bloqueando a conta de serviços do Linux

Question

Eu fui solicitado a endurecer meus clientes linux desabilitando o shell de login para serviços indesejados. Por exemplo, os serviços abaixo foram configurados por padrão com o shell bash na instalação do SLES12 SP2. Não tenho certeza sobre o impacto se eu fizer isso no sistema.

É seguro reconfigurá-los com algo como / sbin / nologin ou / bin / false?

é seguro deixar o sistema desde que ele tenha o status de senha de bloqueio? (*,!, !!)

• Adicionei o status e as dependências das senhas dos usuários, tanto quanto sei.

lista todos os usuários que tem shell - / etc / passwd:

cat /etc/passwd | egrep -v '/sbin/nologin|/bin/false|^root'

at:x:25:25:Batch jobs daemon:/var/spool/atjobs:/bin/bash
bin:x:1:1:bin:/bin:/bin/bash
daemon:x:2:2:Daemon:/sbin:/bin/bash
ftp:x:40:49:FTP account:/srv/ftp:/bin/bash
games:x:12:100:Games account:/var/games:/bin/bash
lp:x:4:7:Printing daemon:/var/spool/lpd:/bin/bash
man:x:13:62:Manual pages viewer:/var/cache/man:/bin/bash
news:x:9:13:News system:/etc/news:/bin/bash
nobody:x:65534:65533:nobody:/var/lib/nobody:/bin/bash
uucp:x:10:14:Unix-to-Unix CoPy system:/etc/uucp:/bin/bash

listar status da senha: / etc / shadow

for user in $(cat /etc/passwd | egrep -v '/bin/false|/sbin/nologin|^root' |cut -d: -f1) ; do grep $user /etc/shadow; done

at:!:17115::::::
statd:!:17115::::::
bin:*:17105::::::
daemon:*:17105::::::
ftp:*:17105::::::
ftpsecure:!:17115::::::
games:*:17105::::::
lp:*:17105::::::
openslp:!:17105::::::
man:*:17105::::::
news:*:17105::::::
nobody:*:17105::::::
uucp:*:17105:::::: 

listar as dependências dos usuários: / etc / group

for user in $(cat /etc/passwd | egrep -v '/bin/false|/sbin/nologin|^root' |cut -d: -f1) ; do grep $user /etc/group; done

at:x:25:
bin:x:1:daemon
winbind:x:483:
bin:x:1:daemon
daemon:x:2:
ftp:x:49:
games:x:40:
lp:x:7:
man:x:62:
news:x:13:
nobody:x:65533:
nogroup:x:65534:nobody
uucp:x:14:

    

Answer 1

Minha opinião é que, se o usuário existir no sistema, talvez tenha algum uso. Então, em vez de alterar cegamente os shells, eu verifico quais serviços dependem de um usuário específico e se o usuário desempenha alguma função real no sistema.

Se você olhar para o arquivo /etc/shadow (suponho que esteja usando a senha shadow), talvez perceba que a maioria dessas contas está desabilitada (o campo de senha é definido como '0', por exemplo).

Para aqueles que estão realmente habilitados, eu removo o serviço se não precisar dele no servidor (por exemplo: ftp) ou desabilito o usuário completamente. Você pode consultar essa pergunta para obter mais informações sobre como desabilitar uma conta de usuário corretamente.