做百科发那些网站新闻好,平面设计网站有哪些,网站正能量免费软件,电脑网页设计代码模板该脚本主要是针对 CentOS Linux 7 合规基线加固的一些配置操作#xff0c;包括创建用户、安全审计配置、入侵防范配置、访问控制配置、身份鉴别策略配置等。如果您需要在脚本中添加公司网址#xff0c;您可以在适当的位置添加相应的内容。不过请注意#xff0c;在实际生产环…该脚本主要是针对 CentOS Linux 7 合规基线加固的一些配置操作包括创建用户、安全审计配置、入侵防范配置、访问控制配置、身份鉴别策略配置等。如果您需要在脚本中添加公司网址您可以在适当的位置添加相应的内容。不过请注意在实际生产环境中建议谨慎进行脚本修改和执行以免造成意外的影响。   #!/bin/bash # CentOS Linux 7基线标准系统-等保三级-CentOS Linux 7合规基线加固 [ -f /etc/init.d/functions ] . /etc/init.d/functions #定义脚本执行时间日志 bash_run(){ mkdir /etc/funi_bash -p echo date %Y-%m-%d %H:%M:%S /etc/funi_bash/safe_date.log } bash_run #判断是否执行加固脚本 check_bash(){ if [ -e /etc/funi_bash/safe_date.log ]; then messagecat /etc/funi_bash/safe_date.log echo 该服务器已于$message执行加固脚本请确认是否继续执行 elsecreateuser dengbao_bash fi} #运维管理员GGB #安全管理员GGB #审计管理员GGB#新建管理员funi用户 createuser(){ useradd funi if [ -z $1 ]; then echo 未传入密码使用默认密码创建用户funi成功 echo Funi_2021rjy | passwd --stdin funi echo funi ALL(ALL) ALL /etc/sudoers else echo 使用自定义密码创建用户funi成功 echo $1 | passwd --stdin funi echo funi ALL(ALL) ALL /etc/sudoers fi } createuser#新建安全审计safeuser用户 createsafeuser(){ useradd safeuser if [ -z $2 ]; then echo 未传入密码使用默认密码创建用户funi成功 echo Funi_2021rjy | passwd --stdin funi echo funi ALL(ALL) ALL /etc/sudoers else echo 使用自定义密码创建用户funi成功 echo $1 | passwd --stdin funi echo funi ALL(ALL) ALL /etc/sudoers fi } createsafeuser#新建安全审计audituser用户 createaudituser(){ useradd audituser if [ -z $3 ]; then echo 未传入密码使用默认密码创建用户funi成功 echo Funi_2021rjy | passwd --stdin funi echo audituser ALL(ALL) ALL /etc/sudoers else echo 使用自定义密码创建用户funi成功 echo $1 | passwd --stdin funi echo audituser ALL(ALL) ALL /etc/sudoers fi } createaudituser#1 # 修改密码最大有效期为180天 passwdtime(){ echo #01修改密码最大有效期为180天 cp /etc/login.defs /etc/login.defs-${time} sed -i.bak s/^\(PASS_MAX_DAYS\).*/\1 180/ /etc/login.defs if [ $? 0 ] then action sed -i.bak s/^\(PASS_MAX_DAYS\).*/\1 180/ /etc/login.defs /bin/true else action sed -i.bak s/^\(PASS_MAX_DAYS\).*/\1 180/ /etc/login.defs /bin/false fi chage --maxdays 180 root if [ $? 0 ] then action chage --maxdays 180 root /bin/true else action chage --maxdays 180 root /bin/false fi } passwdtime#2 # 修改密码必须包含四种字符 mimaguifan(){ echo #02修改密码必须包含四种字符 sed -i s/# minclass 0/minclass 3/g /etc/security/pwquality.conf if [ $? 0 ] then action sed -i s/# minclass 0/minclass 3/g /etc/security/pwquality.conf /bin/true else action sed -i s/# minclass 0/minclass 3/g /etc/security/pwquality.conf /bin/false fi } mimaguifan#3 # 修改两次修改密码的最小间隔时间为7天 passwdjiange(){ echo #03修改两次修改密码的最小间隔时间为7天 sed -i.bak s/^\(PASS_MIN_DAYS\).*/\1 7/ /etc/login.defs if [ $? 0 ] then action sed -i.bak s/^\(PASS_MIN_DAYS\).*/\1 7/ /etc/login.defs /bin/true else action sed -i.bak s/^\(PASS_MIN_DAYS\).*/\1 7/ /etc/login.defs /bin/false fi chage --mindays 7 root if [ $? 0 ] then action chage --mindays 7 root /bin/true else action chage --mindays 7 root /bin/false fi } passwdjiange#4 # 修改密码必须包含四种字符 passwdnandu(){ echo #04修改密码必须包含四种字符 cp /etc/security/pwquality.conf /etc/security/pwquality.conf-${time} sed -i s/# minclass 0/minclass 3/g /etc/security/pwquality.conf if [ $? 0 ] then action sed -i s/# minclass 0/minclass 3/g /etc/security/pwquality.conf /bin/true else action sed -i s/# minclass 0/minclass 3/g /etc/security/pwquality.conf /bin/false fi } passwdnandu#5,6,7,8 # 修改密码最短为9位 mimaweishu(){ echo #05,06,07,08修改密码最短为9位 sed -i s/# minlen 9/minlen 9/g /etc/security/pwquality.conf if [ $? 0 ] then action sed -i s/# minlen 9/minlen 9/g /etc/security/pwquality.conf /bin/true else action sed -i s/# minlen 9/minlen 9/g /etc/security/pwquality.conf /bin/false fi } mimaweishu#9 # 密码设置及登陆控制文件/etc/pam.d/password-auth 禁止使用最近用过的5个密码 remember5 password_auth(){ echo #09密码设置及登陆控制文件/etc/pam.d/password-auth,禁止使用最近用过的5个密码 cp /etc/pam.d/password-auth /etc/pam.d/password-auth-${time} sed -i s/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember5/g /etc/pam.d/password-auth if [ $? 0 ] then action sed -i s/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember5/g /etc/pam.d/password-auth /bin/true else action sed -i s/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember5/g /etc/pam.d/password-auth /bin/false fi } password_auth# 密码设置及登陆控制文件/etc/pam.d/system-auth 禁止使用最近用过的5个密码 remember5 system_auth(){ echo #密码设置及登陆控制文件/etc/pam.d/system-auth 禁止使用最近用过的5个密码 remember5 cp /etc/pam.d/system-auth /etc/pam.d/system-auth-${time} sed -i s/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember5/g /etc/pam.d/system-auth if [ $? 