centos7 主机基线扫描修复

背景概要

公司会对主机服务器进行基线扫描，需要按要求修复

系统日志访问控制

查看如下等日志的访问权限
ls -l /var/log/messages /var/log/secure /var/log/maillog /var/log/cron /var/log/spooler /var/log/boot.log
chmod 600 /var/log/messages /var/log/secure /var/log/maillog /var/log/cron /var/log/spooler /var/log/boot.log      # 上述文件权限小于等于600
ls -l /var/log/messages /var/log/secure /var/log/maillog /var/log/cron /var/log/spooler /var/log/boot.log

口令复杂度检查

vi /etc/pam.d/system-auth  
# 在该文件system-auth配置以下三种之一
1、引用pam_passwdqc.so       
password required pam_passwdqc.so min=disabled,disabled,disabled,disabled,8 enforce=everyone
2、引用pam_cracklib.so
password requisite pam_cracklib.so try_first_pass retry=3 dcredit=-1 lcredit=-1 ucredit=-1 ocredit=-1 minlen=8
3、引用pam_pwquality.so
password requisite pam_pwquality.so try_first_pass retry=3 dcredit=-1 lcredit=-1 ucredit=-1 ocredit=-1 minlen=8

文件与目录缺省权限控制

vi /etc/profile 
在文件末尾增加 umask 027 或者 umask 022
source /etc/profile

限制root用户远程登录-ssh

vi /etc/ssh/sshd_config
将 PermitRootLogin yes 改为 PermitRootLogin no 或者注释掉 PermitRootLogin yes 这一行

systemctl status sshd.service   # 查看ssh服务 
systemctl restart sshd.service  # 重启ssh服务

# 补充说明
systemctl start sshd.service    # 启动ssh服务
systemctl stop sshd.service     # 停止ssh服务
systemctl enable sshd.service   # 将ssh服务设置为开机自启动
systemctl disable sshd.service  # 关闭ssh开机启动 

登陆超时时间设置

# 通过修改账户中“TMOUT”参数，可以实现此功能。TMOUT 按秒计算。
vi /etc/profile
#在“HISTFILESIZE=”后面加入下面这行：
TMOUT=300 #（建议小于等于300）
source /etc/profile
2、补充操作说明
改变这项设置后，必须先注销用户，再用该用户登录才能激活这个功能，也就是需要重新退出 登录一次

口令生存期

vi /etc/login.defs
PASS_MAX_DAYS=90  #设定口令的生存期不长于90 天

使用PAM 禁止任何人su 为root

# 把需要切换root用户添加到wheel组，以使它可以使用su命令成为root用户。
usermod -a -G wheel username
vi /etc/pam.d/su 
auth sufficient pam_rootok.so 
auth required pam_wheel.so group=wheel 
# 这表明只有wheel组的成员可以使用su命令成为root用户。

配置用户最小授权

chmod 644 /etc/passwd   #/etc/passwd 必须所有用户都可读，root 用户可写 –rw-r—r—
chmod 600 /etc/shadow   #/etc/shadow 只有root 可读 –r--------
chmod 644 /etc/group    #/etc/group 须所有用户都可读，root 用户可写 –rw-r—r—

如果是有写权限，就需移去组及其它用户对/etc 的写权限（特殊情况除外）
执行命令#chmod -R go-w /etc

限制telnet服务

# 关闭telnet服务
systemctl stop xinetd
systemctl stop telnet.socket
systemctl stop system-telnet.slice

# 卸载telnet
yum remove telnet telnet-server xinetd

# 补充说明：
#安装Telnet服务并配置
yum -y install telnet telnet-server xinetd
#启动telnet服务
systemctl restart xinetd
systemctl restart telnet.socket

检查是否记录 cron 行为日志

vi /etc/rsyslog.conf
在文件中添加 cron.* /var/log/cron
修改完成后，按 Esc 键进入命令模式并输入 wq 保存修改。

检查是否启用Syslog日志审计

vi /etc/rsyslog.conf
在文件中添加 authpriv.* /var/log/secure 
# 将authpirv 设备的任何级别的信息记录到/var/log/secure 文件中，这主要是一些和认证、权限使用相关的信息。

修改服务器密码不能与旧密码相同

1. cp /etc/login.defs /etc/login.defs$(date +%F)
2. vi /etc/login.defs
PASS_MAX_DAYS   90
PASS_MIN_DAYS   0
PASS_MIN_LEN    8
PASS_WARN_AGE   30

3. cp /etc/pam.d/system-auth /etc/pam.d/system-auth$(date +%F)
4. vi  /etc/pam.d/system-auth
删除remember=5
5. echo "User@12#$" | passwd --stdin user

如果这里报错：
passwd: Authentication token manipulation error
执行：
chattr -i /etc/shadow
chattr -i /etc/passwd
然后重新执行第5条命令

6. vi /etc/login.defs 
PASS_MAX_DAYS   90
PASS_MIN_DAYS   6
PASS_MIN_LEN    8
PASS_WARN_AGE   30

修改history命令

vi /etc/profile
HISTSIZE=100   # history 命令输出的记录数
HISTFILESIZE=100 #在 .bash_history 中保存命令的记录总数
export HISTTIMEFORMAT="`who am i` `whoami` %F %T "
source /etc/profile   # 使profile文件生效

禁止匿名FTP

vi /etc/vsftpd/vsftpd.conf
anonymous_enable=NO      # 打开vsftd.conf文件，将YES改为NO