CentOS 5.5 系统安全配置(4)

看到：
net.ipv4.tcp_max_syn_backlog = 1024
net.ipv4.tcp_syncookies = 0
net.ipv4.tcp_synack_retries = 5
net.ipv4.tcp_syn_retries = 5
tcp_max_syn_backlog是SYN队列的长度，tcp_syncookies是一个开关，是否打开SYN Cookie功能，该功能可以防止部分SYN攻击。tcp_synack_retries和tcp_syn_retries定义SYN的重试次数。
加大SYN队列长度可以容纳更多等待连接的网络连接数，打开SYN Cookie功能可以阻止部分SYN攻击，降低重试次数也有一定效果。
调整上述设置的方法是：
vi /etc/rc.d/rc.local ,将下面的命令法添加进去

1. sysctl -w net.ipv4.tcp_max_syn_backlog=2048 #增加SYN队列长度到2048
2. sysctl -w net.ipv4.tcp_syncookies=1 #打开SYN COOKIE功能
3. sysctl -w net.ipv4.tcp_synack_retries=3 #降低重试次数
4. sysctl -w net.ipv4.tcp_syn_retries=3

2）防止IP欺骗
编辑host.conf文件并增加如下几行来防止IP欺骗攻击。

1. order hosts,bind #名称解释顺序
2. multi on #允许主机拥有多个IP地址
3. nospoof on #禁止IP地址欺骗

3）防止DoS攻击
对系统所有的用户设置资源限制可以防止DoS类型攻击，如最大进程数和内存使用数量等。
例如，可以在/etc/security/limits.conf中添加如下几行：

1. * hard core 0
2. * hard rss 5000
3. * hard nproc 20

然后必须编辑/etc/pam.d/login文件检查下面一行是否存在。
session required /lib/security/pam_limits.so
4）修改sshd_config文件
首先修改配置文件 vi /etc/ssh/sshd_config
a 修改SSH端口
找到#Port 22一段，这里是标识默认使用22端口，修改为如下：

1. Port 22
2. Port 50000

然后保存退出