CentOS6.x系统安装后的基本优化与安全设置
一. 关闭SELinux功能
SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。
** SELinux有三种状态： **
enforcing - SELinux security policy is enforced.
permissive - SELinux prints warnings instead of enforcing.
disabled - No SELinux policy is loaded.
它的配置文件在：/etc/selinux/config和/etc/sysconfig/selinux，只不过/etc/sysconfig/selinux是连接到/etc/selinux/config的
[root@yangwen~]#ls-l/etc/sysconfig/selinux lrwxrwxrwx.1rootroot17Nov1716:28/etc/sysconfig/selinux../selinux/config
用sed命令修改配置文件，使其永久关闭
方法1：
[root@yangwen~]#grep"^SELINUX="/etc/selinux/configSELINUX=enforcing[root@yangwen~]#sed-i's#SELINUX=enforcing#SELINUX=disabled#g'/etc/selinux/config[root@AnSheng~]#grep"^SELINUX="/etc/selinux/configSELINUX=disabled
方法2：
[root@yangwen~]#grep"^SELINUX="/etc/selinux/configSELINUX=enforcing[root@AnSheng~]#sed-i"s#$(awk-F"[=]+"'NR==7{print$2}'/etc/selinux/config)#$(awk'NR==6{print$2}'/etc/selinux/config)#g"/etc/selinux/config[root@AnSheng~]#grep"^SELINUX="/etc/selinux/configSELINUX=disabled
查看及修改SELinux当前状态
[root@yangwen~]#getenforce Enforcing[root@yangwen~]#setenforce---命令直接回车可以看见帮助 usage:setenforce[Enforcing|Permissive|1|0][root@yangwen~]#setenforce0[root@AnSheng~]#getenforce Permissive
生产场景Linux服务器不能随便重启，若要不重启关闭selinux，首先修改selinux配置问津改为disabled，然后再用setenforce修改当前状态，这样不重启也可以关闭selinux了。
二. 精简系统开机启动项和Windows系统一样，在Linux服务器运行的过程中，也会有很多无用的软件服务默认就在运行，这些服务占用了很多系统资源，而且也带来了安全隐患，因此要关闭掉。
建议企业环境新装Linux系统之后必须自动开启的服务：
sshd 远程连接Linux服务器，，需要这个服务程序，必须开启，否则无法远程连接Linux服务器（必须开启）
rsyslog 是操作系统的一种机制，守护程序通常使用这些机制将各种信息写到各个系统日志文件（必须开启）
network 激活/关闭启动时的各个网口（必须）应考虑开启
crond 周期的运行用户调度的任务，配置更简单，有周期执行任务时，要开启
将来根据服务器的业务使用场景可以进行调整，所以调整就是增加，上面的四个服务中只能增加不能减少，关闭系统所有开机自启动服务的方法：
[root@yangwen~]#chkconfig--list|grep"3:on"|awk'{print$1}'|sed's#^#chkconfig#g'|sed's#$#off#g'|bash
[root@yangwen~]#chkconfig--list|grep3:on|awk'{print$1}'|sed-r's#(.*)#chkconfig\1off#g'|bash
方法3：
[root@yangwen~]#chkconfig--list|grep3:on|grep-vE"crond|sshd|network|rsyslog"|awk'{print$1}'|sed-r's#(.*)#chkconfig\1off#g'|bash
方法4：
[root@yangwen~]#fornamein`chkconfig--list|grep3:on|grep-vE"crond|sshd|network|rsyslog"|awk'{print$1}'`;dochkconfig$nameoff;done
方法5：
[root@yangwen~]#fornin`chkconfig--list|grep3:on|awk'{print$1}'`;dochkconfig--level3$noff;done
启动需要的服务
[root@yangwen~]#fornincrondnetworkrsyslogsshd;dochkconfig--level3$non;done
检查开机自启动的服务器
