目录:
一:账号基本安全措施
1. 锁定账号文件
2.密码有效期------新建用户、已有用户
3.命令历史限制
二:用户切换与提权
1. 限制使用su命令的用户
2. sudo命令–提升执行权限
3. 设置日志文件—查看授权sudo操作记录
三、安全控制
1.调整BIOS引导设置
2.GRUB限制管理
一:账号基本安全措施
1. 锁定账号文件
#chattr +i /etc/passwd /etc/shadow 锁定配置文件
#lsattr /etc/passwd /etc/shadow 查看锁定状态
#chattr -i /etc/passwd /etc/shadow 解锁配置文件
系统账号清理
• 将非登陆用户的Shell设为/sbin/nologin
• 锁定长期不使用的账户
• 删除无用的账号
• 锁定账号文件/etc/passwd、/etc/shadow
2.密码有效期------新建用户、已有用户
(1)已创建的用户 设置密码有效期
#chage -M 有效期 用户
(2)未创建用户 设置密码有效期
#vim /etc/login.defs 更改配置文件
(3)要求用户下次登陆时修改密码
#chage -d 0 用户
将有效期设置为0,下次登陆及时修改密码(不建议使用,更改的密码不允许使用连续字母及数字,要求密码复杂性高)![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/461e72bf79c5027308327a32a2d9be63.png)
![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/03d220b559f4505385c94ff31ccc1870.png)
3.命令历史限制
(1)减少记录的命令条数
#vim /etc/profile 编辑配置文件 ,更改HISTSIZE 变量值
(2)注销时自动清空命令历史
#vim ~/.bash_logout
写入 history -c
(3)终端自动注销
#vim ~/.bash_profile 编辑配置文件
更改 export TMOUT值
例:闲置60秒后自动注销![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/2c153da1c2d892fb4cfebff10f06649c.png)
![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/e59440b9057bb7e45a4e5e10441bfd88.png)
二:用户切换与提权
1. 限制使用su命令的用户
默认情况下,任何用户都允许使用su命令,从而有机会反复尝试root用户的登录密码,带来安全风险。为了加强su命令的使用控制,可以借助pam_wheel认证模块,只允许个别用户使用su命令。在wheel组的用户可以使用su命令,但是不在wheel组的用户不能使用su命令。
(1)先开启pam验证 vim /etc/pam.d/su 把里面的#注释删除
(2)zhangsan 不在wheel组,无法切换到root。
(3)#gpasswd -a zhangsan wheel 把zhangsan 用户添加进wheel组,就能切换到root。![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/43a5749259c3cb98135dfc18364c0895.png)
(4)#gpasswd -d zhangsan wheel 把zhangsan 用户从wheel组删除,不能切换到root。![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/d7ad011e189fafc2677e8f9690374ecd.png)
2. sudo命令–提升执行权限
可以使普通用户拥有一部分管理权限,并且不知道root用户的密码。
需要管理员root先进行授权,指定允许哪些用户以root身份来执行哪些命令。
sudo的用法:sudo 授权命令
例:授权lisi用户能够执行ifconfig命令修改IP地址
(1)在未给lisi 提升权限情况下,修改IP地址是什么提示。
(2)在root用户下输入#vim /etc/sudoers 即进入sudo提权 配置文件
添加:lisi localhost=/sbin/ifconfig![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/b22e95be8b9d34de7da906f506642575.png)
![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/4e4af836712925ccb05e46db9785f263.png)
(3)切换到lisi ,修改IP地址。
修改IP地址成功![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/fa82bf60dd1be4845084f189ec23d9f6.png)
3. 设置日志文件—查看授权sudo操作记录
(1)需启用Defaults logfile配置
#vim /etc/sudoers 编辑配置文件
添加:Defaults logfile="/var/log/sudo"
(2)进行sudo操作,查看文件操作记录![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/396e74ae9b55d4613f79ae5e609fa849.png)
![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/13059debabc032257860d42ef9bdc93d.png)
三、安全控制
1.调整BIOS引导设置
将第一引导设备设为当前系统所在硬盘
禁止从其他设备(光盘、U盘、网络)引导系统
将安全级别设为setup,并设置管理员密码
2.GRUB限制管理
为了加强对引导过程的安全控制,可以给GRUB菜单设置一个密码,只有提供正确密码才能被允许修改参数。
修改grub2-mkpasswd-pbkdf2生成密钥
修改/etc/grub.d/00_header文件中,添加密码记录
生成新的grub.cfg配置文件
GRUB限制安全的实验
(1)先备份grub配置文件:
(2)#grub2-mkpasswd-pbkdf2生成密钥![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/74f62c4b95d78fdea820e1e90cbe9219.png)
(3)修改/etc/grub.d/00_header 配置文件,添加密钥记录![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/8f2304addca50d176ab9610e2c963530.png)
![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/52de2beb25902a4d3a251e6f26587dbf.png)
(4)生成新的grub.cfg配置文件![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/6379c477edad72c260f24eef45dc3a21.png)
在linux系统中,除了用户手动创建的各种账号以外,还包括随系统或程序安装二而生成的其他大量账号,用来维护系统运作,启动或保持服务进程,是不允许登录的,成为非登录用户。为了系统安全,应确保不被人为改动。