cat /etc/passwdcat /etc/shadow

grep nullok /etc/pam.d/system-authlastlog

cat /etc/login.defscat /etc/pam.d/system-auth

[SysAdmin@iZb5dlyg1ebe6oZ ~]$ cat /etc/pam.d/system-authpassword    requisite     pam_pwquality.so minlen=8 dcredit=-2 ucredit=-1 lcredit=-1 ocredit=-1 try_first_pass local_users_only retry=3 enforce_for_root authtok_type=

cat /etc/pam.d/system-auth

password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5

cat /etc/login.defscat /etc/shadow

chage -l account

chage -l root

[SysAdmin@iZb5dlyg1ebe6oZ ~]$ sudo chage -l rootMinimum number of days between password change          : 5Maximum number of days between password change          : 90Number of days of warning before password expires       : 7

1）经核查，用户在登录时采用了用户名+口令的身份鉴别措施，用户通过堡垒机输入账号口令登录服务器；2）经核查用户列表，用户身份标识具有唯一性，目前用户列表root、SysAdmin、SecAdmin、AudAdmin；3）经核查用户配置信息并测试验证，不存在空口令用户；4）经核查，用户鉴别信息具有复杂度要求并定期更换，使用命令查看口令复杂度策略：cat /etc/login.defs、cat /etc/pam.d/system-auth，PASS_MAX_DAYS   90PASS_MIN_DAYS   5PASS_MIN_LEN    8PASS_WARN_AGE   7     用户口令8位，采用大小写字母、数字和特殊字符组合，有效期为90天。查询限制口令的重复使用次数：cat /etc/pam.d/system-auth限制重复使用次数为5次。查看系统账户的有效期：cat /etc/login.def、cat /etc/shadow，或者查看每个账户的状态：chage -l account，如：chage -l root两次改变密码之间相距的最小天数    ：5两次改变密码之间相距的最大天数    ：90在密码过期之前警告的天数  ：7

cat /etc/pam.d/system-authcat /etc/pam.d/password-authcat /etc/pam.d/sshd

auth required pam_tally2.so onerr=fail deny=5 unlock_time=600 even_deny_root root_unlock_time=600

cat /etc/ssh/sshd_config | grep MaxAuthTries

cat /etc/profile

export TMOUT=900readonly TMOUT

echo $TIMEOUTecho $TMOUT

cat /etc/ssh/sshd_config | grep ClientAliveInterval

1）经核查，配置并启用登录失败处理功能，查看登录失败处理功能相关参数，cat /etc/pam.d/system-auth 文件中存在“auth required pam_tally2.so onerr=fail deny=5 unlock_time=600 even_deny_root root_unlock_time=600”；2）经核查，配置并启用了限制非法登录功能，所有用户登录失败5次锁定600秒；3）经核查，配置并启用登录连接超时及自动退出功能，本地登录超时时间900秒，远程登录超时时间300秒。