0 ] then action sed -i s/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember5/g /etc/pam.d/system-auth /bin/true else action sed -i s/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok/password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember5/g /etc/pam.d/system-auth /bin/false fi } system_auth#10 #密码过期时间告警 logindefs(){ echo #10密码过期时间告警 cp /etc/login.defs /etc/login.defs-${time} echo PASS_WARN_AGE 30 /etc/login.defs if [ $? 0 ] then action echo PASS_WARN_AGE 30 /etc/login.defs /bin/true else action echo PASS_WARN_AGE 30 /etc/login.defs /bin/false fi } logindefs# ssh服务端每900秒向客户端发送一次消息,以保持长连接 sshchanglianjie(){ echo #ssh服务端每900秒向客户端发送一次消息,以保持长连接 cp /etc/ssh/sshd_config /etc/ssh/sshd_config-${time} sed -i s/#ClientAliveInterval 0/ClientAliveInterval 900/g /etc/ssh/sshd_config if [ $? 0 ] then action sed -i s/#ClientAliveInterval 0/ClientAliveInterval 900/g /etc/ssh/sshd_config /bin/true else action sed -i s/#ClientAliveInterval 0/ClientAliveInterval 900/g /etc/ssh/sshd_config /bin/false fi } sshchanglianjie# 客户端3次超时即断开客户端 sshdunakai(){ echo #客户端3次超时即断开客户端 sed -i s/#ClientAliveCountMax 3/ClientAliveCountMax 3/g /etc/ssh/sshd_config if [ $? 0 ] then action sed -i s/#ClientAliveCountMax 3/ClientAliveCountMax 3/g /etc/ssh/sshd_config /bin/true else action sed -i s/#ClientAliveCountMax 3/ClientAliveCountMax 3/g /etc/ssh/sshd_config /bin/false fi } sshdunakai#11 #检查是否存在空口令用户账号如果有则锁定用户 kongkoulin(){ echo #11检查是否存在空口令用户账号如果有则锁定用户 if [ awk -F: NRFNR $3 1000 $3 65534 {users[$1]}; NR!FNR ($2 || $2 !!) ($1 in users) {print $1} /etc/passwd /etc/shadow | wc -l ! 0 ]; thenfor i in awk -F: NRFNR $3 1000 $3 65534 {users[$1]}; NR!FNR ($2 || $2 !!) ($1 in users) {print $1} /etc/passwd /etc/shadow;dousermod -L $iaction 当前${i}用户没有密码已锁定,如需要使用执行 usermod -U username 解锁 /bin/falseecho 当前${i}用户没有密码已锁定 /etc/funi_bash/safe_date.logdone elseaction 当前无空口令用户 /bin/true fi } kongkoulin#12 # 用户重新尝试输入密码的次数设为4 sshcghangsi(){ echo #12用户重新尝试输入密码的次数设为4 sed -i s/#MaxAuthTries 6/MaxAuthTries 4/g /etc/ssh/sshd_config if [ $? 0 ] then action sed -i s/#MaxAuthTries 6/MaxAuthTries 4/g /etc/ssh/sshd_config /bin/true else action sed -i s/#MaxAuthTries 6/MaxAuthTries 4/g /etc/ssh/sshd_config /bin/false fi echo Protocol 2 /etc/ssh/sshd_config if [ $? 0 ] then action echo Protocol 2 /etc/ssh/sshd_config /bin/true else action echo Protocol 2 /etc/ssh/sshd_config /bin/false fi } sshcghangsi# 13 SSH 日志级别设置为INFO,记录登录和注销活动 sshlog(){ echo #13 SSH 日志级别设置为INFO,记录登录和注销活动 sed -i s/#LogLevel INFO/LogLevel INFO/g /etc/ssh/sshd_config if [ $? 0 ] then action sed -i s/#LogLevel INFO/LogLevel INFO/g /etc/ssh/sshd_config /bin/true else action sed -i s/#LogLevel INFO/LogLevel INFO/g /etc/ssh/sshd_config /bin/false fi service sshd restart if [ $? 0 ] then action service sshd restart /bin/true else action service sshd restart /bin/false fised -i /# User/a\auth required pam_tally2.so onerrfail audit silent deny5 unlock_time900 /etc/pam.d/password-auth if [ $? 0 ] then action sed -i /# User/a\auth required pam_tally2.so onerrfail audit silent deny5 unlock_time900 /etc/pam.d/password-auth /bin/true else action sed -i /# User/a\auth required pam_tally2.so onerrfail audit silent deny5 unlock_time900 /etc/pam.d/password-auth /bin/false fised -i /# User/a\auth required pam_tally2.so onerrfail audit silent deny5 unlock_time900 /etc/pam.d/system-auth if [ $? 0 ] then action sed -i /# User/a\auth required pam_tally2.so onerrfail audit silent deny5 unlock_time900 /etc/pam.d/system-auth /bin/true else action sed -i /# User/a\auth required pam_tally2.so onerrfail audit silent deny5 unlock_time900 /etc/pam.d/system-auth /bin/false fi echo TMOUT900 /etc/profile if [ $? 0 ] then action echo TMOUT900 /etc/profile /bin/true else action echo TMOUT900 /etc/profile /bin/false fi } sshlog#22 # 禁止root登录 PermitRootLogin(){ echo #22禁止root登录 sed -i s/PermitRootLogin no/PermitRootLogin yes/g /etc/ssh/sshd_config if [ $? 0 ] then action sed -i s/PermitRootLogin no/PermitRootLogin yes/g /etc/ssh/sshd_config /bin/true else action sed -i s/PermitRootLogin no/PermitRootLogin yes/g /etc/ssh/sshd_config /bin/false fi service sshd restart if [ $? 0 ] then action service sshd restart /bin/true else action service sshd restart /bin/false fi } PermitRootLogin#24 #检查使用IP协议远程维护的设备是否配置SSH协议禁用telnet协议 telnet(){ echo 24检查使用IP协议远程维护的设备是否配置SSH协议禁用telnet协议 rpm -qa |grep telnet* if [ $? 0 ]; thenecho disable yes /etc/xinetd.d/telnetservice xinetd restartaction 禁用telnet协议 /bin/true elseaction 禁用telnet协议 /bin/false fi} telnet#25 #禁止匿名VSFTP用户登录 vsftpuser(){ echo 25禁止匿名VSFTP用户登录 if [ -f /etc/vsftpd.conf ] || [ -f /etc/vsftpd/vsftpd.conf ]; thenecho anonymous_enableNO /etc/vsftpd.conf 2/dev/null || echo anonymous_enableNO /etc/vsftpd/vsftpd.confaction 禁止匿名VSFTP用户登录 /bin/true fi }#26 #删除ftp用户 delftp(){ echo 26 删除ftp用户 userdel -f ftp if [ $? 