Linux系统安全及应用(附加详细操作截图)

1.账号安全控制

用户账号，是计算机使用者的身份证或标识，每一个要访问系统资源的人，必须凭借其用户账号才能进入计算机。在linux系统中，提供了多种机制来确保用户账号的正当、安全使用

1.1系统账号清理

• 将非登陆用户的Shell设为/sbin/nologin或者/bin/falsh

usermod -s /sbin/nologin 用户名

• 锁定长期不使用的账号

usermod -L 用户名             锁定用户账户  
passwd  -l  用户名            锁定用户密码
passwd  -S  用户名            查看用户状态

• 删除无用账号

userdel [-r] 用户名           删除用户-r宿主目录一起删除

• 锁定账号文件passwd、shadow

chattr +i /etc/passwd /etc/shadow      锁定文件
lsattr /etc/passwd /etc/shadow         查看文件状态
chattr -i /etc/passwd /etc/shadow      解锁文件

• chattr命令的用法
  1、“+”：在原有参数设定基础上，追加参数；

2、“-”：在原有参数设定基础上，移除参数；

3、“=”；更新为指定参数设定。

“A”：文件或目录的atime（access time）不可被修改（modified），可以有效预防例如手提电脑，磁盘I/O错误的发生；

“S”：硬盘I/O同步选项，功能类似sync；

“a”：即append，设定参数后，只能向文件中添加数据，而不能删除，多用来服务器日志文件安全，只有root才能设定这个属性；

“c”，即compresse，设定文件是否经压缩后再存储，读取时需要经过自动解压操作；

“d”：即no dump 设定文件不能成为dump程序的备份目标；

“i”：设定文件不能被删除、改名、设定链接关系，同时不能写入或新增内容。i参数对文件系统的安全设置有很大帮助；

“j”：即journal，设定此参数使得当通过mount参数：data=ordered或者data=writeback挂载的文件系统，文件在写入时会被记录（在journal中）。如果filesystem被设定参数为data=journal，则该参数自动失效；

“s”：保密性地删除文件或者目录，即硬盘空间被全部收回；

“u”：与s相反，当设定为u时，数据内容其实还存在磁盘中，可以用于undeletion。

各参数选项中常用到的是“a”和“i”。“a”选项强制只可添加不可删除，多用于日志系统的安全设定，而“i”是更为严格的安全设定，只有superuser（root）或具有CAP_Linux_IMMUYABLE处理能力（标识）的进程能够施加该选项。

1.2密码安全控制

在不安全的网络环境中，为了降低密码被猜出或被暴力破解的风险，用户赢养成定期更改密码的习惯，避免长期使用同一个密码。管理员可以在服务器端限制用户密码的最大有效天数，对于密码已过期的用户，登录时将被要求重新设置密码，否则将拒绝登录。

1.2.1设置密码有效期

方法一：修改密码配置文件适用于新建用户
vim /etc/login.defs     
……
PASS_MAX_DAYS 30
方法二：适用于已有用户
[root@localhost ~]# chage -M 30 用户
[root@localhost ~]# cat /etc/shadow | grep 用户

方法一：

[root@localhost c7-1]#vi /etc/login.defs

#   QMAIL_DIR is for Qmail
#
#QMAIL_DIR      Maildir
MAIL_DIR        /var/spool/mail
#MAIL_FILE      .mail

# Password aging controls:
#
#       PASS_MAX_DAYS   Maximum number of days a password may be used.
#       PASS_MIN_DAYS   Minimum number of days allowed between password changes.
#       PASS_MIN_LEN    Minimum acceptable password length.
#       PASS_WARN_AGE   Number of days warning given before a password expires.
#
PASS_MAX_DAYS   99999   // 系统默认99999 ，永久
PASS_MIN_DAYS   0
PASS_MIN_LEN    5
PASS_WARN_AGE   7

方法二演示：

1.2.2要求用户下次登录时修改密码

chage -d 0 lisi                    强制在下次登陆时更改密码               
cat /etc/shadow | grep 用户        shadow文件中的第三个字段被修改为0

1.2.3命令历史限制

• 减少记录的命令条数

[root@localhost ~]# vi /etc/profile           #编辑profile文件    
 export HISTSIZE=30                            #保存30条历史记录
[root@localhost ~]# source /etc/profile        #执行一次配置文件，让配置文件生效

• 登录时自动清空命令历史

[root@localhost ~]#vi ~/.bashrc
 echo " " > ~/.bash_history  

重新启动后可以看到之前的命令全部清空了

1.2.4终端自动注销

• 闲置600秒后自动注销

vim /etc/profile                #编辑profile文件
export TMOUT=600                #设定时间600秒
[root@localhost ~]# source /etc/profile    #调用配置文件

