网络安全运维应用安全【免费下载链接】ansible-collection-hardeningThis Ansible collection provides battle tested hardening for Linux, SSH, nginx, MySQL项目地址https://gitcode.com/GitHub_Trending/an/ansible-collection-hardening点击查看免费下载本篇技术指南以 roles/os_hardening/CHANGELOG.md 为主线梳理 devsec.os_hardening 角色从 1.0.0 到 6.3.0 的核心演进脉络并结合本仓库中的任务源码、模板与默认变量逐项解析 sysctl 内核加固、PAM 口令策略、auditd 审计、SUID/SGID 收敛、文件系统禁用、账户管理等关键能力。读完本文你将理解该角色的功能全貌、关键开关变量、已知边界与常见故障排查路径可直接用于评估与落地 Linux 基线加固。一、CHANGELOG 全貌版本演进主线roles/os_hardening/CHANGELOG.md 记录了 2015-09-01 的 1.0.0 至 2020-10-28 的 6.3.0 共十余个版本每版均按「Implemented enhancements / Fixed bugs / Closed issues / Merged pull requests」分类列出。逐版梳理可以看到三条清晰的主线平台支持不断扩张从早期仅覆盖 Debian/RedHat 系列逐步加入 CentOS 73.1、Debian 83.1、Ubuntu 18.045.1、Fedora5.2、Amazon Linux5.0、Oracle 75.0、OpenSUSE6.0、Arch6.3以及 Debian Buster / CentOS 86.0等新版本支持。对应到 roles/os_hardening/vars 目录中按发行版拆分的Amazon.yml、Archlinux.yml、Debian.yml、Fedora.yml、RedHat.yml、Suse.yml、Ubuntu.yml等变量文件。功能从堆砌走向可配置大量 pull request 将硬编码行为改为变量驱动典型如os_hardening_enabled总开关5.0、os_auditd_enabled5.1、sysctl_overwrite后续版本、os_filesystem_whitelist、os_ignore_users等。工程质量持续提升Ansible 2.0/2.4/2.8 语法兼容、include→import_tasks迁移、ansible-lint 接入、check mode--check支持3.1、幂等性问题修复、以find/package模块替代 shell 命令等。这些演进在当前仓库的 roles/os_hardening/tasks 与 roles/os_hardening/defaults/main.yml 中均有落地实现下文将逐项对证。二、从 CHANGELOG 反推角色到底加固了什么2.1 功能清单README 与 CHANGELOG 交叉印证roles/os_hardening/README.md 明确列出了角色的全部加固项与 CHANGELOG 中各版本引入的功能一一对应移除不再使用的 yum 仓库并开启 GPG 校验1.0 时代引入yum 任务移除有已知问题的软件包xinetd、inetd、tftp-server、ypserv、telnet-server、rsh-server、prelink由os_security_packages_list控制配置 PAM 实现强口令校验passwdqc / pwquality安装并配置 auditd 审计守护进程通过 soft limit 禁用 core dump设置严格的 umask收紧系统路径中可执行文件的访问权限加固 shadow 与 passwd 文件的访问禁用不使用的文件系统modprobe 黑名单禁用 rhosts配置 securetty通过 sysctl 配置内核参数在 EL 系系统上启用 SELinux移除 SUID/SGID 位配置系统账户的登录与口令注意该角色不会更新系统软件包、也不会安装安全补丁它只做配置级加固。2.2 任务编排一个总开关驱动的模块化结构roles/os_hardening/tasks/main.yml 仅做一件事——当os_hardening_enabled为真时 include hardening.yml而 hardening.yml 则按模块逐个import_tasks每个模块都有独立开关变量与 tag模块开关变量tagauditdos_auditd_enabledauditdcronos_cron_enabledcronctrlaltdelos_ctrlaltdel_disabledctrlaltdellimitsos_limits_enabledlimitslogin_defsos_login_defs_enabledlogin_defsminimize_accessos_minimize_access_enabledminimize_accessPAMos_pam_enabledpammodprobeos_modprobe_enabledmodprobeprofileos_profile_enabledprofilesecurettyos_securetty_enabledsecurettySUID/SGIDos_security_suid_sgid_enforcesuid_sgidsysctlos_sysctl_enabledsysctluser_accountsos_user_accounts_enableduser_accountsrhostsos_rhosts_enabledrhostsnetrcos_netrc_enablednetrcyumos_yum_enabled仅 RedHat 家族yumaptos_apt_enabled仅 Debian 家族aptselinuxos_selinux_enabledSELinux 已启用时selinux所有模块默认开启os_*_enabled默认值均为True可在 playbook 中按需关闭。每个模块还带独立 tag支持ansible-playbook --tags pam之类的精细化执行。