☰

強力なパスワード ポリシーを構成する - 失敗した試行、パスワード認証

tag-icon • tag-icon linux rhel
強力なパスワード ポリシーを構成する - 失敗した試行、パスワード認証

セキュリティ スキャンに関するもう 1 つの質問です。セキュリティ スキャンの出力は何を意味しますか?

Result: FAILED

Actual Value: The command returned : 

auth        required                                     pam_faillock.so preauth silent
auth        required                                     pam_faillock.so authfail
account     required                                     pam_faillock.so

Policy Value: cmd: grep ""pam_faillock.so"" /etc/pam.d/password-auth | awk '{print} END {if (NR == 0) print ""Account lockout for 'password-auth' not set""}'
dont_echo_cmd: YES
expect: deny[\s]*=[\s]*5[\s]*unlock_time[\s]*=[\s]*300
system: Linux

答え1

スキャンでは、ファイル内の行deny = 5 unlock_time = 300のどこかにオプション (空白の量は異なる場合があります)が表示されることが想定されます。pam_faillock.so/etc/pam.d/password-auth

それらは検出されなかったため、スキャンのこの部分は失敗としてマークされます。

どうやら、スキャンは行に指定されたコマンドを実行しPolicy Value: cmd:、そのコマンドの出力は行の Perl 互換正規表現 (略して PCRE) と一致する必要がありますexpect:。

行内の二重引用符 ( "")Policy Value: cmd:は、スキャナ自体の実装方法の結果である可能性があります。コマンドを自分で実行する場合は、二重引用符を削除することをお勧めします。

grep "pam_faillock.so" /etc/pam.d/password-auth | awk '{print} END {if (NR == 0) print "Account lockout for 'password-auth' not set"}'

関連情報