服务器管理设置

1、设置密码失效时间

使用非密码登陆方式如密钥对，请忽略此项。在 /etc/login.defs中将 PASS_MAX_DAYS 参数设置为 60-180之间，如:

PASS_MAX_DAYS 90

需同时执行命令设置root密码失效时间：

chage --maxdays 90 root

2、设置密码修改最小间隔时间

设置密码修改最小间隔时间，限制密码更改过于频繁

加固建议

在 /etc/login.defs 中将 PASS_MIN_DAYS 参数设置为7-14之间,建议为7：

PASS_MIN_DAYS 7

需同时执行命令为root用户设置：

chage --mindays 7 root

3、密码复杂度检查

检查密码长度和密码是否使用多种字符类型

检查提示

加固建议

编辑/etc/security/pwquality.conf，把minlen（密码最小长度）设置为9-32位，把minclass（至少包含小写字母、大写字母、数字、特殊字符等4类字符中等3类或4类）设置为3或4。如：

minlen=10
minclass=3

4、检查密码重用是否受限制

强制用户不重用最近使用的密码，降低密码猜测攻击风险

检查提示

加固建议

在/etc/pam.d/password-auth和/etc/pam.d/system-auth中password sufficient pam_unix.so 这行的末尾配置remember参数为5-24之间，原来的内容不用更改，只在末尾加了remember=5。

5、设置SSH空闲超时退出

设置SSH空闲超时退出时间,可降低未授权用户访问其他用户ssh会话的风险

检查提示

加固建议

编辑/etc/ssh/sshd_config，将ClientAliveInterval 设置为300到900，即5-15分钟，将ClientAliveCountMax设置为0-3之间。

ClientAliveInterval 600
ClientAliveCountMax 2

redis的安全设置

1、禁止使用root用户启动

使用root权限去运行网络服务是比较有风险的（nginx和apache都是有独立的work用户，而redis没有）。redis crackit 漏洞就是利用root用户的权限来替换或者增加authorized_keys，来获取root登录权限的

检查提示

加固建议

使用root切换到redis用户启动服务:

useradd -s /sbin/nolog -M redis 
sudo -u redis /<redis-server-path>/redis-server /<configpath>/redis.conf

2、修改默认6379端口

避免使用熟知的端口,降低被初级扫描的风险

检查提示

加固建议

编辑文件redis的配置文件redis.conf，找到包含port的行，将默认的6379修改为自定义的端口号，然后重启redis

3、配置文件访问权限

因为redis密码明文存储在配置文件中，禁止不相关的用户访问改配置文件是必要的，设置redis配置文件权限为600,

检查提示

加固建议

执行以下命令修改配置文件权限：

chmod 600 /<filepath>/redis.conf

4、禁用或者重命名危险命令

Redis中线上使用keys *命令，也是非常危险的。因此线上的Redis必须考虑禁用一些危险的命令，或者尽量避免谁都可以使用这些命令，Redis没有完整的管理系统，但是也提供了一些方案。

检查提示

加固建议

修改 redis.conf 文件，添加

rename-command FLUSHALL ""
rename-command FLUSHDB  ""
rename-command CONFIG   ""
rename-command KEYS     ""
rename-command SHUTDOWN ""
rename-command DEL ""
rename-command EVAL ""

然后重启redis。重命名为”” 代表禁用命令，如想保留命令，可以重命名为不可猜测的字符串，如： rename-command FLUSHALL joYAPNXRPmcarcR4ZDgC