Linux系统基准

gaohan

　　1.补丁安装
1.1 系统补丁升级
　　编号
　　名称
　　系统补丁
　　实施方案
　　#yum -y update
升级所有包，改变软件设置和系统设置,系统版本内核都升级   
#yum -y upgrade
升级所有包，不改变软件设置和系统设置，系统版本升级，内核不改变
　　实施目的
　　可以使系统版本最新并解决安全问题。
　　实施要求
　　一般漏洞在三个月内完成修复，重大漏洞在一个月内完成修复，紧急漏洞当天完成修复。
　　实施风险
　　慎重对系统打补丁，补丁安装先先在测试机上完成。补丁安装可能导致
　　系统异常或无法启动。
　　回退方案
　　验证方法
　　2.升级openssl和openssh
　　编号
　　名称
　　升级openssl和openssh
　　实施方案
　　1.安装zlib
　　下载安装包：wget   http://www.zlib.net/zlib-1.2.11.tar.gz
　　(1)安装zlib-1.2.11
　　sudo tar -zvxf zlib-1.2.11.tar.gz
　　cd zlib-1.2.11
　　sudo ./configure   --prefix=/usr/local/zlib --shared
　　sudo make
　　sudo make install
　　(2)安装zlib-devel
　　sudo yum -y install   zlib-devel
　　2.升级openssl
　　注意：我们当前使用的是openssl1.0.2系列的版本，版本会隔一段时间升级一次，当前是openssl-1.0.2k版本，下次可能是更新的版本，升级时需要到openssl官网下载最新的版本来安装。
　　下载安装包：wget https://www.openssl.org/source/openssl-1.0.2k.tar.gz
　　sudo tar -zvxf openssl-1.0.2k.tar.gz
　　sudo cd openssl-1.0.2k
　　sudo ./config shared   --prefix=/usr/local/ssl_1.0.2k \
　　--openssldir=/usr/local/ssl_1.0.2k   zlib-dynamic
　　sudo make
　　sudo make install
　　备份openssl旧版本的相关文件
　　sudo mv /usr/bin/openssl   /usr/bin/openssl.bak
　　sudo mv   /usr/include/openssl /usr/include/openssl.bak
　　链接新版本的文件
　　sudo ln -s /usr/local/ssl_1.0.2k/bin/openssl   /usr/bin/openssl
　　sudo ln -s /usr/local/ssl_1.0.2k/include/openssl   /usr/include/openssl
　　#设置库文件路径。
　　sudo vim /etc/ld.so.conf，在文件最后写入/usr/local/ ssl_1.0.2k /lib
　　执行:
　　sudo ldconfig
　　注意，如果后面要部署nginx等使用到openssl可文件的程序，则需要引用openssl新版本的库文件。
　　3.升级openssh
　　注意：openssh版本会隔一段时间升级一次，当前是openssh-7.4p1版本，下次可能是更新的版本，升级时需要到openssh官网下载最新的版本来安装。
　　下载安装包：
　　wget http://openbsd.hk/pub/OpenBSD/OpenSSH/portable/openssh-7.4p1.tar.gz
　　(1)卸载旧版openssh程序
　　rpm -e rpm -qa | grep openssh --allmatches –nodeps
　　备份原ssh配置
　　sudo mkdir /etc/sshbak
　　sudo mv /etc/ssh/*   /etc/sshbak/
　　(2)安装 pam-devel
　　sudo yum install  -y    pam-devel
　　(3)安装openssh
　　sudo tar -zvxf openssh-7.4p1.tar.gz
　　cd openssh-7.4p1
　　sudo ./configure   --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-zlib=/usr/local/zlib   --with-ssl-dir=/usr/local/ssl_1.0.2k/ --with-md5-passwords  --mandir=/usr/share/man
　　sudo make
　　sudo make install
　　生成ssh服务管理脚本
　　sudo cp  ./openssh-7.4p1/contrib/redhat/sshd.init   /etc/init.d/sshd
　　sudo chmod +x   /etc/init.d/sshd
　　sudo chkconfig --add sshd
　　sudo /etc/init.d/sshd start
　　Starting sshd:                                               [  OK  ]
