linux安防加固-系统处理措施.docx

登录失败的处理措施

在/etc/pam.d/password-auth下面添加：

authrequiredpam_tally2.sodeny=5locktime=600even_deny_rootroot_unlock_time=600

操作系统的登录密码修改成更复杂的密码

操作系统密码为空，进入单用户模式，设置密码

输入：passwd

这样就可以修改密码了

然后重启之后密码就已经修改了

访问控制的b项

系统只使用root用户

访问控制的d项

在设置复杂系统登录密码时已经设置

访问控制的e项

删除kehui用户

用userdel-r普通用户名

此处用：userdel-rkehui

如果提示kehui已登录，可能是有kehui的进程在运行，此时需要用ps-ef|grepkehui查看相应的进程号，找到进程号之后，kill掉

用kill-9PID

kill掉进程后，再次删除kehui用户

对登录操作系统的用户进行身份识别和鉴别

shadow文件存在空口令账户，但切换账户不需要密码

针对shadow文件中的其他用户进行如下说明：

第一段为用户名,与/etc/passwd对应。

第二段为用户密码，是该账号的真正密码。!!代表这个用户没有密码，没有密码说明这个用户不能登录。*代表这个密码是被锁定的不能用的，也是不能够登录的。

而且可以用su命令进行测试，例如：subin会提示：

这就表明根本无法切换其他账户

查看系统中当前有哪些用户，可以使用命令：cat/etc/group来查看

操作系统的口令复杂度问题

在password-auth中未设置密码复杂度

首先确认cracklib是否已经安装，用命令：find/-namepam_cracklib.so可以查看

在/etc/pam.d/password-auth中添加字段：

passwordrequisitepam_cracklib.soretry=5minlen=8(最小密码长度是8位)lcredit=-1(至少有一个小写字母)dcredit=-1(至少有一个数字)ocredit=-1(至少有一个符号)

在/etc/login.defs中设置密码修改时间

PASS_MIN_LEN（密码最短长度）：8位

PASS_MAX_DAYS（密码最长使用时间）：90天

PASS_MIN_DAYS（密码最短使用时间）:2天

PASS_WARN_AGE（在多少天之前提示更换密码）：10

操作系统审计策略配置

打开/etc/audit/audit.rules，添加如下字段：

-aexit,always-Farch=b64-Sexecve–kexec

-aexit,always-Farch=b32-Sexecve-kexec