一、账号安全基本措施
1.1 系统账号清理
将非登录用户的Shell设为/sbin/nologin
usermod -s /sbin/nologin 用户名
1.1.1 锁定长期不使用的账号
usermod -L 用户名
passwd -l 用户名
passwd -S 用户名
1.1.2 删除无用的账号
userdel [-r] 用户名
1.1.3 锁定账号文件passwd、shadow
chattr +i /etc/passwd /etc/shadow ---锁定文件
lsattr /etc/passwd /etc/shadow ---查看状态
chattr -i /etc/passwd /etc/shadow ---解锁文件
1.2 密码安全控制
- 设置密码有效期
- 要求用户下次登录时修改密码
1.2.1 实例
对于新建用户，可以进入/etc/login.defs进行修改属性，设置密码规则，使得在下次创建用户时密码信息生效
设置密码有效期，要求用户下次登录时修改密码
1、适用于新建用户
[root@localhost ~]# vi /etc/login.defs #修改配置文件
第25行：
PASS_MAX_DAYS 30 #修改密码有效期为30天
[root@localhost ~]# chage -M 30 lisi #修改密码有效期
[root@localhost ~]#cat /etc/shadow | grep lisi
1.3 命令历史限制
- 减少记录的命令条数
- 登录时自动清空命令历史
1.4 终端自动注销
闲置600秒后自动注销
1.5 实例
[root@localhost ~]# vi /etc/profile
export HISTSIZE=200
[root@localhost ~]# source /etc/profile
[root@localhost ~]# vi ~/.bashrc
echo " " > ~/.bash_history
[root@localhost ~]# vi /etc/profile
……
export TMOUT=600
[root@localhost ~]# source /etc/profile
1.6 使用su命令切换用户
1.6.1 用途及用法
- 用途：Substitute User，切换用户
- 格式
su -目标用户
1.6.2 密码验证
- root —任意用户，不验证密码
- 普通用户 —其他用户，验证目标用户的密码
[jerry@localhost ~]$ su -root
口令：
[root@localhost ~]# whoami
root
1.6.3 限制使用su命令的用户
-
将允许使用su命令的用户加入wheel组
-
启用pam_wheel认证模块
pam_wheel：PAM系统相关的认证权限管理
[root@localhost ~]# gpasswd -a tsengyia wheel
tsengyia
正在将用户“tsengyia”加入到“wheel”组中
[root@localhost ~]# vi /etc/pam.d/su
#%PAM-1.0
auth sufficient pam_rootok.so
auth required pam_wheel.so use_uid
……
1.6.4 查看su操作记录
- 安全日志：/var/log/secure
1.6.5 实例
有dn和xy03两个用户，要求设置dn可以使用su命令切换用户，xy03用户不允许使用
vim /etc/pam.d/su #编辑/etc/pam.d/su配置文件
auth required pam_wheel.so use_uid #将第六行的注释取消即可
gpasswd -a dn wheel #将希望可以使用su命令的用户加入wheel组中
[root@localhost dn]#passwd -S dn #查询密码状态
dn PS 1969-12-31 0 99999 7 -1（密码已设置，使用SHA512算法。）
dn：指定用户的用户名
PS：用户密码的状态标识符。这里P表示密码已经设置，且可用
二、系统安全及应用
-
从不同角度加强对系统的安全管控
-
主要的方向就是权限
2.1 Linux中的PAM安全认证
2.1.1 su命令的安全隐患
- 默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户（如root）的登录密码，带来安全风险
- 为了加强su命令的使用控制，可借助于PAM认证模块，只允许极个别用户使用su命令进行切换
2.1.2 PAM可插拔式认证模块
- 是一种高效而且灵活便利的用户级别的认证方式
- 也是当前Linux服务器普遍使用的认证方式
2.2 PAM认证原理
- 一般遵循的顺序
- Service（服务） —PAM（配置文件） — pam_*.so
- 首先要确定哪一项服务，然后加载相应的PAM的配置文件（位于/etc/pam.d下），最后调用认证文件（位于/lib64/security下）进行安全认证
- 用户访问服务器时，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证
- 不同的应用程序所对应的PAM模块是不同的
2.2.1 过程
1、su —service服务
2、加载PAM配置文件 —/etc/pam.d/su
3、/lib64/security —配置帮助进行安全认证生效应用完成的过程
2.3 PAM认证的构成
- 查看某个程序是否支持PAM认证，可以用ls命令
- 实例
查看su是否支持PAM模块认证
ls /etc/pam.d | grep su
- 查看su的PAM配置文件：cat /etc/pam.d/su
- 每一行都是一个独立的认证过程
- 每一行可以区分为三个字段
- 认证类型
- 控制类型
- PAM模块及参数
三、使用sudo机制提升权限
3.1 su命令的缺点
3.2 sudo命令的用途及用法
- 用途：以其他用户身份（如root）执行授权的命令
- 用法 sudo 授权命令
3.3 配置sudo授权
- visudo或者vi /etc/sudoers
- 记录格式 用户 主机名=命令程序列表
[root@localhost ~l# visudo 可以使用通配符 * 、取反符号!
