From 38c3c565af4e6905017a325cc6e4be7ad35565b6 Mon Sep 17 00:00:00 2001 From: amyMaYun Date: Sat, 21 Mar 2020 16:39:43 +0800 Subject: [PATCH] =?UTF-8?q?=E9=85=8D=E5=A5=9720.03=20LTS=E7=89=88=E6=9C=AC?= =?UTF-8?q?=E6=9B=B4=E6=96=B0=E5=AE=89=E5=85=A8=E5=8A=A0=E5=9B=BA=E6=8C=87?= =?UTF-8?q?=E5=8D=97=EF=BC=8C=E4=B8=BB=E8=A6=81=E6=98=AFSELinux=E6=B7=BB?= =?UTF-8?q?=E5=8A=A0=E5=92=8C=E5=AE=89=E5=85=A8=E5=8A=A0=E5=9B=BA=E5=B7=A5?= =?UTF-8?q?=E5=85=B7=E6=B7=BB=E5=8A=A0?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- .../SELinux\351\205\215\347\275\256.md" | 67 ++++++++++ .../SecHarden/zh-cn_bookmap_0192073180.md | 50 -------- ...345\233\272SSH\346\234\215\345\212\241.md" | 2 +- ...05\346\240\270\345\217\202\346\225\260.md" | 2 +- ...40\345\233\272\346\223\215\344\275\234.md" | 115 ++++++++++++++++++ ...40\345\233\272\346\226\271\346\241\210.md" | 4 +- ...40\345\233\272\347\224\237\346\225\210.md" | 8 ++ ...40\345\233\272\345\267\245\345\205\267.md" | 1 + ...03\351\231\220\345\220\253\344\271\211.md" | 8 +- ...77\347\224\250\346\235\203\351\231\220.md" | 14 +++ content/zh/menu/index.md | 9 ++ 11 files changed, 223 insertions(+), 57 deletions(-) create mode 100644 "content/zh/docs/SecHarden/SELinux\351\205\215\347\275\256.md" delete mode 100644 content/zh/docs/SecHarden/zh-cn_bookmap_0192073180.md create mode 100644 "content/zh/docs/SecHarden/\345\212\240\345\233\272\346\223\215\344\275\234.md" create mode 100644 "content/zh/docs/SecHarden/\345\212\240\345\233\272\347\224\237\346\225\210.md" create mode 100644 "content/zh/docs/SecHarden/\345\256\211\345\205\250\345\212\240\345\233\272\345\267\245\345\205\267.md" create mode 100644 "content/zh/docs/SecHarden/\351\231\220\345\210\266sudo\345\221\275\344\273\244\347\232\204\344\275\277\347\224\250\346\235\203\351\231\220.md" diff --git "a/content/zh/docs/SecHarden/SELinux\351\205\215\347\275\256.md" "b/content/zh/docs/SecHarden/SELinux\351\205\215\347\275\256.md" new file mode 100644 index 0000000..3c8d1fc --- /dev/null +++ "b/content/zh/docs/SecHarden/SELinux\351\205\215\347\275\256.md" @@ -0,0 +1,67 @@ +# SELinux配置 + +## 概述 + +自由访问控制DAC（Discretionary Access Control）基于用户、组和其他权限，决定一个资源是否能被访问的因素是某个资源是否拥有对应用户的权限，它不能使系统管理员创建全面和细粒度的安全策略。SELinux（Security-Enhanced Linux）是Linux内核的一个模块，也是Linux的一个安全子系统。SELinux的实现了强制访问控制MAC（Mandatory Access Control ），每个进程和系统资源都有一个特殊的安全标签，资源能否被访问除了DAC规定的原则外，还需要判断每一类进程是否拥有对某一类资源的访问权限。 + +openEuler默认使用SELinux提升系统安全性。SELinux分为三种模式： + +- permissive：SELinux仅打印告警而不强制执行。 +- enforcing：SELinux安全策略被强制执行。 +- disabled：不加载SELinux安全策略。 + +## 配置说明 + +openEuler默认开启SELinux，且默认模式为enforcing，用户可以通过修改/etc/selinux/config中配置项SELINUX的值变更SELinux模式。 + +- 关闭SELinux策略的配置如下： + + ``` + SELINUX=disabled + ``` + +- 使用permissive策略的配置如下： + + ``` + SELINUX=permissive + ``` + + +>![](public_sys-resources/icon-note.gif) **说明：** +>disabled与另两种模式切换时需重启系统生效。 +>``` +># reboot +>``` + +## SELinux相关命令 + +- 查询SELinux模式。例如下述查询的SELinux模式为Permissive： + + ``` + # getenforce + Permissive + ``` + +- 设置SELinux模式，0表示permissive模式，1表示enforcing模式，例如设置为enforcing模式的命令如下。该命令不能设置disabled模式，且系统重启后，恢复到/etc/selinux/config中设置的模式。 + + ``` + # setenforce 1 + ``` + +- 查询运行SELinux的系统状态。SELinux status表示SELinux的状态，enabled表示启用SELinux，disabled表示关闭SELinux。Current mode表示SELinux当前的安全策略。 + + ``` + # sestatus + SELinux status: enabled + SELinuxfs mount: /sys/fs/selinux + SELinux root directory: /etc/selinux + Loaded policy name: targeted + Current mode: enforcing + Mode from config file: enforcing + Policy MLS status: enabled + Policy deny_unknown status: allowed + Memory protection checking: actual (secure) + Max kernel policy version: 31 + ``` + + diff --git a/content/zh/docs/SecHarden/zh-cn_bookmap_0192073180.md b/content/zh/docs/SecHarden/zh-cn_bookmap_0192073180.md deleted file mode 100644 index 9014a51..0000000 --- a/content/zh/docs/SecHarden/zh-cn_bookmap_0192073180.md +++ /dev/null @@ -1,50 +0,0 @@ -# openEuler 1.0 安全加固指南 - -- [法律声明](法律声明.md) -- [前言](前言.md) -- [操作系统加固概述](操作系统加固概述.md) - - [加固目的](加固目的.md) - - [加固方案](加固方案.md) - - [加固影响](加固影响.md) - -- [加固指导](加固指导.md) - - [系统服务](系统服务.md) - - [加固SSH服务](加固SSH服务.md) - - - [文件权限](文件权限.md) - - [设置文件的权限和属主](设置文件的权限和属主.md) - - [删除无主文件](删除无主文件.md) - - [处理空链接文件](处理空链接文件.md) - - [设置守护进程的umask值](设置守护进程的umask值.md) - - [为全局可写目录添加粘滞位属性](为全局可写目录添加粘滞位属性.md) - - [删除非授权文件的全局可写属性](删除非授权文件的全局可写属性.md) - - [限制at命令的使用权限](限制at命令的使用权限.md) - - [限制cron命令的使用权限](限制cron命令的使用权限.md) - - - [内核参数](内核参数.md) - - [加固内核参数](加固内核参数.md) - - - [授权认证](授权认证.md) - - [设置网络远程登录的警告信息](设置网络远程登录的警告信息.md) - - [禁止通过CTRL+ALT+DEL重启系统](禁止通过CTRL+ALT+DEL重启系统.md) - - [设置终端的自动退出时间](设置终端的自动退出时间.md) - - [设置用户的默认umask值为077](设置用户的默认umask值为077.md) - - [设置GRUB2加密口令](设置GRUB2加密口令.md) - - [安全单用户模式](安全单用户模式.md) - - [禁止交互式启动](禁止交互式启动.md) - - - [账户口令](账户口令.md) - - [屏蔽系统帐户](屏蔽系统帐户.md) - - [限制使用su命令的帐户](限制使用su命令的帐户.md) - - [设置口令复杂度](设置口令复杂度.md) - - [设置口令有效期](设置口令有效期.md) - - [设置口令的加密算法](设置口令的加密算法.md) - - [登录失败超过三次后锁定](登录失败超过三次后锁定.md) - - [加固su命令](加固su命令.md) - - -- [附录](附录.md) - - [文件和目录权限含义](文件和目录权限含义.md) - - [umask值含义](umask值含义.md) - - diff --git "a/content/zh/docs/SecHarden/\345\212\240\345\233\272SSH\346\234\215\345\212\241.md" "b/content/zh/docs/SecHarden/\345\212\240\345\233\272SSH\346\234\215\345\212\241.md" index f7c3031..b08a411 100644 --- "a/content/zh/docs/SecHarden/\345\212\240\345\233\272SSH\346\234\215\345\212\241.md" +++ "b/content/zh/docs/SecHarden/\345\212\240\345\233\272SSH\346\234\215\345\212\241.md" @@ -142,7 +142,7 @@ SSH（Secure Shell）是目前较可靠，专为远程登录会话和其他网

PermitRootLogin

