AIX主机操作系统加固规范V02.docx
- 文档编号:6224732
- 上传时间:2023-05-09
- 格式:DOCX
- 页数:43
- 大小:29.84KB
AIX主机操作系统加固规范V02.docx
《AIX主机操作系统加固规范V02.docx》由会员分享,可在线阅读,更多相关《AIX主机操作系统加固规范V02.docx(43页珍藏版)》请在冰点文库上搜索。
AIX主机操作系统加固规范V02
AIX主机操作系统加固规范
2018年9月
目 录
1账号管理、认证授权1
1.1账号1
1.1.1SHG-AIX-01-01-011
1.1.2SHG-AIX-01-01-022
1.1.3SHG-AIX-01-01-033
1.1.4SHG-AIX-01-01-044
1.1.5SHG-AIX-01-01-055
1.2口令6
1.2.1SHG-AIX-01-02-016
1.2.2SHG-AIX-01-02-027
1.2.3SHG-AIX-01-02-038
1.2.4SHG-AIX-01-02-048
1.2.5SHG-AIX-01-02-059
1.3授权10
1.3.1SHG-AIX-01-03-0110
1.3.2SHG-AIX-01-03-0211
1.3.3SHG-AIX-01-03-0312
1.3.4SHG-AIX-01-03-0413
1.3.5SHG-AIX-01-03-0514
2日志配置15
2.1.1SHG-AIX-02-01-0115
2.1.2SHG-AIX-02-01-0216
2.1.3SHG-AIX-02-01-0317
2.1.4SHG-AIX-02-01-0418
3通信协议19
3.1IP协议安全19
3.1.1SHG-AIX-03-01-0119
3.1.2SHG-AIX-03-01-0220
3.2路由协议安全21
3.2.1SHG-AIX-03-02-0121
4补丁管理24
4.1.1SHG-AIX-04-01-0124
5服务进程和启动25
5.1.1SHG-AIX-05-01-0125
5.1.2SHG-AIX-05-01-0227
6设备其他安全要求31
6.1登陆超时策略31
6.1.1SHG-AIX-06-01-0131
6.2系统Banner设置32
6.2.1SHG-AIX-06-02-0132
6.3内核调整33
6.3.1SHG-AIX-06-03-0133
7附录:
AIX可被利用的漏洞(截止2009-3-8)34
本文档是AIX操作系统的对于AIX系统设备账号认证、日志、协议、补丁升级、文件系统管理等方面的安全配置要求,共27项。
对系统的安全配置审计、加固操作起到指导性作用。
1账号管理、认证授权
1.1账号
1.1.1SHG-AIX-01-01-01
编号
SHG-AIX-01-01-01
名称
为不同的管理员分配不同的账号
实施目的
根据不同类型用途设置不同的帐户账号,提高系统安全。
问题影响
账号混淆,权限不明确,存在用户越权使用的可能。
系统当前状态
查看/etc/passwd中记录的系统当前用户列表
实施步骤
参考配置操作:
为用户创建账号:
#mkuserusername
#passwdusername
列出用户属性:
#lsuserusername
更改用户属性:
#chuserattribute=valueusername
回退方案
删除新增加的帐户:
#rmuserusername
判断依据
标记用户用途,定期建立用户列表,比较是否有非法用户
实施风险
高
重要等级
★★★
备注
1.1.2SHG-AIX-01-01-02
编号
SHG-AIX-01-01-02
名称
配置帐户锁定策略
实施目的
锁定不必要的帐户,提高系统安全。
问题影响
系统中存在与业务应用无关的帐户会给系统带来潜在的安全风险,容易被攻击者利用。
系统当前状态
查看/etc/passwd中记录的系统当前用户列表
实施步骤
参考配置操作:
系统管理员出示业务所需帐户列表,根据列表只保留系统与业务所需帐户。
结合实际情况锁定或删除其余帐户。
如要锁定user1用户,则采用的命令如下:
#chuseraccount_locked=trueuser1
回退方案
如对user1用户解除锁定,则采用的命令如下:
#chuseraccount_locked=falseuser1
判断依据
系统管理员出示业务所需帐户列表。
