Todo esse medo, dizendo: "Não faça isso!" é ridículo. Ao mesmo tempo, sim, provavelmente quebrou muitos scripts mal escritos, mas suspeito que não sejam mais tão comuns; pelo menos não nas distribuições padrão.
Nos disseram para renomear a conta root em um subconjunto de servidores linux. Então, depois de tentar pesquisar como fazer isso corretamente, encontrei muitas postagens dizendo "Não faça!" com muitos avisos terríveis de "coisas ruins" acontecendo se você optar por fazer isso. Mas ainda não encontrei exemplos concretos das "coisas ruins" que poderiam acontecer.
Então, deixe-me voltar e explicar onde estou e como chegamos aqui. Estamos criando um ambiente compatível com PCI, e uma das ferramentas que nos ajuda a atender a esses "requisitos" está nos dizendo que precisamos renomear as contas raiz, de administrador e de convidado para outra coisa. Para aqueles sem instrução sobre PCI, você tem a opção de seguir as diretrizes ou documentar por que você não pode ou optar por não seguir essa diretriz e qual estratégia de mitigação você tem para manter os sistemas seguros. Portanto, imagino que a maioria dos locais documenta por que eles não renomearão suas contas raiz, no entanto, nosso grupo decidiu que, se pudermos renomear as contas de administrador do Windows sem problemas, eles também renomearão as contas raiz do linux.
Sou bem versado nos argumentos "segurança através da obscuridade"; Sei que apenas alterar o nome da conta raiz não melhora muito a segurança, a raiz deve ser desativada no SSH etc. Eu sei que não é esse o ponto, não estou interessado em ouvir mais. Também não estou interessado em mais avisos "o céu cairá". Estou procurando por declarações como esta: "> essa coisa ruim <acontecerá com> este pacote padrão <(a menos que você faça isso <)".
Até agora, tenho 3 sistemas CentOS (RHEL) que aparentemente não têm problemas em renomear a conta raiz. Aqui está o que eu fiz: Alterei o nome da conta em / etc / passwd, / etc / shadow, / etc / group e / etc / gshadow. Em seguida, grepped para o nome root em / etc / e modificou o arquivo de aliases do postfix para que root fosse um alias para nosso novo nome de conta, chame-o de rojotoro. (Algo semelhante deve ser feito para outros sistemas de email). Também descobri que precisava alterar algumas configurações para rotação do log ao descrever quem deveria possuir os arquivos que ele criaria automaticamente. E isso foi tudo que mudei até agora.
Eu olhei para muitos scripts init.d, mas não mudei nada, e tudo parece começar bem na inicialização. Preciso especificar a nova conta ao usar o sudo: "sudo -u rojotoro vim / etc / passwd" como exemplo, mas na verdade não preciso alterar nada no arquivo sudoers. Eu esperava talvez alguns problemas com o selinux que temos e aplicando, mas até agora não precisei mexer nesse sistema.
Também posso ver que os scripts mkdev ou mkfs podem precisar ser ajustados, mas não planejo usá-los, portanto não os olhei com o escrutínio que eles merecem.
Se é realmente fácil mudar isso sem causar efeitos negativos em um sistema habilitado para selinux, por que a continuação de todo esse medo?