Linux系统的安全及应用

一，账号基本安全措施

1.账号安全控制

2.锁定文件状态

查看文件状态：

lsattr /etc/passwd

lsattr /etc/shadow

锁定：

chattr +i /etc/passwd

重要文件：/etc/passwd /etc/shadow /etc/fstab

解锁：

chattr -i /etc/passwd

3.对密码进行安全控制

vim /etc/login.defs 修改配置，改变账号创建时密码的最大有效期，这种方式只能针对新建用户，已有用户不在此范围内

进入编辑：底行模式 set nu 到25行

passwd_max_days 30 密码有效期30天

此时新建用户密码有效期30天

· vim /etc/shadow 修改已经存在的用户，直接进去修改（不推荐）

· chage -M 30 用户 把用户密码有效期改成30天

· chage -d 0 用户 强制用户下次登录修改密码

4.对历史命令进行限制

 history -c 临时清除，重启之后还在

vim /etc/profile

换成=20，限制为20条历史记录，保存并退出

再用source /etc/profile命令查看便会显示20条历史命令记录

5.使用su命令切换用户

su - 用户 完整切换

su 用户 不完全切换，环境变量不变

再root用户下su有刷新作用

exit可以直接退出当前系统登录的用户

6.限制用户使用su命令

限制用户进行切换：为了方便，会给一些普通用户类似管理员的权限，这些用户是禁止切换的，只能自己用，不能随便切换到其他用户

wheel组：是一个特殊的组，通常用于控制系统管理员（root）权限的访问，加入wheel组之后可以和root管理员一样使用一些敏感命令。

有一个限制条件：sudo 可以和管理员一样执行root管理员的命令，必须要加入wheel组

wheel组默认为空的，需要手动添加，而且不会给所有权限，会进行限制，只能使用一些特定命令

vim /etc/pam.d/su 切换用户认证的模块

底行模式：set nu 看第六行 先取消注释

auth 表示权限

required 表示接受

是根据use_uid来进行认证 这一行命令就是表示普通用户之间切换su将会受到限制，除非加入wheel组，否则将不能随意进行用户切换

7.pam可插拔认证模块

pam 可插拔式认证模块，相当于身份认证的框架，提供给用户一种标准的身份认证接口，管理员可以定制化配置各种认证方式

可插拔：即配即用，即删即失效

vim /etc/pam.d/su 切换用户认证的模块

底行模式：set nu 看第六行 加上注释就生效了，普通用户之间切换没有其他限制了

打开认证---su这个命令进行验证和限制---用户不能随便切换用户---除非加入wheel，否则不能进行用户切换

8.通过sudo机制提升权限

sudo核心就是普通用户可以使用管理员才能够使用的命令，但是这个权限移动要进行限制

vim /etc/sudoers 是一个只读文件，提升sudo命令的安全范围限制，只能使用特定的命令，或者禁止使用一些命令

想要退出必须使用强制命令

sudo命令的用途及用法：
用途：以其他用户身份（如root）执行授权命令
用法：sudo  授权命令
1.
配置sudo授权
visudo      //自带语法检查功能（建议使用）
或者 vim  /etc/sudoers
记录格式：
 
root     ALL=(ALL)        ALL
 
解析：
root    哪个用户要使用命令
ALL     哪台主机
(ALL)   以谁的身份运行
ALL     所有命令
 
所有命令里面可以使用通配符" * "号任意值和" ！"号进行取反操作。
 
visudo -c        //检查语法是否正确
 
 
%在前表示组
## Allows people in group wheel to run all commands
%wheel  ALL=(ALL)       ALL 
wheel组表示管理员组是比较特殊的一个组，在wheel组中的成员可以使用任何命令
 
 
2.
配置/etc/sudoers文件，可以授权用户较多的时使用,相当于设置了别名
​
 Host_Alias MYHOST= localhost,XXX  //主机名
 User_Alias USERS = wangwu01,wangwu02,lisi    //需要授权的用户   
 Cmnd_Alias MYCMD =/usr/bin/*    //授权
 USERS  MYHOST=    NOPASSWD : MYCMD       //授权格式
​
​
3.查看sudo操作记录
需启用Defaults logfile
 
 
配置默认日志文件:
visudo 进入编辑模式
 
添加以下内容：
Defaults logfile = "/data/sudo.log"