系统常规安全优化

乐め乐

       在linux系统中有些程序在安装时会创建用户和组，这些用户用于启动服务OR运行进程，通常是不允许登录，例：news,mysql,named等等  当受到攻击者假冒这些用户和组身份时，一般不易被管理员发现。
      根据自己当前的服务器的具体情况，可以把不用的用户和组删除。例：很少用的：games gopher uucp 等  假如服务器不用要启用named服务器，就可以删除named用户named组，如何不太确定用户是否应该删除，也可以暂时禁用它

例：锁定（禁用） xiaojiayu
root@localhost # passwd -l xiaojiayu
locking password for user xiaojiayu
passwd:Success

-l 锁定  -u 解锁

也可直接修改shadow   在xiaojiayu 用户的密码字符前加  ！
例：root@localhost # vi /etc/shadow
xijiaoyu:!$.........(密码加密字符串)


让程序和服务用户的登录shell不可用

例：把不用的使用终端的用户的登录shell 改成/sbin/nologin
root@localhost #vi /etc/passwd
new:x:12：00：NEW   user:/var/new:/sbin/nologin
也可以
root@localhost #usermod -s /sbin/nologin rpm

限制用户的password有效期

例   把password最大有效天数改为10天
root@localhost #chage -M 10 xiaojiayu   //只对已有的xiaojiayu用户有用
      用户在登录服务器时，假如密码已过有效期，系统会要求重新设置一个新的密码，否则无法登录。
localhost login: xiaojiayu
password:
You are required to change your password immediately (password aged)
changing password for xiaojiayu
(current) UNIX password:
NEW UNIX password:
retype new UNIX passwoed:


指定用在下次登录时必需修改密码
root@localhost #chage -d 0 xiaojiayu

限制用户密码最小的长度

root@localhost #vi /etc/pam.d/system-auth
password   requisite   pam_cracklib.so try_first_pass retry=4 minlen=13

限制记录命令历史的条数
例  将所用户的命令记录限制为100
root@localhost #vi /etc/profile
HISTSIZE=100


设置超时时自动注销终端
例：把全局超时设为500秒
root@localhost #vi /etc/profile
export TMOUT=500