锁定不必要的账号：

passwd -l aa
passwd -u xxx

密码策略

/etc/login.defs
PASS_MAX_DAYS 90
PASS_MIN_DAYS 0
PASS_WARN_AGE 7
PASS_MIN_LEN 9

检查空密码 awk -F: '(1 }' /etc/shadow

---

禁用不必要的服务

runlevel
chkconfig --list
chkconfig xx on/off

vi /etc/profile
umask=022
--
ssh
AllowUsers *@192.168.1.0 xx
PermitRootLogin no
banner NONE

注销时间

/etc/profile
TMOUT=600
HISTSIZE=5
HISTFILESIZE=5

---

1、删除用户：operator lp shutdown halt games gopher
删除用户组：lp uucp games dip
2、查看是否有空密码：awk -F: ‘(1 }’ /etc/shadow
3、检查是否有其他账号UID为0：
awk -F: '(1}' /etc/passwd
4、是否有用户目录下的.文件是其他人可以读写的
for dir in \

awk -F: ‘($3 >= 500) { print $6 }’ /etc/passwd

do

for file in $dir/.[A-Za-z0-9]*

do

if [ -f $file ]; then

chmod o-w $file

fi

done

done
5、设置umask
6、 vi /etc/login.defs
PASS_MAX_DAYS 99999
PASS_MIN_DAYS 0
PASS_MIN_LEN 5
PASS_WARN_AGE 7
7、限制su的用户
限制能够su为root 的用户：#vi /etc/pam.d/su
在文件头部添加下面这样的一行

auth required pam_wheel.so use_uid

这样，只有wheel组的用户可以su到root
操作样例：

usermod -G10 test 将test用户加入到wheel组

8、修改自动注销
vi /etc/profile
TMOUT=600
9、设置历史命令保留条数：
vi /etc/profile
HISTSIZE=5
10、vi /etc/host.conf
nospoof on

---

限制 at/cron给授权的用户:
cd /etc/

rm -f cron.deny at.deny

echo root >cron.allow

echo root >at.allow

chown root:root cron.allow at.allow

chmod 400 cron.allow at.allow
Crontab文件限制访问权限:
chown root:root /etc/crontab

chmod 400 /etc/crontab

chown -R root:root /var/spool/cron

chmod -R go-rwx /var/spool/cron

chown -R root:root /etc/cron.*

chmod -R go-rwx /etc/cron.*
建立恰当的警告banner:
echo “Authorized uses only. All activity may be \

monitored and reported.” >>/etc/motd

chown root:root /etc/motd

chmod 644 /etc/motd

echo “Authorized uses only. All activity may be \

monitored and reported.” >> /etc/issue

echo “Authorized uses only. All activity may be \

monitored and reported.” >> /etc/issue.net
chown root:root /etc/sysctl.conf
chmod 600 /etc/sysctl.conf
chkconfig postfix off
--
|
设置项 | 注释: |
| 1 | 配置空闲登出的超时间隔:

ClientAliveInterval 300

ClientAliveCountMax 0

| Vi /etc/ssh/sshd_config |
| 2 | 禁用 .rhosts 文件

IgnoreRhosts yes

| Vi /etc/ssh/sshd_config |
| 3 | 禁用基于主机的认证

HostbasedAuthentication no

| Vi /etc/ssh/sshd_config |
| 4 | 禁止 root 帐号通过 SSH 登录

PermitRootLogin no

| Vi /etc/ssh/sshd_config |
| 5 | 用警告的 Banner

Banner /etc/issue

| Vi /etc/ssh/sshd_config |
| 6 | iptables防火墙处理 SSH 端口 # 64906

-A INPUT -s 192.168.1.0/24 -m state –state NEW -p tcp –dport 64906 -j ACCEPT

-A INPUT -s 202.54.1.5/29 -m state –state NEW -p tcp –dport 64906 -j ACCEPT

| 这里仅作为参考，需根据实际需要调整参数 |
| 7 | 修改 SSH 端口和限制 IP 绑定：

Port 64906

安装selinux管理命令

yum -y install policycoreutils-python

修改 port contexts（关键），需要对context进行修改

semanage port -a -t ssh_port_t -p tcp 64906

semanage port -l | grep ssh —-查看当前SElinux 允许的ssh端口

| Vi /etc/ssh/sshd_config

仅作为参考，需根据实际需要调整参数。

|
| 8 | 禁用空密码：

PermitEmptyPasswords no

| 禁止帐号使用空密码进行远程登录SSH |
| 9 | 记录日志：

LogLevel INFO

| 确保在 sshd_config 中将日志级别 LogLevel 设置为 INFO 或者 DEBUG，可通过 logwatch or

logcheck 来阅读日志。

|
| 10 | 重启SSH

systemctl restart sshd.service

|

部署入侵检测工具：
AIDE