　　sudo ssh -V
　　OpenSSH_7.4p1, OpenSSL 1.0.2k  1 Mar 2016
　　(3)配置ssh的pam认证文件
　　查看/etc/pam.d/目录下是否有sshd文件，如果没有，则执行
　　sudo mv /etc/pam.d/sshd.rpmsave /etc/pam.d/sshd
　　注意：升级openssh后，登记该主机时可能会出现
　　RSA host key has changed错误
　　解决方法：在源主机上编辑/home/用户账号/.ssh/known_hosts文件，将包含有目标主机（升级了openssh版本的那台主机）的IP的所在行删掉，保存退出编辑即可。
　　实施目的
　　解决openssl和openssh低版本存在安全漏洞问题
　　实施要求
　　实施风险
　　在升级过程中可能导致ssh会话中断连接不上目标主机，如果是无法通过VMware vSphere Client进行终端管理的主机，建议先安装启用telnet服务，能通过telnet服务连接后再升级openssh，成功升级openssh服务后，再卸载telnet服务。
　　回退方案
　　通过备份的配置文件进行回退
　　验证方法
　　执行ssh –V
　　如果显示的是所安装的版本，则说明升级成功。
　　3.账号、口令策略
3.1账号最小化
　　编号
　　名称
　　账号最小化
　　实施方案
　　Linux下多余可关闭的用户如下：
　　IP,news,uucp,games,ftp
　　#groupdel (ip news uucp,games)
　　#userdel(ip,news,uucp,games)
　　更改一些用户shell
　　chmod -s /bin/nologin ftp
　　实施目的
　　去除不需要的账号,更改危险账号缺省的shell
　　实施要求
　　实施风险
　　应当明确系统的角色，避免误删除默认账号
　　回退方案
　　恢复默认配置
　　验证方法
　　cat /etc/passwd
　　3.2设置密码过期策略
　　编号
　　名称
　　设置密码过期策略
　　实施方案
　　备份配置文件
　　sudo cp    -a  /etc/login.defs /etc/login.defs.bak
　　修改/etc/login.defs文件如下：
　　sudo vi /etc/login.defs
　　PASS_MAX_DAYS   90
　　PASS_MIN_DAYS   6
　　PASS_MIN_LEN    8
　　PASS_WARN_AGE   30
　　参数说明：
　　PASS_MAX_DAYS 密码有效期
　　PASS_MIN_DAYS 修改密码的最短期限
　　PASS_MIN_LEN 密码最短长度
　　PASS_WARN_AGE 密码过期前提前提醒时间
　　实施目的
　　定期更换密码，保护口令安全
　　实施要求
　　90天需要更换密码，密码最小长度要求8位以上
　　实施风险
　　口令过期前应修改密码,tomcat用户可能不可用，导致堡垒机脚本失败
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　#cat /etc/login.defs |grep PASS_MAX_DAYS
　　3.3超时自动注销登录
　　编号
　　名称
　　超时自动注销登录
　　实施方案
　　如果用户在离开系统前忘记注销账户，将会带来很大的安全隐患，应让系统自动注销。
　　#vi /etc/profile
　　增加或修改文件
　　export TMOUT=300
　　HISTFILESIZE=100
　　HISTSIZE=100
　　实施目的
　　避免用户忘记注销登录，减少安全隐患
　　实施要求
　　登录超时时间5分钟，历史命令记录数100条
　　实施风险
　　无
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　#cat /etc/profile |grep TMOUT
　　3.4增强密码加密算法
　　编号
　　名称
　　增强密码加密算法
　　实施方案
　　sudo authconfig --test |grep password
　　查看系统加密算法，如果为MD5则需要改为sha512
　　需要root用户实施：
　　authconfig --passalgo=sha512 --enablenis   –update
　　如果实施过程中NIS服务不能自动启动，则需要手动重启NIS服务：
　　service ypbind restart
　　实施目的
　　增强密码加密算法，提升系统密码安全性
　　实施要求
　　将密码加密算法升级到sha512
　　实施风险
　　实施过程当中，会关闭NIS服务，NIS服务关闭后如未能再次成功启动，此时用户则不能同时NIS认证登录系统，仅可以通过本地用户登录。
　　回退方案
　　还原回MD5
　　还原：authconfig --passalgo=md5 --enablenis --update
　　验证方法
　　sudo authconfig --test |grep password
　　3.5密码复杂度
　　编号
　　名称
　　密码复杂度
　　实施方案
　　sudo cp -a /etc/pam.d/system-auth   /etc/pam.d/system-auth.bak
