服务器加固

1.服务器密码复杂度

密码最小长度，密码复杂度策略

vim /etc/pam.d/system-auth
---------------
#密码配置
#ucredit：大写字母个数；lcredit：小写字母个数；dcredit：数字个数；ocredit：特殊字符个数；
#minlen 最小长度
#密码重复使用次数限制 remember=5
password    requisite     pam_pwquality.so try_first_pass local_users_only minlen=6 ucredit=-1 lcredit=-1 dcredit=-1
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5

2.服务器密码定期更换

口令更改最小间隔天数，口令过期前警告天数，口令生存周期

vim /etc/login.defs
------------------
#修改
PASS_MAX_DAYS   90
PASS_MIN_DAYS   6
PASS_MIN_LEN    5
PASS_WARN_AGE   30

3.服务器审计功能

安全审计，历史命令配置

编辑/etc/profile文件，配置HISTFILESIZE的值不大于5

编辑/etc/profile文件，配置HISTSIZE的值不大于5

vim /etc/profile
--------------------
HISTSIZE=5
HISTFILESIZE=5
#600s 超时退出  命令行界面超时自动退出
export TMOUT=600
--------------------
source /etc/profile

远程日志审计，改为具体ip

vim /etc/rsyslog.conf
---------------------
*.*   @192.168.1.2
---------------------
systemctl enable rsyslog
systemctl restart rsyslog

4.访问控制

按组管理账号

cp -p /etc/group /etc/group.bak
groupadd 组名
useradd -g 组名 -m 用户名
passwd 用户名

测试登录，使用新用户登录，并切换到root（su root）

只允许指定组名下的用户 su为 root

vim /etc/pam.d/su
-------------------------
auth            required        pam_wheel.so group=组名

禁止root远程登录

vim /etc/pam.d/login
----------------------------
auth required pam_securetty.so
----------------------------vim /etc/ssh/sshd_config
----------------------------
PermitRootLogin no
----------------------------systemctl restart sshd

5.启用日志审计

查看启用状态

systemctl status auditd

设置开机自启动

systemctl enable auditd

如果未启用，修改配置

find / -name grub.cfg
-------------------
麒麟v10 的位置是:/boot/efi/EFI/kylin/grub.cfg
###################
vim /boot/efi/EFI/kylin/grub.cfg
vim /etc/default/grub
-------------------
将所有 audit=0  改为  audit=1

设置默认开机不启动防火墙