ps -ef | grep sshps -ef | grep telnet

经核查，用户通过堡垒机输入账号密码通过SSH协议远程登录服务器，可以防止鉴别信息在网络传输过程中被窃听。

经核查，用户在登录操作系统的过程中只使用了口令鉴别技术，未采用动态口令、数字证书、生物技术或设备指纹等鉴别技术对用户身份进行鉴别。

#!/bin/bash
#******************************************************************# 作者:          利刃信安攻防实验室# 微信:          Mannix6# 更新时间:      2023.4# 版本:          v1.0## 描述:          网络安全等级保护安全基线加固脚本，兼容Red-Hat、CentOS。## 使用方法：     建议在root权限下将本脚本导入/tmp目录下执行。#               sh cybersecurity_enhance.sh## 更新记录：#   v1.0#       1) 要求用户执行脚本通过useradd添加账号#       2) 确保每个用户的home目录权限设置为750#       3) 禁止root账户通过SSH直接登录，需要用户提前创建其他管理账号#******************************************************************
check_passwd() {    dcredit=0    lcredit=0    ucredit=0    ocredit=0    class=0    user=$1    passwd=$2
    num=${#passwd}    [ ${num} -lt 8 ] && return 1    [[ ${passwd} =~ ${user} ]] && return 1
    ((num--))    for i in $(seq 0 ${num})    do        ch=${passwd:i:1}        case $ch in            [0-9])                ((dcredit++))                [ ${dcredit} -eq 1 ] && ((class++))                ;;            [a-z])                ((lcredit++))                [ ${lcredit} -eq 1 ] && ((class++))                ;;            [A-Z])                ((ucredit++))                [ ${ucredit} -eq 1 ] && ((class++))                ;;            *)                ((ocredit++))                [ ${ocredit} -eq 1 ] && ((class++))        esac    done    [ ${class} -ge 3 ] && return 0    return 1}
# 1. 要求用户执行脚本通过useradd添加账号echo -e "确保管理员账号通过提权方式管理系统，禁止直接通过root登录管理，因此需要用户手动创建一个管理员账号。"echo -e "注意账号密码需要满足复杂度要求: "echo -e "  1.长度不小于8位"echo -e "  2.至少包含3类字符（大写字母、小写字母、特殊符号、数字）"echo -e "  3.不得包含用户名"
read -p "请输入要创建的管理员用户：" useruseradd ${user}until [[ $? -eq 0 ]]do    echo "无效的管理员用户名, 无法执行useradd命令"    read -p "请重新输入要创建的管理员用户: " user    useradd ${user}done
rc=1echo -e "请输入管理员用户${user}的密码:"until [ ${rc} -eq 0 ]do    read -s passwd    nullbuf=$(check_passwd ${user} ${passwd})    rc=$?    if [ ${rc} -eq 1 ]; then        echo "密码复杂度不满足要求,请重新输入:"    else        echo "请再次确认密码:"        read -s confirm_passwd        if [ "${passwd}" != "${confirm_passwd}" ]; then            echo "两次输入密码不一致，请重新输入:"            rc=1        else            echo "${passwd}" | passwd --stdin ${user} > /dev/null            if [ $? -ne 0 ]; then                echo "密码复杂度不满足要求,请重新输入:"                rc=1            fi        fi    fidone
# 用户新添加的管理员账号，加入wheel组, 支持使用suusermod -G wheel ${user}
semode=$(sestatus |grep "Current mode:" |awk -F: '{print $2}'|tr -d ' ')[[ $semode == "enforcing" ]] && setenforce 0
# 修改账号的最大口令过期时间、最小修改周期chage --maxdays 90 ${user}chage --mindays 7 ${user}
[[ $semode == "enforcing" ]] && setenforce 1
# 2. 确保每个用户的home目录权限设置为750chmod 750 /home/*
# 3. 禁止root账户通过SSH直接登录，需要用户提前创建其他管理账号# var=$(sshd -T -C user=root -C addr=localhost|grep -iE "\s*permitrootlogin\s+([^#]+,)?yes\b")# if [ x"$var" != x"" ]; thenline=($(cat /etc/ssh/sshd_config | awk '{if($1 == "PermitRootLogin")print NR}'))PermitRootLogin="PermitRootLogin no"
if [ -n "${line}" ]; then   sed -i "${line} c ${PermitRootLogin}" /etc/ssh/sshd_configelse   echo ${PermitRootLogin} >> /etc/ssh/sshd_configfisystemctl restart sshd# fi
echo -e "\n\033[31;49;1m root账号已经被禁止登录系统，请使用新创建的管理员账号${user}登录并使用su或sudo命令提权管理系统。\033[39;49;0m\n"
echo -e "\033[32;49;1m 加固完成，下面部分加固项需要您根据实际部署情况选择手动修改配置加固。\033[39;49;0m"echo -e "------------------------------------------------------------------------------------"echo -e "等保要求：“应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制”。"echo -e "\n1、应当配置SSH服务侦听IP地址，请根据实际部署情况选择性配置，如果只有1个网卡无需配置。"echo -e "\t修改/etc/ssh/sshd_config文件，在ListenAddress字段后设置相应的IP地址，如果有多个可以设置多行，例如："echo -e "\tListenAddress <ip addr 1>\n\tListenAddress <ip addr 2>"echo -e "2、应当配置认证黑白名单，请根据实际部署情况选择性配置，如果只有1个账号可以登录可以忽略本项。"echo -e "\t修改/etc/ssh/sshd_config文件，添加相关Allow或Deny字段，可以任意组合，例如："echo -e "\tAllowUsers <user1>\n\tAllowGroups <group1>\n\tDenyUsers <user2>\n\tDenyGroups <group2>"

