Fedora core 2服务器平台安全设置揭密2

三、系统设置
1、限制Shell logging
Bash　shell在“~/.bash_history”（“~/”表示用户目录）文件中保存了500条使用过的命令，这样可以使你输入使用过的长命令变得容易。每个在系统中拥有账号的用户在他的目录下都有一个“.bash_history”文件。bash　shell应该保存少量的命令，并且在每次用户注销时都把这些历史命令删除。
第一步：
“/etc/profile”文件中 “HISTSIZE”行确定所有用户的“.bash_history”文件中可以保存的旧命令条数。强烈建议把把“/etc/profile”文件中的“HISTSIZE”值设为一个较小的数，比如30。编辑profile文件（vi　/etc/profile），把下面这行改为：

HISTSIZE=30

这表示每个用户的“.bash_history”文件只可以保存30条旧命令。
第二步：
网管还应该在"/etc/skel/.bash_logout"　
文件中添加下面这行"rm　-f$HOME/.bash_history"　。
这样，当用户每次注销时，“.bash_history”文件都会被删除。
编辑.bash_logout文件(vi　/etc/skel/.bash_logout)　，添加下面这行：

rm　-f　$HOME/.bash_history

2、修改SSH 连接端口
利用SSH我们可以远程管理Linux主机，不过如果设置不当，也会被黑客所利用，侵入系统。SSH默认连接端口为22，在实际工作中，笔者发现主机的22端口经常被扫描，试图以穷举法强行进行登陆，好在密码设置的比较复杂，才没有被侵入。因此笔者想到可以改变SSH连接端口，比如可以将连接端口设置为10000以上，呵呵，这样做就好比让小偷找不到门在哪里，又如何入室偷东西呢。具体修改方法如下：
vi /etc/ssh/sshd_config
将
#port 22
改为
port 20068
这样以后我们就需要通过20068这个端口来连接SSH了。
然后在填加DenyUser *禁止普通用户登陆，这样应该可以防一下，拒绝守护程序(daemon)帐号访问系统，如确定下面守护程序帐号不能访问系统：

DenyUsers daemon bin sync adm lp shutdown halt mail news uucp nobody operator sympa, squid, postgres, gopher, postfix, xfs.

3、设置TCP_WRAPPERS
默认的，Redhat Linux允许所有的请求，这是很危险的。如果用TCP_WRAPPERS来增强我们站点的安全性简直是举手之劳，你可以将禁止所有的请求放入“ALL: ALL”到/etc/hosts.deny中，然后放那些明确允许的请求到/etc/hosts.allow中，如:<

sshd: 192.168.1.10/255.255.255.0 gate.openarch.com

对IP地址192.168.1.10和主机名gate.openarch.com，允许通过ssh连接。配置完了之后，用tcpdchk检查，你可以直接执行：tcpdchk 。在这里，tcpchk是TCP_Wrapper配置检查工具，它检查你的tcp wrapper配置并报告所有发现的潜在/存在的问题。
后记
站长在研究设置Netfilter/iptables防火墙时，一度由于缺乏多主机的网络环境，以至学习的进展很慢，好在后来安装了Vmware虚拟机，在家中的WinXP下又虚拟出两台Fedora core 2来，并组建成一个局域网，才使得研究继续下去。如果你也为缺乏网络环境而苦难，那么请一定试试Vmware，相信会给你带来惊喜的！
其实Linux的安全设置还远远不止这些，由于站长的水平有限，只能写到这里了，不过站长以后还会继续更新这篇文章，也希望大家能多提宝贵意见！