System Security (系统安全) – Page 9

October 26, 2023October 26, 2023

[内容] Linux 是 BIOS 启动模式还是 UEFI 启动模式的判断

内容一：Linux 判断是 BIOS 启动模式还是 UEFI 启动模式的原理

系统的的启动模式分为 BIOS 启动模式和 UEFI 启动模式两种（截止到本文发表时）。如果 Linux 是使用的 UEFI 启动模式，则系统里会有 /sys/firmware/efi 文件，若没有此文件的话则代表系统的启动模式为 BIOS。

内容二：Linux 判断是 BIOS 启动模式还是 UEFI 启动模式的方法

# [ -d /sys/firmware/efi ] && echo 'The boot is UEFI' || echo 'The boot is BIOS'

补充：BIOS 启动模式和 UEFI 启动模式的特点

UEFI (Unified Extensible Firmware Interface) 是一种比 BIOS (Basic Input/Outpu System) 更新的启动方式，相比而言主要的区别是 UEFI (Unified Extensible Firmware Interface) 支持 Secure Boot。开启 Secure Boot 的系统在启动的时候更安全，但是某些杀毒软件会让开启 Secure Boot 的系统卡住。

July 27, 2023December 21, 2023

[步骤] Linux SSH 加密算法、全局加密算法、全局 Hash 算法、全局 TLS 版本、全局密钥加密算法的设置 (使用自定义 crypto policies 文件) (RHEL 8 版)

步骤一：确定 CRYPTO_POLICY= 参数

# vim /etc/sysconfig/sshd

确保部分内容如下：

......
# CRYPTO_POLICY=
......

步骤二：创建自定义 crypto policies 文件

# vim /etc/crypto-policies/policies/modules/CUSTOMER.pmod

创建以下内容：

# SSH Ciphers, Key-Exchange, Hash-Algorithms
ssh_cipher = AES-128-GCM AES-256-GCM
key_exchange = ecdh-sha2-nistp256 ecdh-sha2-nistp384
mac = HMAC-SHA2-256 HMAC-SHA2-256

# Global Ciphers
cipher = AES-128-GCM AES-256-GCM

# Global Hash
hash = SHA2-256 SHA2-384

# Global TLS
tls_cipher = AES-128-GCM AES-256-GCM
protocol = TLS1.3 TLS1.2
min_tls_version = TLS1.2

# Parameter sizes
min_dh_size = 4096
min_dsa_size = 4096
min_rsa_size = 4096

（
补充：这里以设置：
1) 创建名为 CUSTOMER.pmod 的自定义 crypto policies 文件
2) SSH cipher 是 AES-128-GCM 和 AES-256-GCM，SSH key_exchange 是 ecdh-sha2-nistp256 和 ecdh-sha2-nistp384，SSH mac 是 HMAC-SHA2-256 和 HMAC-SHA2-256
3) 全局 cipher 是 AES-128-GCM 和 AES-256-GCM
4) 全局 Hash 是 SHA2-256 和 SHA2-384
5) 全局 TLS cipher 是 AES-128-GCM 和 AES-256-GCM，TLS 版本必须要高于 TLS1.2
6) 全局加密算法 dh 必须要高于或等于 4096 位，dsa 必须要高于或等于 4096 位，rsa 必须要高于 4096
为例
）

步骤三：选择创建的自定义 crypto policies 文件

3.1 选择创建的自定义 crypto policies 文件

# update-crypto-policies --set DEFAULT:CUSTOMER

（补充：这里以选择名为 CUSTOMER.pmod 的自定义 crypto policies 文件为例）

3.2 让选择的自定义 crypto policies 文件

# update-crypto-policies

步骤四：确认选择的自定义 crypto policies 文件生效

# update-crypto-policies --show
DEFAULT:CUSTOMER

或者：

# cat /etc/crypto-policies/state/current
DEFAULT:CUSTOMER

（补充：这里显示选择了名为 CUSTOMER.pmod 的自定义 crypto policies 文件）

July 12, 2023January 20, 2024

[步骤] 系统升级（从 openSUSE Leap 15.3 升级到 openSUSE Leap 15.4）

步骤一：显示现在的系统版本

# cat /etc/*release*
NAME="openSUSE Leap"
VERSION="15.3"
ID="opensuse-leap"
ID_LIKE="suse opensuse"
VERSION_ID="15.3"
PRETTY_NAME="openSUSE Leap 15.3"
ANSI_COLOR="0;32"
CPE_NAME="cpe:/o:opensuse:leap:15.3"
BUG_REPORT_URL="https://bugs.opensuse.org"
HOME_URL="https://www.opensuse.org/"

（注意：确保显示的系统版本是 openSUSE Leap 15.3）

步骤二：准备升级

2.1 确认已使用的软件库

# zypper ls -d
#  | Alias                     | Name                               | Enabled | GPG Check | Refresh | Priority | Type   | URI
---+---------------------------+------------------------------------+---------+-----------+---------+----------+--------+---------------------------------------------------------------------------------------------
1  | repo-non-oss              | Non-OSS Repository                                           | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/distribution/leap/15.3/repo/non-oss/
2  | repo-oss                  | Main Repository                                              | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/distribution/leap/15.3/repo/oss/
3  | repo-update               | Main Update Repository                                       | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/update/leap/15.3/oss/
4  | repo-update-non-oss       | Update Repository (Non-Oss)                                  | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/update/leap/15.3/non-oss/
5  | repo-backports-update     | Update repository of openSUSE Backports                      | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/update/leap/15.3/backports/
6  | repo-sle-update           | Update repository with updates from SUSE Linux Enterprise 15 | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/update/leap/15.3/sle/

