详解Linux安全管理的基本技巧二

　　三、登录安全
　　
　　1、自动注销帐号的登录，在unix系统中root账户是具有最高特权的。如果系统管理员在离开系统之前忘记注销root账户，那将会带来很大的安全隐患，应该让系统会自动注销。通过修改账户中“TMOUT”参数，可以实现此功能。TMOUT按秒计算。编辑你的profile文件（vi /etc/profile），在"HISTFILESIZE="后面加入下面这行：
　　
　　TMOUT=300
　　
　　300，表示300秒，也就是表示5分钟。这样，如果系统中登陆的用户在5分钟内都没有动作，那么系统会自动注销这个账户。你可以在个别用户的“.bashrc”文件中添加该值，以便系统对该用?
　　
　　改变这项设置后，必须先注销用户，再用该用户登陆才能激活这个功能。
　　
　　2、使用PAM（可插拔认证模块）禁止任何人通过su命令改变为root用户su(Substitute
　　
　　User替代用户)命令允许你成为系统中其他已存在的用户。如果你不希望任何人通过su命令改变为root用户或对某些用户限制使用su命令，你可以在su配置文件（在"/etc/pam.d/"目录下）的开头添加下面两行： 编辑su文件(vi /etc/pam.d/su)，在开头添加下面两行：
　　
　　auth sufficient /lib/security/pam_rootok.so
　　
　　auth required /lib/security/Pam_wheel.so group=wheel
　　
　　这表明只有"wheel"组的成员可以使用su命令成为root用户。你可以把用户添加到“wheel”组，以使它可以使用su命令成为root用户。添加方法可以用这个命令：chmod -G10 username 。
　　
　　四、控制台访问安全
　　
　　1、取消普通用户的控制台访问权限，你应该取消普通用户的控制台访问权限。比如shutdown、reboot、halt等命令。
　　
　　# rm -f /etc/security/console.apps/
　　
　　是你要注销的程序名。
　　
　　2、不允许从不同的控制台进行root登陆
　　
　　"/etc/securetty"文件允许你定义root用户可以从那个TTY设?
　　
　　傅锹健Ｄ憧梢员嗉?quot;/etc/securetty"文件，再不需要登陆的TTY设备前添加“#”标志，来禁止从该TTY设备进行root登陆。
　　
　　在/etc/inittab文件中有如下一段话：
　　
　　# Run gettys in standard runlevels
　　
　　1:2345:respawn:/sbin/mingetty tty1
　　
　　2:2345:respawn:/sbin/mingetty tty2
　　
　　#3:2345:respawn:/sbin/mingetty tty3
　　
　　#4:2345:respawn:/sbin/mingetty tty4
　　
　　#5:2345:respawn:/sbin/mingetty tty5
　　
　　#6:2345:respawn:/sbin/mingetty tty6
　　
　　系统默认的可以使用6个控制台，即Alt+F1,Alt+F2...，这里在3，4，5，6前面加上“#”，注释该句话，这样现在只有两个控制台可供使用，最好保留两个。然后重新启动init进程，改动即可生效！