☰

Bloqueio de conta com pam_faillock no RHEL6

tag-icon • tag-icon redhat pam rhel6 user-accounts hardening
Bloqueio de conta com pam_faillock no RHEL6

Anteriormente, perguntei sobre o usopam_tally2 sob RHEL6. Eu gostaria de fazer esta pergunta e responder para documentar o uso recomendado depam_faillock sobre pam_tally2para a mesma função;

Qual é a estratégia recomendada para bloqueio temporário de conta no Red Hat 6?

Responder1

O módulo pam_faillock nos foi apresentado noNotas Técnicas para Red Hat Enterprise Linux 6.1. E de alguma forma isso passou despercebido pelo meu radar até agora.

BELEZA#644971
Um novo módulo pam_faillock foi adicionado para suportar o bloqueio temporário de contas de usuário no caso de múltiplas tentativas de autenticação com falha.Este novo módulo melhora a funcionalidade do módulo pam_tally2 existente, pois também permite o bloqueio temporário quando as tentativas de autenticação são feitas em um protetor de tela.

OGuia de segurançanos explica como este módulo deve ser usado na seção 2.1.9.5, Bloqueio de conta.

Siga estas etapas para configurar o bloqueio de conta:

Para bloquear qualquer usuário não root após três tentativas malsucedidas e desbloquear esse usuário após 10 minutos, adicione as seguintes linhas à seção de autenticação dos arquivos /etc/pam.d/system-authe /etc/pam.d/password-auth:

auth        required       pam_faillock.so preauth silent audit deny=3 unlock_time=600
auth        sufficient     pam_unix.so nullok try_first_pass
auth        [default=die]  pam_faillock.so authfail audit deny=3 unlock_time=600

Adicione a seguinte linha à seção de conta deambosarquivos especificados na etapa anterior:

account     required      pam_faillock.so

Parei aqui intencionalmente porque isso fornecerá a funcionalidade que a maioria procura. Se você deseja incluir o usuário root, continue lendo no link fornecido.

informação relacionada