内网安全管理中账户锁定策略问题
您现在的位置:
咨询热线一：924小时热线：
内网安全管理中账户锁定策略问题
作者：chen　日期：日　来源：互联网　
&&&&&&&&内网安全管理中，有效的账户锁定策略特性是防止系统受到暴力破解密码破解/猜测攻击的关键，默认情况下的设置是&无账户锁定&。如果保留这种设置，那么其他人就可以对服务器进行字典攻击。这种攻击会进行很长一段时间，使用不同的密码登陆用户的账号，希望能够猜出正确的秘密。在字典攻击中，将尝试成千上万个常见的密码，如果用户没有创建难以猜测的秘密并且没有设置&账户锁定&，那么其他人就可以通过这种方法侵入合法的用户账号。
&&& 账户锁定策略用来控制由于失败的登录尝试而锁定账号的方式及时间的安全需求，还可以用来配置账号重置设置。账户锁定策略包括以下设置：
&& （1）复位账户锁定计数器
&&& 配置在重置错误登录计数之前两次失败的登录尝试之间必须间隔的时间。错误登录计数是在成功登录时重置的。在默认情况下，这个设置为1，取值范围是1~99999。但是与&锁定时间&一样，因为没有账号锁定，所以它是没有意义的。记住，入侵者可能每半小时尝试一个不同的秘密以避开锁定，因此要适当地设置这个值。
&& （2）账户锁定时间
&&& 配置在解除账户锁定之前锁定账户的时间，这个值的范围是0~99999。如果将它设置为0，则必须手工解除账户锁定。如果设置为其他值，那么账户将在这个时间之后接触锁定。如果使用默认设置为0，由于并不存在账户锁定，所以很好的经验值为30分钟，将这个设置与非常小的&账户锁定阀值&一起使用时，通常就足以防止黑客的入侵。如果将这个值设置的很小，那么合法用户可以更快的重新尝试登陆他们的账号，不需要麻烦你去解除锁定，但是入侵者同样可以更频繁的重新尝试访问账户。
&& （3）账户锁定阀值
&&& 配置在锁定账户之前允许的失败登陆尝试次数。它的基本用途在与阻止对账户进行密码猜测攻击。Windows 2000中的默认值为0，表示没有锁定，但这个值的取值范围是0~999。一个很好的经验值取值范围是5左右，但这应该与你的安全策略一致。要注意的是，这只应用于最初的登录，对屏幕保护程序或桌面锁定无效。用户账户控制设置改了，也确定了，但再次看的时候还是以前的设置，改不了，怎么办~高手指点迷津_百度知道Posts - 650,
Articles - 0,
Comments - 1261
14:52 by 潇湘隐者, ... 阅读,
在Linux系统管理中，有时候需要设置账号密码复杂度（长度）、密码过期策略等，这个主要是由/etc/login.defs参数文件中的一些参数控制的的。它主要用于用户账号限制，里面的参数主要有下面一些：
/etc/login.defs:
# Password aging controls:##&&&&&& PASS_MAX_DAYS&& Maximum number of days a password may be used.#&&&&&& PASS_MIN_DAYS&& Minimum number of days allowed between password changes.#&&&&&& PASS_MIN_LEN&&& Minimum acceptable password length.#&&&&&& PASS_WARN_AGE&& Number of days warning given before a password expires.&&PASS_MAX_DAYS 60&&&&& #密码最大有效期，此处参数PASS_MAX_DAYS为60，表示60天后，密码会过期。99999表示永不过期。PASS_MIN_DAYS 0&&&&& #两次修改密码的最小间隔时间，0表示可以随时修改账号密码PASS_MIN_LEN& 8&&&&& #密码最小长度，对于root无效PASS_WARN_AGE 7&&&&& #密码过期前多少天开始提示&## Min/max values for automatic uid selection in useradd#UID_MIN&&&&&&&&&&&&&&&&&& 500UID_MAX&&&&&&&&&&&&&&&& 60000&UID_MIN&&& #用户ID的最小值UID_MAX&&& #用户ID的最大值&## Min/max values for automatic gid selection in groupadd#GID_MIN&&&&&&&&&&&&&&&&&& 500GID_MAX&&&&&&&&&&&&&&&& 60000&GID_MIN&&& #组ID最小值GID_MAX&&& #组ID最大值&&## If defined, this command is run when removing a user.# It should remove any at/cron/print jobs etc. owned by# the user to be removed (passed as the first argument).##USERDEL_CMD&&& /usr/sbin/userdel_local&USERDEL_CMD&&& #默认注释状态，如果定义了该变量，表示当删除一个user时，应删除/打印/ cron的工作等所拥有的用户被删除（作为第一个参数传递）。&## If useradd should create home directories for users by default# On RH systems, we do. This option is overridden with the -m flag on# useradd command line.#CREATE_HOME&&&& yes&CREATE_HOME& #表示是否创建用户home目录。&&# The permission mask is initialized to this value. If not specified, # the permission mask will be initialized to 022.UMASK&&&&&&&&&& 077&UMASK&&&& #权限掩码初始化值&# This enables userdel to remove user groups if no members exist.#USERGROUPS_ENAB yes&USERGROUPS_ENAB&& #该参数启用，表示userdel删除用户时，如果该用户用户组如果没有成员存在，则会删除该用户组&# Use MD5 or DES to encrypt password? Red Hat use MD5 by default.MD5_CRYPT_ENAB yes&ENCRYPT_METHOD MD5&& &ENCRYPT_METHOD& #表示用户密码加密方式，此处表示用MD5加密密码
修改了 /etc/login.defs下参数时，会立即生效，但是它只对修改后创建的用户生效。例如修改了PASS_MAX_DAYS参数等后，我们新建一个用户test。