[root@yangwen~]#chkconfig--list|grep3:on crond0:off1:off2:off3:on4:off5:off6:off network0:off1:off2:off3:on4:off5:off6:off rsyslog0:off1:off2:off3:on4:off5:off6:off sshd0:off1:off2:off3:on4:off5:off6:off
三. 关闭iptables防火墙
[root@yangwen~]#/etc/init.d/iptablesstop iptables:SettingchainstopolicyACCEPT:filter[OK]iptables:Flushingfirewallrules:[OK]iptables:Unloadingmodules:[OK]
或者
[root@yangwen~]#serviceiptablesstop
关闭开机自启动
[root@yangwen~]#chkconfigiptablesoff
检查
[root@yangwen~]#/etc/init.d/iptablesstatus iptables:Firewallisnotrunning.[root@AnSheng~]#chkconfig--listiptables iptables0:off1:off2:off3:off4:off5:off6:off
四. Linux最小化原则最小化原则：既多一事不如少一事，具体为：
1) 安装Linux系统最小化，既选包最小化，yum安装软件最小化；
2) 开机自启动程序服务最小化，既无用的服务不启动（少开一扇窗）
3) 操作命令最小化原则，rm �Cf test.txt,不用rm �Crf test
4) 登陆Linux最小化，禁止root从远程终端登录，平时没有需求不用root，用普通用户登录。
5) 文件及目录的权限设置最小化。
6) 各种网络服务，系统配置参数合理，不要最大化。
五. 更改ssh服务端远程登录的配置SSHD的配置文件在/etc/ssh/目录下
ssh_config：客户端
sshd_config：服务端
[root@yangwen]#vimsshd_config
修改的内容
Port61482#更改SSH远程连接的端口PermitRootLoginno#设置是否允许root通过ssh登录，这个选项从安全角度来讲应设成"no"。PermitEmptyPasswordsno#设置是否允许用口令为空的帐号登录。UsednSno#关闭UsednS加速SSH登录GSSAPIAuthenticationno#是否允许使用基于GSSAPI的用户认证.默认值为"no".仅用于SSH-2.[root@AnShengssh]#/etc/init.d/sshdrestart Stoppingsshd:[OK]Startingsshd:[OK]
当前连接不重启不会中断，占用的连接没断开不会断开
六. 通过sudo管理权限让一个用户可以拥有原本他没有执行这个命令的权限，这个命令的权限可能是其他用户的，它可以用其他用户执行，用sudo执行的权限都是需要当前执行sudo用户的密码。
sudo 是一种程序，用于提升用户的权限，在linux中输入sodu就是调用这个程序提升权限，是一个命令解析器，sudo cd是错误的，因为cd是内置的，不是系统里面的，sudo可以运行系统带的命令，但无法用系统中一个软件中的命令
创建一个普通用户
[root@yangwen~]#useraddAnSheng
非交互式设置密码
[root@yangwen~]#echo"123456"|passwd--stdinAnSheng ChangingpasswordforuserAnSheng. passwd:allauthenticationtokensupdatedsuccessfully.#把echo的输出通过―stdin参数传输为zhanghui这个用户的密码
[root@yangwen~]#su-AnSheng[AnSheng@AnSheng~]$whoami AnSheng
小提示：
1)超级管理员用户切换到普通用户不需要密码，普通用户切换普通用户需要密码，普通用户切换超级管理员用户也需要密码
2)普通用户的权限比较小，只能做基本的信息查看，无法更改（就像臣子进皇宫，我在皇宫里面无论做什么都需要向皇上请示，只有授权了才可以访问）
3)#超级管理员 $普通用户
[root@yangwen~]#visudo#在98行下面添加以下内容AnShengalL=(ALL)ALL#如果是命令使用下面的方式：AnShengalL=(ALL)/bin/touch（多个权限用“，”分开，ALL所有权限，nopASSWD:ALL免密码）
查看设置sudo用户的权限
[root@yangwen~]#su-AnSheng[AnSheng@AnSheng~]$sudo-l WetrustyouhavereceivedtheusuallecturefromthelocalSystem Administrator.Itusuallyboilsdowntothesethreethings:#1)Respecttheprivacyofothers. #2)Thinkbeforeyoutype. #3)Withgreatpowercomesgreatresponsibility.[sudo]passwordforAnSheng:#输入密码MatchingDefaultsentriesforAnShengonthishost: requiretty,!visiblepw,always_set_home,env_reset,env_keep="COLORSdisPLAYHOSTNAMEHISTSIZEINPUTRCKDEDIRLS_COLORS",env_keep+="MAILPS1 PS2QTDIRUSERNAMELANGLC_ADDRESSLC_CTYPE",env_keep+="LC_COLLATELC_IDENTIFICATIONLC_MEASUREMENTLC_MESSAGES",env_keep+="LC_MONETARY LC_NAMELC_NUMERICLC_PAPERLC_TELEPHONE",env_keep+="LC_TIMELC_ALLLANGUAGELINGUAS_XKB_CHARSETXAUTHORITY",secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin UserAnShengmayrunthefollowingcommandsonthishost:(ALL)ALL
