linux系統(tǒng)安全系統(tǒng)安全常規(guī)優(yōu)化

1、linux系統(tǒng)安全系統(tǒng)安全常規(guī)優(yōu)化用戶賬號安全優(yōu)化1禁用（鎖定）zhangsan用戶用passwd lroots2 # passwd -l zhangsanLocking password for user zhangsan.passwd: Success或 者 直接修改shadow文件，密碼字符串前加！roots2 # vi /etc/shadowzhangsan:!:14724:0:99999:7:2、將不需要使用終端的用戶的登錄shell改為/sbin/nologinroots2 # vi /etc/passwdzhangsan:x:500:500:/home/zhangsan:/sbi

2、n/nologin或者roots2 # usermod -s /sbin/nologin zhangsan3限制用戶的密碼有效期PASS_MAX_DAYS 30 /只對新建立的用戶有效或者roots2 # chage -M 30 zhangsan /只對已存在的用戶有效4、指定用戶在下次登錄時(shí)必須修改密碼roots2 # chage -d 0 zhangsan或者zhangsan:!:0:0:30:7: 第三列改為05、限制密碼的最小長度roots2 # vi /etc/pam.d/system-authpassword requisite pam_cracklib.so try_first_

3、pass retry=36、限制記錄命令歷史的條數(shù)roots2 # vi /etc/profileHISTSIZE=10007、設(shè)置超時(shí)自動注銷終端roots2 # vi /etc/profileTMOUT=600使用su切換用戶身份8、如何拒絕使用su 切換用戶roots2 # vi /etc/pam.d/suauth required pam_wheel.so use_uid9、允許zhangsan使用su 切換用戶roots2 # gpasswd -a zhangsan wheelAdding user zhangsan to group wheel使用sudo提升執(zhí)行權(quán)限1、授權(quán)用戶j

4、erry可以以root權(quán)限執(zhí)行ifconfig名jerry ALL=/sbin/ifconfig 用戶 主機(jī)=命令絕對路徑2、通過別名定義一組命令，并授權(quán)tom用戶可以使用改組命令Cmnd_Alias SYSVCTRL=/sbin/service,/bin/kill,/bin/killalltom ALL=SYSVCTRL3、授權(quán)wheel組的用戶不需驗(yàn)證密碼即可執(zhí)行名令%wheel ALL=(ALL) NOPASSWD: ALL*代表通配符 ！表示取反4、為sudo啟用日志功能，將記錄寫入/var/log/sudo文件中Defaults logfile = /var/log/sudo loc

5、al2.debug /var/log/sudo 修改系統(tǒng)日志配置文件 roots2 # service syslog restart /重啟syslog系統(tǒng)服務(wù)Shutting down kernel logger: OK Shutting down system logger: OK Starting system logger: OK Starting kernel logger: OK 5、使用sudo執(zhí)行命令tom查看自己被授權(quán)使用命令，并使用sudo執(zhí)行命令toms2 $ sudo -lPassword:User tom may run the following commands

6、on this host:(root) /sbin/servicetoms2 $ sudo /sbin/service httpd start文件和文件系統(tǒng)安全優(yōu)化1、鎖定不希望改改的系統(tǒng)文件roots2 # chattr +i /etc/services /etc/passwd /boot/grub/grub.conf2、解除/etc/passwd文件中的+i屬性鎖定roots2 # chattr -i /etc/passwd3、關(guān)閉不必要的系統(tǒng)服務(wù)roots2 # service bluetooth stoproots2 # chkconfig bluetooth off4、禁止普通用戶執(zhí)

7、行init.d目錄中的腳本roots2 # chmod -R o-rwx /etc/init.d/或者roots2 # chmod 750 /etc/init.d/5、禁止普通用戶執(zhí)行poweroff、hallt、reboot控制臺程序roots2 console.apps# tar -jcpvf /etc/conhlp.pw.tar.bz2 poweroff halt reboot -removepoweroffreboot6、查找系統(tǒng)中設(shè)置了set-uid或set-gid權(quán)限的文件，并結(jié)合”-exec”選項(xiàng)顯示這些文件的詳細(xì)權(quán)限屬性。roots2 console.apps# find /

8、-type f -perm +600 -exec ls -lh ；7、去除程序文件的suid/sgid為權(quán)限drwsr-sr-t 2 root root 4096 Mar 18 18:20 aaroots2 # chmod a-s aa系統(tǒng)引導(dǎo)和登錄安全優(yōu)化1、阻止用戶通過Ctrl+Alt+Delroots2 # vi /etc/inittab#ca:ctrlaltdel:/sbin/shutdown -t3 -r now2、在grup.conf文件中設(shè)置明文密碼roots2 # vi /boot/grub/grub.conftimeout=5hiddenmenupassword 123456

9、title Red Hat Enterprise Linux Server (-8.el5) root (hd0,0) kernel /vmlinuz-2.6.18-8.el5 ro root=/dev/VolGroup00/LogVol00 rhgb quiet3、在grup.cof文件中設(shè)置md5加密的密碼字符串roots2 # grub-md5-cryptPassword:Retype password:$1$x.20Z0$hY6SYWzlbDBnir./dS87o0roots2 # vi /boot/grub/grub.confdefault=0timeout=5hiddenmenup

10、assword $1$x.20Z0$hY6SYWzlbDBnir./dS87o0title Red Hat Enterprise Linux Server (2.6.18-8.el5) root (hd0,0) kernel /vmlinuz-2.6.18-8.el5 ro root=/dev/VolGroup00/LogVol00 rhgb quiet4、禁用tty4-tty6終端roots2 # vi /etc/inittab1:2345:respawn:/sbin/mingetty tty12:2345:respawn:/sbin/mingetty tty23:2345:respawn:

11、/sbin/mingetty tty3#4:2345:respawn:/sbin/mingetty tty4#5:2345:respawn:/sbin/mingetty tty5#6:2345:respawn:/sbin/mingetty tty65、禁止root用戶從tty2-tty3終端roots2 # vi /etc/securetty#tty2#tty36、將登錄提示內(nèi)容修改為“Welcome to Server”roots2 # vi /etc/issueWelcome to Server7、禁止除了root以外的用戶從tty1終端上登錄系統(tǒng)roots2 # vi /etc/pam.d/loginaccount required pam_access.so /在pam配置文件login中添加認(rèn)證支持roots2 # vi /etc