Tutta questa paura mongering, dicendo "Non farlo!" è ridicolo. Una volta, sì, probabilmente ha rotto molti script scritti male, ma sospetto che quelli non siano più così comuni; almeno non nelle distribuzioni standard.
Ci è stato detto di rinominare l'account root su un sottoinsieme di server Linux. Quindi, dopo aver tentato di cercare come fare correttamente, ho invece trovato molti, molti post che dicevano "Non farlo!" con un sacco di avvertimenti terribili di "cose cattive" che accadono se si sceglie di farlo. Ma devo ancora trovarne qualcuno con esempi concreti delle "cose cattive" che potrebbero accadere.
Quindi, lasciami fare un passo indietro e spiegare dove sono e come siamo arrivati qui. Stiamo creando un ambiente conforme a PCI e uno degli strumenti che ci aiuta a soddisfare tali "requisiti" ci sta dicendo che dobbiamo rinominare gli account root, amministratore e guest in qualcos'altro. Per quelli non istruiti su PCI, hai la possibilità di seguire le linee guida o documentare il motivo per cui non puoi o scegliere di non seguire quella linea guida e quale strategia di mitigazione devi tenere al sicuro i sistemi. Quindi, immagino che molti luoghi documentino perché non rinomineranno i loro account di root, tuttavia, il nostro gruppo ha deciso che, se riusciamo a rinominare gli account di amministratore di Windows senza problemi, rinomineremo anche gli account di root di Linux.
Sono ben versato negli argomenti "sicurezza attraverso l'oscurità"; So che cambiare il nome dell'account di root in realtà non migliora di molto la sicurezza, il root dovrebbe essere disabilitato su SSH, ecc. Lo so, non è questo il punto, non mi interessa saperne di più. Inoltre, non mi interessano più avvertimenti "il cielo cadrà". Sto cercando affermazioni come questa: "> questa cosa negativa <accadrà con> questo pacchetto standard <(a meno che tu non faccia questo <)".
Finora ho 3 sistemi CentOS (RHEL) che apparentemente non hanno problemi con la ridenominazione dell'account root. Ecco cosa ho fatto: ho cambiato il nome dell'account in / etc / passwd, / etc / shadow, / etc / group e / etc / gshadow. Quindi ha cercato il nome root in / etc / e ha modificato il file alias postfix in modo che root fosse un alias per il nostro nuovo nome account, chiamandolo rojotoro. (Qualcosa di simile dovrebbe essere fatto per altri sistemi di posta elettronica). Ho anche scoperto che dovevo cambiare alcune configurazioni per logrotate quando descrivevo chi avrebbe dovuto possedere i file che avrebbe creato automaticamente. E questo è stato tutto ciò che ho cambiato finora.
Ho esaminato molti script init.d, ma non ho cambiato nulla e tutto sembra iniziare bene all'avvio. Devo specificare il nuovo account quando utilizzo sudo: "sudo -u rojotoro vim / etc / passwd" come esempio, ma in realtà non ho bisogno di cambiare nulla all'interno del file sudoers. Mi aspettavo forse alcuni problemi con selinux che abbiamo e applicato, ma finora non ho avuto bisogno di toccare quel sistema.
Vedo anche che potrebbe essere necessario modificare gli script mkdev o mkfs, ma non ho intenzione di usarli, quindi non li ho guardati con il controllo che meritano.
Se è davvero così facile cambiare senza effetti negativi su un sistema abilitato selinux, perché la continuazione di tutta la paura?