采用静态口令进行认证的，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号四类中至少三类。且5次以内不得设置相同的口令。参考配置：

在/etc/pam.d/system-auth 文件中配置：

password requisite pam_cracklib.so difok=3 minlen=6 ucredit=-1 lcredit=-1 dcredit=1

password sufficient pam_unix.so use_authtok md5 shadow remember=5

注：

difok为最少不同字符；

minlen为最小密码长度；

ucredit为最少大写字母个数；

Lcredit为最少小写字母个数；

Dcredit为最少数字个数。

采用静态口令进行认证的，密码应至少90天进行更换,提前15天提示密码到期。参考配置：

使用命令“vi /etc/login.defs”修改配置文件。

PASS_MAX_DAYS 90 #密码最长使用天数

PASS_WARN_AGE 15 #密码到期提前提醒天数

系统应禁止直接root登录，并使用SSH等加密协议进行远程登录维护，禁止使用TELENT进行远程登录维护。参考配置：

vi /etc/ssh/sshd_config #编辑配置文件。

设置“PermitRootLogin”值为“no” #不允许root直接登录。

设置“Protocol”的版本为“2” #使用ssh2

应删除或锁定与设备运行、维护等工作无关的账号，建议通过锁定方式实现。参考配置：

修改/etc/passwd文件，将需要锁定的账户的shell域后添加nologin；

#vi /etc/passwd

test:x:1000:100: LINUX:/home/test:/bin/bash/nologin

注：一般情况下，LINUX系统需要锁定deamon,bin,sys,adm,uucp,

nuucp,printq,guest,nobody,lpd,sshd等内置用户，在实际操作中，还需与开发人员、运维人员共同确认多余账户。

应梳理开启的inetd服务，与有关人员进行确认，关闭无必要的服务，参考配置：

使用命令“who -r”查看当前init级别

使用命令“chkconfig --list <服务名>”查看所有服务的状态

使用命令“chkconfig --level <init级别> <服务名> on|off|reset”设置服务在个init级别下开机是否启动。

注：关闭服务内容需与相关人员进行确认。

为了保证日志记录时间的准确性，配置时钟同步服务，与NTP服务器时间同步。参考配置：

以root账户登录系统，在/etc/ntp.conf文件中配置时间服务器。

#vi /etc/ntp.conf

在配置文件末尾可见如下行：

server 127.0.0.1 local clock

fudge 127.0.0.1 stratum 10

#server x.x.x.x minpoll 4 maxpoll 4

保存退出后，执行开机自启动命令。

# chkconfig ntpd on

利用date命令查看系统当前时间，与监控终端时间比较，若相差超过1000s，利用ntpdate命令与时间服务器强制同步。

#ntpdate x.x.x.x

配置完成后，启动ntp服务。

# /etc/init.d/ntpd start

控制用户缺省访问权限，当在创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限,防止同属于该组的其它用户及别的组的用户修改该用户的文件或更高限制。参考配置：

在/etc/profile中设置umask值，但具体看Linux的发行版本。

使用命令“vi /etc/profile”修改配置文件，添加行“umask 027”，即新创建的文件属主读写执行权限，同组用户读和执行权限，其他用户无权限。

采用静态口令进行认证的，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号四类中至少三类。且5次以内不得设置相同的口令。密码应至少每13周进行更换,提前15天提示密码到期。参考配置：

chsec -f /etc/security/user -s default -a minlen=6

#密码长度

chsec -f /etc/security/user -s default -a minalpha=2

#最少两个字母

chsec -f /etc/security/user -s default –a minother=2

#最少两个非字母字符

chsec -f /etc/security/user -s default –a histsize=5

#不能重复前五5次密码

chsec–f /etc/security/user –s default –a pwdwarntime=15

#提前15天提示密码到期

chsec–f /etc/security/user –s default –a maxage=13

#密码最长使用时间13周

系统应禁止直接root登录，并使用SSH等加密协议进行远程登录维护，禁止使用TELENT进行远程登录维护。参考配置：

vi /etc/ssh/sshd_config，编辑配置文件

设置“PermitRootLogin ”的值为“no”，不允许root直接登录。

设置“Protocol”的版本为“2”，使用ssh2。

注：查看SSH服务状态：# ps–elf |grep ssh ，若未安装OPENSSH服务则需进行安装。

应删除或锁定与设备运行、维护等工作无关的账号，建议通过锁定方式实现。参考配置：

查看锁定用户：

#cat/etc/security/user，查看用户名后存在”account_locked=true”。

删除用户：

#rmuser –p username。

锁定用户：

#chuser account_locked=true username。

解锁用户：

#chuser account_locked=false username。

注：一般情况下，AIX系统需要锁定deamon,bin,sys,adm,uucp,

nuucp,printq,guest,nobody,lpd,sshd等内置用户，在实际操作中，还需与开发人员、运维人员共同确认多余账户

应梳理开启的inetd服务，与有关人员进行确认，关闭无用的服务，参考配置：

#cat/etc/inetd.conf

查看以“telnet、finger、login(rlogin)、shell(rsh)、kshell、klogin”等是否关闭服务。

#vi/etc/inetd.conf

在“telnet”等不需要的服务行开头添加注释符号“#”。

#refresh -s inetd”

