67、Linux 系统安全技术全解析

Linux 系统安全技术全解析

1. 监控用户账户

用户账户常成为系统恶意攻击的目标，攻击者可能通过获取现有账户的未授权访问权限、创建新的虚假账户或留下账户以便日后访问。因此，监控用户账户对于保障系统安全至关重要。

1.1 检测伪造的新账户和权限

未经适当授权创建的账户应被视为伪造账户。对账户进行任何未授权的修改，如赋予不同的用户识别号（UID）或添加未授权的组 membership，都属于权限提升行为。监控 /etc/passwd 和 /etc/group 文件可以帮助发现这些潜在的安全漏洞。

可以使用审计守护进程（audit daemon）来监控这些文件。审计守护进程是一个强大的审计工具，允许选择要跟踪和记录的系统事件，并提供报告功能。

操作步骤如下：
1. 开始审计 ：使用 auditctl 命令，至少需要两个选项：
- -w filename ：对指定文件设置监控，审计守护进程通过文件的 inode 编号跟踪文件。
- -p trigger(s—) ：当指定文件发生特定访问类型（r=读，w=写，x=执行，a=属性更改）时，触发审计记录。

示例：对 /etc/passwd 文件设置监控，监控任何读、写或文件属性更改操作：

# auditctl -w /etc/passwd -p rwa
</