-

是否允许root账户直接使用SSH登录系统

+

是否允许root账户直接使用SSH登录系统

说明：

若需要直接使用root账户通过SSH登录系统，请修改/etc/ssh/sshd_config文件的PermitRootLogin字段的值为yes。

diff --git "a/content/zh/docs/SecHarden/\345\212\240\345\233\272\345\206\205\346\240\270\345\217\202\346\225\260.md" "b/content/zh/docs/SecHarden/\345\212\240\345\233\272\345\206\205\346\240\270\345\217\202\346\225\260.md" index f79030b..a7e64a8 100644 --- "a/content/zh/docs/SecHarden/\345\212\240\345\233\272\345\206\205\346\240\270\345\217\202\346\225\260.md" +++ "b/content/zh/docs/SecHarden/\345\212\240\345\233\272\345\206\205\346\240\270\345\217\202\346\225\260.md" @@ -191,7 +191,7 @@ -2. 加载sysctl.conf文件中设置的内核参数 +2. 加载sysctl.conf文件中设置的内核参数。 ``` sysctl -p /etc/sysctl.conf diff --git "a/content/zh/docs/SecHarden/\345\212\240\345\233\272\346\223\215\344\275\234.md" "b/content/zh/docs/SecHarden/\345\212\240\345\233\272\346\223\215\344\275\234.md" new file mode 100644 index 0000000..c245a86 --- /dev/null +++ "b/content/zh/docs/SecHarden/\345\212\240\345\233\272\346\223\215\344\275\234.md" @@ -0,0 +1,115 @@ +# 加固操作 + +## 概述 + +安全加固工具会根据usr-security.conf设置加固策略，使用加固工具设置加固策略需要用户修改usr-security.conf。本节介绍usr-security.conf的修改规则。用户可配置的加固项请参见[加固指导](加固指导.md)对应内容。 + +## 注意事项 + +- 修改配置后，需要重启安全加固服务使配置生效。重启方法请参见[加固生效](加固生效.md)对应内容。 +- 用户修改加固配置时，仅修改/etc/openEuler\_security/usr-security.conf文件，不建议修改/etc/openEuler\_security/security.conf。security.conf中为基本加固项，仅运行一次。 +- 当重启安全加固服务使配置生效后，在usr-security.conf中删除对应加固项并重启安全加固服务并不能清除之前的配置。 +- 安全加固操作记录在日志文件/var/log/openEuler-security.log中。 + +## 配置格式 + +usr-security.conf中的每一行代表一项配置，根据配置内容的不同有不同配置格式，这里给出各类配置的格式说明。 + +>![](public_sys-resources/icon-note.gif) **说明：** +>- 所有配置项以执行ID开头，执行ID仅为了方便用户识别配置内容，取值为正整数，由用户自行定义。 +>- 配置项的各内容之间使用@作为分隔符。 +>- 若实际配置内容中包含@，需要使用@@表示以和分隔符区分，例如实际内容为xxx@yyy，则配置为xxx@@yyy。目前不支持@位于配置内容的开头和结尾。 + +- d：注释 + + 格式：执行ID@d@对象文件@匹配项 + + 功能：将对象文件中以匹配项开头（行首可以有空格）的行注释（在行首添加\#）。 + + 示例：执行ID为401，注释/etc/sudoers文件中以%wheel开头的行。 + + ``` + 401@d@/etc/sudoers@%wheel + ``` + + +- m：替换 + + 格式：执行ID@m@对象文件@匹配项@替换目标值 + + 功能：将对象文件中以匹配项开头（行首可以有空格）的行替换为“匹配项加替换目标值 ”。若匹配行开头有空格，替换后将删除这些空格。 + + 示例：执行ID为101，将/etc/ssh/sshd\_config文件中以Protocol 开头的行替换为Protocol 2。匹配和替换时也会考虑Protocol后的空格。 + + ``` + 101@m@/etc/ssh/sshd_config@Protocol @2 + ``` + +- sm：精确修改 + + 格式：执行ID@sm@对象文件@匹配项@替换目标值 + + 功能：将对象文件中以匹配项开头（行首可以有空格）的行替换为“匹配项加替换目标值 ”。若匹配行开头有空格，替换后将保留这些空格，这是sm和m的区别。 + + 示例：执行ID为201，将/etc/audit/hzqtest文件中以size开头的行替换为size 2048。 + + ``` + 201@sm@/etc/audit/hzqtest@size @2048 + ``` + + +- M：修改子项 + + 格式：执行ID@M@对象文件@匹配项@匹配子项\[@匹配子项的值\] + + 功能：匹配对象文件中以匹配项开头（行首可以有空格）的行，并将该行中以匹配子项开始的内容替换为“匹配子项和匹配子项的值”，其中匹配子项的值可选。 + + 示例：执行ID为101，找到file文件中以key开头的行，并将这些行中以key2开始的内容替换为key2value2。 + + ``` + 101@M@file@key@key2@value2 + ``` + +- systemctl：管理服务 + + 格式：执行ID@systemctl@对象服务@具体操作 + + 功能：使用systemctl管理对象服务，具体操作可取值为start、stop、restart、disable等systemctl所有可用的命令。 + + 示例：执行ID为218，停止cups.service服务，等同于systemctl stop cups.service的配置行。 + + ``` + 218@systemctl @cups.service@stop + ``` + +- 其他命令 + + 格式：执行ID@命令@对象文件 + + 功能：执行对应命令，即执行命令行“命令 对象文件”。 + + 示例一：执行ID为402，使用rm -f命令删除文件/etc/pki/ca-trust/extracted/pem/email-ca-bundle.pem。 + + ``` + 402@rm -f @/etc/pki/ca-trust/extracted/pem/email-ca-bundle.pem + ``` + + 示例二：执行ID为215，使用touch命令创建文件/etc/cron.allow。 + + ``` + 215@touch @/etc/cron.allow + ``` + + 示例三：执行ID为214，使用chown命令将文件/etc/at.allow的属主改为root:root。 + + ``` + 214@chown root:root @/etc/at.allow + ``` + + 示例四：执行ID为214，使用chmod命令去除文件/etc/at.allow属主所在群组及其他非属主用户的rwx权限。 + + ``` + 214@chmod og-rwx @/etc/at.allow + ``` + + diff --git "a/content/zh/docs/SecHarden/\345\212\240\345\233\272\346\226\271\346\241\210.md" "b/content/zh/docs/SecHarden/\345\212\240\345\233\272\346\226\271\346\241\210.md" index c67421e..fac8853 100644 --- "a/content/zh/docs/SecHarden/\345\212\240\345\233\272\346\226\271\346\241\210.md" +++ "b/content/zh/docs/SecHarden/\345\212\240\345\233\272\346\226\271\346\241\210.md" @@ -4,7 +4,9 @@ ## 加固方式 -openEuler默认搭载系统安全加固包security-tool，在安装时生成安全加固服务。系统在首次启动时自动运行安全加固服务，执行默认的安全策略配置。用户可以根据需求定制安全加固工具或者通过修改相关配置定制加固方案，本文档介绍相关的加固方法。 +用户可以通过手动修改加固配置或执行相关命令对系统进行加固，也可以通过加固工具批量修改加固项。openEuler的安全加固工具security tool以openEuler-security.service服务的形式运行。系统首次启动时会自动运行该服务去执行默认加固策略，且自动设置后续开机不启动该服务。 + +用户可以通过修改security.conf，使用安全加固工具实现个性化安全加固的效果。 ## 加固内容 diff --git "a/content/zh/docs/SecHarden/\345\212\240\345\233\272\347\224\237\346\225\210.md" "b/content/zh/docs/SecHarden/\345\212\240\345\233\272\347\224\237\346\225\210.md" new file mode 100644 index 0000000..f27767b --- /dev/null +++ "b/content/zh/docs/SecHarden/\345\212\240\345\233\272\347\224\237\346\225\210.md" @@ -0,0 +1,8 @@ +# 加固生效 + +完成修改usr-security.conf文件后，请运行如下命令使新添加的配置生效。 + +``` +systemctl restart openEuler-security.service +``` + diff --git "a/content/zh/docs/SecHarden/\345\256\211\345\205\250\345\212\240\345\233\272\345\267\245\345\205\267.md" "b/content/zh/docs/SecHarden/\345\256\211\345\205\250\345\212\240\345\233\272\345\267\245\345\205\267.md" new file mode 100644 index 0000000..2bbdb27 --- /dev/null +++ "b/content/zh/docs/SecHarden/\345\256\211\345\205\250\345\212\240\345\233\272\345\267\245\345\205\267.md" @@ -0,0 +1 @@ +# 安全加固工具 diff --git "a/content/zh/docs/SecHarden/\346\226\207\344\273\266\345\222\214\347\233\256\345\275\225\346\235\203\351\231\220\345\220\253\344\271\211.md" "b/content/zh/docs/SecHarden/\346\226\207\344\273\266\345\222\214\347\233\256\345\275\225\346\235\203\351\231\220\345\220\253\344\271\211.md" index afdbe2b..f590cb7 100644 --- "a/content/zh/docs/SecHarden/\346\226\207\344\273\266\345\222\214\347\233\256\345\275\225\346\235\203\351\231\220\345\220\253\344\271\211.md" +++ "b/content/zh/docs/SecHarden/\346\226\207\344\273\266\345\222\214\347\233\256\345\275\225\346\235\203\351\231\220\345\220\253\344\271\211.md" @@ -1,6 +1,6 @@ # 文件和目录权限含义 -Linux系统中文件和目录权限用于限定谁能通过何种方式对文件和目录进行访问和操作。