实验案例:基本的系统安全控制
实验环境
某公司新增了一台企业级服务器,已安装运行centos7操作系统,由系统运维部,软件开发部,技术服务部共同使用。由于用户数量众多,且使用时间不固定,要求针对账号和登录过程采取基本的安全措施。
需求描述
>允许使用用户radmin使用su命令进行切换,其它用户以律禁止切换身份。
>授权用户张三管理所有员工的账号,但禁止修改root用户的信息
>授权用户lisi能够执行/sbin、/usr/sbin目录下所有特权名利,不需要密码验证
>所有的su、sudo操作,必须在系统日志文件中进行记录
>禁止使用Ctrl+Alt+Del快捷键,禁止root用户从tty5、tty6登录,为GRUB引导菜单设置密码。
>实验用到的用户有:radmin zhangsan lisi root test
一、限制使用su命令
1)修改认证文件/etc/pam.d/su,启用pam_wheel.so认证模块。
2)将radmin用户加入到wheel组
3)验证除了root、radmin以为,其他用户均不能使用su命令切换
二、限制sudo授权
1)授权用户zhangsan使用useradd、userdel、passwd、usermod命令,但禁止其执行passwd root usermod * root 操作
zhangsan centos01=/usr/sbin/useradd,/usr/sbin/userdel,/usr/sbin/passwd,/usr/sbin/usermod,!/usr/sbin/passwd root,/usr/sbin/usermod * root
2)授权lisi用户使用/sbin/*、/usr/sbin/*命令,添加NOPASSWD,以取消验证(接着上一步)
3)添加Defaults logfile 配置行,以启用sudo日志。
49 Defaults logfile = "/var/log/sudo"
4)分别以zhangsan,lisi用户登录,验证授权的sudo操作,并查看日志。
zhangsan
lisi
三、限制引导及登录过程
1)禁用Ctrl+Alt+Del快捷键,禁止root用户从tty5、tty6登录
2)为GRUB引导菜单设置密码
配置grub菜单备份
添加gruo引导菜单
生成grub引导菜单
验证