　　sudo vi /etc/pam.d/system-auth
　　针对centos或者redhat 6.X版本
　　将
　　password    requisite     pam_cracklib.so retry=3 minlen=8 difok=3   dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1
　　改成
　　password    requisite     pam_cracklib.so  minlen=8 difok=5 dcredit=-1  lcredit=-1 ocredit=-1 retry=1  type=
　　针对centos 7.X版本
　　将
　　password    requisite     pam_pwquality.so try_first_pass   local_users_only retry=3 authtok_type=
　　改成
　　password    requisite     pam_pwquality.so try_first_pass local_users_only   retry=1 dcredit=-1  lcredit=-1   ocredit=-1  minlen=8 difok=5 authtok_type=
　　备注：
　　minlen=8：最小长度8位
　　difok=5:新、旧密码最少5个字符不同
　　dcredit=-1：最少1个数字
　　lcredit=-1：最少1个小写字符，（ucredit=-1:最少1个大写字符)
　　ocredit=-1：最少1个特殊字符
　　retry=1:1次错误后返回错误信息
　　type=xxx：此选项用来修改缺省的密码提示文本
　　实施目的
　　防止系统弱口令和口令破解，减少安全隐患
　　实施要求
　　密码最短要求8位，并必须至少同时含有1个数字，1个小写字母，1个特殊符号。新、旧密码最少5个字符不同。
　　实施风险
　　无
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　#cat /etc/pam.d/system-auth
　　3.6记住5个历史密码
　　编号
　　名称
　　记住5个历史密码
　　实施方案
　　sudo vi /etc/pam.d/system-auth
　　在这行password    sufficient    pam_unix.so sha512 shadow nis nullok   try_first_pass use_authtok
　　的后面添加remember=5
　　实施目的
　　防止系统弱口令和口令破解，减少安全隐患
　　实施要求
　　对密码进行修改时，不允许设置与此前5个相同的密码。
　　实施风险
　　无
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　#cat /etc/pam.d/system-auth
　　3.75次登陆失败锁定账户
　　编号
　　名称
　　5次登陆失败锁定账户
　　实施方案
　　针对login进程登录：
　　sudo vim /etc/pam.d/system-auth
　　在#%PAM-1.0的下面，即第二行，添加
　　auth        required      pam_tally2.so deny=5 unlock_time=1800   even_deny_root root_unlock_time=1800
　　针对SSH进程登录:
　　sudo cp -a /etc/pam.d/sshd   /etc/pam.d/sshd.bak
　　sudo vim /etc/pam.d/sshd
　　在#%PAM-1.0的下面，即第二行，添加
　　auth        required      pam_tally2.so deny=5 unlock_time=1800   even_deny_root root_unlock_time=1800
　　实施目的
　　防止系统弱口令和口令破解，减少安全隐患
　　实施要求
　　5次登录失败，锁定账号30分钟。
　　实施风险
　　合法用户忘记密码多次输入错误导致账号被锁
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　#cat /etc/pam.d/system-auth
　　#cat /etc/pam.d/sshd
　　3.8 使用PAM禁止不相关人员su为root
　　编号
　　名称
　　使用PAM禁止不相关人员su为root
　　实施方案
　　#sudo cp -a /etc/pam.d/su  /etc/pam.d/su.bak
　　#sudo vi /etc/pam.d/su
　　#%PAM-1.0
　　auth            sufficient      pam_rootok.so

Uncomment the following line to   implicitly trust users in the "wheel" group.
　　auth            sufficient      pam_wheel.so trust use_uid

Uncomment the following line to require   a user to be in the "wheel" group.
