Linuxシステムのセキュリティとアプリケーション

アカウントのセキュリティ管理

ユーザーアカウントは、コンピューターユーザーのID証明書またはIDです。システムリソースにアクセスする場合は、ユーザーアカウントを使用してコンピューターにアクセスする必要があります。Linuxシステムでは、適切で安全な使用を保証するためにさまざまなメカニズムが提供されています。ユーザーアカウントの

基本的なアカウントセキュリティ対策

システムアカウントのクリーンアップ

ログインしていないユーザーのシェルをログインしないように設定します

usermod -s /sbin/nologin 用户名	禁止用户登录
usermod -s /bin/false 用户名	禁止用户登录

長期間使用されていないアカウントをロックする

usermod -L 用户名	锁定用户账户
passwd -l 用户名	锁定用户账户

不要なアカウントを削除する

userdel [-r] 用户名

アカウントファイルをロックする

chattr +i /etc/passwd /etc/shadow	锁定账号文件
lsattr /etc/passwd /etc/shadow	查看账号文件
chattr -i /etc/passwd /etc/shadow	解锁账号文件

コマンド実機操作

パスワードセキュリティ管理

パスワードの有効期間を設定する

新規ユーザーのパスワードプロファイルを変更する

vim /etc/login.defs    
……
PASS_MAX_DAYS 30

新規ユーザーの実機操作

既存のユーザーのパスワード構成ファイルを変更する

[root@localhost ~]# chage -M 30 用户
[root@localhost ~]# cat /etc/shadow | grep 用户

既存ユーザーの実際の機械操作

次回ログインするときにユーザーにパスワードの変更を要求する

chage -d 0 lisi                    强制在下次登陆时更改密码               
cat /etc/shadow | grep 用户        shadow文件中的第三个字段被修改为0

パスワードの変更実機操作

3番目のフィールドは0です。次回ログインするときにパスワードを変更する必要があります

コマンド履歴の制限

記録されるコマンドの数を減らす

[root@localhost ~]# vim /etc/profile           #编辑profile文件    
 export HISTSIZE=20                            #保存20条历史记录
[root@localhost ~]# source /etc/profile        #执行一次配置文件，让配置文件生效

コマンド実機操作

ログイン時にコマンド履歴を自動的にクリアする

[root@localhost ~]#vi ~/.bashrc
 echo " " > ~/.bash_history    

コマンド実機操作

ターミナルの自動ログアウト

600秒間操作がないと、自動的にログアウトします

vim /etc/profile                #编辑profile文件
export TMOUT=600                #设定时间600秒
[root@localhost ~]# source /etc/profile    #调用配置文件

su命令

suコマンドを使用してユーザーを切り替えます

目的：ユーザーの代替、ユーザーの切り替え

`su -目标用户`

パスワードの検証

ルート→任意のユーザー、パスワードを確認しない
通常のユーザー→他のユーザー、ターゲットユーザーのパスワードを確認する

[root@localhost ~]$ su - root     带-选项表示将使用目标用户的登陆Shell环境
口令：
[root@localhost ~]# whoami
 root

ユーザーがsuコマンドを使用することを禁止する

最初の一歩

suコマンドの使用を許可されたユーザーをホイールグループに追加します

gpasswd -a 用户 wheel    #添加用户到wheel组中
grep wheel /etc/group    #确定wheel组成员

第二段階

pam_wheel認証モジュールを有効にする

/etc/pam.d/suファイルに設定して、ユーザーがsuコマンドを使用できないようにします

在/etc/pam.d/su文件里设置禁止用户使用su命令
vim /etc/pam.d/su                            编辑/etc/pam.d/su文件
2  // auth sufficient pam_rootok.so  
...      
6  // #auth required pam_wheel.so use_uid          #去掉此行开头的注释
...
【1】以上两行是默认状态（即开启第一行，注释第二行），这种状态下是允许所有用户间使用su命令进行切换的。
【2】两行都注释也是允许所有用户都能使用su命令，但root下使用su切换到其他普通用户需要输入密码；
如果第一行不注释，则root使用su切换普通用户就不需要输入密码
（pam_rootok.so模块的主要作用是使uid为0的用户，即 root用户能够直接通过认证而不用输入密码)
【3】如果开启第二行，表示只有root用户和wheel组内的用户才可以使用su命令
【4】如果注释第一行，开启第二行，表示只有wheel组内的用户才能使用su命令，root用户也被禁用su命令

su操作記録を見る

セキュリティログファイル：/ var / log / secure

 cat /var/log/secure      查看su命令操作记录

LinuxでのPAMセキュリティ認証

Linux-PAMは、Linuxのプラグ可能な認証モジュールであり、カスタマイズ可能で動的にロード可能な共有ライブラリのセットであるため、ローカルシステム管理者はプログラムの認証方法を自由に選択できます。

PAMは、/ etc / pam.d /の下にある構成ファイルを使用して、プログラムの認証方法を管理します。アプリケーションは、対応するPAM構成ファイルを呼び出してローカル認証モジュールを呼び出します。モジュールは/ lib64 / securityの下に配置され、動的ライブラリをロードする形式で認証を実行します。たとえば、suコマンドを使用すると、システムはrootユーザーのパスワードの入力を求めます。これは、PAMモジュールを呼び出すことによってsuコマンドによって実現されます。

