Tüm bu korkudan kaçınma, "Yapma!" Diyerek. saçmalık. Bir zamanlar, evet, muhtemelen pek çok kötü yazılmış senaryoyu kırmıştı, ama artık bunların çok yaygın olmadığından şüpheleniyorum; en azından standart dağılımlarda değil.
Linux sunucusunun alt kümesinde kök hesabın adını değiştirmemiz istendi. Bu yüzden, bunu doğru bir şekilde nasıl yapacağınızı araştırmaya çalıştıktan sonra, bunun yerine "Yapma!" Diyen birçok yazı buldum. Bunu yapmayı seçerseniz çok kötü "kötü şeyler" uyarıları ile oluyor. Ancak, gerçekleşebilecek "kötü şeyler" in somut örneklerini henüz bulamadım.
Peki, geri döneyim ve nerede olduğumu ve buraya nasıl geldiğimizi açıklayayım. PCI uyumlu bir ortam oluşturuyoruz ve bu "gereklilikleri" karşılamamıza yardımcı olan araçlardan biri, kök ve yönetici ve konuk hesaplarını yeniden adlandırmamız gerektiğini söylüyor. PCI konusunda eğitim görmeyenler için, kılavuzlara uyma ya da neden bu kurala uymama ya da bu kılavuza uymama nedenini seçme ya da sistemleri güvende tutmak için hangi hafifletici stratejiyi kullanmak zorunda olduğunuzu belgeleme seçeneğiniz vardır. Böylece, çoğu yerde neden kök hesaplarını yeniden adlandırmayacaklarını belgeliyorlar, ancak grubumuz, Windows yönetici hesaplarını sorunsuz bir şekilde yeniden adlandırabilirsek, linux kök hesaplarını da yeniden adlandıracağına karar verdi.
"Müstehcenlik yoluyla güvenlik" argümanlarında ustalık duyuyorum; Kök hesap adını değiştirmenin yalnızca güvenliği pek arttırmadığını biliyorum, SSH'de kök devre dışı bırakılmalı, vb. Biliyorum, mesele bu değil, daha fazla duymak istemiyorum. Ayrıca "gökyüzü düşecek" uyarılarıyla da ilgilenmiyorum. Bunun gibi ifadeler arıyorum: "> bu kötü şey <bu standart pakette olacak <(<bunu yapmazsan>)".
Şimdiye kadar, kök hesabın ismini değiştirmede sorun çıkaran 3 CentOS (RHEL) sistemim var. İşte yaptığım şey: / etc / passwd, / etc / shadow, / etc / group ve / etc / gshadow'daki hesap adını değiştirdim. Daha sonra / etc / dizinindeki kök adı için grepped ve postfix aliases dosyasını değiştirdi, böylece root yeni hesap adımızın bir takma adıydı, rojotoro olarak adlandırın. (Benzer bir şey diğer e-posta sistemleri için yapılmalıdır). Ayrıca otomatik olarak oluşturacağı dosyalara kimin sahip olması gerektiğini açıklarken logrotate için bazı yapılandırmaları değiştirmem gerektiğini de buldum. Ve şimdiye kadar değiştirdiğim tek şey buydu.
Birçok init.d betiğine baktım, fakat hiçbir şeyi değiştirmedim, ve her şey sadece açılışta gayet iyi görünüyor. Sudo kullanırken yeni hesabı belirtmek zorundayım: "sudo -u rojotoro vim / etc / passwd" bir örnek olarak, ancak sudoers dosyasındaki hiçbir şeyi değiştirmem gerekmedi. Selinux'la ilgili ve üzerinde yürüttüğümüz bazı sorunları umuyordum, ancak şu ana kadar bu sisteme dokunmama gerek yoktu.
Ayrıca, mkdev veya mkfs betiklerinin ayarlanması gerekebileceğini de görebiliyorum, ancak bunları kullanmayı planlamıyorum, bu yüzden hak ettikleri incelemeyle onlara bakmadım.
Eğer selinux özellikli bir sistem üzerinde hiçbir kötü etkisi olmadan bu gerçekten kolay bir şeyse, neden tüm korku tacirlerinin devamı?