Cały ten strach walczy, mówiąc: „Nie rób tego!” jest niedorzeczny. Pewnego razu tak, prawdopodobnie złamało wiele źle napisanych skryptów, ale podejrzewam, że nie są już tak powszechne; przynajmniej nie w standardowych dystrybucjach.
Powiedziano nam, aby zmienić nazwę konta root na podzbiorze serwerów Linux. Po próbie zbadania, jak zrobić to poprawnie, znalazłem wiele postów z napisem „Nie rób tego!” z wieloma strasznymi ostrzeżeniami o „złych rzeczach”, jeśli zdecydujesz się to zrobić. Ale muszę jeszcze znaleźć jakieś konkretne przykłady „złych rzeczy”, które mogą się zdarzyć.
Więc pozwól mi wrócić i wyjaśnić, gdzie jestem i jak się tu dostaliśmy. Budujemy środowisko zgodne z PCI, a jedno z narzędzi, które pomaga nam spełnić te „wymagania”, mówi nam, że musimy zmienić nazwę konta root oraz konta administratora i gościa na coś innego. Dla osób niewykształconych w zakresie PCI masz możliwość albo przestrzegania wytycznych, albo udokumentowania, dlaczego nie możesz lub nie chcesz stosować się do tych wytycznych, i jaką strategię łagodzenia musisz zachować dla bezpieczeństwa systemów. Tak więc wyobrażam sobie, że większość miejsc dokumentuje, dlaczego nie zamierzają zmieniać nazw swoich kont root, jednak nasza grupa zdecydowała, że jeśli możemy bez problemu zmienić nazwę kont administratora Windows, zmienią też nazwę kont root.
Jestem dobrze zaznajomiony z argumentami „bezpieczeństwo przez zaciemnienie”; Wiem, że zmiana nazwy konta root tak naprawdę nie poprawia bezpieczeństwa, rootowanie powinno być wyłączone w SSH itp. Wiem, że nie o to chodzi, nie chcę więcej słyszeć. Nie interesuje mnie też więcej ostrzeżeń „spadnie niebo”. Szukam takich stwierdzeń: „> ta zła rzecz <stanie się z> tym standardowym pakietem <(chyba że> to zrobisz <)”.
Do tej pory mam 3 systemy CentOS (RHEL), które najwyraźniej nie mają problemów ze zmianą nazwy konta root. Oto co zrobiłem: Zmieniłem nazwę konta w / etc / passwd, / etc / shadow, / etc / group i / etc / gshadow. Następnie grep dla nazwy root w / etc / i zmodyfikował plik aliasów Postfiksa, aby root był aliasem dla naszej nowej nazwy konta, nazwij to rojotoro. (Coś podobnego należy zrobić w przypadku innych systemów e-mail). Odkryłem również, że muszę zmienić niektóre konfiguracje programu logrotate, opisując, kto powinien być właścicielem plików, które utworzy automatycznie. I to wszystko zmieniłem do tej pory.
Przejrzałem wiele skryptów init.d, ale nic nie zmieniłem i wszystko wydaje się, że wszystko zaczyna się dobrze przy starcie. Muszę podać nowe konto, gdy używam sudo: „sudo -u rojotoro vim / etc / passwd” jako przykład, ale tak naprawdę nie musiałem nic zmieniać w pliku sudoers. Spodziewałem się może pewnych problemów z selinux, które mamy i które egzekwujemy, ale jak dotąd nie musiałem dotykać tego systemu.
Widzę też, że skrypty mkdev lub mkfs mogą wymagać dostosowania, ale nie planuję ich używać, więc nie spojrzałem na nie z taką uwagą, na jaką zasługują.
Jeśli naprawdę łatwo jest to zmienić bez negatywnych skutków dla systemu obsługującego selinux, to dlaczego kontynuacja całego strachu?