cat /etc/passwd

ls -l /etc/passwd /etc/shadow /etc/sudoers /etc/group /etc/gshadow /etc/profile /etc/crontab /etc/securetty /etc/ssh/ssh_config /etc/ssh/sshd_config

/etc/passwd 644/etc/shadow 000/etc/sudoers 440/etc/group 644/etc/gshadow 000/etc/profile 644/etc/crontab 644/etc/securetty 600/etc/ssh/ssh_config 644/etc/ssh/sshd_config 600

1）经核查，为用户分配了账户和权限，目前系统内账号包括超级管理员root、系统管理员SysAdmin、安全管理员SecAdmin、审计管理员AudAdmin;2）经核查，不存在匿名，默认用户只允许超级管理员可以登录。/etc/group权限644，/etc/passwd权限为644，/etc/shadow权限为000，/etc/profile权限为644，/etc/crontab权限为644，/etc/ssh/sshd_config权限为400。

cat /etc/passwdcat /etc/shadow

bin、daemon、shutdown、halt、sync、adm、lp、news、uucp、operator、games、gopher

groupdel groupname：adm、lp、news、uucp、games、dip、pppusers、popusers、slipusers

PermitRootLogin no

cat /etc/ssh/sshd_config | grep Root

/etc/ssh/sshd_config

PermitRootLogin no

cat /etc/ssh/sshd_configcat /etc/ssh/sshd_config | grep Root
PermitRootLogin no

经核查，其他默认用户均已禁用，默认账户超级管理员root的默认口令已修改。查询配置文件/etc/ssh/sshd_config，SSH 远程管理 PermitRootLogin 状态为no，禁止root用户远程登录。

经核查，系统目前只启用root、SysAdmin、SecAdmin、AudAdmin，不存在多余或过期账户,管理员用户与账户之间是否一一对应。

1）经核查，系统进行角色划分，分为超级管理员、系统管理员、安全管理员、审计管理员;2）经核查，管理用户的权限已经进行分离;3）经核查，管理用户权限为其工作任务所需的最小权限。

操作系统的访问控制策略应由授权主体(例如安全管理员)进行配置，非授权主体不得更改访问控制策略。访问控制策略规定了操作系统用户对操作系统资源(例如文件和目录)具有哪些权限、能进行哪些操作。通过在操作系统中配置访问控制策略，可以实现对操作系统各用户权限的限制。

1）经核查，系统由授权主体安全管理员SecAdmin负责配置访问控制策略；2）经核查，授权主体安全管理员SecAdmin依据安全策略配置了主体对客体的访问规则并统一管理；3）经测试，系统管理员SysAdmin和审计管理员AudAdmin不可越权访问。

经核查，访问控制策略的控制粒度达到主体为用户级或进程级,客体为文件、数据库表、记录或字段级。查看cat /etc/login.defs中的Umask为077。

敏感标记是强制访问控制的依据，主体和客体都有，存在形式多样，既可能是整型数字，也可能是字母，总之，它表示主体和客体的安全级别。敏感标记由强认证的安全管理员设置。安全管理员通过对重要信息资源设置敏感标记来决定主体以何种权限对客体进行操作，实现强制访问控制。在操作系统能够对信息资源设置敏感标记的前提下，应严格按照安全策略控制用户对相关资源的操作。