查看/etc/passwd中所记录的系统当前用户列表是否与业务应用所需帐户相对应。
除系统帐户和业务应用帐户外,其他的帐户建议根据实际情况锁定或删除。
实施风险
高
重要等级
★★★
备注
1.1.3SHG-AIX-01-01-03
编号
SHG-AIX-01-01-03
名称
限制超级管理员远程登录
实施目的
限制具备超级管理员权限的用户远程登录。
远程执行管理员权限操作,应先以普通权限用户远程登录后,再切换到超级管理员权限账。
问题影响
如允许root远程直接登陆,则系统将面临潜在的安全风险
系统当前状态
执行lsuser-arloginroot命令,查看root的rlogin属性并记录
实施步骤
参考配置操作:
查看root的rlogin属性:
#lsuser-arloginroot
禁止root远程登陆:
#chuserrlogin=falseroot
回退方案
还原root可以远程登陆,执行如下命令:
#chuserrlogin=trueroot
判断依据
执行#lsuser–arloginroot命令,查看root的rlogin属性,root是否可以远程登陆,如显示可以,则禁止。
实施风险
高
重要等级
★★★
备注
1.1.4SHG-AIX-01-01-04
编号
SHG-AIX-01-01-04
名称
对系统账号进行登录限制
实施目的
对系统账号进行登录限制,确保系统账号仅被守护进程和服务使用
问题影响
可能利用系统进程默认账号登陆,账号越权使用
系统当前状态
查看/etc/security/passwd中各账号状态并记录
实施步骤
参考配置操作:
系统管理员出示业务所需登陆主机的帐户列表,根据列表只保留系统与业务所需的登陆帐户。
结合实际情况禁止或删除其余帐户。
禁止账号交互式登录:
#chuseraccount_locked=trueusername
删除账号:
#rmuserusername
补充操作说明:
建议禁止交互登录的系统账号有:
daemon,bin,sys,adm,uucp,guest,nobody,lp,help等
回退方案
还原被禁止登陆的帐户:
#chuseraccount_locked=falseusername
注:
对删除帐户的操作无法回退
判断依据
系统管理员出示业务所需登陆主机的帐户列表。
查看/etc/security/passwd中所记录的可以登陆主机的帐户是否与业务应用所需登陆主机的帐户相对应。
除业务应用需登陆主机的帐户外,其他的帐户建议根据实际情况可以设置成禁止登陆或直接将其帐户删除。
实施风险
高
重要等级
★
备注
1.1.5SHG-AIX-01-01-05
编号
SHG-AIX-01-01-05
名称
为空口令用户设置密码
实施目的
禁止空口令用户,存在空口令是很危险的,用户不用口令认证就能进入系统。
问题影响
系统中的帐户存在被非法利用的风险
系统当前状态
查看/etc/passwd中的内容并记录
实施步骤
参考配置操作:
用root用户登陆AIX系统,执行passwd命令,给空口令的帐户增加密码。
如采用和执行如下命令:
#passwdusernamepassword
回退方案
Root身份设置用户口令,取消口令
如做了口令策略则失败
判断依据
登陆系统判断,查看/etc/passwd中的内容,从而判断系统中是否存在空口令的帐户。
如发现存在,则建议为该帐户设置密码。
实施风险
高
重要等级
★
备注
1.2口令
1.2.1SHG-AIX-01-02-01
编号
SHG-AIX-01-02-01
名称
缺省密码长度限制
实施目的
防止系统弱口令的存在,减少安全隐患。
对于采用静态口令认证技术的设备,口令长度至少6位。
且密码规则至少应采用字母(大小写穿插)加数字加标点符号(包括通配符)的方式。
问题影响
增加系统的帐户密码被暴力破解的成功率和潜在的风险
系统当前状态
运行lsuserusername命令,查看帐户属性和当前状态,并记录。
实施步骤
参考配置操作:
查看帐户帐户属性:
#lsuserusername
设置密码最短长度为8位:
#chuserminlen=8username
回退方案
根据在加固前所记录的帐户属性,修改设置到系统加固前状态。
判断依据
运行lsuseruasename命令,查看帐户属性中密码的最短长度策略是否符合8位。
如不符合,则进行设置。
实施风险
低
重要等级
★★★
备注
