Linux 远程登陆安全加固的方案，附带用户行为简单监控脚本。
（1）限制IP登陆
（2）限制ssh登陆，密码错误次数限制
（3）用户行为记录脚本
（4）一个组合使用方案
------------------（1）作用：限制IP登陆访问-------------------------
在 /etc/hosts.allow 添加以下内容【开放网段需要根据每个项目现场需求填写】
#允许IP 192.168.137.1 远程登录
sshd:192.168.137.1:allow
#允许IP 192.168.137.网段远程登录
sshd:192.168.137.*:allow
#拒绝IP 192.168.137.2 远程登录
sshd:192.168.137.2:deny
#拒绝所有
sshd:all:deny
放开限制：将添加的行前面全部加上 # 符号
注意，匹配规则顺序执行。
------------------（2）作用：限制ssh远程登陆-------------------------
修改文件：
[root@hadoop001 ~]# vi /etc/pam.d/sshd
#%PAM-1.0
auth required pam_sepermit.so
auth include password-auth
account required pam_nologin.so
account include password-auth
password include password-auth
# pam_selinux.so close should be the first session rule
session required pam_selinux.so close
session required pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session required pam_selinux.so open env_params
session optional pam_keyinit.so force revoke
session include password-auth
在文件中#%PAM-1.0 下一行添加一条命令如下：
auth required pam_tally2.so deny=2 unlock_time=999999 even_deny_root root_unlock_time=999999
放开限制：
在添加的语句那一行前面添加 # 符号
作用：
deny 允许输入错误次数
unlock_time 输入错误后自动解锁时间，单位秒
even_deny_root root用户也被限制
root_unlock_time root用户解锁时间，单位秒
解锁：
pam_tally2 –u root --reset
查看登陆错误次数：
pam_tally2 –u tom
------------------（3）linux用户行为监控脚本-------------------------
作用：
将用户的行为记录在/pys/.hist 目录下，按用户进行分类存储。
每个用户使用什么ip地址和什么时间内连接上来的。都写在这个里面了。这样比较方便查看别人干什么了。
在/etc/profile 中添加：
#如果要修改提示符则用注释的，默认PS1 为脚本中生效的。
#PS1="`whoami`@`hostname`:"'[$PWD]'
PS1='[\u@\h \W]\$ '
# history
USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]
then
USER_IP=`hostname`
fi
if [ ! -d /pys/.hist ]
then
mkdir -p /pys/.hist
chmod 777 /pys/.hist
fi
if [ ! -d /pys/.hist/${LOGNAME} ]
then
mkdir -p /pys/.hist/${LOGNAME}
chmod 300 /pys/.hist/${LOGNAME}
fi
export HISTSIZE=4096
DT=`date "+%Y%m%d_%H%M%S"`
export HISTFILE="/pys/.hist/${LOGNAME}/${USER_IP}.hist.$DT"
chmod 600 /pys/.hist/${LOGNAME}/*.hist* 2>/dev/null
停止记录：
将添加的行前面全部加上 # 符号
------------------（4）一个组合使用方案-------------------------
1、项目组准备对外网开放的跳板机，跳板机必须不带任何业务
2、首先在跳板机上做IP限制（操作2），仅对有需求网段开放
3、配置限制ssh远程登陆（操作3），如运维人员发现某个未知ip尝试暴力破解，导致跳板机用户锁死，通过查看登陆记录，将那个IP写入IP限制策略中。