PAM認証の原則

通常は順序に従ってください

サービス-> PAM（構成ファイル）-> pam _ *。so

PAMは、最初にどのサービスを決定し、次に対応するPAM構成ファイルをロードし、最後にセキュリティ認証のためにPAM認証モジュールを呼び出します。

ユーザーがサーバーにアクセスすると、サーバーの特定のサービスプログラムが、認証のためにユーザーの要求をPAMモジュールに送信します。

同じアプリケーションに対応するPAMモジュールも異なります

如果想查看某个程序是否支持 PAM 认证，可以用 ls 命令进行查看/etc/pam.d/。
示例：查看su是否支持PAM模块认证
ls /etc/pam.d | grep su

PAM認証の構成

各ラインは独立した認証プロセスです

各行は、認証タイプ、制御タイプ、PAMモジュール、PAMモジュールパラメーターの3つのフィールドに分割できます。

最初の段落リストPAM認証モジュールタイプ

認証モジュールタイプ	効果
auth	ユーザーのIDを特定し、パスワードの入力を求められたら、それがrootかどうかを判断します
アカウント	システムへのログインが許可されているかどうか、アカウントの有効期限が切れているかどうか、最大ユーザー数に達しているかどうかなど、アカウントのさまざまな属性を確認してください。
パスワード	ユーザーパスワードの変更など、ユーザー情報を使用してデータを更新する
セッション	ログイン接続情報、ユーザーデータの開閉、ファイルシステムのマウントなど、ログイン前とログアウト後のセッション運用管理を定義します。

2番目の列はPAM制御フラグを表します

コントロールタイプ	効果
必須	成功値を返す必要があることを示します。戻りに失敗した場合、失敗の結果はすぐには返されませんが、同じタイプの次の検証が続行されます。このタイプのすべてのモジュールが実行された後、失敗が返されます。
必要条件	必須と同様ですが、このモジュールが障害を返すと、すぐに障害を返し、このタイプの障害を示します
十分	このモジュールが成功を返す場合、プログラムに直接成功を返します。これは、このタイプの成功が失敗した場合、このタイプの戻り値に影響を与えないことを示します。
オプション	成功または失敗を返さず、通常は検証に使用されず、情報を表示するだけです（通常はセッションタイプに使用されます）
含める	検証プロセス中に他のPAM構成ファイルが呼び出されることを示します。たとえば、多くのアプリケーションは、構成項目を1つずつ書き込む必要なしに、/ etc / pam.d / system-auth（主にユーザーのログインシステムの認証を担当）を完全に呼び出すことによって認証を実装します。

3番目の列はPAMモジュールを表します

デフォルトは/ lib64 / security /ディレクトリにあります。デフォルトのパスにない場合は、絶対パスを入力してください

同じモジュールが異なるモジュールタイプで表示される可能性があり、異なるタイプで異なる操作を実行します。これは、各モジュールが異なるモジュールタイプに対して異なる実行関数を持っているためです。

4番目の列はPAMモジュールパラメータを表します

使用するモジュールに応じて追加します

モジュールに渡されるパラメーター。スペースで区切って複数のパラメーターを指定できます。

コントロールマークの補足説明

必須：回線と関連するモジュールの成功が、ユーザーが認証に合格するための[必要条件]であることを示します。つまり、アプリケーションプログラムに対応するすべての必要なモジュールが成功した場合にのみ、プログラムは認証に合格できます。同時に、必要なフラグを持つモジュールにエラーがある場合、PAMはエラーメッセージをすぐにに返しません。アプリケーションプログラムですが、このタイプのすべてのモジュールが呼び出された後、エラーメッセージは彼を呼び出したプログラムに返されます

必要条件：必須と同様に、このマークが付いたモジュールが正常に戻った後でのみ、ユーザーは認証に合格できます。違いは、失敗すると、ヒープ内で背後にある他のモジュールを実行しなくなり、認証プロセスがここで終了し、エラーメッセージがすぐに返されることです。上記の要件と比較して、よりオープンで公平なようです

十分：回線と関連するモジュールの検証が成功したことは、ユーザーが認証に合格するための[十分条件]であることを示します。つまり、十分とマークされたモジュールが正常に検証されている限り、PAMは他のモジュールを試すことなく、すぐに正常な結果をアプリケーションに返します。後続のカスケードモジュールで必須または必須の制御フラグが使用されている場合でも、同じです。十分とマークされたモジュールに障害が発生した場合、十分なモジュールはオプションとして扱われます。したがって、検証が正しく実行されない場合、十分なフラグビットを持つ構成アイテムは不公平になり、検証全体が失敗しますが、検証が成功すると、ドアが開かれます。したがって、この制御ビットの使用には注意が必要です。