1.2.2SHG-AIX-01-02-02
编号
SHG-AIX-01-02-02
名称
缺省密码复杂度限制
实施目的
防止系统弱口令的存在,减少安全隐患。
对于采用静态口令认证技术的设备,包括数字、小写字母、大写字母和特殊符号4类中至少2类
问题影响
增加系统中的帐户密码被暴力破解的成功率以及潜在的安全风险
系统当前状态
运行lsuserusername命令,查看帐户属性和当前状态,并记录
实施步骤
参考配置操作:
查看帐户帐户属性:
#lsuserusername
设置口令中最少包含4个字母字符的数量:
#chuserminalpha=4username
设置口令中最少包含1个非字母数字字符数量:
#chuserminother=1username
回退方案
根据在加固前所记录的帐户属性,修改设置到系统加固前状态
判断依据
运行lsuseruasename命令,查看帐户属性中口令是否符合包含最少4个字母字符以及是否包含最少1个非字母数字字符。
如不符合,则进行设置。
实施风险
低
重要等级
★★★
备注
1.2.3SHG-AIX-01-02-03
编号
SHG-AIX-01-02-03
名称
缺省密码生存周期限制
实施目的
对于采用静态口令认证技术的设备,帐户口令的生存期不长于90天,减少口令安全隐患
问题影响
容易造成密码被非法利用,并且难以管理
系统当前状态
运行lsuserusername命令,查看帐户属性和当前状态,并记录
实施步骤
参考配置操作:
查看帐户帐户属性:
#lsuserusername
设置口令最长有效期为12周(84天):
#chusermaxage=12username
回退方案
根据在加固前所记录的帐户属性,修改设置到系统加固前状态
判断依据
运行lsuseruasename命令,查看帐户属性中口令的最长有效期是否小于90天。
如未设置或大于90天,则进行设置。
实施风险
低
重要等级
★★★
备注
1.2.4SHG-AIX-01-02-04
编号
SHG-AIX-01-02-04
名称
密码重复使用限制
实施目的
对于采用静态口令认证技术的设备,应配置设备,使用户不能重复使用最近5次(含5次)内已使用的口令
问题影响
造成系统帐户密码破解的几率增加以及存在潜在的安全风险
系统当前状态
运行lsuserusername命令,查看帐户属性和当前状态,并记录
实施步骤
参考配置操作:
查看帐户帐户属性:
#lsuserusername
设置同一口令与前面5个口令不能重复:
#chuserhistsize=5username
回退方案
根据在加固前所记录的帐户属性,修改设置到系统加固前状态。
判断依据
运行lsuseruasename命令,查看帐户属性中是否设置了同一口令与前面5个口令不能重复的策略。
如未设置或大于5个,则进行设置。
实施风险
低
重要等级
★
备注
1.2.5SHG-AIX-01-02-05
编号
SHG-AIX-01-02-05
名称
密码重试限制
实施目的
对于采用静态口令认证技术的设备,应配置当用户连续认证失败次数超过6次(不含6次),锁定该用户使用的账号。
问题影响
增加系统帐户密码被暴力破解的风险
系统当前状态
运行lsuserusername命令,查看帐户属性和当前状态,并记录
实施步骤
参考配置操作:
查看帐户帐户属性:
#lsuserusername
设置6次登陆失败后帐户锁定阀值:
#chuserloginretries=6username
回退方案
根据在加固前所记录的帐户属性,修改设置到系统加固前状态
判断依据
运行lsuseruasename命令,查看帐户属性中是否设置了6次登陆失败后帐户锁定阀值的策略。
如未设置或大于6次,则进行设置。
实施风险
中
重要等级
★
备注
1.3授权
1.3.1SHG-AIX-01-03-01
编号
SHG-AIX-01-03-01
名称
设置关键目录的权限
实施目的
在设备权限配置能力内,根据用户的业务需要,配置其所需的最小权限。
问题影响
增加系统关键目录容易被攻击者非法访问的风险
系统当前状态
查看/usr/bin、/sbin、/etc目录,并记录关键目录的权限
实施步骤
1、参考配置操作
通过chmod命令对目录的权限进行实际设置。
2、补充操作说明
文件或目录
属主
属组
权限
/etc/passwd
root
security
-rw-r--r--
/etc/group
