本文主要是介绍等保2.0服务器测评-身份鉴别测评方法以及配置整改-02登录失败处理，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！
等保2.0服务器测评-身份鉴别-02登录失败处理
声明：
测评要求参考《信息安全技术 网络安全等级保护测评要求GB/T 28448一2019》
测评方法以及配置整改为个人工总结，仅供参考不适用全部操作系统，有不合理的地方大家多多指出，欢迎交流。
测评项
a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施； c)当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听； d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
测评项b)
b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动
退出等相关措施
预期结果
a)账户锁定时间:不为不适用
b)账户锁定阈值:不为不适用
2)启用了远程登录连接超时并自动退出功能
3)本地操作超时时间
测评方法：
1、windows服务器
上机检查：
1) 查看“运行gpedit.msc打开组策略编辑器-windows设置-安全设置-账户锁定策略”，
记录账户锁定阀值、账户锁定时间 等2项
2) 本地超时：控制面板→显示→更改屏幕保护程序。
3)远程操作超时：查看“运行gpedit.msc打开组策略编辑器-->计算机设置-->管理模板-->windows组件-->远程桌面服务-->远程桌面会话主机-->会话时间限制-->设置活动但空闲的远程桌面服务会话的时间限制设置-->管理模板-->windows组件-->远程桌面服务-->会话时间限制-->设置活动但空闲的远程桌面服务会话的时间限制。- 查看“运行gpedit.msc打开组策略编辑器-windows设置-安全设置-账户锁定策略”，
记录账户锁定阀值、账户锁定时间 等2项。
- 本地超时：控制面板→显示→更改屏幕保护程序。
3)远程操作超时：查看“运行gpedit.msc打开组策略编辑器–>计算机设置–>管理模板–>windows组件–>远程桌面服务–>远程桌面会话主机–>会话时间限制–>设置活动但空闲的远程桌面服务会话的时间限制设置–>管理模板–>windows组件–>远程桌面服务–>会话时间限制–>设置活动但空闲的远程桌面服务会话的时间限制。
2、Linux服务器(CentOS为例)
Linux有一个pam_tally2.so的PAM模块，来限定用户的登录失败次数，如果次数达到设置的阈值，则锁定用户。
上机检查：
1）system-auth登录失败锁定
注：配置的地方不唯一，具体请访谈
使用命令如下：
cat /etc/pam.d/system-auth
预期结果应该包含一下内容：
[root@hecs-3 pam.d]# cat system-auth
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth required pam_tally2.so deny=3 lock_time=300 even_deny_root root_unlock_time=10
auth required pam_env.so
auth required pam_faildelay.so delay=2000000
auth sufficient pam_unix.so nullok try_first_pass
auth requisite pam_succeed_if.so uid >= 1000 quiet_success
auth required pam_deny.so参数解释
even_deny_root 也限制root用户；deny 设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户unlock_time 设定普通用户锁定后，多少时间后解锁，单位是秒；root_unlock_time 设定root用户锁定后，多少时间后解锁，单位是秒；
注意：
在#%PAM-1.0的下面，即第二行，添加内容，一定要写在前面，如果写在后面，虽然用户被锁定，但是只要用户输入正确的密码，还是可以登录的！
2）（ssh远程连接登录）登录失败锁定
cat /etc/pam.d/sshd
#%PAM-1.0
auth required pam_tally2.so deny=3 lock_time=300 even_deny_root root_unlock_time=10
auth required pam_sepermit.so
auth substack password-auth
auth include postlogin# Used with polkit to reauthorize users in remote sessions
-auth optional pam_reauthorize.so prepare
account required pam_nologin.so
account include password-auth
password include password-auth
# pam_selinux.so close should be the first session rule
session required pam_selinux.so close
session required pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session required pam_selinux.so open env_params
session required pam_namespace.so
session optional pam_keyinit.so force revoke
session include password-auth
session include postlogin
# Used with polkit to reauthorize users in remote sessions
-session optional pam_reauthorize.so prepare
[root@hecs-357431 pam.d]#3）操作超时锁定
在/etc/profile、~/.bashrc、~/.bash_profile
等文件的最后加入export TMOUT=900语句即可
（单位是秒），然后想要不重新登录就起效就，还需要
用source命令解析上述文件。
上述文件中，/etc/profile针对所有用户其效果，而
~/.bashrc、~/.bash_profile则只对当前用户其
效果，实际上从文件位置就能看出来。
3.1)具体查询方式
理论上可以在好几个地方对TMOUT进行配置，不过一般应该是在/etc/profile这个文件中对所有用户进行设置，可能有极个别的会单独为每个用户配置超时时间。
所以直接查看/etc/profile文件内容，然后再用echo $TMOUT语句看看运行环境中的TMOUT变量到底是多少。
[root@hecs-357431 ~]# vi /etc/profile
[root@hecs-357431 ~]# echo $TMOUT[root@hecs-357431 ~]# source /etc/profile
[root@hecs-357431 ~]# echo $TMOUT
900
[root@hecs-357431 ~]#注意：
配置文件里写了不代表就起效了，比如/etc/profile修改后需要用source命令才能起效。另外，配置文件中的配置即使起效了，但未必就等同于现在实际执行的规则。
测评项c)
c)当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；
测评方法：
1、windows服务器
1)本地或KVM，默认符合
2)远程运维，采取开启了SSL安全层的RDP协议，加密级别为高
windows2012以上默认符合
wireshark直接抓3389登录包有SSL证书即可。
在命令行输入”gpedit.msc“弹出“本地组策略编辑器”窗口，查着“本地计算机策略一》计算机配置一>管理模板一>Windows组件一选程桌面服务>远程桌面会话主机-安全”中的相关项目。
2、Linux服务器(CentOS为例)
1)本地或KVM，默认符合
2)远程运维，采取SSH协议默认符合
同时要关闭Telnet等明文协议的连接方式
测评项d)
d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
这一项据我所了解的，一般常用的的做法就是，通过堡垒机来管理服务器。 同时，堡垒机使用双因素认证，从而间接的达到了服务器的双因素认证。
这篇关于等保2.0服务器测评-身份鉴别测评方法以及配置整改-02登录失败处理的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！
