文章目录
前言
随着Linux的日益普及,越来越多的管理员开始进入到系统中为任务创建网络连接或服务器,这也使得Linux成为许多攻击者的选择。由于缺乏有关安全相关技术,系统管理员面临许多安全问题。学习Linux安全知识将有助于创建一个更安全的Linux系统。
- 作为一种开放源代码的操作系统,Linux服务器以其安全,高效和稳定的显著优势得以广泛应用
- 可以从账号安全控制,系统引导和登录控制的角度控制Linux系统的安全优化
- 还可以使用基于Linux系统环境的弱口令检测,网络扫描等安全工具,查找隐患,及时采取有针对性的防护措施
账号安全基本措施
系统账号清理
- 将非登录用户的Shelli设为/sbin/nologin
在Linux系统中,除了用户手动创建的各种账号之外,还包括随系统或程序安装过程而产生的其他大量账号
除了root之外,其他大量账号只是用来维护系统运作,启动或保持服务进程,一般是不允许登录的,也称为非登录用户
常见的非登录用户包括bin,daemon,adm,lp,mail,nobody,apache,mysql,dbus,ftp,gdm,haldaemon等。
为了确保系统安全,这些用户的登录shell通常是/sbin/nologin,表示禁止终端登录,应确保不被人为改动
[root@localhost ~]# grep "/sbin/nologin$" /etc/passwd #查看非登录用户
[root@localhost ~]# grep "bash$" /etc/passwd #查看当前可以登录的用户
- 锁定长期不使用的账号
对于长期不用的用户账号,若无法确定是否删除,可以暂时将其锁定,(passwd,usermod命令都可以用来锁定和解锁账号)
[root@localhost ~]# passwd -l lisi (或者 usermod -L lisi) #锁定用户lisi
[root@localhost ~]# usermod -U lisi (或者 passwd -u lisi) #解锁用户lisi
[root@localhost ~]# passwd -S lisi #查看账号状态
- 删除无用的账号
在非登录用户中,还有一部分是很少用到的,如news,uucp,games,gopher等,这些用户可视为冗余账号,可以直接删除
此外,还有一些随着应用程序安装的用户账号,若程序卸载以后未能自动删除,需要人为手动删除 - 锁定账号文件passwd、shadow
如果服务器中的用户账号已经固定,不在进行更改,还可以采取锁定账号配置文件的方法
使用chattr命令,分别结合“+i”“-i”选项来锁定,解锁文件,使用lsattr命令可以查看文件锁定情况 - 锁定长期不使用的账号
chattr命令基本格式
chattr +i [目标文件] #锁定目标文件
chattr -i [