[root@DB-Server home]# useradd test[root@DB-Server home]# cat /etc/shadow | grep testtest:!!::7:::[root@DB-Server home]# cat /etc/passwd | grep testtest:x:501:501::/home/test:/bin/bash[root@DB-Server home]# chage -l testLast password change&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : Jun 19, 2016Password expires&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : Aug 18, 2016Password inactive&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : neverAccount expires&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : neverMinimum number of days between password change&&&&&&&&& : 0Maximum number of days between password change&&&&&&&&& : 60Number of days of warning before password expires&&&&&& : 7[root@DB-Server home]#
因为CREATE_HOME为yes，所以创建用户test后，就会默认在/home目录下创建test目录，这个可以在添加用户的规则文件/etc/default/useradd里面查看或修改
[root@DB-Server ~]# cat /etc/default/useradd# useradd defaults fileGROUP=100HOME=/home&&&&&&& #把用户的主目录建在/home中INACTIVE=-1&&&&&& #是否启用帐号过期停权，-1表示不启用EXPIRE=&&&&&&&&&& #帐号终止日期，不设置表示不启用；SHELL=/bin/bash&& #所用SHELL的类型；SKEL=/etc/skel&&& #默认添加用户的目录默认文件存放位置；也就是说，当我们用adduser添加用户时，用户家目录下的文件，都是从这个目录中复制过去的CREATE_MAIL_SPOOL=yes
如果此时，假如用户test有特殊需求，要求这个账号的密码永不过期，此时就可以使用chage命令来处理（关于chage命令，此处不做展开）
[root@DB-Server ~]# chage -l testLast password change&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : Jun 19, 2016Password expires&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : Aug 18, 2016Password inactive&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : neverAccount expires&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : neverMinimum number of days between password change&&&&&&&&& : 0Maximum number of days between password change&&&&&&&&& : 60Number of days of warning before password expires&&&&&& : 7You have new mail in /var/spool/mail/root[root@DB-Server ~]# chage -M 99999 test[root@DB-Server ~]# chage -l testLast password change&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : Jun 19, 2016Password expires&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : neverPassword inactive&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : neverAccount expires&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& : neverMinimum number of days between password change&&&&&&&&& : 0Maximum number of days between password change&&&&&&&&& : 99999Number of days of warning before password expires&&&&&& : 7[root@DB-Server ~]#
如上所示/etc/login.defs只是控制了账号的最小长度以及控制密码的有效期等，那么Linux是如何实现对用户的密码的复杂度的检查的呢？其实系统对密码的控制是有两部分组成：
1 cracklib
2 /etc/login.defs
pam_cracklib.so 才是控制密码复杂度的关键文件/lib/security/pam_cracklib.so， Redhat公司专门开发了cracklib这个安装包来判断密码的复杂度。如果你想查看pam_cracklib的一些参数，那么就使用下面命令
[root@DB-Server security]# man pam_cracklib
