密码策略不设防？等保 2.0 下，这些 Linux 加固配置你必须知道！

本文将指导您如何在各种Linux操作系统上根据《等级保护2.0》设置和管理密码策略，既增强安全性也符合最新合规需求。

免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈

随着网络安全威胁不断增加，确保密码安全对于保护系统免受攻击至关重要。然而，使用简单密码、默认密码或长期不更换密码的情况仍然普遍存在，这给了黑客可乘之机。

为解决这些问题，《等级保护2.0》标准对密码复杂度、有效期及定期更换提出了明确要求。不符合这些规定的系统需改进以达到安全标准。

本文将指导您如何在各种Linux操作系统上根据《等级保护2.0》设置和管理密码策略，既增强安全性也符合最新合规需求。希望这对您有所帮助！

一、等保2.0对密码策略的“硬性标准”

等保不是“建议”，是“必须”！而密码策略，是合规检查中的重点项目。

二、主流Linux系统密码策略配置全攻略

以下操作适用于CentOS、RHEL、Ubuntu、Debian、openSUSE等主流发行版。

第一步：安装依赖模块

pam_pwquality是密码复杂度策略的核心模块，如果未安装，需要先进行安装：

CentOS / RHEL / Rocky Linux：

sudo yum install-y pam pwquality

Ubuntu / Debian：

sudo apt install-y libpam-pwquality

检查是否已安装可使用：

find / -name pam_pwquality.so 2>/dev/null

第二步：设置密码复杂度策略

编辑配置文件：

sudo vi /etc/security/pwquality.conf

推荐配置如下：

minlen=12 # 最小密码长度ucredit=-1 # 至少一个大写字母lcredit=-1 # 至少一个小写字母dcredit=-1 # 至少一个数字ocredit=-1 # 至少一个特殊字符retry=3 # 密码输入错误允许重试次数

所有负数表示必须包，值为-1表示必须包含1个。

第三步：配置PAM模块以启用密码策略

系统通过PAMPluggable Authentication Modules机制对密码策略进行控制。

RHEL/CentOS 路径：

编辑/etc/pam.d/system-auth：

password requisite pam_pwquality.so try_first_pass local_users_only retry=3minlen=12ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

Ubuntu/Debian 路径：

编辑/etc/pam.d/common-password，插入：

password requisite pam_pwquality.so retry=3minlen=12ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 enforce_for_root

enforce_for_root表示强制root用户也遵守复杂度策略，防止特权账户疏忽。

第四步：设置密码有效期

为确保密码定期更换，编辑/etc/login.defs：

PASS_MAX_DAYS 90# 最长使用时间PASS_MIN_DAYS 7# 最短更换间隔PASS_WARN_AGE 7# 过期前警告天数

为所有已有用户生效：

for user in$(awk -F: '$3 >= 1000 && $3 < 65534 {print $1}' /etc/passwd);do chage --maxdays90--mindays7--warndays7"$user"done

三、加分项：增强防爆破、禁止弱口令

1. 限制登录失败次数 + 账户锁定时间

在/etc/pam.d/system-auth或/etc/pam.d/common-auth中添加：

auth required pam_faillock.so preauth silent deny=5unlock_time=300auth [default=die] pam_faillock.so authfail deny=5unlock_time=300

含义：连续输错密码 5 次，锁定账号 5 分钟。

2. 黑名单禁止弱口令

编辑/etc/security/pwquality.conf，增加：

badwords=/etc/security/weak_words

然后创建自定义弱口令词典：

echo -e"123456\npassword\nadmin\nwelcome\nroot123"> /etc/security/weak_words

这样，用户在设置上述弱密码时将会被直接拒绝。

四、加固脚本

系统加固已不是“做不做”的问题，而是“做得够不够”。尤其是在企业运维中，面对等级保护2.0的合规压力，仅靠手动配置显然效率低下、容易遗漏。为了帮助广大运维人员快速完成核心安全配置，我们特意打造了一款系统等保加固配置工具，一键覆盖SSH加固、密码策略、日志审计、防火墙等关键环节，简单高效，开箱即用。