--level levels] kshell off
    110.   #注:levels为运行级别,需要重启机器
    111.   #检查是否关闭lpd服务
    112.   #chkconfig [--level levels] lpd off
    113.   #注:levels为运行级别,需要重启机器
    114.   #检查是否关闭ident服务
    115.   #chkconfig [--level levels] ident off
    116.   #注:levels为运行级别,需要重启机器
    117.   #检查是否关闭time服务
    118.   #chkconfig [--level levels] time off
    119.   #chkconfig [--level levels] time-udp off
    120.   #注:levels为运行级别,需要重启机器
    121.   #检查是否关闭ntalk服务
    122.   #chkconfig [--level levels] ntalk off
    123.   #注:levels为运行级别,需要重启机器
    124.   #检查是否关闭bootps服务
    125.   #chkconfig [--level levels] bootps off
    126.   #注:levels为运行级别,需要重启机器
    127.   #检查是否关闭chargen服务
    128.   #chkconfig [--level levels] chargen off
    129.   #chkconfig [--level levels] chargen-udp off
    130.   #注:levels为运行级别,需要重启机器
    131.   #检查是否关闭nfs服务
    132.   #chkconfig [--level levels] nfs off
    133.   #注:levels为运行级别,需要重启机器
    134.   #检查是否关闭daytime服务
    135.   #chkconfig [--level levels] daytime off
    136.   #注:levels为运行级别,需要重启机器
    137.   #检查是否关闭printer服务
    138.   #chkconfig [--level levels] printer off
    139.   #注:levels为运行级别,需要重启机器
    140.   #检查是否关闭nfslock服务
    141.   #chkconfig [--level levels] nfslock off
    142.   #注:levels为运行级别,需要重启机器
    143.   #检查是否关闭echo服务
    144.   #chkconfig [--level levels] echo off
    145.   #chkconfig [--level levels] echo-udp off
    146.   #注:levels为运行级别,需要重启机器
    147.   #检查是否关闭discard服务
    148.   #chkconfig [--level levels] discard off
    149.   #chkconfig [--level levels] discard-udp off
    150.   #注:levels为运行级别,需要重启机器
    151.   #检查是否关闭klogin服务
    152.   #chkconfig [--level levels] klogin off
    153.   #注:levels为运行级别,需要重启机器
    156. ##检查是否限制用户FTP缺省访问权限
    157.   #配置方法：
    158.   #打开/etc/vsftpd/chroot_list 文件，将需要限制的用户名加入到文件中。
    160. ##检查是否删除了潜在危险文件
    161.   #1 是否删除.netrc 文件
    162.   #  1.执行命令find / -maxdepth 3 -name .netrc 2>/dev/null
    163.   #  2.进入到.netrc文件存在的目录
    164.   #  3.执行命令：mv .netrc .netrc.bak
    165.   #2 是否删除hosts.equiv文件
    166.   #  1.执行命令find / -maxdepth 3 -name hosts.equiv 2>/dev/null
    167.   #  2.进入到hosts.equiv文件存在的目录
    168.   #  3.执行命令：mv hosts.equiv hosts.equiv.bak
    169.   #3 是否删除.rhosts 文件
    170.   #    1.执行命令find / -maxdepth 3 -name .rhosts 2>/dev/null
    171.   #  2.进入到.rhosts文件存在的目录
    172.   #  3.执行命令：mv .rhosts .rhosts.bak
    174. ##检查是否禁止root用户登录FTP
    175.   #1 禁止root登录VSFTP
    176.   #   编辑/etc/ftpusers(或/etc/vsftpd/ftpusers)文件
    177.   #   添加root
    178.   #2 禁止root登录WU-FTP
    179.   #   在/etc/ftpusers文件中加入下列行
    180.   #   root
    182. ##检查是否启用SSH协议，禁用telnet协议
    183.   #1 应配置ssh协议，并安全配置sshd
    184.   #  通过#/etc/init.d/sshd start 来启动 SSH服务
    185.   #2 应禁用telnet协议
    186.   #  利用命令rpm -qa |grep telnet查看是否安装telnet 和telnet server
    187.   #  如果安装的话 编辑/etc/xinetd.d/telnet, 修改 disable = yes。
    188.   #  激活xinetd服务。命令如下：
    189.   #  # service xinetd restart
    190.   #  如果没安装则说明禁用telnet服务
    192. ##检查是否启用cron行为日志功能
    193.   #1 syslog-ng是否启用记录cron行为日志功能
    194.   #   在/etc/syslog-ng/syslog-ng.conf中添加
    195.   #   filter f_cron { facility(cron); };
    196.   #   destination cron { file("/var/log/cron"); };
    197.   #   log { source(src); filter(f_cron); destination(cron); };
    198.   #   其中/var/log/cron为日志文件。
    199.   #   如果该文件不存在，则创建该文件，命令为：
    200.   #   touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron.
