☰

VPS 上的单用户模式和 GRUB 密码保护

tag-icon • tag-icon linux centos audit
VPS 上的单用户模式和 GRUB 密码保护

我有一个 VPS CentOS 6 Linux Web 服务器。它在 KVM 上运行。

运行 Lynis 审核，它注意到单用户模式和 GRUB 不受任何密码/身份验证的保护：

[16:00:28] Warning: No password set for single mode [AUTH-9308]
[15:59:26] Suggestion: Set a password on GRUB bootloader to prevent altering boot configuration (e.g. boot in single user mode without password) [BOOT-5122]

此外，Lynis 还提到了存储驱动器：

[16:05:09] Suggestion: Disable drivers like USB storage when not used, to prevent unauthorized storage or data theft [STRG-1840]
[16:05:09] Suggestion: Disable drivers like firewire storage when not used, to prevent unauthorized storage or data theft [STRG-1846]

由于这是一个虚拟化 Linux 实例并且是一个服务器，因此针对上述几点采取行动实际上是否有益？将身份验证机制添加到单用户模式和 GRUB 实际上会在引导期间（尤其是使用 GRUB）引起问题，因为它是虚拟化服务器而不是典型的 Linux 桌面客户端，尽管 Lynis 显然不知道这一点。

我不确定 Lynis 是否来自服务器配置的角度，这就是我的困惑所在。

任何对强调的要点的澄清将不胜感激！

谢谢，

答案1

你可以使用我做的centos-6.x-harden.sh进行一般加固，

#!/bin/bash
echo "readonly TMOUT=900" >> /etc/profile.d/os-sec.sh
echo "readonly HISTFILE" >> /etc/profile.d/os-sec.sh
chmod +x /etc/profile.d/os-sec.sh
echo "tty1" > /etc/securetty
chmod 700 /root
echo "blacklist usb-storage" > /etc/modprobe.d/blacklist-usbstorage
cat << EOF > /etc/sysconfig/init 
BOOTUP=color
RES_COL=60
MOVE_TO_COL="echo -en \\033[${RES_COL}G"
SETCOLOR_SUCCESS="echo -en \\033[0;32m"
SETCOLOR_FAILURE="echo -en \\033[0;31m"
SETCOLOR_WARNING="echo -en \\033[0;33m"
SETCOLOR_NORMAL="echo -en \\033[0;39m"
PROMPT=no
AUTOSWAP=no
ACTIVE_CONSOLES=/dev/tty[1-6]
SINGLE=/sbin/sulogin
EOF
cat << EOF > /etc/init/control-alt-delete.override
start on control-alt-delete
exec /usr/bin/logger -p authpriv.notice -t init "Ctrl-Alt-Del was pressed and ignored"
EOF
cat << EOF > /tmp/grub.patch
--- grub.conf   2014-11-09 13:43:45.085378787 +0330
+++ grub.conf.new       2014-11-09 13:43:48.508377857 +0330
@@ -9,6 +9,7 @@
default=0
timeout=5
+password --md5 \$1\$T.IYz1\$wLQ21IjrUuMeLfkGd1Xby0
splashimage=(hd0,0)/boot/grub/splash.xpm.gz
hiddenmenu
EOF
patch -s /boot/grub/grub.conf < /tmp/grub.patch
# alternate to the latter patch is: echo 'password --md5 $1$T.IYz1$wLQ21IjrUuMeLfkGd1Xby0' >>      /boot/grub/grub.conf
  1. 如果我让终端保持打开状态，可以保护外壳。
  2. 在终端暴力破解的情况下提供保护。
  3. 通过让用户提供 root 密码来保护单用户模式
  4. 通过强制输入密码来保护 GRUB 菜单。
  5. 通过禁用基于 alt-ctrl-delete 的重新启动来保护系统。

** 请考虑将 md5 哈希更改为您想要的密码。

相关内容