linux-系统安全与应用

目录

一、账号安全基本措施

1.系统账号清理

2.密码安全控制 

3.历史命令安全管理

4.限制su切换用户

二、Linux中的PAM安全认证

1.PAM简介

2.PAM认证原理

 3.PAM的配置文件

三、使用sudo提权

四、使用别名进行授权

五、开关机安全控制

1.GRUB限制 

2 禁止普通用户登录

---

一、账号安全基本措施

1.系统账号清理

将非登录用户的 Shell 设为 /sbin/nologin，有效地防止这些用户登录到系统。

  （使用 usermod 命令来修改用户的 Shell👇）

usermod -s /sbin/nologin 用户名

锁定长期不使用的账号

usermod -L 用户名： 锁定指定用户的账号，使其无法登录
passwd -l 用户名： 也是用于锁定用户账号，类似于 usermod 命令
passwd -S 用户名：用于显示指定用户的密码状态

删除无用的账号 

userdel -r 用户名

-r 表示连同用户的主目录一起删除。这样可以确保相关文件和目录也被删除  👆
 

锁定账号文件passwd、shadow  

chattr +i /etc/passwd /etc/shadow

 使用 chattr 命令，并使用 +i 选项来将文件设置为不可修改（即使是 root 用户也无法修改这两个文件。）

查看账号文件的锁定状态 

lsattr /etc/passwd /etc/shadow

 用于查看指定文件的属性，可以使用这个命令来确认文件是否被成功锁定。

解锁账号文件 passwd 和 shadow 

chattr -i /etc/passwd /etc/shadow

使用 chattr 命令，并使用 -i 选项来取消文件的不可修改属性，从而解锁文件

2.密码安全控制 

设置密码有效期

-m <天数>：指定密码可更改的最小天数。如果设置为 0，表示用户可以随时修改密码。
-M <天数>：指定密码保持有效的最大天数，即密码的有效期。
-w <天数>：指定用户密码到期前，提前收到警告信息的天数。
-E <日期>：指定账号的到期日期。
-d <日期>：指定用户密码上一次更改的日期。
-i <天数>：指定停滞时期，即密码过期后多少天内账号仍可用。

[root@localhost ~]# useradd laoliu
[root@localhost ~]# echo 123456 | passwd --stdin laoliu
更改用户 laoliu 的密码 。
passwd：所有的身份验证令牌已经成功更新。
[root@localhost ~]# chage -M 60 laoliu       #密码有效期为60天
[root@localhost ~]# 
[root@localhost ~]# chage -M 99999 laoliu     #99999代表密码永不过期
[root@localhost ~]# 
[root@localhost ~]# chage -d 0 laoliu         #用户下次登录修改密码

3.历史命令安全管理

查看历史命令        history
限制历史命令数量    vim /etc/profile  -->  export HISTSIZE=XX  -->  source /etc/profile

清空历史命令        history -c      #临时清空
                            vim /etc/profile  -->  > ~/.bash_history 

也可以自己在下面手动添加 👆

 最后用这条 source /etc/profile 进行刷新👆

4.限制su切换用户

将信任的用户加入到wheel组中    

gpasswd wheel -a 用户名

用于将指定用户添加到 wheel 组中，从而赋予该用户sudo权限 👆

[root@localhost ~]# useradd laoliu
[root@localhost ~]# 
[root@localhost ~]# 
[root@localhost ~]# gpasswd wheel -a laoliu
正在将用户“laoliu”加入到“wheel”组中
[root@localhost ~]# su laoliu
[laoliu@localhost root]$ su root
密码：
[root@localhost ~]# 

修改su的PAM认证配置文件

vim /etc/pam.d/su -> 开启 auth   required   pam_wheel.so use_uid 的配置

二、Linux中的PAM安全认证

1.PAM简介

PAM（Pluggable Authentication Modules）可拔插式认证模块
允许系统管理员通过配置文件来定义系统的认证策略，从而实现灵活的用户认证方式。
使PAM成为一种高效而且灵活便利的用户级别的认证方式
也是当前Linux服务器普遍使用的认证方式

2.PAM认证原理

一般遵循的顺序：Service（服务）--> PAM（配置文件）--> pam_*.so；
首先要确定哪一项应用服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证模块(位于 /lib64/security/下)进行安全认证。

用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM 模块也是不同的。

如果想查看某个程序是否支持 PAM 认证，可以用 ls 命令进行查看/etc/pam.d/。

 3.PAM的配置文件

PAM的配置文件中的每一行都是一个独立的认证过程，它们按从上往下顺序依次由PAM模块调用

第一列代表PAM认证模块类型
auth：认证模块接口，如验证用户身份、检查密码是否可以通过，并设置用户凭据
account：账户模块接口，检查指定账户是否满足当前验证条件，如用户是否有权访问所请求的服务，检查账户是否到期
password：密码模块接口，用于更改用户密码，以及强制使用强密码配置
session：会话模块接口，用于管理和配置用户会话。会话在用户成功认证之后启动生效

第二列代表PAM控制标记
required：模块结果必须成功才能继续认证，如果在此处测试失败，则继续测试引用在该模块接口的下一个模块，直到所有的模块测试完成，才将结果通知给用户。
requisite：模块结果必须成功才能继续认证，如果在此处测试失败，则会立即将失败结果通知给用户。
sufficient：模块结果如果测试失败，将被忽略。如果sufficient模块测试成功，并且之前的required模块没有发生故障，PAM会向应用程序返回通过的结果，不会再调用堆栈中其他模块。
optional：该模块返回的通过/失败结果被忽略。一般不用于验证，只是显示信息（通常用于 session 类型）。
include：与其他控制标志不同，include与模块结果的处理方式无关。该标志用于直接引用其他PAM模块的配置参数

第三列代表PAM模块

默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径。
同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数。

第四列代表PAM模块的参数

这个需要根据所使用的模块来添加。
传递给模块的参数。参数可以有多个，之间用空格分隔开
 

三、使用sudo提权

1.使用sudo

用途：以其他用户身份（通常是超级用户，如 root）执行授权的命令

用法：sudo 授权命令

2.配置之sudo授权
visudo或者vi /etc/sudoersc
记录格式：用户主机名=命令程序列表
输入vim /etc/sudoers 

四、使用别名进行授权

别名设置👇

User_Alias  大写别名=用户1, 用户2, ...
Host_Alias  大写别名=主机名1, 主机名2, ...
Cmnd_Alias  大写别名=命令路径1, 命令路径2, ...
用户别名  主机别名=命令别名

补充知识：
#设置sudo日志路径
Defaults logfile = "/var/log/sudo.log"
sudo -l           #普通用户查看有哪些sudo权限    
 

五、开关机安全控制

1.GRUB限制 

GRUB限制
使用grub2-mkpasswd-pbkdf2生成密钥

修改/etc/grub.d/00_header文件中，添加密码记录

生成新的grub.cfg配置文件

为了增加系统的安全性，可以为GRUB菜单设置密码，以防止未经授权的访问者修改引导参数

使用grub2-mkpasswd-pbkdf2生成密钥👇

修改/etc/grub.d/00_header文件中，添加密码记录👇

1.使用vim编辑器打开00_header文件

2.在末尾添加密码记录

3.生成新的grub.cfg配置文件 

重启完最后输入用户名和密码即可👇

2 禁止普通用户登录

 

👆禁止普通用户登录👆
建立/etc/nologin文件
删除nologin文件或重启后即恢复正常（rm -rf /etc/nologin）

touch /etc/nologin（禁止普通用户登录）
rm -rf /etc/nologin（取消上述登录限制）