Linux加固

禁用无用账号

操作目的：减少无用账号，降低风险

检查方法：使用 cat /etc/passwd 查看口令文件，确认不必要的账号。不必要的账号，shell应该sbin/nologin

加固方法：使用passwd -l user 锁定不必要的账号

账号策略

操作目的：防止口令暴力破解，降低风险

检查方法：使用命令 cat /etc/pam.d/system-auth 查看配置文件

加固方法：设置连续输错3次密码账号锁定2小时，vim /etc/pam.d/system-auth 修改配置文件

auth required pam_tally.so onerr=fail deny=3 unlock_time=7200

口令周期策略

操作目的：加强口令的复杂度，降低被猜解的可能性

检查方法：使用命令 cat /etc/login.defs | grep PASS 和 cat /etc/pam.d/system-auth 查看密码策略

加固方法：vim /etc/login.defs 修改配置文件

PASS_MAX_DAYS   60  新建用户的密码最长使用天数
PASS_MIN_DAYS   0     新建用户的密码最短使用天数
PASS_WARN_AGE   7   新建用户的密码到期提前提醒天数

或 chage -m 0 -M 30 -E 2020-01-01- -W user（将user用户的密码长度设为30天，最短提醒天数为0 账号2020年1月1号过期，过期前7天警告用户）

限制root远程登陆

操作目的：限制root远程telnet登陆

检查方法：检查方法 cat /etc/ssh/sshd_config  查看PermitRootLogin是否为no

加固方法：编辑文件 vim /etc/ssh/sshd_config

　　　　　　　PermitRootLogin no不允许root登陆

　　　　　　    Protocol 2 修改ssh使用的协议版本

　　　　　　    MaxAuthTries 3 修改允许密码错误次数

                        或echo "tty1" > /etc/securetty

                        chmod 700 /root

弱口令审计

操作目的：检查系统弱口令

检查方法：john /etc/shadow --single  john /etc/shadow --wordlist=pass.dic

加固方法：使用passwd 用户 命令为用户设置复杂的密码

禁ping

echo 0 > /proc/sys/net/ipv4/icmp_echo_igore_all

禁止root用户远程登陆

操作目的：禁止root用户从远程登陆ssh

检查方法：cat /etc/ssh/sshd_config  查看PermitRootLogin是否为no

加固方法：vi /etc/ssh/sshd_config  b把 PermitRootLogin no注释去掉，保存后重启