Sysctl을 사용하여 CentOS 7 커널 보안 및 강화

• 소개
• 명령
• 커널 보안 및 강화
• 결론

소개

Sysctl커널을 다시 만들지 않고도 커널을 미세 조정할 수 있습니다. 또한 변경 사항을 즉시 적용하므로 변경 사항을 적용하기 위해 서버를 다시 부팅하지 않아도됩니다. 이 튜토리얼은 sysctlLinux 커널의 특정 부분을 조정하는 데 사용하는 방법을 간략하게 소개 하고 보여줍니다.

명령

sysctl 사용을 시작하려면 아래 나열된 매개 변수 및 예제를 검토하십시오.

매개 변수

-a : sysctl 구성에서 현재 사용 가능한 모든 값을 표시합니다.

-A : sysctl 구성에서 현재 사용 가능한 모든 값을 표 형식으로 표시합니다.

-e :이 옵션은 알 수없는 키에 대한 오류를 무시합니다.

-p : 특정 sysctl 구성을로드하는 데 사용되며 기본적으로 사용됩니다./etc/sysctl.conf

-n :이 옵션은 값을 인쇄 할 때 키 이름 표시를 비활성화합니다.

-w :이 옵션은 필요시 sysctl에 값을 변경 (또는 추가)하기위한 것입니다.

예

$ sysctl -a
$ sysctl -n fs.file-max
$ sysctl -w fs.file-max=2097152
$ sysctl -p

먼저 기본값을 확인합니다. /etc/sysctl.conf비어있는 경우 모든 기본 키와 값이 표시됩니다. 둘째, 값이 무엇인지 확인한 fs.file-max다음 새 값을로 설정합니다 2097152. 마지막으로 새 /etc/sysctl.conf구성 파일을 로드 합니다.

추가 도움이 필요한 경우을 사용할 수 있습니다 man sysctl.

커널 보안 및 강화

변경 사항을 영구적으로 유지하려면 이러한 값을 구성 파일에 추가해야합니다. CentOS가 기본적으로 제공하는 구성 파일을 사용하십시오 /etc/sysctl.conf.

선호하는 편집기로 파일을 엽니 다.

기본적으로 이와 비슷한 것을 볼 수 있습니다.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

먼저 시스템 메모리 관리를 개선하겠습니다.

스와핑의 양을 최소화하고 파일 핸들 및 inode 캐시의 크기를 늘리며 코어 덤프를 제한 할 것입니다.

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

다음으로 네트워크 최적화 성능을 조정하십시오.

들어오는 연결 및 들어오는 연결 백 로그의 양을 변경하고 최대 메모리 버퍼 양을 늘리고 기본 및 최대 보내기 / 받기 버퍼를 늘리려 고합니다.

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

마지막으로 일반적인 네트워크 보안을 향상시킬 것입니다.

우리는 TCP SYN 쿠키 보호, IP 스푸핑 보호, ICMP 요청 무시, 브로드 캐스트 요청 무시 및 스푸핑 된 패킷, 소스 라우팅 된 패킷 및 경로 재 지정된 패킷에 로깅을 활성화 할 것입니다. 이와 함께 IP 소스 라우팅 및 ICMP 리디렉션 수락을 비활성화합니다.

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0

파일을 저장하고 닫은 다음 sysctl -p명령을 사용하여 파일을로드하십시오 .

결론

결국 파일은 이와 비슷해야합니다.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0