　　auth            required        pam_wheel.so use_uid
　　auth            include         system-auth
　　account         sufficient      pam_succeed_if.so uid = 0 use_uid quiet
　　account         include         system-auth
　　password        include         system-auth
　　session         include         system-auth
　　session         optional        pam_xauth.so
　　将这行的注释去掉
　　#auth           required        pam_wheel.so use_uid
　　这表明只有wheel 组的成员可以使用su 命令成为root 用户
　　实施目的
　　避免无关人员可以su为root，减少安全隐患。
　　实施要求
　　只有加入wheel组的人员才能su为root。
　　实施风险
　　无
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　#cat /etc/pam.d/su
　　4.网络与服务加固
4.1禁止不必要的服务
　　编号
　　名称
　　禁止不必要的服务
　　实施方案
　　Telnet,rsh,ldp,lpd,krb5-telnet,pcmcia
　　1、#chkconfig --list
　　1、#service 服务名 stop
　　3、#chkconfig --level   35 服务名 off
　　实施目的
　　禁用系统开机时启动不需要的服务，减少安全隐患。避免敏感信息泄露
　　实施要求
　　实施风险
　　该服务或与之相关的服务不可用
　　回退方案
　　验证方法
　　4.2 SSH安全配置
　　编号
　　名称
　　SSH安全配置
　　实施方案
　　sudo cp -a /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
　　sudo vi /etc/ssh/sshd_config
　　使用版本2
　　Protocol 2
　　禁止root通过ssh登录
　　PermitRootLogin no
　　采用PAM模块进行认证
　　UsePAM yes
　　允许密码认证
　　PasswordAuthentication   yes
　　使用密钥进行身份验证
　　PubkeyAuthentication   yes
　　禁止空密码登录
　　PermitEmptyPasswords   no
　　关闭ssh的tcp转发
　　AllowTcpForwarding   no
　　关闭S/KEY（质疑-应答)认证方式
　　ChallengeResponseAuthentication   no
　　关闭基于GSSAPI 的用户认证
　　将GSSAPIAuthentication yes参数，改成
　　GSSAPIAuthentication no
　　保存配置文件,并重启ssh服务
　　sudo  /etc/init.d/sshd restart
　　实施目的
　　使用加密协议登录系统，避免密码被监听
　　实施要求
　　禁止root通过ssh远程登录系统，增强系统安全性
　　实施风险
　　无
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　4.3设置登录警告语
　　编号
　　名称
　　设置登录警告语
　　实施方案
　　#vi /etc/ssh/sshd_conf
　　把Banner /some/path修改为 Banner /etc/ssh/alert
　　建立alert 文件
　　sudo vim /etc/ssh/alert
　　增加内容如入：
　　Warning!!!Any Access Without Permission   Is Forbidden!!!
　　sudo service sshd restart（重启sshd 服务）
　　实施目的
　　设置登录警告语，明确系统归宿，同时对非法登录用户起到震慑作用。
　　实施要求
　　实施风险
　　无
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　5.安全性增强
5.1新建文件权限增强
　　编号
　　名称
　　新建文件权限增强
　　实施方案
　　1.备份配置文件
　　sudo cp -a /etc/bashrc /etc/bashrc.default
　　2.编辑配置文件
　　sudo vim /etc/bashrc
　　在文件末尾增加参数
　　umask 027
　　3.保存配置文件

• 备份配置文件
  

　　sudo cp -a /etc/profile /etc/profile.default
　　5.编辑配置文件
　　sudo vim /etc/profile
　　在文件末尾增加参数
　　umask 027
　　6.保存配置文件
　　实施目的
　　设置新建文件权限，减少信息泄露风险
　　实施要求
　　实施风险
　　可能存在这样的情况，web服务器使用非root启动，但应用目录的所有者为root，web服务用户将无法访问在应用目录下新建的文件。
　　回退方案
　　将变更参数还原或者使用备份文件恢复
　　验证方法
　　5.2关键文件属性增强
　　编号
　　名称
　　关键文件属性增强
　　实施方案
　　sudo chattr +a /var/log/messages
　　sudo chattr +a /var/log/secure
　　sudo chattr +a /var/log/wtmp
　　sudo chmod +t /tmp
　　sudo chmod 644 /var/log/wtmp
　　sudo chmod 644 /var/run/utmp
　　chmod -R 700 /etc/init.d/*
　　touch /root/.rhosts /root/.netrc /etc/hosts.equiv
　　chmod 0 /root/.rhosts /root/.netrc /etc/hosts.equiv
　　备注：
　　chattr +a
　　设定该参数后，只能向文件中添加数据，而不能删除，多用于服务器日志文件安全，只有root才能设定这个属性。
　　chmod +t  设置粘着位,除文件所有者外,其他用户不能删除
　　实施目的
　　防止重要的日志文件被篡改
　　实施要求
　　实施风险
　　实施chmod -R 700 /etc/init.d/*后，/etc/init.d目录下的程序仅能通过root管理
　　回退方案
　　可通过chattr   -a 取消a属性
　　可通过chattr   -i 取消i属性
　　验证方法
　　5.3账号安全
　　编号
　　名称
　　关键文件属性增强
　　实施方案
　　chattr +i /etc/passwd
　　参数说明：
　　i：设定文件不能被删除、改名、设定链接关系，同时不能写入或新增内容。i参数对于文件 系统的安全设置有很大帮助。
　　实施目的
　　防止被非法创建系统账号
　　实施要求
　　实施风险
　　不能创建系统账号，如果在应用程序安装时，要自动创建账号，则需要将该属性去掉。
　　回退方案
　　执行chattr -i /etc/passwd
　　验证方法
　　5.4设置history 历史命令时间戳
　　编号
　　名称
　　设置history 历史命令时间戳
　　实施方案
　　sudo cp -p /etc/profile /etc/profile.bak
　　sudo vim /etc/profile
　　在文件最后添加
　　export HISTTIMEFORMAT="%F %T whoami "
　　实施目的
　　便于日志审计和事件追查。
　　实施要求
　　实施风险
　　无
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　5.5使PATH环境变更不包含当前目录”.”
