Linux基本加固

LINUX禁止别人ping通服务器

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

恢复：

echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all

永久更改请在/etc/sysctl.conf中添加

net.ipv4.icmp_echo_ignore_all=1

使用iptables禁止PING

iptables -A INPUT -p tcp -s 192.168.0.1 -dport 22 -j DROP

-A是添加一个新的规则
-p是协议类型 （如icmp tcp udp等等
-s是添加规则的ip （可以理解为需要限制的ip
-dport是设置的端口
-j是该规则是通过(ACCEPT)还是禁止(DROP)

最后重启iptables生效

LINUX账号密码策略
路径 /etc/login.defs

PASS_MAX_DAYS	60
PASS_MIN_DAYS	0
PASS_MIN_LEN	8
PASS_WARN_AGE	7

要求用户每60天改变他们的密码，并且提前7天提醒密码即将到期

chage 保护密码的时效 可以防止其他人猜测密码的时间

chage [-m days,-M days,-d days,-E date,-W days,-| ] [UserName]

例子：chage -| 来查看用户帐户基本信息
chage -m 2 -M 30 -W xxx //要求用户xxx两天内不能改密码，并且口令最长存活期为30天，并且口令过期5天通知xxx

PAM策略
路径 ：
/etc/pam.d/system-auth
/etc/pam.d/login

禁止使用旧密码
password下的pam_unix.so项中，在最后加入字段 remember=5 来禁止使用最近用过的5个密码

设置最短密码长度
password下的pam_cracklib.so项中 修改字段为 password requisite pam_cracklib.so retry=3 difok=3 minlen=10
difok 这个参数设置允许新旧密码相同字符的个数 如旧密码为123456 新密码就不能超过3个字符与旧密码相同
rety 改变输入密码的次数，用户输入的密码强度不够可以重试3次
minlen 设置密码最小的长度为xxx

设置密码复杂度
同上方法在pam_crackilb.so项中 最后加入字段 ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1
ucredit 至少包含n个大写字母
lcredit 至少包含n个小写字母
dcredit 至少包含n个数字
ocredit 至少包含n个标点符号

返回上级目录，vim打开login文件
在#%PAM-1.0下添加 auth required pam_tally2.so deny=3 unlock_time=600 even_deny_root root_unlock_time=120
创建用户test后重复输错3次密码就会被锁定帐户

even_deny_root 也限制root用户；
deny 设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户
unlock_time 设定普通用户锁定后，多少时间后解锁，单位是秒；
root_unlock_time 设定root用户锁定后，多少时间后解锁，单位是秒；