三、版本演进中的关键能力逐项深挖3.1 sysctl 内核加固6.0 从 Tails 与 CIS Benchmark 吸收参数CHANGELOG 6.0.0 提到 Add kernel hardening parameters from Tails and CIS BenchmarkPR #263、Add kernel parameter information to READMEPR #259并修复了容器内应用 sysctl 报错#243与检查模式下手动 touch sysctl 文件导致幂等问题#309/#314等问题。在 roles/os_hardening/defaults/main.yml 中sysctl_config字典承载了数十个内核参数默认值形如sysctl_config: fs.protected_hardlinks: 1 fs.protected_symlinks: 1 fs.protected_fifos: 1 fs.protected_regular: 2 fs.suid_dumpable: 0 kernel.core_uses_pid: 1 kernel.kptr_restrict: 2 kernel.kexec_load_disabled: 1 kernel.sysrq: 0 kernel.randomize_va_space: 2 kernel.yama.ptrace_scope: 2 net.ipv4.ip_forward: 0 net.ipv4.conf.all.rp_filter: 1 net.ipv4.tcp_syncookies: 1 net.ipv4.conf.all.accept_source_route: 0 net.ipv4.conf.all.send_redirects: 0 vm.mmap_min_addr: 65536 vm.mmap_rnd_bits: 32 vm.mmap_rnd_compat_bits: 16 ...参数大致可归为四类内核内存与执行保护kernel.randomize_va_space2ASLR 全开、kernel.kptr_restrict2限制 /proc 指针可读性、kernel.kexec_load_disabled1、kernel.yama.ptrace_scope2、vm.mmap_min_addr65536防止低地址映射攻击、vm.mmap_rnd_bits/vm.mmap_rnd_compat_bitsmmap 随机化位数。文件系统与 SUID 保护fs.protected_*系列防硬链接/软链接/管道攻击、fs.suid_dumpable0、kernel.core_uses_pid1。IPv4 网络加固rp_filter反地址欺骗、tcp_syncookies、禁用accept_source_route/send_redirects/accept_redirects、icmp_echo_ignore_broadcasts、log_martians等。IPv6 网络加固关闭转发、禁用accept_ra路由通告、router_solicitations、autoconf等减少邻居发现攻击面。底层实现在 roles/os_hardening/tasks/sysctl.yml先用file模块以state: touch、mode: 0440、modification_time: preserve方式创建/etc/sysctl.d/90-dev-sec.conf正是 CHANGELOG 6.3.0 中 #314 用 touch 替代直接写文件、#310 保留时间戳的修复结果再通过ansible.posix.sysctl模块逐条写入且sysctl_set: true、reload: true、ignoreerrors: true关键设计所有 sysctl 字典按sysctl_config→sysctl_custom_config→sysctl_rhel_config向后兼容保留→sysctl_overwrite的顺序combine后出现的字典覆盖先出现的键因此用户只需在sysctl_overwrite中给出想改的参数即可不必复制整个字典。该任务仅当ansible_facts.virtualization_type不在[docker, lxc, openvz]时执行规避容器内无法写 sysctl 的问题对应 #243。已知边界README Known LimitationsDocker/K8sDocker容器内网络栈受限必须覆盖net.ipv4.ip_forward: 1否则容器间转发失效- hosts: localhost roles: - devsec.hardening.os_hardening vars: sysctl_overwrite: net.ipv4.ip_forward: 1vm.mmap_rnd_bits角色默认设为32部分内核只支持更小值会报错此时需覆盖为如16。改进内核审计的建议README 指出auditd启动前产生的进程 AUID 为4294967295建议在内核启动参数中加入audit1对应 CHANGELOG 6.0.0 的 #253否则 auditd 日志无法完整审计所有进程。3.2 auditd从 5.0 引入到 6.0 可配置化CHANGELOG 显示 auditd 于 5.0.0#144 install and configure auditd引入5.1.0 增加os_auditd_enabled开关#192修复无特权 LXC 上 auditd 导致失败的问题 #1916.0.0 让max_log_file_action可配置#246。roles/os_hardening/tasks/auditd.yml 的实现包含三步安装auditd软件包包名由auditd_package变量按发行版决定渲染模板到/etc/audit/auditd.confmode: 0640变更后通知重启服务service 与 systemd 两条 handler停用并 masksystemd-journald-audit.socketSuse 除外因为该发行版不存在此 socket避免双写审计日志。