Manual Java

for NAME in `cut -d: -f1 /etc/passwd`
do
uid=`id -u $NAME`
if [ $uid -ge 500 -a $uid != 65534 ]
then
chage -m 7 -M 90 -W 28 -I 7 $NAME
fi
Done
Es recomendable que el sistema lleve un control de contraseñas históricas para evitar que el
usuario reutilice los últimos “N” passwords, también es interesante que el sistema valide la
robustez de las nuevas contraseñas. Con este objetivo, debemos instalar cracklib:
~$ apt-get install libpam-cracklib
~$ update-cracklib
A continuación editamos ‘/etc/pam.d/common-password’ y lo dejamos así:
password required pam_cracklib.so retry=3 minlen=8 difok=1 lcredit=0 ucredit=1 dcredit=1
ocredit=2
password requisite pam_unix.so use_authtok obscure md5 remember=12
Permisos sobre el directorio HOME de los usuarios
Se recomienda que los home de los usuarios no posean permisos de lectura o escritura pública.
Para realizar esto debemos utilizar el siguiente script:
for DIR in `awk -F: '($3 >= 500) { print $6 }' /etc/passwd`
do
chmod g-w $DIR
chmod o-rwx $DIR
done
Bloquear cuentas de usuarios al 5º intento fallido de login
Siguiendo la línea de mejores prácticas de seguridad se recomienda que los usuarios se
bloqueen al quinto intento fallido de conexión al servidor.
~$ echo "auth required /lib/security/pam_tally.so onerr=fail no_magic_root" >>
/etc/pam.d/system-auth
~$ echo "account required /lib/security/pam_tally.so deny=5 no_magic_root reset" >>
/etc/pam.d/system-auth
Para desbloquear usuarios utilizar la siguiente sintaxis:
~$ faillog -u usuario -r
Banner de ingreso al sistema
Debido a prácticas legales, se recomienda que se fije un banner al inicio efectivo de una
conexión desde la red al servidor.
De este modo quedará cubierto el ámbito legal con respecto a ataques a equipos que NO son de
test.
Esta práctica es utilizada para que al usuario que ingresa al servidor tenga en cuenta que todos
los eventos generados en el servidor con su usuario son responsabilidad exclusivamente de su
persona y ante cualquier tipo de acto ilícito (robo de información, crash de servidor, etc) quedará
sancionado.
Para realizar este procedimiento debemos editar los archivos:
/etc/motd
/etc/issue
/etc/issue.net
53