　　编号
　　名称
　　使PATH环境变更不包含当前目录”.”
　　实施方案
　　echo $PATH
　　修改环境变更，去除”.”部分
　　/bin:/usr/local/sbin:/sbin:/bin:/usr/sbin:/usr/bin:/usr/java/jdk1.6.0_45/bin:/usr/local/bin:/root/bin
　　实施目的
　　防止执行恶意特洛伊×××，减少安全隐患
　　实施要求
　　实施风险
　　无
　　回退方案
　　验证方法
　　echo $PATH
　　5.6禁用control-alt-delete键盘关机命令
　　编号
　　名称
　　禁用control-alt-delete键盘关机命令
　　实施方案
　　centos 6.x以上版本
　　修改/etc/init/control-alt-delete.conf文件
　　找到如下行在本行前面加“#”注释掉命令功能
　　#exec /sbin/shutdown -r now   "Control-Alt-Delete pressed"
　　centos 5.x:

vim /etc/inittab
　　找到：ca::ctrlaltdel:/sbin/shutdown -t3 -r now，在本行前面加“#”注释掉命令功能
　　实施目的
　　增加系统安全性，降低安全隐患
　　实施要求
　　禁止ctl-alt-del使用在控制台按ctl-alt-del不能重启计算机
　　实施风险
　　无
　　回退方案
　　还原变更的参数值
　　验证方法
　　5.7设置系统启动时运行等级
　　编号
　　名称
　　设置系统启动时运行等级
　　实施方案
　　编辑/etc/inittab 文件：
　　id:5:initdefault:
　　改为：
　　id:3:initdefault:
　　注：5 为带X-Windows 桌面系统的运行级别，3 为多用户运
　　行级别。
　　实施目的
　　最小化系统服务，降低安全隐患
　　实施要求
　　确保系统运行在级别3
　　实施风险
　　无
　　回退方案
　　还原变更的参数值
　　验证方法
　　5.8隐藏系统提示信息
　　编号
　　名称
　　隐藏系统提示信息
　　实施方案
　　隐藏Linux系统发行版的名称、版本、内核版本、服务器的名称
　　删除/etc目录下的isue.net和issue文件：
　　#rm -f /etc/issue
　　#rm -f /etc/issue.net
　　实施目的
　　减少系统提示信息，降低安全隐患。
　　实施要求
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.9NTP时间同步
　　编号
　　名称
　　NTP时间同步
　　实施方案
　　0 /8    /usr/sbin/ntpdate 172.16.100.1;   /sbin/hwclock –w
　　注意：实际的NTP服务器可能与这里设置的不一样，根据实际的NTP服务器IP来配置。
　　实施目的
　　统一时间，防止因时间不一致导致的审计和订单错误
　　实施要求
　　每8小时同步一次时间
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.10设置grup密码
　　编号
　　名称
　　设置grup密码（进入单用户模式密码）
　　实施方案
　　备份配置文件
　　sudo cp -p /boot/grub/menu.lst   /boot/grub/menu.lst.bak
　　grup密码使用MD5加密成密码序列
　　sudo grub-md5-crypt
　　Password:              ---此处输入密码
　　Retype password:
　　设置grup密码
　　sudo vim /boot/grub/menu.lst
　　在splashimage=(hd0,0)下面添加
　　password --md5 xxxxxxxx  （xxxxxxxx为上面的密码序列）
　　注意：如果设置了grup密码,则需要做好记录，以免关键时刻无法从单用户模式进入系统。
　　实施目的
　　防止恶意用户在本地通过单用户模式登录系统做非法操作
　　实施要求
　　实施风险
　　无
　　回退方案
　　还原变更的参数值或者使用备份文件进行还原
　　验证方法
　　5.11日志集中存储
　　编号
　　名称
　　日志集中存储
　　实施方案
　　#vi /etc/rsyslog.conf
　　增加一行：
　　. @172.16.200.5
　　注意：实际的日志服务器的IP地址跟这里配置的不一样，根据实际的IP地址来配置。
　　实施目的
　　日志集中发送到日志服务器存储，方便审计和日志保留。
　　实施要求
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.12防恶意代码软件
　　编号
　　名称
　　防恶意代码软件
　　实施方案
　　安装ossec在/usr/local下
　　实施目的
　　文件一致性监控和报警
　　实施要求
　　监控系统重要文件的变更，如果是应用服务器，要监控应用服务器的目录，
　　设置脚本，在diff目录超过5G时，停止服务并删除diff文件，防止因监控目录过大导致的系统故障
