Menu Close 安全强化 使开源包含更多 对红帽文档提供反馈 1. RHEL 安全强化概述 Expand section "1. RHEL 安全强化概述" Collapse section "1. RHEL 安全强化概述" 1.1. 什么是计算机安全性? 1.2. 标准化安全 1.3. 加密软件和认证 1.4. 安全控制 Expand section "1.4. 安全控制" Collapse section "1.4. 安全控制" 1.4.1. 物理控制 1.4.2. 技术控制 1.4.3. 管理控制 1.5. 漏洞评估 Expand section "1.5. 漏洞评估" Collapse section "1.5. 漏洞评估" 1.5.1. 定义评估并测试 1.5.2. 建立漏洞评估方法 1.5.3. 漏洞评估工具 1.6. 安全威胁 Expand section "1.6. 安全威胁" Collapse section "1.6. 安全威胁" 1.6.1. 对网络安全的威胁 1.6.2. 服务器安全隐患 1.6.3. 对工作站和家庭 PC 安全的威胁 1.7. 常见的漏洞和攻击 2. 在安装过程中保护 RHEL Expand section "2. 在安装过程中保护 RHEL" Collapse section "2. 在安装过程中保护 RHEL" 2.1. BIOS 和 UEFI 安全 Expand section "2.1. BIOS 和 UEFI 安全" Collapse section "2.1. BIOS 和 UEFI 安全" 2.1.1. BIOS 密码 2.1.2. 非基于 BIOS 的系统安全性 2.2. 磁盘分区 2.3. 在安装过程中限制网络连接 2.4. 安装所需的最少软件包 2.5. 安装后流程 3. 保护服务 Expand section "3. 保护服务" Collapse section "3. 保护服务" 3.1. 保护 rpcbind 3.2. 保护 rpc.mountd 3.3. 保护 NFS Expand section "3.3. 保护 NFS" Collapse section "3.3. 保护 NFS" 3.3.1. 保护 NFS 配置 3.3.2. 保护 NFS 服务器的导出选项 3.3.3. 保护 NFS 客户端的挂载选项 3.3.4. NFS 服务器的防火墙配置 3.4. 保护 FTP 3.5. 安全 HTTP 服务器 Expand section "3.5. 安全 HTTP 服务器" Collapse section "3.5. 安全 HTTP 服务器" 3.5.1. 安全 Apache HTTP 服务器 3.5.2. 安全 NGINX 服务器 4. 安装启用了 FIPS 模式的 RHEL 8 系统 Expand section "4. 安装启用了 FIPS 模式的 RHEL 8 系统" Collapse section "4. 安装启用了 FIPS 模式的 RHEL 8 系统" 4.1. 联邦信息处理标准(FIPS) 4.2. 安装启用了 FIPS 模式的系统 4.3. 其它资源 5. 使用系统范围的加密策略 Expand section "5. 使用系统范围的加密策略" Collapse section "5. 使用系统范围的加密策略" 5.1. 系统范围的加密策略 5.2. 将系统范围的加密策略切换到与早期版本兼容的模式 5.3. 将系统切换到 FIPS 模式 5.4. 在容器中启用 FIPS 模式 Expand section "5.4. 在容器中启用 FIPS 模式" Collapse section "5.4. 在容器中启用 FIPS 模式" 5.4.1. 在 RHEL 8.2 中的容器中启用 FIPS 模式 5.4.2. 在 RHEL 8.1 及更早版本的容器中启用 FIPS 模式 5.5. 使用与 FIPS 140-2 不兼容的加密的 RHEL 应用程序列表 5.6. 将应用程序从下列系统范围的加密策略中排除 Expand section "5.6. 将应用程序从下列系统范围的加密策略中排除" Collapse section "5.6. 将应用程序从下列系统范围的加密策略中排除" 5.6.1. 选择不使用系统范围的加密策略的示例 5.7. 使用子策略自定义系统范围的加密策略 5.8. 通过自定义系统范围的加密策略来禁用 SHA-1 5.9. 创建并设置自定义系统范围的加密策略 5.10. 其它资源 6. 设置跨系统的自定义加密策略 Expand section "6. 设置跨系统的自定义加密策略" Collapse section "6. 设置跨系统的自定义加密策略" 6.1. 加密策略系统角色变量和事实 6.2. 使用加密策略系统角色设置自定义加密策略 6.3. 其它资源 7. 通过 PKCS#11 将应用程序配置为使用加密硬件 Expand section "7. 