4.2.1、服务器安全

Linux 主机

• 密码策略未对root账户生效

  # 编辑 /etc/pam.d/system-auth 文件
  vi /etc/pam.d/system-auth
  # 在/etc/pam.d/system-auth文件配置如下参数值：（ password requisite pam_pwquality.so try_first_pass retry=3 dcredit=-1 lcredit=-1 ucredit=-1 ocredit=-1 minlen=8）后追加参数：enforce_for_root
  password    requisite     pam_pwquality.so try_first_pass retry=3 dcredit=-1 lcredit=-1 ucredit=-1 ocredit=-1 minlen=8 enforce_for_root

• 服务器未配置密码有效期策略

  # 编辑 /etc/login.defs 文件
  vi /etc/login.defs
  #配置 PASS MAX_DAYS 的值为90
  # Password aging controls:
  #
  #       PASS_MAX_DAYS   Maximum number of days a password may be used.
  #       PASS_MIN_DAYS   Minimum number of days allowed between password changes.
  #       PASS_MIN_LEN    Minimum acceptable password length.
  #       PASS_WARN_AGE   Number of days warning given before a password expires.
  #
  PASS_MAX_DAYS   90
  PASS_MIN_DAYS   0
  PASS_MIN_LEN    5
  PASS_WARN_AGE   7

• 未配置登录失败锁定策略

  # 建议在/etc/pam.d/sshd或/etc/pam.d/password-auth文件中配置（如：auth required pam_tally2.so deny=5，unlock_time=600，even_deny_root unlock_time=600）
  #vi /etc/pam.d/sshd
  vi /etc/pam.d/password-auth
  auth        required      pam_tally2.so deny=5，unlock_time=600，even_deny_root unlock_time=600

• 当前服务器仅存在root账户，未实现管理用户的权限分离
  建至少一个不同权限的账户实现管理用户的权限分离。管理员创建一个具有必要权限的管理账户，避免直接使用root账户进行日常管理操作

  1、打开终端（Terminal）。
  2、以root用户身份登录（或使用sudo命令）：输入`su`，然后输入root用户的密码。
  3、输入以下命令来创建新用户（以“admin”为例）：
  useradd -m admin
  `-m`参数会自动创建一个与用户名相同的目录作为用户的主目录。
  4、设置新用户的密码，输入以下命令：
  passwd admin
  5、然后按照提示输入新密码，并确认密码。
  6、将新用户添加到sudo组，以便拥有管理员权限，输入以下命令：
  usermod -aG sudo admin
  7、这将把新用户“admin”添加到sudo组中。
  8、退出root用户，输入以下命令：
  exit
  9、现在，你可以使用新的管理员账户登录系统了。

• 未对服务器的日志进行定期备份
• 网马脚本

  1、解压缩下载的脚本包,将目录下得所有文件拷贝到被检测主机
  2、终端下执行如下命令："bash check_system_linux_linux.sh IP"
  3、脚本执行完成后会在当前目录生成一个result文件夹，将该文件夹反馈给我们，做完一个系统以系统命名文件夹。
  4、注意一定不要修改离线工具生成文件的文件名.
  > 说明：IP替换为检查主机的IP
  shell> bash check_system_linux_linux.sh 192.168.x.x
  tar -zxvf linuxwsscan.tar.gz
  cd linuxwsscan
  ./wsclient /home
  ./wsclient /opt
  ./wsclient /usr
  ./wsclient /tmp

中间件

• 中间件未开启全面的安全审计功能
  建议中间件未开启全面的安全审计功能，如在nginx所在操作系统的/etc/audit/rules.d/audit.rules文件配置如下参数：（-w nginx安装路径 -p rwxa）。

  vi /etc/audit/rules.d/audit.rules
  添加如下
  -w <nginx安装路径> -p rwxa
  -W /www/server/nginx -p rwxa

• 未对Nginx的日志记录定期进行备份

  # 宝塔Linux面板 安装的Nginx 日志目录 /www/server/nginx/logs/ 和 /www/wwwlogs
  建议将中间件的日志文件（nginx路径下logs文件夹内的文件）通过脚本定期备份到素质评价存储服务器（192.168.39.190）或其他服务器（异机），并提供脚本配置、Crontab 配置（more /etc/crontab）和已备份的日志文件截图。
  # 查看 crontab 命令
  more /etc/crontab
  0 0 0 * * ?