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.13 DNS配置
　　编号
　　名称
　　DNS配置
　　实施方案
　　#vi /etc/reslov.conf
　　nameserver 172.16.100.53
　　nameserver 114.114.114.114
　　nameserver 8.8.8.8
　　nameserver 58.60.188.178
　　search dinpay.com
　　options attempts:2
　　options timeout:2
　　实施目的
　　统一DNS解析，防止因修改DNS配置而导致的异常
　　实施要求
　　需要连接数据库的主机，需要在第一行配置nameserver 172.16.100.53
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.14限制可使用sudo的用户和命令
　　编号
　　名称
　　限制可使用sudo的用户和命令
　　实施方案
　　#vi /etc/sudoers
　　User_Alias ADMINS=fxg,cqs,hjt,bzy,wxl,pb
　　Cmnd_Alias   CMD=/bin/vi,/bin/cat,/bin/more,/bin/ls
　　root      ALL=(ALL)       ALL
　　ADMINS    ALL=(root)      NOPASSWD:   ALL,!/usr/bin/passwd
　　ADMINS    ALL=(tomcat)    NOPASSWD: ALL
　　实施目的
　　限制可使用sudo的用户和命令,减少权限隐患
　　实施要求
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.15系统备份
　　编号
　　名称
　　系统备份
　　实施方案
　　安装bacula客户端，设置备份目录
　　实施目的
　　对装有应用和系统配置文件进行备份，用于系统恢复。
　　实施要求
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.16系统监控
　　编号
　　名称
　　系统监控
　　实施方案
　　安装Zabbix客户端
　　实施目的
　　对装有应用和系统配置文件进行备份，用于系统恢复。
　　实施要求
　　监控系统本身和应用的端口
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.17脚本文件
　　编号
　　名称
　　脚本文件
　　实施方案
　　实施目的
　　统一脚本放置目录，方便管理
　　实施要求
　　脚本文件统一放在/usr/local/script目录下，如果需要每日执行的，放在/etc/cron.daily目录下
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.18日志切割
　　编号
　　名称
　　日志切割
　　实施方案
　　例：
　　vim /etc/logrotate.d/nginx
　　/usr/local/nginx/logs/*.log{
　　daily
　　dateext
　　rotate 360
　　copytruncate
　　compress
　　notifempty
　　missingok
　　postrotate

      if [ -f /usr/local/nginx/logs/nginx.pid ];then
kill -USR1 `cat /usr/local/nginx/logs/nginx.pid`
fi
　　endscript
　　}
　　实施目的
　　对Nginx和Tomcat日志进行压缩切割，防止日志无限增大
　　实施要求
　　日志保留1年后转移到离线硬盘。
　　实施风险
　　无
　　回退方案
　　验证方法
　　5.19 /etc/hosts配置
　　编号
　　名称
　　/etc/hosts
　　实施方案
　　实施目的
　　实施要求
　　为避免出现IP域名不一致的情况，原则上除了200网段的主机其它网段或公网的域名一率通过dns进行解析，不允许通过/etc/hosts进行解析，如果有例外，记录在本文档最后例外记录里。
　　实施风险
　　回退方案
　　验证方法
　　4.20 NIS集中身份认证
　　编号
　　名称
　　NIS集中身份认证
　　实施方案
　　#vi /etc/yp.conf
　　domain dinpay.com server 172.16.200.3
　　#vi   /etc/rc.d/rc.local
　　/bin/nisdomainname dinpay.com
　　vi /etc/nsswitch.conf
　　passwd:     files   nis
　　shadow:     files   nis
　　hosts:      files   nis dns
　　#chkconfig   ypbind on
　　实施目的
　　统一系统账号管理
　　实施要求
　　实施风险
　　回退方案
　　验证方法