| 加固项 | MFA 应急预案 |
|---|---|
| 适用平台 | 全部平台 |
| 风险等级 | 中 |
| 基线 | 备用码有保管与轮换流程 |
备用码安全做法
备用码安全做法
# google-authenticator 生成的一次性备用码：
# 1) 打印/离线保管，不留在服务器用户目录
# 2) 使用即作废，剩余列表定期重发
ls -l ~/.google_authenticator # 权限应 600 且非共享账号重置 MFA 的流程若只靠客服口头确认，等于绕过 MFA：重置必须走强身份再验证 + 双人审批。
本包目录（363 条）
主机加固基线90 条防火墙与访问控制50 条
口令与认证策略55 条
- SSH 禁用口令登录、启用密钥认证
- pam_faillock 失败锁定策略
- PAM pwquality 复杂度基线
- login.defs 口令时效全局基线
- 本地密码策略（net accounts / secedit）
- LAPS 自动轮换本地管理员口令
- 清除组策略首选项中的 cpassword
- 移除 PAM nullok（空口令即登录）
- 特权组成员定期审计
- chage 逐账号口令生命周期管理
- TOTP 双因素接入（google-authenticator）
- 账户锁定策略与自助解锁
- 口令时效与弱口令存量核查
- 口令保管与共享禁令（密码库落地）
- 限制 NTLM 出站（向远程服务器发送 NTLM）
- RDP 暴露面收敛（网关与来源限制）
- authselect/authconfig 统一管理 PAM
- authorized_keys 权限与目录加固
- SSH 强制“密钥 + 动态口令”组合认证
- 域密码策略（默认域策略）核查
- RDP 强制网络级身份验证（NLA）
- pwquality 防弱口令进阶参数
- SSH 密钥算法与长度要求
- 托管服务账号（gMSA）替代静态服务口令
- faillock 核查与手工解锁
- 账号锁定与解锁（passwd/usermod）
- SSH CA 集中签发与 Principal 授权
- sudo 凭据缓存与提权审计
- 细粒度密码策略（PSO）为特权账号加严
- Kerberos 加密类型收敛（AES only）
- pam_pwhistory 口令历史与重用限制
- sudo 组认证失败锁定
- 口令哈希算法收敛（SHA-512/yescrypt）
- 限制 SSH Agent 转发
- 禁用自动登录与明文默认口令
- 计划任务与服务凭据安全
- 屏幕锁定与空闲超时
- 服务账号权限与登录方式盘点
- WinRM 认证与传输收敛
- root 账户锁定保护（even_deny_root 取舍）
- SSH 认证尝试与并发限制
- MFA 备用码与应急通道管理
- 限制缓存登录数量
- 凭据委托与 RDP 凭据保护
- 用户权限分配：拒绝本地/远程登录
- 凭据管理器存量清理
- 智能卡/证书登录要求（高安全账号）
- BitLocker 的 TPM+PIN 双因素启动保护
- 失败登录记录分析（btmp/lastb）
- Kerberos 票证生命周期策略
- 认证策略筒仓（Authentication Policy Silos）
- 匿名枚举与空会话限制
- PAM limits 会话资源限制
- 登录时间与工作站限制
- 失败锁定与 fail2ban 的职责划分
MFA 备用码与应急通道管理
MFA 的可用性风险由备用码承担：备用码要一次性、加密保管、定期轮换，并明确“丢失设备”的重置流程与审批。
易错点
- .google_authenticator 文件泄露（含密钥与备用码）等于 MFA 失效：权限与备份都要管起来
- 同一备用码在多处重复使用会破坏一次性语义：轮换时回收旧列表
数据来源与参考
- NIST SP 800-63B：Authenticator Lifecycle
- google-authenticator 文档