Desabilitando uma conta de usuário comprometida

Question

Eu tenho uma pergunta simples para você, bem, pelo menos, muito mais simples do que "Como faço para limpar uma conta de usuário comprometida?" A pergunta é: "Como faço para desativar uma conta de usuário comprometida?" Existem algumas coisas óbvias para fazer:

• Desativar logins para o usuário (fizemos isso alterando o diretório inicial para / disabled / home / user)
• Desabilite os sites do Apache dos usuários (mais uma vez, mas substituindo por caminhos falsos.)
• Eliminando todos os processos de usuários usando pkill -9 -u username
• Verificando se eles não têm cron cronogramas

Então, se os processos deles vierem misteriosamente de volta depois de fazer essas coisas, o que sentimos falta?

    

Answer 1

Eu também faria o seguinte:

 a. Disable the account password, via passwd -l
 b. Change the users' login shell to /bin/false
 c. Remove the users' .ssh directory
 d. Remove the users' .rhosts file

    

Answer 2

Concordo com o mdpc sobre isso. Eu poderia adicionar outra sugestão, além de suas recomendações. Existe um método de colocar limites nos processos do usuário, por usuário, via /etc/security/limits.conf. (Eu não sei se isso é uniforme em todas as distribuições.) Você pode ser capaz de proibir os processos pertencentes a esse usuário, definindo o limite como 0.

Este link pode ajudá-lo - consulte a seção 1.4 sobre limites.