オプション：行に含まれるモジュールの検証が失敗した場合でも、ユーザーは認証に合格できることを意味します。PAMシステムでは、このマークが付いたモジュールは、障害が発生した後も次のモジュールの処理を続行します。つまり、銀行が指定したモジュールの検証に失敗しても、ユーザーはアプリケーションが提供するサービスを楽しむことができます。このフラグを使用すると、PAMフレームワークは、このモジュールによって生成された検証エラーを無視し、次のカスケードされたモジュールを順番に実行し続けます。

PAMセキュリティ認証プロセス

検証が失敗した場合、必要な凡例は継続されますが、Failを返します

必要な検証が失敗した場合、検証プロセス全体が直ちに終了し、失敗が返されます

十分な検証が成功した場合、すぐに戻り、続行されません。それ以外の場合、結果は無視され、続行されます

オプションは検証には使用されず、情報の表示のみに使用されます（通常はセッションタイプに使用されます）

sudoメカニズムを使用して権限を昇格させます（sudo）

使用目的：他のユーザー（rootなど）として許可されたコマンドを実行します

使用法：sudo認証コマンド

sudo認証を構成する

visudo
或者
vim /etc/sudoers
注意：保存退出时必须执行:wq!才能保存

承認フォーマット

構文形式：

用户 主机名=命令程序列表
用户 主机名=（用户） 命令程序列表

ユーザー：指定されたユーザー名を直接承認するか、「％グループ名」の形式を使用します（グループ内のすべてのユーザーを承認します）

ホスト名：このルールを使用するホスト名。ローカルホストは、ホスト名が構成されていない場合に使用でき、実際のホスト名は、ホスト名が構成されている場合に使用され、ALLはすべてのホストを意味します

（ユーザー）：ユーザーがコマンドを実行できるID。この項目は省略できます。デフォルトでは、コマンドはrootユーザーとして実行されます。

コマンドプログラムリスト：許可されたユーザーがsudoモードで実行できる特権コマンド。コマンドプログラムのフルパスを入力する必要があり、複数のコマンドはコンマ「、」で区切ります。ALLは、システム内のすべてのコマンドを意味します

[root@localhost ~]# vim /etc/sudoers

sudo操作レコードを表示する

デフォルトのログファイル構成を有効にする必要があります

デフォルトのログファイル：/ var / log / sudo

sudo操作ログを有効にする

visudo                             
Defaults logfile = /var/log/sudo

エイリアスの作成

用户别名 User_Alias
主机别名 Host_Alias
命令别名 Cmnd_Alias
Jerry localhost=/sbin/*,!/sbin/reboot,!/sbin/poweroff
通配符“*”表示所有，取反符号“！”表示排除
%whell ALL=NOPASSWD:ALL
表示wheel组成员无需验证密码即可使用sudo执行任何命令
使用关键字 User_Alias    Host_Alias     Cmnd_Alias 来进行设置别名（别名必须为大写）
User_Alias USERS=Tom,Jerry,Mike             用户的别名users包括：Tom,Jerry,Mike
Host_Alias HOSTS=localhost,bogon   主机别名hosts包括：localhost，bogon
Cmnd_Alias CMNDS=/sbin/ifconfig,/usr/sbin/useradd,/usr/sbin/userdel
USERS HOSTS=CMNDS                   用户组   主机组  =  命令程序列表

5、スイッチマシンの安全制御

BIOSブート設定を調整します

最初の起動デバイスを、現在のシステムが配置されているハードディスクに設定します

他のデバイス（CD、Uディスク、ネットワーク）からのシステムの起動を禁止する

設定するセキュリティレベルを設定し、管理者パスワードを設定します

GRUBの制限

grub2-mkpasswd-pbkdf2を使用してキーを生成します

/etc/grub.d/00_headerファイルを変更し、パスワードレコードを追加します

新しいgrub.cfg構成ファイルを生成します

GRUBブートパラメータの変更を制限する

通常の状況では、システムがGRUBメニューで起動されたら、eキーを押してGRUBブートパラメータを表示および変更します。これはサーバーにとって大きな脅威です。パスワードはGRUBメニューに設定でき、正しいものだけが設定できます。パスワードはブートパラメータを変更できます

grub2-mkpasswd-pbkdf2 			        #根据提示设置GRUB 菜单的密码
PBKDF2 hash of your password is grub.pbkdf2…… 		#省略部分内容为经过加密生成的密码字符串
cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak
cp /etc/grub.d/00_header /etc/grub.d/00_header.bak
vim /etc/grub.d/00_header
cat << EOF
set superusers="root"					#设置用户名为root
password_pbkdf2 root grub.pbkdf2……		#设置密码，省略部分内容为经过加密生成的密码字符串
EOF
grub2-mkconfig -o /boot/grub2/grub.cfg	#生成新的 grub.cfg 文件

6、ターミナルログインセキュリティ制御

安全な端末にのみログインするようにrootを制限する

安全な端末構成：/ etc / securetty

[root@localhost ~]# vim /etc/securetty
#tty5        #禁止root用户从终端tty5，tty6登录
#tty6

通常のユーザーのログインを禁止する

/ etc / nologinファイルを作成します

nologinファイルを削除するか再起動すると、通常の状態に戻ります

touch /etc/nologin			#禁止普通用户登录
rm -rf /etc/nologin			#取消登录限制