linux系统安全加固基础篇1
对于强大的linux来说,我们一定程度上都会认为是她秀坚强、稳定,同时也很有魅力。更多的如何使用她,而并没有对她的安全篇有很多的涉足,抛砖引玉,简单从常用的日志审计及pam用户验证块做个实例应用。
1、操作日志审计
系统的history再一定程度上可以告诉我们都干了什么,但对于这个多用户的操作系统,从单个终端的操作日志记录方式已经不能满足对 操作命令的一个审计工作。
也许会有人提示如下:
chattr +a ~/.bash_history
这种修改虽然可以避免删除.bash_history或重定向到/dev/null。
(题外:ln -sf /dev/null ~/.bash_history)
但是对于这种情况, 异常登录的用户我不去操作 .bash_history的相关权限,直接执行histroy -c 上面的这些设置也就未果了。
下面借助 PROMPT_COMMAND 来实现操作命令及时记录。
1)、在/etc/profile追加如下:
export HISTORY_FILE=/var/log/history/userhistory.log readonly PROMPT_COMMAND=‘{ date "+%y-%m-%d %T ##### $(who am i |awk "{print \$1\" \"\$2\" \"\$NF}") #### $(id|awk "{print \$1}") #### $(history 1 | { read x cmd; echo "$cmd";})"; } >>$HISTORY_FILE‘
重读 source /etc/profile即可生效.
mkdir -p /var/log/history/
touch /var/log/history/userhistory.log
chmod 002 /var/log/history/userhistory.log
chattr +a /var/log/history/userhistory.log
2)、借助logrotate实现日志切割。
#cat /etc/logrotate.d/userhistory /var/log/history/userhistory.log { weekly notifempty prerotate /usr/bin/chattr -a /var/log/history/userhistory.log endscript postrotate /bin/chmod 002 /var/log/history/userhistory.log /usr/bin/chattr +a /var/log/history/userhistory.log endscript }
具体的参数注解及 logrotate如何实现日志切割 参看
http://colynn.blog.51cto.com/5971950/1441436
2、pam用户验证(pam_tally)
因/etc/pam.d/login及 /etc/pam.d/sshd 都会include system-auth,
故直接配置system-auth, 对从 tty及终端登录均会生效,
版本5
#cat /etc/pam.d/system-auth (注意该条目的位置) auth requisite pam_tally.so deny=5 even_deny_root_account unlock_time=300
版本6
#cat /etc/pam.d/system-auth auth requisite pam_tally2.so deny=5 even_deny_root unlock_time=300
建议:限制用户包括 root, 使用自定义环境测试后再使用。
that‘s all.
本文出自 “刘园的博客” 博客,请务必保留此出处http://colynn.blog.51cto.com/5971950/1529574
郑重声明:本站内容如果来自互联网及其他传播媒体,其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享,并不代表本站赞同其观点和对其真实性负责,也不构成任何其他建议。