我想设置一个证书颁发机构，然后我可以将其导入到公司的所有浏览器和系统中，以便在使用 HTTPS 或 SSL 时摆脱所有那些讨厌的客户端警告。
我想配置securetty来限制root直接访问。现在我很清楚我是否添加：
auth required pam_securetty.so
进入/etc/pam.d/system-auth，在/etc/securetty中只保留“console”，ssh登录也会被禁止。如果我添加：
auth required pam_securetty.so
进入/etc/pam.d/login，在/etc/securetty中只保留“console”，ssh登录不会被禁止。
现在我不是很清楚/etc/pam.d/login 和/etc/pam.d/system-auth 之间的区别。谁能给我一些参考或一些指导？非常感谢！
PS /etc/pam.d/login vs. /etc/pam.d/system-auth 也给出了一些关于它的信息，但我想获得更多信息以使我更清楚。
TL; 博士
我很确定我们的小网络已经被某种蠕虫/病毒感染了。然而，它似乎只影响我们的 Windows XP 机器。Windows 7 机器和 Linux（嗯，是的）计算机似乎不受影响。防病毒扫描未显示任何内容，但我们的域服务器已记录了数千次针对各种有效和无效用户帐户（尤其是管理员）的失败登录尝试。我怎样才能阻止这种不明蠕虫的传播？
症状
我们的一些 Windows XP 用户报告了类似的问题，但并不完全相同。它们都经历了由软件启动的随机关机/重启。在其中一台计算机上弹出一个对话框，并在系统重新启动之前进行倒计时，显然是由 NT-AUTHORITY\SYSTEM 启动的，并且与 RPC 调用有关。特别是这个对话框与详细介绍旧的 RPC 漏洞利用蠕虫的文章中描述的完全相同。
当其中两台计算机重新启动时，它们在登录提示处重新启动（它们是域计算机），但列出的用户名为“admin”，即使它们没有以管理员身份登录。
在我们运行域的 Windows Server 2003 机器上，我注意到来自不同来源的数千次登录尝试。他们尝试了所有不同的登录名，包括管理员、管理员、用户、服务器、所有者和其他人。
有些日志列出了 IP，有些则没有。在那些确实有源 IP 地址（对于失败的登录）的那些中，其中两个对应于两台经历重新启动的 Windows XP 机器。就在昨天，我注意到来自外部 IP 地址的一系列登录尝试失败。跟踪路由显示外部 IP 地址来自加拿大 ISP。我们不应该从那里建立连接（尽管我们确实有 VPN 用户）。所以我仍然不确定来自外国 IP 的登录尝试是怎么回事。
很明显，这些计算机上存在某种恶意软件，它所做的部分工作是尝试枚举域帐户的密码以获取访问权限。
到目前为止我所做的
在意识到发生了什么之后，我的第一步是确保每个人都运行最新的防病毒软件并进行扫描。在受影响的计算机中，其中一台具有过期的防病毒客户端，但另外两台是当前版本的诺顿，并且对两个系统的完整扫描都没有结果。
服务器本身定期运行最新的防病毒软件，并且没有显示任何感染。
因此，3/4 的基于 Windows NT 的计算机具有最新的防病毒软件，但它没有检测到任何东西。但是，我确信某些事情正在发生，主要是通过各种帐户的数千次登录尝试失败来证明。
我还注意到我们的主文件共享的根目录具有非常开放的权限，所以我只是将它限制为普通用户读取+执行。管理员当然拥有完全访问权限。我还将让用户更新他们的密码（强密码），我将在服务器上重命名为管理员并更改其密码。
我已经把机器从网络上取下来了，一台正在换一台新的，但我知道这些东西会通过网络传播，所以我仍然需要深入了解。
此外，服务器具有仅打开某些端口的 NAT/防火墙设置。由于我来自 Linux 背景，因此我还没有完全调查一些打开端口的 Windows 相关服务。
怎么办？
所以所有现代和最新的防病毒软件都没有检测到任何东西，但我绝对相信这些计算机有某种病毒。我基于 XP 机器的随机重启/不稳定性以及源自这些机器的数千次登录尝试。
我打算做的是备份受影响机器上的用户文件，然后重新安装 Windows 并重新格式化驱动器。我还采取了一些措施来保护可能已用于传播到其他计算机的公共文件共享。
了解所有这些后，我能做些什么来确保该蠕虫不在网络的其他地方，我又该如何阻止它传播？
我知道这是一个冗长的问题，但我在这里超出了我的深度，可以使用一些指针。
感谢您的关注！
security windows windows-server-2003 malware network-monitoring
据我了解，在无线网络中实施时，EAP-TTLS 和 PEAP 具有相同的安全级别。两者都仅通过证书提供服务器端身份验证。
EAP-TTLS 的缺点可能是 Microsoft Windows 中的非本机支持，因此每个用户都必须安装其他软件。
EAP-TTLS 的好处是可以支持不太安全的身份验证机制（PAP、CHAP、MS-CHAP），但为什么在现代且安全的无线系统中需要它们？
你有什么意见？为什么我应该实施 EAP-TTLS 而不是 PEAP？假设我拥有最多的 Windows 用户、中等 Linux 用户和最少的 iOS、OSX 用户。
我需要确定某个特定文件是否在过去（例如 2 天）内被访问过。
这在 Windows Server 2008 R2 上可行吗？
当我输入类似的东西时sudo apt-get install firefox，一切正常，直到它问我：
After this operation, 77 MB of additional disk space will be used.
