安全迎检之服务器相关配置

一、配置登录失败处理策略

vi /etc/pam.d/system-auth

新增内容：

auth required pam_tally2.so deny=3 unlock_time=600 even_deny_root root_unlock_time=1200

account required pam_tally2.so

截图如下：

参数描述：
pam_tally2模块用于记录用户登录失败的次数，并在达到一定的阈值后禁止用户继续尝试登录。它是一种安全措施，可以帮助保护系统免受恶意攻击。
pam_tally2模块分为两部分，一部分是pam_tally2.so，另一部分是pam_tally2。它基于PAM模块，可用于检查和操作计数器文件。它可以显示用户登录尝试次数，单独设置计数，也可清除计数，解锁所有用户登录锁定。

#设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户deny=3#设定普通用户锁定后，多少秒后解锁unlock_time=600#该限制同时对root用户生效
even_deny_root
#设定root用户锁定后，多少秒后解锁root_unlock_time=1200

二、配置超时自动退出功能

1、修改配置文件

vi /etc/profile

2、添加超时时间

#0：登录永不超时。#只能为正整数，单位为秒，最大值为4294967295，超过最大值自动设置为最大值。
TMOUT=600

如图所示：

3、重新加载配置文件

source /etc/profile

三、linux开启日志

1、通过命令开启日志

systemctl start auditd && systemctl start rsyslog

2、配置日志保存时间
（1）打开配置文件

vi /etc/logrotate.conf

（2）设置保存时长

#时长单位为周
rotate 30

四、开启防火墙，设置开放端口，开启日志

1、开启防火墙

systemctl start firewalld

2、开放或关闭指定端口

#开放22端口
firewall-cmd --zone=public --add-port=22/tcp --permanent
#关闭22端口
firewall-cmd --zone=public --remove-port=22/tcp --permanent

3、对端口操作后，需要执行重载命令使其生效

firewall-cmd --reload

4、查看当前对外开放的端口（第三步执行后才可生效）

firewall-cmd --list-ports

5、查看防火墙当前状态

systemctl status firewalld

6、配置日志开启
（1）打开配置文件

vi /etc/firewalld/firewalld.conf

（2）添加内容

#LogDenied,默认值是 off,即关闭,改为LogDenied=all
LogDenied=all

（3）重启，查看是否生效

#加载配置项，输出：LogDenied=all
grep LogDenied= /etc/firewalld/firewalld.conf
#重启防火墙
systemctl restart firewalld.service
#查看是否生效，输出all表示已开启
firewall-cmd --get-log-denied

（4）查看拦截的日志

dmesg --| grep -i reject

五、SSH访问控制，多次失败登录即封掉IP，防止暴力破解

1、读取/var/log/secure，查找关键字 Failed

Sep 17 09:08:09 localhost sshd[29087]: Failed password for root from 13.7.3.6 port 44367 ssh2
Sep 17 09:08:20 localhost sshd[29087]: Failed password for root from 13.7.3.6 port 44367 ssh2 
Sep 17 09:10:02 localhost sshd[29223]: Failed password for root from 13.7.3.6 port 56482 ssh2 
Sep 17 09:10:14 localhost sshd[29223]: Failed password for root from 13.7.3.6 port 56482 ssh2

2、从这些行中提取IP地址，如果次数达到5次则将该IP写到 /etc/hosts.deny中

3、把始终允许的IP填入 /etc/hosts.allow ，这很重要！比如： sshd:111.53.220.202:allow

六、禁止XSHELL中SSH直联

1、支持内网直接登录：

#通过ssh指令，通过内网IP、用户名、密码可直接进入相应内网IP对应的服务器#从安全方面讲，不利于服务器的管理
ssh 192.168.0.21@qksl

2、限制内网直接连接：

#通过配置以下内容，可限制步骤1的操作
vi /etc/hosts.deny
sshd:192.168.0.*

七、Linux关闭网络服务

1、关闭网络服务

service network stop

2、telnet服务

#步骤1：查看是否具有telnet服务
telnet 127.0.0.1 22
#步骤2：如果存在，通过以下指令获取服务名称
rpm -qa | grep telnet
#步骤3：删除通过步骤2获取的服务
rpm -e telnet-0.17-38.el5

3、Rlogin服务

#步骤一：安装rlogin服务
yum -y install rsh rsh-server xinetd
#步骤二：查看是否具有相关服务
rlogin -l root 127.0.0.1
#步骤三：查看相应的服务
rpm -qa | grep rsh
rpm -qa | grep xinetd
#步骤四：删除步骤三查出的服务
rpm -e rsh-0.17-80.el7.x86_64

4、Mail服务

#步骤一：安装mail服务
yum install -y mailx
#步骤二：查看是否具有该服务
mail -s "主题"  收件地址
#步骤三：查看相应的服务
rpm -qa | grep mail
#步骤四：删除相应的服务
rpm -e *******