計(jì)算機(jī)網(wǎng)絡(luò)安全管理技術(shù)項(xiàng)目四任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置

子任務(wù)3Linux操作系統(tǒng)其他安全的配置操作系統(tǒng)的安全管理【任務(wù)目標(biāo)】

1．能對(duì)登錄Linux操作系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；2．能正確配置Linux操作系統(tǒng)訪問控制權(quán)限；3．學(xué)會(huì)Linux操作系統(tǒng)其他的安全配置。項(xiàng)目四任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置

子任務(wù)3Linux操作系統(tǒng)其他安全的配置操作系統(tǒng)的安全管理【任務(wù)環(huán)境】1、主流PC機(jī)一臺(tái)

2、VMwareWorkstation軟件任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

【任務(wù)實(shí)施】1、實(shí)訓(xùn)基本環(huán)境的搭建

1）啟動(dòng)VMwareWorkstation2）在VMwareWorkstation環(huán)境中創(chuàng)建CentOS7虛擬機(jī)3）開啟CentOS7虛擬機(jī)

任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

2、查看系統(tǒng)默認(rèn)用戶和密碼

[root@localhost~]#cat/etc/passwdroot:x:0:0:root:/root:/bin/bash……//以上為L(zhǎng)inux系統(tǒng)默認(rèn)的用戶root，相當(dāng)于Windows系統(tǒng)中的administrator用戶，擁有系統(tǒng)最大權(quán)限[root@localhost~]#cat/etc/shadowroot:$6$66LFkVQQ0py93Afu$uEWOvAs5kywXKO/26R.GKm9CZE9j2w1564hqVP7nPGhIcpxTpIRoLdfje4zlJctoVu5OMwflmG0BJzu07ReM4/::0:99999:7:::……//以上紅色標(biāo)記部分為用戶root的密碼，已經(jīng)被加密任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

3、新建用戶并設(shè)置密碼

[root@localhost~]#useradduser1//新建用戶user1[root@localhost~]#passwduser1Changingpasswordforuseruser1.Newpassword:Retypenewpassword:passwd:allauthenticationtokensupdatedsuccessfully.//設(shè)置用戶user1的密碼任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

4、用戶shell的設(shè)置

新建用戶默認(rèn)的shell為/bin/bash，用戶user2的shell設(shè)置為/sbin/nologin，則該用戶無法登錄到系統(tǒng)中。一般這種類型的用戶會(huì)用于系統(tǒng)某服務(wù)中，由于該用戶shell的特點(diǎn)，對(duì)于系統(tǒng)的安全有很大的保障。

[root@localhost~]#useradduser2-s/sbin/nologin//新建用戶user2，指定shell為/sbin/nologin[root@localhost~]#passwduser2//設(shè)置用戶user2的密碼任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

5、再次查看系統(tǒng)用戶和密碼

[root@localhost~]#cat/etc/passwdroot:x:0:0:root:/root:/bin/bash……user1:x:1001:1001::/home/user1:/bin/bashuser2:x:1002:1002::/home/user2:/sbin/nologin//以上為用戶信息，包括用戶名和shell等[root@localhost~]#cat/etc/shadowroot:$6$66LFkVQQ0py93Afu$uEWOvAs5kywXKO/26R.GKm9CZE9j2w1564hqVP7nPGhIcpxTpIRoLdfje4zlJctoVu5OMwflmG0BJzu07ReM4/::0:99999:7:::……user1:$6$zT31c29D$6j4JUIbxWNipAKR4/RG0zrwP.VaORzJw2yuo.nGRhtZcWS/WS5oNOmUY01Y3Zx9Tu5zLylDErEOVL6deNHx/u0:17694:0:99999:7:::user2:$6$0nDLJgJ7$AYVUBaSNHCg0FDvTzwuD.6h490yKkaY6SrQSu7uwfE6SnI3ZNxI92DcAli2qs/FLIFJ.8HJ1BgNsgDiGst/Ek0:17694:0:99999:7::://以上紅色標(biāo)記部分為用戶密碼信息，已被加密任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

6、用戶密碼策略的設(shè)置

[root@localhost~]#vim/etc/pam.d/system-auth……passwordrequisitepam_pwquality.soretry=3difok=3minlen=8ucredit=-1lcredit=-1dcredit=-1ocredit=-1//設(shè)置的密碼策略為：1）retry=3最多重試3次返回密碼修改錯(cuò)誤2）difok=3新密碼必須與舊密碼有3位不同3）minlen=8密碼的最短長(zhǎng)度為8位4）ucredit=-1密碼中至少含1個(gè)大寫字母5）lcredit=-1密碼中至少含1個(gè)小寫字母6）dcredit=-1密碼中至少含1個(gè)數(shù)字7）ocredit=-1密碼中至少含1個(gè)字符passwordsufficientpam_unix.sosha512shadownulloktryfirstpassuseauthtokremember=5//禁止使用最近用過的5個(gè)密碼[root@localhost~]#vim/etc/login.defs……PASS_MAX_DAYS60PASS_MIN_DAYS0PASS_WARN_AGE7……//以上設(shè)置要求用戶60天后必須更改密碼，并且會(huì)提前7天提醒用戶更改密碼任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置用戶的密碼策略只對(duì)非root用戶有效，對(duì)root用戶無效，以下為用戶user1重設(shè)密碼的過程。