……
%wheel ALL=NOPASSWD: ALL
jerry localhost=/sbin/ifconfig
syrianer localhost=/sbin/*,!/sbin/ifconfig,!/sbin/route
Cmnd Alias PKGTOOLS=/bin/rpm,/usr/bin/yum
mike localhost=PKGTOOLS
3.4 具体解析
visudo 或 vi /etc/sudoers（此文件的默认权限为 440，保存退出时必须执行“：wq!”命令来强制操作）
语法格式：
用户 主机名=命令程序列表
用户 主机名=（用户）命令程序列表
用户：直接授权指定的用户名，或采用 ”%组名” 的形式（授权一个组的所有用户）主机名：使用此规则的主机名。没配置过主机名时可用localhost，有配过主机名则用实际的主机名，ALL则代表所有主机
（用户）：用户能够以何种身份来执行命令。此项可省略，缺省时以root用户的身份来运行命令
命令程序列表：允许授权的用户通过sudo方式执行的特权命令，需填写命令程序的完整路径，多个命令之间以逗号“，”进行分隔。ALL则代表系统中的所有命令
3.5 启动sudo操作日志
visudo
Defaults logfile = “/var/log/sudo”
su - Tom
/sbin/ifconfig ens33:0 192.168.1.11/24
sudo /sbin/ifconfig ens33:0 192.168.1.11/24
#初次使用sudo时需验证当前用户的密码，默认超时时长为5分钟，在此期间不再重复验证密码
sudo -l #查看当前用户获得哪些sudo授权
3.6 查看sudo操作记录
- 需启用Defaults logfile配置
- 默认日志文件：/var/log/sudo
[root@localhost ~]# visudo
Defaults logfile =“/var/log/sudo”
四、终端登录安全控制
- 限制root只在安全终端登录
- 安全终端配置：/etc/securetty
[root@localhost ~]# vi /etc/securetty
……
#tty5 禁止root用户从终端tty5、tty6登录
#tty6
-
禁止普通用户登录
-
建立/etc/nologin文件
-
删除nologin文件或重启后即恢复正常
-
[root@localhost ~]# touch /etc/nologin #禁止普通用户登录
[root@localhost ~]# rm -rf /etc/nologin #取消上述登录限制
4.1 网络端口扫描—NMAP
一款强大的网络扫描、安全检测工具
官方网站：http://nmap.org/
CentOS 7.3光盘中安装包 nmap-6.40-7.el7.x86_64.rpm
4.2 开启关闭httpd服务
systemctl start httpd
systemctl enable httpd
netstat -natp | grep httpd
4.3 nmap命令常用的选项和扫描类型
-p：指定扫描的端口。指定扫描的端口。
-n：禁用反向 DNS 解析（以加快扫描速度）。
-sS：TCP的SYN扫描（半开扫描），只向目标发出SYN数据包，如果收到SYN/ACK响应包就认为目标端口正在监听，并立即断开连接；否则认为目标端口并未开放。
-ST：TCP连接扫描，这是完整的TCP扫描方式(默认扫描类型)，用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。
-SF：TCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤，而忽略了其他形式的 TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性。
-sU：UDP 扫描，探测目标主机提供哪些 UDP 服务，UDP 扫描的速度会比较慢。
-sP：ICMP 扫描，类似于 ping 检测，快速判断目标主机是否存活，不做其他扫描。
-P0：跳过ping检测，这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法 ping 通而放弃扫描。
netstat -natp 查看正在运行的使用TCP协议的网络状态信息
netstat -naup 查看正在运行的使用UDP协议的网络状态信息
小结
由保证账号安全的基本措施来引出本章对于账号的管理内容，可以用passwd，shadow来进行对账号锁定的操作，并可以附加限制和注销的操作来对账号进行管控，也可以对是否可执行su命令来限制用户操作，用户访问服务器时，一般都需要将访问的请求发送到PAM模块进行认证，而PAM模块可以其安全执行的指令，nmap可以进行网络端口的扫描，可以观察端口是否开启或关闭，便于进行生产环境的排查和连接。
2040
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