0 ] thenaction userdel -f ftp /bin/true elseaction userdel -f ftp /bin/false fi } delftp#29 #检查配置文件/etc/snmp/snmpd.conf是否存在。 snmpd_file(){ echo #29检查配置文件/etc/snmp/snmpd.conf是否存在。 if [ -f /etc/snmp/snmpd.conf ]; then action 文件/etc/snmp/snmpd.conf存在 /bin/true elsemkdir -p /etc/snmp touch /etc/snmp/snmpd.conf action 创建/etc/snmp/snmpd.conf成功 /bin/true fi } snmpd_file#33,34 #禁止系统账号进行交互式登录 userdenlu(){ echo 33,34禁止系统账号进行交互式登录 for i in echo bin sys nuucp adm lp mail uucp operator games gopher ftp nobody nobody4 noaccess listen webservd rpm dbus avahi mailnull smmsp nscd vcsa rpc rpcuser nfs sshd pcap ntp haldaemon distcache apache webalizer squid xfs gdm sabayon named;dopasswd -l $i /dev/nullaction ${i}用户已锁定 /bin/true done } userdenlu#37 #检查是否使用PAM认证模块禁止wheel组之外的用户su为root sufile(){ echo #37检查是否使用PAM认证模块禁止wheel组之外的用户su为root if [ -f /etc/pam.d/su ] thensed -i 2i\auth sufficient pam_rootok.so /etc/pam.d/sused -i 2i\auth required pam_wheel.so groupwheel /etc/pam.d/suaction /etc/pam.d/su文件 /bin/true elseaction /etc/pam.d/su文件 /bin/false fi }#38 #禁止root登录VSFTP rootvsftp(){ echo #38禁止匿名VSFTP用户登录 if [ -f /etc/ftpusers ] || [ -f /etc/vsftpd/ftpusers ] thenecho root /etc/ftpusers || echo root /etc/vsftpd/ftpusersaction #禁止root登录VSFTP /bin/true elseaction #禁止root登录VSFTP /bin/false fi } rootvsftp#39 #禁止root登录WU-FTP rootwuftp(){ echo #39禁止root登录WU-FTP if [ -f /etc/ftpusers ] then echo root /etc/ftpusersaction 禁止root登录WU-FTP /bin/true elseaction 禁止root登录WU-FTP /bin/false fi } rootwuftp#40检查重要文件是否存在suid和sgid权限 suidfile(){ echo #40检查重要文件是否存在suid和sgid权限 find /usr/bin/chage /usr/bin/gpasswd /usr/bin/wall /usr/bin/chfn /usr/bin/chsh /usr/bin/newgrp /usr/bin/write /usr/sbin/usernetctl /usr/sbin/traceroute /bin/mount /bin/umount /bin/ping /sbin/netreport -type f -perm 6000 2/dev/nul if [ $? 0 ] then for i in echo /usr/bin/chage /usr/bin/gpasswd /usr/bin/wall /usr/bin/chfn /usr/bin/chsh /usr/bin/newgrp /usr/bin/write /usr/sbin/usernetctl /usr/sbin/traceroute /bin/mount /bin/umount /bin/ping /sbin/netreport do chmod a-s $idoneaction #40检查重要文件是否存在suid和sgid权限 /bin/true elseaction #40检查重要文件是否存在suid和sgid权限 /bin/false fi } suidfile#41检查是否存在除root之外UID为0的用户 root_uid(){ echo #41检查是否存在除root之外UID为0的用户 if [ awk -F: $3 0 $1 ! root{print $1} /etc/passwd | wc -l 1 ] thenaction 当前UID为零的用户有echo awk -F: $3 0 $1 ! root{print $1} /etc/passwd /bin/true elseaction #41不存在除root之外UID为0的用户 /bin/true fi } root_uid#42检查是否限制FTP用户登录后能访问的目录 ftp_file(){ echo #42检查是否限制FTP用户登录后能访问的目录 if [ -f /etc/vsftpd.conf ] thenecho chroot_local_userYES /etc/vsftpd.conf /etc/init.d/vsftpd restart action 修改/etc/vsftpd.conf /bin/true elseaction 修改/etc/vsftpd.conf /bin/false fi if [ -f /etc/pure-ftpd/pure-ftpd.conf ] thenecho ChrootEveryone yes AllowUserFXP no AllowAnonymousFXP no /etc/pure-ftpd/pure-ftpd.conf /etc/init.d/pure-ftpd restartaction 修改/etc/pure-ftpd/pure-ftpd.conf /bin/true elseaction 修改/etc/pure-ftpd/pure-ftpd.conf /bin/false fi} ftp_file#44检查/usr/bin/目录下的可执行文件的拥有者属性当可执行文件设置s属性时执行时可以获取其拥有者的权限。 binfile_s(){ if [ -d /usr/bin/ ] thenecho 含有“s”属性的文件如下可使用 chmod a-s filename 取消权限find /usr/bin -type f \( -perm -04000 -o -perm -02000 \) -exec ls -lg {} \; elseaction /usr/bin/目录下的可执行文件已无含s权限 /bin/true fi } binfile_s#45/etc/rc2.d文件权限是否符合规范 file_rc2(){ echo #45/etc/rc2.d文件权限是否符合规范 if [ -e /etc/rc2.d ] then chmod 750 /etc/rc2.d/action /etc/rc2.d文件权限符合规范 /bin/true elseaction /etc/rc2.d文件不存在 /bin/false fi } file_rc2#46/etc/rc4.d文件权限是否符合规范 file_rc4(){ echo #46/etc/rc4.d文件权限是否符合规范 if [ -e /etc/rc4.d ] then chmod 750 /etc/rc4.d/action #45/etc/rc4.d文件权限符合规范 /bin/true elseaction /etc/rc4.d文件不存在 /bin/false fi } file_rc4#47/etc/passwd文件权限是否符合规范 passwd_file(){ echo #47/etc/passwd文件权限是否符合规范 if [ -e /etc/passwd ] then chmod 750 /etc/passwdaction /etc/passwd文件权限符合规范 /bin/true elseaction /etc/passwd文件不存在 /bin/false fi } passwd_file#48检查系统引导器配置文件权限 chmod_file(){ echo #48检查系统引导器配置文件权限 for i in echo /etc/grub.conf boot/grub/grub.conf /etc/lilo.conf /etc/grub2.cfg /boot/grub2/grub.cfg doif [ -e $i ];thenchmod 600 $i action ${i}文件已修改600权限 /bin/truefi done } chmod_file#49/etc/xinetd.conf文件权限是否符合规范 xinetd_file(){ echo #49/etc/xinetd.conf文件权限是否符合规范 if [ -e /etc/xinetd.conf ] then chmod 750 /etc/passwdaction /etc/xinetd.conf文件权限符合规范 /bin/true elseaction /etc/xinetd.conf文件不存在 /bin/false fi } xinetd_file#50/etc/group文件权限是否符合规范 group_file(){ echo #50/etc/group文件权限是否符合规范 if [ -e /etc/group ] then chmod 644 /etc/groupaction /etc/group文件权限符合规范 /bin/true elseaction /etc/group文件不存在 /bin/false fi } group_file#51/tmp文件权限是否符合规范 tmp_file(){ echo #51/tmp文件权限是否符合规范 if [ -e /tmp ] then chmod 750 /tmpaction /tmp文件权限符合规范 /bin/true elseaction /tmp文件不存在 /bin/false fi } tmp_file#52/etc/shadow文件权限是否符合规范 shadow_file(){ echo #52/etc/shadow文件权限是否符合规范 if [ -e /etc/shadow ] then chmod 750 /etc/shadowaction /etc/shadow文件权限符合规范 /bin/true elseaction /etc/shadow文件不存在 /bin/false fi } shadow_file#53/etc/rc.d/init.d/文件权限是否符合规范 rc_d_file(){ echo #53/etc/rc.d/init.d/文件权限是否符合规范 if [ -e /etc/rc.d/init.d/ ] then chmod 750 /etc/rc.d/init.d/action /etc/rc.d/init.d/ 文件权限符合规范 /bin/true elseaction /etc/rc.d/init.d/ 文件不存在 /bin/false fi } rc_d_file#54/etc/rc0.d文件权限是否符合规范 rc_file(){ echo #54/etc/rc0.d文件权限是否符合规范 if [ -e /etc/rc0.d ] then chmod 750 /etc/rc0.daction /etc/rc0.d 文件权限符合规范 /bin/true elseaction /etc/rc0.d文件不存在 /bin/false fi } rc_file#55/etc/services文件权限是否符合规范 services_file(){ echo #55/etc/services文件权限是否符合规范 if [ -e /etc/services ] then chmod 644 /etc/servicesaction /etc/services 文件权限符合规范 /bin/true elseaction /etc/services 文件不存在 /bin/false fi } services_file#56/etc/rc3.d文件权限是否符合规范 rc3_file(){ echo #56/etc/rc3.d文件权限是否符合规范 if [ -e /etc/rc3.d ] then chmod 750 /etc/rc3.daction /etc/rc3.d 文件权限符合规范 /bin/true elseaction /etc/rc3.d 文件不存在 /bin/false fi } rc3_file#57/etc/rc6.d文件权限是否符合规范 rc6_file(){ echo #57/etc/rc6.d文件权限是否符合规范 if [ -e /etc/rc6.d ] then chmod 750 /etc/rc6.daction /etc/rc6.d 文件权限符合规范 /bin/true elseaction /etc/rc6.d 文件不存在 /bin/false fi } rc6_file#58/etc/rc5.d文件权限是否符合规范 rc5_file(){ echo #58/etc/rc5.d文件权限是否符合规范 if [ -e /etc/rc5.d ] then chmod 750 /etc/rc5.daction /etc/rc5.d 文件权限符合规范 /bin/true elseaction /etc/rc5.d 文件不存在 /bin/false fi } rc5_file#59/etc/rc1.d/文件权限是否符合规范 rc1_file(){ echo #59/etc/rc1.d/文件权限是否符合规范 if [ -e /etc/rc1.d ] then chmod 750 /etc/rc1.daction /etc/rc1.d 文件权限符合规范 /bin/true elseaction /etc/rc1.d 文件不存在 /bin/false fi } rc1_file#60/etc/security目录权限是否符合规范 security_file(){ echo #60/etc/security目录权限是否符合规范 if [ -e /etc/security ] then chmod 600 /etc/securityaction /etc/security 文件权限符合规范 /bin/true elseaction /etc/security 文件不存在 /bin/false fi } security_file#61626364检查文件属性 file_shadow(){ echo #61626364检查文件属性 for i in echo /etc/shadow /etc/group /etc/passwd /etc/gshadow doif [ -e $i ]thenchattr i $iaction ${i}文件属性已不可修改 /bin/trueelseaction ${i}文件不存在 /bin/falsefi done} file_shadow#65检查用户目录缺省访问权限设置 login_file(){ echo #65检查用户目录缺省访问权限设置 if [ -e /etc/login.defs ] thensed -i s/^UMASK.*/UMASK 027/g /etc/login.defsaction sed -i s/^UMASK.*/UMASK 027/g /etc/login.defs /bin/true elseaction /etc/login.defs文件不存 /bin/false fi }#66~73检查日志文件是否非全局可写 log_file(){ echo #66~73检查日志文件是否非全局可写 for i in echo /var/log/maillog /var/log/mail /var/log/secure /var/log/messages /var/log/localmessages /var/log/spooler /var/log/boot.log /var/log/cron doif [ -e $i ];thenchmod 775 $iaction ${i}文件权限已修改 /bin/trueelseaction ${i}文件不存在 /bin/falsefi done } log_file#74,75检查是否配置用户所需最小权限 file_chmod(){ echo #66~73检查日志文件是否非全局可写 for i in echo /etc/passwd /etc/group doif [ -e $i ];thenchmod 775 $iaction ${i}文件权限已修改 /bin/trueelseaction ${i}文件不存在 /bin/falsefi done } file_chmod#78限制FTP用户登录后上传文件的属性 FTP_file(){ echo #78限制FTP用户登录后上传文件的属性 if [ -e /etc/vsftpd.conf ];then # 检查文件是否存在并且未注释if ! grep -q ^write_enableYES /etc/vsftpd.conf; thenecho write_enableYES /etc/vsftpd.conffiif ! grep -q ^ls_recurse_enableYES /etc/vsftpd.conf; thenecho ls_recurse_enableYES /etc/vsftpd.conffiif ! grep -q ^local_umask022 /etc/vsftpd.conf; thenecho local_umask022 /etc/vsftpd.conffiif ! grep -q ^anon_umask022 /etc/vsftpd.conf; thenecho anon_umask022 /etc/vsftpd.conffi/etc/init.d/vsftpd restart# 检查文件是否存在并且未注释if ! grep -q ^Umask 177:077 /etc/pure-ftpd/pure-ftpd.conf; thenecho Umask 177:077 /etc/pure-ftpd/pure-ftpd.conffi# 重启ftp服务/etc/init.d/pure-ftpd restartaction 限制FTP用户登录后上传文件的属性设置已完成 /bin/true elseaction /etc/vsftpd.conf文件不存在 /bin/false fi } FTP_file#79检查是否禁用不必要的系统服务#83如果没有必要需要停止NFS服务 nfs_sys(){ echo #83如果没有必要需要停止NFS服务 if [ rpm -qa | grep nfs | wc -l ! 0 ];thensystemctl stop nfsaction nfs服务已完成停止 /bin/true elseaction 为安装nfs服务 /bin/false fi } nfs_sys#84设置 主机允许策略文件/etc/hosts.allow 的属组和属主为root host_allow(){ echo #设置主机允许策略文件/etc/hosts.allow 的属组和属主为root chown root:root /etc/hosts.allow if [ $? 