点击上方"walkingcloud"关注,并选择"星标"公众号
1、检查SSH的MaxAuthTries是否设置
规则描述:MaxAuthTries参数指定每个连接允许的最大验证尝试次数。当登录失败次数达到设置的一半时,错误消息将被写入syslog文件详细记录登录失败。
审计描述:
检查/etc/ssh/sshd_config文件中是否存在 MaxAuthTries 参数,且值小于等于4
检查SSH的MaxAuthTries是否设置: cat /etc/ssh/sshd_config | grep -v '^\s*#' | grep MaxAuthTries
修改建议:编辑/etc/ssh/sshd_config文件将 MaxAuthTries 设置为:小于等于4,并重启服务。备注:MaxAuthTries的默认值为6
实现方法:
sed -i "s/#MaxAuthTries 6/MaxAuthTries 4/g" /etc/ssh/sshd_config
cat /etc/ssh/sshd_config | grep -v '^\s*#' | grep MaxAuthTries
cat /etc/ssh/sshd_config | grep MaxAuthTries
sed -i "s/#MaxAuthTries 6/MaxAuthTries 4/g" /etc/ssh/sshd_config
cat /etc/ssh/sshd_config | grep -v '^\s*#' | grep MaxAuthTriesservice sshd restart
MaxAuthTries要生效,必须修改SSH服务端、客户端的该项配置
ssh localhost -o NumberOfPasswordPrompts=6
//通过-o NumberOfPasswordPrompts指定1次连接可以尝试的密码,默认是3次
-o NumberOfPasswordPrompts=6即1次连接可以输入6次密码 这样就可以验证MaxAuthTries参数每个连接允许的最大验证尝试次数
2、检查SSH空闲超时间隔是否设置
规则描述:ClientAliveInterval和ClientAliveCountMax这两个选项控制ssh会话超时
ClientAliveInterval设置了ssh服务器端向其客户端发送请求消息(alive消息)的间隔时间,以检测客户端是否还存在;
ClientAliveCountMax设置了ssh服务允许客户端在接收到服务端的alive消息未响应的最大超时次数,如果客户端在最大超时次数内均未响应,ssh服务会自动终止与客户端的会话。
例如,如果ClientAliveInterval设置为15,ClientAliveCountMax设置为3,那么无应答的客户端会在45秒后被强制断开。
审计描述:检查/etc/ssh/sshd_config文件中是否存在 ClientAliveInterval 300 ClientAliveCountMax 3
修改建议:编辑/etc/ssh/sshd_config文件将ClientAliveInterval设置为:小于等于300,ClientAliveCountMax设置为:小于等于3,并重启服务。备注:ClientAliveInterval的默认值为0,ClientAliveCountMax的默认值为3
cat /etc/ssh/sshd_config | grep -v '^\s*#' | grep ClientAliveInterval
cat /etc/ssh/sshd_config | grep ClientAliveInterval
cat /etc/ssh/sshd_config | grep -v '^\s*#' | grep ClientAliveCountMax
cat /etc/ssh/sshd_config | grep ClientAliveCountMaxsed -i "s/#ClientAliveInterval 0/ClientAliveInterval 60/g" /etc/ssh/sshd_config
sed -i "s/#ClientAliveCountMax 3/ClientAliveCountMax 0/g" /etc/ssh/sshd_config
service sshd restart
为了演示方便设置成60秒就超时,实际建议设置大一点,60s秒太短
3、登陆超时时间设置
规则描述:设置定时帐户自动登出时间。
审计描述:检查/etc/profile文件中是否配置超时设置:TMOUT小于等于300.
修改建议:在/etc/profile文件中添加以下内容:TMOUT 300 检测用例信息:检查/etc/profile文件中是否存在TMOUT: cat /etc/profile | egrep -v ^\s*# | grep -i TMOUT
cat /etc/profile | egrep -v ^\s*# | grep -i TMOUTecho -e "\nTMOUT=60" >> /etc/profile
4、系统core dump状态
规则描述:系统core dump状态
审计描述:查看/etc/security/limits.conf文件中是否配置如下内容:* soft core 0、* hard core 0,查看/etc/profile文件中是否存在如下配置:ulimit -S -c 0 > /dev/null 2>&1
修改建议:在/etc/security/limits.conf文件中设置* soft core、* hard core为0,且在/etc/profile文件中注释掉ulimit -S -c 0 > /dev/null 2>&1行
检测用例信息:检查/etc/security/limits.conf文件中是否存在配置* soft core 0:
grep -v "^\s*#" /etc/security/limits.conf | egrep "*\s+soft\s+core\s+0"
检查/etc/security/limits.conf文件中是否存在配置* hard core 0:
grep -v "^\s*#" /etc/security/limits.conf | egrep "*\s+hard\s+core\s+0"
echo -e "\n* soft core 0" >> /etc/security/limits.conf
echo -e "\n* hard core 0" >> /etc/security/limits.conf
5、禁止组合键关机
规则描述:禁止Control-Alt-Delete重启动机器命令
审计描述:检查/usr/lib/systemd/system/reboot.target文件,如果该文件不存在、该文件都注释掉、该文件为空则pass,或者如果软链接文件/usr/lib/systemd/system/ctrl-alt-del.target不存在,也pass
修改建议:删掉/usr/lib/systemd/system/reboot.target文件
实现方法:
rm -rf /usr/lib/systemd/system/ctrl-alt-del.target或者systemctl mask ctrl-alt-del.target
虚拟机测试发送Ctrl+Alt+Del不会重启,已验证