1. 賬號和口令

1.1 禁用或刪除無用賬號

減少系統無用賬號，降低安全風險。

操作步驟

• 使用命令 userdel <使用者名稱> 刪除不必要的賬號。
• 使用命令 passwd -l <使用者名稱> 鎖定不必要的賬號。
• 使用命令 passwd -u <使用者名稱> 解鎖必要的賬號。

1.2 檢查特殊賬號

檢查是否存在空口令和root許可權的賬號。

操作步驟

1. 檢視空口令和root許可權賬號，確認是否存在異常賬號：
   • 使用命令 awk -F: '($2=="")' /etc/shadow 檢視空口令賬號。
   • 使用命令 awk -F: '($3==0)' /etc/passwd
      檢視UID為零的賬號。
2. 加固空口令賬號：
   • 使用命令 passwd <使用者名稱> 為空口令賬號設定密碼。
   • 確認UID為零的賬號只有root賬號。

1.3 新增口令策略

加強口令的複雜度等，降低被猜解的可能性。

操作步驟

1. 使用命令 vi /etc/login.defs 修改配置檔案。
   • PASS_MAX_DAYS 90 #新建使用者的密碼最長使用天數
   • PASS_MIN_DAYS 0 #新建使用者的密碼最短使用天數
   • PASS_WARN_AGE 7 #新建使用者的密碼到期提前提醒天數
2. 使用chage命令修改使用者設定。
   例如，chage -m 0 -M 30 -E 2000-01-01 -W 7 <使用者名稱>
   表示將此使用者的密碼最長使用天數設為30，最短使用天數設為0，密碼2000年1月1日過期，過期前七天警告使用者。
3. 設定連續輸錯三次密碼，賬號鎖定五分鐘。使用命令 vi /etc/pam.d/common-auth修改配置檔案，在配置檔案中新增 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。

1.4 限制使用者su

限制能su到root的使用者。

操作步驟

使用命令 vi /etc/pam.d/su修改配置檔案，在配置檔案中新增行。例如，只允許test組使用者su到root，則新增 auth required pam_wheel.so group=test

1.4 禁止root使用者直接登入

限制root使用者直接登入。

操作步驟

1. 建立普通許可權賬號並配置密碼,防止無法遠端登入;
2. 使用命令 vi /etc/ssh/sshd_config修改配置檔案將PermitRootLogin的值改成no，並儲存，然後使用service sshd restart重啟服務。

2. 服務

2.1 關閉不必要的服務

關閉不必要的服務（如普通服務和xinetd服務），降低風險。

操作步驟

使用命令systemctl disable <服務名>設定服務在開機時不自動啟動。

說明： 對於部分老版本的Linux作業系統（如CentOS 6），可以使用命令chkconfig --level <init級別> <服務名> off設定服務在指定init級別下開機時不自動啟動。

2.2 SSH服務安全

對SSH服務進行安全加固，防止暴力破解成功。

操作步驟

使用命令 vim /etc/ssh/sshd_config 編輯配置檔案。

• 不允許root賬號直接登入系統。
  設定 PermitRootLogin 的值為 no。
• 修改SSH使用的協議版本。
  設定 Protocol 的版本為 2。
• 修改允許密碼錯誤次數（預設6次）。
  設定 MaxAuthTries 的值為 3。

配置檔案修改完成後，重啟sshd服務生效。

3. 檔案系統

3.1 設定umask值

設定預設的umask值，增強安全性。

操作步驟

使用命令 vi /etc/profile 修改配置檔案，新增行 umask 027， 即新建立的檔案屬主擁有讀寫執行許可權，同組使用者擁有讀和執行許可權，其他使用者無許可權。

3.2 設定登入超時

設定系統登入後，連線超時時間，增強安全性。

操作步驟

使用命令 vi /etc/profile 修改配置檔案，將以 TMOUT= 開頭的行註釋，設定為TMOUT=180，即超時時間為三分鐘。

4. 日誌

4.1 syslogd日誌

啟用日誌功能，並配置日誌記錄。

操作步驟

Linux系統預設啟用以下型別日誌：

• 系統日誌（預設）/var/log/messages
• cron日誌（預設）/var/log/cron
• 安全日誌（預設）/var/log/secure

注意：部分系統可能使用syslog-ng日誌，配置檔案為：/etc/syslog-ng/syslog-ng.conf。

您可以根據需求配置詳細日誌。

4.2 記錄所有使用者的登入和操作日誌

通過指令碼程式碼實現記錄所有使用者的登入操作日誌，防止出現安全事件後無據可查。

操作步驟

1. 執行 [[email protected] /]# vim /etc/profile開啟配置檔案。
2. 在配置檔案中輸入以下內容：

   history
   USER=`whoami`
   USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
   if [ "$USER_IP" = "" ]; then
   USER_IP=`hostname`
   fi
   if [ ! -d /var/log/history ]; then
   mkdir /var/log/history
   chmod 777 /var/log/history
   fi
   if [ ! -d /var/log/history/${LOGNAME} ]; then
   mkdir /var/log/history/${LOGNAME}
   chmod 300 /var/log/history/${LOGNAME}
   fi
   export HISTSIZE=4096
   DT=`date +"%Y%m%d_%H:%M:%S"`
   export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"
   chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null

3. 執行 [[email protected] /]# source /etc/profile  載入配置生效。
   注意： /var/log/history 是記錄日誌的存放位置，可以自定義。

通過上述步驟，可以在 /var/log/history 目錄下以每個使用者為名新建一個資料夾，每次使用者退出後都會產生以使用者名稱、登入IP、時間的日誌檔案，包含此使用者本次的所有操作（root使用者除外）。

同時，建議您使用OSS服務收集儲存日誌。