系统安全常规优化

《系统安全常规优化》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、系统安全常规优化用户账号安全优化1•禁用（锁定）zhangsan用户用passwd-I[root@s2~1#passwd-IzhangsanLockingpasswordforuserzhangsan.passwd:Success或者直接修改shadow文件，密码字符串前加！[root@s2~]#vi/etc/shadowzhangsan:!!:14724:0:99999:7:::2、将不需要使用终端的用户的登录shell改为/sbin/nologin[root@s2~1#vi/etc/passwdzhangsan:x:500:500::/home/z

2、hangsan:/sbin/nologin或者[root@s2~1#usermod-s/sbin/nologinzhangsan3限制用户的密码有效期PASS_MAX_DAYS30〃只对新建立的用户有效或者[root@s2~]#chage-M30zhangsan〃只对已存在的用户冇效4、指定用户在下次登录时必须修改密码[root@s2~]#chage・d0zhangsan或者zhangsan:!!:0:0:30:7:::第三列改为05、限制密码的最小长度[root@s2~]#vi/etc/pam.d/system-authpasswordrequisi

3、tepam_cracklib.sotry_first_passretry=36、限制记录命令历史的条数[root@s2~]#vi/etc/profileHISTSIZE=10007、设置超时自动注销终端[root@s2~]#vi/etc/profileTMOUT=600使用su切换用户身份&如何拒绝使用SU-切换用户[root@s2~]#vi/etc/pam.d/suauthrequiredpam_wheel.souse_uid9、允许zhangsan使用su-切换用户[root@s2~]#gpasswd-azhangsanwheelAddinguse

4、rzhangsantogroupwheel使用sudo提升执行权限1＞授权用户jerry可以以root权限执行ifconfig名jerryALL=/sbin/ifconfig用户主机二命令绝对路径2、通过别名定义一组命令，并授权tom用户可以使用改组命令Cmnd_AliasSYSVCTRL=/sbin/service,/bin/kill,/bin/killalltomALL=SYSVCTRL3、授权wheel组的用户不需验证密码即可执行名令%wheelALL=(ALL)NOPASSWD:ALL★代表通配符！表示取反4、为sudo启用日志功能，将记录写A

5、/var/log/sudo文件中Defaultslogfile="/var/log/sudo"Iocal2.debug/var/log/sudo修改系统日志配置文件[root@s2~]#servicesyslogrestart〃重启syslog系统服务Shuttingdownkernellogger:[OK]Shuttingdownsystemlogger:[OK]Startingsystemlogger:[OK]Startingkernellogger:[OK]5、使用sudo执行命令tom査看h己被授权使用命令，并使用sudo执行命令[tom@s2

6、~]$sudo-IPassword:Usertommayrunthefollowingcommandsonthishost:(root)/sbin/service[tom@s2~]$sudo/sbin/servicehttpdstart文件和文件系统安全优化1、锁定不希望改改的系统文件[root@s2~]#chattr+i/etc/services/etc/passwd/boot/grub/grub.conf2、解除/etc/passwd文件中的+i属性锁定[root@s2~]#chattr-i/etc/passwd3、关闭不必要的系统服务[root@

7、s2~]#servicebluetoothstop[root@s2~]#chkconfigbluetoothoff4、禁止普通用户执行initd目录中的脚本[root@s2~]#chmod-Ro-rwx/etc/init.d/或者[root@s2~]#chmod750/etc/init.d/5、禁止普通用户执行poweroff.hallt、reboot控制台程序[root@s2console.apps]#tar-jcpvf/etc/conhlp.pw.tar.bz2poweroffhaltreboot—removepoweroffhaltreboot6

8、、査找系统中设置了set-uid或set-gid权限的文件，并结合”选项显示这些文件的详细权限