七. 修改系统字符集什么是字符集？
简单来说字符集就是一套文字符号及其编码，常用的字符集有GBK和UTF-8
Linux默认字符集路径：/etc/sysconfig/i18n
[root@yangwen~]#echo$LANG#查看当前语言[root@AnSheng~]#locale-a|grepzh#查看已安装语言包，如果没有中文语言包就安装中文语言包[root@AnSheng~]#LANG="zh_CN.gb18030"#修改当前字符集[root@AnSheng~]#source/etc/sysconfig/i18n#让其生效[root@AnSheng~]#vi/etc/sysconfig/i18n#修改字符集[root@AnSheng~]#source/etc/sysconfig/i18n#让其永久生效,Linux字符集和远程连接设置的字符集要对应。[root@AnSheng~]#cp/etc/sysconfig/i18n/etc/sysconfig/i18n.oldboy.ori[root@AnSheng~]#vi/etc/sysconfig/i18n[root@AnShengsysconfig]#source/etc/sysconfig/i18n[root@AnShengsysconfig]#echo$LANGzh_CN.UTF-8[root@AnShengsysconfig]#cat/etc/sysconfig/i18n#LANG="en_US.UTF-8"LANG="zh_CN.UTF-8"SYSFONT="latarcyrheb-sun16"
八. 设置Linux系统时间每五分钟同步一次[root@yangwen~]#crontab-l[root@yangwen~]#echo'*/5****/usr/sbin/ntpdatetime.nist.gov/dev/null2&1'>/var/spool/cron/root[root@yangwen~]#crontab-l*/5****/usr/sbin/ntpdatetime.nist.gov/dev/null2&1
九. 修改文件描述符文件描述符在形式上是一个非负整数。实际上，它是一个索引值，指向内核为每一个进程所维护的该进程打开文件的记录表。当程序打开一个现有文件或者创建一个新文件时，内核向进程返回一个文件描述符。
[root@yangwen~]#echo'*-nofile65535'>/etc/security/limits.conf[root@yangwen~]#ulimit-n
65535#需要退出重新登陆下
[root@yangwen~]#echo'*-nofile65535'>/etc/security/limits.conf[root@yangwen~]#ulimit-n 65535#需要退出重新登陆下
还有一种方法就是直接把ulimit -SHn 65535命令加入到/etc/rc.local，然后每次重起生效。
[root@yangwen~]#cat/etc/rc.localEOF#-Susethe`soft'resourcelimit#-Husethe`hard'resourcelimit#-nthemaximumnumberofopenfiledescriptorsulimit-HSn65535#-sthemaximumstacksizeulimit-s65535 EOF
十. 隐藏Linux版本信息显示清空/etc/issue
[root@yangwen~]#>/etc/issue[root@yangwen~]#cat/etc/issue[root@yangwen~]#cat/dev/null/etc/issue
十一. 配置国内yum源本次以阿里云的yum源为例
[root@yangwen~]#cd/etc/yum.repos.d/[root@yangwenyum.repos.d]#mkdirrepo[root@yangwenyum.repos.d]#mv*repo
mv:cannotmove`repo'toasubdirectoryofitself,`repo/repo'[root@yangwenyum.repos.d]#wget-O/etc/yum.repos.d/epel.repohttp://mirrors.aliyun.com/repo/epel-6.repo
--2015-11-2621:31:23--http://mirrors.aliyun.com/repo/epel-6.repo
Resolvingmirrors.aliyun.com...115.28.122.210,112.124.140.210
Connectingtomirrors.aliyun.com|115.28.122.210|:80...connected.