    201.   #2 rsyslog是否启用记录cron行为日志功能        编辑/etc/rsyslog.conf文件，
    202.   #   配置：
    203.   #   cron.* /var/log/cron ，
    204.   #   其中/var/log/cron为日志文件。
    205.   #   如果该文件不存在，则创建该文件，命令为：
    206.   #   touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron.
    207.   #3 syslog是否启用记录cron行为日志功能        编辑/etc/syslog.conf文件，
    208.   #   配置：
    209.   #   cron.* /var/log/cron ，
    210.   #   其中/var/log/cron为日志文件。
    211.   #   如果该文件不存在，则创建该文件，命令为：
    212.   #   touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron.
    215. ##检查是否禁止匿名用户登录FTP
    216.   #1 禁止匿名WU-FTP用户登录
    217.   #   在/etc/passwd文件中，删除ftp用户
    218.   #2 禁止匿名VSFTP用户登录
    219.   #   编辑/etc/vsftpd.conf(或/etc/vsftpd/vsftpd.conf)文件，设置：anonymous_enable=NO
    221. ##检查是否启用syslog日志审计
    222.   #1.
    223.   # Redhat5.x之前(包括5.x):编辑/etc/syslog.conf,
    224.   # Redhat 6.x:编辑/etc/rsyslog.conf,
    225.   # 配置:
    226.   # authpriv.* /var/log/secure
    227.   #2.
    228.   # 创建/var/log/secure文件
    229.   # touch /var/log/secure
    230.   #3.
    231.   # 重启syslog服务
    234. ##检查日志文件是否非全局可写
    235.   #检查/var/log/mail文件是否other用户不可写              位比较小于等于    775      执行命令：chmod 775 /var/log/mail
    236.   #检查/var/log/boot.log是否是否other用户不可写        位比较小于等于    775      执行命令：chmod 775 /var/log/boot.log
    237.   #检查/var/log/secure文件是否other用户不可写          位比较小于等于    775      执行命令：chmod 775 /var/log/secure
    238.   #检查/var/log/messages文件是否不可被其他用户修改        位比较小于等于    755      执行命令：chmod 755 /var/log/messages
    239.   #检查/var/log/cron日志文件是否other用户不可写          位比较小于等于    775      执行命令：chmod 775 /var/log/cron
    240.   #检查/var/log/spooler文件是否other用户不可写          位比较小于等于    775      执行命令：chmod 775 /var/log/spooler
    241.   #检查/var/log/maillog文件是否other用户不可写          位比较小于等于    775      执行命令：chmod 775 /var/log/maillog
    243. ##检查是否限制用户su到root
    244.  #sed -i "/^auth/i auth sufficient pam_rootok.so" /etc/pam.d/su
    245.  #sed -i "/^auth/i auth required pam_wheel.so group=wheel" /etc/pam.d/su
    248. ##检查是否按用户分配账号
    249.   #为用户创建账号：
    250.   #useradd username #创建账号
    251.   #passwd username #设置密码
    252.   #修改权限：
    253.   #chmod 750 directory #其中750为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录)
    254.   #使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。
    256. ##是否删除与设备运行、维护等工作无关的账号
    257.   #删除用户:#userdel username;
    258.   #锁定用户：
    259.   #usermod -L username
    260.   #只有具备超级用户权限的使用者方可使用.
    261.   #usermod –U username可以解锁。
    262.   #补充操作说明
    263.   #需要锁定的用户：
    264.   #listen,gdm,webservd,nobody,nobody4,noaccess。
    266. ##检查是否按组进行账号管理
    267.   #1.执行备份：
    268.   #cp -p /etc/group /etc/group.bak
    269.   #2.创建新的用户组
    270.   #groupadd 组名
    271.   #usermod -g 组名 -d 用户目录 -m 用户名
    272.   #把用户添加进入某个组(s)或参考usermod --help说明进行设置
    275. #######################################################################
    276. ###########################NGINX 配置规范###############################
    277. ######################################################################
    279. ##检查是否启用日志功能---记录错误日志
    280.   #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)，去掉error_log前面的"#"号
    282. ##检查是否启用日志功能---记录访问日志
    283.   #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)，设置access_log，去掉前面的注释，修改配置文件如下：
    284.   #log_format formatname '$remote_addr - $remote_user [$time_local] '
    285.   #' "$request" $status $body_bytes_sent "$http_referer" '
    286.   #' "$http_user_agent" "$http_x_forwarded_for"';
    287.   #access_log logs/access.log formantname;
    288.   #formatname是设置配置文件格式的名称
    290. ##检查是否限制IP访问
    291.   #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
    292.   #具体设置举例如下：
    293.   #location / {