经核查，系统未对主体、客体设置安全标记。

systemctl is-enabled auditd
Syslog and audit status
systemctl status auditdsystemctl status rsyslog
service auditd statusservice rsyslog status

grep "^\s*linux" /boot/grub2/grub.cfg

cat /etc/audit/audit.rules

tail -20 /var/log/audit/audit.log

ausearch -ts today

-w /etc/crontab -p rwxa -k crontab-w /etc/passwd -p rwxa -k passwd-w /etc/shadow -p rwxa -k shadow-w /etc/ssh/sshd_config -p rwxa -k ssh-w /etc/profile -p rwxa -k profile

-w /etc/at.allow-w /etc/at.deny
-w /etc/inittab -p rwxa-w /etc/init.d/-w /etc/init.d/auditd -p rwxa
-w /etc/cron.d/ -p rwxa-w /etc/cron.daily/ -p rwxa-w /etc/cron.hourly/ -p rwxa-w /etc/cron.monthly/ -p rwxa-w /etc/cron.weekly/ -p rwxa-w /etc/crontab -p rwxa
-w /etc/group -p rwxa-w /etc/passwd -p rwxa-w /etc/shadow-w /etc/sudoers -p rwxa
-w /etc/hosts -p rwxa-w /etc/sysconfig/-w /etc/sysctl.conf -p rwxa
-w /etc/modprobe.d/
-w /etc/aliases -p rwxa
-w /etc/bashrc -p rwxa-w /etc/profile -p rwxa-w /etc/profile.d/-w /var/log/lastlog-w /var/log/yum.log
-w /etc/issue -p rwxa-w /etc/issue.net -p rwxa
-w /usr/bin/ -p rwxa-w /usr/sbin/ -p rwxa-w /bin -p rwxa-w /etc/ssh/sshd_config

# This file contains the auditctl rules that are loaded# whenever the audit daemon is started via the initscripts.# The rules are simply the parameters that would be passed# to auditctl.
# First rule - delete all-D
# Increase the buffers to survive stress events.# Make this bigger for busy systems-b 1024
# Feel free to add below this line. See auditctl man page-a exit,alrwxays -F arch=b64 -S umask -S chown -S chmod-a exit,alrwxays -F arch=b64 -S unlink -S rmdir-a exit,alrwxays -F arch=b64 -S setrlimit-a exit,alrwxays -F arch=b64 -S setuid -S setreuid-a exit,alrwxays -F arch=b64 -S setgid -S setregid-a exit,alrwxays -F arch=b64 -S sethostname -S setdomainname-a exit,alrwxays -F arch=b64 -S adjtimex -S settimeofday-a exit,alrwxays -F arch=b64 -S mount -S _sysctl
-w /etc/group -p rwxa-w /etc/passwd -p rwxa-w /etc/shadow -p rwxa-w /etc/sudoers -p rwxa
-w /etc/ssh/sshd_config
-w /etc/bashrc -p rwxa-w /etc/profile -p rwxa-w /etc/profile.d/-w /etc/aliases -p rwxa-w /etc/sysctl.conf -p rwxa
-w /var/log/lastlog# Disable adding any additional rules - note that adding *new* rules will require a reboot#-e 2

aureport --start this-weekaureport --useraureport --fileaureport --summary

ausearch -f /etc/passwd -x rm

auditdauditctl -R /etc/audit/audit.rulescat /var/log/audit/audit.log

ls -l /var/log/secure /var/log/audit/audit.log /var/log/cron /var/log/lastlog /var/log/messages /etc/rsyslog.conf /etc/audit/auditd.conf

