安全运维之账户安全与服务

账户安全是系统安全的第一道防线，通过删除不必要的用户以及对登录进行加密与限制，可以避免因权限泄露与中间人攻击导致的安全隐患。

删除不必要的用户

在linux系统安装过程中，系统会建立一些不必要的用户与用户组，这些用户与用户组会成为黑客攻击的目标，删除它们可以有利于系统的安全。
Linux中可以删除的默认用户有：

• adm：伪用户，不可登录，拥有账户文件
• lp：伪用户，不可登录，lp或lpd子系统使用
• sync
• shutdown
• halt
• news
• uucp：伪用户，不可登录，uucp使用
• operator
• games
• gopher

Linux中可以删除的默认用户组有：

• adm
• lp
• news
• uucp
• games
• dip
• pppusers
• popusers
• slipusers

通过sudo限制su的滥用

出于系统安全的目的，一般服务器都会限制root用户的直接登录，而是通过普通用户登录系统，然后从普通用户切换至root用户。但允许太多普通用户使用su切换至root用户会提高密码泄露的风险。因此在需要多人管理的服务器系统中，使用su不是一个很好的选择，root用户密码应当只被掌握在少数管理员的手中。
使用sudo可以给普通用户分配一些root用户的权限，而且也不需要普通用户知晓root用户的密码。
sudo的运行过程如下：

1. 将当前用户切换至root用户或指定的用户下
2. 以root用户或指定用户的身份执行命令
3. 执行完毕，直接退回普通用户

sudo可以通过配置文件/etc/sudoers来进行授权
例如普通用户user01无法访问/etc/shadow文件，
则可以在/etc/sudoers文件中添加如下一行来为普通用户授权：

user01       ALL = /bin/more /etc/shadow

这样，user01用户就可以通过more命令访问/etc/shadow文件。
当用户执行了sudo more /etc/shadow命令后，需要输入user01的密码，然后在后面三分钟内，都可以在不用输入密码的情况下访问文件了。
但一些程序会无法通过输入密码的方式来正确执行，我们就需要给普通用户添加一个无需凭证的权限。
例如，让普通用户user01具有/etc/init.d/nagios脚本重启的权限，可以在/etc/sudoers文件中添加如下一行来为普通用户授权：

user01       ALL = NOPASSWD: /etc/init.d/nagios restart

关闭不必要的服务

在安装完成后，Linux绑定了很多不必要的服务，这些服务都默认自动启动的，关闭它们可以提高系统的安全性。
但关闭哪些服务，要根据服务器的用途而定，例如某台用于WWW的应用，那么除了httpd外和系统的必要服务外都可以关闭。
以下服务如果不会被用到，可以关闭：

• anacron：用于定期检测服务器在关机状态下没有执行的定时任务，并在特定的时间执行它们
• auditd：用于审计，负责把内核产生的信息写入到磁盘，用于记录与系统内核有关的活动与操作。
• autofs：用于自动挂载服务，与写入fstab文件不同，它不会开机就挂载文件系统，而是当用户访问时才挂载服务。
• svhi-dacmon
• biuetooth：用于蓝牙，一般服务器也不会用这个功能吧。
• cpuspeed：用于动态调整CPU速度，除非用户使用的是基于笔记本的Linux系统，否则应当关闭它。
• firstboot：Fedora特有，用于安装之后第一次启动时仅需要执行一次的特定任务。
• gpm：用于在无图形界面的鼠标支持。
• haldaemon：Fedora特有，用于自动挂载鼠标键盘以及USB设备。
• hidd：对输入设备提供蓝牙支持。
• ip6tables：用于ipv6防火墙。
• ipsec：用于搭建VPN服务。
• isdn：用于使用isdn猫上网。
• lpd：打印机守护程序。
• mcstrans：用于SELinux，如果你使用SELinux，那么应当开启它。
• netfs：用于在系统启动时自动挂载网络中的共享文件空间，比如：NFS，Samba 等。
• nfs：用于 Unix/Linux/BSD 系列操作系统的标准文件共享方式，如果你用到这种方式，那么保持它开启。
• nfslock：用于 Unix/Linux/BSD 系列操作系统的标准文件共享方式，如果你用到这种方式，那么保持它开启。
• nscd：用于为NIS和LDAP等服务提供更快的验证。
• pcscd：用于提供智能卡和智能卡读卡器支持。
• portmap： NFS和 NIS的补充。
• readahead_early：通过预先加载特定的应用程序到内存中以提供性能，让程序启动更快。
• restorecond：用于给SELinux监测和重新加载正确的文件上下文（file contexts），如果你使用SELinux的话强烈建议开启它。
• rpcgssd：用于NFSv4，除非你需要或使用NFSv4，否则关闭它
• rpcidmapd：用于NFSv4，除非你需要或使用NFSv4，否则关闭它
• rstatd：用于获取系统的资源使用情况，常用于监控服务。
• sendmaill：用于发送邮件。
• setroubleshoot：用于SELinux，用于读取内核日志。
• yppasswdd：用于NIS服务。
• ypserv：用于NIS服务。