Linux服务器安全加固：除了防火墙，你的密码策略真的够用吗？（附PAM模块详解）

Linux服务器安全加固：密码策略与PAM模块的深度实践

当服务器遭遇暴力破解攻击时，大多数管理员的第一反应是检查防火墙规则和SSH密钥配置。但真正经历过安全事件的老手都知道，认证环节的密码策略往往是整个防御体系中最薄弱的环节。去年某科技公司数据泄露事件的调查报告显示，攻击者正是通过一个弱密码（"Admin@123"）突破了内网边界服务器，而这个密码竟然在公司的安全审计报告中连续三年被标记为"高风险"却无人处理。

1. 重新认识Linux认证安全体系

现代Linux系统的认证机制远比表面看到的/etc/passwd和/etc/shadow复杂得多。想象一下这样的场景：当用户输入密码时，系统需要验证密码强度、检查账户是否被锁定、记录登录会话、可能还要连接LDAP或Radius服务器——这些功能都由PAM（Pluggable Authentication Modules）模块动态组合实现。

PAM的核心优势在于其模块化设计，就像乐高积木一样可以自由组合安全策略。典型的认证流程涉及四个关键阶段：

1. Auth（认证）：验证用户身份，如检查密码是否正确
2. Account（账户）：检查账户状态，如是否过期、是否在允许登录时段
3. Password（密码）：处理密码更新策略
4. Session（会话）：管理用户登录前后的环境设置

在CentOS 8系统中，主要的PAM配置文件分布如下：

关键提示：修改PAM配置前务必创建备份，错误的配置可能导致所有用户无法登录。建议使用cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak进行备份。

2. 密码复杂度策略的实战配置

许多管理员认为设置密码复杂度就是增加几个字符要求，这种认知远远不够。真正的密码策略需要平衡安全性与可用性，考虑以下维度：

• 长度要求：现代安全标准建议最少12个字符
• 字符多样性：大小写字母、数字、特殊符号的组合
• 字典检查：防止使用常见词汇和简单变体
• 历史记录：禁止重复使用最近几次的密码
• 有效期：强制定期更换但不建议过于频繁（90天较合理）

在CentOS/RHEL系统中，密码复杂度主要通过pam_pwquality模块实现。下面是一个生产环境中推荐的配置示例：

# /etc/pam.d/system-auth 中的密码策略段 password requisite pam_pwquality.so try_first_pass \ retry=3 minlen=12 lcredit=-1 ucredit=-1 \ dcredit=-1 ocredit=-1 difok=4 enforce_for_root \ dictcheck=1 usercheck=1 gecoscheck=1

参数解析：

• minlen=12：密码最小长度12字符
• lcredit=-1：至少1个小写字母（负数表示最少要求）
• ucredit=-1：至少1个大写字母
• dcredit=-1：至少1个数字
• ocredit=-1：至少1个特殊字符
• difok=4：新密码必须与旧密码有至少4个字符差异
• dictcheck=1：启用字典检查
• usercheck=1：检查密码是否包含用户名
• gecoscheck=1：检查密码是否包含用户信息中的单词

3. 账户锁定与暴力破解防护

强密码策略只是第一道防线，针对暴力破解攻击还需要账户锁定机制。PAM的pam_faillock模块提供了精细化的失败尝试控制：

# /etc/pam.d/system-auth 中添加的账户锁定策略 auth required pam_faillock.so preauth silent audit deny=5 unlock_time=900 auth [default=die] pam_faillock.so authfail audit deny=5 account required pam_faillock.so

这个配置表示：

• deny=5：5次失败尝试后锁定账户
• unlock_time=900：锁定15分钟（900秒）
• audit：记录审计日志

更高级的配置还可以结合以下策略：

1. 动态锁定：对高风险IP增加失败次数限制
2. 延迟响应：随着失败次数增加，响应时间逐渐延长
3. 通知机制：失败尝试达到阈值时发送告警

账户锁定状态可以通过faillock命令查看和管理：

# 查看用户锁定状态 faillock --user testuser # 重置用户锁定计数器 faillock --user testuser --reset

4. 会话管理与权限控制

会话管理是PAM经常被忽视的重要功能。合理的session配置可以：

• 记录详细的登录/登出信息
• 限制用户并发会话数
• 设置环境变量和资源限制
• 实现权限分离和最小特权原则

一个增强型会话配置示例：

# /etc/pam.d/system-auth 中的session部分 session required pam_limits.so session required pam_lastlog.so showfailed session optional pam_motd.so session required pam_unix.so