0 ] then echo action chown root:root /etc/hosts.allow /bin/true else action chown root:root /etc/hosts.allow /bin/false fi } host_allow#85 检查是否关闭ident服务 check_ident() {echo #85检查是否关闭ident服务ident_status$(systemctl is-active ident)if [ $ident_status active ]thensystemctl disable identaction 已禁用ident服务 /bin/falseelseaction ident服务已关闭 /bin/truefi } check_ident#86 检查是否关闭time服务 check_time() {echo #86检查是否关闭time服务time_status$(systemctl is-active time)if [ $time_status active ]thensystemctl disable timeaction 已禁用time服务 /bin/falseelseaction time服务已关闭 /bin/truefi } check_time#87 检查是否关闭nfs服务 check_nfs() {echo #87检查是否关闭nfs服务nfs_status$(systemctl is-active nfs)if [ $nfs_status active ]thensystemctl disable nfsaction 已禁用nfs服务 /bin/falseelseaction nfs服务已关闭 /bin/truefi } check_nfs#88 检查是否关闭chargen服务 check_chargen() {echo #88检查是否关闭chargen服务chargen_status$(systemctl is-active chargen)if [ $chargen_status active ]thensystemctl disable chargenaction 已禁用chargen服务 /bin/falseelseaction chargen服务已关闭 /bin/truefi } check_chargen#89 检查是否关闭klogin服务 check_klogin() {echo #89检查是否关闭klogin服务klogin_status$(systemctl is-active klogin)if [ $klogin_status active ]thensystemctl disable kloginaction 已禁用klogin服务 /bin/falseelseaction klogin服务已关闭 /bin/truefi } check_klogin#90 检查是否关闭ypbind服务 check_ypbind() {echo #90检查是否关闭ypbind服务ypbind_status$(systemctl is-active ypbind)if [ $ypbind_status active ]thensystemctl disable ypbindaction 已禁用ypbind服务 /bin/falseelseaction ypbind服务已关闭 /bin/truefi } check_ypbind#91 检查是否关闭tftp服务 check_tftp() {echo #91检查是否关闭tftp服务tftp_status$(systemctl is-active tftp)if [ $tftp_status active ]thensystemctl disable tftpaction 已禁用tftp服务 /bin/falseelseaction tftp服务已关闭 /bin/truefi } check_tftp#92 检查是否关闭nfslock服务 check_nfslock() {echo #92检查是否关闭nfslock服务nfslock_status$(systemctl is-active nfslock)if [ $nfslock_status active ]thensystemctl disable nfslockaction 已禁用nfslock服务 /bin/falseelseaction nfslock服务已关闭 /bin/truefi } check_nfslock#93 检查是否关闭lpd服务 check_lpd() {echo #93检查是否关闭lpd服务lpd_status$(systemctl is-active lpd)if [ $lpd_status active ]thensystemctl disable lpdaction 已禁用lpd服务 /bin/falseelseaction lpd服务已关闭 /bin/truefi } check_lpd#94 检查是否关闭discard服务 check_discard() {echo #94检查是否关闭discard服务discard_status$(systemctl is-active discard)if [ $discard_status active ]thensystemctl disable discardaction 已禁用discard服务 /bin/falseelseaction discard服务已关闭 /bin/truefi } check_discard#95 检查是否关闭kshell服务 check_kshell() {echo #95检查是否关闭kshell服务kshell_status$(systemctl is-active kshell)if [ $kshell_status active ]thensystemctl disable kshellaction 已禁用kshell服务 /bin/falseelseaction kshell服务已关闭 /bin/truefi } check_kshell#96 检查是否关闭daytime服务 check_daytime() {echo #96检查是否关闭daytime服务daytime_status$(systemctl is-active daytime)if [ $daytime_status active ]thensystemctl disable daytimeaction 已禁用daytime服务 /bin/falseelseaction daytime服务已关闭 /bin/truefi } check_daytime#97 检查是否关闭echo服务 check_echo() {echo #97检查是否关闭echo服务echo_status$(systemctl is-active echo)if [ $echo_status active ]thensystemctl disable echoaction 已禁用echo服务 /bin/falseelseaction echo服务已关闭 /bin/truefi } check_echo#98 检查是否关闭sendmail服务 check_sendmail() {echo #98检查是否关闭sendmail服务sendmail_status$(systemctl is-active sendmail)if [ $sendmail_status active ]thensystemctl disable sendmailaction 已禁用sendmail服务 /bin/falseelseaction sendmail服务已关闭 /bin/truefi } check_sendmail#99 检查是否关闭ntalk服务 check_ntalk() {echo #99检查是否关闭ntalk服务ntalk_status$(systemctl is-active ntalk)if [ $ntalk_status active ]thensystemctl disable ntalkaction 已禁用ntalk服务 /bin/falseelseaction ntalk服务已关闭 /bin/truefi } check_ntalk#100 检查是否关闭printer服务 check_printer() {echo #100检查是否关闭printer服务printer_status$(systemctl is-active printer)if [ $printer_status active ]thensystemctl disable printeraction 已禁用printer服务 /bin/falseelseaction printer服务已关闭 /bin/truefi } check_printer#101 检查是否关闭bootps服务 check_bootps() {echo #101检查是否关闭bootps服务bootps_status$(systemctl is-active bootps)if [ $bootps_status active ]thensystemctl disable bootpsaction 已禁用bootps服务 /bin/falseelseaction bootps服务已关闭 /bin/truefi } check_bootps##102 设置允许访问的IP地址并重启SSH服务 #check_allow() { # allowed_ip192.168.4.44 # # #102 检查是否限制了远程登录的IP范围 # if grep -q $allowed_ip /etc/hosts.allow; then # action 远程登录IP范围已经限制 /bin/true # else # action 远程登录IP范围未限制 /bin/false # # 编辑 /etc/hosts.allow 文件增加允许访问的IP # if ! grep -q sshd:$allowed_ip:allow /etc/hosts.allow; then # echo sshd:$allowed_ip:allow /etc/hosts.allow # fi # fi # # # 重启SSH服务 # if systemctl status sshd /dev/null; then # systemctl restart sshd # fi #} # # ##103 编辑 /etc/hosts.deny 文件增加一行 all:all #check_deny() { # if ! grep -q all:all /etc/hosts.deny; then # echo all:all /etc/hosts.deny # systemctl restart xinetd # action /etc/hosts.deny未配置正确 /bin/false # else # action /etc/hosts.deny配置正确 /bin/true # fi #}#104检查保留历史命令的条数 histsize(){ echo #104 保留历史命令条数 file/etc/profile neironHISTSIZE.