Linux安全基线配置_common-password minclass

检查项目 : 设置密码失效时间
加固建议: 在 /etc/login.defs 中将 PASS_MAX_DAYS 参数设置为 60-180之间，如 PASS_MAX_DAYS 90。需同时执行命令设置root密码失效时间： chage --maxdays 90 root。
检查项目 : 设置密码修改最小间隔时间
加固建议: 在 /etc/login.defs 中将 PASS_MIN_DAYS 参数设置为5-14之间,建议为7：
 PASS_MIN_DAYS 7 需同时执行命令为root用户设置：
 chage --mindays 7 root
检查项目 : 密码复杂度检查
加固建议: 1、安装PAM的cracklib模块，执行命令： apt-get update&&apt-get install libpam-cracklib 2、编辑/etc/pam.d/common-password，在"password requisite pam_cracklib.so"开头的这一行配置minclass（至少包含小写字母、大写字母、数字、特殊字符等4类字符中的3类或4类）设置为3或4，即在行末尾加上参数minclass=3；在"password [success=1 default=ignore] pam_unix.so"开头的这一行增加配置minlen（密码最小长度）设置为9-32位，建议为9，即在行末尾加上参数minlen=9
检查项目 : 检查密码重用是否受限制
加固建议: 编辑/etc/pam.d/common-password，在"password [success=1 default=ignore] pam_unix.so"开头的这一行增加配置remember设置为5-24之间，建议为5，即在行末尾加上参数remember=5
检查项目 : 禁止SSH空密码用户登录 
加固建议: 在/etc/ssh/sshd_config中取消PermitEmptyPasswords no注释符号#
检查项目 : 确保SSH MaxAuthTries设置为3到6之间
加固建议: 在/etc/ssh/sshd_config中取消MaxAuthTries注释符号#，设置最大密码尝试失败次数3-6，建议为5：MaxAuthTries 5
检查项目 : 设置SSH空闲超时退出时间
加固建议: 编辑/etc/ssh/sshd_config，将ClientAliveInterval 设置为300到900，即5-15分钟，将ClientAliveCountMax设置为0。
 ClientAliveInterval 300
 ClientAliveCountMax 0
检查项目 : 确保SSH LogLevel设置为INFO
加固建议: 编辑 /etc/ssh/sshd_config 文件以按如下方式设置参数(取消注释):
 LogLevel INFO
检查项目 : 设置用户权限配置文件的权限
加固建议: 执行以下5条命令
 chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow
 chmod 0644 /etc/group 
 chmod 0644 /etc/passwd 
 chmod 0400 /etc/shadow 
 chmod 0400 /etc/gshadow

对应以上建议相关修改:

1.sudo vi /etc/login.defs
PASS_MAX_DAYS   90
PASS_MIN_DAYS   7
PASS_WARN_AGE   10
2.
sudo chage --maxdays 90 root
sudo chage --mindays 7 root
sudo apt-get update&&sudo apt-get install libpam-cracklib
3.sudo vi /etc/pam.d/common-password
password        requisite                       pam_cracklib.so retry=3 minlen=8 difok=3 minclass=3
password        [success=1 default=ignore]      pam_unix.so obscure use_authtok try_first_pass sha512 minlen=9 remember=5

4.sudo vi /etc/ssh/sshd_config
MaxAuthTries 5
ClientAliveInterval 900
ClientAliveCountMax 0
PermitEmptyPasswords no
LogLevel INFO
5.sudo chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow
sudo chmod 0644 /etc/group 
sudo chmod 0644 /etc/passwd 
sudo chmod 0400 /etc/shadow 
sudo chmod 0400 /etc/gshadow