IT貓撲網(wǎng):您身邊最放心的安全下載站! 最新更新|軟件分類|軟件專題|手機版|論壇轉(zhuǎn)貼|軟件發(fā)布

您當前所在位置: 首頁操作系統(tǒng)LINUX → linux 系統(tǒng)的安全設(shè)定

linux 系統(tǒng)的安全設(shè)定

時間:2015-06-28 00:00:00 來源:IT貓撲網(wǎng) 作者:網(wǎng)管聯(lián)盟 我要評論(0)

  1.禁止Ctrl+Alt+Delete重新啟動機器命令

  修改/etc/inittab文件,將"ca::ctrlaltdel:/sbin/shutdown -t3 -r now"一行注釋掉。

  2.禁止在ssh下直接用root登錄

  編輯/etc/ssh/sshd_config文件

  把PermitRootLogin yes前面的"#"去掉,把"yes"改為"no"

  有關(guān)ssh登錄的安全設(shè)定還有很多,更詳細的ssh安全配配置請參考我的《SSH服務(wù)簡介》。

  3.限制su名單

  編輯/etc/pam.d/su文件,加入:

  auth required /lib/security/$ISA/pam_wheel.so use_uid

 ?。ú簧賚inux發(fā)行版中可能省略pam_wheel.so文件的路徑名,為節(jié)省篇幅,下文也可能省略路徑,但使用絕對路徑是不會錯的?。?/p>

  執(zhí)行下面語句將用戶user1加入wheel組:

  #gpasswd -a user1 wheel

  這將使wheel組中的用戶才可以執(zhí)行su命令,root例外。

  auth sufficient?? /lib/security/$ISA/pam_wheel.so trust use_uid

  此行使wheel組的用戶在執(zhí)行su時不用輸入密碼,很方便,但是很危險??!慎用!

  說明:pam_wheel.so是專門用于su的模塊,用來阻止非指定組成員執(zhí)行su,默認為GID 0,可使用選項group=group_name來指定某個組的用戶可以su,或再加上選項deny來"取反",即禁止某些組使用su。上文中的"use_uid"是系統(tǒng)中就定義好的,具體什么意思/etc/pam.d/su文件里有說明。

  4.限制 ssh 使用者名單

  編輯/etc/pam.d/sshd 文件,(其中/etc/ssh_users為使用者名單的文件名)

  auth required pam_listfile.so item=user sense=allow file=/etc/ssh_users onerr=fail

  建立/etc/ssh_users文件,執(zhí)行以下語句:

  echo user1 >> /etc/ssh_users

  只有/etc/ssh_users文件中列出的用戶能用ssh登錄主機。

  說明:

  item選項表示指定文件中數(shù)據(jù)的類型??捎弥禐椋簎ser,group,tty,shell,ruser,rhost。一般用user或group,四個值不常用,有興趣自己測試。

  sense選項表示對指定文件中的數(shù)據(jù)的訪問權(quán)限。可用值為deny和allow,不用介紹了吧。

  file選項表示存放相關(guān)數(shù)據(jù)的文件位置。

  onerr=fail表示本pam模塊的認證出現(xiàn)任何錯誤,則返回拒絕訪問。注意:返回值不是"訪問失敗",而且返回"拒絕訪問"不一定能阻止或允許用戶登錄,還要看第二個字段的參數(shù)。本例中使用了required,如果返回值為拒絕訪問,則直接阻止用戶登錄。

  該模塊常用于ssh、rlogin、ftp等認證:

  ssh:直接放入/etc/pam.d/sshd文件。

  rlogin:需要放入/etc/pam.d/rlogin,/etc/pam.d/remote、/etc/pam.d/login。配置rlogin必須注意下面內(nèi)容?。ㄟ@是redhat官方回答,測試發(fā)現(xiàn)不需要修改login文件即可實現(xiàn))

  上文中已經(jīng)提到2個pam的實例了,下面解釋一下pam配置文件中第二個字段的參數(shù):

  sufficient??? 如果該模塊允許用戶訪問,則跳過棧中的其余任何模塊,并返回認證成功值給服務(wù)。

  requisite??? 如果該模塊拒絕訪問,則返回認證失敗值給服務(wù),并跳過棧中的其余模塊。

  required??? 該模塊必須允許訪問,才能使整個認證過程成功。

  optional??? 如果沒有其他模塊起決定作用,則該模塊的結(jié)果將用于決定是否可以訪問。

  前面兩個關(guān)鍵詞很容易理解,它們直接允許或拒絕訪問,并當即終止認證過程。該模塊必須有一個允許訪問,且其他required的模塊都沒有拒絕,才能使整個認證過程成功。最后兩個關(guān)鍵詞表示是否為認證的基本和必須部分。如果棧中已執(zhí)行的模塊沒有拒絕或允許訪問,則認證成功與否由綜和所有所需模塊的結(jié)果來決定。如果至少其中一個模塊允許訪問,且其他模塊都沒有拒絕,則認證成功。若所需模塊沒有達成明確決定時,則使用可選模塊。

  例如/etc/pam.d/rlogin文件的前幾行是這樣的話:

  auth required???? pam_nologin.so

  auth required???? pam_securetty.so

  auth required???? pam_env.so

  auth required???? pam_listfile.so item=user sense=allow file=/etc/rlogin_users onerr=fail

  auth sufficient?? pam_rhosts_auth.so

  或

  auth required???? pam_nologin.so

  auth required???? pam_securetty.so

  auth required???? pam_env.so

  auth sufficient?? pam_rhosts_auth.so

  auth required???? pam_listfile.so item=user sense=allow file=/etc/rlogin_users onerr=fail

  這會有很大區(qū)別,使用后者的話,如果需要服務(wù)器上有/etc/hosts.equiv文件,且該文件里包含客戶端的主機名,則最后一句將無法禁止該客戶端上的所有用戶登錄!即使那個用戶列在/etc/rlogin_users文件中,因為前一句指示"只要遠程主機在信任主機列表里,就不再繼續(xù)下面的認證,直接放行!"

  5.登錄終端設(shè)置

  /etc/securetty文件指定了允許root登錄的tty設(shè)備,由/bin/login程序讀取,

  其格式是一個被允許的名字列表,你可以編輯/etc/securetty且注釋掉如下的行。

  # tty1

  這時,root就不可在tty1終端登錄。

關(guān)鍵詞標簽:linux,linux系統(tǒng),linu

相關(guān)閱讀

文章評論
發(fā)表評論

熱門文章 安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程 安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程 Tomcat9.0如何安裝_Tomcat9.0環(huán)境變量配置方法 Tomcat9.0如何安裝_Tomcat9.0環(huán)境變量配置方法 多種操作系統(tǒng)NTP客戶端配置 多種操作系統(tǒng)NTP客戶端配置 Linux操作系統(tǒng)修改IP Linux操作系統(tǒng)修改IP

相關(guān)下載

    人氣排行 Linux下獲取CPUID、硬盤序列號與MAC地址 dmidecode命令查看內(nèi)存型號 linux tc實現(xiàn)ip流量限制 安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程 linux下解壓rar文件 lcx.exe、nc.exe、sc.exe入侵中的使用方法 Ubuntu linux 關(guān)機、重啟、注銷 命令 查看linux服務(wù)器硬盤IO讀寫負載