* neirongHISTSIZE3000 cp $file $file.bak sed -i s/^$neiron/$neirong $file source $file action 内容已经替换并加载文件 /bin/true } histsize#105检查保留历史命令的记录文件大小 histfilesize(){ echo #105 历史命令文件大小 file/etc/profile neirongHISTFILESIZE500 grep $neirong $file if [ $? -eq 0 ]; thenaction 配置内容存在 /bin/true elsecp $file $file.backupecho $neirong $filesource $fileaction 已添加内容到文件并加载 /bin/true fi } histfilesize#106检查是否安装OS补丁 os(){ echo #106 检查是否安装OS补丁 if command -v apt /dev/null; thenupdate_commandapt update apt upgrade -y /dev/null elif command -v yum /dev/null; thenupdate_commandyum check-update /dev/null yum update -y /dev/null elif command -v zypper /dev/null; thenupdate_commandzypper refresh zypper update -y /dev/null elseaction 无法确定系统类型或找不到适用的包管理工具 /bin/falseexit 1 fi eval $update_command if [ $? -eq 0 ]; thenaction 系统更新完成 /bin/ture elseaction 系统更新失败请检查错误信息 /bin/false fi } os#107是否设置ssh登录前警告Banner ssh_banner_ner(){ echo #107 ssh_banner登录前设置 banner_file/etc/ssh_banner banner_contentAuthorized only. All activity will be monitored and reported sshd_config_file/etc/ssh/sshd_config banner_configBanner /etc/ssh_banner if [ -f $banner_file ]; thenaction 文件 $banner_file 已存在 /bin/true elsetouch $banner_filechown bin:bin $banner_filechmod 644 $banner_fileecho $banner_content $banner_fileaction 已创建 $banner_file 文件并写入内容 /bin/true fi if grep -q $banner_config $sshd_config_file; thenaction sshd_config 文件中已存在 Banner 配置 /bin/false elseecho $banner_config $sshd_config_fileaction 已添加 Banner 配置到 sshd_config 文件 /bin/true fiif command -v systemctl /dev/null; thensystemctl restart sshdaction已重启 sshd 服务 /bin/trueelif command -v service /dev/null; thenservice sshd restartaction 已重启 sshd 服务 /bin/trueelseaction 无法确定系统使用的服务管理工具请手动重启 sshd 服务 /bin/falsefi } ssh_banner_ner#108 ssh_banner登录后设置 ssh_banner(){ echo #108 ssh_banner登录后设置 motd_file/etc/motd motd_contentLogin success. All activity will be monitored and reported if [ -f $motd_file ]; thenecho $motd_content $motd_fileaction motd文件存在已修改 /bin/true elseecho $motd_content $motd_fileaction motd文件已创建并写入 /bin/true fi } ssh_banner#109检查是否更改默认的telnet登录警告Banner telnet(){ echo #109 telnet警告 设置 banner_file/etc/ssh_banner banner_content Authorized only. All activity will be monitored and reported sshd_config_file/etc/ssh/sshd_config banner_configBanner /etc/ssh_banner touch $banner_file chown bin:bin $banner_file chmod 644 $banner_file echo $banner_content $banner_file if grep -q $banner_config $sshd_config_file; thenaction sshd_config 文件中已存在 Banner 配置 /bin/false elseecho $banner_config $sshd_config_fileaction 已添加 Banner 配置到 sshd_config 文件 /bin/true fi if command -v systemctl /dev/null; thensystemctl restart sshdaction 已重启 sshd 服务 /bin/true elif command -v service /dev/null; thenservice sshd restartaction 已重启 sshd 服务 /bin/true elseaction 无法确定系统使用的服务管理工具请手动重启 sshd 服务 /bin/false fi } telnet#110 #111#112rsyslog是否启用记录cron行为日志功能 rsyslog_cron() { echo #112 rsyslog是否启用记录cron行为日志功能 filelog/etc/rsyslog.conf filevar/log/cron neirongcron.*$file if [ -f $filelog ]; thencp $filelog ${filelog}.${time}bakecho $neirong $filelogif [ ! -f $file ]; thentouch $filechmod 755 $fileaction cron 文件已创建 /bin/trueelseaction cron 文件已存在 /bin/falsefi elseaction rsyslog.conf配置 文件不存在 /bin/false fi } rsyslog_cron#113syslog是否启用记录cron行为日志功能 syslog_cron() { echo #113 syslog_cron filelog/etc/syslog.conf filevar/log/cron neirongcron.*$file if [ -f $filelog ]; thenecho $neirong $filelogif [ ! -f $file ]; thentouch $filechmod 755 $fileaction cron 文件已创建 /bin/trueelseaction cron 文件已存在 /bin/falsefi elseaction syslog.conf配置 文件不存在 /bin/false fi } syslog_cron#114syslog-ng是否启用记录cron行为日志功能 syslog_ng_cron(){ echo #114 cron 日志功能 filelog/etc/syslog-ng/syslog-ng.conf file/var/log/cron neirong filter f_cron { facility(cron); }; destination cron { file($file); }; log { source(src); filter(f_cron); destination(cron); }; if [ -f $filelog ]; thencp $filelog $filelog.backupecho $neirong $filelogif [ ! -f $file ]; thentouch $filechmod 755 $fileaction cron 文件已创建 /bin/trueelseaction cron 文件已存在 /bin/falsefi elseaction syslog-ng.conf配置 文件不存在 /bin/false fi } syslog_ng_cron#115检查是否记录成功登陆日志 login(){ echo #115 登录情况日志 day$(date %a %b %e) last | grep $day /dev/null if [ $? -eq 0 ]; thenaction 成功记录登录记录 /bin/true elseaction 未成功记录登录记录 /bin/false fi } login #116 #117#118检查syslog-ng是否配置安全事件日志 syslog_ng_anquan(){ echo #118 syslog安全日志 filelog/etc/syslog-ng/syslog-ng.conf file/var/adm/msgs neirong filter f_msgs { level(err) or facility(kern) and level(debug) or facility(daemon) and