# CentOS Linux 7安全基線檢查 ## 基本信息 風險分類：系統基線-CentOS Linux 7安全基線檢查 檢測項說明： CentOS Linux 7基線檢查，對標阿里云和CIS標準 ## 風險詳情 >檢查項目 : 設置密碼失效時間 加固建議: 在 `/etc/login.defs` 中將 `PASS_MAX_DAYS` 參數設置為 `60-180` 之間，如 `PASS_MAX_DAYS 90`。需同時執行命令設置 `root` 密碼失效時間： `$ chage --maxdays 90 root`。 >檢查項目 : 設置密碼修改最小間隔時間 加固建議: 在 `/etc/login.defs` 中將 `PASS_MIN_DAYS` 參數設置為 `5-14` 之間,建議為 `7`： `PASS_MIN_DAYS 7` 需同時執行命令為 `root` 用戶設置： `$ chage --mindays 7 root ` >檢查項目 : 禁止 `SSH` 空密碼用戶登錄 加固建議: 在 `/etc/ssh/sshd_config` 中取消 `PermitEmptyPasswords no` 注釋符號 `# ` >檢查項目 : 確保 `SSH MaxAuthTries` 設置為 `3` 到 `6` 之間 加固建議: 在 `/etc/ssh/sshd_config` 中取消 `MaxAuthTries` 注釋符號 `#`，設置最大密碼嘗試失敗次數`3-6`，建議為`5`：`MaxAuthTries 5 ` >檢查項目 : `SSHD` 強制使用 `V2` 安全協議 加固建議: 編輯 `/etc/ssh/sshd_config` 文件以按如下方式設置參數： `Protocol 2 ` >檢查項目 : 設置 `SSH` 空閑超時退出時間 加固建議: 編輯 `/etc/ssh/sshd_config`，將 `ClientAliveInterval` 設置為 `300` 到 `900` ，即 `5-15`分鐘，將`ClientAliveCountMax` 設置為 `0` `ClientAliveInterval 300 ` `ClientAliveCountMax 0 ` >檢查項目 : 確保 `SSH LogLevel` 設置為 `INFO ` 加固建議: 編輯 `/etc/ssh/sshd_config` 文件以按如下方式設置參數(取消注釋): `LogLevel INFO ` >檢查項目 : 設置用戶權限配置文件的權限 加固建議: 執行以下5條命令 $ chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow $ chmod 0644 /etc/group $ chmod 0644 /etc/passwd $ chmod 0400 /etc/shadow $ chmod 0400 /etc/gshadow