Linux安全基线配置规范.docx

Linux安全基线配置规范 Linux操作系统安全基线规范是指在 Linux 操作系统中，为了确保系统安全，需要实施的一系列安全配置和要求。本文将从账户管理、登录超时设置、限制管理员root远程登录、口令管理等方面，详细介绍 Linux 安全基线配置规范的要求和实施步骤。 3.1 账户管理 Linux 安全基线配置规范要求删除或锁定不使用的账户，以防止这些账户被恶意攻击者利用。安全配置说明是，删除或锁定无关的系统用户和用户组，如 uucp、nuucp、lpd、imnadm、guest 等账号。只有具备超级用户权限的用户方可使用，passwd -l username 锁定用户，用 passwd -d username 解锁后原有密码失效，登录需输入新密码，修改 /etc/shadow 能保留原有密码。 3.1.2 登录超时设置 Linux 安全基线配置规范要求在会话超时或会话结束后，主机操作系统应终止会话连接。安全配置说明是在会话超时或会话结束后，主机操作系统应终止会话连接。安全配置操作样例是，执行命令：1、vi /etc/profile，加入如下行：TMOUT=300;export TMOUT；2、修改 /etc/ssh/sshd_config，设置如下项：ClientAliveInterval 60ClientAliveCountMax 3。 3.1.3 限制管理员root远程登录 Linux 安全基线配置规范要求限制具备超级管理员权限的用户远程登录。远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到超级管理员权限用户后执行相应操作。安全配置说明是，限制具备超级管理员权限的账户远程登录。远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到超级管理员权限账号。安全配置操作样例是，执行命令：vi /etc/ssh/sshd_config，将 PermitRootLogin yes 改为 PermitRootLogin no，然后重启 sshd 服务。 3.2 口令管理 Linux 安全基线配置规范要求主机操作系统用户口令须符合强密码复杂度要求。密码复杂度要求是：1）采用数字、字母、符号的无规律混排方式；2）口令的长度至少为 8 位，并且每 90 天至少更换 1 次；3）如果系统长度不支持上述口令复杂度要求，应使用所支持的最长长度并适当缩小更换周期；也可以使用动态密码卡等一次性口令认证方式。4）修改操作系统账户的默认口令，系统无法实现的除外。 3.2.1 密码复杂度要求 安全配置说明是，对于采用静态口令认证技术的设备，口令长度至少 8 位，并包括数字、小写字母、大写字母和特殊符号 3 类混排。安全配置操作样例是，检查 /etc/pam.d/system-auth 文件是否有如下行，password requisite pam_cracklib.so difok=3 minlen=8 ucredit=-1 lcredit=-1 dcredit=-1，如果没有，添加 password requisite pam_cracklib.so difok=3 minlen=8 ucredit=-1 lcredit=-1 dcredit=-1 到 /etc/pam.d/system-auth 文件的第一行。 3.2.2 禁止空口令登录 Linux 安全基线配置规范要求须对所有访问主机操作系统的用户进行身份鉴别，不允许采用空口令登录主机操作系统。安全配置说明是，禁止用户空口令登录系统。安全配置操作步骤是，1）cat /etc/passwd #查看文件中是否存在能够空口令登录系统的用户；2）passwd <username> #如果有，将空口令用户设置密码或锁定。