Linux安全防護(2)

SGID進一步而言，如果s的權限是在用戶組，那么就是Set GID，簡稱為SGID。

文件：如果SGID設置在二進制文件上，則不論用戶是誰，在執行該程序的時候，它的有效用戶組（effective group）將會變成該程序的用戶組所有者（group id）。

目錄：如果SGID是設置在A目錄上，則在該A目錄內所建立的文件或目錄的用戶組，將會是此A目錄的用戶組。

通過上圖我們可以發現對文件的描述是一樣的，文件名、擁有著、所屬組、以及他們對應的權限；對于getfacl獲取文件的權限沒有什么可說的，這里詳細說一下對文件權限的設置：

首先是參數：

setfacl [-bkndRLP] { -m|-M|-x|-X … } file …

-b：刪除所有的acl參數

-k：刪除預設的acl參數

-n：不重新判斷是否有效

-d：設置預設的acl參數（只針對目錄，在目錄中的新建文件同樣使用此acl）

-R: 遞歸設置后面的acl參數

-x：刪除后面指定的acl參數

-m：設置后面指定的acl參數

針對acl參數：

[u/g/o]:[username/groupname/空]:[rwx] filename

下面看實例：

我們這么做的目的或者說這么做了對服務器有什么安全性嘛，其實scp命令就是一個通過ssh的傳輸功能，我們可以在ssh結合firewall做一些限制，比如只允許哪些IP或IP段訪問我們的服務器，這樣我們就可以控制哪些可信的pc或服務器訪問；

同時我們也可以通過SSH定時更新我們的密鑰文件來防止我們的密鑰文件泄漏；

這么做比我們使用ftp、samba等來傳輸文件更加安全可靠；

在Linux系統中，有一個很重要的命令可以幫助我們曾經使用過的命令記錄，但是也許有的時候我們并不需要這個功能，或者某些用戶需要某些用戶不需要，這個時候我們可以都配置文件進行配置：

配置文件：/etc/bashrc

在里面加入這4行

HISTFILESIZE = 1000            # 保存命令的記錄總數

HISTSIZE = 1000                #history 命令輸出的命令總數

HISTTIMEFORMAT = ‘%F %T’       # 定義時間顯示格式

export HISTTIMEFORMAT       # 載入

#################################################################################

HISTFILE =/ root / test     # 里面命令保存目錄

export HISTFILE         # 載入，重新登陸用戶生效

export HISTCONTROL      # 忽略重復的命令

export HISTIGNORE = “[ ]*:&:bg:fg:exit”        # 忽略冒號分割這些命令

#history

HISTDIR =/ usr / share /. history

# 判斷 IP

if[-z$USER_IP]

then

USER_IP = `hostname`

fi

# 判斷是否存在日志目錄

if[!-d$HISTDIR]

then

mkdir -p $HISTDIR

chmod 777 $HISTDIR

fi

# 生成日志日文件

if [ ! -d $HISTDIR / ${LOGNAME} ]

then

mkdir -p $HISTDIR / ${LOGNAME}

chmod 300 $HISTDIR / ${LOGNAME}

fi

export HISTSIZE = 4000

export HISTFILE = “$HISTDIR/${LOGNAME}/${USER_IP}.history.$DT”

export HISTTIMEFORMAT = “[%Y.%m.%d %H:%M:%S]”

chmod 600 $HISTDIR / ${LOGNAME} /*. history * 2 >/ dev / null

在禁用不必要的服務及用戶中，我們已經說過關于刪除一些無用的用戶，但是linux作為一個多用戶的系統，我們還是不可避免的會去新增很多用戶，我們不能保證每一個用戶具有很好的安全意識，所以只能在用戶的密碼以及用戶的遠程訪問上做一些限制，我們先介紹Linux用戶密碼策略；

關于密碼策略，我這里只從簡單的配置文件說，對于Centos系列中使用pam認證機制不是本文的討論范圍；

配置文件：vim /etc/login.defs

MAIL_DIR        / var / spool / mail         # 郵件目錄

PASS_MAX_DAYS   99999                    # 密碼過期最大時間， 99999 代表永久有效

PASS_MIN_DAYS   0                         # 是否可修改密碼， 0 代表可修改，非 0 代表多少天后修改

PASS_WARN_AGE   7                        # 密碼失效前多少天在用戶登錄時通知用戶修改密碼

UID_MIN                  1000            #UID 的最小值

UID_MAX                 60000            #UID 的最大值

SYS_UID_MIN               201            # 系統 UID 的最小值

SYS_UID_MAX               999            # 系統 UID 的最大值

GID_MIN                  1000

GID_MAX                 60000

SYS_GID_MIN               201

SYS_GID_MAX               999

CREATE_HOME     yes                     # 是否創建家目錄

UMASK           077                      #umask 的值