CentOS7 运维 - 让你的Linux服务器更安全
一、账户安全管理
①清理系统账户
- 将非登陆用户的Shell设为/sbin/nologin或者/bin/falsh
usermod -s /sbin/nologin 用户名
- 锁定长期不使用的账号
usermod -L 用户名 //锁定用户账户
passwd -l 用户名 //锁定用户密码
passwd -S 用户名 //查看用户状态
- 删除无用的账号
userdel -r 用户名 //删除用户及其宿主目录
- 清空一个账号密码
passwd -d 用户名 //清空账户密码
- 锁定账号文件passwd、shadow
chattr +i /etc/passwd /etc/shadow //锁定文件
lsattr /etc/passwd /etc/shadow //查看文件状态
chattr -i /etc/passwd /etc/shadow //解锁文件
- 禁止root用户登录
在 Linux 系统中，login 程序会读取/etc/securetty 文件，以决定允许 root 用户从哪些终端（安全终端）登录系统
vi /etc/securetty
#tty5
//想要不让在哪个终端登陆就在该终端前加注释#
tty6
- 禁止普通用户登录
- login 程序会检查/etc/nologin 文件是否存在，如果存在，则拒绝普通用户登录系统(root 用户不受限制）
touch /etc/nologin
//创建/etc/nologin文件即禁止普通用户登录
rm -rf /etc/nologin
//删除该文件即取消登录限制
②密码安全控制
chage -M 日期 用户 //设置用户密码有效期
chage -E xxxx-xx-xx //设置过期日期
[xxxx为年][xx为月]-[xx为日]
►设置新用户的密码有效期
vim /etc/login.defs //修改密码配置文件适用于新建用户
►强制使某个用户下次登陆时更换密码
chage -d 0 用户 //强制在下次登陆时更改密码
③防止历史记录泄露
不法分子会查看上次输入的记录，可能导致root密码等重要信息揭露
►减少记录的命令条数
vi /etc/profile //编辑全局变量配置文件
export HISTZIZE=200 //将内容插入最后一行
输出的历史记录将只保留200条
►登录时自动清理历史记录
vim ~/.bashrc
echo " " > ~/.bash_history //将内容插入最后一行
④终端自动注销
当终端处于闲置一段时间后实现自动注销
vim /etc/profile //编辑全局变量配置文件
export TMOUT=600 //将内容插入最后一行
⑤su用户切换命令
su命令使得每个用户都具有反复尝试其他用户的登陆密码，若是root用户，则风险更大
- 将允许使用su命令的用户加入wheel组
- 启用pam_wheel认证模块
vim /etc/pam.d/su
- 以上两行是默认状态（即开启第一行，注释第二行），这种状态下是允许所有用户间使用
su命令进行切换的 - 两行都注释也是允许所有用户都能使用
su命令，但root下使用su切换到其他普通用户需要输入密码；如果第一行不注释，则root使用su切换普通用户就不需要输入密码
pam_rootok.so模块的主要作用是使uid为0的用户，即 root用户能够直接通过认证而不用输入密码
- 如果开启第二行，表示只有
root用户和wheel组内的用户才可以使用su命令 - 如果注释第一行，开启第二行，表示只有
wheel组内的用户才能使用su命令，root用户也被禁用su命令
►第一列代表PAM认证模块类型
①auth：对用户身份进行识别，如提示输入密码，判断是否为root。
②account：对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最大用户数等。
③password：使用用户信息来更新数据，如修改用户密码。
④session：定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统。
►第二列代表PAM控制标记
①required：表示需要返回一个成功值，如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下一验证，所有此类型的模块都执行完成后，再返回失败。
②requisite：与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败。
③sufficient：如果此模块返回成功，则直接向程序返回成功，表示此类成功，如果失败，也不影响这类型的返回值。
④optional：不进行成功与否的返回，一般不用于验证，只是显示信息（通常用于 session 类型）。
⑤include：表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth（主要负责用户登录系统的认证工作）来实现认证而不需要重新逐一去写配置项。
►第三列代表PAM模块，默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径。
►第四列代表PAM模块的参数，这个需要根据所使用的模块来添加。
►限制用户进行切换用户操作
vim /etc/pam.d/su
#auth required pam_wheel.so use_uid
//去除此段的#
►给某个用户切换用户操作的权限
gpasswd -a fox wheel //将用户“fox”加入到whell组中
二、PAM安全认证
►Linux-PAM是linux可插拔认证模块，是一套可定制、可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式
►PAM使用/etc/pam.d/下的配置文件，来管理对程序的认证方式。应用程序调用相应的PAM配置文件，从而调用本地的认证模块，模块放置在/lib64/security下，以加载动态库的形式进行认证。比如使用su命令时，系统会提示输入root用户的密码，这就是su命令通过调用PAM模块实现的
查看su操作记录
安全日志文件：/var/log/secure
cat /var/log/secure
①PAM 认证原理
►PAM 认证一般遵循的顺序：Service（服务）→PAM（配置文件）→pam_*.so（认证模块）
►PAM认证首先要确定哪一项应用服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证模块(位于 /lib64/security/下)进行安全认证
►用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM 模块也是不同的
如果想查看某个程序是否支持 PAM 认证，可以用 ls 命令进行查看/etc/pam.d/
ls /etc/pam.d/ //PAM配置文件
ls /lib64/security/ //认证模块
三、账户权限管理
vim /etc/sudoers //默认为只读，保存方式:wq!
或
visudo
①单个用户权限
►格式1：用户 主机名=命令程序列表
►格式2：(用户) 主机名=命令程序列表
fox foxhome=/sbin/ifconfig //使fox拥有ifconfig权限
fox foxhome=!/sbin/reboot //使fox没有reboot权限
fox foxhome=/sbin/* //使fox拥有所有sbin权限
fox foxhome=/sbin/reboot,poweroff //加逗号自定义
►禁止某用户开关机
②别名组权限
►用户别名 User_Alias
►主机别名 Host_Alias
►命令别名 Cmnd_Alias
User_Alias USERS=fox,cat
//用户的别名users包含fox和cat
Host_Alias HOSTS=foxhome,cathome
//主机别名hosts包括：foxhome和cathome
Cmnd_Alias CMNDS=/sbin/reboot,poweroff
//可执行的命令包括关机和重启
USERS HOSTS=CMNDS
//相当于：用户组 主机组 = 命令程序列表
四、GRUB保护
不法分子会借着开关机的期间进入BIOS界面篡改GRUB的内容，最后导致服务器无法正常开启
①设置GRUB密码
►使用grub2-mkpasswd-pbkdf2生成密钥
grub2-mkpasswd-pbkdf2
从grub到最后都是密钥，记得保存好
创建登录用户前记得先备份
//对重要文件进行备份
cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak
cp /etc/grub.d/00_header /etc/grub.d/00_header.bak
vim /etc/grub.d/00_header
