第一章 系统安全常规优化

1，禁用或解锁用户zhansan

passwd -l zhansan

passwd -u zhansan

或者直接修改配置文件vi /etc/shadow,在用户信息前加！锁定，不加不锁

2，确定程序或服务用户的登陆shell不可用

vi /etc/passwd

ftp:x:14:50:FTP User：/var/ftp:/sbin/nologin

或者usermod -s /sbin/nologin rpm

3,限制用户密码的有效天数

vi /etc/login.defs

PASS_MAX_DAYS   30或者chage -M 30 zhangsan(针对已经存在的用户）或者直接修改配置文件/etc/shadow

4,指定用户在下次登录时必须修改密码

chage -d 0 zhangsan

或者

vi /etc/shadow 

修改第三个：之后的参数为0

5，限制用户密码的最小长度

vi /etc/pam.d/system-auth

password requisite pam_cracklib.so try_first_pass retry=3 minlen=12

6,限制历史命令的条数和超时时间

vi /etc/profile

HISTSIZE=100

Export TMOUT=30 

7，使用su切换身份

su 【-】 用户名

1）将允许使用su的用户加入wheel组

2）修改PAM设置，添加pam_wheel

vi /etc/pam.d/su

Auth required pam_wheel.so use_uid

3)验证只能加入wheel组的用户可以su切换

8，sudo提升执行权限

1）/etc/sudoers配置文件默认权限440，通常使用专门的visudo命令进行编辑

格式 user MACHINE=COMMANDS

比如：授权用户jerry可以以root权限执行ifconfig命令

visudo 

jerry ALL=/sbin/ifconfig

:wq

通过别名定义一组命令。并授权用户tom可以使用改组命令

visudo

Cmnd_Alias SYS=/sbin/service,/bin/kill,/bin/killall

tom ALL=NOPASSWD: SYS

:wq

为sudo启动日志功能，将记录写入/var/log/sudo文件中

1）visudo 

Default logfile = "/var/log/sudo"

:wq

2）vi /etc/syslog.conf

local2.debug        /var/log/sudo

:wq

3）service syslog restart(重启syslog服务）

4）切换终端登录用户，使用sudo命令

5）使用tail /var/log/sudo命令查看日志

文件及文件系统安全及优化

1，合理规划系统分区

/boot:该目录中包含系统内核，grub程序等关键性的引导文件

/home:该目录是用户默认宿主目录所在的上一级的文件夹

/var:该目录用于保存系统日志

/opt:用于安装服务器的附加应用程序及其他可选的工具

2，通过挂载选项禁止直行set位程序，二进制程序

vi /etc/fstab

/dev/sdc1     /var    ext3   defaults,noexec    1 2

:wq

mount -o remount /var

3,锁定不希望更改的系统文件

Chattr + i 文件

+i 锁定

-i 解锁

+a 只能以追加的形式写入

-a 解锁

Lsattr 查看文件的属性状态

4，禁止普通用户执行poweroff halt reboot控制台程序

cd /etc/security/console.apps/

tar jxvf /etc/conhlp.pw.tar.bz2 poweroff halt reboot --remove

系统引导和登陆安全控制

1，防止用户通过ctrl+alt+del热键重启系统

vi /etc/inittab

#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

Init q(使上述配置生效）

2，grub引导菜单加密

vi /boot/grub/grub.conf

password   123

Title Red Hat Enterprise Linux Server 

:wq

然后开机进入grub的时候必须输入密码才能进入单用户模式

终端及登陆控制

1，即时禁止普通用户登陆系统

touch /etc/nologin

2.控制服务器开放的tty终端

1）vi /etc/inittab

在终端2-6前面加#注释行

2）init q

3）vi /etc/securetty 

删除tty2-tty6的终端

4）用普通用户在tty2-tty6登陆 不能登陆,但是普通用户可以再tty1登陆

5）vi /etc/pam.d/login

account required pam_access.so

:wq

6)vi /etc/security/access.conf

-: ALL EXPECT root : tty1

:wq

7)验证只有root用户可以再tty1登陆