HTTPrequestsent,awaitingresponse...200OK
Length:1083(1.1K)[application/octet-stream]
Savingto:“/etc/yum.repos.d/epel.repo”
100%[==========================================================================================================]1,083--.-K/sin0s
2015-11-2621:31:23(196MB/s)-“/etc/yum.repos.d/epel.repo”saved[1083/1083][root@yangwenyum.repos.d]#wget-O/etc/yum.repos.d/CentOS-Base.repohttp://mirrors.aliyun.com/repo/Centos-6.repo
--2015-11-2621:31:29--http://mirrors.aliyun.com/repo/Centos-6.repo
Resolvingmirrors.aliyun.com...115.28.122.210,awaitingresponse...200OK
Length:2572(2.5K)[application/octet-stream]
Savingto:“/etc/yum.repos.d/CentOS-Base.repo”
100%[==========================================================================================================]2,572--.-K/sin0s
2015-11-2621:31:30(489MB/s)-“/etc/yum.repos.d/CentOS-Base.repo”saved[2572/2572][root@yangwenyum.repos.d]#yumcleanall#清楚缓存Loadedplugins:fastestmirror,security
Cleaningrepos:baseepelextrasupdates
CleaningupEverything
Cleaninguplistoffastestmirrors[root@AnShengyum.repos.d]#yummakecache#重新生成缓存
[root@yangwen~]#cd/etc/yum.repos.d/[root@yangwenyum.repos.d]#mkdirrepo[root@yangwenyum.repos.d]#mv*repo mv:cannotmove`repo'toasubdirectoryofitself,`repo/repo'[root@yangwenyum.repos.d]#wget-O/etc/yum.repos.d/epel.repohttp://mirrors.aliyun.com/repo/epel-6.repo --2015-11-2621:31:23--http://mirrors.aliyun.com/repo/epel-6.repo Resolvingmirrors.aliyun.com...115.28.122.210,112.124.140.210 Connectingtomirrors.aliyun.com|115.28.122.210|:80...connected. HTTPrequestsent,awaitingresponse...200OK Length:1083(1.1K)[application/octet-stream] Savingto:“/etc/yum.repos.d/epel.repo” 100%[==========================================================================================================]1,083--.-K/sin0s 2015-11-2621:31:23(196MB/s)-“/etc/yum.repos.d/epel.repo”saved[1083/1083][root@yangwenyum.repos.d]#wget-O/etc/yum.repos.d/CentOS-Base.repohttp://mirrors.aliyun.com/repo/Centos-6.repo --2015-11-2621:31:29--http://mirrors.aliyun.com/repo/Centos-6.repo Resolvingmirrors.aliyun.com...115.28.122.210,awaitingresponse...200OK Length:2572(2.5K)[application/octet-stream] Savingto:“/etc/yum.repos.d/CentOS-Base.repo” 100%[==========================================================================================================]2,572--.-K/sin0s 2015-11-2621:31:30(489MB/s)-“/etc/yum.repos.d/CentOS-Base.repo”saved[2572/2572][root@yangwenyum.repos.d]#yumcleanall#清楚缓存Loadedplugins:fastestmirror,security Cleaningrepos:baseepelextrasupdates CleaningupEverything Cleaninguplistoffastestmirrors[root@AnShengyum.repos.d]#yummakecache#重新生成缓存