[user1@localhost~]$passwdChangingpasswordforuseruser1.Changingpasswordforuser1.(current)UNIXpassword://輸入舊密碼Newpassword:Retypenewpassword:passwd:allauthenticationtokensupdatedsuccessfully.//輸入兩次正確的符合密碼策略的密碼格式后，設(shè)置密碼成功任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置如果設(shè)置的密碼不符合密碼策略，則會(huì)有如下錯(cuò)誤信息BADPASSWORD:Thepasswordcontainslessthan1non-alphanumericcharacters//密碼中缺少1個(gè)字符BADPASSWORD:Thepasswordcontainslessthan1uppercaseletters//密碼中缺少1個(gè)大寫字母BADPASSWORD:Thepasswordcontainslessthan1lowercaseletters//密碼中缺少1個(gè)小寫字母BADPASSWORD:BADPASSWORD:Thepasswordcontainslessthan1digits//密碼缺少1個(gè)數(shù)字BADPASSWORD:Thepasswordisthesameastheoldone//新密碼與舊密碼一樣passwd:Haveexhaustedmaximumnumberofretriesforservice//達(dá)到重試的最大次數(shù)，將退出設(shè)置密碼界面任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置項(xiàng)目四任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置

子任務(wù)3Linux操作系統(tǒng)其他安全的配置操作系統(tǒng)的安全管理【任務(wù)環(huán)境】1、主流PC機(jī)一臺(tái)

2、VMwareWorkstation軟件任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置

【任務(wù)實(shí)施】1、啟動(dòng)VMwareWorkstation，然后開啟CentOS7虛擬機(jī)，使用root用戶登錄。

2、設(shè)置初始權(quán)限

1）設(shè)置root用戶的初始權(quán)限

[root@localhost~]#umask077//由root用戶創(chuàng)建的文件，其它用戶不可讀任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置2）設(shè)置user1用戶的初始權(quán)限

[user1@localhost~]$umask022//由user1用戶創(chuàng)建的文件，其它用戶可讀不可寫任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置3）驗(yàn)證（1）驗(yàn)證root用戶[root@localhost~]#cd/tmp//進(jìn)入/tmp目錄[root@localhosttmp]#mkdirroot//新建目錄root[root@localhosttmp]#lldrwx------.2rootroot6Jun1215:28root//目錄root只有root用戶可以讀寫，其它用戶不可讀[root@localhosttmp]#cdroot[root@localhostroot]#touchfile1//新建文件file1[root@localhostroot]#ll-rw-------.1rootroot0Jun1215:30file1//文件file1只有root用戶可以讀寫，其它用戶不可讀任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置（2）驗(yàn)證user1用戶[user1@localhost~]$cd/tmp[user1@localhosttmp]$mkdiruser1[user1@localhosttmp]$lldrwxr-xr-x.2user1user118Jun1215:23user1//目錄user1只有user1用戶可以讀寫，其它用戶可讀不可寫[user1@localhosttmp]$cduser1[user1@localhostuser1]$touchfile2[user1@localhostuser1]$ll-rw-r--r--.1user1user10Jun1215:23file2//文件file2只有user1用戶可以讀寫，其它用戶可讀不可寫任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置

3、設(shè)置目錄訪問控制[root@localhosttmp]#setfacl-mu:user1:rx/tmp/root//設(shè)置目錄/tmp/root對(duì)于user1用戶可讀可瀏覽權(quán)限[root@localhosttmp]#getfacl/tmp/root……user:user1:r-x//目錄讀取和瀏覽權(quán)限……//user1已經(jīng)取得了目錄root和文件file1的相關(guān)權(quán)限任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置

4、設(shè)置文件訪問控制[root@localhosttmp]#setfacl-mu:user1:r/tmp/root/file1//設(shè)置文件/tmp/root/file1對(duì)于user1用戶可讀權(quán)限[root@localhost~]#getfacl/tmp/root/file1……user:user1:r—//文件讀取權(quán)限……//user1已經(jīng)取得了目錄root和文件file1的相關(guān)權(quán)限任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置項(xiàng)目四任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)1Linux操作系統(tǒng)身份鑒別的配置

子任務(wù)2Linux操作系統(tǒng)訪問控制的配置

子任務(wù)3Linux操作系統(tǒng)其他安全的配置操作系統(tǒng)的安全管理【任務(wù)環(huán)境】1、主流PC機(jī)一臺(tái)

2、VMwareWorkstation軟件任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)3Linux操作系統(tǒng)其他安全的配置

【任務(wù)實(shí)施】1、啟動(dòng)VMwareWorkstation，然后開啟CentOS7虛擬機(jī)，使用root用戶登錄。2、切換用戶的安全配置1）設(shè)置只有授權(quán)用戶才可以使用su命令來切換用戶

[root@localhost~]#vim/etc/pam.d/su……authsufficientpam_rootok.soauthrequiredpam_wheel.souse_uid……//設(shè)置只有“wheel”組的成員才能用su命令成為root任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)3Linux操作系統(tǒng)其他安全的配置2）驗(yàn)證

（1）直接使用用戶user1切換

[user1@localhost~]$suPassword:su:Permissiondenied//此時(shí)user1用戶使用su命令切換到root用戶時(shí)會(huì)顯示拒絕任務(wù)4.3Linux操作系統(tǒng)的安全配置

子任務(wù)3Linux操作系統(tǒng)其他安全的配置（2）授權(quán)用戶user1后再進(jìn)行切換

[root@localhost~]#usermod-a-Gwheeluser1//將用戶user1加入到wheel組中[user1@localh