參考...

高設定使用者許可權配置檔案的許可權 | 檔案許可權

執行以下5條命令
 chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow
 chmod 0644 /etc/group 
 chmod 0644 /etc/passwd 
 chmod 0400 /etc/shadow 
 chmod 0400 /etc/gshadow

高確保SSH LogLevel設定為INFO | 服務配置
 編輯 /etc/ssh/sshd_config 檔案以按如下方式設定引數(取消註釋):
 LogLevel INFO

 高設定SSH空閒超時退出時間 | 服務配置
 設定SSH空閒超時退出時間,可降低未授權使用者訪問其他使用者ssh會話的風險
編輯/etc/ssh/sshd_config，將ClientAliveInterval 設定為300到900，即5-15分鐘，將ClientAliveCountMax設定為0。 ClientAliveInterval 900 ClientAliveCountMax 0

高SSHD強制使用V2安全協議 | 服務配置
編輯 /etc/ssh/sshd_config 檔案以按如下方式設定引數： Protocol 2

高確保SSH MaxAuthTries設定為3到6之間 | 服務配置
設定較低的Max AuthTrimes引數將降低SSH伺服器被暴力攻擊成功的風險。

在/etc/ssh/sshd_config中取消MaxAuthTries註釋符號#，設定最大密碼嘗試失敗次數3-6，建議為4： MaxAuthTries 4
高設定密碼修改最小間隔時間 | 身份鑑別
設定密碼修改最小間隔時間，限制密碼更改過於頻繁
在 /etc/login.defs 中將 PASS_MIN_DAYS 引數設定為7-14之間,建議為7： PASS_MIN_DAYS 7 需同時執行命令為root使用者設定： chage --mindays 7 

高設定密碼失效時間 | 身份鑑別
設定密碼失效時間，強制定期修改密碼，減少密碼被洩漏和猜測風險，使用非密碼登陸方式(如金鑰對)請忽略此項。
使用非密碼登陸方式如金鑰對，請忽略此項。在 /etc/login.defs 中將 PASS_MAX_DAYS 引數設定為 60-180之間，如 PASS_MAX_DAYS 90。需同時執行命令設定root密碼失效時間： chage --maxdays 90 root。

高禁止SSH空密碼使用者登入 | 服務配置
在/etc/ssh/sshd_config中取消PermitEmptyPasswords no註釋符號#

高密碼複雜度檢查 | 身份鑑別
編輯/etc/security/pwquality.conf，把minlen（密碼最小長度）設定為9-32位，把minclass（至少包含小寫字母、大寫字母、數字、特殊字元等4類字元中等3類或4類）設定為3或4。如： minlen=10 minclass=3

高確保root是唯一的UID為0的帳戶 | 身份鑑別
除root以外其他UID為0的使用者(檢視命令cat /etc/passwd | awk -F: '($3 == 0) { print $1 }'|grep -v '^root$' )都應該刪除，或者為其分配新的UID

高開啟地址空間佈局隨機化 | 入侵防範
它將程序的記憶體空間地址隨機化來增大入侵者預測目的地址難度，從而降低程序被成功入侵的風險
執行命令：
 sysctl -w kernel.randomize_va_space=2

高檢查系統空密碼賬戶| 身份鑑別
為使用者設定一個非空密碼
高訪問控制配置檔案的許可權設定 | 檔案許可權
執行以下4條命令： chown root:root /etc/hosts.allow chown root:root /etc/hosts.deny chmod 644 /etc/hosts.deny chmod 644 /etc/hosts.allow
高確保rsyslog服務已啟用 | 安全審計
執行以下命令啟用rsyslog服務 systemctl enable rsyslog

高確保密碼到期警告天數為7或更多 | 身份鑑別
在 /etc/login.defs 中將 PASS_WARN_AGE 引數設定為7-14之間，建議為7： PASS_WARN_AGE 7 。同時執行命令使root使用者設定生效： chage --warndays 7 root
高檢查密碼重用是否受限制 | 身份鑑別
強制使用者不重用最近使用的密碼，降低密碼猜測攻擊風險

在/etc/pam.d/password-auth和/etc/pam.d/system-auth中password sufficient pam_unix.so 這行的末尾配置remember引數為5-24之間，原來的內容不用更改。如下面只在末尾加了remember=5，即可限制不能重用最近5個密碼。 password sufficient pam_unix.so sha512 try_