Autore: Calogero Bonasia www.linuxteam.it
Ultima revisione: 29 dicembre 2008

• impostare come prima unità di avvio il disco fisso
• disabilitare il floppy disk e il CD
• impostare una password di BIOS
• disabilitare il boot da usb o da PXE
• disabilitare l'accesso da consolle seriale se previsto

È possibile impedire all'utente di eseguire modifiche al kernel per LILO aggiungere in /etc/lilo.conf, prima della definizione delle immagini, le righe:

  restricted
  password=unapassword

Per GRUB in /boot/grub/grub.conf la riga

  password = unapassword

ed evitare che i due file siano leggibili da tutti gli utenti

  chmod 600 /etc/lilo.conf

Impostare una password di root per il single user in /etc/inittab

  ~~:S:wait:/sbin/sulogin

Nei sistemi UNIX-like, le applicazioni vengono eseguite con i privilegi dell'utente che le lancia, tranne nel caso in cui siano state impostate “SUID”. In quest'ultimo caso, vengono eseguite con i privilegi del loro owner. Quindi una applicazione SUID root viene eseguita con i privilegi di root. Questo significa che eventuali problemi di sicurezza avranno un impatto molto più alto. Per vedere i comandi con SUID attivo

  find / \( ! -fstype nfs \) -type f \( -perm -04000 -o -perm -02000 \) -exec ls -l {} \;

Modificare quindi

  chmod a-s /usr/bin/chage
  chmod a-s /usr/bin/gpasswd
  chmod a-s /usr/bin/wall
  chmod a-s /usr/bin/chfn
  chmod a-s /usr/bin/chsh
  chmod a-s /usr/bin/newgrp
  chmod a-s /usr/bin/at
  chmod a-s /usr/bin/gpg
  chmod a-s /usr/bin/man
  chmod a-s /usr/bin/rcp
  chmod a-s /usr/bin/rsh
  chmod a-s /usr/bin/crontab
  chmod a-s /usr/sbin/postdrop
  chmod a-s /usr/sbin/postqueue
  chmod a-s /usr/sbin/utempter
  chmod a-s /usr/bin/passwd
  chmod a-s /usr/bin/write
  chmod a-s /bin/ping
  chmod a-s /bin/ping6
  chmod a-s /bin/mount
  chmod a-s /bin/eject
  chmod a-s /bin/umount
  chmod a-s /usr/bin/expiry
  chmod a-s /usr/lib/pt_chown
  chmod a-s /usr/bin/rlogin
  chmod a-s /sbin/unix_chkpwd
  chmod a-s /sbin/unix2_chkpwd

Disabilitare

  chmod 0 /usr/bin/rcp
  chmod 0 /usr/bin/rlogin
  chmod 0 /usr/bin/rsh
  find /home -name .rhosts -exec rm -i {} \;
  chmod 0 /usr/bin/telnet
  rpm -e telnet-server
  chmod 0 /usr/bin/ftp

Aprire il file /etc/ssh/sshd_config e individuare la riga Protocol = 2,1 e decommentarla, commentare X11Forwarding yes e fare la stessa cosa sul file /etc/ssh/ssh_config. Individuare la riga Protocol = 2,1 e decommentarla, commentare ForwardX11Trusted yes.

Dare:

rcsshd restart

Commentare in /etc/inittab

  a::ctrlaltdel:/sbin/shutdown -t3 -r now

Impostare la scadenza della password per gli utenti in /etc/login.defs

  PASS_MAX_DAYS 180
  PASS_WARN_AGE 14

Per gli utenti già creati, impostare come segue:

  chage -l $utente
  chage -M 180 -W 14 $utente

Per limitare i Denial Of Service, modificare il numero di CoreDump e il numero di processi a disposizione di ciascun utente in /etc/security/limits.conf

  hard core 0
  soft nproc 200
  hard nproc 250

  echo "alias net-pf-10 off" >> /etc/modprobe.conf
  echo "alias ipv6 off" >> /etc/modprobe.conf

infine riavviare il sistema.