gsjava Linux 취약점 조치

패스워드 변경 주기 

- 정책확인

# chage -l root
Last password change : Mar 24, 2016
Password expires : Apr 23, 2016
Password inactive : never
Account expires : never
Minimum number of days between password change : 0
Maximum number of days between password change : 99999
Number of days of warning before password expires : 0– 정책 확인
파일(/etc/login.defs)로 변경 하면 이후 추가된 계정만 변경됨
PASS_MAX_DAYS 60   //패스워드 사용이 가능한 기간
PASS_MIN_DAYS 1   //패스워드 변경이 가능한 최소 기간
PASS_MIN_LEN 5   //패스워드 최소 길이
PASS_WARN_AGE 7   //패스워드 만료 표시 기간

# chage -l root
Last password change : Mar 24, 2016
Password expires : Apr 23, 2016
Password inactive : never
Account expires : never
Minimum number of days between password change : 0
Maximum number of days between password change : 99999
Number of days of warning before password expires : 0

//패스워드 사용이 가능한 기간 변경 (30일)
# chage -M 30 root
Last password change : Mar 24, 2016
Password expires : Apr 23, 2016
Password inactive : never
Account expires : never
Minimum number of days between password change : 1
Maximum number of days between password change : 30
Number of days of warning before password expires : 0

==============================

로그인실패횟수 및 잠금
vi /etc/pam.d/common-auth (16번째줄을 추가한다.)

14 # pam-auth-update(8) for details.
 
16    auth    required                        pam_tally2.so onerr=fail even_deny_root deny=5 unlock_time=600
17 # here are the per-package modules (the "Primary" block)
auth    [success=1 default=ignore]      pam_unix.so nullok_secure

추가되는 줄의 deny=5 는 몇 회 틀렸을 경우 잠금을 할지 선언하는 부분이다.
unlock_time=600 잠금시간을 설정 한다. (10분=600초)

==============================

패스워드 복잡성설정 (3가지조합,10자리이상)
# 추가 또는 수정
#vi /etc/pam.d/common-password
password requisite pam_pwquality.so retry=3 minlen=10 minclass=3
password [success=1 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512 remember=2

remember=2 2회 동안 동일한 비밀번호 생성 금지
minlen=10 비밀번호 길이 생성 제한 10자 이상으로
minclass=3 새비밀번호에 필요한 문자 클래스 수 제한 (종류 ⇒ 대문자 / 소문자 / 숫자 / 기타)

//각 명령어 설명
retry=N : 패스워드 입력 실패 시 재시도횟수             
difok=N : 기존 패스워드와 비교. 기본값10 (50%)             
minlen=N :  크레디트를 더한 패스워드최소길이               
dcredit=N : 숫자에 주어지는 크레디트값. 기본 1             
udredit=N : 영어대문자에 주어지는 크레디트값               
lcredit=N : 영어 소문자에 주어지는 크레디트값              
ocredit=N : 숫자, 영어대/소문자를 제외한 기타문자
(각 항목에서 -1 값을 주면 반드시 해당하는 문자를 포함시켜야 함. 즉 dcredit=-1 이라면 패스워드에 숫자가 반드시 포함되어야 함.)
=============================
세션타임아웃설정
#vi /etc/ssh/sshd_config
TCPKeepAlive yes -> 클라이언트의 접속이 끊어졌는지를 체크하기 위해 서버가 일정시간 메시지를 전달한다(기본값 : yes)
ClientAliveInterval 30 ->  sshd 데몬이 아무런 데이터를 받지 못하면 30초 간격으로 응답신호 전송(기본값 45초)
ClientAliveCountMax 10 ->ClientAliveInterval 값의 설정된 간격을 몇번 보낼지 정의 (기본값 3회) 

설정은 30초 간격으로 연결유지를 위해 10회 총 300초간(5분간) 연결을 유지한다는 설정입니다. 
재시작 : service ssh restart
==============================
snmp 사용여부 및 사용안함
설치 안되있는것으로 확인됨
페키지 검색
세 가지 방법으로 패케지를 찾아볼 수 있다.
$apt-cache search [package name]
$apt-cache show [package name]
$$dpkg -l | grep smbfs