環境準備：
1）設置本地國際化語言為en_US.UTF-8
[root@c58 ~]# sed -i 's/^\(LANG=\).*$/\1"en_US.UTF-8"/' /etc/sysconfig/i18n
[root@c58 ~]# cat /etc/sysconfig/i18n
LANG="en_US.UTF-8"
[root@c58 ~]# LANG=en_US.UTF-8
2）更新系統軟件包
備份默認yum源：
find /etc/yum.repos.d -name '*.repo' -exec mv {} {}.bak \;
添加163yum源：
redhat5或centos5：
wget http://mirrors.163.com/.help/CentOS5-Base-163.repo -P /etc/yum.repos.d
redhat6或centos6
wget http://mirrors.163.com/.help/CentOS6-Base-163.repo -P /etc/yum.repos.d
添加epel yum源：
redhat5.x 32bit:
rpm -ivh http://dl.fedoraproject.org/pub/epel/5/i386/epel-release-5-4.noarch.rpm
redhat5.x 64bit:
rpm -ivh http://dl.fedoraproject.org/pub/epel/5/x86_64/epel-release-5-4.noarch.rpm
redhat6.x 32bit:
rpm -ivh http://dl.fedoraproject.org/pub/epel/6/i386/epel-release-6-8.noarch.rpm
redhat6.x 64bit:
rpm -ivh http://dl.fedoraproject.org/pub/epel/6/x86_64/epel-release-6-8.noarch.rpm
>
更新證書：
yum -y upgrade ca-certificates --disablerepo=epel
更新系統所有軟件包：
yum clean allyum makecacheyum -y upgrade
下文以redhat5/centos5為例
一、服務最小化原則
關閉所有開機自啟動服務，僅開啟sshd、crond、network、iptables、syslog（redhat5）、rsyslog（redhat6），然后在此基礎上按需添加需要開機啟動的服務。
1）關閉所有開機自啟動服務
[root@c58 ~]# for i in `chkconfig --list | awk '{if ($1~/^$/) {exit 0;} else {print $1}}'`; do chkconfig $i off; done
2）開啟基礎服務
[root@c58 ~]# for i in sshd network syslog crond iptables; do chkconfig $i on; done
3）查看開啟的服務
[root@c58 ~]# chkconfig --list | grep '3:on'
crond 0:off 1:off 2:on 3:on 4:on 5:on 6:off
iptables 0:off 1:off 2:on 3:on 4:on 5:on 6:off
network 0:off 1:off 2:on 3:on 4:on 5:on 6:off
sshd 0:off 1:off 2:on 3:on 4:on 5:on 6:off
syslog 0:off 1:off 2:on 3:on 4:on 5:on 6:off
二、用戶登錄限制
1）禁止使用root用戶使用遠程ssh
[root@c58 ~]# cd /etc/ssh
[root@c58 ssh]# cp sshd_config sshd_config~
[root@c58 ssh]# sed -i 's/#\(PermitRootLogin \)yes/\1no/' sshd_config
[root@c58 ssh]# grep 'PermitRoot' /etc/ssh/sshd_config
PermitRootLogin no
2）禁用登錄提示信息
[root@c58 ssh]# >/etc/motd
3）修改ssh的默認監聽端口（tcp：22）
#這里修改為tcp的11983端口
[root@c58 ssh]# sed -i 's/#\(Port \)22/\11983/' sshd_config
[root@c58 ssh]# grep 'Port ' sshd_config
Port 11983
4）只允許指定的ip可以ssh (可選)
方法1（使用tcpwrapper）：
#只允許192.168.124.0網段的ip使用ssh
echo "sshd:192.168.124.0/255.255.255.0" >> /etc/hosts.allow
echo "sshd:ALL" >> /etc/hosts.deny
方法2（使用iptables）：
#注意，遠程操作時需留心，以免把自己也拒絕而導致無法遠程連接。如只允許192.168.1.0網段的所有ip進行ssh，其他所有ip都拒絕#先允許自己的ip，以防被后面的操作誤傷
iptables -I INPUT -s 10.0.0.1 -p tcp --dport 22 -j ACCEPT
#允許192.168.1.0網段
