SSH基线检查项目

最新推荐文章于 2025-04-08 09:43:49 发布
原创 最新推荐文章于 2025-04-08 09:43:49 发布 · 3.1k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#centos #ssh

本文详细介绍了如何优化SSH配置，包括禁用X11转发、限制登录尝试、启用安全认证机制、调整密钥权限等，以提升服务器安全性。

确保SSH X11转发被禁用

威胁等级：Medium

规则描述

参数X11Forwarding提供了操作远程连接X11界面的功能。

审计描述

运行下面的命令并确认输出匹配: 
# grep '^X11Forwarding' /etc/ssh/sshd_config 
X11Forwarding no

检测用例信息

#### 检测描述
执行grep '^X11Forwarding' /etc/ssh/sshd_config，检查结果符合预期
#### 期望结果
X11Forwarding no
#### 检测结果
X11Forwarding yes

修改建议

编辑/etc/ssh/sshd_config文件确保参数设置如下: 
X11Forwarding no

确保SSH中MaxAuthTries设置小于等于4

威胁等级：Medium

规则描述

MaxAuth参数指定了最大认证登录次数；当登录次数达到半数，错误信息将会被写到syslog文件中，记录详细的登录失败信息。

审计描述

运行如下命令确保MaxAuthTries值是否小于等于4: 
# grep '^MaxAuthTries' /etc/ssh/sshd_config 
MaxAuthTries 4(默认值为6)

检测用例信息

#### 检测描述
执行grep '^MaxAuthTries' /etc/ssh/sshd_config，检查结果符合预期
#### 期望结果
MaxAuthTries N (0<N<=4)
#### 检测结果
MaxAuthTries 6

修改建议

编辑/etc/ssh/sshd_config文件，设置参数如下: 
MaxAuthTries 4

确保SSH中IgnoreRhosts设置为enabled

威胁等级：Medium

规则描述

IgnoreRhosts参数指定.rhosts和.shosts文件不能在RhostsRSAAuthentication或者HostbasedAuthentication中使用。

审计描述

运行如下命令并确认输出匹配: 
# grep '^IgnoreRhosts' /etc/ssh/sshd_config 
IgnoreRhosts yes

检测用例信息

#### 检测描述
执行grep '^IgnoreRhosts' /etc/ssh/sshd_config，检查结果符合预期
#### 期望结果
IgnoreRhosts yes
#### 检测结果

修改建议

编辑/etc/ssh/sshd_config文件设置参数如下: 
IgnoreRhosts yes

确保SSH中HostbasedAuthentication关闭

威胁等级：High

规则描述

HostbasedAuthentication参数指定是否允许受信任的主机通过使用.rhosts 或/etc/hosts.equiv进行认证；当公钥客户端认证成功，用户即登录；此选项仅使用于SSH 2。

审计描述

运行如下命令并确认输出匹配: 
# grep '^HostbasedAuthentication' /etc/ssh/sshd_config 
HostbasedAuthentication no

检测用例信息

#### 检测描述
执行grep '^HostbasedAuthentication' /etc/ssh/sshd_config，检查结果符合预期
#### 期望结果
HostbasedAuthentication no
#### 检测结果

修改建议

编辑/etc/ssh/sshd_config文件设置参数如下: 
HostbasedAuthentication no

确保SSH PermitEmptyPasswords被禁用

威胁等级：High

规则描述

PermitEmptyPasswords参数指定SSH服务器是否允许使用空密码字符串登录帐户。

审计描述

运行以下命令并验证输出是否匹配：
# grep '^PermitEmptyPasswords' /etc/ssh/sshd_config    
PermitEmptyPasswords no

检测用例信息

#### 检测描述
执行grep '^PermitEmptyPasswords' /etc/ssh/sshd_config,检查结果符合预期
#### 期望结果
PermitEmptyPasswords no
#### 检测结果

修改建议

编辑/etc/ssh/sshd_config文件，加入如下内容：
PermitEmptyPasswords no

确保SSH PermitUserEnvironment被禁用

威胁等级：Medium

规则描述

PermitUserEnvironment选项允许用户向ssh守护程序呈现环境选项。

审计描述

运行以下命令并验证输出是否匹配：
# grep '^PermitUserEnvironment' /etc/ssh/sshd_config 
PermitUserEnvironment no

