Linux或UNIX系统配置检查

一、 Linux或UNIX系统配置检查

系统配置的扫描是基于被动式策略进行扫描，主要检测主机上是否存在配置错误或者不符合预约义的安全策略的配置，一般须要管理员权限才能执行的扫描。

在Linux或UNIX上须要扫描的配置一般包括：

一、安全补丁是否所有安装完毕

二、是否存在弱口令

三、IP协议栈的参数配置是否正确

四、敏感文件和目录的操做权限是否正确

五、重要应用程序的配置文件 如Apache的httpd.conf、ssh服务器的sshd.conf等是否配置正确

六、开启的服务是否安全

七、………………

二、 Linux和UNIX系统配置扫描工具

对与这两个操做系统有自动化扫描工具可使用。

一、Auditd ：Linux下开源的安全审计服务，默认只审计某些类型的安全事件，如程序运行、系统登陆、帐户修改、认证事件等。须要自行 配置审计规则（文件路径：/etc/audit/audit.rules）、它支持大量审计事件类型，包括：追踪任何进入或退出的系统调用、监控文件内容和元数据（定义数据的数据，如：指示文件的存储位置、历史数据、文件记录等的一种电子式目录）的修改。

二、Tripwire：一种数据完整性监测工具。它不能防护攻击或者阻止对文件的修改，它只可以监测哪些文件被修改过。原理便是将系统中的文件的映射数据库与系统中的文件进行比较而判断是否修改。

三、Lynis：开源的安全审计工具。主要用于加固Linux和UNIX系统。根据已有的安全配置标准，执行很是多的安全配置测试来检测可能存在的配置缺陷，并生成安全检测报告（/var/log/lynis.log）供管理员参考。

四、UNIX-pricesc-check：专门检测是否存在错误配置使得本地用户能够提高访问权限的开源审计工具，是一个Shell脚本，适用于Linux和UNIX系统。

1和3为系统配置的全面审计，3用于文件监测，4专用于扫描是否存在提高本地用户权限的配置