2.用户切换与提权

大多数Linux服务器并不建议用户直接以root用户进行登录。一方面可以大大减少因误操作而导致的破坏，另一方面也降低了特权密码在不安全的网络中被泄露的风险。鉴于这些原因，需要为普通用户提供一种身份切换或权限提升机制，以便在必要的时候执行管理任务。
Linux系统为我们提供了su、sudo 两种命令，其中su 命令主要用来切换用户，而sudo命令用来提升执行权限。

2.1使用su命令切换用户

1） 用途及用法

作用：切换用户
格式：su [-] 目标用户    #带“-”表示使用目标用户的登录shell环境，不加环境变量不变。
可登录的用户一般分两种种，超级用户root、普通用户。
当root切换到任意的用户时，不需要密码。
但当普通用户切换其他用户的时候，需要输入目标用户的密码进行验证。

2）限制使用su命令的用户
第一步：将允许使用su命令的用户加入wheel组

gpasswd -a 用户 wheel    #添加用户到wheel组中
grep wheel /etc/group    #确定wheel组成员

第二步：修改/etc/pam.d/su认证配置启用pam_wheel认证

vim /etc/pam.d/su     #编辑/etc/pam.d/su文件
auth sufficient pam_rootok.so  
#pam_rootok.so模块的主要作用是使uid为0的用户root能够直接通过认证而不用输入密码
...      #省略部分
auth required pam_wheel.so use_uid 
 #pam_wheel.so作用是让wheel组内的用户使用su命令，其他人（包括root）无法使用su命令

每种状态的解释：
两行都注释：所有用户都能使用su命令，切换时root和普通用户都需要密码验证
开启第二行，注释第六行：（默认状态）允许所有用户间使用su命令进行切换的，切换时，root不需要密码，其他用户需要密码。
注释第二行，开启第六行：只有wheel组内的用户才能使用su命令，root用户也无法切换。
两行都开启：只有root用户和wheel组内的用户才可以使用su命令。

例：修改文档将命令前面的注释符“#”删除，并“wq”保存
3）查看su操作的记录
/var/log/secure是su的安全日志，使用su命令切换用户的操作都会被记录，所以可以查看此文件来看记录。

例：cat /var/log/secure  

查看/var/log/secure文件

2.2 PAM安全认证

• Linux-PAM是linux可插拔认证模块，是一套可定制、可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式。
  默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户（如root）的登录密码，带来安全风险
• 为了加强su命令的使用控制，可借助于PAM认证模块，只允许极个别用户使用su命令进行切换

1）PAM及其作用

PAM是linux可插拔认证模块，是一套可定制、可动态加载的共享库，系统管理员通过PAM配置文件随意选择程序的认证方式。
PAM的配置文件位于/etc/pam.d目录下，CentOS7的本地认证模块放置在/lib64/security下。想要了解有哪些，可以使用ls查看。

2 ）PAM认证原理

• 一般遵循的顺序
  Service（服务）—>PAM（配置文件）—>pam_*.so
• PAM首先确定哪一项服务，然后加载相应的PAM配置文件，最后调用PAM认证模块进行安全认证
• 用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证
• 同的应用程序所对应的PAM 模块也是不同的

如果想查看某个程序是否支持 PAM 认证，可以用 ls 命令进行查看/etc/pam.d/。
示例：查看su是否支持PAM模块认证
ls /etc/pam.d | grep su

3）PAM认证的构成

• 每一行都是一个独立的认证和过程，它们按从上往下的顺序依次由PAM模块调用
• 每行都有三个分区：认证类型、控制类型、PAM模块、PAM模块参数
  查看一个login配置文件，先cd /etc/pam.d/，ls 查看有哪些，cat 选定一个。
  
  各个分区的解释
  第一列：PAM有以下四种模块类型，分别代表四种不同的任务

认证模块类型	作用
auth	对用户身份进行识别，如提示输入密码，判断是否为root。
account	对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最大用户数等。
password	使用用户信息来更新数据，如修改用户密码。
session	定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统。

第二列：PAM使用控制类型来处理和判断各个模块的返回值

控制类型	作用
required	需要返回一个成功值，如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下一验证，所有此类型的模块都执行完成后，再返回失败。该行以及所涉及模块的成功是用户通过鉴别的必要条件
requisite	与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败。
sufficient	如果此模块返回成功，则不管后面的验证，直接向程序返回成功，表示验证通过，如果返回失败，则可以看成optional。（慎用）
optional	不进行成功与否的返回，一般不用于验证，只是显示信息（通常用于 session 类型）。不管成功、失败，继续下一模块的验证，且此模块的服务也能享用。
include	表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth（主要负责用户登录系统的认证工作）来实现认证而不需要重新逐一去写配置项。