roles/os_hardening/defaults/main.yml 中os_auditd_*变量覆盖了 auditd.conf 的完整参数面常见默认值与含义变量默认值说明os_auditd_max_log_file6单个日志文件最大 MB 数os_auditd_max_log_file_actionkeep_logs日志写满后的行为常用替代为rotateos_auditd_num_logs5rotate时保留的日志文件数os_auditd_space_left75剩余空间低于该 MB 值触发space_left_actionos_auditd_space_left_actionSYSLOG低磁盘空间动作合法值 ignore/syslog/rotate/email/exec/suspend/single/haltos_auditd_admin_space_left50更低空间阈值os_auditd_admin_space_left_actionSUSPEND严重低空间动作os_auditd_disk_full_actionSUSPEND磁盘写满动作os_auditd_disk_error_actionSUSPEND写盘出错动作os_auditd_flushINCREMENTAL刷盘策略可选项 none/incremental/incremental_async/data/syncos_auditd_log_formatRAW存储格式 raw/enrichedos_auditd_name_formatNONE节点名插入方式 NONE/hostname/fqd/numericos_auditd_log_grouproot日志文件属组os_auditd_action_mail_acctrootemail 动作的收件地址3.3 PAM 口令策略passwdqc → pwquality 与 no_pass_expiryCHANGELOG 中 PAM 相关内容频繁出现3.2.0 修复 RHEL7pam_passwdqc.so遗留问题并引入pam_pwquality#73/#94、4.3.1 实现os_security_kernel_enable_sysrq、6.0.0 修复非 RHEL 系统误建auth-system文件#247、以及 6.3.0 的文档改进。README 则明确按发行版采用不同 PAM 管理框架Debian/Ubuntu 用 pam-config-framework、RHEL8 参考 authselect、RHEL6/7 参考 authconfig。关键可配置变量roles/os_hardening/defaults/main.ymlos_auth_pam_passwdqc_enable默认True是否用 passwdqc 做强口令校验os_auth_pam_passwdqc_options默认mindisabled,disabled,16,12,8passwdqc 选项串即口令长度分级要求os_auth_pam_pwquality_options默认try_first_pass retry3 authtok_typepwquality 模块选项os_auth_retries默认5认证失败多少次后锁定账户os_auth_lockout_time默认600锁定持续时间秒os_auth_timeout默认60认证超时秒。实现层面roles/os_hardening/tasks/pam.yml 会移除pam ccreds禁止口令缓存防止脱离 LDAP 后仍能凭缓存登录、按 Debian/RedHat 家族分发到 pam_debian.yml 与 pam_rhel.yml并在 Arch 的/etc/pam.d/system-auth与 Suse 的/etc/pam.d/common-account中通过lineinfile的负向前瞻正则给pam_unix.so追加no_pass_expiry。no_pass_expiry 的实战价值README Known Limitations默认 PAM 配置下口令过期会同时阻断 SSH 密钥登录。若使用自己的 PAM 配置应在account阶段加入pam_unix.so no_pass_expiry典型行account required pam_unix.so no_pass_expiry另注意libuser.conf模板NSA 2.3.3.5将口令哈希算法升级为 SHA-512且os_sha_crypt_min_rounds/os_sha_crypt_max_rounds默认均为640000用于提高暴力破解成本值域 1000–999999999注意轮数越高认证 CPU 开销越大。3.4 SUID/SGID 收敛从误删到白名单机制SUID/SGID 处理是 CHANGELOG 里修复最多的领域之一1.0 引入移除功能#123.0 修复移除任务失败问题#72/#645.1 将/usr/bin/su加入系统白名单#199并保证os_security_users_allow含change_user时 su 权限不被过度收紧#1975.2 修复 RHEL 7.4 Too many setuid bits removed#1406.2 将 hidepid 相关变量移入 defaults 使其可覆盖#285。roles/os_hardening/tasks/suid_sgid.yml 的逻辑分两层黑名单定向移除对os_security_suid_sgid_system_blacklistOS 级与os_security_suid_sgid_blacklist用户级中的路径执行mode: a-s未知位全局收敛可选os_security_suid_sgid_remove_from_unknown默认False用find / -xdev \( -perm -4000 -o -perm -2000 \)扫描全盘剔除系统白名单后用set_fact取差集再对剩余文件移除 SUID/SGID 位用户可通过os_security_suid_sgid_whitelist保留特定文件。相关变量os_security_suid_sgid_enforce默认True总开关os_security_suid_sgid_remove_from_unknown默认False开启后会遍历已挂载文件系统移除未在任何名单中的 SUID/SGID 位建议在生产环境先验证白名单完整性os_security_users_allow可含change_user决定是否保留 su 能力。