主机账户与权限管理

1. 基本概念与重要性
   主机账户是操作系统用于识别和区分不同用户或系统进程的身份标识。权限则是与账户绑定的、对系统资源（如文件、目录、网络端口等）进行访问和操作的许可。账户与权限管理是主机配置安全的核心基础，其目标是确保每个用户或进程只能访问其被授权的资源，严格遵循“最小权限原则”，从而防止越权操作、内部威胁和攻击者提权。

2. 账户管理核心措施

   • 账户生命周期管理：建立账户的创建、权限分配、定期审查、禁用和删除的完整流程。特别强调，对离职或转岗人员的账户应及时禁用或删除。
   • 密码策略：强制实施强密码策略，包括最小长度（如12位以上）、复杂度要求（包含大小写字母、数字、特殊字符）、定期更换（如90天）以及防止密码重复使用。避免使用默认或弱口令。
   • 特权账户管控：对管理员（如root、Administrator）、系统服务账户等高权限账户进行最严格的管理。包括：重命名默认管理员账户、禁止特权账户远程登录、为日常操作创建普通权限账户、使用“提权”机制（如sudo）执行管理任务并详细审计日志。
   • 减少无用账户：定期审计并禁用或删除所有不必要、长期未使用的账户（包括默认账户、测试账户、过期账户等），减少潜在攻击面。

3. 权限管理核心模型与原则

   • 最小权限原则：这是权限管理的最高准则。任何用户、程序或进程只应被赋予完成其任务所必需的最小权限，不多给一分。这能有效限制漏洞被利用或误操作造成的损害范围。
   • 文件系统权限：在Linux/Unix系统中，理解并正确设置文件与目录的“用户(U)-所属组(G)-其他用户(O)”的读(r)、写(w)、执行(x)权限。在Windows系统中，理解NTFS权限的继承和显式允许/拒绝规则。关键系统文件和目录应设置严格的访问控制。
   • 特权分离：将系统管理、应用运行、日常办公等不同职能分配给不同的账户和用户组，避免使用同一个高权限账户处理所有事务。

4. 审计与监控

   • 启用并保护日志：确保系统能记录所有账户的登录（成功/失败）、注销、特权命令使用（如sudo）、账户变更等关键事件。集中管理日志，并保护日志文件不被篡改或清除。
   • 定期审计：定期（如每季度）审查账户列表、权限分配情况、特权账户的使用日志，检查是否有异常登录、非授权时间的访问或权限滥用行为。

5. 高级增强与最佳实践

   • 多因素认证：对远程访问、特权登录等高风险操作，在密码基础上增加第二种及以上认证因素（如动态令牌、生物识别、数字证书等）。
   • 使用集中式身份管理：在拥有多台主机的环境中，使用如LDAP、Active Directory、IAM系统进行统一的账户和权限管理，避免分散管理带来的不一致和疏漏。
   • 应用账户管理：同样重视运行应用程序或服务的“服务账户”的管理，为其分配恰好足够的权限，而非直接使用root或System权限运行。