建站
咨詢
售后
建站咨詢
新聞中心
這里有您想知道的互聯(lián)網(wǎng)營銷解決方案
如何做好Linux系統(tǒng)安全加固之賬號安全？11個安全小技巧分享
由于Linux操作系統(tǒng)是一個開放源代碼的免費操作系統(tǒng)，受到越來越多用戶的歡迎。對于在線運行的業(yè)務，用戶最關心的就是系統(tǒng)的安全性，系統(tǒng)運行的安全性直接影響著業(yè)務的安全。系統(tǒng)安全設置是一個多維度問題，下面小編就從linux的賬號安全的維度和大家分享一些常用的Linux安全加固小技巧。
1. 設置密碼策略
- [root@lkjtest ~]# cat /etc/login.defs |grep -v "#" |grep PASS
- PASS_MAX_DAYS 180
- PASS_MIN_DAYS 0
- PASS_MIN_LEN 5
- PASS_WARN_AGE 7
參數(shù)說明：
- PASSMAXDAYS：設置密碼的過期日期
- PASSMINDAYS：密碼最小更改日期
- PASSMINLEN ：密碼的最小長度
- PASSWARNAGE ：密碼到期提前告警的天數(shù)
2. 限制用戶遠程登陸
- vim /etc/pam.d/sshd
- #%PAM-1.0
- auth required pam_tally2.so deny=3 unlock_time=300 even_deny_root root_unlock_time=10
注意點：添加的內(nèi)容一定要添加在前面，即“#%PAM-1.0” 之后，如果寫在后面，雖然用戶被鎖定，但只要用戶名和密碼正確，依然是可以成功登陸進去的。
參數(shù)說明：
- evendenyroot : root用戶也限制。
- deny ：設置普通用戶和root用戶連續(xù)錯誤登陸的***次數(shù)，超過***次數(shù)，則鎖定該用戶.
- unlock_time ：普通用戶鎖定后，多長時間后解鎖，單位是秒。
- rootunlocktime ：root用戶鎖定后，多少時間后解鎖，單位是秒。
3. 限制用戶從tty登陸
- vim /etc/pam.d/login
- #%PAM-1.0
- auth required pam_tally2.so deny=3 lock_time=300 even_deny_root root_unlock_time=10
注意點：添加的內(nèi)容一定要添加在前面，即“#%PAM-1.0” 之后，如果寫在后面，雖然用戶被鎖定，但只要用戶名和密碼正確，依然是可以成功登陸進去的。
參數(shù)說明：
- evendenyroot : root用戶也限制。
- deny ：設置普通用戶和root用戶連續(xù)錯誤登陸的***次數(shù)，超過***次數(shù)，則鎖定該用戶.
- unlock_time ：普通用戶鎖定后，多長時間后解鎖，單位是秒。
- rootunlocktime ：root用戶鎖定后，多少時間后解鎖，單位是秒。
4. 查看用戶登陸失敗次數(shù)
- [root@localhost]# pam_tally2 --user root
- Login Failures Latest failure From
- root 0
5. 解鎖指定用戶
- [root@localhost ~]# pam_tally2 -r -u root
- Login Failures Latest failure From
- root 0
6. 設置口令復雜度
- 編輯 /etc/pam.d/system-auth
- 找到pam_cracklib,在后加一些參數(shù)具體如下：
- [root@lkjtest ~]# cat /etc/pam.d/system-auth |grep cracklib
- password requisite pam_cracklib.so retry=5 difok=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1
參數(shù)說明：
- retry=5：表示允許輸入5次
- difok=3：新密碼與舊密碼不同的個數(shù)為3
- minlen=10：密碼長度至少10位
- ucredit=-1 ：至少一位大寫字母
- lcredit=-1：至少一位小寫字母
- dcredit=-1：至少一位數(shù)字
- ocredit=-1：其他字符至少一位
7. 限制su的權限
如果你不想任何人能夠用su作為root，可以通過以下限制：
- 編輯/etc/pam.d/su文件，增加如下兩行：
- auth sufficient pam_rootok.so debug
- auth required pam_wheel.so group=admin
只有admin組的用戶才能su
8. 設置用戶登陸的時間段
有時為了系統(tǒng)登陸的安全，我們需要限制用戶只能在特定的時間段才允許登陸主機，可以通過以下設置。
- #vi /etc/pam.d/sshd
- 添加如下內(nèi)容：
- account required pam_time.so
- # vi /etc/security/time.conf
- 添加如下內(nèi)容：
- sshd;*;admin;!Th2100-2300
time.conf參數(shù)說明：
- sshd：表示僅對ssh程序限制
- *：表示任何終端，也可以指定終端如tty1,tty2等
- admin：表示僅對admin用戶限制
- !Tu2200-2230 ：允許登錄時間是周四2100-2300之外
9. 特別帳號的處理
如果不啟動用sendmail,刪除如下用戶
- [root@localhost]# userdel adm
- [root@localhost]# userdel lp
- [root@localhost]# userdel sync
- [root@localhost]# userdel shutdown
- [root@localhost]# userdel halt
- [root@localhost]# userdel mail
如果不用X windows服務器.可有刪除
- [root@localhost]# userdel news
- [root@localhost]# userdel uucp
- [root@localhost]# userdel operator
- [root@localhost]# userdel games
如果不允許匿名FTP帳號登陸,可刪除
- [root@localhost]# userdel gopher
- [root@localhost]# userdel ftp
10.設置注銷用戶的時間及歷史命令數(shù)
- [root@tp ~]# vi /etc/profile
- ...
- HOSTNAME=`/bin/hostname`
- HISTSIZE=1000 //這里1000代表用戶操作命令的歷史記錄，應盡量小一些，設置成0也可以。
- tmout=600 //表示如果系統(tǒng)用戶在600秒(10分鐘)內(nèi)不做任何操作,將自動注銷這個用戶.
11. 防暴力破解
針對用戶的防暴力破解，通常采用以下方法
- hostDenyHosts ：此軟件的具體使用方法，可以參考官方文檔。
- 編寫腳本檢查/var/log/secure訪問日志文件：通過統(tǒng)計日志文件中的登陸失敗的ip，并將達到閾值的ip添加到/etc/hosts.deny來拒絕某個ip的再次訪問。
文章題目：如何做好Linux系統(tǒng)安全加固之賬號安全？11個安全小技巧分享
文章分享：http://m.5511xx.com/article/dpocoeh.html