1）经核查，系统开启了安全审计功能，系统审核策略：rsyslog.service和auditd.service均为active (running) ，可保证6个月留存期；2）经核查，部署了外部Syslog日志服务器收集审计日志，审计范围覆盖到每个用户;3）经核查，部署了外部Syslog日志服务器收集审计日志，对重要的用户行为和重要安全事件进行审计。

经核查，Linux日志包括类型、信息、pid、uid、auid、ses、具体信息、用户名、地址、终端、结果。同时部署外部Syslog日志服务器收集审计日志，审计记录信息包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。

grep max_log_file_action /etc/audit/auditd.conf

1）经核查，采取了保护措施对审计记录进行保护，日志数据本地保存，覆盖周期不小于6个月;2）经核查，部署了外部Syslog日志服务器收集审计日志，对审计记录进行定期备份,每6个月打包一次审计记录。

经核查，通过系统管理员SysAdmin和安全管理员SecAdmin无法中断审计进程。同时部署了外部Syslog日志服务器收集审计日志，对审计记录进行定期备份,每6个月打包一次审计记录。

chkconfig --list

Chargen services、daytime services、Discard wervices、Echo services、Time services

systemctl | grep running

yum list installed

1）经核查，服务器遵循最小安装原则;2）经核查，服务器未安装非必要的组件和应用程序。

systemctl -a

CUPS、Rsh services、Talk、Telnet、tftp、、IMAP、POP3、SNMP、DHCP、rsync、NIS

systemctl | grep runningnetstat -ntlpnetstat -ntlpu

21、23
1. Telnet服务（默认端口23）：telnet是一个不安全的网络协议，会以明文形式传输用户名和密码。建议关闭telnet服务，使用更安全的SSH服务。
2. FTP服务（默认端口21）：FTP也是一个不安全的协议，密码以明文形式传输。建议关闭FTP服务，并使用更安全的SCP或SFTP替代。

1433、1521、3306、6379、5000、5432、11211、27017

1）经核查，服务器未开启非必要的系统服务和默认共享;2）经核查，服务器不存在非必要的高危端口，仅开启SSH协议（22端口）、https服务（443端口）。

hosts.allow/hosts.deny（cat /etc/hosts.allow、cat /etc/hosts.deny）

cat /etc/hosts.allowcat /etc/hosts.deny
cat /etc/hosts.allow | grep -v ^#cat /etc/hosts.deny | grep -v ^#

[root@localhost ~]# cat /etc/hosts.allowsshd:127.0.0.1:allow[root@localhost ~]# cat /etc/hosts.denysshd:ALL[root@localhost ~]# service sshd restart #重启服务使配置生效

经核查，服务器通过堡垒机输入账号密码登录，堡垒机限制终端接入范围，仅来自ip 111.201.145.182 的终端可以接入堡垒机从而登录服务器。同时，服务器通过/etc/hosts.allow和/etc/hosts.deny进行限制，仅允许ip 111.201.145.182 的终端远程登录。

该测评点一般在业务应用系统、中间件和系统管理软件核查，此项调整为不适用。

1）定期对操作系统进行漏洞扫描，对扫描发现的漏洞进行评估和补丁更新测试，及时进行补丁更新；2）本次测评通过漏洞扫描、渗透测试等方式未发现高风险漏洞；3）对操作系统补丁进行测试和安装，补丁情况为较新稳定版本。

1）经访谈安全管理员并核查，服务器部署阿里云安骑士主机入侵检测系统，网络部署阿里巴巴安全组件和阿里云助手；2）经核查，在发生严重入侵事件时阿里云安骑士主机入侵检测系统可以提供报警。

1）经核查，服务器安装了终端安全EDR，定期进行升级和更新恶意代码库。2）经核查，终端安全EDR采用主动免疫验证技术即使识别入侵和病毒行为；3）经核查，当识别入侵和病毒行为时终端安全EDR可以将其有效阻断。

1）经核查，未基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证;2）经核查，未在应用程序的关键执行环节进行动态可信验证。