国产麒麟服务器等保配置

批量关闭进程：

# 打开cmd窗口，执行以下命令 taskkill /f /im chromedriver.exe

一、密码复杂度策略设置

sudo vim /etc/security/pwquality.conf # 最小密码长度 minlen = 8 # 至少包含一个大写字母（ucredit）、小写字母（lcredit）、数字（dcredit）、符号（ocredit） # 至少两种组合：例如要求大写字母和数字的组合 minclass = 2

二、口令更换策略

sudo vim /etc/login.defs PASS_MAX_DAYS 90 # 密码最长有效期90天 PASS_MIN_DAYS 7 # 密码最短修改间隔7天（防止频繁修改） PASS_WARN_AGE 14 # 密码过期前14天提醒

三、10分钟无操作自动退出登录

sudo vim /etc/profile # 设置10分钟（600秒）无操作超时 export TMOUT=600 readonly TMOUT # 刷新使配置生效 source /etc/profile

四、限制默认账户的访问权限

# 查看所有用户（UID≥1000的普通用户和系统用户） awk -F: '$3 < 1000 {print $1}' /etc/passwd

按照等级保护要求，创建以下用户账户，确保账号与人员一一对应：

1、执行以下命令进行配置：

# 创建角色账户（禁止交互登录） sudo useradd -s /sbin/nologin sysadmin sudo useradd -s /sbin/nologin secadmin sudo useradd -s /sbin/nologin auditadmin # 设置强密码并强制定期更换 sudo passwd sysadmin sudo chage -M 90 sysadmin

2、 精细化sudo权限

sudo visudo # 系统管理员：仅允许管理服务 %sysadmin ALL=(root) /bin/systemctl *, /usr/bin/yum, /usr/bin/apt # 安全管理员：仅允许权限管理 %secadmin ALL=(root) /usr/sbin/visudo, /sbin/auditctl # 审计管理员：只读日志 %auditadmin ALL=(root) /bin/cat /var/log/audit/*, /usr/bin/less /var/log/audit/*

五、服务器开启审计插件并配置审计规则

1、开启审计审计插件

查看审计插件状态：systemctl status auditd.service 开启审计插件状态：systemctl start auditd.service

2、配置审计规则

# 查看现有的审计规则 auditctl -l # 添加审计规则 vim /etc/audit/rules.d/sec.rules # 特权认证 -a always,exit -F arch=b64 -S execve -F exe=/usr/bin/su -F exe=/usr/bin/sudo -k privileged_auth # 用户账户文件 -w /etc/passwd -p wa -k user_account -w /etc/shadow -p wa -k user_password -w /etc/group -p wa -k group_change -w /etc/gshadow -p wa -k gshadow_change # 系统配置 -w /etc/ssh/sshd_config -p wa -k ssh_config -w /etc/sudoers -p wa -k sudoers_change # 特权操作 -a always,exit -F arch=b64 -S mount -k filesystem_mount -a always,exit -F arch=b64 -S chown -S fchown -S fchownat -k ownership_change # 用户管理 -a always,exit -F arch=b64 -S execve -F exe=/usr/sbin/useradd -k user_management -a always,exit -F arch=b64 -S execve -F exe=/usr/sbin/userdel -k user_management -a always,exit -F arch=b64 -S execve -F exe=/usr/sbin/usermod -k user_management # 新增安全监控 -w /var/log/audit/ -p wa -k audit_log_tamper -a always,exit -F arch=b64 -S open -S openat -S creat -F dir=/etc -F success=1 -k etc_access # 加载新规则 sudo augenrules --load

3、查看审计日志

# 实时查看最新日志 sudo tail -f /var/log/audit/audit.log # 查看全部日志 sudo less /var/log/audit/audit.log