chage --warndays 7 root  

4. 非 wheel 组用户禁用 su | 身份鉴别

普通用户禁用 su，仅特殊的用户组 wheel 下用户才可以使用 su 切换到 root 用户
加固建议
在 /etc/login.defs 中将 SU_WHEEL_ONLY 注释放开，并添加参数 yes：

SU_WHEEL_ONLY yes  

修改默认配置文件 /etc/pam.d/su，去掉如下这行注释，并在尾部添加 use_uid：

auth       required   pam_wheel.so use_uid  

添加 wheel 组用户

# 添加 wheel 组 groupadd -r wheel # 创建 hiwb 用户并加入到 wheel 组 useradd -r -m -s /bin/bash -g wheel -r hiwb # 将 hiwb 添加到 wheel 组 usermod -G wheel hiwb # 为 hiwb 用户设置密码 passwd hiwb  

查看 wheel 组用户

cat /etc/group | grep wheel  

5. 密码复杂度检查 | 身份鉴别

检查密码长度和密码是否使用多种字符类型
加固建议
安装 pam 的 cracklib 模块，cracklib 能提供额外的密码检查能力

apt install libpam-cracklib  

编辑 /etc/pam.d/common-password 配置文件中包含 password requisite pam_cracklib.so 这一行。配置 minlen（密码最小长度）设置为 9-32 位，ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1，它表示密码必须至少包含一个大写字母(ucredit)，一个小写字母(lcredit)，一个数字(dcredit)和一个标点符号(ocredit)。如

vim /etc/pam.d/common-password  password 	requisite 	pam_cracklib.so retry=3 minlen=11 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1  

6. 检查密码重用是否受限制 | 身份鉴别

强制用户不重用最近使用的密码，降低密码猜测攻击风险
加固建议
在 /etc/pam.d/common-password 中 password [success=1 default=ignore] pam_unix.so 这行的末尾配置 remember 参数为