Linux安全加固

《Linux安全加固》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Linux安全加固主题提纲GRUB的使用用户密码策略PAM应用Sudo应用Page2/37GRUB的定义GNUGRUB(GRandUnifiedBootloader)是一个将引导装载程序安装到主引导记录的程序，主引导记录是位于一个硬盘开始的扇区。它允许位于主引导记录区中特定的指令来装载一个GRUB菜单或是GRUB的命令环境。这使得用户能够开始操作系统的选择，在内核引导时传递特定指令给内核，或是在内核引导前确定一些系统参数（如可用的RAM大小）。Page3/37设备名称系统的第一个硬盘驱动器被GRUB称为(hd0)第一

2、个硬盘的第一个分区被称为(hd0,0)第二个硬盘驱动器上的第5个分区被称为(hd1,4)系统使用IDE硬盘或SCSI硬盘，都没有关系。所有的硬盘都是用hd开始。软盘用fd开头Page4/37GRUB的接口菜单接口菜单项目编辑器接口命令行接口Page5/37Page6/37Linux安全设置9-1使用GRUB口令编辑/boot/grub/grub.conf，加入以下语句password12345password--md5$1$b347J/$n4ZBhcSGf7U75Am6iw/dX0使用grub-md5-crypt,生

3、成加密密码Page7/37Linux安全设置9-2修改默认root密码长度/etc/pam.d/system-auth中配置:password requisite /lib/security/$ISA/pam_cracklib.soretry=3minlen=10 lcredit=-1ucredit=-1dcredit=-1ocredit=-1）默认lcreditucreditdcreditocredit为1lcredit(代表小写字母)ucredit(代表大写字母)dcredit(代表数字)ocredit(代表

4、符号)PAM介绍PAM（PluggableAuthenticationModules）是由Sun提出的一种认证机制。它通过提供一些动态链接库和一套统一的API，将系统提供的服务和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序，同时也便于向系统中添加新的认证手段。PAM最初是集成在Solaris中，目前已移植到其它系统中，如Linux、SunOS、HP-UX9.0等。Page8/37PAM的框架结构Page9/37PAM支持的四种管理方式认证管理（authenti

5、cationmanagement）主要是接受用户名和密码，进而对该用户的密码进行认证，并负责设置用户的一些秘密信息。帐户管理（accountmanagement）主要是检查帐户是否被允许登录系统，帐号是否已经过期，帐号的登录是否有时间段的限制等等。密码管理（passwordmanagement）主要是用来修改用户的密码。会话管理（sessionmanagement）主要是提供对会话的管理和记账（accounting）。Page10/37PAM的文件/usr/lib/libpam.so.*PAM核心库/etc/pam.

6、d/PAM配置文件/lib/security/pam_*.so可动态加载的PAM服务模块Page11/37PAM的配置/etc/pam.d/目录下的每个文件的名字对应服务名例如ftp服务对应文件/etc/pam.d/ftp如果名为xxxx的服务所对应的配置文件/etc/pam.d/xxxx不存在，则该服务将使用默认的配置文件/etc/pam.d/otherPage12/37PAM的配置每个文件由如下格式的文本行所构成：module-typecontrol-flagmodule-pathargumentsmodule-

7、type模块类型有四种：auth、account、session、password，即对应PAM所支持的四种管理方式。同一个服务可以调用多个PAM模块进行认证，这些模块构成一个stack。control-flag用来告诉PAM库该如何处理与该服务相关的PAM模块的成功或失败情况。它有四种可能的值：required，requisite，sufficient，optional。module-path用来指明本模块对应的程序文件的路径名，一般采用绝对路径，如果没有给出绝对路径，默认该文件在目录/usr/lib/securi

8、ty下面。arguments是用来传递给该模块的参数Page13/37常用认证模块Pam_unix.so该模块的主要功能是禁止密码为空的用户提供服务Pam_permit.so总是无条件地使认证成功Pam_deny.so总是无条件地使认证失败,通常该模块被用来作为缺省的验证规则Pam_cracklib.so该模块对用户密码提供强健性检测Page1