linux系统安全加固基础篇1

对于强大的linux来说，我们一定程度上都会认为是她秀坚强、稳定，同时也很有魅力。更多的如何使用她，而并没有对她的安全篇有很多的涉足，抛砖引玉，简单从常用的日志审计及pam用户验证块做个实例应用。

1、操作日志审计
系统的history再一定程度上可以告诉我们都干了什么，但对于这个多用户的操作系统，从单个终端的操作日志记录方式已经不能满足对 操作命令的一个审计工作。
也许会有人提示如下：
chattr +a ~/.bash_history
这种修改虽然可以避免删除.bash_history或重定向到/dev/null。
（题外：ln -sf /dev/null ~/.bash_history）
但是对于这种情况， 异常登录的用户我不去操作 .bash_history的相关权限，直接执行histroy -c 上面的这些设置也就未果了。
下面借助 PROMPT_COMMAND 来实现操作命令及时记录。
1)、在/etc/profile追加如下：

export HISTORY_FILE=/var/log/history/userhistory.log
readonly PROMPT_COMMAND='{ date "+%y-%m-%d %T ##### $(who am i |awk "{print \$1\" \"\$2\" \"\$NF}")  #### $(id|awk "{print \$1}") #### $(history 1 | { read x cmd; echo "$cmd";})"; } >>$HISTORY_FILE'

重读 source /etc/profile即可生效.
mkdir -p /var/log/history/
touch /var/log/history/userhistory.log
chmod 002 /var/log/history/userhistory.log
chattr +a /var/log/history/userhistory.log
2）、借助logrotate实现日志切割。

#cat /etc/logrotate.d/userhistory
/var/log/history/userhistory.log {
weekly
notifempty
prerotate
/usr/bin/chattr -a /var/log/history/userhistory.log
endscript
postrotate
/bin/chmod 002 /var/log/history/userhistory.log
/usr/bin/chattr +a /var/log/history/userhistory.log
endscript
}

具体的参数注解及 logrotate如何实现日志切割 参看
/article/4538661.html

2、pam用户验证（pam_tally）
因/etc/pam.d/login及 /etc/pam.d/sshd 都会include system-auth,
故直接配置system-auth, 对从 tty及终端登录均会生效，
版本5

#cat /etc/pam.d/system-auth   (注意该条目的位置)
auth        requisite     pam_tally.so  deny=5 even_deny_root_account unlock_time=300

版本6

#cat /etc/pam.d/system-auth
auth        requisite     pam_tally2.so  deny=5 even_deny_root unlock_time=300

建议：限制用户包括 root, 使用自定义环境测试后再使用。
that's all.

本文出自 “刘园的博客” 博客，请务必保留此出处http://colynn.blog.51cto.com/5971950/1529574