由于Linux操作系統(tǒng)是一個開放源代碼的免費操作系統(tǒng)，受到越來越多用戶的歡迎。對于在線運行的業(yè)務，用戶最關(guān)心的就是系統(tǒng)的安全性，系統(tǒng)運行的安全性直接影響著業(yè)務的安全。系統(tǒng)安全設置是一個多維度問題，下面小編就從linux的賬號安全的維度和大家分享一些常用的Linux安全加固小技巧。

[[262284]]

1. 設置密碼策略

[root@lkjtest ~]# cat /etc/login.defs |grep -v "#" |grep PASS 
PASS_MAX_DAYS 180 
PASS_MIN_DAYS 0 
PASS_MIN_LEN 5 
PASS_WARN_AGE 7 

參數(shù)說明：

• PASSMAXDAYS：設置密碼的過期日期
• PASSMINDAYS：密碼最小更改日期
• PASSMINLEN ：密碼的最小長度
• PASSWARNAGE ：密碼到期提前告警的天數(shù)

2. 限制用戶遠程登陸

vim /etc/pam.d/sshd 
#%PAM-1.0  
auth required pam_tally2.so deny=3 unlock_time=300 even_deny_root root_unlock_time=10 

注意點：添加的內(nèi)容一定要添加在前面，即“#%PAM-1.0” 之后，如果寫在后面，雖然用戶被鎖定，但只要用戶名和密碼正確，依然是可以成功登陸進去的。

參數(shù)說明：

• evendenyroot : root用戶也限制。
• deny ：設置普通用戶和root用戶連續(xù)錯誤登陸的***次數(shù)，超過***次數(shù)，則鎖定該用戶.
• unlock_time ：普通用戶鎖定后，多長時間后解鎖，單位是秒。
• rootunlocktime ：root用戶鎖定后，多少時間后解鎖，單位是秒。

3. 限制用戶從tty登陸

vim /etc/pam.d/login 
#%PAM-1.0  
auth required pam_tally2.so deny=3 lock_time=300 even_deny_root root_unlock_time=10  

注意點：添加的內(nèi)容一定要添加在前面，即“#%PAM-1.0” 之后，如果寫在后面，雖然用戶被鎖定，但只要用戶名和密碼正確，依然是可以成功登陸進去的。

參數(shù)說明：

• evendenyroot : root用戶也限制。
• deny ：設置普通用戶和root用戶連續(xù)錯誤登陸的***次數(shù)，超過***次數(shù)，則鎖定該用戶.
• unlock_time ：普通用戶鎖定后，多長時間后解鎖，單位是秒。
• rootunlocktime ：root用戶鎖定后，多少時間后解鎖，單位是秒。

4. 查看用戶登陸失敗次數(shù)

[root@localhost]# pam_tally2 --user root  
Login Failures Latest failure From 
root 0  

5. 解鎖指定用戶

[root@localhost ~]# pam_tally2 -r -u root  
Login Failures Latest failure From 
root 0  

6. 設置口令復雜度

編輯 /etc/pam.d/system-auth 
找到pam_cracklib,在后加一些參數(shù)具體如下： 
[root@lkjtest ~]# cat /etc/pam.d/system-auth |grep cracklib 
password requisite pam_cracklib.so retry=5 difok=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 

參數(shù)說明：

• retry=5：表示允許輸入5次
• difok=3：新密碼與舊密碼不同的個數(shù)為3
• minlen=10：密碼長度至少10位
• ucredit=-1 ：至少一位大寫字母
• lcredit=-1：至少一位小寫字母
• dcredit=-1：至少一位數(shù)字
• ocredit=-1：其他字符至少一位

7. 限制su的權(quán)限

如果你不想任何人能夠用su作為root，可以通過以下限制：

編輯/etc/pam.d/su文件，增加如下兩行： 
auth sufficient pam_rootok.so debug 
auth required pam_wheel.so group=admin  

只有admin組的用戶才能su

8. 設置用戶登陸的時間段

有時為了系統(tǒng)登陸的安全，我們需要限制用戶只能在特定的時間段才允許登陸主機，可以通過以下設置。

#vi /etc/pam.d/sshd 
添加如下內(nèi)容： 
account required pam_time.so 
# vi /etc/security/time.conf  
添加如下內(nèi)容： 
sshd;*;admin;!Th2100-2300  

time.conf參數(shù)說明：

• sshd：表示僅對ssh程序限制
• *：表示任何終端，也可以指定終端如tty1,tty2等
• admin：表示僅對admin用戶限制
• !Tu2200-2230 ：允許登錄時間是周四2100-2300之外

9. 特別帳號的處理

如果不啟動用sendmail,刪除如下用戶

[root@localhost]# userdel adm 
[root@localhost]# userdel lp 
[root@localhost]# userdel sync 
[root@localhost]# userdel shutdown 
[root@localhost]# userdel halt 
[root@localhost]# userdel mail 

如果不用X windows服務器.可有刪除

[root@localhost]# userdel news 
[root@localhost]# userdel uucp 
[root@localhost]# userdel operator 
[root@localhost]# userdel games 

如果不允許匿名FTP帳號登陸,可刪除

[root@localhost]# userdel gopher 
[root@localhost]# userdel ftp 

10.設置注銷用戶的時間及歷史命令數(shù)

[root@tp ~]# vi /etc/profile 
... 
HOSTNAME=`/bin/hostname` 
HISTSIZE=1000 //這里1000代表用戶操作命令的歷史記錄，應盡量小一些，設置成0也可以。 
tmout=600 //表示如果系統(tǒng)用戶在600秒(10分鐘)內(nèi)不做任何操作,將自動注銷這個用戶. 

11. 防暴力破解

針對用戶的防暴力破解，通常采用以下方法

• hostDenyHosts ：此軟件的具體使用方法，可以參考官方文檔。
• 編寫腳本檢查/var/log/secure訪問日志文件：通過統(tǒng)計日志文件中的登陸失敗的ip，并將達到閾值的ip添加到/etc/hosts.deny來拒絕某個ip的再次訪問。