系统安全与应用

一，账户管理
1.常见的四种认证类型

（1）auth 认证管理（authentication management）
·作用：接受用户名和密码，进而对该用户的密码进行认证
（2）account 账户管理（account management）
·作用：检查账户是否被允许登录系统，账号是否已过期，账号的登录是否有时间段的
限制等
（3）password 密码管理（password management）
·作用：主要是用来修改用户的密码
（4）session 会话管理（session management）
·作用：主要是提供对会话的管理和记账（accounting）

2.常见的五种控制类型

（1）required 验证失败时仍然继续，但返回 Fail
（2）requisite 验证失败则立即结束整个验证过程，返回 Fail
（3）sufficient 验证成功则立即返回，不再继续，否则忽略结果并继续
（4）optional 不用于验证，只是显示信息（通常用于 session 类型）
（5）include 不进行认证，转到后面 PAM 模块进行认证

3，chattr命令的用法
常见命令参数
A：即Atime，告诉系统不要修改对这个文件的最后访问时间。
S：即Sync，一旦应用程序对这个文件执行了写操作，使系统立刻把修改的结果写到磁盘。
a：即Append Only，系统只允许在这个文件之后追加数据，不允许任何进程覆盖或截断这个文件。如果目录具有这个属性，系统将只允许在这个目录下建立和修改文件，而不允许删除任何文件。
b：不更新文件或目录的最后存取时间。
c：将文件或目录压缩后存放。
d：当dump程序执行时，该文件或目录不会被dump备份。
D:检查压缩文件中的错误。
i：即Immutable，系统不允许对这个文件进行任何的修改。如果目录具有这个属性，那么任何的进程只能修改目录之下的文件，不允许建立和删除文件。
s：彻底删除文件，不可恢复，因为是从磁盘上删除，然后用0填充文件所在区域。
u：当一个应用程序请求删除这个文件，系统会保留其数据块以便以后能够恢复删除这个文件，用来防止意外删除文件或目录。
t:文件系统支持尾部合并（tail-merging）。
X：可以直接访问压缩文件的内容。
二，密码安全控制
1，设置有效期密码
密码有效期控制
在文件/etc/login.defs中进行设置，如下参数

PASS_MAX_DAYS 180 #密码最长过期天数
PASS_MIN_DAYS 30 #密码最小过期天数
PASS_MIN_LEN 12 #密码最小长度
PASS_WARN_AGE 20 #密码过期警告天数
密码复杂度控制
通过/etc/pam.d/system-auth文件

password requisite pam_cracklib.so retry=5 difok=3 minlen=8 dcredit=-3 ucredit=-2 lcredit=-4 ocredit=-1 dictpath=/usr/share/cracklib/pw_dict

修改密码，可以重试的次数

retry=5

与旧密码不同的字符个数

difok=3

新密码最小长度

minlen=8

数字个数。大于0，最多；小于0，最少

dcredit=-3

大写字母个数。大于0，最多；小于0，最少

ucredit=-2

小写字母个数。大于0，最多；小于0，最少

lcredit=-4

特殊字符个数。大于0，最多；小于0，最少

ocredit=-1
2.用户配置文件 /etc/login.defs 简介
MAIL DIR
创建用户时,系统会在目录arspoolmail中创建一个用户邮箱,比如amp用户的邮箱是arr/maillamp.
/var/spool/mail
密码有效期,99999是自1970年1月1日起密码有效的天数,相当于273年,可理解为密码始终有效
PASS_MAX_DAYS
99999
PASSMINDAYS表示自上次修改密码以来,最少隔多少天后用户才能再次修改密码,默认值是0
PASS MIN LEN 5
指定密码的最小长度,默认不小于5位,但是现在用户登录时验证已经被PAM模块取代,所以这个选项并不生效。
PASSWARN_AGE7指定在密码到期前多少天,系统就开始通过用户密码即将到期,默认为7天
指定最小UD为500,也就是说,添加用户时,默认UD从500开始。注意,如果手工指定了一个用户的UD是550,那么
下一个创建的用户的UD就会从551开始,哪怕500~549之间的UD没有使用
UID MIN 500
UID_MAX 60000
指定用户最大的UD为60000
GID MIN 500
指定最小GD为500,也就是在添加组时,组的GD从500开始
用户GD最大为60000
GID_MAX 60000
CREATEHOME yes指定在创建用户时是否同时创建用户主目录,yes表示创建,no则不创建,默认是yes8
UMASK 077
用户主目录的权限默认设置为077
指定删除用户的时候是否同时删除用户组,准备地说,这里指的是删除用户的初始组,此项的默认值为yes