3.5 文件系统禁用vfat 与 EFI 的经典坑modprobe 模块roles/os_hardening/tasks/modprobe.yml默认将cramfs、freevxfs、jffs2、hfs、hfsplus、squashfs、udf、vfat以及协议栈dccp、rds、sctp、tipc写入/etc/modprobe.d/dev-sec.conf禁用。CHANGELOG 中反复出现的教训5.0.0 修复 EFI/vfat 问题#1906.2.0 do not blacklist used filesystems#289——实测禁用会导致系统不可用5.0.0 曾出现 System completely unresponsive after role execution#145。当前实现已内置双重防护先检测/sys/firmware/efi存在则从列表中移除vfatEFI 引导分区通常为 vfat再从列表中剔除ansible_facts.mounts中正在使用的文件系统类型。用户也可通过os_filesystem_whitelist默认[]显式保留。这些设计正是对 5.0 时代 Strongly recommend against disabling vfat by default#162等问题的沉淀。3.6 账户与口令老化系统账户的锁定与忽略名单roles/os_hardening/tasks/user_accounts.yml 展示了账户加固的完整链路用getent读取 passwd/shadow 数据库按 UID 区间划分UID 0 且 os_auth_sys_uid_max归为系统账户UID 在 [os_auth_uid_min, os_auth_uid_max]归为普通账户UID 0归为 root 账户系统账户shell 改为os_nologin_shell_path、口令置为*锁定跳过已以!开头锁定的条目保证幂等普通账户默认设置口令老化password_expire_max/password_expire_warn对应os_auth_pw_max_age默认 60 天、os_auth_pw_warn_age默认 7 天并将家目录 chmod 0700root 账户os_rootuser_pw_ageing默认False控制是否同样老化os_remove_additional_root_users默认False开启后删除 UID0 且非 root 的账户。忽略名单机制os_ignore_users默认[vagrant, kitchen]与 OS 级os_always_ignore_users可跳过特定账户如测试机 vagrant 用户、inspec 连接用户。README 特别提示使用 inspec 验证时必须把连接用户加入os_ignore_users否则账户会被锁定导致测试失败对应 #124Raspberry Pi 场景尤甚。此外 login_defs 模块roles/os_hardening/tasks/login_defs.yml渲染/etc/login.defsmode0444其中的UID_MIN/UID_MAX、GID_MIN/GID_MAX、SUB_UID_MIN/SUB_UID_MAX等由os_auth_uid_min1000、os_auth_uid_max60000、os_auth_sub_uid_min100000、os_auth_sub_uid_max600100000、os_auth_sub_uid_count65536等变量控制——这正是 CHANGELOG 6.0.0 Make useradd defaults in login.defs dependent on OS#266的成果不同发行版使用 OS 特定 vars 中的差异化默认值。3.7 minimize_access 与文件权限从 shell 到 find 模块的工程化改进CHANGELOG 5.0.0 修复 minimize_access: maximum recursion depth exceeded on Ansible 2.5#1715.2.0 大幅提速 minimize access#208/#2096.2.0 用find模块替代 shell#294并统一 when 条件#295。minimize_access 将os_env_user_paths默认/usr/local/sbin、/usr/local/bin、/usr/sbin、/usr/bin、/sbin、/bin可经os_env_extra_user_paths追加下文件的组/其他写权限去除同时收紧/etc/shadow、/etc/passwd等敏感文件权限对应 CHANGELOG 3.1 的/etc/shadow权限问题 #86 与 #89 可覆盖方案、6.3.0 的 Suse shadow 权限调整 #311。6.3.0 还显式定义了各文件权限#299/#300以适配 ansible-lint 的严格要求。3.8 其他模块速览limitsos_limits_enabled渲染 coredump 相关 soft limit 配置os_security_kernel_enable_core_dump默认False控制是否允许内核 coredumpCHANGELOG 5.0.0 修复了 Fix core dump config file creation when core dumps are disabled#182。profileos_profile_enabled设置/etc/profile.d下的环境含TMOUT自动登出os_security_auto_logout默认0即关闭1.0 时代引入#1。securettyos_securetty_enabledos_auth_root_ttys默认允许 root 从console, tty1-tty6登录1.0 即支持#2/#3。rhosts / netrc删除~/.rhosts与~/.netrc4.2 引入 #137os_netrc_whitelist_user可放行指定用户。yum移除未使用仓库、开启 GPG 校验1.0 引入 #5os_yum_repo_file_whitelist可保护指定 repo 文件。selinux6.0 引入 #154/#236os_selinux_state默认enforcing、os_selinux_policy默认targeted任务在ansible_facts.selinux.status enabled且开关打开时执行。