|
讲到linux系统账户的管理以及安全，就必须涉及 /etc/passwd /etc/shadow 这2个文件
《删除或锁定系统内建的用户账户，组账户》
系统内建的一些账户可能会让入侵变得更容易，因为这些账户扩大了系统的受攻击面。可以通过删除，锁定，或者注释的方法来加固账户安全。 操作涉及的文件有： /etc/passwd /etc/shadow /etc/group 在修改之前，建议对上面3个文件作备份，而且尽量将文件副本存储在移动存储设备如U盘，移动硬盘，或者网络云盘上面。一旦系统出现和账户相关的故障，将副本替换原有的文件，这样就能恢复：
将本地文件系统的 /backup/ 目录下的这三个副本存储到上面提及的各种存储介质中，记住，不要把鸡蛋放在同一个篮子里。 后续的修改都是对原有文件进行的，需要从副本还原时，执行下面操作：
这会替换掉存在错误配置的原有文件。举个例子来验证：
有了上面的测试保证，我们就可以继续进行和用户账户相关的安全设置： 批量删除 passwd 文件前4～10行的用户，这些通常很少用到：
其末尾有个 ftp 账户，如果日后有搭建FTP服务器的需求，如vsftpd等，可以将该账户保留下来，不要删除。
要批量删除 group 文件中的多余用户组，使用和上面类似的单行shell脚本：
注意，取决于你的系统环境，有些用户和组或许初始就没有创建，这里仅是给出所有可能存在并且需要删除的用户和组。 如果你不想删除这些用户以及组，然后在必要时用备份文件来还原，那么至少，要在原来的文件中，注释掉，或者锁定这些账户和组。对于注释，大家都会，下面主要说一下如何锁定： 锁定： passwd -l [用户名] 解锁： passwd -u [用户名] 也可以把这个命令替换掉前面单行shell脚本中的 userdel命令，实现批量锁定和解锁。 最后提醒一下，处于锁定状态的账户，在 shadow 文件的第二列，会显示 !! ，表明其处于锁定状态，解锁后才能登录系统。 并且，只有根用户（root）才有权限执行锁定和解锁操作。
《关闭SELinux》
在刚安装完成系统的初次配置时刻，如果把SELinux设置成“开启”或着“强制”，可以通过如下办法来禁用：
将 SELINUX= 一行后面的值设为 disable，保存退出vim，重启系统后设置永久生效。
在不修改 /etc/selinux/config 的前提下，要立即生效不重启（重启失效），执行下面命令： 该命令把SELlinux设置为 Permissive 模式，等于暂时关闭
要暂时开启SELlinux（等于设置为 Enforcing 模式），执行下面命令：
另外一种关闭的办法是：在GRUB（引导加载程序）的启动参数后添加 selinux=0
《修改内核参数加固系统》
默认情况下，对于其它机器发送的带icmp回显请求的ping数据包，centos返回带icmp回显应答的数据包，但是这种做法会导致安全隐患，因为网络上的恶意攻击者可以根据ping返回的信息判断目标机器是否在线上，进而采取后续的端口扫描等攻击。 因此，我们需要修改linux内核的TCP/IP协议堆栈的参数，禁止向其它机器返回icmp回显应答数据包，从而缓解基于主机发现的盲目ping踩点，至于为什么仅是“缓解”，后文我们会提到。 修改相关配置文件：
在文件中加入下面内容：
根据该文件首行的注释说明，可以了解到，二进制值为1，表示激活某项特性；二进制值为0，表示禁用某项特性。上面就是激活“忽略所有远程的icmp回显请求”特性。 这种修改配置文件的方式，需要在重启系统后才能生效，但是对于在线上生产环境的服务器而言，是不能随意重启的，会导致业务中断，甚至丢失用户正在发送过来的数据。 因此，使用下面的命令来让对配置文件的修改立即生效：
验证一下参数是否生效，下面执行测试的虽然是虚拟机，但是结果与真实环境的机器并无二致。 centos机器的IP地址是192.168.1.20 发送ping数据包的windows xp机器IP地址是192.168.1.30 可以看到，windows xp发送的4个ping数据包均返回了请求超时的结果，丢包率100%。
再以渗透测试业界著名的 BackTrack 5 平台进行检测：
