Intereting Posts

我们应该禁用root用户吗?

我们是否应该删除root密码,禁用远程login,基本上要求pipe理员使用sudo来执行pipe理操作?

替代文字

我的所有服务器都禁用root帐户( sp_pwdp设置为* )。 这是要求所有root访问sudo 。[1] 这样做的目的是让所有的超级用户活动都被审计,以便人们可以看到系统做了什么。

对于更多的核心选项,你可以使sudo写入日志文件(而不是syslog ),并使文件附加(在Linux上使用chattr ,或在BSD上使用chflags )。 这样,以后没有人可以编辑审计。

[1]我也有一个策略,不运行root shell,或者从root进程中执行shell转义。 (可以使用sudo sh -c '...'来做pipe道或redirect。)

强烈build议不要禁用root用户。 禁用或限制rootlogin(通过securetty 通过sshd_config 通过PAM 通过你有什么)如果你的系统允许它,限制root的权限或拆分rootangular色(类似于RSBAC如何做)。不要通过删除密码来禁用root帐户,否则将无法通过suloginlogin系统。 sulogin被我知道的所有启动脚本在fsck报告的严重错误的情况下使用 – 这意味着如果根文件系统被破坏,你将被locking在系统之外。

澄清:通过“通过删除密码禁用root帐户”我的意思是各种机制,最终与! 或/ etc / shadow的密码字段中的*,或类似的。 我不是说“改变根login机制,所以你不会提示input密码。”

我的所有服务器上都启用了root帐户。 所有的pipe理员都有自己的用户,并通过它login。 从那里他们切换到根。 (root ssh被禁用)

保持pipe理员数量低。 只有真正需要在该服务器上进行root访问的人才拥有密码。

我不是sudo的粉丝。 只要为root shell执行“sudo bash”就太简单了。 我知道这可以禁用,但为什么打扰? 只要限制可以执行pipe理员任务的用户并与他人交谈即可。 我们确实有一个政策,不让根端子无人看pipe。 所以它是login,苏,做的工作,注销。

注意:我在一个相当小的公司工作(50多名员工),我们只有2个兼职pipe理员(1个窗口/ 1个Linux)。 当你有更多的用户时,这种做事的方式可能不是最好的。 我个人还是不会使用sudo。 还有其他方法可以logging根活动。

禁用root密码是一个错误的“好主意”。 你需要的那一天,你真的需要它。 (根据你的configuration,你可能需要它来login单用户模式例如)

禁用根远程login可能是相关的,但前提是您可以在本地login。

是的,sudo应该安装在你的每台服务器上。 这是有用的和容易configuration。 你为什么不想用它?

我只是禁用根用户的SSH访问,并要求用户(通常只是开发人员)使用SSH密钥。 字典攻击太多,改变SSH端口不是我们的select。

这样你就不必信任任何人写好密码的能力。 一旦进入pipe理员有权限sudo。

我知道这个post真的很老,但在链接的文章逻辑中有一些主要的缺陷,我感觉“rant'ie” – sudo允许白名单和黑名单。 不仅仅是在链接文章中指定的黑色 – 这跳过了AAA(authentication,授权和审计)的概念 – su&sudo允许分级authentication和问责制。

情况1pipe理员不小心将一些stream氓代码引入系统,以root身份login代码具有完全访问权限,pipe理员可能永远不知道发生了什么。 至less使用分级login(例如su / sudo),系统将提示pipe理员validation恶意代码是否尝试使用提升的权限。如果不提升,则将其限制为应该导致最小损害的用户权限。

场景2stream氓pipe理员想要获取信息/进行更改。 他们连接到控制台(物理控制台访问,HP iLo /类似或vGuest控制台访问),以root身份login并执行任何他们想要的操作。 除非有一个用来获取控制台访问权限的指定账户/访问卡,否则可能没有太多的审计线索。

  1. 确保他们真的是他们所说的那个人。 身份盗用不是问题,身份validation是。
  2. 检查他们的授权,只给他们当时需要的东西。 分级授权允许他们在需要时升级。
  3. 审计一切,有一个logging,所以你知道谁,做什么,何时何地。 最好是为什么

您应该要求每个人使用sudo作为每个根命令作为策略。 “sudo bash”之类没有任何理由,只是为了方便,由于无知,或者掩盖自己的踪迹。

如果您直接禁用login到root帐户,则会在出现严重问题时削弱修复系统的能力。

如果你不能说服你的pipe理员以自己的身份login,并以root身份运行每个命令,并且不会将其分解为shell,那么你就会遇到严重的问题,而这些问题没有任何技术解决scheme。

猫头鹰安全分配(和太阳能devise者)的作者有一个相反的仔细辩护的观点; 请参阅答案https://unix.stackexchange.com/questions/8581/which-is-the-safest-way-to-get-root-privileges-sudo-su-or-login/8660#8660提出他们的要求。 审计超级用户操作(哪个人做了什么)的问题也是以他们的观点来解决的(基本上,解决scheme是有几个不同名称的root用户)。