ufwDebian 家族默认 input/forward 策略 DROP、output ACCEPT模板见 roles/os_hardening/templates/etc/default/ufw.j23.1 引入 Ufw manage defaults#854.3 修复其模板 bug#151/#152。四、主要故障与规避策略CHANGELOG 修复经验汇总现象版本/PR规避与修复容器/无特权 LXC 上 sysctl 失败6.0 (#243)、5.1 (#191)仅非容器环境执行 sysctl 任务auditd 可用os_auditd_enabledfalse关闭check mode 下 sysctl 文件被修改6.3 (#313/#314)用state: touchmodification_time/access_time: preserveEFI 机器禁用 vfat 后无法启动5.0/6.2 (#190/#289/#162)检测/sys/firmware/efi、剔除已挂载文件系统或用os_filesystem_whitelistRHEL7 误删过多 SUID5.2 (#140)完善白名单谨慎开启os_security_suid_sgid_remove_from_unknown密码过期阻断 SSH 密钥登录READMEPAMaccount段加pam_unix.so no_pass_expiryvm.mmap_rnd_bits内核不支持READMEsysctl_overwrite.vm.mmap_rnd_bits: 16inspec 连接账户被锁定#124把连接用户加入os_ignore_usersRHEL7 hidepid2 导致 systemctl 报错#364默认hidepid_option: 0可覆盖为2系统账户 shell 被改后无法使用设计如此使用os_ignore_users/os_always_ignore_users保留需要的账户五、测试与验证molecule/inspec 佐证本仓库用 molecule 对角色做多平台验证molecule/os_hardening 与 molecule/os_hardening_vm每个场景的 verify.yml 均通过verify_tasks校验加固结果。以 molecule/os_hardening/verify_tasks/pam.yml 为例它检查 PAM 配置是否生效molecule/os_hardening/prepare_tasks 中的netrc.yml、pw_ageing.yml、sys_account_shell.yml、ignore_home_folders.yml等则先在目标机预置脏状态再验证角色能正确收敛——这正是 CHANGELOG 中反复强调的幂等性与check mode 兼容的落地检验。waivers.yaml则记录已知未通过项及其原因供 CI 持续跟踪。六、落地建议与快速开始最小化 playbookroles/os_hardening/README.md- hosts: all become: true roles: - name: devsec.hardening.os_hardening生产落地建议先在 staging 用--check与--diff预览变更再执行Docker/K8s 环境必须设置sysctl_overwrite.net.ipv4.ip_forward: 1提前规划os_ignore_users部署账户、监控账户、inspec 连接用户使用sysctl_overwrite而非复制整个sysctl_config字典更利于后续角色升级若使用 EFI 引导或自用特殊文件系统确认os_unused_filesystems与os_filesystem_whitelist开启os_security_suid_sgid_remove_from_unknown前先在全量环境核对白名单配合audit1内核参数提升 auditd 审计完整性。七、结语透过 roles/os_hardening/CHANGELOG.md 的版本记录可以看到os_hardening 角色的演进主线是平台覆盖扩张 → 行为变量化 → 幂等性与 check mode 兼容 → 破坏性操作加白名单护栏。每个踩坑都转化成了今天源码里的一个防御性判断EFI 检测、挂载文件系统剔除、容器虚拟化类型过滤、touch 保留时间戳、no_pass_expiry等。对使用者而言这份演进史就是最实用的避坑指南——理解每个开关与默认值的来龙去脉远比照搬默认配置更安全、更可控。赞分享网络安全运维应用安全【免费下载链接】ansible-collection-hardeningThis Ansible collection provides battle tested hardening for Linux, SSH, nginx, MySQL项目地址https://gitcode.com/GitHub_Trending/an/ansible-collection-hardening点击查看免费下载相关推荐开机卡 Logo 不用慌用 MTKClient 给联发科手机做完整备份与救砖的实战路线图开机卡 Logo 不用慌用 MTKClient 给联发科手机做完整备份与救砖的实战路线图 MTKClient 是一款面向联发科MediaTek芯片设备的免网络安全运维应用安全Ansible SSH 加固实战深入解析 ansible-collection-hardening 的 ssh_hardening 角色Ansible SSH 加固实战深入解析 ansible collection hardening 的 ssh_hardening 角色 导读 本文围绕开源网络安全运维应用安全Jamstack ECommerce主题定制与样式系统打造独特品牌体验Jamstack ECommerce主题定制与样式系统打造独特品牌体验 Jamstack ECommerce是一个基于Next.js和React构建高性能电子上一篇揭秘ni项目的智能依赖管理核心模块如何协同工作下一篇PC 上 4K 运行 PS3 游戏RPCS3 模拟器的实战上手指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考