Linux安全基线整改实践：Rocky Linux 9 Password Min History 修复记录

目录一、问题背景二、问题分析三、修复思路四、整改实施五、验证修复结果六、模块检查七、特殊发现authselect八、自动化修复脚本九、修复效果十、总结一、问题背景在企业 Linux 安全基线扫描过程中发现服务器存在如下告警Category : Password Requirements Name : Password Min History LINUX-RHEL-MULTI Severity : Medium该问题属于账户密码策略类基线检查项要求系统禁止用户重复使用最近使用过的历史密码。虽然该问题不会影响业务运行但会导致安全基线检查不通过安全审计不通过生产环境合规性验收失败因此需要进行整改。二、问题分析初始检查时PAM 配置如下password requisite pam_pwquality.so try_first_pass local_users_onlyretry3authtok_typepassword sufficient pam_unix.so try_first_pass use_authtok nullok sha512 shadow password required pam_deny.so查看配置grepremember /etc/pam.d/system-auth返回为空无输出查看 Password History 模块greppwhistory /etc/pam.d/system-auth返回为空无输出说明系统虽然已经配置了密码复杂度策略pam_pwquality.so但并未配置密码历史策略pam_pwhistory.so因此被安全扫描工具判定为Password Min History LINUX-RHEL-MULTI不符合基线要求。三、修复思路企业基线要求最近8次密码不得重复使用对应 PAM 配置为password requisite pam_pwhistory.so try_first_pass local_users_only enforce_for_rootretry3remember8password sufficient pam_unix.so try_first_pass use_authtok nullok sha512 shadowremember8其中remember8表示禁止使用最近8次历史密码四、整改实施4.1 备份配置修改前先备份cp-p/etc/pam.d/system-auth\/etc/pam.d/system-auth.bak.$(date%F_%H%M%S)4.2 修改 PAM 配置编辑文件vi/etc/pam.d/system-auth将 Password 段调整为password requisite pam_pwquality.so try_first_pass local_users_onlyretry3authtok_typepassword requisite pam_pwhistory.so try_first_pass local_users_only enforce_for_rootretry3remember8password sufficient pam_unix.so try_first_pass use_authtok nullok sha512 shadowremember8password required pam_deny.so注意remember8必须写在pam_unix.so这一行末尾。错误写法password sufficient pam_unix.so try_first_pass use_authtok nullok sha512 shadowremember8会导致 PAM 配置格式异常。五、验证修复结果验证 Password History 配置grep-Eremember|pwhistory/etc/pam.d/system-auth期望输出password requisite pam_pwhistory.so try_first_pass local_users_only enforce_for_rootretry3remember8password sufficient pam_unix.so try_first_pass use_authtok nullok sha512 shadowremember8六、模块检查确认 Rocky Linux 已安装对应模块ls-l/usr/lib64/security/pam_pwhistory.so返回/usr/lib64/security/pam_pwhistory.so说明模块存在可以正常加载。七、特殊发现authselect检查过程中发现文件头部存在如下提示User changes will be destroyed the next time authselect is run.说明当前系统采用authselect管理 PAM 配置。理论上推荐使用authselect统一维护配置。但在实际安全整改场景中如果目标仅为快速通过安全基线扫描且近期不会执行authselect apply-changes或者系统模板重建操作则直接修改/etc/pam.d/system-auth即可满足整改要求。八、自动化修复脚本对于多台 Rocky Linux 服务器可采用 Shell 自动修复。#!/bin/bashset-ePAM_FILE/etc/pam.d/system-authBACKUP_FILE/etc/pam.d/system-auth.bak.$(date%F_%H%M%S)cp-p${PAM_FILE}${BACKUP_FILE}sed-i/pam_pwhistory.so/d${PAM_FILE}sed-i/password.*pam_unix.so/{ /remember8/! s/$/ remember8/ }${PAM_FILE}sed-i/password.*pam_pwquality.so/a\ password requisite pam_pwhistory.so try_first_pass local_users_only enforce_for_root retry3 remember8 ${PAM_FILE}echoVerification:grep-Eremember|pwhistory${PAM_FILE}执行chmodx fix_password_history.sh ./fix_password_history.sh即可完成整改。九、修复效果修复后Password Min History LINUX-RHEL-MULTI检查项满足要求。影响范围账户密码策略不会影响SSH 登录NginxWeb 服务数据库应用程序业务访问无需执行reboot无需执行systemctl restart sshd无需执行systemctl restart nginx。PAM 配置修改后立即生效。十、总结本次整改的根因并非密码复杂度不足而是缺失密码历史策略配置。系统已启用pam_pwquality.so用于密码复杂度控制但未启用pam_pwhistory.so用于历史密码控制。通过增加pam_pwhistory.so并统一设置remember8即可满足企业安全基线关于 Password Min History 的检查要求实现最小改动、零业务影响和快速通过安全复扫的目标。