检测用例信息

#### 检测描述
执行grep '^PermitUserEnvironment' /etc/ssh/sshd_config，检查结果符合预期
#### 期望结果
PermitUserEnvironment no
#### 检测结果

修改建议

编辑/etc/ssh/sshd_config文件，加入如下内容：
PermitUserEnvironment no

使用更加安全的Ciphers算法

威胁等级：High

规则描述

此变量限制SSH在通信期间可以使用的密码类型。

审计描述

运行以下命令并验证使用的算法不包含任何密码块链接（-cbc）算法：
# grep 'Ciphers' /etc/ssh/sshd_config 
Ciphers aes256-ctr,aes192-ctr,aes128-ctr。
Ciphers默认值为：aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-gcm@openssh.com,aes256-gcm@openssh.com,aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour。

检测用例信息

#### 检测描述
使用更加安全的Ciphers算法
#### 期望结果
Ciphers aes256-ctr,aes192-ctr,aes128-ctr
#### 检测结果
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-gcm@openssh.com,aes256-gcm@openssh.com,aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour

修改建议

编辑/etc/ssh/sshd_config文件，加入如下内容：
Ciphers aes256-ctr,aes192-ctr,aes128-ctr

确保使用更安全的MAC算法

威胁等级：High

规则描述

此变量限制SSH可以在通信期间使用的MAC算法的类型。

审计描述

运行以下命令并检查使用了更加安全的MAC算法 
# grep 'MACs' /etc/ssh/sshd_config 
MACs hmac-sha2-512,hmac-sha2-256
MACs的默认值：hmac-md5-etm@openssh.com,hmac-sha1-etm@openssh.com,umac-64-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-ripemd160-etm@openssh.com,hmac-sha1-96-etm@openssh.com,hmac-md5-96-etm@openssh.com,hmac-md5,hmac-sha1,umac-64@openssh.com,umac-128@openssh.com,hmac-sha2-256,hmac-sha2-512,hmac-ripemd160,hmac-sha1-96,hmac-md5-96。

检测用例信息

#### 检测描述
确保使用更安全的MAC算法
#### 期望结果
MACs hmac-sha2-512,hmac-sha2-256
#### 检测结果
MACs hmac-md5-etm@openssh.com,hmac-sha1-etm@openssh.com,umac-64-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-ripemd160-etm@openssh.com,hmac-sha1-96-etm@openssh.com,hmac-md5-96-etm@openssh.com,hmac-md5,hmac-sha1,umac-64@openssh.com,umac-128@openssh.com,hmac-sha2-256,hmac-sha2-512,hmac-ripemd160,hmac-sha1-96,hmac-md5-96

修改建议

编辑/etc/ssh/sshd_config文件，根据站点策略设置参数，以下内容包括所有支持和接受的MAC：
MACs hmac-sha2-512,hmac-sha2-256

确保配置了SSH空闲超时间隔

威胁等级：Medium

规则描述

ClientAliveInterval和ClientAliveCountMax这2个选项控制ssh会话的超时。 设置ClientAliveInterval变量时，将终止在指定时间内没有活动的ssh会话。 设置ClientAliveCountMax变量时，sshd将在每个ClientAliveInterval间隔发送客户端活着的消息。 当连续的客户端活动消息的数量没有来自客户端的响应被发送时，ssh会话被终止。 例如，如果ClientAliveInterval设置为15秒，ClientAliveCountMax设置为3，客户端ssh会话将在空闲时间45秒后终止。

审计描述

运行以下命令并验证ClientAliveInterval为300以下，ClientAliveCountMax为3或更小：
#grep '^ClientAliveInterval' /etc/ssh/sshd_config
ClientAliveInterval 300（默认值为0） 
#grep '^ClientAliveCountMax' /etc/ssh/sshd_config
ClientAliveCountMax 0（默认值为3）