通过 PKCS#11 将应用程序配置为使用加密硬件" Collapse section "7. 通过 PKCS#11 将应用程序配置为使用加密硬件" 7.1. 通过 PKCS #11 的加密硬件支持 7.2. 使用保存在智能卡中的 SSH 密钥 7.3. 配置应用程序以使用智能卡的证书进行身份验证 7.4. 在 Apache 中使用 HSM 保护私钥 7.5. 使用 HSM 保护 Nginx 中的私钥 7.6. 其它资源 8. 使用共享的系统证书 Expand section "8. 使用共享的系统证书" Collapse section "8. 使用共享的系统证书" 8.1. 系统范围的信任存储 8.2. 添加新证书 8.3. 管理信任的系统证书 8.4. 其它资源 9. 扫描系统以了解配置合规性和漏洞 Expand section "9. 扫描系统以了解配置合规性和漏洞" Collapse section "9. 扫描系统以了解配置合规性和漏洞" 9.1. RHEL 中的配置合规工具 9.2. 漏洞扫描 Expand section "9.2. 漏洞扫描" Collapse section "9.2. 漏洞扫描" 9.2.1. 红帽安全咨询 OVAL 源 9.2.2. 扫描系统漏洞 9.2.3. 扫描远程系统的漏洞 9.3. 配置合规性扫描 Expand section "9.3. 配置合规性扫描" Collapse section "9.3. 配置合规性扫描" 9.3.1. RHEL 中的配置合规性 9.3.2. OpenSCAP 扫描的可能结果 9.3.3. 查看配置文件是否符合配置合规 9.3.4. 评估配置是否符合特定基准 9.4. 修复系统,使其与特定基准一致 9.5. 使用 SSG Ansible playbook 修复系统,使其与特定基准一致 9.6. 创建修复 Ansible playbook,使系统与特定的基准一致 9.7. 为后续应用程序创建补救 Bash 脚本 9.8. 使用 SCAP Workbench 用自定义配置文件扫描系统 Expand section "9.8. 使用 SCAP Workbench 用自定义配置文件扫描系统" Collapse section "9.8. 使用 SCAP Workbench 用自定义配置文件扫描系统" 9.8.1. 使用 SCAP Workbench 来扫描和修复系统 9.8.2. 使用 SCAP Workbench 自定义安全配置文件 9.8.3. 相关信息 9.9. 安装后立即部署符合安全配置集的系统 Expand section "9.9. 安装后立即部署符合安全配置集的系统" Collapse section "9.9. 安装后立即部署符合安全配置集的系统" 9.9.1. 配置文件与 Server with GUI 不兼容 9.9.2. 使用图形安装部署基本兼容 RHEL 系统 9.9.3. 使用 Kickstart 部署基本兼容 RHEL 系统 9.10. 扫描容器和容器镜像以查找漏洞 9.11. 使用特定基准评估容器或容器镜像的安全性合规 9.12. RHEL 8 中支持的 SCAP 安全指南配置文件 9.13. 相关信息 10. 使用 AIDE 检查完整性 Expand section "10. 使用 AIDE 检查完整性" Collapse section "10. 使用 AIDE 检查完整性" 10.1. 安装 AIDE 10.2. 使用 AIDE 执行完整性检查 10.3. 更新 AIDE 数据库 10.4. 文件完整性工具:AIDE 和 IMA 10.5. 其它资源 11. 使用内核完整性子系统提高安全性 Expand section "11. 使用内核完整性子系统提高安全性" Collapse section "11. 使用内核完整性子系统提高安全性" 11.1. 内核完整性子系统 11.2. 完整性测量架构 11.3. 扩展的验证模块 11.4. 可信和加密的密钥 11.5. 使用可信密钥 11.6. 使用加密密钥 11.7. 启用完整性测量架构和扩展验证模块 11.8. 使用完整性测量架构收集文件哈希 11.9. 其它资源 12. 使用 LUKS 加密块设备 Expand section "12. 使用 LUKS 加密块设备" Collapse section "12. 使用 LUKS 加密块设备" 12.1. LUKS 磁盘加密 12.2. RHEL 中的 LUKS 版本 12.3. LUKS2 重新加密过程中数据保护选项 12.4. 使用 LUKS2 加密块设备上的现有数据 12.5. 使用带有分离标头的 LUKS2 在块设备上加密现有数据 12.6. 使用 LUKS2 加密空白块设备 12.7. 使用存储角色创建 LUKS 加密卷 13. 使用基于策略的解密配置加密卷的自动解锁 Expand section "13. 