1.服务器密码复杂度
密码最小长度，密码复杂度策略
vim /etc/pam.d/system-auth
---------------
#密码配置
#ucredit：大写字母个数；lcredit：小写字母个数；dcredit：数字个数；ocredit：特殊字符个数；
#minlen 最小长度
#密码重复使用次数限制 remember=5
password requisite pam_pwquality.so try_first_pass local_users_only minlen=6 ucredit=-1 lcredit=-1 dcredit=-1
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5
2.服务器密码定期更换
口令更改最小间隔天数，口令过期前警告天数，口令生存周期
vim /etc/login.defs
------------------
#修改
PASS_MAX_DAYS 90
PASS_MIN_DAYS 6
PASS_MIN_LEN 5
PASS_WARN_AGE 30
3.服务器审计功能
安全审计，历史命令配置
编辑/etc/profile文件，配置HISTFILESIZE的值不大于5
编辑/etc/profile文件，配置HISTSIZE的值不大于5
vim /etc/profile
--------------------
HISTSIZE=5
HISTFILESIZE=5
#600s 超时退出 命令行界面超时自动退出
export TMOUT=600
--------------------
source /etc/profile
远程日志审计，改为具体ip
vim /etc/rsyslog.conf
---------------------
*.* @192.168.1.2
---------------------
systemctl enable rsyslog
systemctl restart rsyslog
4.访问控制
按组管理账号
cp -p /etc/group /etc/group.bak
groupadd 组名
useradd -g 组名 -m 用户名
passwd 用户名
测试登录，使用新用户登录，并切换到root（su root）
只允许 指定组名下的用户 su为 root
vim /etc/pam.d/su
-------------------------
auth required pam_wheel.so group=组名
禁止root远程登录
vim /etc/pam.d/login
----------------------------
auth required pam_securetty.so
----------------------------vim /etc/ssh/sshd_config
----------------------------
PermitRootLogin no
----------------------------systemctl restart sshd
5.启用日志审计
查看启用状态
systemctl status auditd
设置开机自启动
systemctl enable auditd
如果未启用，修改配置
find / -name grub.cfg
-------------------
麒麟v10 的位置是:/boot/efi/EFI/kylin/grub.cfg
###################
vim /boot/efi/EFI/kylin/grub.cfg
vim /etc/default/grub
-------------------
将所有 audit=0 改为 audit=1
设置默认开机不启动防火墙
systemctl disable firewalld
开启sshd开机自启动
systemctl enable sshd
重启服务器，内核功能
reboot
如果出现无法使用ssh登录的情况，请使用 telnet 进行登录，但是需要在重启前设置【默认开机不启动防火墙】，否则telnet会被防火墙拦截（教训）
telnet ip