检测用例信息

#### 检测描述
执行grep '^ClientAliveInterval' /etc/ssh/sshd_config，检查结果符合预期
#### 期望结果
ClientAliveInterval N  (0<N<=300)
#### 检测结果
ClientAliveInterval 0

修改建议

编辑/etc/ssh/sshd_config文件以设置参数如下：
ClientAliveInterval 300 
ClientAliveCountMax 0

确保SSH LoginGraceTime设置为一分钟或更短

威胁等级：Low

规则描述

LoginGraceTime参数指定成功验证SSH服务器的时间。宽限期的时间越长，可以存在更开放的未认证连接。宽限期应限制在适当的组织限制，以确保服务可用于所需的访问。

审计描述

运行以下命令并验证输出LoginGraceTime为60或更少：
# grep '^LoginGraceTime' /etc/ssh/sshd_config
LoginGraceTime 60(默认值为120)

检测用例信息

#### 检测描述
执行grep '^LoginGraceTime' /etc/ssh/sshd_config，检查结果符合预期
#### 期望结果
LoginGraceTime N  (0<N<=60)
#### 检测结果
LoginGraceTime 120

修改建议

编辑/etc/ssh/sshd_config文件，设置参数如下：
LoginGraceTime 60

需限制SSH服务使用的密钥文件权限

威胁等级：High

规则描述

SSH的private key与public key文件为服务器访问的私钥和公钥文件。

审计描述

确保/etc/ssh/*key，与/etc/ssh/*key.pub相关文件属主为root，权限不大于400。

检测用例信息

#### 检测描述
检查所有秘钥文件权限，结果符合预期
#### 期望结果
root root 0400或更严格
#### 检测结果
/etc/ssh/ssh_host_rsa_key root root 600
/etc/ssh/ssh_host_dsa_key root root 600
/etc/ssh/ssh_host_ecdsa_key root root 600
/etc/ssh/ssh_host_ed25519_key root root 600
/etc/ssh/ssh_host_dsa_key.pub root root 644
/etc/ssh/ssh_host_ecdsa_key.pub root root 644
/etc/ssh/ssh_host_ed25519_key.pub root root 644
/etc/ssh/ssh_host_rsa_key.pub root root 644

修改建议

# chmod 400 <文件名>   //修改文件权限  
# chown -R root:root <文件>  //修改文件属主为root

确保设置了SSH警告提示信息

威胁等级：Medium

规则描述

Banner参数指定在允许身份验证之前必须将其内容发送给远程用户的文件。默认情况下，不显示警告信息。

审计描述

运行以下命令并验证输出是否匹配 
# grep '^Banner' /etc/ssh/sshd_config 
Banner /etc/issue.net(路径配置不唯一)

检测用例信息

#### 检测描述
执行grep '^Banner' /etc/ssh/sshd_config，检查结果符合预期
#### 期望结果
Banner <file>
#### 检测结果

修改建议

编辑/etc/ssh/sshd_config文件以设置参数如下：
Banner /etc/issue.net

需限制/etc/ssh/sshd_config的访问权限

威胁等级：High

规则描述

/etc/ssh/sshd_config文件包含sshd的配置内容。

审计描述

运行以下命令并验证Uid和Gid都是0/root，Access不向组或其他组授予权限：
#stat /etc/ssh/sshd_config
Access: (0600/-rw-------) Uid: ( 0/ root) Gid: ( 0/ root)

检测用例信息

修改建议

运行以下命令设置/etc/ssh/sshd_config的所有权和权限：
#chown root:root /etc/ssh/sshd_config
#chmod og-rwx /etc/ssh/sshd_config

确保SSH协议设置为2

威胁等级：High

规则描述

SSH支持两种不兼容的协议: SSH1和SSH2。SSH1是原始的协议且受到安全问题的影响。SSH2功能更加完善且安全性更好。

审计描述

执行下面命令并且确保输出匹配: 
#grep '^Protocol' /etc/ssh/sshd_config
#Protocol 2（默认值为2）

检测用例信息

修改建议

编辑/etc/ssh/sshd_config文件，设置参数如下: Protocol 2

确保SSH的LogLevel设置成INFO或VERBOSE

威胁等级：Low

规则描述

INFO指定当用户登录或者注销活动将会被记录。VERBOSE级别的日志中会记录使用的SSH公钥的指纹，可在发生安全事件之后进行分析与审计。

审计描述

运行以下命令验证输出匹配: 
#grep '^LogLevel' /etc/ssh/sshd_config
#LogLevel INFO or LogLevel VERBOSE or 空

