AIX安全加固操作手册.doc

AIX安全加固操作手册作为宽带智能网中的Appserver，在完成AIX操作系统上智能网系统的安装和配置以后（除系统加固之外的所有安装和配置，包括双机），需要立即进行系统加固，以防止非法入侵，系统加固的具体步骤如下：系统推荐补丁升级加固检查是否打上了AIX操作系统要求补丁（433要求10以上；5.1要求5以上；5.2要求使用IBM最新发布的补丁）检查补丁版本命令：oslevel–r或instfix–i|grepML(看返回结果中OS版本后带的小版本号)如果未安装补丁，使用如下方式安装补丁将补丁盘放入光驱、以root执行：mount/cdrom执行：smittyupdate_all（选择/dev/cd0为安装介质）注意选择安装选项中：COMMITsoftwareupdates?noSAVEreplacedfiles?yes安装结束后使用以上方式检查是否已经安装成功，并使用：shutdown–Fr重起系统AIX系统配置安全加固编辑/etc/inetd.conf文件，关闭所有服务。将inetd.conf文件中的内容清空>/etc/inetd.confrefresh–sinetd编辑/etc/rc.tcpip文件，关闭除以下服务外的所有服务：portmapsysloginetdsendmailsnmpd如关闭dpid2，则只要注销以下行：(前面加#号即可)#start/usr/sbin/dpid2"$src_running"再使用：stopsrc–sXXX来停止这些已经启动的服务/etc/inittab中关闭用:注释服务，不是‘#’piobePrinterIOBackEndqdaemonPrinterQueueingDaemonwritesrvwriteserverhttpdlitedocsearchWebServerimnssdocsearchimnssDaemonimqssdocsearchimqssdaemon删除一些无用的用户rmuser-puucp;rmuser-pnuucp手工编辑/etc/security/user控制用户登录限制、缺省文件创建权限限制default默认设置不允许su\login\rlogin，将三项设置依次设置为false即可，其余缺省；缺省umask设置为027；设置各用户设置密码的最小长度为8；放开root、(sybase或oracle)、zxin10用户的su权限；放开(sybase或oracle)、zxin10用户的rlogin权限；设置root的umask为077default:login=falsesu=falserlogin=falseumask=027minlen=8...root:su=trueumask=077...zxin10:su=truerlogin=true...oracle:su=truerlogin=true＃pwdck-yALL修复同步口令文件更改login默认策略（/etc/security/login.cfg）default:logindelay=2logindisable=3logininterval=60（logininterval秒内产生logindisable次无效登录，即锁定port）loginreenable=5（loginreenable分钟后解除锁定）编辑/etc/profile，添加下列行：TMOUT=3600TIMEOUT=3600exportTMOUTTIMEOUT加固系统TCP/IP配置编辑rc.net文件，添加：/usr/sbin/no-oclean_partial_conns=1/usr/sbin/no-oarpt_killc=20/usr/sbin/no-oicmpaddressmask=0/usr/sbin/no-odirected_broadcast=0/usr/sbin/no-oipsrcroutesend=0/usr/sbin/no-oipsrcrouteforward=0/usr/sbin/no-oip6srcrouteforward=0/usr/sbin/no-oipignoreredirects=1/usr/sbin/no-oipsendredirects=0使用以下方法使尝试登录失败记录有效修改/etc/syslog.conf文件增加日志审计内容:*.