（
补充：
1) 确保以上软件库已处于 Enabled 状态
2) 手动启动这些软件库的命令如下

# zypper ar -fcg http://download.opensuse.org/distribution/leap/${releasever}/repo/non-oss/ Non-OSS Repository
# zypper ar -fcg http://download.opensuse.org/distribution/leap/${releasever}/repo/oss/ Main Repository
# zypper ar -fcg http://download.opensuse.org/update/leap/${releasever}/oss/ Main Update Repository
# zypper ar -fcg http://download.opensuse.org/update/leap/${releasever}/non-oss/ Update Repository (Non-Oss)
# zypper ar -fcg http://download.opensuse.org/update/leap/${releasever}/backports/ Update repository of openSUSE Backports
# zypper ar -fcg http://download.opensuse.org/update/leap/${releasever}/sle/ Update repository with updates from SUSE Linux Enterprise 15

）

2.2 刷新已使用的软件库

# zypper ref

（注意：确保刷新成功，否则请检查网络）

2.3 将所有 openSUSE Leap 15.3 软件包更新到最新版本

# zypper -n update

2.4 用 releasever 变量替换所有版本号

# sed -i 's/15.3/${releasever}/g' /etc/zypp/repos.d/*.repo

步骤三：升级系统

3.1 将版本号设置为 15.4 并刷新

# zypper --releasever=15.4 refresh

3.2 提前下载并安装 openSUSE Leap 15.4 所需的软件包

# zypper --releasever=15.4 dup --download-in-advance

3.3 升级系统

# zypper --releasever=15.4 dup

3.4 重启系统

# reboot

步骤四：后续检查

4.1 显示升级后的系统版本

# cat /etc/*release*
NAME="openSUSE Leap"
VERSION="15.4"
ID="opensuse-leap"
ID_LIKE="suse opensuse"
VERSION_ID="15.4"
PRETTY_NAME="openSUSE Leap 15.4"
ANSI_COLOR="0;32"
CPE_NAME="cpe:/o:opensuse:leap:15.4"
BUG_REPORT_URL="https://bugs.opensuse.org"
HOME_URL="https://www.opensuse.org/"

4.2 显示升级后已使用的软件库

# zypper ls -d
#  | Alias                     | Name                                                         | Enabled | GPG Check | Refresh | Priority | Type   | URI
---+---------------------------+------------------------------------+---------+-----------+---------+----------+--------+---------------------------------------------------------------------------------------------
1  | repo-non-oss              | Non-OSS Repository                                           | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/distribution/leap/15.4/repo/non-oss/
2  | repo-oss                  | Main Repository                                              | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/distribution/leap/15.4/repo/oss/
3  | repo-update               | Main Update Repository                                       | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/update/leap/15.4/oss/
4  | repo-update-non-oss       | Update Repository (Non-Oss)                                  | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/update/leap/15.4/non-oss/
5  | repo-backports-update     | Update repository of openSUSE Backports                      | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/update/leap/15.4/backports/
6  | repo-sle-update           | Update repository with updates from SUSE Linux Enterprise 15 | Yes     | (r ) Yes  | Yes     |   99     | rpm-md | http://download.opensuse.org/update/leap/15.4/sle/

July 8, 2023November 22, 2024

[步骤] Linux 所有非 root 用户操作的监控

步骤一：配置 /etc/profile 文件

1.1 配置 /etc/profile 文件

# vim /etc/profile

添加以下内容：

......
if [ $UID -ge 0 ]
then
    exec -a -f -q /var/log/script-records/$USER-$UID-`date +%Y%m%d`.log
fi

（补充：这里以把所有非 root 用户的操作写入 /var/log/script-records/$USER-$UID-date +%Y%m%d.log 文件为例）

1.2 让刚刚的配置生效

# source /etc/profile

或者：

# reboot

步骤二：创建 /var/log/script-records 目录

2.1 创建 /var/log/script-records 文件

# mkdir /var/log/script-records

2.2 配置 /var/log/script-records 文件的配置文件

# chmod 750 /var/log/script-records

July 8, 2023August 21, 2023

[内容] Linux 查看 auditd 日志的案例

案例一：查看文件创建记录

# /usr/sbin/ausearch --start $(date +\%m/\%d/\%Y -d "-1 month") -i --input-logs | egrep "/test/test.txt.*nametype=CREATE" | awk '{print $2,$3,$6}'

（补充：这里以查看 /test/test.txt 文件有没有被创建为例）

案例二：查看文件删除记录

# /usr/sbin/ausearch --start $(date +\%m/\%d/\%Y -d "-1 month") -i --input-logs | egrep "/test/test.txt.*nametype=DELETE" | awk '{print $2,$3,$6}'

（补充：这里以查看 /test/test.txt 文件有没有被删除为例）

案例三：查看文件有没有存在过

# /usr/sbin/ausearch --start $(date +\%m/\%d/\%Y -d "-1 month") -i --input-logs | egrep "/test/test.txt.*nametype=" | awk '{print $2,$3,$6}' | uniq

（补充：这里以查看 /test/test.txt 文件有没有存在过为例）