三、登录安全

　　1、自动注销帐号的登录，在unix系统中root账户是具备最高特权的。假如系统管理员在离开系统之前忘记注销root账户，那将会带来很大的安全隐患，应该让系统会自动注销。通过修改账户中“TMOUT”参数，能够实现此功能。TMOUT按秒计算。编辑您的profile文档（vi /etc/profile），在"HISTFILESIZE="后面加入下面这行：

　　TMOUT=300

　　300，表示300秒，也就是表示5分钟。这样，假如系统中登陆的用户在5分钟内都没有动作，那么系统会自动注销这个账户。您能够在个别用户的“.bashrc”文档中添加该值，以便系统对该用?

　　改变这项配置后，必须先注销用户，再用该用户登陆才能激活这个功能。

　　2、使用PAM（可插拔认证模块）禁止任何人通过su命令改变为root用户su(Substitute

　　User替代用户)命令允许您成为系统中其他已存在的用户。假如您不希望任何人通过su命令改变为root用户或对某些用户限制使用su命令，您能够在su配置文档（在"/etc/pam.d/"目录下）的开头添加下面两行： 编辑su文档(vi /etc/pam.d/su)，在开头添加下面两行：

　　auth sufficient /lib/security/pam_rootok.so

　　auth required /lib/security/Pam_wheel.so group=wheel

　　这表明只有"wheel"组的成员能够使用su命令成为root用户。您能够把用户添加到“wheel”组，以使他能够使用su命令成为root用户。添加方法能够用这个命令：chmod -G10 username 。

　　四、控制台访问安全

　　1、取消普通用户的控制台访问权限，您应该取消普通用户的控制台访问权限。比如shutdown、reboot、halt等命令。

　　# rm -f /etc/security/console.apps/

　　是您要注销的程式名。

　　2、不允许从不同的控制台进行root登陆

　　"/etc/securetty"文档允许您定义root用户能够从那个TTY设?

　　傅锹健Ｄ芄槐嗉?quot;/etc/securetty"文档，再无需登陆的TTY设备前添加“#”标志，来禁止从该TTY设备进行root登陆。

　　在/etc/inittab文档中有如下一段话：

　　# Run gettys in standard runlevels

　　1:2345:respawn:/sbin/mingetty tty1

　　2:2345:respawn:/sbin/mingetty tty2

　　#3:2345:respawn:/sbin/mingetty tty3

　　#4:2345:respawn:/sbin/mingetty tty4

　　#5:2345:respawn:/sbin/mingetty tty5

　　#6:2345:respawn:/sbin/mingetty tty6

　　系统默认的能够使用6个控制台，即Alt F1,Alt F2...，这里在3，4，5，6前面加上“#”，注释该句话，这样现在只有两个控制台可供使用，最好保留两个。然后重新启动init进程，改变即可生效！