root
security
-rw-r--r--
/etc/filesystem
root
system
-rw-rw-r--
/etc/hosts
root
system
-rw-rw-r--
/etc/inittab
root
system
-rw-------
/etc/security/faildlogin
root
system
-rw-r--r--
回退方案
通过chmod命令还原目录权限到加固前状态
判断依据
AIX系统,/usr/bin、/bin、/sbin目录为可执行文件目录,/etc目录为系统配置目录,包括帐户文件,系统配置,网络配置文件等,这些目录和文件相对重要。
确认这些配置文件的权限设置是否安全。
实施风险
高
重要等级
★★★
备注
1.3.2SHG-AIX-01-03-02
编号
SHG-AIX-01-03-02
名称
修改umask值
实施目的
控制用户缺省访问权限,当在创建新文件或目录时,屏蔽掉新文件或目录不应有的访问允许权限。
防止同属于该组的其它用户及别的组的用户修改该用户的文件或更高限制。
问题影响
增加攻击者非法访问目录的风险
系统当前状态
查看/etc/security/user文件的配置,并记录
实施步骤
1、参考配置操作
设置umask为027:
#vi/etc/security/user
在default小节,设置umask为027
回退方案
修改/etc/security/user文件到加固前状态
判断依据
查看/etc/security/user文件中的default小节是否设置umask为027
实施风险
高
重要等级
★
备注
1.3.3SHG-AIX-01-03-03
编号
SHG-AIX-01-03-03
名称
FTP用户及服务安全
实施目的
设置系统中的帐户是否可以通过ftp登陆操作
问题影响
增加攻击者利用系统帐户非法通过FTP登陆操作和非法访问目录的安全风险
系统当前状态
查看/etc/ftpusers文件,并记录
实施步骤
参考配置操作:
根据系统管理员提供允许ftp登陆操作的系统帐户列表,并与系统中当前的允许ftp登陆操作的用户相比对。
设置是否允许系统帐户通过ftp方式登陆:
#vi/etc/ftpusers
注:
默认情况下,该文件不存在。
将所有的系统用户和其他希望被禁止ftp登录的用户添加到该文件中(每行一个用户名)。
注:
在无特殊需求的情况下,以下列表中的用户名是不允许ftp登陆操作的:
root,daemon,bin,sys,adm,uucp,guest,nobody,lp,help等
回退方案
修改/etc/ftpusers文件设置到系统加固前状态
判断依据
根据系统管理员提供的允许ftp登陆操作的系统帐户,查看/etc/ftpusers文件,与其相比对,是否与系统管理员所提供的帐户列表相一致。
如果发现与列表中不对应的帐户则建议设置成禁止通过ftp登陆操作。
实施风险
高
重要等级
★
备注
1.3.4SHG-AIX-01-03-04
编号
SHG-AIX-01-03-04
名称
设置目录权限
实施目的
设置目录权限,防止非法访问目录。
问题影响
增加攻击者非法访问系统目录的安全风险
系统当前状态
查看重要文件和目录权限:
ls–l并记录。
实施步骤
1、参考配置操作
查看重要文件和目录权限:
ls–l
更改权限:
对于重要目录,建议执行如下类似操作:
例如:
#chmod-R750/etc/init.d/*
这样只有root可以读、写和执行这个目录下的脚本
回退方案
使用chmod命令还原被修改权限的目录
判断依据
查看重要文件和目录权限:
ls–l
查看重要文件和目录下的文件权限设置是否为750以下
实施风险
高
重要等级
★
备注
1.3.5SHG-AIX-01-03-05
编号
SHG-AIX-01-03-05
名称
设置ftp目录权限
实施目的
限制ftp用户登陆后在自己当前目录下活动,防止非法访问目录。
问题影响
增加系统帐户被利用后越权使用的安全风险
系统当前状态
查看/etc/vsftpd/vsftpd.conf文件并记录当前的配置
实施步骤
参考配置操作:
限制ftp用户登陆后在自己当前目录下活动:
#vi/etc/vsftpd/vsftpd.conf
local_root=锁定目录路径
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd.chroot_list
