Linux HISTSIZE及身份鉴别安全设置

设置HISTSIZE

https://blog.csdn.net/shinyolive/article/details/108532970

查看历史记录数

[root@iZr0a05td1s2r0erdbwimbZ ~]# echo $HISTSIZE
1000
[root@iZr0a05td1s2r0erdbwimbZ ~]#

修改历史记录数

通过以下命令修改profile文件中HISTSIZE值,修改后保存退出

vim /etc/profile

输入以下命令，使更改内容生效

source /etc/profile

示例

[root@iZr0a05td1s2r0erdbwimbZ ~]# echo $HISTSIZE
1000
[root@iZr0a05td1s2r0erdbwimbZ ~]# 
[root@iZr0a05td1s2r0erdbwimbZ ~]# vi /etc/profile
[root@iZr0a05td1s2r0erdbwimbZ ~]# 
[root@iZr0a05td1s2r0erdbwimbZ ~]# source /etc/profile
[root@iZr0a05td1s2r0erdbwimbZ ~]# 
[root@iZr0a05td1s2r0erdbwimbZ ~]# echo $HISTSIZE
10
[root@iZr0a05td1s2r0erdbwimbZ ~]# 

身份鉴别

密码策略

https://linux.cn/article-2518-1.html
https://blog.csdn.net/inthat/article/details/117920671

禁止使用旧密码

找到同时有 “password” 和 “pam_unix.so” 字段并且附加有 “remember=5” 的那行，它表示禁止使用最近用过的5个密码（己使用过的密码会被保存在 /etc/security/opasswd 下面）

sudo vi /etc/pam.d/system-auth
#修改内容如下:
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5

设置密码复杂度

找到同时有 “password” 和 “pam_pwquality.so” 的那行

sudo vi /etc/pam.d/system-auth
#修改内容如下:
password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= minlen=12 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1

说明：

• minlen=12 密码最小长度为8个字符。 lcredit=-1 密码应包含的小写字母的至少一个
• ucredit=-1 密码应包含的大写字母至少一个 dcredit=-1 将密码包含的数字至少为一个
• ocredit=-1 设置其他符号的最小数量，例如@，＃、! $％等，至少要有一个
• enforce_for_root 确保即使是root用户设置密码，也应强制执行复杂性策略。

设置登录超时时间（闲置时间）

vim /etc/profile
export TMOUT=900    # 设置闲置时间为15分钟，单位为秒;如果没有此行则直接添加进去
source /etc/profile  #立即生效

设置登录失败处理策略

https://www.136.la/nginx/show-83625.html

格式

• pam_tally2.so [file=/path/to/counter] [onerr=[fail|succeed]] [magic_root] [even_deny_root] [deny=n] [lock_time=n] [unlock_time=n]
• [root_unlock_time=n] [serialize] [audit] [silent] [no_log_info]

参数说明

• file:指定统计次数用的文件,默认是/var/log/tallylog
• magic_root:如果用户uid＝0,在帐户认证时调用该模块发现失败时，不计入统计
• even_deny_root:root用户一样被锁定
• deny:普通用户锁定次数
• lock_time:普通用户锁定后等待的时间
• unlock_time:普通用户锁定后解锁要等待的时间

配置生效说明

• /etc/pam.d/login中配置只在本地文本终端上做限制
• /etc/pam.d/kde在配置时在kde图形界面调用时限制
• /etc/pam.d/sshd中配置时在通过ssh连接时做限制
• /etc/pam.d/system-auth中配置凡是调用 system-auth 文件的服务，都会生效

示例

auth required pam_tally2.so deny=3 unlock_time=300 even_deny_root root_unlock_time=300

查看命令

# 查看root用户的登录失败的次数
pam_tally2   --user root
# 重置计数器,即手动解锁
pam_tally2   --user root --reset