账号安全基本措施

系统账号清理

非登录用户的shell改为/sbin/nologin

usermod -s /sbin/nologin user1

锁定长期不用的账号

方法1

usermod -L user1（锁定后的账户shadow文件密码段全面有！）

usermod -U user1（解锁）

方法2

passwd -l user1（锁定后的账户shadow文件密码段全面有！！，注意和usermod有区别，一个！或者两个！！的区别）

passwd -u user1(解锁)

passwd -S user1 (检查锁定情况)

删除无用的账号

userdel -r user1（r代表一并删除家目录）

使用su命令切换用户z

  • 用途：Substitute User，切换用户
  • 格式：su -目标用户

密码验证

root-->任意用户，不验证密码

普通用户-->其他用户，验证目标用户的密码

[jerr@localhost~]$ su -root

口令

[jerr@localhost~]# whoami

root

带-选项表示将使用目标，用户的登录shell环境

限制使用su命令的用户

  • 将允许使用su命令的用户加入wheel组
  • 启用pa_wheel认证模块

[root@localhost~]# vi/etc/pam.d/su

#%PAM-1.0

auth sufficient pam_rootok.so

auth required pam_wheel.so use_uid

（a）以上两行是默认状态（及开启第一行，注释第二行），这种状态下是允许所有用户间使用su命令进行切换

（b）两行都注释也是运行所有用户都能使用su命令，但root下使用su切换到其他普通用户需要输入密码：如果第一行不注释，则root使用su切换普通用户就不需要输入密码（pam_）

查看su操作记录

安全日志文件

Linux中的PAM安全认证

默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户（如root）的登陆密码，带来安全风险

为了加强

PAM认证原理

一般遵循的顺序

Service（服务）->PAM（配置文件）->pam_*.so

PAM认证的构成

查看某个程序是否支持PAM认证，可以用ls命令

示例：查看su是否支持PAM模块认证

ls /etc/pam.d|grep su

查看su的PAMpzwj：cat/etc/pam.d/su

  • 每一行都是一个独立的认证过程
  • 每一行可以区分为三个字段

认证类型

控制类型

PAM模块及其参数

使用sudo机制提升权限

su命令的缺点

sudo命令的用途及用法

  • 用途：以其他用户身份（如root）执行授权的命令
  • 用法：sudo 授权命令

配置sudo授权

visudo或vi/etc/sudoers

记录格式：用户 主机名=命令程序列表

[root@localhost~]#visudo

......

%wheel ALL=NOPASSWD：ALL

jerry localhost=/sbin/ifconfig

syrianer localhost=/sbin/*，！/sbin/ifconfig，！/sbin/route

Cmnd_Alias PKGTOOLS=/bin/rpm，/usr/bin/yum

mile localgost=PKGTOOLS

调整BIOS引导设置

  • 将第一引导设备设为当前系统所在硬盘
  • 禁止从其他设备（光盘、U盘、网络）引导系统
  • 将安全级别设为setup，并设置管理员密码

GRUB限制

  • 使用grub2-makpasswd-pbkdf2生成密钥
  • 修改/etc/grub.d/00_header
  • 生成新的grub.cfg配置文件

限制root只在安全终端登陆

安全终端配置：/etc/securetty

[root@localhost~]# vi

禁止普通用户登陆

建立/etc/nologin文件

删除nologin文件或重启后即恢复正常