其中一些常见的参数为&retry=N改变输入密码的次数，默认值是1。就是说，如果用户输入的密码强度不够就退出。可以使用这个选项设置输入的次数，以免一切都从头再来&&&&&&&&&&&&&& Prompt user at most N times before returning with error. The&&&&&&&&&&&&& default is 1&minlen=N新密码最低可接受的长度&&&&&&&&&&&&&& The minimum acceptable size for the new password (plus one if&&&&&&&&&&&&& credits are not disabled which is the default). In addition to the&&&&&&&&&&&&& number of characters in the new password, credit (of +1 in length)&&&&&&&&&&&&& is given for each different kind of character (other, upper, lower&&&&&&&&&&&&& and digit). The default&for this parameter is 9 which is good for a&&&&&&&&&&&&& old style UNIX password all of the same type of character but may&&&&&&&&&&&&& be too low to exploit the added security of a md5 system. Note that&&&&&&&&&&&&& there is a pair of length limits in Cracklib itself, a "way too&&&&&&&&&&&&& short" limit of 4 which is hard coded in and a defined limit (6)&&&&&&&&&&&&& that will be checked without reference to minlen. If you want to&&&&&&&&&&&&& allow passwords as short as 5 characters you should not use this&&&&&&&&&&&&& module.&difok=N默认值为10。这个参数设置允许的新、旧密码相同字符的个数。不过，如果新密码中1/2的字符和旧密码不同，则新密码被接受&&&&&&&&&&&&&&& This argument will change the default of 5 for the number of&&&&&&&&&&&&& characters in the new password that must not be present in the old&&&&&&&&&&&&& password. In addition, if 1/2 of the characters in the new password&&&&&&&&&&&&& are different then the new password will be accepted anyway.&dcredit=N限制新密码中至少有多少个数字&&&&&&&&&&&&&& (N &= 0) This is the maximum credit for having digits in the new&&&&&&&&&&&&& password. If you have less than or N digits, each digit will count&&&&&&&&&&&&& +1 towards meeting the current minlen value. The default&for&&&&&&&&&&&&& dcredit is 1 which is the recommended value for minlen less than&&&&&&&&&&&&& 10.&&&&&&&&&&&&&& (N & 0) This is the minimum number of digits that must be met for a&&&&&&&&&&&&& new password.&ucredit=N限制新密码中至少有多少个大写字符。&lcredit=N限制新密码中至少有多少个小写字符。
例如在/etc/pam.d/system-auth 在password使用pam_cracklib.so设置的最后附加dcredit=3 ucredit=2
password&&& requisite&&&& pam_cracklib.so try_first_pass retry=3 dcredit=3 ucredit=2password&&& sufficient&&& pam_unix.so md5 shadow nullok try_first_pass use_authtokpassword&&& required&&&&& pam_deny.so
此时如果你新建用户的密码不符合密码复杂度，就会出现BAD PASSWORD: it is based on a dictionary word提示。
[root@DB-Server ~]# passwd tttChanging password for user ttt.New UNIX password: BAD PASSWORD: it is based on a dictionary word
& 参考资料：win7系统加入域之后无法更改本地用户的密码策略
win7系统加入域之后无法更改本地用户的密码策略
9:34:00来源：
在域（company\）中的账号为:&company\user1，另外有本地账号local\admin1，两个账号都是Administrators的组中，域中有限制修改密码策略，但是现在连本地账户都无法修改密码策略了，请问如何恢复？PS：已经试过进入安全模式依然无效。
希望达到的效果是，使用域账号登陆时，不能更改组策略中的密码策略，而使用本地账户登录时，可以更改这些策略，能够做到这样子吗？谢谢！5362人阅读
.net开发常见故障答疑（20）
当我们安装Active Directory后，域控服务会开启自动的密码策略，如密码复杂度，密码最小长度等等，可是有时候我们希望修改密码复杂度要求。
以域管理员账户登录，即 域名\administrator
1. 服务器控制台--工具--组策略管理（windows server ）、点击开始→程序→管理工具→点击组策略管理 （windows server2003）
2. 在打开的组策略管理，展开林→域→域名→组策略对象→右击Default Domain Policy，选择编辑
4. 在打开的组策略管理编辑器，依次展开计算机配置→策略
5. 展开Windows设置→安全设置→账户策略→密码策略
可设置密码强度，有效期等
6. 运行--CMD：gpupdate /force
参考知识库
* 以上用户言论只代表其个人观点，不代表CSDN网站的观点或立场
访问：584538次
积分：8028
积分：8028
排名：第1778名
原创：183篇
转载：25篇
评论：160条
(1)(4)(1)(3)(6)(10)(5)(4)(9)(2)(5)(5)(1)(2)(2)(5)(1)(18)(1)(5)(6)(1)(2)(1)(3)(2)(1)(1)(1)(4)(2)(1)(1)(1)(3)(6)(4)(3)(10)(11)(2)(3)(6)(1)(4)(4)(7)(23)(4)(5)