    294.   #deny 192.168.1.1; #拒绝IP
    295.   #allow 192.168.1.0/24; #允许IP
    296.   #allow 10.1.1.0/16; #允许IP
    297.   #deny all; #拒绝其他所有IP
    298.   #}
    299.   #根据应用场景，设置合适的IP地址
    301. ##检查是否隐藏nginx服务信息头
    302.   #配置在http中
    303.   server_tokens off;
    304.   server_tag off;
    305.   server_info off;
    307. ##检查是否自定义错误信息
    308.   #修改nginx_install_dir/conf/nginx.conf文件
    309.   #在每个站点server里添加自定义错误页面，例如：
    310.   #error_page 404 /404.html;
    311.   #404.html为具体的自定义错误页面，需要纺织在站点的根目录下，一版是nginx_install_dir/html/目录下
    312.   #
    313.   #配置完毕后采用nginx_install_dir/sbin/nginx -t测试配置文件是否正确。
    314.   #之后平滑重启nginx
    315.   #nginx_install_dir/sbin/nginx -s reload
    317. ##检查是否控制超时时间---客户端保持活动的超时时间
    318.   #http
    319.   #keepalive_timeout 120;
    320.   #重新启动nginx服务
    321.   #需要根据应用场景的需要选择合适的参数值
    323. ##检查是否控制超时时间---客户端请求读取超时时间
    324.   #http
    325.   #client_header_timeout 10; #设置客户端请求头读取超时时间
    326.   #重新启动nginx服务
    327.   #需要根据应用场景的需要选择合适的参数值
    329. ##检查是否限制客户端下载的并发连接数
    330.   #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
    331.   #具体设置如下：
    332.   #例如网站存放路径为/usr/local/nsfocus/ ，服务器名称为：down.nsfocus.com
    333.   #http {
    334.   #……
    335.   #limit_zone one $binary_remote_addr 10m;
    336.   ##针对每个IP定义一个存储session状态的容器，10m的容器按照32bytes/session，可以处理320000个session
    337.   #server
    338.   #{
    339.   #listen 80
    340.   #server_name down.nsfocus.com;
    341.   #index index.html index.htm index.php;
    342.   #root /usr/local/nsfocus;
    343.   ##Zone limit;
    344.   #location / {
    345.   #limit_conn one 1; #限制每个ip只能发起一个并发连接
    346.   #limit_rate 20k; #限制每个连接的限制速度为20K，IP的下载速度为连接数*限制速度
    347.   #}
    348.   #………
    349.   #}
    350.   #重启nginx服务
    351.   #根据应用场景的需要进行并发数、速度限制
    352.   #注：
    353.   #limit_zone 这个变量只能在http中使用
    354.   #limit_coon和limit_rate变量可以在http,server,location中使用
    356. ##检查是否控制超时时间---响应客户端的超时时间
    357.   #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
    358.   #具体设置如下：
    359.   #send_timeout 10; #指定响应客户端的超时时间
    360.   #重新启动nginx服务
    361.   #需要根据应用场景的需要选择合适的参数值
    363. ##检查是否配置防盗链接设置
    364.   #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
    365.   #具体设置举例如下：
    366.   #location ~* ^.+\.(gif|jpg|png|swf|flv|rar|zip)$ {
    367.   #valid_referers none blocked www.baidu.com;
    368.   #if ($invalid_referer) {
    369.   #rewrite ^/ [img]http://www.nsfocus.com/images/default/logo.gif[/img];
    370.   ## return 403;
    371.   #}
    372.   #}
    373.   #根据应用场景，设置合适的域名
    374.   #重新启动nginx服务
    375.   #注：
    376.   #1.gif|jpg|png|swf|flv|rar|zip
    377.   #表示对gif、jpg、png、swf、flv后缀的文件实行防盗链
    378.   #2.www.baidu.com
    379.   #表示对www.baidu.com这个来路进行判断
    380.   #3.if{}里面内容的意思是，如果来路不是指定来路就跳转到错误页面，当然直接返回404也是可以的
    382. ##检查是否限制客户端的下载速度
    383.   #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
    384.   #具体设置如下：
    385.   #例如网站存放路径为/usr/local/nsfocus/ ，服务器名称为：down.nsfocus.com
    386.   #http {
    387.   #……
    388.   #limit_zone one $binary_remote_addr 10m;
    389.   ##针对每个IP定义一个存储session状态的容器，10m的容器按照32bytes/session，可以处理320000个session
    390.   #server
    391.   #{
    392.   #listen 80
    393.   #server_name down.nsfocus.com;
    394.   #index index.html index.htm index.php;
    395.   #root /usr/local/nsfocus;
    396.   ##Zone limit;
    397.   #location / {
    398.   #limit_conn one 1; #限制每个ip只能发起一个并发连接
    399.   #limit_rate 20k; #限制每个连接的限制速度为20K，IP的下载速度为连接数*限制速度
    400.   #}
    401.   #………
    402.   #}
    403.   #重启nginx服务
    404.   #根据应用场景的需要进行并发数、速度限制
    405.   #注：
    406.   #limit_zone 这个变量只能在http中使用
    407.   #limit_coon和limit_rate变量可以在http,server,location中使用