总结CentOS 7系统加固知识点

一、为什么要进行系统加固

在互联网的环境下，服务器的安全性是非常关键的。通过对操作系统进行加固，可以降低恶意攻击的风险，保证系统的稳定性和安全性。

二、CentOS 7系统加固步骤

2.1 关闭不必要的服务

在CentOS 7中，有很多服务是默认开启的，但并不是所有服务都是必要的。可以通过以下步骤关闭不必要的服务：

# 查看所有服务列表
systemctl list-unit-files --type=service | grep enabled
# 关闭不必要的服务
systemctl disable <service_name>.service

例如，如果不需要打印服务，可以通过以下命令关闭：

systemctl disable cups.service

2.2 安装必要的软件包

一些必要的软件包可以增强系统的安全性，例如SELinux和防火墙。可以通过以下命令安装这些软件包：

yum install -y policycoreutils policycoreutils-python selinux-policy selinux-policy-targeted firewalld

2.3 审计日志设置

审计是记录每个用户操作的日志。在CentOS 7中，可以通过以下步骤设置审计日志：

# 安装审计软件包
yum install -y audit
# 编辑审计规则
vim /etc/audit/audit.rules
# 添加以下规则
# 增加记录文件管理操作的规则
-a always,exit -F arch=b64 -S chmod -S fchmod -S fchmodat -F auid>=1000 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=b64 -S chown -S fchown -S fchownat -S lchown -F auid>=1000 -F auid!=4294967295 -k perm_mod
-a always,exit -F arch=b64 -S setxattr -S lsetxattr -S fsetxattr -S removexattr -S lremovexattr -S fremovexattr -F auid>=1000 -F auid!=4294967295 -k perm_mod
# 增加记录用户和组管理操作的规则
-a always,exit -F arch=b64 -S setuid -S setgid -S setresuid -S setresgid -S privesc -F auid>=1000 -F auid!=4294967295 -k priv_esc
# 增加记录登录和注销信息的规则
-w /var/log/faillog -p WA -k logins
-w /var/log/lastlog -p WA -k logins

2.4 防火墙设置

防火墙是保护服务器不受恶意攻击的重要工具。在CentOS 7中，可以通过以下命令设置防火墙：

# 启动防火墙
systemctl start firewalld
# 设置防火墙规则
firewall-cmd --zone=public --add-port=22/tcp --permanent
# 重载防火墙规则
firewall-cmd --reload

以上命令将开放ssh所使用的22端口，并保存设置。如果有其他服务需要开放端口，在规则添加中添加相应的端口即可。

三、示例说明

3.1 关闭不必要的服务

假设服务器上不需要使用打印服务，可以通过以下命令关闭：

systemctl disable cups.service

3.2 防火墙设置

假设需要开放80端口，可以通过以下命令设置：

# 开放80端口
firewall-cmd --zone=public --add-port=80/tcp --permanent
# 重载防火墙规则
firewall-cmd --reload

这将开放80端口，并保存设置。可以通过修改命令中的端口号修改为其他需要开放的端口。

四、总结

CentOS 7操作系统的加固是非常重要的，可以大大降低恶意攻击的风险。在加固之前，首先要了解哪些服务是不必要的，并关闭它们。其次，增加必要的软件包可以增强系统的安全性。设置审计日志可以记录每个用户的操作行为。最后，设置防火墙可以防止恶意攻击。