本帖最后由 民审-M 于 2018-10-29 09:59 编辑

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 禁止转发ICMP重定向报文
加固建议: 在 /etc/sysctl.conf 或 /etc/sysctl.d/* 文件中设置以下参数： net.ipv4.conf.all.send_redirects = 0 net.ipv4.conf.default.send_redirects = 0 运行以下命令来设置活动的内核参数： $ sysctl -w net.ipv4.conf.all.send_redirects=0 $ sysctl -w net.ipv4.conf.default.send_redirects=0 $ sysctl -w net.ipv4.route.flush=1

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 禁止转发ICMP重定向报文
加固建议: 在 /etc/sysctl.conf 或 /etc/sysctl.d/* 文件中设置以下参数： net.ipv4.conf.all.send_redirects = 0 net.ipv4.conf.default.send_redirects = 0 运行以下命令来设置活动的内核参数： $ sysctl -w net.ipv4.conf.all.send_redirects=0 $ sysctl -w net.ipv4.conf.default.send_redirects=0 $ sysctl -w net.ipv4.route.flush=1

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 禁止包含源路由的ip包
加固建议: 执行sysctl -w net.ipv4.conf.all.accept_redirects=0,再查看/etc/sysctl.conf中是否存在net.ipv4.conf.all.accept_redirects=0，不存在则添加

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 禁止包含源路由的ip包
加固建议: 执行sysctl -w net.ipv4.conf.default.accept_redirects=0,再查看/etc/sysctl.conf中是否存在net.ipv4.conf.default.accept_redirects=0，不存在则添加

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 禁止转发安全ICMP重定向报文
加固建议: 执行sysctl -w net.ipv4.conf.all.secure_redirects=0,再查看/etc/sysctl.conf中是否存在net.ipv4.conf.all.secure_redirects=0，不存在则添加

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 禁止转发安全ICMP重定向报文
加固建议: 执行sysctl -w net.ipv4.conf.default.secure_redirects=0,再查看/etc/sysctl.conf中是否存在net.ipv4.conf.default.secure_redirects=0，不存在则添加

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 密码授权新密码与老密码不能重复
加固建议: 在/etc/pam.d/password-auth中添加：password sufficient pam_unix.so remember=3 ,remember的值表示此次设置密码与过去3次不同

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 系统授权新密码与老密码不能重复
加固建议: 在/etc/pam.d/system-auth中添加：password sufficient pam_unix.so remember=3 ,remember的值表示此次设置密码与过去3次不同

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: rsyslog日志文件权限配置
加固建议: 在/etc/rsyslog.conf中添加：$FileCreateMode 0640

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 禁止root直接登录
加固建议: 注意：在修改此项之前，请务必创建一个可登陆账号；在/etc/ssh/sshd_config中PermitRootLogin的值：yes设置为no

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: SSHD强制使用V2安全协议
加固建议: 在/etc/ssh/sshd_config中取消Protocol注释符号#

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: SSHD仅记录ssh用户登录活动
加固建议: 在/etc/ssh/sshd_config中取消LogLevel INFO注释符号#

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: SSHD仅记录ssh用户登录活动
加固建议: 在/etc/ssh/sshd_config中取消MaxAuthTries注释符号#，设置自定义最大密码尝试失败次数

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 清理主机远程登录历史主机记录
加固建议: 在/etc/ssh/sshd_config中取消IgnoreRhosts yes注释符号#

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 禁止空密码用户登录
加固建议: 在/etc/ssh/sshd_config中取消PermitEmptyPasswords no注释符号#

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 禁止用户修改环境变量
加固建议: 在/etc/ssh/sshd_config中取消PermitUserEnvironment no注释符号#

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 设置用户密码最小长度
加固建议: 在/etc/security/pwquality.conf中取消minlen注释符号#，同时设置最小密码长度建议10位以上

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 设置用户密码数字位数
加固建议: 在/etc/security/pwquality.conf中取消dcredit注释符号#，同时设置为负数建议-1最少包含1位数字

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 设置用户密码大写字母位数
加固建议: 在/etc/security/pwquality.conf中取消ucredit注释符号#，同时设置为负数建议-1最少包含1位大写字母

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 设置用户密码小写字母位数
加固建议: 在/etc/security/pwquality.conf中取消lcredit注释符号#，同时设置为负数建议-1最少包含1位小写字母

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 设置用户密码特殊字符位数
加固建议: 在/etc/security/pwquality.conf中取消ocredit注释符号#，同时设置为负数建议-1最少包含1位特殊字符

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 强制密码失效时间
加固建议: 在/etc/login.defs 设置强制密码失效时间，建议值365

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 密码修改最小间隔时间
加固建议: 在/etc/login.defs 设置密码修改最小间隔时间，建议值7

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 设置有密码账户不活动最大时间
加固建议: 使用如下命令设置有密码账户不活动最大时间值：useradd -D -f 1095，建议值1095天

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 检查/boot/grub2/grub.cfg文件ACL属性
加固建议: 执行：chmod 0600 /boot/grub2/grub.cfg

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 检查/etc/crontab文件ACL属性
加固建议: 执行：chmod 0600 /etc/crontab

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 检查/etc/cron.hourly文件ACL属性
加固建议: 执行：chmod 0600 /etc/cron.hourly

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 检查/etc/cron.daily文件ACL属性
加固建议: 执行：chmod 0600 /etc/cron.daily

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 检查/etc/cron.weekly 文件ACL属性
加固建议: 执行：chmod 0600 /etc/cron.weekly

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 检查/etc/cron.monthly 文件ACL属性
加固建议: 执行：chmod 0600 /etc/cron.monthly

[color=rgb(55, 61, 65)][font=PingFangSC, "]检查项目: 检查/etc/cron.d 文件ACL属性
加固建议: 执行：chmod 0600 /etc/cron.d[color=rgb(55, 61, 65)][font=PingFangSC, "]

[color=rgb(55, 61, 65)][font=PingFangSC, &quot]检查项目: memcached启动权限检测
[color=rgb(55, 61, 65)][font=PingFangSC, &quot]当前值: root
[color=rgb(55, 61, 65)][font=PingFangSC, &quot]加固建议: 创建memcached低权限账号（例如：useradd memcached），并在memcached启动时加上-u memcached。注意：在切换低权限账户启动时，需要将memcached文件目录使用chown -R memcached:memcached修改上述目录权限


[color=rgb(55, 61, 65)][font=PingFangSC, "]