#vivsftpd.chroot_list
username(锁定用户名)
回退方案
还原/etc/vsftpd/vsftpd.conf文件配置到加固前的状态
判断依据
查看/etc/vsftpd/vsftpd.conf文件中的配置,查看是否已设置限制ftp用户登陆后在自己当前目录下活动。
如未配置则应按要求设置。
实施风险
中
重要等级
★
备注
2日志配置
2.1.1SHG-AIX-02-01-01
编号
SHG-AIX-02-01-01
名称
启用日志记录功能
实施目的
设备应配置日志功能,对用户登录进行记录,记录内容包括用户登录使用的账号,登录是否成功,登录时间,以及远程登录时,用户使用的IP地址。
问题影响
无法对用户的登陆进行日志记录,增加潜在的安全风险
系统当前状态
查看/etc/syslog.conf文件中的配置并记录
实施步骤
参考配置操作:
syslog的配置主要通过/etc/syslog.conf配置,日志信息可以记录在本地的文件当中(如/var/adm/messages)或远程的主机上(@hostname)。
startsrc-ssyslogd启动syslog服务
stopsrc-ssyslogd停止syslog服务
回退方案
修改/etc/syslog.conf文件设置到系统加固前状态
判断依据
查看系统进程中是否存在syslogd守护进程。
查看/etc/syslog.conf文件中的配置是否启动syslog服务。
如系统中不存在syslogd守护进程或在配置文件中发现syslog服务未启动,则应按要求进行配置。
实施风险
低
重要等级
★★★
备注
2.1.2SHG-AIX-02-01-02
编号
SHG-AIX-02-01-02
名称
syslog日志等级的安全配置
实施目的
syslog提供日常维护日志外,还提供系统登陆,攻击尝试等安全性的日志信息,帮助管理员进行审计和追踪。
问题影响
无法对用户的操作进行日志记录,增加潜在的安全风险
系统当前状态
查看/etc/syslog.conf文件配置并记录
实施步骤
参考配置操作:
syslog配置文件要求:
修改文件
安全设置
/etc/syslog.conf
配置文件中包含一下日志记录:
*.err/var/adm/errorlog
*.alert/var/adm/alertlog
*.cri/var/adm/critlog
auth,authpriv.info/var/adm/authlog
回退方案
修改/etc/syslog.conf文件配置到系统加固前的状态
判断依据
查看/etc/syslog.conf文件中的配置是否符合以上安全设置。
如不合符则建议应按要求进行设置。
实施风险
高
重要等级
★
备注
2.1.3SHG-AIX-02-01-03
编号
SHG-AIX-02-01-03
名称
启用记录su日志功能
实施目的
记录系统中su操作的日志
问题影响
无法记录su指令的用户切换操作,增加潜在的安全风险
系统当前状态
查看/etc/syslog.conf文件配置,并记录
实施步骤
参考配置操作:
设置/etc/syslog.conf文件,并启动su日志记录。
注:
在AIX系统中,su日志记录默认是开启的。
查看/var/adm/sulog,用户使用su命令的日志。
可根据需要保留60天中有用的内容,其余删除。
文件记录以下信息:
日期、时间、系统名称以及登录名。
/var/adm/sulog文件也记录登录尝试是否成功:
+(加号)表示登录成功,-(减号)表示登录失败。
回退方案
修改/etc/syslog.conf文件设置到系统加固前状态
判断依据
查看/etc/syslog.conf文件中是否配置了su日志记录
查看/var/adm/sulog文件,是否存在su命令使用记录
实施风险
低
重要等级
★
备注
2.1.4SHG-AIX-02-01-04
编号
SHG-AIX-02-01-04
名称
启用记录cron行为日志功能和cron/at的使用情况
实施目的
对所有的cron行为以及使用情况进行审计和查看
问题影响
无法记录和查看cron服务(计划任务),存在潜在安全风险
系统当前状态
查
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- AIX 主机 操作系统 加固 规范 V02