系统一些特权帐号安全和自动注销账户设置

关于特权账号

禁止所有默认的被操作系统本身启动的且不需要的帐号，当你第一次装上系统时就应该做此检查，Linux提供了各种帐号，你可能不需要，如果你不需要这个帐号，就移走它，你有的帐号越多，就越容易受到攻击。

为删除你系统上的用户，用下面的命令：userdel username

为删除你系统上的组用户帐号，用下面的命令：groupdel username

在终端上打入下面的命令删掉下面的特权用账号：


　　
　　userdel adm
　　
　　userdel lp
　　
　　userdel sync
　　
　　userdel shutdown
　　
　　userdel halt
　　
　　userdel mail
　


　
如果你不用sendmail服务器，就删除这几个帐号：


　　
　　userdel news
　　
　　userdel uucp
　　
　　userdel operator
　　
　　userdel games
　


　
如果你不用X windows 服务器，就删掉这个帐号。


　　
　　userdel gopher


　　
如果你不允许匿名FTP，就删掉这个用户帐号：


　　
　　userdel ftp
　


　
关于su命令

如果你不想任何人能够su为root的话,你应该编辑/etc/pam.d/su文件，加下面几行：


　　
　　auth sufficient /lib-
　　
　　/security/pam_rootok-
　　
　　.so debug
　　
　　auth required /lib-
　　
　　/security/pam_wheel-
　　
　　.so group=isd
　


　
这意味着仅仅isd组的用户可以su作为root。如果你希望用户admin能su作为root.就运行下面的命令：


　　
　　usermod -G10 admin
　


　
suid程序也是非常危险的，这些程序被普通用户以euid=0（即root）的身份执行，只能有少量程序被设置为suid。用这个命令列出系统的suid二进制程序：


　　
　　suneagle# find / -perm -4000 -print


　　
你可以用chmod -s去掉一些不需要程序的suid位。

关于账户注销

如果系统管理员在离开系统时忘了从root注销，系统应该能够自动从shell中注销。那么，你就需要设置一个特殊的 Linux 变量“tmout”，用以设定时间。 同样，如果用户离开机器时忘记了注销账户，则可能给系统安全带来隐患。你可以修改/etc/profile文件，保证账户在一段时间没有操作后，自动从系 统注销。 编辑文件/etc/profile，在“histfilesize=”行的下一行增加如下一行:


　　
　　tmout=600
　


　
则所有用户将在10分钟无操作后自动注销。注意：修改了该参数后，必须退出并重新登录root，更改才能生效。