07-等保三级-Ubuntu 16合规基线检查

Ubuntu 16 合规基线检查 一、身份标识和鉴别 在信息安全中，身份标识和鉴别是非常重要的概念。身份标识是指用户或实体的唯一标识符，而身份鉴别是指验证用户或实体身份的过程。在 Ubuntu 16 系统中，我们可以通过多种方式来实现身份标识和鉴别。 我们可以检查空密码账户并处理，查看 /etc/passwd 文件，检查是否有重复 UID 的用户并清理。然后，我们可以安装 PAM 的 cracklib 模块，并编辑 /etc/pam.d/common-password 文件，在 password requisite pam_cracklib.so 开头的这一行配置 minclass，设置为 3 或 4，并且设置密码最小长度为 8-32 位。 此外，我们还可以在 /etc/login.defs 文件中设置密码最短修改时间和密码到期时间，并为 root 用户设置密码失效时间。我们可以编辑 /etc/pam.d/common-password 文件，在 password [success=1 default=ignore] pam_unix.so 开头的这一行增加配置 remember，设置为 5-24 之间。 二、登录失败处理 在信息安全中，登录失败处理也是非常重要的。我们可以配置登陆失败锁定策略，编辑 /etc/pam.d/common-auth 文件，在非注释行的第一行添加以下行，以限制非法登录次数和当登录连接超时自动退出。 此外，我们还可以设置系统登陆不活动连接超时退出，编辑 /etc/profile 文件，将 TMOUT 设置为 300 到 1800，即 5-30 分钟。我们可以在 /etc/ssh/sshd_config 文件中取消 MaxAuthTries 注释符号 #，设置最大密码尝试失败次数为 3-6。 三、远程管理安全 在远程管理中，我们需要采取必要措施，防止鉴别信息在网络传输过程中被窃听。我们可以编辑 /etc/ssh/sshd_config 文件，设置 Protocol 2，并执行命令 service sshd restart 重启 sshd 服务。 此外，我们还可以在 /etc/inetd.conf 和 /etc/inetd.d/* 中注释掉或删除任何以 telnet 开头的行，并在 /etc/xinetd.conf 和 /etc/xinetd.d/* 中的所有 telnet 服务上设置 disable = yes。 四、默认账户和密码管理 在系统中，默认账户和密码管理也是非常重要的。我们可以重命名或删除默认账户，修改默认账户的默认口令。我们可以编辑 /etc/ssh/sshd_config 文件，将 PermitRootLogin yes 改为 PermitRootLogin no，并执行 service sshd restart 重启 ssh 服务。 此外，我们还可以确保所有系统用户的密码都设置为复杂密码，并禁止 root 之外的系统默认帐户、数据库帐户登陆。 五、访问控制 在访问控制中，我们需要确保访问控制的粒度达到主体为用户级或进程级，客体为文件、数据库表级。我们可以执行以下命令来实现： ``` chown root:root /etc/hosts.allow chown root:root /etc/hosts.deny chmod 644 /etc/hosts.deny chmod 644 /etc/hosts.allow ``` ``` chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow chmod 0644 /etc/group chmod 0 ``` 通过以上设置，我们可以确保系统的安全性和稳定性。