文件和目录的访问权限分为只读、只写和可执行三种。 +Linux系统中文件和目录权限用于限定谁能通过何种方式对文件和目录进行访问和操作。文件和目录的访问权限分为只读，只写和可执行三种。 有三种不同类型的用户可对文件和目录进行访问： @@ -12,7 +12,7 @@ Linux系统中文件和目录权限用于限定谁能通过何种方式对文件 假设/usr/src的权限为755，将每位数字转化为二进制后为：111101101，含义如下： -- 左侧三个bit位"111"表示文件所有者的权限依次为：可读、可写、可执行。 -- 中间三个bit位"101"表示同组用户的权限依次为：可读、不可写、可执行。 -- 右侧三个bit位"101"表示其他用户的权限依次为：可读、不可写、可执行。 +- 左侧三个bit位111表示文件所有者的权限依次为：可读、可写、可执行。 +- 中间三个bit位101表示同组用户的权限依次为：可读、不可写、可执行。 +- 右侧三个bit位101表示其他用户的权限依次为：可读、不可写、可执行。 diff --git "a/content/zh/docs/SecHarden/\351\231\220\345\210\266sudo\345\221\275\344\273\244\347\232\204\344\275\277\347\224\250\346\235\203\351\231\220.md" "b/content/zh/docs/SecHarden/\351\231\220\345\210\266sudo\345\221\275\344\273\244\347\232\204\344\275\277\347\224\250\346\235\203\351\231\220.md" new file mode 100644 index 0000000..2a7f263 --- /dev/null +++ "b/content/zh/docs/SecHarden/\351\231\220\345\210\266sudo\345\221\275\344\273\244\347\232\204\344\275\277\347\224\250\346\235\203\351\231\220.md" @@ -0,0 +1,14 @@ +# 限制sudo命令的使用权限 + +## 说明 + +sudo命令用于普通用户以root权限执行命令。为了增强系统安全性，有必要对sudo命令的使用权进行控制，只允许roo使用sudo命令，限制其他帐户使用。 + +## 实现 + +sudo命令的使用控制通过修改/etc/sudoers文件实现，需要注释掉如下配置行： + +``` +#%wheel ALL=(ALL) ALL +``` + diff --git a/content/zh/menu/index.md b/content/zh/menu/index.md index a5ccc67..e7fe851 100644 --- a/content/zh/menu/index.md +++ b/content/zh/menu/index.md @@ -215,6 +215,8 @@ headless: true - [删除非授权文件的全局可写属性]({{< relref "/docs/SecHarden/删除非授权文件的全局可写属性.md" >}}) - [限制at命令的使用权限]({{< relref "/docs/SecHarden/限制at命令的使用权限.md" >}}) - [限制cron命令的使用权限]({{< relref "/docs/SecHarden/限制cron命令的使用权限.md" >}}) + - [限制sudo命令的使用权限]({{< relref "/docs/SecHarden/限制sudo命令的使用权限.md" >}}) + - [内核参数]({{< relref "/docs/SecHarden/内核参数.md" >}}) - [加固内核参数]({{< relref "/docs/SecHarden/加固内核参数.md" >}}) - [授权认证]({{< relref "/docs/SecHarden/授权认证.md" >}}) @@ -233,6 +235,13 @@ headless: true - [设置口令的加密算法]({{< relref "/docs/SecHarden/设置口令的加密算法.md" >}}) - [登录失败超过三次后锁定]({{< relref "/docs/SecHarden/登录失败超过三次后锁定.md" >}}) - [加固su命令]({{< relref "/docs/SecHarden/加固su命令.md" >}}) + + + - [安全加固工具]({{< relref "/docs/SecHarden/安全加固工具.md" >}}) + - [加固操作]({{< relref "/docs/SecHarden/加固操作.md" >}}) + - [加固生效]({{< relref "/docs/SecHarden/加固生效.md" >}}) + + - [SELinux配置]({{< relref "/docs/SecHarden/SELinux配置.md" >}}) - [附录]({{< relref "/docs/SecHarden/附录.md" >}}) - [文件和目录权限含义]({{< relref "/docs/SecHarden/文件和目录权限含义.md" >}}) - [umask值含义]({{< relref "/docs/SecHarden/umask值含义.md" >}}) -- GitLab