CentOS6.5安全策略设置
应公司内部⽹站等级测评的需求，正逐渐加强系统安全防护
密码策略设置
检查⽅法：
使⽤命令
#cat /etc/login.defs|grep PASS查看密码策略设置
备份⽅法：
cp -p /etc/login.defs /etc/login.defs_bak
加固⽅法：
#vi /etc/login.defs修改配置⽂件
PASS_MAX_DAYS  90        #新建⽤户的密码最长使⽤天数
PASS_MIN_DAYS  0        #新建⽤户的密码最短使⽤天数
PASS_WARN_AGE  7        #新建⽤户的密码到期提前提醒天数
PASS_MIN_LEN    9        #最⼩密码长度9
限制SSH登录次数
设备默认 3 次验证失败⾃动退出，并且结束会话；⽹络登录连接超时⾃动退出时间 5 分钟；
第⼀种⽅法：已验证。
1.ssh超时时间设置
# cd /etc/profile.d/  #创建两个空⽩⽂件autologout.csh 、autologout.sh⽤来保存TMOUT配置
# touch autologout.csh
# touch autologout.sh
# vi autologout.sh      #编辑autologout.sh
1. #auto out in 5 minutes
2. TMOUT=300            #超时时间，单位为s
3. readonly TMOUT      #设置TMOUT变量只读
4. export TMOUT        #设置环境TMOUT
# vi autologout.csh  　#编辑autologout.csh
1. set -r autologout 2
# chmod  +x autologout.*    #可执⾏权限，其实单给u+x就⾏了。
断开Client，重新登录终端5分钟不使⽤ssh就会⾃动断开连接.
2.　ssh认证次数限制：
/etc/ssh/sshd_config
MaxAuthTries=3  这仅是超过3次验证错误断开连接。
使⽤PAM锁定多次登陆失败的⽤户
Linux有⼀个pam_tally2.so的PAM模块，来限定⽤户的登录失败次数，如果次数达到设置的阈值，则锁定⽤户。编译PAM的配置⽂件
# vim /etc/pam.d/login
#%PAM-1.0
auth      required  pam_tally2.so  deny=3lock_time=300 even_deny_root root_unlock_time=10
auth [user_unknown=ignoresuccess=okignoreignore=ignore default=bad] pam_securetty.so
auth      include      system-auth
account    required    pam_nologin.socentos vim命令
account    include      system-auth
password  include      system-auth
# pam_selinux.so close should be the first session rule
session    required    pam_selinux.so close
session    optional    pam_keyinit.so force revoke
session    required    pam_loginuid.so
session    include      system-auth
session    optional    pam_console.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required    pam_selinux.so open
各参数解释
even_deny_root    也限制root⽤户；
deny          设置普通⽤户和root⽤户连续错误登陆的最⼤次数，超过最⼤次数，则锁定该⽤户
unlock_time        设定普通⽤户锁定后，多少时间后解锁，单位是秒；
root_unlock_time      设定root⽤户锁定后，多少时间后解锁，单位是秒；
此处使⽤的是 pam_tally2 模块，如果不⽀持 pam_tally2 可以使⽤ pam_tally 模块。另外，不同的pam版本，设置可能有所不同，具体使⽤⽅法，可以参照相关模块的使⽤规则。
在#%PAM-1.0的下⾯，即第⼆⾏，添加内容，⼀定要写在前⾯，如果写在后⾯，虽然⽤户被锁定，但是只要⽤户输⼊正确的密码，还是可以登录的！
最终效果如下图
这个只是限制了⽤户从tty登录，⽽没有限制远程登录，如果想限制远程登录，需要改SSHD⽂件

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。