利用sudo加固Linux系统安全

来源：51CTO.com 作者：宇文出处：巧巧读书 2008-04-25 进入讨论组

所谓系统加固就是利用手工配置及有关软件来提高系统安全性的过程。本文将向读者详细介绍利用开源软件sudo来对Root权限进行控制和审计以加固Linux系统安全的具体操作方法。

一、sudo的功能

Sudo是一款开源安全工具，最常用于对Root权限进行控制和审计。它的指导思想是“在保证人们能正常工作的条件下，尽量压缩授予他们的权限”。系统管理员不仅可以让指定的用户或用户组作为root用户或其它用户来运行某些命令，还能将指定的用户所输入的命令和参数作详细的记录。当然，该软件是可以免费下载的，具体地址是www.gratisoft.us/sudo/download.html。

Sudo程序是一款在命令行方式下工作的安全工具，并且我们每次只执行一条命令。它支持的功能有：

◆命令日志：记录命令和参数。该功能用于跟踪用户输入的命令，尤其适合于进行系统审计。因为sudo 会记录下所有作为root用户(或者规定的其他用户)的命令，所以许多管理员经常用它来替代root shell，以便记录下自己使用的命令，这不仅能增进系统安全，还能用来进行故障检修。

◆集中记录多个系统的日志：Sudo联合系统日志守护进程syslog后，能将所有日志集中存放在一个主机上。

◆命令限制：限定用户或者用户组能够使用的命令。

◆检票系统：检票系统通过在用户登录到sudo时所创建的票据来设定时间限制。票据只在规定的时间内有效。每个新的命令都会刷新票据的预设时间，默认的预设时间是五分钟。现实中，该功能非常有用，有了它即使root用户离开系统时忘了注销的话，也不至于被其他可以接触到键盘的用户肆无忌惮的窥探系统。因为票据过期后，系统必须重新登录。所以，我们最好把有效时间尽量设的短一点，如默认有效时间五分钟。检票系统还可以用来清除用户的票据文件。

◆集中管理多个系统：Sudo 的配置一般写在/etc/sudoers这个文件中，而该文件可以供多个系统所用，这样一来，我们就可以在一个主机上对这些系统进行集中管理了。

Sudo几乎支持所有的UNIX操作系统版本，但如果要从源代码进行安装的话，必须准备好C编译器和make工具。