系统安全基础应用

一. 基本安全措施

1.系统账号清理

在Linux系统中除了用户手动创建的各种账号以外，还包括随系统或程序安装过程而产生的其他大量账号。除了超级用户root以外，其他大量账号只是用来维护系统运作，启动或保持服务进程，一般不允许登录的，因此称为非登录用户。

常见的非登录用户包括bindaemon、adm、lp、mail、noboody、apache、 mysql、dbus、ftp、gdm、haldaemon等。为了确保系统安全，这些用户的登录shell通常是/sbin/nologin,表示禁止终端登录，应确保不被人为改动。

[root@localhost~]# grep"/sbin/nologin$" /etc/passwd //查看非登录用户

对于linux服务器中长期不用的用户账号，若无法确定是否应该删除，可以暂时将其锁定。

[root@localhost~]# usermod -L lisi //锁定账号

[root@localhost~]# passwd -S lisi //查看账号状态

[root@localhost~]# usermod -U lisi //解锁账号

[root@localhost~]# passwd -S lisi //查看账号状态

如果服务器中的用户账号已经固定，不再进行更改，还可以采取锁定账号配置文件的方法。使用 chattr 命令，分别结合“+i”,"-i"选项来锁定，解锁文件，使用lsattr命令可以查看文件锁定情况。

[root@localhost~]# chattr +i/etc/passwd /etc/shadow //锁定文件

[root@localhost~]# lsattr /etc/passwd /etc/shadow //查看为锁定的状态

[root@localhost~]# chattr -i/etc/passwd /etc/shadow //解锁文件

[root@localhost~]# lsattr /etc/passwd /etc/shadow //查看为锁定的状态

账号文件被锁定的情况下，其内容将不允许变更，因此无法添加，删除账号，也不能更改用户密码，登录shell、宿主目录等属性信息

2.密码安全控制

以下操作可将密码的有效期设为30天（chage 用于设置密码时限）。

[root@localhost~]# vim /etc/login.defs //适用于新建的用户

PASS_MAX_DAYS 90 #密码最长过期天数

PASS_MIN_DAYS 80 #密码最小过期天数

PASS_MIN_LEN 10 #密码最小长度

PASS_WARN_AGE 7 #密码过期警告天数

[root@localhost~]# chage -M 30 lisi //适用于已有的lisi用户

3.命令历史，自动注销

Bash终端环境中，历史命令的记录条数由变量HLSTSIZE控制，默认为1000条。通过修改/etc/profile文件中的HLSTSIZE变量值，可以影响系统中的所有用户。

可以设置最多只记录200条历史命令

[root@localhost~]# vim /etc/profile //适用于所有登录用户

[root@localhost~]# export HISTSIZE=200 //适用于当前用户

添加history –c命令当用户退出已登录BASH环境以后，所记录的历史命令将自动清空

[root@localhost~]# vim ~/.bash_logout

设置终端超时时间，当超时指定的时间没有任何输入即自动注销终端，（默认单位为秒）有效避免当管理员不在时其他人员对服务器的误操作

[root@localhost~]# vim /etc/profile

export TMOUT=600 //添加

[root@localhost~]# export TMOUT=600 //适用于当前用户

二、用户切换于提权

1. su命令----切换用户

由Root用户切换到普通用户不需要输入密码，从普通用户切换到root 需要输入root用户密码

为了加强su命令的使用控制，可以借助于pam_wheel认证模块，只允许个别用户使用su命令进行切换。

将授权使用su命令的用户添加到wheel组，修改、etc/pam.d/su认证配置。

[root@localhost~]# gpasswd -a u1 whell //加授权用户u1

[root@localhost~]# grep whell /etc/group //确定whell组成员

[root@localhost~]# vim /etc/pam.d/su

//去掉#号

使用su命令切换用户的操作将会记录到安全日志/var/log/secure文件中。

[root@localhost~]# tail /var//log/secure

2.sudo命令—提升权限

[root@localhost~]# vim /etc/sudoers

添加： lisi localhost=/sbin/ifconfig //允许lisi修改ip地址

%whell ALL=NOPASSWD: ALL //whell组的成员不需要验证密码即可执行任何命令

三、系统引导和登录控制

1.禁止Ctrl + Alt + Del 热键重启

[root@localhost~]# vim /etc/inittab

[root@localhost~]# init q //重新读取文件，更新

2.限制更改GRUB引导参数

为GRUB菜单设置的密码建议采用“grub-md5-crypt”命令生成，经过MD5算法加密的字符串，安全性更好。

[root@localhost~]# grub-md5-crypt //根据提示指定密码

[root@localhost~]# vim /boot/grub/grub.conf

四、终端及登录控制

1.修改登录提示信息

系统登录的提示信息保存在/etc/issce /etc/issce.net文件中，其中包括操作系统类型。内核版本等。

[root@localhost~]# vim /etc/issue

[root@localhost~]# cp /etc/issue /etc/issue.net

2.减少开放的tty终端个数

通过修改配置文件/etc/inittab 可以减少开放的tty终端个数。

[root@localhost~]# vim /etc/inittab

[root@localhost~]# init q

3.禁止root用户登录

若要禁止root用户从tty1 终端登录，可以修改/etc/securetty文件，将tty1行注释掉。

[root@localhost~]# vim /etc/securetty

4.禁止普通用户登录

当服务器正在进行备份或调式等维护工作时，可能不希望再有新的用户登录系统。这时候，只需要简单地建立/etrc/nologin文件即可。Login程序会检查/etc/nologin文件是否存在，如果存在则拒绝普通用户登录系统（root用户不受限制）。

[root@localhost~]# touch /etc/nologin

只建议在服务器维护期间临时使用。当手动删除/etc/nologin文件或者重新启动主机以后，即可恢复正常。

转载于:https://blog.51cto.com/calvint/1300742