使用基于策略的解密配置加密卷的自动解锁" Collapse section "13. 使用基于策略的解密配置加密卷的自动解锁" 13.1. 网络绑定磁盘加密 13.2. 安装加密客户端 - Clevis 13.3. 部署 SELinux 处于 enforcing 模式的 Tang 服务器 13.4. 轮转 Tang 服务器密钥并更新客户端上的绑定 13.5. 在 web 控制台中使用 Tang 键配置自动解锁 13.6. 基本的 NBDE 和 TPM2 加密客户端操作 13.7. 配置 LUKS 加密卷的手动注册 13.8. 使用 TPM 2.0 策略配置 LUKS 加密卷的手动注册 13.9. 手动从 LUKS 加密卷中删除 Clevis pin 13.10. 使用 Kickstart 配置 LUKS 加密卷的自动注册 13.11. 配置 LUKS 加密的可移动存储设备的自动解锁 13.12. 部署高可用性 NBDE 系统 Expand section "13.12. 部署高可用性 NBDE 系统" Collapse section "13.12. 部署高可用性 NBDE 系统" 13.12.1. 使用 Shamir 的 Secret 共享的高可用性 NBDE Expand section "13.12.1. 使用 Shamir 的 Secret 共享的高可用性 NBDE" Collapse section "13.12.1. 使用 Shamir 的 Secret 共享的高可用性 NBDE" 13.12.1.1. 示例 1:带有两个 Tang 服务器的冗余 13.12.1.2. 示例 2:Tang 服务器和 TPM 设备上共享的 secret 13.13. NBDE 网络中虚拟机的部署 13.14. 使用 NBDE 为云环境构建可自动注册的虚拟机镜像 13.15. 将 Tang 部署为容器 13.16. Clevis 和 Tang 系统角色介绍 13.17. 使用 nbde_server 系统角色设置多个 Tang 服务器 13.18. 使用 nbde_client 系统角色设置多个 Clevis 客户端 13.19. 其它资源 14. 审计系统 Expand section "14. 审计系统" Collapse section "14. 审计系统" 14.1. Linux 审计 14.2. 审计系统架构 14.3. 为安全环境配置 auditd 14.4. 启动和控制 auditd 14.5. 了解审计日志文件 14.6. 使用 auditctl 来定义和执行审计规则 14.7. 定义持久性审计规则 14.8. 使用预配置的规则文件 14.9. 使用 augenrules 来定义持久性规则 14.10. 禁用 augenrules 14.11. 设置审计来监控软件更新 14.12. 使用审计监控用户登录时间 14.13. 其它资源 15. 使用 fapolicyd 阻止和允许应用程序 Expand section "15. 使用 fapolicyd 阻止和允许应用程序" Collapse section "15. 使用 fapolicyd 阻止和允许应用程序" 15.1. fapolicyd 简介 15.2. 部署 fapolicyd 15.3. 使用其它信任源将文件标记为可信 15.4. 为 fapolicyd 添加自定义 allow 和 deny 规则 15.5. 启用 fapolicyd 完整性检查 15.6. 故障排除与 fapolicyd 相关的问题 15.7. 其它资源 16. 保护系统免受入侵 USB 设备的攻击 Expand section "16. 保护系统免受入侵 USB 设备的攻击" Collapse section "16. 保护系统免受入侵 USB 设备的攻击" 16.1. USBGuard 16.2. 安装 USBGuard 16.3. 使用 CLI 阻止和授权 USB 设备 16.4. 永久阻止和授权 USB 设备 16.5. 为 USB 设备创建自定义策略 16.6. 为 USB 设备创建结构化自定义策略 16.7. 授权用户和组使用 USBGuard IPC 接口 16.8. 将 USBguard 授权事件记录到 Linux 审计日志中 16.9. 其它资源 Document options Language: 日本語 English 한국어 简体中文 Português Español Format: Single-page HTML PDF ePub Red Hat Training A Red Hat training course is available for RHEL 8 11.2. 完整性测量架构 完整性测量架构 (IMA) 是内核完整性子系统的一个组件。IMA 旨在维护本地文件的内容。具体来说,IMA 在文件访问前测量、存储和应用文件哈希,这可以防止读取和执行不可靠的数据。因此,IMA 增强了系统的安全性。 Previous Next