关键模块说明：

• pam_limits：基于/etc/security/limits.conf设置资源限制
• pam_lastlog：显示上次登录信息，帮助识别异常登录
• pam_motd：显示登录后的每日消息（可用于安全通告）

对于特权用户，建议额外配置：

# /etc/pam.d/su 中的限制配置 auth required pam_wheel.so use_uid auth required pam_listfile.so item=user sense=allow file=/etc/sudoers.d/admin_users onerr=fail

这实现了：

1. 限制只有wheel组成员可以使用su
2. 进一步限制仅特定文件列出的用户可以使用su

5. PAM模块控制标志的深层解析

PAM配置中最容易混淆的是控制标志（required、requisite、sufficient、optional），它们决定了模块失败时的处理流程。通过一个SSH登录场景来说明：

假设有如下auth配置栈：

auth required pam_listfile.so item=ip sense=allow file=/etc/ssh/allowed_ips onerr=fail auth requisite pam_unix.so nullok try_first_pass auth sufficient pam_ldap.so use_first_pass auth required pam_deny.so

登录流程解析：

1. 首先检查客户端IP是否在允许列表（pam_listfile）
   • 如果失败：继续执行后续模块，但最终会失败（required特性）
2. 然后验证本地账户密码（pam_unix）
   • 如果失败：立即返回失败（requisite特性）
3. 如果本地验证成功，跳过LDAP验证（sufficient特性）
4. 如果前面都未通过，最终pam_deny拒绝访问

控制标志对比表：

6. 企业级安全加固实践方案

结合金融行业等保要求，推荐分阶段实施以下加固措施：

第一阶段：基础加固

• 密码复杂度策略（长度12+，四类字符）
• 账户锁定策略（5次失败，15分钟锁定）
• 禁用root直接SSH登录
• 限制su命令使用范围

第二阶段：增强防护

• 实施双因素认证（如Google Authenticator）
• 配置登录时间限制（如仅工作日9:00-18:00）
• 设置命令执行审计（通过pam_tty_audit）
• 部署异常登录检测（如fail2ban）

第三阶段：高级控制

• 基于角色的访问控制（RBAC）
• 特权会话监控与录像
• 动态访问控制（根据行为分析调整权限）
• 全链路审计日志（关联所有操作）

一个综合性的/etc/pam.d/sshd配置示例：

#%PAM-1.0 # 基础认证栈 auth required pam_sepermit.so auth required pam_listfile.so item=user sense=allow file=/etc/ssh/allowed_users auth requisite pam_pkcs11.so auth sufficient pam_google_authenticator.so auth required pam_faillock.so preauth auth [success=1 default=bad] pam_unix.so auth [default=die] pam_faillock.so authfail auth sufficient pam_faillock.so authsucc # 账户检查 account required pam_nologin.so account required pam_access.so account required pam_time.so account required pam_unix.so # 密码策略 password requisite pam_pwquality.so local_users_only retry=3 password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok password required pam_deny.so # 会话管理 session required pam_limits.so session required pam_loginuid.so session required pam_keyinit.so force revoke session optional pam_motd.so session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so close session required pam_unix.so session optional pam_ck_connector.so nox11

7. 常见问题与排错技巧

问题1：配置错误导致所有用户被锁定

症状：修改PAM配置后无法登录任何账户，包括root

解决方案：

1. 通过单用户模式或控制台直接访问服务器
2. 恢复最近的备份配置
3. 使用pam_tally2 --reset重置所有计数器

问题2：密码复杂度策略不生效

检查步骤：

1. 确认修改的是正确的配置文件（sshd服务使用/etc/pam.d/sshd）
2. 检查模块路径是否正确（ls /lib/security/pam_pwquality.so）
3. 查看系统日志/var/log/secure获取详细错误

问题3：账户锁定时间不符合预期

可能原因：

1. 多个PAM模块配置冲突
2. unlock_time单位错误（秒而非分钟）
3. SELinux策略阻止了锁定机制

调试命令集锦：

# 查看PAM加载过程 strace -f -e trace=open,read,write /path/to/application # 测试特定服务的PAM配置 pam_test -service sshd -user testuser -tty `tty` # 检查PAM模块依赖 ldd /lib/security/pam_unix.so # 实时监控认证日志 tail -f /var/log/secure | grep pam

在多年的运维实践中，我发现最有效的安全策略不是追求最严格的限制，而是找到安全性与可用性的平衡点。比如，与其强制每30天更换密码（导致用户把密码写在便签上），不如实施足够强的初始复杂度要求加上异常登录检测。记住：任何安全措施如果影响了业务连续性，最终都会被用户想办法绕过，那才是真正的安全风险。