限制用戶
如果用戶擁有一個(交互式)SHELL帳號，他們就可以做出危害系統(tǒng)的事。一個最簡單的例子就是運行占用大量系統(tǒng)內存的程序的多個拷貝進程，最后用光系統(tǒng)內存。或使用"fork bomb"以用光文件描述符。但是也有很多方法可以用來阻止這些事情發(fā)生，如限制用戶的配額、限制CPU占用率等等。更先進的技術是監(jiān)視用戶的一舉一起。
PAM 大多數(shù)的LINUX都內建了PAM支持。PAM的一個功能是系統(tǒng)環(huán)境設置，例如設置某個用戶允許使用的系統(tǒng)內存大小等。在Red Hat和Caldera這兩個發(fā)行版本的 /etc/security/ 目錄下包含了許多可配置文件。最有趣的當屬 /etc/security/limits.conf 文件，它允許你定義用戶或用戶組規(guī)則，規(guī)則是“軟(soft)”或“硬(hard)”，規(guī)則的內容(如CPU、內存、最大文件大小等)。例如：
* hard core 0
bob soft nproc 100
bob hard nproc 150
第一行規(guī)則禁止所有人產(chǎn)生core文件，第二行規(guī)則(軟)定義用戶bob的最大進程數(shù)為100， 第三行規(guī)則(硬)定義用戶bob的最大進程數(shù)為150。可以超出軟規(guī)則的限制(警告)，但不 能超過硬規(guī)則的限制。你可以想像得到，這些規(guī)則定義到所有用戶的登錄SHELL和等服務 時是很有幫助的。
Bash
Bash內建了一個限制器"ulimit"。注意任何硬限制都不能設置得太高，因此如果你在/etc/profile或用戶的 .bash_profile (用戶不能編輯或刪除這些文件)中定義了限制規(guī)則，你就能對用戶的Bash shell實施限制。這對于缺少PAM支持的LINUX舊發(fā)行版本是很有用的。你還必須確保用戶不能改變他們的登錄shell。限制的設置與PAM相似。例如：
ulimit -Sc 0
ulimit -Su 100
ulimit -Hu 150
這三條規(guī)則的作用與前面提及的三條PAM規(guī)則一樣。第一行禁止產(chǎn)生core，第二行設置軟限制為100個進程，第三行則設置硬限制為150個進程。更多的信息請參閱 man ulimit 手冊頁。
Quota
Quota(限額)用于限制系統(tǒng)中用戶的磁盤配額。大多數(shù)LINUX發(fā)行版本都附帶此程序，詳細信息請參閱 man quota 手冊頁。
監(jiān)視用戶
在一般系統(tǒng)中最常見的問題是防止用戶濫用。相對而言，監(jiān)視服務器標準資源(如磁盤空間、CPU使用率等)比較簡單，但現(xiàn)在更常見的問題是網(wǎng)絡帶寬的濫用。幸虧也有許多方法監(jiān)視這些情況。
ttysnoop
如果一切正常當然很好。但如果你確實想監(jiān)視用戶正在做什么，你可以使用這個工具。 ttysnoop 可以讓你監(jiān)視并記錄用戶的操作。下載網(wǎng)址：
http://uscan.cjb.net/
UserIPAcct
你可以通過UserIPAcct監(jiān)視每個用戶的帶寬使用情況。該軟件包含了內核的補丁程序，可設置規(guī)則(方法與類似)以監(jiān)視某個用戶程序發(fā)送或接收的數(shù)據(jù)流量。然而它并不能統(tǒng)計在PPP連接上的數(shù)據(jù)量，因為數(shù)據(jù)發(fā)送或接收是PPP守護進程而不是用戶管理的。這個工具非常適用于提供shell的服務器。
1