Linux HISTSIZE及身份鉴别安全设置
设置HISTSIZE
https://blog.csdn.net/shinyolive/article/details/108532970
查看历史记录数
[root@iZr0a05td1s2r0erdbwimbZ ~]# echo $HISTSIZE
1000
[root@iZr0a05td1s2r0erdbwimbZ ~]#
修改历史记录数
通过以下命令修改profile文件中HISTSIZE值,修改后保存退出
vim /etc/profile
输入以下命令,使更改内容生效
source /etc/profile
示例
[root@iZr0a05td1s2r0erdbwimbZ ~]# echo $HISTSIZE
1000
[root@iZr0a05td1s2r0erdbwimbZ ~]#
[root@iZr0a05td1s2r0erdbwimbZ ~]# vi /etc/profile
[root@iZr0a05td1s2r0erdbwimbZ ~]#
[root@iZr0a05td1s2r0erdbwimbZ ~]# source /etc/profile
[root@iZr0a05td1s2r0erdbwimbZ ~]#
[root@iZr0a05td1s2r0erdbwimbZ ~]# echo $HISTSIZE
10
[root@iZr0a05td1s2r0erdbwimbZ ~]#
身份鉴别
密码策略
https://linux.cn/article-2518-1.html
https://blog.csdn.net/inthat/article/details/117920671
禁止使用旧密码
找到同时有 “password” 和 “pam_unix.so” 字段并且附加有 “remember=5” 的那行,它表示禁止使用最近用过的5个密码(己使用过的密码会被保存在 /etc/security/opasswd 下面)
sudo vi /etc/pam.d/system-auth
#修改内容如下:
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5
设置密码复杂度
找到同时有 “password” 和 “pam_pwquality.so” 的那行
sudo vi /etc/pam.d/system-auth
#修改内容如下:
password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= minlen=12 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1
说明:
- minlen=12 密码最小长度为8个字符。 lcredit=-1 密码应包含的小写字母的至少一个
- ucredit=-1 密码应包含的大写字母至少一个 dcredit=-1 将密码包含的数字至少为一个
- ocredit=-1 设置其他符号的最小数量,例如@,#、! $%等,至少要有一个
- enforce_for_root 确保即使是root用户设置密码,也应强制执行复杂性策略。
设置登录超时时间(闲置时间)
vim /etc/profile
export TMOUT=900 # 设置闲置时间为15分钟,单位为秒;如果没有此行则直接添加进去
source /etc/profile #立即生效
设置登录失败处理策略
https://www.136.la/nginx/show-83625.html
格式
- pam_tally2.so [file=/path/to/counter] [onerr=[fail|succeed]] [magic_root] [even_deny_root] [deny=n] [lock_time=n] [unlock_time=n]
- [root_unlock_time=n] [serialize] [audit] [silent] [no_log_info]
参数说明
- file:指定统计次数用的文件,默认是/var/log/tallylog
- magic_root:如果用户uid=0,在帐户认证时调用该模块发现失败时,不计入统计
- even_deny_root:root用户一样被锁定
- deny:普通用户锁定次数
- lock_time:普通用户锁定后等待的时间
- unlock_time:普通用户锁定后解锁要等待的时间
配置生效说明
- /etc/pam.d/login中配置只在本地文本终端上做限制
- /etc/pam.d/kde在配置时在kde图形界面调用时限制
- /etc/pam.d/sshd中配置时在通过ssh连接时做限制
- /etc/pam.d/system-auth中配置凡是调用 system-auth 文件的服务,都会生效
示例
auth required pam_tally2.so deny=3 unlock_time=300 even_deny_root root_unlock_time=300
查看命令
# 查看root用户的登录失败的次数
pam_tally2 --user root
# 重置计数器,即手动解锁
pam_tally2 --user root --reset