Do you want to continue [Y/n]? Y
然后显示错误消息： Failed to fetch: <URL>
我的iptables规则如下：
-P INPUT DROP
-P OUTPUT DROP
-P FORWARD DROP
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A INPUT -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
我应该添加什么以允许 apt-get 下载更新？谢谢
我一直在玩 CentOS box 几年了。所以我对终端很满意。但是，我读了很多博客文章，声称 chroot 不安全，而且这些文章的数量令人恐惧。真的是这样吗？为什么？
我使用 chroot 在特定上下文中锁定仅使用 SFTP 的用户，根本没有任何 shell 或命令。那么真的，这有什么安全问题？
问题已从StackOverflow流放。
我只是有一个用户无法在 Windows 2008 域上更改他的密码。尽管他确信他选择的密码满足这些要求，但它给了他一个关于复杂性要求的神秘信息。我自己测试并确认了。
如果我记得的话，他的最后一个密码似乎是根据 Microsoft 推荐的默认设置（例如 10 天）设置的太近了。
他问了我一个很好的问题，我无法回答：为什么会有最低密码年龄？这如何合理地有益于安全？他还指出，人们可能会在这 10 天内发现他们的密码被泄露而无法更改！
是否有任何正当理由强制执行最低密码年龄？
破坏 SSD的可重复方式是什么？例如，如果我打开它，我可以取出并销毁数据的哪一部分（如何识别实际的“存储单元”）？
案例 1. 想要合理确定其数据不容易恢复的普通用户？
情况 2. 考虑数据是敏感的并且驱动器已经加密。要求是数据应该永远不可恢复，这意味着加密本身不足以满足要求。
意图：与其机械对应物相比，SSD 是电子的，因此问题如何破坏硬盘？不适用，因为它们的内在差异。我完全赞成根据这个问题更新原始问题（使其成为规范），然后将其作为副本关闭。
我在这里有一个小问题，我希望（需要）以令人满意的方式解决。我的公司有多个 (IPv4) 网络，由我们位于中间的路由器控制。典型的小商店设置。现在有一个额外的网络，它具有我们控制之外的 IP 范围，通过我们控制之外的另一台路由器连接到互联网。称之为项目网络，它是另一家公司网络的一部分，并通过他们建立的 VPN 组合。
这意味着：
网络通过一些支持 VLAN 的交换机在我们的一端进行物理拆分，因为它涵盖了三个位置。一端是另一家公司控制的路由器。
我需要/想要让这个网络中使用的机器访问我公司的网络。事实上，让它们成为我的活动目录域的一部分可能会很好。在这些机器上工作的人是我公司的一部分。但是 - 我需要这样做，而不会因外部影响而损害我公司网络的安全性。
这个想法不适合使用外部控制路由器的任何类型的路由器集成
所以，我的想法是这样的：
我提出的两个概念是：
有人看到使用他的交换机将外部与 IPv6 隔离的问题吗？有什么安全漏洞吗？遗憾的是，我们不得不将这个网络视为敌对网络 - 会容易得多 - 但那里的支持人员“已知可疑质量”并且法律方面是明确的 - 当我们将他们整合到我们公司时，我们无法履行我们的义务虽然他们在管辖范围内，但我们没有发言权。