linux安全策略

linux安全策略

密码策略：

1、密码有效期

/etc/login.defs中

PASS_MAX_DAYS180

PASS_MIN_DAYS0

PASS_MIN_LEN12

PASS_WARN_AGE15

UMASK 027

USERGROUPS_ENAB yes

ENCRYPT_METHOD SHA512

2、密码复杂度检查

/etc/security/pwquality.conf

minlen=10

minclass=3

3、密码错误尝试次数

/etc/ssh/sshd_config中

取消MaxAuthTries注释符号#并设置MaxAuthTries 3

4、检查密码重用是否受限制

在/etc/pam.d/password-auth和/etc/pam.d/system-auth中password sufficient pam_unix.so 这行的末尾配置remember参数为5-24之间，原来的内容不用更改，只在末尾加了remember=5。

SSH策略：

1、SSH空闲超时退出时间

/etc/ssh/sshd_config中

ClientAliveInterval 600

ClientAliveCountMax 2

2、禁止SSH空密码用户登录

/etc/ssh/sshd_config中

PermitEmptyPasswords no

3、调整SSH Loglevel

/etc/ssh/sshd_config中

LogLevel INFO

文件策略：

1、访问控制配置文件权限设置

运行如下命令：

chown root:root /etc/hosts.allow

chown root:root /etc/hosts.deny

chmod 644 /etc/hosts.deny

2、设置用户权限配置文件的权限

运行如下命令：

chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow chmod 0644 /etc/group

chmod 0644 /etc/passwd

chmod 0400 /etc/shadow

chmod 0400 /etc/gshadow

chmod 644 /etc/hosts.allow

其他策略：

1、开启地址空间布局随机化

/etc/sysctl.conf中

kernel.randomize_va_space = 2

并运行命令：

sysctl -w kernel.randomize_va_space=2

2、开启日志服务

运行命令启用rsyslog服务

systemctl enable rsyslog

systemctl start rsyslog