检测用例信息

修改建议

编辑/etc/ssh/sshd_config文件设置参数如下: LogLevel INFO或者LogLevel VERBOSE
密码学学习笔记(二十一)：SHA-256与HMAC、NMAC、KMAC
weixin_54634208的博客
08-22 2297
SHA-256与NMAC/HMAC/KMAC
centos7公网系统安全策略防攻击配置集合(持续更新)
visket2008的专栏
06-21 2678
centos7公网安全策略配置大全
sshd_config配置说明
beck_li的博客
09-10 3316
Compression：是否对通信数据进行加密，可用值：“yes", "delayed"(默认，延迟认证成功后加密), "no"KerberosOrLocalPasswd：如果 Kerberos 密码认证失败，那么该密码还将要通过其它的认证机制。如果超过10个并发初始连接，则后续的连接由30%的概率直接关闭，如果超过100个连接，则所有新连接100%直接关闭。AddressFamily：使用地址族，any(默认)、inet(仅IPv4)、inet6(仅IPv6)
centos---ssh安全脚本配置
rojanzhang的专栏
01-02 1190
1 检测规则 规则：需限制/etc/ssh/sshd_config的访问权限 　 威胁等级 High 　 规则描述 /etc/ssh/sshd_config文件包含sshd的配置内容。 　 审计描述 运行以下命令并验证Uid和Gid都是0/root，Access不向组或其他组授予权限： #stat /etc/s...
CentOS7 基线检查
gd0913的博客
04-20 4974
口令锁定策略 威胁等级：Low 规则描述 设置口令认证失败后的锁定策略 审计描述 检查配置文件的/etc/pam.d/system-auth和/etc/pam.d/password-auth是否有 auth required pam_faillock.so preauth audit silent deny=5 unlock_time=180 auth [success=1 default=bad] pam_unix.so auth [default=die] pam_faillock.so auth
精选资源
Linux和windows 基线检查工具脚本
10-15
在IT领域，尤其是在系统管理和网络安全方面，基线检查是确保操作系统符合最佳实践和安全标准的重要步骤。本资源提供了针对Linux和Windows操作系统的基线检查工具脚本，这可以帮助管理员快速评估和确认他们的服务器...
linux安全基线检查内容
ITSM/ITIL/网络安全/IT运维
05-07 5859
一:共享账号检查 配置名称:用户账号分配检查,避免共享账号存在配置要求:1、系统需按照实际用户分配账号; 2、避免不同用户间共享账号,避免用户账号和服务器间通信使用的账号共享。操作指南:参考配置操作:cat /etc/passwd查看当前所有用户的情况;检查方法:命令cat /etc/passwd查看当前所有用户的信息,与管理员确认是否有共享账号情况存在。配置方法:如需建立用户,参考如下: #useradd username #创建账号 #passwd username #设置密码 使用该命令为不同...
精选资源
Linux基线检查.zip
11-17
"Linux基线检查"通常指的是对Linux系统的安全性和配置合规性进行的一系列审计和验证工作，以确保系统符合最佳实践和安全标准。这个压缩包文件包含两个文件：`Linux.sh`和`README.txt`，我们可以从中学习到关于Linux...
安全基线检查平台之Centos7
Zer0ne安全研究
12-26 1815
0x00 前言# 最近在做安全基线检查相关的，网上有一些代码比较零散；也有一些比较完整的项目，比如owasp中的安全基线检查项目，但是收费；还有一些开源且完整的，比如lynis，但是不符合我的要求。 我的要求如下： 能够对操作系统、中间件和数据库进行基线检查 脚本在系统上进行基线检查后的结果或者收集到的数据能够传输到一个服务端 服务端要做可视化展示 最终的效果是什...
【安全服务】windows/Linux安全基线检查|等保2.0安全技术测评指导
kkza的博客
08-13 1万+
一 身份鉴别 1 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换 (1)对登录用户进行身份标识和鉴别，即登录时需要账号密码 -- win+R，输入netplwiz，按下列指示勾选内容 (2)身份标识具有唯一性，不同用户之间账号不能一样 (3)身份鉴别信息具有复杂度并且定期更换 一般指的是密码，应该设置密码策略，规定密码形式、长度、至少更改时间等 --计算机管理-本地用户和组-用户，关闭密码永不过期 -- 控制面板->管理工...
