linux 系统管理11 ——系统安全及应用

一、基本安全措施

1、系统账号清理

（1）、将非登陆用户的shell设为/sbin/nologin

方法一、usermod -s

方法二、chsh命令，交互式修改

方法三、chsh -s

usermod(修改用户） userdel(删除用户） useradd(创建用户）

可用命令 tail -10 /etc/passwd

2、锁定长期不使用的账号

方法一；passwd -l (将在密文前增加2个“！”） 解锁 passwd -u 查看passwd -s

方法二、usermod -L{将在密文前增加一个“!")解锁usermod -U

若用passwd -l +用户 锁定用usermod -u  解锁必须输入2次命令usermod -U

3、删除无用的账号  userdel{r}

4、锁定账号文件

/etc/passwd     /etc/shadow

1>锁定；chattr +/etc/passwd  +/etc/shadow

2>解锁；chattr -i /etc/passwd -i /etc/shadow

3>查看；lsattr /etc/passwd   /etc/shadow

例；

2、密码安全控制

（1）设置密码有效期

1>修改某个已存在用户的密码有效期

chage -M 天数 用户名

passwd -x 天数 用户名

2>设置今后添加用户时的默认密码有效期

方法一；VI编辑/etc/login.defs文件，修改“pass_MAX_DAN"后面的数值

咧；

vi /etc/login.defs

将99999天改为60天 然后用 useradd wang(创建一个用户） grep wang /etc/shadow (过滤查看）

（2）要求用户下次登陆时修改密码

1>方法：chage -d o 用户名

3、命令历史限制

（1）减少历史的命令条数

1>方法一；vi编辑/ect/profile文件，修改”HISTSIZE="后面的数值

2>方法二；export HISTSIZE=数值

如；方法一；vi 编辑/etc/profile文件，修改“HISTSIZE=100"

把1000改为100

source /etc/profile  使/etc/profile配置文件生效，此时全局生效

方法二；export HISTSIZE=100 仅当前用户环境生效

export 全局生效 /etc/profile 全局变量

export HISTSIZE=100

(2)注销时自动清空历史命令

1>方法；vi编辑宿主目录下的”.bash_logout"文件，添加“history-c"

2>示例；设置amber用户注销时自动清空历史命令

vi ~amber/.bash_logout

4、终端自动注销

（1）方法一；VI编辑/etc/profile 文件，添加”TMOUT=数值“

（2）方法二；export TMOUT=数值

（3）示列；闲置600秒后自动注销

方法一；VI编辑/etc/profile文件，添加”TMOUT=600"

vi /etc/profile

方法二；export TMOUT=600

export TMOUT=600 仅当前用户环境生效

二、切换用户

1、作用；切换用户（Substitute User)

2、su[-]目标用户 （有“-”初始化环境变量，无“-”环境变量不改变)

3、查看SU操作记录

安全日志文件；/var/log/secure

tac /var/log/secure|less

三、提升权限 Sudo 命令

1、SU命令的缺点；

在使用SU命令时，不指定用户名以默认切换至root用户，需要输入root密码，但实际生产中root密码是不可以被广泛告知的。如果需要执行root用户才有权限的命令，需要通过sudo命令或wheel组的设置来实现。

2、sudo命令

（1）作用；以其他用户身份（默认root身份）执行授权的命令

（2）用法；

sudo授权命令

默认设置为首次执行时，需输入当前用户的登陆密码，5分钟内再次执行sudo命令时则无需再次输入密码

（3）配置sudo授权

1>方法一；添加单个用户的sudo授权

visudo或者vi /etc/sudoers(效果相同），添加配置内容

格式；用户     主机名列表=命令出现列表，命令前加“！”表示“除了”此命令

2>方法二；批量授权   wheel组

HOST Aliase主机名（下图）

User Aliases用户名

Command Aliases命令别名

根据示列以及实际需求，设置别名。（建议先复制，再粘贴修改）

设置别名后，添加格式；

用户别名    主机别名=命令别名（所有别名均大写）

（4）查看sudo操作记录

第一步；visudo或者vi /etc/sudoers添加“Defaults logfile=/var/log/sudo"

第二步；cat/var/log/sudo

示列；启用Defaults logfile 配置，给xiao用户所有/sbin/以及/usr/sbin/下的命令执行权限，除了关机以及重启。

visudo

sudo userdel -r xiao5        grep xiao5 /etc/passwd              sudo init 0

对不起，用户 xiao 无权以 root的身份在www.xiao.com上执行/sbin/init 0.

tac /var/log/sudo

5、查询授权操作 sudo -l   用户xiao  可以在该主机上运行以下命令

（root）/sbin/*,(root)     /usr/sbin/*,(root)  ! /sbin/reboot,  (root)   !/sbin/init,(root),  (root) !/sbin/poweroff,   (root) !/sbin/shutdown