iptables -I 2 INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT
#拒絕所有
iptables -I 3 INPUT -p tcp --dport 22 -j DROP
#保存iptables的設置：
cp /etc/sysconfig/iptables /etc/sysconfig/iptables~
iptables-save > /etc/sysconfig/iptables
最后，重啟sshd服務使上面配置生效（不用擔心重啟時已打開的遠程終端連接會斷開，重啟只會對新開的終端生效）
[root@c58 ssh]# /etc/init.d/sshd restart
Stopping sshd: [ OK ]
Starting sshd: [ OK ]
三、用戶及命令權限最小化
創建一個普通用戶tom，將其加入sudo組，該用戶作為系統管理員
groupadd sudo #創建sudo組
useradd -G sudo tom #創建tom用戶，加入sudo組
passwd tom #設置tom用戶的登陸密碼
修改sudo配置文件，授權sudo組的用戶可以以root身份執行所有命令（可以針對不同用戶授予不同的命令執行權限，這里允許執行所有命令，生產環境中系統管理員應該按需為用戶分配盡可能少的可執行命令，以實現權限最少化），用戶執行的所有sudo操作都將記錄在/var/log/sudo.log中，以便日后的安全事件排查。執行命令如下：
[root@cloud ~]# cat >> /etc/sudoers EOF
> %sudo ALL=(root) ALL
> Defaults logfile=/var/log/sudo.log
> EOF
[root@cloud ~]# visudo -c
[root@cloud ~]# echo "local2.debug /var/log/sudo.log" >> /etc/syslog.conf
[root@cloud ~]# /etc/init.d/syslog restart
注："visudo -c"命令用于檢查 /etc/sudoers 文件的語法正確性
四、內核安全參數設置
vim /etc/sysctl.conf #添加如下內容：
#關閉對ping包的響應(可選，一般不建議，因為不方便網絡故障時的排查)
net.ipv4.icmp_echo_ignore_all = 1
#關閉對廣播ping的響應
net.ipv4.icmp_echo_ignore_broadcasts = 1
#開啟syncookie用于防范syn flood攻擊，當出現syn等待隊列溢出時（syn數量超過tcp_max_syn_backlog的設置值），啟用cookie來處理，server在回復syn_ack前會先請求client回復一個序列號，該序列號中要求包含原先syn包中的信息，如果序列號不正確，則server端會忽略此syn連接。
net.ipv4.tcp_syncookies = 1
#設置sync_ack的最大重傳次數，默認值為5，范圍0-255，重傳5次的時間大約為180s
net.ipv4.tcp_synack_retries = 3
# 設置當keepalive打開的情況下，keepalive消息的發送間隔，默認為2小時(由于目前網絡攻擊等因素,造成了利用這個進行的攻擊很頻繁,如果兩邊建立了連接，然后不發送任何數據或者rst/fin消息,那么持續的時間就是2小時,成就了空連接攻擊，tcp_keepalive_time就是預防此情形的.）
net.ipv4.tcp_keepalive_time = 1200
保存退出后，執行"sysctl -p"命令將以上設置加載到內核使其立刻生效
五、 內核性能相關參數設置（可選）
vim /etc/sysctl.conf #添加如下內容：
#設置syn等待隊列的長度，對于內存大于128M的機器，默認值是1024，在并發請求較大時，可以調大該值
net.ipv4.tcp_max_syn_backlog
#開啟timewait重用。允許將time_wait socket重新用于新的tcp連接
net.ipv4.tcp_tw_reuse = 1
#開啟tcp連接中time_wait socket的快速回收
net.ipv4.tcp_tw_recycle = 1
#TCP發送keepalive探測以確定該連接已經斷開的次數，默認值為9
net.ipv4.tcp_keepalive_probes = 5
#指定探測消息發送的頻率，該值乘以tcp_keepalive_probes就可以得到從開始探測到連接被刪除所需的時間。默認值為75，也就是沒有活動的連接將在大約11分鐘以后將被丟棄。(對于普通應用來說,這個值有一些偏大,可以根據需要改小.特別是web類服務器需要改小該值,15是個比較合適的值)
net.ipv4.tcp_keepalive_intvl = 15
#表示系統同時保持TIME_WAIT socket的最大數量，如果超過這個數字，TIME_WAIT套接字將立刻被清除并輸出警告信息。默認為180000，改為5000.對于squid服務器來說，此參數可以控制TIME_WAIT套接字的最大數量，避免squid服務器被大量的TIME_WAIT socket拖死。
net.ipv4.tcp_max_tw_buckets = 5000
#表示向外連接的端口范圍。默認值很小：32768~61000，改為1024~65000
net.ipv4.ip_local_port_range=1024 65000
保存退出后，執行"sysctl -p"命令將以上設置加載到內核使其立刻生效
