V10 桌面版、服务器版系统加固
一、 文档说明
本文档中涉及的加固方法主要包括:密码策略配置、防火墙规 则配置、禁用高风险服务等。
二、 V10 桌面版系统加固
2.1 密码策略配置
密码策略包括密码老化控制策略和密码复杂度策略。密码老化 控制策略需要配置/etc/login.defs 文件;密码复杂度策略需要配 置/etc/pam.d/common-password 文件,在 V10 系统中还可以通过修 改/etc/security/pwquality.conf 文件对密码复杂度进行限制。
/etc/login.defs 是设置用户帐号限制的文件,文件中的配置 对 root 用户无效,该文件用于设定在用户新创建的时候对应的目 录、日志等创建的位置、权限等。如果/etc/shadow 文件里有相同 的选项,则以/etc/shadow 里的设置为准,/etc/shadow 的配置优先 级高于/etc/login.defs。
/etc/pam.d/common-password 的优先级高于 pwquality.conf
文件,在/etc/pam.d/common-password 中没有限制的参数才会再到
pwquality.conf 文件中进行匹配。
/etc/pam.d/common-password 文件可用于所有已经存在的及未 来创建的帐号的密码复杂度限制,在该文件中用到 pam_pwquality
模块,在 V4-SP4 和 V10 版本中开始使用 pam_pwquality 模块取代
pam_cracklib 模块,V4-SP1、V4-SP2、V4-SP3 系统中支持使用
pam_cracklib 模块,但是需要安装相关软件包。
密码老化控制策略配置:
过滤掉注释和空行后/etc/login.defs 内容如下图:
/etc/login.defs 文件可以对新创建的用户的邮件目录、日志 启停、终端权限、系统掩码、密码老化控制、UID 和 GID 的最值等 模块进行限制,本文中只关注密码老化控制部分,在密码老化控制 部分有 3 个常用参数可以进行配置,分别是:
PASS_MAX_DAYS #密码最长使用天数
PASS_MIN_DAYS #密码最小使用天数
PASS_WARN_AGE #密码过期时提前告警天数
这些参数在 V10 桌面系统版中是默认参数值如下:
加固现场如果需要修改相关参数直接将参数值进行修改即可, 参数值是 0 时表示不限制。例如要求“最长使用天数 30 天,最小使 用天数 15 天,过期前 7 天进行提示”可以将参数修改为:
密码复杂度策略配置:
过滤掉注释和空行后/etc/pam.d/common-password 文件内容默 认如下:
/etc/pam.d/common-password 文件中只设置了 retry=3 这个参 数,意思是输入密码时可以尝试 3 次,超过 3 次将中止此次密码输 入,其他参数将全部从 pwquality.conf 文件中读取。
pwquality.conf 文件中所有内容默认注释,注释的参数值是默 认值;在/etc/pam.d/common-password 文件中未进行相关参数的设 置时,pwquality.conf 文件中以键值对方式存在的参数默认生效。 下面看一下 pwquality.conf 文件中都有哪些参数:
对上图中的参数进行说明:
# difok = 0 #新密码与旧密码至少多少个字符数不同,此参 数生效需要安装 libpam-cracklib 软件包,并且对使用 root 权限修 改密码时无效。
# minlen = 6 #密码最小长度,默认值最少 6 位,参数值小于 6 时使用默认值
# dcredit = 0 #数字字符个数,默认不校验,至少 1 个数字字 符参数用“-1”表示
# ucredit = 0 #大写字母个数,默认不校验,至少一个大写字 符参数用“-1”表示
# lcredit = 0 #小写字母个数,默认不校验,至少一个小写字 符参数用“-1”表示
# ocredit = 0 #特殊字符个数,默认不校验,至少一个特殊字 符参数用“-1”表示
# minclass = 2 #在数字、大写字母、小写字母、特殊字符中至 少 2 种进行组合
# maxrepeat = 0 #最多重复字符个数
# maxclassrepeat = 0 #新密码中同一类允许的最大连续字符数 个数
# gecoscheck = 0 #是否检查用户的 passwd 条目 GECOS 字符串 中的单词
# dictcheck = 0 #密码校验,开启后新密码不能在 cracklib 字 典中出现
# usercheck = 0 #是否校验密码中以某种形式包含用户名
# enforcing = 1 #由 PAM 模块和其他模块强制执行校验
# dictpath = #cracklib 字典存储路径,默认没有指定
# retry = 1 #密码输入时尝试次数 除了上述以键值对方式存在的参数还要一些其他参数: # enforce_for_root #对 root 用户密码强制检查
# local_users_only #跳过校验/etc/passwd 中不存在的用户的 密码
# palindrome #检查新密码是否为回文
# no_similar_check #是否检查新密码与旧密码相同,对使用
root 权限修改密码无效 上面的 4 个参数在安全加固时一般不用,而以键值对方式存在的参 数不仅可以在 pwquality.conf 文件中直接更改参数值还可以将对应 参数写到/etc/pam.d/common-password 文件中 pam_pwquality.so
模块的后面,多个参数使用空格分开即可。pwquality.conf 文件中 参数值是 0 时代表不开启或不限制。 以加固现场要求密码长度最少 8 位、最少 3 种字符自由组合、 不允许密码中包含用户名、最多尝试输入 3 次密码为例子修改
/etc/pam.d/common-password 文件:
修改完参数后修改密码验证参数是否生效:
在修改密码时对不满足复杂度要求的密码成功进行限制。 也可以将“minlen=8 minclass=3 usercheck=1 retry=3”四个 参数在 pwquality.conf 文件中进行修改以满足例子中的需求:
修改完参数后修改密码验证参数是否生效:
在修改密码时对不满足复杂度要求的密码成功进行限制。
提示: 在现场对密码复杂度加固后,在允许的情况下建议修改一次root 密码,以防止后续密码不满足复杂度导致无法正常使用的情 况。
2.2 防火墙规则配置
防火墙配置主要是根据现场要求配置防火墙规则对源 IP、源端 口、目的 IP、目的端口、协议五元组中的信息进行限制,在 V10 桌 面系统中默认开启 ufw 防火墙服务,并且可以使用 ufw 命令进行防 火墙规则配置。具体的 ufw 命令配置防火墙的方法可以参考文档
《Kylin_UFW 防火墙操作文档-M20210823.pdf》。
2.3 禁用高风险服务
禁用高风险服务是指停止系统中存在风险的服务并且关闭相关 服务开机自启达到禁止高风险服务对外提供服务的目的。例如禁用
SSH 服务、禁用 SAMBA 服务、禁用 DNS 服务等,具体要禁用什么服 务可以根据用户要求决定。以禁用 SSH 服务为例:
查看 SSH 服务状态:systemctl status ssh
停止 SSH 服务:systemctl stop ssh
关闭 SSH 服务开机自启:systemctl disable ssh
禁用服务的方法是通用的,只需要确定好禁用服务的名称按照 上边的三个步骤进行禁用即可。
三、 V10 服务器版系统加固
3.1 密码策略配置
V10 服务器版密码策略配置也分为密码老化控制策略和密码复 杂度策略,密码老化控制策略修改/etc/login.defs,密码复杂度策 略修改/etc/pam.d/system-auth 或者 pwquality.conf 文件,文件 所在路径是/etc/security/下。
V10 桌面版与 V10 服务器版修改密码策略的方法区别不大,主 要就是文件名称和文件默认内容存在差异,但是修改方法基本一 致,所以 V10 服务器版中具体修改方法不再赘述,只将 V10 服务器 版系统有差异的地方进行说明。
V10 服务器版的/etc/login.defs 文件中与密码老化相关的参数 默认设置了四个:
默认参数比 V10 桌面系统多了一个 PASS_MIN_LEN, 代表密码最小长 度(V10 桌面系统中也可以加限制密码长度的参数)而在 V10 服务 器版的 pwquality.conf 中也限制了密码的最小长度,在login.defs 和 pwquality.conf 文件同时限制了密码最小长度时是 以 pwquality.conf 文件中的为准,也就是 pwquality.conf 的优先 级高于 login.defs 的优先级。在 V10 桌面和 V10 服务器系统中密码 复杂度的优先级顺序是:/etc/pam.d/目录下的配置文件 >
