1. 賬號和口令 1.1 禁用或刪除無用賬號

減少系統無用賬號，降低安全風險。

使用命令 userdel <用戶名> 刪除不必要的賬號。 使用命令 passwd -l <用戶名> 鎖定不必要的賬號。 使用命令 passwd -u <用戶名> 解鎖必要的賬號。 1.2 檢查特殊賬號

檢查是否存在空口令和root權限的賬號。

查看空口令和root權限賬號，確認是否存在異常賬號： 使用命令 awk -F: '($2=="")' /etc/shadow 查看空口令賬號。 使用命令 awk -F: '($3==0)' /etc/passwd 查看UID為零的賬號。 加固空口令賬號： 使用命令 passwd <用戶名> 為空口令賬號設定密碼。 確認UID為零的賬號只有root賬號。 1.3 添加口令策略

加強口令的復雜度等，降低被猜解的可能性。

例如，chage -m 0 -M 30 -E 2000-01-01 -W 7 <用戶名>表示將此用戶的密碼最長使用天數設為30，最短使用天數設為0，密碼2000年1月1日過期，過期前七天警告用戶。 設置連續輸錯三次密碼，賬號鎖定五分鐘。使用命令 vi /etc/pam.d/common-auth修改配置文件，在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。 1.4 限制用戶su

限制能su到root的用戶。

操作步驟

1.4 禁止root用戶直接登錄

限制root用戶直接登錄。

創建普通權限賬號并配置密碼,防止無法遠程登錄; 使用命令 vi /etc/ssh/sshd_config修改配置文件將PermitRootLogin的值改成no，并保存，然后使用service sshd restart重啟服務。 2. 服務 2.1 關閉不必要的服務

關閉不必要的服務（如普通服務和xinetd服務），降低風險。

操作步驟

2.2 SSH服務安全

對SSH服務進行安全加固，防止暴力破解成功。

操作步驟

設置 MaxAuthTries 的值為 3。

3. 文件系統 3.1 設置umask值

設置默認的umask值，增強安全性。

操作步驟

3.2 設置登錄超時

設置系統登錄后，連接超時時間，增強安全性。

操作步驟

4. 日志 4.1 syslogd日志

啟用日志功能，并配置日志記錄。

操作步驟

系統日志（默認）/var/log/messages cron日志（默認）/var/log/cron 安全日志（默認）/var/log/secure注意

：部分系統可能使用syslog-ng日志，配置文件為：/etc/syslog-ng/syslog-ng.conf。

4.2 記錄所有用戶的登錄和操作日志

通過腳本代碼實現記錄所有用戶的登錄操作日志，防止出現安全事件后無據可查。

操作步驟

1、運行 [root@xxx /]# vim /etc/profile打開配置文件。