Linux安全：基础与高级配置详解

### Linux 安全：基础与高级配置详解 #### 1. Linux PAM 基础安全 PAM（Pluggable Authentication Modules）是 Linux 系统中用于认证的重要机制，它通过管理组和控制值来实现灵活的认证规则。 ##### 1.1 管理组 PAM 设计了四种管理组，用于不同方面的认证管理： - **auth**：用于用户身份验证，要求用户提供用户名和密码等信息，并可将用户关联到特定组以限制服务访问，如只读权限。 - **account**：基于账户管理进行用户认证，可限制用户在特定时间或特定终端登录系统。 - **session**：在用户认证成功后控制用户会话，包括挂载目录、更改文件以及记录用户登录和退出时间等操作。 - **password**：用于更新用户认证令牌，例如用户更改密码时使用。 ##### 1.2 控制值 规则的控制部分是其保护条件，决定了当前规则模块认证失败后，规则栈中下一个规则是否继续评估。常见的控制值有： - **required**：模块必须成功才能授予服务访问权限，该规则的结果将在同一管理类型的其他规则评估完成后返回。例如： ```plaintext auth sufficient pam_rootok.so auth required pam_env.so auth required pam_unix.so nullok try_first_pass ``` 在上述示例中，若 `pam_env.so` 模块失败，认证结果为失败。 - **requisite**：若模块成功，与 `required` 类似；若模块失败，评估将停止。例如： ```plaintext auth sufficient pam_rootok.so auth requisite pam_env.so auth required pam_unix.so nullok try_first_pass ``` 若 `pam_env.so` 模块失败，评估停止并返回失败结果。 - **sufficient**：若模块执行成功，认证继续；若规则失败，不影响下一个规则。但如果之前有 `required` 规则失败，该规则的成功结果将被忽略。 - **optional**：可选控制值，仅当服务的 PAM 配置文件中只有此规则使用该控制值时才会生效。 ##### 1.3 模块路径 规则的 `modulepath` 部分指定要使用的 PAM 模块，通常只使用模块的文件名，Linux - PAM 会在默认的 PAM 模块目录中查找。例如： ```plaintext auth sufficient pam_rootok.so ``` 若模块文件不在默认目录，可指定完整路径。部分模块可接受参数，参数放在 `modulearguments` 部分，多个参数用空格分隔，需要空格的参数用方括号括起来，如： ```plaintext auth required pam_unix.so nullok try_first_pass [sample_argument=pam rocks] ``` ##### 1.4 测试 PAM 以 `crond` 服务为例，使用 `pam_time.so` 模块限制用户访问。具体操作步骤如下： 1. **配置规则**：在 `/etc/security/time.conf` 文件中添加规则，如： ```plaintext crond;*;ging;!Al0000 - 2400 ``` 该规则表示用户 `ging` 在任何终端任何时间都不能使用 `crond` 服务。若 `ging` 用户不存在，可使用以下命令创建： ```bash useradd ging passwd ging ``` 2. **创建测试任务**： - 以 `ging` 用户登录到 `/dev/tty2` 终端： ```plaintext Ctrl + Alt + F2 ``` - 运行 `crontab -e` 命令，添加任务： ```plaintext */1 * * * * echo Hello! ``` - 保存文件后，任务将每分钟运行一次。 3. **监控日志**： - 若使用 Gnome 桌面，返回桌面： ```plaintext Ctrl + Alt + F7 ``` - 打开终端，运行命令监控 `crond` 日志： ```bash tail -f /var/log/cron ``` 4. **添加规则到 PAM 配置**：打开 `/etc/pam.d/crond` 文件，添加 `pam_time.so` 模块： ```plaintext account required pam_time.so account required pam_access.so account include system-auth ``` 保存文件后，可看到 `ging` 用户无法运行任务的日志信息。 #### 2. 查找其他 PAM 模块 除了上述示例中的模块，还可在系统的 PAM 系统管