Linux操作系统安全加固（CentOS6.X和CentOS7.X）

原创于 2025-01-22 14:42:48 发布 · 1k 阅读

12 ·

CC 4.0 BY-SA版权

文章标签：

#数据库

LINUX 专栏收录该内容

104 篇文章

订阅专栏

一、身份鉴别

a）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1、设置合理的口令复杂度和口令长度：

加固流程：

1）vim /etc/pam.d/system-auth

2）在pam_cracklib.so或pam_pwquality.so所在行末尾追加如下内容：

minlen=10 minclass=3 enforce_for_root dcredit=-1 lcredit=-1 ucredit=-1 ocredit=-1

3）保存并退出

风险：

1）无

合规结果截图：

2、设置合理的口令有效期：

加固流程：

1）执行shell命令【chage -M 90 用户名】将所有用户的口令有效期改为90天

2）vim /etc/login.defs

3）将【PASS_MAX_DAYS】的值改为90

4）保存并退出

风险：

1）部分业务账号口令失效后可能导致业务中断

合规结果截图：

【执行shell命令sudo grep -v '!' /etc/shadow|grep -v '*'】

3、定期更换口令（需满足1中设置的要求）：

加固流程：

1）根据2中设置的策略定期更换口令（修改密码）

风险：

1）无

合规结果截图：

密码到期时间晚于系统时间（修改密码即可实现）

b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

1、设置登录次数限制（连续输错密码N次锁定M分钟）：

加固流程：

1）vim /etc/pam.d/system-auth

2）在首行添加如下内容：

auth required pam_tally2.so deny=3 even_deny_root unlock_time=300

3）保存并退出

4）vim /etc/pam.d/password-auth

5）在首行添加如下内容：

auth required pam_tally2.so deny=3 even_deny_root unlock_time=300

6）保存并退出

风险：

1）如果口令未被牢记，可能造成口令尝试次数过多导致账户被锁定

合规结果截图：

注：如为CentOS 8或Euler OS，则应将pam_tally2.so替换为pam_faillock.so

2、设置空闲超时自动退出（无操作N分钟后自动退出当前账户）：

加固流程：

1）vim /etc/profile

2）在文件末尾添加如下内容：

TMOUT=300

3）保存并退出

4）【执行shell命令source /etc/profile】

风险：

1）无

合规结果截图：

二、访问控制

b）应重命名或删除默认账户，修改默认账户的默认口令；

1、禁止root账号被直接远程登录：

加固流程：

1）vim /etc/ssh/sshd_config

2）将【#PermitRootLogin yes】改为【PermitRootLogin no】

3）保存并退出

4）【执行shell命令service restart sshd】或【执行shell命令systemctl sshd restart】重启sshd服务

风险：

1）无

合规结果截图：

注：修改配置之前一定要先创建一个普通账户用于远程登录，否则系统除重启回退配置外，永远无法被远程

d）应授予管理用户所需的最小权限，实现管理用户的权限分离；

1、设置“三权分立”账户：

加固流程：

1）【执行shell命令useradd 用户名】添加用户

2）添加系统管理员账户sysadmin、审计管理员账户audadmin、安全管理员账户secadmin

3）【执行shell命令passwd 用户名】设置密码

风险：

1）无

合规结果截图：

2、形成制度限制“特权账户”的使用：

加固流程：

1）从制度层面限制特权账户（如root）的使用，专人专管，一次一密，参考附件2.1

2）使用时进行记录，包括申请人、批准人、监督人、使用范围、使用时间、操作内容，参考附件2.2

风险：

1）无

合规结果：

1）将附件2.1作为信息安全管理制度进行发布

2）在实际运维中贯彻落实附件2.1制度文档，并形成附件2.2的记录文档

附件2.1

《特权账号和超级用户账号管理》

特权账号指在系统中有专用权限的账号，如备份账号、权限管理账号、系统维护账号等。超级用户账号指系统中最高权限账号，如administrator（或admin）、root等管理员账号。
特权账号的密码由安全主管或由安全主管指派专人进行管理和保存，只有经授权的用户才可使用特权账号和超级用户账号，严禁共享账号。
信息中心每季度查看系统日志，监督特权账号和超级用户账号使用情况，并填写《系统日志审阅表》（附件2.2）。
尽量避免特权账号和超级用户账号的临时使用，确需使用时必须履行正规的申请及审批流程，并保留相应的文档。
临时使用超级用户账号必须有监督人员在场记录其工作内容。
超级用户账号临时使用完毕后，账号管理人员立即更改账号密码。

附件2.2

特权账号申请表

申请表编号：

申请人			部门及岗位
申请日期			联系方式
使用日期			使用时间段
所属系统	□官网系统	□OA系统				□其他（）
申请描述
操作内容
审核人（部门主管或系统主管）：					批准日期：
审核意见
监督人（安全管理员或审计管理员）：					监督日期：
监督意见
批准人（安全主管或特权账号管理员）：				批准日期：
特权账号处理结果：					处理日期：