密码安全控制

         将密码的有效期设为30天：vim/etc/login.defs

                            

  将有效期30天应该在lisi用户：chage –M30 lisi

         某些特殊情况下，如要求批量创建的用户初次登录时必须自设密码，根据安全规划统一要求所有用户更新密码，可以有管理员执行强制策略，以便用户在下次登录时必须更改密码：

                            Chage–d 0 lisi

命令历史，自动注销。

                   Shell环境的命令历史机制为用户提供了极大的便利。但服务器的安全壁垒多了一个缺口。Bash终端环境中，历史目录的记录条数有变量HISTSIZE控制。默认为1000条。通过修改/etc/profile文件中的HISTSIZE变量值，可以影响系统中的所有用户：

还可以修改宿主目录中的~/.bash_logout文件，添加清空历史命令的操作语句：

                   Bash终端环境中，还可以设置一个闲置超时时间，当超过指定的时间没有任何输入时即自动注销终端，可以有效避免当管理员不在时其他人员对服务器的误操作风险。Vim /etc/profile     exportTMOUT=600

 

用户切换与提权

                   su命令主要用来切换用户，而sudo命令用来提升执行权限

                            su命令：切换为指定的另一个用户，从而具有该用户的所有权限。

                   选项“-”等同于“--login”或“-l”，表示切换用户后进入目标用户的登录shell环境，若缺少此选项则及切换身份，不切换用户环境。切换root用户，可以省略。

                    借助于pam_wheel认证模块，只允许各别用户使用su命令切换。实现过程：将授权使用su命令的用户添加到wheel组，修改/etc/pam.d/su认证。

         sudo命令——提升执行权限

                            通过su命令可以非常方便地切换为另一个用户，但前提条件是必须知道目标用户的登录密码

                   配置文件/etc/sudoers中添加授权

                            Sudo机制的配置文件为/etc/sudoers,文件多大默认权限为440，需使用专门的visudo工具进行编辑。

                   授权的基本配置格式：

                            userMACHINE=COMMANDS

         用户（user）：授权的用户名，或采用“%组名”的形式

         主机（MACHINE）：使用此配置文件的主机名称，方便在多个主机间共用同一份sudoers文件，一般设为localhost文件

         命令（COMMANDS）：允许授权的用户通过sudo方式执行的特权命令，需填写命令程序的完整路径，多个命令之间以逗号进行分隔

                   授权用户较多，或者授权的命令较多时，可以采用集中定义的别名。用户，主机，命令部分都可以定义为别名，分别通过关键字user_Alias，Host_Alias,Cmnd_Alias来进行设置。

                   User_Alias        OPERATORS=jerry,tom,tsengyia

                   Host_Alias        MAILSVRS=smtp,pop

                   Cmnd_Alias      PKGTOOLS=/bin/rpm,/usr/bin/yum

                   OPERATORS     MAILSVRS=RKGTOOLS

         Sudo配置记录的命令的部分允许使用通配符“*”，取反符号“！”，当需要授权某个目录下的所有命令或取消其中个别命令是特别有用。

         通过sudo执行特权命令：只需要将正常的命令行作为sudo命令的参数即可。由于特权命令程序通常位于/sbin,/usr/sbin等目录下。普通用户执行是应使用绝对路径。

权限不够

         “sudo -l”命令可以看见已授权用户的sudo配置

系统引导和登录控制

           开关机安全控制

                            调整bios引导设置

                                      将第一优化引导设备设为当前系统所在磁盘

                                      禁止从其他设备（光盘，U盘，网络等）引导系统，对应先设为“disabled”

                                      将bios的安全级别改为“setup”，并设置管理密码，防止未授权修改。

                                     禁止ctrl+alt+del快捷键重启

                                      快捷键的位置更改为/etc/init/control-alt-delete.conf,注释里面的信息即可。

                       限制更改GRUB引导参数。

         MD5算法加密的字符串：“grub-md5-crypt”

  引导过程的安全控制，在“/boot/gurb/grub.conf”文件文件可以为GRUB菜单设置一个密码。

重新开机按e进入GRUB菜单，直接按e将无法修改引导参数。需要按p键输入正确的GRUB密码。然后按e 添加1.回车。按b，进入。输入root passwd

                   终端及登录控制

                                     /etc/init/tty.conf    //控制tty终端的开启

                                /etc/init/start-ttys.conf    //控制tty终端的开启数量，设备文件

                                /etc/sysconfig/init          //控制tty终端的开启数量，终端颜色

                   禁止root用户登录

                            Linux系统中，login程序会读取/etc/securetty文件，以决定允许root用户从哪些终端登录系统。

                   禁止普通用户登录

                            login程序会检查/etc/nologin文件是否存在，如果存在则拒绝普通用户登录系统。