pwquality.conf 文件 > login.defs 文件。 综上可知 login.defs 文件中的 PASS_MIN_LEN 参数并不会生 效,有些漏扫软件会根据配置文件中某些参数值是否存在来判断是 否符合安全标准,所以如果遇到漏扫软件误报没有 PASS_MIN_LEN 等 参数时可以手动将参数添加到配置文件中。
V10 服务器中 pwquality.conf 文件中的参数与 V10 桌面系统中 的参数含义同,/etc/pam.d/system-auth 文件与 V10 桌面系统/etc/pam.d/common-password 文件配置参数的方法相同,可以参考上文在 V10 桌面系统中的配置方法,此处不再赘述。还是以要求 “密码最少 8 位、可重试 3 次、最少 3 种字符组合、不允许包含用 户名”为例修改配置文件。先看一下 pam_pwquality.so 默认配置的 参数:
按照例子中的要求进行修改:
验证配置是否生效:
可以成功拦截不满足密码复杂度的密码说明配置生效。
提示: 在现场对密码复杂度加固后,在允许的情况下建议修改一次root 密码,以防止后续密码不满足复杂度导致无法正常使用的情 况。
3.2 防火墙规则配置
在 V10 服务器版系统中系统默认启动 firewalld 防火墙服务, 如果没有特殊要求可以直接iptables 命令进行防火墙规则的配 置,iptables 命令的使用方法可以参考文档《Kylin_Iptables 防火 墙配置方法-M20210820.pdf》。
3.3 禁用高风险服务
禁用服务方法参考 V10 桌面版或参考附录 1 中的服务启停命 令。
四、 其他
安全加固时除了上文说的密码策略加固、防火墙加固、禁用高 风险服务加固还有一些普通的配置加固,可以参考下面的命令进行 加固:
SSH 服务不允许 root 用户远程登陆:(桌面、服务器通用)
sed -i.bak 's/^PermitRootLogin yes$/PermitRootLogin no/' /etc/ssh/sshd_config
SSH 服务黑、白名单:(V10 桌面版):
SSH 服务黑、白名单:(V10 服务器版)
在/etc/ssh/sshd_config 文件中加入下图红框中的信息,代表 禁止来自 192.168.253.218 地址 root 用户登陆,修改配置后需要重 启 SSH 服务。用户名和 IP 地址可以用*代表所有,但是格式一定要 符合:用户名@IP 地址,限制多个使用空格分隔。
白名单使用 AllowUsers 参数,黑名单使用 DenyUsers 参数。AllowUsers 优先级高于 DenyUsers。
关键目录权限需要设置到最小可用:(桌面、服务器通用)
上面的命令只是示例,具体权限要求根据现场要求设定。
系统默认掩码值配置:
echo "umask 077" >> /etc/bash.bashrc (仅桌面系统可用)
echo "umask 077" >> /etc/profile (桌面、服务器系统通用)
具体掩码值根据现场要求设定即可。
系统默认掩码值配置:(桌面、服务器通用)
echo "export TMOUT=600" >> /etc/profile
禁用 ipv4 转发功能:
方法 1: sysctl -w net.ipv4.ip_forward="0"
方法 2: echo 0 > /proc/sys/net/ipv4/ip_forward
如果需要开机默认设置该参数可以将命令写到/etc/rc.local文件中。
由于每个加固点位的要求不尽相同,本文档不再一一例举,可 以参考附录 2 中的 V10 加固脚本进行加固验证。
附录 1: 服务启停相关命令
1.服务状态查看:systemctl status 服务名
2.停止服务:systemctl stop 服务名
3.启动服务:systemctl start 服务名
4.重启服务:systemctl restart 服务名
5.查看服务是否开机启动:systemctl is-enabled 服务名
6.关闭服务开机启动:systemctl disable 服务名
7.启用服务开机启动:systemctl enable 服务名