重新启动inetd服务。

注：关闭服务内容需与相关人员进行确认。

为了保证日志记录时间的准确性，配置时钟同步服务，与NTP服务器时间同步。参考配置：

编辑：/etc/ntp.conf

添加：server 时钟同步服务器地址。

需与相关人员确认用户列表，工作无关的账号会成为安全风险，如若被不适当授权的权限，存在安全隐患，应删除或锁定与数据库运行、维护等工作无关的账号。参考配置：

超级用户登录，输入命行，

# passwd -l username

Username为拟锁定账号。

采用静态口令进行认证的数据库，密码遵循复杂度要求，账号口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号四类中至少三类。5次以内不得设置相同的口令。密码应至少每90天进行更换。如DB2用户认证与操作系统用户机制进行绑定，口令复杂度要求实现依靠对应的操作系统上的口令复杂度配置，根据操作系统的不同，参考具体操作系统的口令复杂度要求和配置指南。

要求修改数据库默认密码，并满足复杂度要求，UNIX上DB2用户默认的口令为ibmdb2；WINDOWS NT上为db2admin。密码设置DB2数据库口令复杂度设置

当一个用户创建一个数据库对象时，数据库管理器会隐式地将一些特权授给用户，需要对相关权限进行检查，并根据实际需要评估权限是有必要。参考配置：

例如，将DBADM权限授予用户JEFF，而随后又决定撤销此权限。JEFF的DBADM权限，可以使用以下语句：

REVOKE DBADM ON DATABASE FROM USER jeff

执行上述语句后，用户JEFF不再拥有DBADM的权限，但仍然拥有数据库上的GRANT、BINDADD、CONNECT、CREATETAB、CREATE_EXTERNAL_ROUTINE、CREATE_NOT_FENCED_ROUTINE、IMPLICIT_SCHEMA、 LOAD和QUIESCE_CONNECT权限，这些权限是授予JEFF权限时隐式地授给该用户的。

这些权限需要根据实际情况进行评估，并确定是否撤销。

配置账号锁定策略，在10分钟内，错误尝试登录5次后，封禁该IP登录10分钟，参考配置：

进入控制台。

1．[安全领域]-->领域选择-->[配置]-->[用户*]-->勾选"启用*"，保存,激活更改。

2．[安全领域]-->领域选择-->[配置]-->[用户*]-->勾选"启用*"，把“*阀值”设为5的值，保存,激活更改。

3.[安全领域]-->领域选择-->[配置]-->[用户*]-->勾选"启用*"，*重置持续时间为10,保存,激活更改。

4、[安全领域]-->领域选择-->[配置]-->[用户*]-->勾选"启用*"，把“*持续时间”设为10，保存,激活更改。

注：如果无法修改配置，可以在控制台左上角更改中心中点击“锁定并编辑”按钮开始修改配置，配置修改完成之后点击“释放配置”按钮完成修改。要重启后生效。

应设置口令复杂度的策略，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类，口令更新最长不超过90天。参考配置：

登录管理控制台，在[安全领域]->[myrealm]->[用户和组]->[提供程序]->[提供程序][DefaultAuthenticator]->[提供程序特定]中设置：

“最小口令长度”设为6；

“任意字符的最大出现次数”设为5。

应对WebLogic账号进行检查，并删除无用账号，参考配置：

以管理员身份登录控制台,进行检查。

在[安全领域]-->领域选择-->[用户和组]中删除不必要的账号,保存,激活更改。

置日志审计，启用审核登录功能，以及HTTP访问日志，并设置日志本地保存时间为60天（日志应保存180天）。参考配置：

1.[安全领域]->领域选择->[提供程序]->[审核]，如无审核提供程序，新建；若存在，选择审计提供程序->[配置]->[提供程序特定]，严重性：CUSTOM，选中启用警告审计严重性、启用错误审计严重性、启用成功审计严重性、启用失败审计严重性，保存，激活更改。

2.[安全领域]->领域选择->[提供程序]->[审核]，如无审核提供程序，新建；若存在，选择审计提供程序->[配置]->[提供程序特定]，严重性：CUSTOM，保存，激活更改。

3.[域名]->[配置]->[公用|一般信息]->[高级]，配置审计类型选择"更改日志和审计"，保存，激活更改。

4.[环境]->[服务器]->服务器选择->[日志记录]->[HTTP]，勾选"启用HTTP访问日志文件",保存,激活更改。

5.[环境]->[服务器]->服务器选择->[日志记录]->[一般信息]，“滚动类型”选“按时间”，“要保留的文件数”为“60”。

设置控制台会话、设置https超时以及http超时登出，参考配置：

1.[域名]->[配置]->[一般信息]->[高级],修改控制台会话超时为不大于600的值,保存,激活更改。

配置目录列表访问，禁止weblogic列表显示文件，参考配置：

登陆管理控制台：

控制台中选择"部署->控制->(应用名)->配置->一般信息"，取消“已启用索引目录”勾选。