| 加固项 | 失败锁定 |
|---|---|
| 适用平台 | Linux（RHEL8+/Debian 10+） |
| 风险等级 | 中 |
| 基线 | deny≤5、unlock_time 合理 |
faillock.conf 基线
faillock.conf 基线
deny = 5
fail_interval = 900
unlock_time = 900
audit
silentPAM 接线（/etc/pam.d/system-auth 或 common-auth）
PAM 接线（/etc/pam.d/system-auth 或 common-auth）
auth required pam_faillock.so preauth
auth [default=die] pam_faillock.so authfail
account required pam_faillock.so用 authselect 或 authconfig 管理 PAM 更安全：直接编辑 pam.d 在升级时可能被覆盖。