防护系统，提高安全性

1.对Linux用户的防护
使用change命令修改用户的属性状态

# change -l   用户名
# change -E 时间 用户名

将一个王强用户设置失效时间

# useradd wangqiang
# change -E 2020-3-24 wangqiang
# change -l wangqiang

其中可以定义有效期

# cat /etc/login.defs

这个配置文件，决定用户密码的有效期
2.锁定账户

# passwd -l wangqiang     //锁定

passwd选项说明：
-d：删除密码，仅有系统管理者才能使用；
-f：强制执行；
-k：设置只有在密码过期失效后，方能更新；
-l：锁住密码；
-s：列出密码的相关信息，仅有系统管理者才能使用；
-u：解开已上锁的帐号。

# passwd -u wangqiang

3.修改tty登录的信息，隐藏版本
/etc/issue配置文件中保存的都是登录信息，防止因文件暴露

cat /etc/issue
cp /etc/issue /etc/issue.origin
vim /etc/issue
  Windows Server 2012 Enterprise R2
  NT 6.2 Hybrid

4.锁定文件/etc/resolv.conf、/etc/hosts
chattr的选项:
+i 锁定文件，无法修改删除
-i 解锁文件
+a 锁定文件后仅可追加

chattr +i /etc/resolv.conf
lsattr /etc/resolv.conf

用chattr执行改变文件或目录的属性，可执行lsattr指令查询其属性。
-a 　显示所有文件和目录，包括以"."为名称开头字符的额外内建，现行目录"."与上层目录".."。
-d 　显示，目录名称，而非其内容。
-l 　此参数目前没有任何作用。
-R 　递归处理，将指定目录下的所有文件及子目录一并处理。
-v 　显示文件或目录版本。
-V 　显示版本信息。

---

sudo管理权限
1.su切换账户

# su - 账户
# su - 账户 -c '命令'

2.允许softadm管理系统服务的权限

# vim /etc/sudoers
.. ..
softadm    ALL=(ALL)   /usr/bin/systemctl         
//授权softadm以root身份执行systemctl命令（ALL包括root）

# su - softadm

3.为sudo机制启用日志记录，以便跟踪sudo执行操作

# visudo
Defaults  logfile="/var/log/sudo"
.. ..

修改/etc/sudoers配置，添加日志设置

---

提高Linux主机上SSH服务端的安全
1.调整sshd服务配置，并重载服务

# vim /etc/ssh/sshd_config
.. ..
Protocol 2                                          //SSH协议
PermitRootLogin no                                  //禁止root用户登录
PermitEmptyPasswords no                              //禁止密码为空的用户登录
UseDNS  no                                          //不解析客户机地址
LoginGraceTime  1m                                  //登录限时
MaxAuthTries  3                                      //每连接最多认证次数
.. ..
# systemctl restart sshd

2.实现密钥对验证登录

# ssh-keygen
#  ls -lh ~/.ssh/id_rsa*

# ssh-copy-id root@192.168.4.5

使用ssh-copy-id命令将自己的公钥部署到服务器

# vim /etc/ssh/sshd_config
.. ..
PasswordAuthentication no                              //将此行yes改成no
# systemctl restart sshd

---

SELinux防护
1.SELinux设为enforcing强制模式

# vim /etc/selinux/config
SELINUX=enforcing                                //设置SELinux为强制模式
SELINUXTYPE=targeted   

# getenforce      //查看状态
# setenforce 1   //设置强制状态
# getenforce      
# setenforce 0    //设置宽松状态
# getenforce