第三列代表PAM模块：

• 默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径

• 同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数
  第四列代表PAM模块的参数：

• 根据所使用的模块进行添加

• 传递给模块的参数，参数可以有多个，之间用空格分隔开

4）控制标记的补充说明

• required：表示该行以及所涉及模块的成功是用户通过鉴别的【必要条件】。换句话说，只有当对应于应用程序的所有带required标记的模块全部成功后，该程序才能通过鉴别。同时，如果任何带required标记的模块出现了错误，PAM并不立刻将错误消息返回给应用程序，而是在所有此类型模块都调用完毕后才将错误消息返回调用他的程序。
  反正说白了，就是必须将所有的此类型模块都执行一次，其中任何一个模块验证出错，验证都会继续进行，并在执行完成之后才返回错误信息。这样做的目的就是不让用户知道自己被哪个模块拒绝，通过一种隐蔽的方式来保护系统服务。就像设置防火墙规则的时候将拒绝类的规则都设置为drop样，以致于用户在访问网络不成功的时候无法准确判断到底是被拒绝还是目标网络不可达。
• requisite：与required相仿,只有带此标记的模块返回成功后,用户才能通过鉴别。不同之处在于其一旦失败就不再执行堆中后面的其他模块，并且鉴别过程到此结束，同时也公立即返回错误信息。与上面的required相比，似乎要显得更光明正大一些。
• sufficient：表示该行以及所涉及模块验证成功是用户通过鉴别的【充分条件】。也就是说只要标记为sufficient的模块一旦验证成功，那么PAM便立即向应用程序返回成功结果而不必尝试任何其他模块。即便后面的层叠模块使用了requisite或者required控制标志也是一样。当标记为sufficient的模块失败时，sufficient模块会当做optional对待。因此拥有sufficient标志位的配置项在执行验证出错的时候并不公导致整个验证失败，但执行验证成功之时则大门敞开。所以该控制位的使用务必慎重。
• optional：他表示即便该行所涉及的模块验证失败用户仍能通过认证。在PAM体系中，带有该标记的模块失败后将继续处理下一模块。也就是说即使本行指定的模块验证失败，也允许用户享受应用程序提供的服务。使用该标志，PAM框架会忽略这个模块产生的验证错误，继续顺序执行下一个层叠模块。

5) PAM安全认证流程

1、required验证失败时仍然继续，但返回Fail
2、requisite验证失败则立即结束整个验证过程，返回Fail
3、sufficient验证成功则立即返回，不再继续，否则忽略结果并继续
4、optional不用于验证，只显示信息(通常用于session类型)

3.开关机安全

3.1 调整BIOS引导设置

（1）将第一引导设备设为当前系统所在硬盘。
（2）禁止从其他设备（光盘、U盘、网络)引导系统，将对应的项设置为“disabled”。
（3）将安全级别设为setup，并设置管理员密码。

3.2 GRUB限制

grub2-mkpasswd-pbkdf2       #使用grub2-mkpasswd-pbkdf2生成密钥

cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak
cp /etc/grub.d/00_header /etc/grub.d/00_header.bak

vim /etc/grub.d/00_header       #修改/etc/grub.d/00_header文件，添加密码记录
cat << EOF
set superusers="root"					#设置用户名为root
password_pbkdf2 root grub.pbkdf2……		#设置密码，省略部分内容为经过加密生成的密码字符串
EOF

grub2-mkconfig -o /boot/grub2/grub.cfg	#生成新的 grub.cfg 文件
1
2
3
4
5
6
7
8
9
10
11
12
在linux系统重启时，看最下面有一行，按“e”可以进入grub菜单。

进入grub菜单后，所有人可以修改grub引导参数，这样是一个极大的隐患，所以要个grup加个限制。可以为 GRUB 菜单设置一个密码，只有提供正确的密码才被允许修改引导参数。

（1）使用grub2-mkpasswd-pbkdf2生成密钥

grub2-mkpasswd-pbkdf2

需要输入两次密码，根据输入的密码生成密钥

2）修改/etc/grub.d/00_header文件，添加密码记录
修改文件前备份文件，防止出现问题好恢复。这里将第三步的grup.cfg一起备份了。


3）生成新的grub.cfg配置文件

4）重启系统init 6，在相应界面按“e”,会跳出下图界面，按照提示输入用户名和密码才可以进入grub菜单。

4.终端登录安全控制

1.限制root只在安全终端登录

• 安全终端配置：/etc/securetty

[root@localhost ~]# vim /etc/securetty
#tty5        #禁止root用户从终端tty5，tty6登录
#tty6

2.禁止普通用户登录

建立/etc/nologin文件
删除nologin文件或重启后即恢复正常

touch /etc/nologin			#禁止普通用户登录
rm -rf /etc/nologin			#取消登录限制