当然，任何稍微有经验的渗透测试师或者黑客，都不会使用BT5的ping工具，因为它 不能正确反映出一个目标机器的安全性，相反，被广泛使用的Nmap，可以揭露出目标机器的安全级别仍旧有待加强：
上面的例子仅仅是抛砖引玉，希望各位大牛能举一反三。 另外提一下，对于 /etc/sysctl.conf 中的内核参数，如果是开启和关闭性质的，最好不要通过“注释”的方式来禁用或激活，因为这样要重启系统，比较麻烦，应该使用该文件官方推荐的办法：将其值设为0或1，保存退出vim， 然后以命令 sysctl -p 让配置立即生效即可。还是以上面为例子：
继续前面的话题：在没有打开防火墙的情况下，仅仅是在 /etc/sysctl.conf 中添加了禁止本机回应远程ping数据包的参数，那么攻击者可以直接以 Nmap 运行端口扫描来枚举服务版本。 因此，必须开启centos6.5的iptables防火墙。 下面我们将看到，只要开启iptables，采用其默认规则：允许所有入站方向对本地开启的服务监听端口的套接字发起的连接，那么即便没有关闭相应服务，Nmap 的扫描也不会得到可利用的信息： 首先，根据Nmap的扫描结果，我们知道本机上开放了 TCP 111，443，902等端口和相应服务（请参考上面截图），可以用 lsof 配合 netstat 命令确认：
注意，我们不使用 service [service] stop 和 ps -ef | grep [PID] && kill -9 [PID] 等类似命令来关闭服务和端口，而是直接启动 iptables 防火墙：
没有特别修改 iptables 防火墙的规则，使用默认策略的情况下，阻止了nmap的各种基于设置了TCP分段标志位的探测数据包：
对于那些直接曝露在因特网上对用户提供特定服务（HTTP/S，FTP等）的linux主机来讲：正确的，健壮的，可操作性强的 iptables 防火墙安全策略规则设置，显得非常关键； 但是现在多数组织企业使用自带防火墙的路由器 （例如各种类型的 cisco IOS防火墙，ASA，PIX防火墙，其它厂商的硬件防火墙，硬件负载均衡等设备），放置在用于公网访问的服务器前端，并且还划分出DMZ（所谓的非军事防御区），来与内网机器隔离，设置区域之间的安全级别。。。种种加固手段让在linux主机上开启 iptables的做法显得多余（除非内网已被渗透，开启iptables 可以防止攻击者的“横向”提权入侵），而且会影响服务器性能，因此，建议执行如下命令将其关闭：
iptables都不会启动。
可以将下面这些内核参数添加到 /etc/sysctl.conf 文件中，需要强调的是，其中部分参数，我没有做过测试，建议慎用，部分对该参数的解释援引互联网上被广泛转载的文章，这里不对其滥用造成的，包括但不限于业务损失，数据丢失等，负任何法律上的责任。 和特定参数解释相关的背景知识，参考这篇博文： http://shayi1983.blog.51cto.com/4681835/1434989
最好先在虚拟机环境中对这些参数进行性能，基准测试，仔细评估后，再把它添加到实际的生产服务器上:
net.ipv4.tcp_fin_timeout = 30 #当本地发送（发送端）带FIN标识位的TCP分段，要求关闭连接时，如果接收端还有数据要传给发送端，那么发送端应该保持开启用于接收对方数据的TCP通信管道（套接字）的时间（TCP有限状态机保持在FIN-WAIT-2，即处于半关闭状态的时间）， 这里将其设置为 30秒，超时后，发送端将关闭连接，此时从对方传输过来的数据会丢失。 对于邮件服务器，这个值设为30秒是合适的，因为此时要求关闭的是服务器，而通常客户端不会有还未传完的数据要传，而且服务器要并发支持多个客户端，因此，在内核层面，只给每个客户端30秒的时间来处理尚未发送的数据包。
内核参数中与网络安全，系统优化相关的还有很多，后面会陆续介绍，作为运维人员，应该充分理解这些系统底层的参数是如何影响你的应用层业务，用户体验，服务器高可用，稳定，以及安全的，这对提升自身核心竞争力无疑有极大帮助。 (责任编辑：IT) |
