密碼策略不設(shè)防？等保 2.0 下，這些 Linux 加固配置你必須知道！
隨著網(wǎng)絡(luò)安全威脅不斷增加，確保密碼安全對(duì)于保護(hù)系統(tǒng)免受攻擊至關(guān)重要。然而，使用簡(jiǎn)單密碼、默認(rèn)密碼或長(zhǎng)期不更換密碼的情況仍然普遍存在，這給了黑客可乘之機(jī)。
為解決這些問(wèn)題，《等級(jí)保護(hù)2.0》標(biāo)準(zhǔn)對(duì)密碼復(fù)雜度、有效期及定期更換提出了明確要求。不符合這些規(guī)定的系統(tǒng)需改進(jìn)以達(dá)到安全標(biāo)準(zhǔn)。
本文將指導(dǎo)您如何在各種Linux操作系統(tǒng)上根據(jù)《等級(jí)保護(hù)2.0》設(shè)置和管理密碼策略，既增強(qiáng)安全性也符合最新合規(guī)需求。希望這對(duì)您有所幫助！
一、等保2.0對(duì)密碼策略的“硬性標(biāo)準(zhǔn)”
控制要素 | 最低要求（建議配置） |
密碼最小長(zhǎng)度 | 不少于 8 位（推薦 12 位及以上） |
字符組成要求 | 至少包含大小寫字母、數(shù)字、特殊字符三類中的兩類以上 |
密碼有效期 | 一般不超過(guò) 90 天 |
禁止重復(fù)使用歷史密碼 | 推薦至少記住最近 5 次密碼 |
連續(xù)登錄失敗鎖定機(jī)制 | 限制輸錯(cuò)次數(shù)，鎖定時(shí)間適當(dāng) |
等保不是“建議”，是“必須”！而密碼策略，是合規(guī)檢查中的重點(diǎn)項(xiàng)目。
二、主流Linux系統(tǒng)密碼策略配置全攻略
以下操作適用于CentOS、RHEL、Ubuntu、Debian、openSUSE 等主流發(fā)行版。
第一步：安裝依賴模塊
pam_pwquality是密碼復(fù)雜度策略的核心模塊，如果未安裝，需要先進(jìn)行安裝：
CentOS / RHEL / Rocky Linux：
sudo yum install-y pam pwqualityUbuntu / Debian：
sudo apt install-y libpam-pwquality檢查是否已安裝可使用：
find / -name pam_pwquality.so 2>/dev/null第二步：設(shè)置密碼復(fù)雜度策略
編輯配置文件：
sudo vi /etc/security/pwquality.conf推薦配置如下：
minlen=12 # 最小密碼長(zhǎng)度
ucredit=-1 # 至少一個(gè)大寫字母
lcredit=-1 # 至少一個(gè)小寫字母
dcredit=-1 # 至少一個(gè)數(shù)字
ocredit=-1 # 至少一個(gè)特殊字符
retry=3 # 密碼輸入錯(cuò)誤允許重試次數(shù)所有負(fù)數(shù)表示必須包，值為-1表示必須包含1個(gè)。
第三步：配置PAM模塊以啟用密碼策略
系統(tǒng)通過(guò)PAMPluggable Authentication Modules機(jī)制對(duì)密碼策略進(jìn)行控制。
RHEL/CentOS 路徑：
編輯 /etc/pam.d/system-auth：
password requisite pam_pwquality.so try_first_pass local_users_only retry=3minlen=12ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1Ubuntu/Debian 路徑：
編輯 /etc/pam.d/common-password，插入：
password requisite pam_pwquality.so retry=3minlen=12ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 enforce_for_rootenforce_for_root 表示強(qiáng)制root用戶也遵守復(fù)雜度策略，防止特權(quán)賬戶疏忽。
第四步：設(shè)置密碼有效期
為確保密碼定期更換，編輯 /etc/login.defs：
PASS_MAX_DAYS 90# 最長(zhǎng)使用時(shí)間
PASS_MIN_DAYS 7# 最短更換間隔
PASS_WARN_AGE 7# 過(guò)期前警告天數(shù)為所有已有用戶生效：
for user in$(awk -F: '$3 >= 1000 && $3 < 65534 {print $1}' /etc/passwd);do
chage --maxdays90--mindays7--warndays7"$user"
done三、加分項(xiàng)：增強(qiáng)防爆破、禁止弱口令
1. 限制登錄失敗次數(shù) + 賬戶鎖定時(shí)間
在 /etc/pam.d/system-auth 或 /etc/pam.d/common-auth 中添加：
auth required pam_faillock.so preauth silent deny=5unlock_time=300
auth [default=die] pam_faillock.so authfail deny=5unlock_time=300含義： 連續(xù)輸錯(cuò)密碼 5 次，鎖定賬號(hào) 5 分鐘。
2. 黑名單禁止弱口令
編輯 /etc/security/pwquality.conf，增加：
badwords=/etc/security/weak_words然后創(chuàng)建自定義弱口令詞典：
echo -e"123456\npassword\nadmin\nwelcome\nroot123"> /etc/security/weak_words這樣，用戶在設(shè)置上述弱密碼時(shí)將會(huì)被直接拒絕。
四、加固腳本
系統(tǒng)加固已不是“做不做”的問(wèn)題，而是“做得夠不夠”。尤其是在企業(yè)運(yùn)維中，面對(duì)等級(jí)保護(hù)2.0的合規(guī)壓力，僅靠手動(dòng)配置顯然效率低下、容易遺漏。為了幫助廣大運(yùn)維人員快速完成核心安全配置，我們特意打造了一款系統(tǒng)等保加固配置工具，一鍵覆蓋SSH加固、密碼策略、日志審計(jì)、防火墻等關(guān)鍵環(huán)節(jié)，簡(jiǎn)單高效，開箱即用。??????
