来自：庄君祥 - 博客园
链接：https://www.cnblogs.com/ansn001/p/5629729.html（点击尾部阅读原文前去 ）
简介
最小（少）原则，是安全的紧张 原则。最小的权限 ，最小的用户，最少的服务，最少的进程 ，是最安全的 。
体系 安全包罗 ：文件体系 掩护 、用户管理安全、进程 的掩护 以及日记 的管理。
场景
1、确保服务最少，每个都是有效 ，而且权限最小化。
2 、确保用户最少 ，每个都是有效 ，而且权限最小化 。
3、确保文件权限最小。
4、及时 更新补丁，办理 弊端 。
5 、规范好人为的因素 。每每 这个才是最大的隐患。
办理 方案
最少服务
服务越少，弊端 越少 ，越不轻易 被攻击，越安全。服务器本身 越封闭越安全。
最小安装 。
绝不安装多余的软件，必要 什么安装什么。在安装体系 的时间 就利用 最小安装。不要图形界面 ，不要其他服务 。
取消不须要 的服务
纵然 做了最小安装，还是 有很多 大概 用不到的服务，发起 也是关闭 ，除非真的有效 。
# 查察 哪些服务在运行 /sbin/chkconfig --list |grep 3:on # 没有利用 的服务都可以思量 删除。 chkconfig ip6tables off # ipv6 chkconfig auditd off #用户空间监控程序 chkconfig autofs off #光盘软盘硬盘等主动 加载服务 ... 克制 外来ping操纵 [root@tp /]# vi /etc/rc.d/rc.local
echo 1 /proc/sys/net/ipv4/icmp_echo_ignore_all 限定 控制台的登录
特别 是关机和重启的下令 ，太伤害 了 。
rm -rf /etc/security/ console.apps/ [root@tp /]# vi /etc/securetty ... #我们解释 掉 tty1 # tty2 # tty3 # tty4 # tty5 # tty6 #只留下tty1,这时，root仅可在tty1终端登录 删除汗青 记录
防止账号被攻破后丢失更多的信息。
[root@tp /]# vim ~/.bash_logout # 在内里 添加下令 rm -rf ~/.bash_history 最小用户
利用 的用户权限越小越安全。特别 是有些软件的弊端 可以直接获取账号实行 权限 。一旦利用 root启动 ，就相称 于服务器的root直接被破解。
！千万 不要用root启动软件。
主动 注销
当我们登录到Linux服务器上操纵 完以后，应该退出当前用户，否则大概 会出现安全题目 ，特别 是root用户，一旦被盗用很大概 造成不可挽回的丧失
[root@tp /]# vim /etc/profile # 在内里 添加 export TMOUT= 300设置口令复杂度
(授权完修改暗码 会有影响吗？？？这个必要 测试)
定期修改暗码
# 一个是在/etc/login.defs文件，内里 几个选项 PASS_MAX_DAYS 90#暗码 最长逾期 天数 PASS_MIN_DAYS 80#暗码 最小逾期 天数 PASS_MIN_LEN 10#暗码 最小长度 PASS_WARN_AGE 7#暗码 逾期 告诫 天数 整理 没有效 的账号
在想是不是解释 掉，还是 直接删除
# 必要 删除的用户包罗 ： userdel lp userdel sync userdel shutdown userdel halt userdel news userdel operator userdel games userdel ftp userdel rpc userdel rpcuser userdel gopher userdel nscd # 必要 删除的组包罗 ： groupdel lp groupdel news 利用 sudo来利用 root权限 [root@tp /]# /etc/sudoers # 在 root ALL=(ALL) ALL 下面添加一行 username ALL=(ALL) ALL # 假如 不想每次都输入暗码 可以用这一行 username ALL=(ALL) NOPASSWD:ALL exit 最小文件权限
原则：原则上不给任何权限 ，只有必要 的时间 才添加权限 。能不给写和实行 的权限，果断 不能给！！拒绝777的举动 。
1、赋权限的范例 ：
2、紧张 的体系 目次 不可以修改
3、产物 代码只可以读，不可以实行 ，不可以修改
4 、必要 上传目次 ，否则特别 必要 文件读写的目次 要单独规划好。
5、通过umask设置默认天生 的文件和文件目次 的最小权限。
更新补丁
发起 做法：重装体系 ,update，然后测试业务是否正常 。不发起 写成定时去更新 ，轻易 引发软件的辩论 ，导致业务不可用。
假如 是线上的业务，可以通过集群和设置 管理的方式 ，把部分 服务器更新。但是要做好筹划 ，不能盲目更新 。
人为的因素
人才是体系 安全最大的隐患。
1、每个人一个账号。
2 、每个脚色 一个组（比如 ：运维，开辟 ） 。这个必要 进一步思考 和细化。
3、不答应 利用 root ，假如 有必要 利用 sudo。（能不能粒度到组啊？）
4、把一样平常 的运维操纵 ，做成下令 大概 别名，镌汰 人为操纵 。
验证方法
1 、文件是否被人窜改 过 。Tripwire
2、暗码 是否安全，是否轻易 被破解。John the Ripper 。固然 原则上通过防火墙来隔离更好 ，不答应 其他网段ssh。
3、体系 安全。Lynis是针对Unix/Linux的安全查抄 工具，可以发现潜伏 的安全威胁。这个工具覆盖可疑文件监测 、弊端 、恶意程序扫描、设置 错误等 。
4 、其他的场景，根据能不能操纵 来验证。
●本文编号188 ，以后想阅读这篇文章直接输入188即可。
●输入m可以获取到文章目次 。
更多保举 请看《15个技能 类公众微信》
涵盖：程序人生、算法与数据布局 、黑客技能 与网络安全、大数据技能 、前端开辟 、Java、Python 、Web开辟 、安卓开辟 、iOS开辟 、C/C++、.NET、Linux 、数据库、运维等。传播 盘算 机学习履历 、保举 盘算 机良好 资源：点击前去 《值得关注的15个技能 类微信公众号》