内核参数

    1. 将表3中的加固项写入/etc/sysctl.conf文件中。

      表 3 内核参数加固策略说明

    • net.ipv4.icmp_echo_ignore_all：忽略ICMP请求。

      出于安全考虑，建议开启此项（当前默认值为0，开启将值设为1）。

      但开启后会忽略所有接收到的icmp echo请求的包(会导致机器无法ping通)，建议用户根据实际组网场景决定是否开启此项。

    • net.ipv4.conf.all.log_martians/net.ipv4.conf.default.log_martians：对于仿冒/源路由/重定向数据包开启日志记录。

      出于安全考虑，建议开启此项（当前默认值为0，开启将值设为1）。

      但是开启后会记录带有不允许的地址的数据到内核日志中，存在冲日志风险，建议用户根据实际使用场景决定是否开启此项。

    • net.ipv4.tcp_max_syn_backlog：决定了SYN_RECV状态队列的数量。