level(notice); }; destination msgs { file($file); }; log { source(src); filter(f_msgs); destination(msgs); }; if [ -f $filelog ]; thencp $filelog ${filelog}-${time}.bakgrep $file $filelog /dev/nullif [ $? -ne 0 ]; then echo $neirong $filelogif [ ! -f $file ]; thentouch $filechmod 666 $fileaction 创建日志文件 /bin/trueelse service syslog restartaction syslog-ng服务重启 /bin/truefielseaction rslog-ng配置文件内容已经存在 /bin/falsefi elseaction rslog-ng配置文件不存在 /bin/false fi } syslog_ng_anquan#117,119检查rsyslog是否配置安全事件日志 rsyslog_anquan(){ echo #117,119 rsyslog安全日志 filelog/etc/rsyslog.conf file/var/adm/messages neirong*.err;kern.debug;daemon.notice /var/adm/messages if [ -f $filelog ]; thencp $filelog $filelog.backupangrep $file $filelog /dev/nullif [ $? -ne 0 ];thensed -i 75i$neirong $filelogif [ ! -f $file ];thentouch $file chmod 666 $fileaction 创建日志文件 /bin/trueelseservice rsyslog restartaction rsyslog服务重启 /bin/true fielse action rsyslog配置文件内容已经存在 /bin/truefi elseaction rsyslog配置文件不存在 /bin/false fi } rsyslog_anquan#120检查是否配置su命令使用情况记录 su(){ echo #120 su 命令使用情况 if grep -q Red Hat Enterprise Linux Server 5 /etc/redhat-release; thenecho 编辑 /etc/syslog.conf 文件sed -i s/^authpriv\.\*.*$/authpriv.* \/var\/log\/secure/ /etc/syslog.conf fi if [[ -f /etc/rsyslog.conf || -f /etc/syslog-ng/syslog-ng.conf ]]; thenif grep -q Red Hat Enterprise Linux Server 6 /etc/redhat-release || \grep -q openSUSE release 11 /etc/SuSE-release; thenecho 编辑 /etc/rsyslog.conf 文件sed -i s/^authpriv\.\*.*$/authpriv.* \/var\/log\/secure/ /etc/rsyslog.confelif grep -q SuSE Linux Enterprise Server 9 /etc/SuSE-release; thenecho 编辑 /etc/syslog.conf 文件sed -i s/^authpriv\.\*.*$/authpriv.* \/var\/log\/secure/ /etc/syslog.confelif grep -q SUSE Linux Enterprise Server 10 /etc/SuSE-release || \grep -q SUSE Linux Enterprise Server 11 /etc/SuSE-release; thenecho 编辑 /etc/syslog-ng/syslog-ng.conf 文件sed -i /filter f_secure {/a\ facility(authpriv); /etc/syslog-ng/syslog-ng.confsed -i /destination priverr {/a\ file(/var/log/secure); /etc/syslog-ng/syslog-ng.confsed -i /log {/a\ source(src); filter(f_secure); destination(priverr); /etc/syslog-ng/syslog-ng.conffi fi touch /var/log/secure if command -v systemctl /dev/null; thensystemctl restart rsyslog.service elif command -v service /dev/null; thenservice syslog restart elseaction 无法确定系统类型或找不到适用的服务管理工具 /bin/falseexit 1 fi action syslog 配置已修改并服务已重启 /bin/true } su#121 #122#123 rsyslog 远程日志功能 rsyslog(){ echo #123 rsyslog 远程日志功能 ip192.168.0.1 mail*.* file/etc/rsyslog.conf if [ -f $file ]; thencp $file $file.backupecho $mial $ip $filesystemctl restart rsyslogaction rsyslog 已经重启 /bin/true elseaction rsyslog.conf 文件 /bin/false fi } rsyslog#124 syslog_ng远程日志功能 syslog_ng_conf(){ echo #124 syslog_ng远程日志功能 file/etc/syslog-ng.conf ip192.168.0.1 shu514 if [ -f $file ]; thencp $file $file.backupecho destination logserver { udp($ip port($shu));};log {source(src);destination(logserver);}; $filesystemctl restart syslog-ngaction syslog-ng 已经重启 /bin/true elseaction syslog-ng文件 /bin/false fi } syslog_ng_conf#125 syslog远程日志功能 syslog(){ echo #125 syslog远程日志功能 mail*.* ip192.168.0.1 file/etc/syslog.conf if [ -f $file ]; thencp $file $file.backupecho $mail $ip $fileservice syslog restartaction syslog 已经重启 /bin/true elseaction syslog.conf文件 /bin/false fi } syslog # 设置 主机拒绝策略文件/etc/hosts.deny 的属组和属主为root host_deny(){ echo #设置主机拒绝策略文件/etc/hosts.deny 的属组和属主为root chown root:root /etc/hosts.deny if [ $? 0 ] then action chown root:root /etc/hosts.deny /bin/true else action chown root:root /etc/hosts.deny /bin/false fi } host_deny# 设置 主机允许策略文件/etc/hosts.allow的权限为644 host_all(){ echo #设置 主机允许策略文件/etc/hosts.allow的权限为644 chmod 644 /etc/hosts.allow if [ $? 0 ] then action chmod 644 /etc/hosts.allow /bin/true else action chmod 644 /etc/hosts.allow /bin/false fi } host_all# 设置 主机拒绝策略文件/etc/hosts.deny的权限为644 host_de(){ echo #设置主机拒绝策略文件/etc/hosts.deny的权限为644 chmod 644 /etc/hosts.deny if [ $? 0 ] then action /bin/true else action /bin/false fi } host_de# 设置用户/组 的用户和密码文件属主属组为root userpass(){ echo #设置用户/组 的用户和密码文件属主属组为root chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow if [ $? 0 ] then action chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow /bin/true else action chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow /bin/false fi } userpass# 设置组文件 的权限为0644 group(){ echo #设置组文件 的权限为0644 chmod 0644 /etc/group if [ $? 0 ] then action chmod 0644 /etc/group /bin/true else action chmod 0644 /etc/group /bin/false fi } group# 设置用户文件 的权限为644 passwdfile(){ echo #设置用户文件 的权限为644 chmod 0644 /etc/passwd if [ $? 