Linux系统安全

系统安全:

保护数据安全:组织和个人进入互联网行业必须要有的基础设施之一。

客户数据 财务信息 知识产权

法律法规:法律要求组织和个人必须具备保护网络安全和信息安全，系统安全的资质。

linux的账号安全防护:

账号安全:

passwd-I用户名

passwd-u 用户名

usermod -L 用户名

usermod -U 用户名

把账号设置为非登录用户:

Usermod -s nologin 用户名。

删除无用的账号

Userdel -r 用户名

密码安全：对密码的有效期来进行控制

只对于新etc建用户的密码有效期控制

25 PASS_MAX_DAYS 30后面的天数改掉

Cat /etc/shadow 查看密码

对已有用户的密码有效期修改

Chage -M 30 用户名（生产过程一般是90天）

锁定重要文件:

passwd shadow fstab

文件被锁定 不能对文件进行任何操作

文件解锁

临时清除历史记录，重启失效

设置登录超时的时间

新增要跳到尾行写入 TMOUNT=6

wq保存退出

source 刷新一下，随后生效

禁止用户进行账号切换

PAM认证 su 命令切换就是靠PAM认证：

提供一种标准的身份认证接口 允许管理员定制化配置各种认证方式和方法 可插拔式的认证模块

有四个不同类型的模块：

认证模块：主要用于验证用户的身份 基于密码来对用户身份进行验证

授权模块：控制用户对系统资源的访问权限 文件权限 进程权限等

账户管理模块：管理用户的账户信息 密码策略 账户锁定策略

会话管理模块：管理用户的会话 记录会话信息（历史记录） 注销用户会话 远程终端连接

service（服务）->PAM（配置文件）->pam_*.so

su 这个程序---匹配pam.d目录下的配置文件----su

su—am.d 找配置文件---su---lib64/security---调用认证模块

ls /etc/pam.d 配置文件

ls /lib64/security 认证模块的位置

system-auth 系统的认证配置文件 管理用户登录密码验证账号授权等相关的策略。

第一列:type类型

第二列: 控制位

第三列: PAM模块

type类型:

auth: 用户身份认证 基于密码

account: 账户有效性 限制或允许用户访问某个服务 限制用户的登陆位置

root只能从控制台登录 必须输入账号密码

password 用于用户修改密码时对密码的机制进行校验

session 会话控制 最多能打开的文件数 最多能打开的进程数

控制位：

Required：一票否决 这个模块在认证中必须成功返回才能通过认证 但是如果认证返回失败 失败结果不会通知用户 所有type中的模块全部认证完毕 最后再把结果反馈给用户

Requisite：一票否决 必须返回成功才能通过认证 一旦返回失败不会再向下执行其他模块立即结束

Sufficient：一票通过 如果返回成功 表示通过了身份认证的要求 不会再执行同一类型的相同模块 如果返回失败 会忽略 继续执行同一类型中的其他模块

Equired和requisteoptional 可选模块 即便返回失败 也可以忽略

Include：可选项 调用其他配置文件中自定义的配置

Optional 可选项

Sudo机制：授权普通用户可以使用管理员命令和文件

添加虚拟网卡 基于本机网卡 和网卡同一网段 0表示虚拟网卡编号 添加多个时不要重复

vim /etc/sudoers

用户名 ALL=(ROOT) /sbin/ifconfig 普通用户可以和root一样拥有管理员权限 但是只限于ifconfig 添加多个时用逗号隔开 授权执行要加sudo

限制一些命令 即使用户在wheel组 也不可以使用sudo进行操作

Host_Alias MYHOSTS = 本机名 #指定主机名

User_Alias MYUSERS = 用户名 #设置限制的用户

Cmnd_Alias MYCMNDDS = /sbin*, !/sbin/reboot !/sbin/poweroff, !/sbin/init, !/usr/bin/rm

//这个用户可以使用/sbin下面的所有命令 除了 reboot poweroff init rm 之外的所有命令

MYUSERS MYHOSTS=MYCMNDS #授权生效命令配置

Wheel组 和group组一个概念 作用就是用来控制系统管理员的访问权限 一旦加入wheel组 可以被授权使用一些系统管理员才能够使用的访问命令和文件

Sudo 授权方式 必须要加入wheel 还需要其他的配置：

Wheel 默认为空 需要管理员手动添加用户 配置相应的sudo访问规则 配置的时候注意有限放开原则

Vim /etc/pam.d/su

要放开权限的用户添加到wheel组中 ：

Gpasswd -a 用户名 wheel