一. PAM认证
1.2 初识PAM
PAM是Linux系统可插拔认证模块。
1.2.1 PAM及其作用
1）PAM是一种高效且灵活便利的用户级别认证方式，也是当前Linux服务器普遍使用的认证方式。
2）PAM提供了对所有服务进行认证的中央机制，适用于本地登录，远程登录，如：telnet,rlogin,fsh,ftp,点对点协议PPP，su等应用程序中，系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略。
3）系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略。
1.2.2 PAM认证原理
（1）PAM认证一般遵循这样的顺序：Service(服务)→PAM(配置文件)→pam_*.so。
（2）PAM认证首先需要确定哪一项服务，然后加载相应的PAM的配置文件（在/etc/pam.d中）， 最后调用认证文件（在/lib/security下）进行安全认证。
（3）用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM模块也是不同的。
如果我想查看某个程序是否支持PAM认证，可以使用ls命令进行查看。如图所示：
1.2.3 PAM认证的构成
每一行都是一个独立的认证过程；
每一行可以区分为三个字段：
认证类型
控制类型
PAM 模块及其参数
1.2.4 PAM 认证类型
认证管理（authentication management）： 接受用户名和密码，进而对该用户的密码进行认证；
帐户管理（account management）： 检查帐户是否被允许登录系统，帐号是否已经过 期，帐号的登录是否有时间段的限制等；
密码管理（password management）： 主要是用来修改用户的密码；
**会话管理（session management）：**主要是提供对会话的管理和记账。
1.2.5 PAM 控制类型
控制类型也可以称做 Control Flags，用于PAM验证类型的返回结果
1）required 验证失败时仍然继续，但返回 Fail
2）requisite 验证失败则立即结束整个验证过程，返回 Fail
3）sufficient 验证成功则立即返回，不再继续，否则忽略结果并继续
4）optional 不用于验证，只是显示信息（通常用于 session 类型）
二. limit
**功能：**在用户级别实现对其可使用的资源的限制，例如：可打开的文件数量，可运行的进程数量，可用内存空间
修改限制的办法：
使用 ulimit 命令
ulimit是linux shell的内置命令，它具有一套参数集，用于对shell进程及其子进程进行资源限制。
ulimit的设定值是 per-process 的，也就是说，每个进程有自己的limits值。使用ulimit进行修改，立即生效。ulimit只影响shell进程及其子进程，用户登出后失效。当然可以在profile中加入ulimit的设置，变相的做到永久生效。（选项参考上图）。
三. GRUB加密
/etc/grub.d目录
定义每个菜单项的所有脚本都存放在/etc/grub.d目录中，这些脚本的名称必须有两位的数字前缀，其目的是构建GRUB 2菜单时定义脚本的执行顺序以及相应菜单项的顺序，比如00_header文件首先被读取。
|---------------------|---------------------------|
| 文件 | 描述 |
| 00_header | 设置grub默认参数 |
| 10_linux | 系统中存在多个linux版本 |
| 20_ppc_terminfo | 设置tty控制台 |
| 30_os_prober | 设置其他分区中的系统(硬盘中有多个操作系统时设置) |
| 40_custom和41_custom | 用户自定义的配置 |
由于GRUB 2负责引导linux系统，其作为系统中的第一道屏障的安全性非常重要，对GRUB 2进行加密可以实现安全性。
在默认情况下，GRUB 2对所有可以在物理上进入控制台的人都是可访问的。任何人都可以选择并编辑任意菜单项，并且可以直接访问GRUB命令行。要启用认真支持，必须将环境变量超级用户设置为一组用户名(可以使用空格、逗号、分号作为分隔符)这样就只允许超级用户使用GRUB命令行、编辑菜单项以及执行任意菜单项。
GRUB 2密码支持以下两种格式
-
明文密码：密码数据没有经过加密，安全性差
-
PBKDF2加密密码：密码经过PBKDF2哈希算法进行加密，在文件中存储的是加密后的密码数据，安全性较高。
先要使用grub2-mkpasswd-pbkdf2命令生成PBKDF2加密口令，然后在/etc/grub.d/00_header文件中添加超级用户和PBKDF2加密口令，最后使用grub2-mkconfig命令生成grub配置文件。
四. 暴力破解密码
弱口令检测一 -John the Ripper.
John the Ripper是一-款开源的密码破解工具，可使用密码字典(包含各种密码组合的列表文件)来进行暴力破解。
对于密码的暴力破解，字典文件很关键。只要字典文件足够完整，密码破解只是时间上的问题。
五. 网络扫描--NMAP
NMAP是一个强大的端口扫描类安全评测工具，支持ping扫描，多端口检测，OS识别等多种技术。使用NMAP定期扫描内部网络，可以找出网络中不可控的应用服务，及时关闭不安全的服务，减小安全风险。不过使用前记得需要安装。
NMAP的扫描程序位于/usr/bin/nmap下，使用时的基本命令格式如下：
nmap [扫描类型] [选项] <扫描目标...>
扫描目标可以是主机名，IP地址或网段等，多个目标以空格隔开；扫描类型决定着检测的方式，也直接影响到扫描的结果。
nmap命令常用的选项和描类型
|-----|-------------------------------------------------------------------------------------------------|
| -p | 指定扫描的端口。 |
| -n | 禁用反向DNS解析(以加快扫描速度) ip转换成 域名 12222 2www.baidu.com |
| -sS | 断开连接;否则认为目标端口并未开放。 |
| -sT | TCP连接扫描，这是完整的TCP扫描方式(默认扫描类型)，用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。 |
| -sF | TCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对sYN数据包进行简单过滤，而忽略了其他形式的TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性。 |
| -sU | UDP扫描，探测目标主机提供哪些UDP服务，UDP扫描的速度会比较慢。 |
| -sP | ICMP 扫描，类似于ping检测，快速判断目标主机是否存活，不做其他扫描。 |
| -P0 | 跳过ping检测， 这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法ping通而放弃扫描。 |
六. 总结
系统安全加固方案
-
1）设置复杂密码
-
2）设置密码策略
-
3）对密码强度进行设置
-
4） 对用户的登录次数进行限制
-
5）禁止root用户远程登录
-
6）更改ssh端口
-
7）安全组关闭没必要的端口
-
8）设置账户保存历史命令条数，超时时间
-
9）定期查看查看系统日志
-
10）定期备份数据