0 ] then action chmod 0644 /etc/passwd /bin/true else action chmod 0644 /etc/passwd /bin/false fi }# 设置用户的密码文件为0400只读,禁止修改用户密码 shadow_file(){ echo #设置用户的密码文件为0400只读,禁止修改用户密码 chmod 0400 /etc/shadow if [ $? 0 ] then action chmod 0400 /etc/shadow /bin/true else action chmod 0400 /etc/shadow /bin/false fi } shadow_file# 设置组密码文件为0400制度, 禁止修改组密码 gshadow_file(){ echo #设置组密码文件为0400制度, 禁止修改组密码 chmod 0400 /etc/gshadow if [ $? 0 ] then action chmod 0400 /etc/gshadow /bin/true else action chmod 0400 /etc/gshadow /bin/false fi } gshadow_file# 设置sshd主配置文件属主属组为root sshd_root(){ echo #设置sshd主配置文件属主属组为root chown root:root /etc/ssh/sshd_config if [ $? 0 ] then action chown root:root /etc/ssh/sshd_config /bin/true else action chown root:root /etc/ssh/sshd_config /bin/false fi } sshd_root# 设置sshd主配置文件权限为0600 sshd_limits(){ echo #设置sshd主配置文件权限为0600 chmod 600 /etc/ssh/sshd_config if [ $? 0 ] then action chmod 600 /etc/ssh/sshd_config /bin/true else action chmod 600 /etc/ssh/sshd_config /bin/false fi } sshd_root# 设置/etc/profile文件属主属组为root fprfile_env(){ echo #设置/etc/profile文件属主属组为root chown root:root /etc/profile if [ $? 0 ] then action chown root:root /etc/profile /bin/true else action chown root:root /etc/profile /bin/false fi } fprfile_env# 设置/etc/profile文件权限为644 profile_limits(){ echo #设置/etc/profile文件权限为644 chmod 644 /etc/profile if [ $? 0 ] then action chmod 644 /etc/profile /bin/true else action chmod 644 /etc/profile /bin/false fi } profile_limits# 开机自启安全审计服务并现在启动 audit_enable(){ echo #开机自启安全审计服务并现在启动 systemctl enable --now auditd if [ $? 0 ] then action systemctl enable --now auditd /bin/true else action systemctl enable --now auditd /bin/false fi } audit_enable# 开机自启日志服务并现在启动 rsyslog_log(){ echo #开机自启日志服务并现在启动 systemctl enable --now rsyslog if [ $? 0 ] then action systemctl enable --now rsyslog /bin/true else action systemctl enable --now rsyslog /bin/false fi } rsyslog_log# 定义安全审计规则 anquanshengji(){ cp /etc/audit/rules.d/audit.rules /etc/audit/rules.d/audit.rules-${time} echo #定义安全审计规则 echo -a always,exit -F archb64 -S unlink -S unlinkat -S rename -S renameat -F auid1000 -F auid!4294967295 -k delete -a always,exit -F archb32 -S unlink -S unlinkat -S rename -S renameat -F auid1000 -F auid!4294967295 -k delete /etc/audit/rules.d/audit.rules if [ $? 0 ] then action /etc/audit/rules.d/audit.rules /bin/true else action /etc/audit/rules.d/audit.rules /bin/false fi } anquanshengji# 定义安全设计规则 anquansheji(){ cp /etc/audit/audit.rules /etc/audit/audit.rules-${time} echo #定义安全设计规则 echo -a always,exit -F archb64 -S unlink -S unlinkat -S rename -S renameat -F auid1000 -F auid!4294967295 -k delete -a always,exit -F archb32 -S unlink -S unlinkat -S rename -S renameat -F auid1000 -F auid!4294967295 -k delete /etc/audit/audit.rules if [ $? 0 ] then action /etc/audit/audit.rules /bin/true else action /etc/audit/audit.rules /bin/false fi } anquansheji# 定义安全审计规则 anquansheji_rulesd(){ echo #定义安全审计规则 echo -w /etc/group -p wa -k identity -w /etc/passwd -p wa -k identity -w /etc/gshadow -p wa -k identity -w /etc/shadow -p wa -k identity -w /etc/security/opasswd -p wa -k identity /etc/audit/rules.d/audit.rules if [ $? 0 ] then action /etc/audit/rules.d/audit.rules /bin/true else action /etc/audit/rules.d/audit.rules /bin/false fi } anquansheji_rulesd# 定义安全审计规则 anquansheji_audit(){ echo -w /etc/group -p wa -k identity -w /etc/passwd -p wa -k identity -w /etc/gshadow -p wa -k identity -w /etc/shadow -p wa -k identity -w /etc/security/opasswd -p wa -k identity /etc/audit/audit.rules if [ $? 0 ] then action /etc/audit/audit.rules /bin/true else action /etc/audit/audit.rules /bin/false fi } anquansheji_audit# 定义安全审计规则 anquansheji_rulesd_file(){ echo -w /etc/sudoers -p wa -k scope -w /etc/sudoers.d/ -p wa -k scope /etc/audit/rules.d/audit.rules if [ $? 0 ] then action /etc/audit/rules.d/audit.rules /bin/true else action /etc/audit/rules.d/audit.rules /bin/false fi } anquansheji_rulesd_file# 定义安全审计规则 anquansheji_audit_file(){ echo -w /etc/sudoers -p wa -k scope -w /etc/sudoers.d/ -p wa -k scope /etc/audit/audit.rules if [ $? 0 ] then action /etc/audit/audit.rules /bin/true else action /etc/audit/audit.rules /bin/false fi } anquansheji_audit_file# 暂停rpcbind服务--nfs需要依赖rpcbind服务来实现客户端和服务器的路由请求 systemctl disable --now rpcbind /dev/null systemctl disable --now rpcbind.socket /dev/null#执行日志写入 bash_run # systemctl stop rpcbind /dev/null # systemctl stop rpcbind.socket /dev/null # systemctl disable rpcbind.socket /dev/null # systemctl disable rpcbind.socket /dev/null action CentOS Linux 7基线标准系统-等保三级-基线加固已完成!! /bin/true