linux redhat 7 sshd 指定sha256密钥算法hmac-sha2-256
老紫竹的专栏
12-28 5496
redhat 7 的openssh 默认sshd是可以用sha1算法的，处于安全考虑，升级到sha256算法。本文介绍安全加固的方案。 redhat 6对应的openssh版本太低，不支持sha256。 GBase 8a新版本已经支持这个安全加固项：https://www.gbase8.cn/2591 修改配置文件 /etc/ssh/sshd_config 增加如下参数 MACs hmac-sha2-256,hmac-sha2-256-etm@openssh.com 效果如下 ..
sshd_config配置说明（顺序来自CentOS）
10-30 4462
推荐使用man sshd_config指令获取配置文件详细说明 Port 22 AddressFamily any ListenAddress 0.0.0.0 ListenAddress :: Protocol 2 /* Port：sshd服务端口，预设22，也可以开放多个端口 AddressFamily：使用地址族，any(默认)、inet(仅IPv4)、inet6(仅IPv6) ListenAddress：设置监听的地址 Protocol：S
ssh登录报no matching MAC found. Their offer: hmac-sha2-512异常
l434的博客
03-25 2万+
故障现象： ssh 111.111.111.111 Unable to negotiate with 111.111.111.111 port 22: no matching MAC found. Their offer: hmac-sha2-512,hmac-sha2-512-etm@openssh.com,hmac-sha2-256,hmac-sha2-256-etm@openssh.com 临时解决方法 ssh 111.111.111.111 -o macs=hmac-sha2-512 问题点：
常见的SSH功能
qq_20751851的博客
04-27 1968
SSH（Secure Shell）是一种加密的网络传输协议，它为远程登录会话和其他网络服务提供了强大的安全性保障。SSH协议通过加密手段确保数据在传输过程中的机密性和完整性，从而有效地防止了数据泄露和篡改。本文将解析SSH的常见功能。
SHA-256 和 HMAC-SHA-256 的区别
最新发布
qq_30531921的博客
04-08 1361
SHA-256 和 HMAC-SHA-256 是两种基于哈希算法的加密技术，但它们的设计目的和应用场景不同。
解决华为s6730交换机配置ssh
weixin_47938140的博客
02-21 3565
local-user 用户名 password irreversible-cipher 密码。ssh user 用户名 authentication-type password。local-user 用户名 privilege level 15。ssh user 用户名 service-type stelnet。local-user 用户名 service-type ssh。实测：华为s6730交换机ssh远程登录。ssh user 用户名。
macOS 使用 SSH 连接服务器
热门推荐
很酷的站长的博客
12-04 3万+
1. mac 的 ssh2. 使用 SSH 密钥连接3. 使用配置文件连接4. Windows 系统5. 退出 SSH 连接状态1. mac 的 sshmac 的终端自带 ssh，不过我会使用 iterm2 作为 mac 终端工具 ssh 服务器用户@服务器IP地址 输入连接命令，回车，再输入连接命令中使用的用户密码即可连接上服务器。下面是连接命令: # 默认使用 22 端口连接服务器ssh root@182.92.187.217# 使用&nbs
SSH使用随记
Just Do IT的博客
11-07 516
SSH（Secure Shell 的缩写）是一种网络协议，用于加密两台计算机之间的通信，并且支持各种身份验证机制。它主要用于保证远程登录和远程通信的安全，任何网络服务都可以用这个协议来加密。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值