系统安全:
保护数据安全:组织和个人进入互联网行业必须要有的基础设施之一。
客户数据 财务信息 知识产权
法律法规:法律要求组织和个人必须具备保护网络安全和信息安全,系统安全的资质。
linux的账号安全防护:
账号安全:
passwd-I用户名
passwd-u 用户名
usermod -L 用户名
usermod -U 用户名
把账号设置为非登录用户:
Usermod -s nologin 用户名。
删除无用的账号
Userdel -r 用户名
密码安全:对密码的有效期来进行控制
只对于新etc建用户的密码有效期控制
25 PASS_MAX_DAYS 30后面的天数改掉
Cat /etc/shadow 查看密码
对已有用户的密码有效期修改
Chage -M 30 用户名(生产过程一般是90天)
锁定重要文件:
passwd shadow fstab
文件被锁定 不能对文件进行任何操作
文件解锁
临时清除历史记录,重启失效
设置登录超时的时间
新增要跳到尾行写入 TMOUNT=6
wq保存退出
source 刷新一下,随后生效
禁止用户进行账号切换
PAM认证 su 命令切换就是靠PAM认证:
提供一种标准的身份认证接口 允许管理员定制化配置各种认证方式和方法 可插拔式的认证模块
有四个不同类型的模块:
认证模块:主要用于验证用户的身份 基于密码来对用户身份进行验证
授权模块:控制用户对系统资源的访问权限 文件权限 进程权限等
账户管理模块:管理用户的账户信息 密码策略 账户锁定策略
会话管理模块:管理用户的会话 记录会话信息(历史记录) 注销用户会话 远程终端连接
service(服务)->PAM(配置文件)->pam_*.so
su 这个程序---匹配pam.d目录下的配置文件----su
su—am.d 找配置文件---su---lib64/security---调用认证模块
ls /etc/pam.d 配置文件
ls /lib64/security 认证模块的位置
system-auth 系统的认证配置文件 管理用户登录密码验证账号授权等相关的策略。
第一列:type类型
第二列: 控制位
第三列: PAM模块
type类型:
auth: 用户身份认证 基于密码
account: 账户有效性 限制或允许用户访问某个服务 限制用户的登陆位置
root只能从控制台登录 必须输入账号密码
password 用于用户修改密码时对密码的机制进行校验
session 会话控制 最多能打开的文件数 最多能打开的进程数
控制位:
Required:一票否决 这个模块在认证中必须成功返回才能通过认证 但是如果认证返回失败 失败结果不会通知用户 所有type中的模块全部认证完毕 最后再把结果反馈给用户
Requisite:一票否决 必须返回成功才能通过认证 一旦返回失败不会再向下执行其他模块立即结束
Sufficient:一票通过 如果返回成功 表示通过了身份认证的要求 不会再执行同一类型的相同模块 如果返回失败 会忽略 继续执行同一类型中的其他模块
Equired和requisteoptional 可选模块 即便返回失败 也可以忽略
Include:可选项 调用其他配置文件中自定义的配置
Optional 可选项
Sudo机制:授权普通用户可以使用管理员命令和文件
添加虚拟网卡 基于本机网卡 和网卡同一网段 0表示虚拟网卡编号 添加多个时不要重复
vim /etc/sudoers
用户名 ALL=(ROOT) /sbin/ifconfig 普通用户可以和root一样拥有管理员权限 但是只限于ifconfig 添加多个时用逗号隔开 授权执行要加sudo
限制一些命令 即使用户在wheel组 也不可以使用sudo进行操作
Host_Alias MYHOSTS = 本机名 #指定主机名
User_Alias MYUSERS = 用户名 #设置限制的用户
Cmnd_Alias MYCMNDDS = /sbin*, !/sbin/reboot !/sbin/poweroff, !/sbin/init, !/usr/bin/rm
//这个用户可以使用/sbin下面的所有命令 除了 reboot poweroff init rm 之外的所有命令
MYUSERS MYHOSTS=MYCMNDS #授权生效命令配置
Wheel组 和group组一个概念 作用就是用来控制系统管理员的访问权限 一旦加入wheel组 可以被授权使用一些系统管理员才能够使用的访问命令和文件
Sudo 授权方式 必须要加入wheel 还需要其他的配置:
Wheel 默认为空 需要管理员手动添加用户 配置相应的sudo访问规则 配置的时候注意有限放开原则
Vim /etc/pam.d/su
要放开权限的用户添加到wheel组中 :
Gpasswd -a 用户名 wheel