linux: audit

rhel4.4
audit-1.0.14-1.EL4
注意：audit版本不同，配置文件的设置也略有不同。
1。修改 audit配置文件里日志格式或者路径
vi /etc/audit/audit.conf
save.%u改为save.%u.%t. %h/  即启用时间戳和主机名

低版本的配置文件是/etc/auditd.conf
2.修改各服务的纪录阀门
cd /etc/pam.d
  echo "account    required     pam_access.so" >> sshd
  echo "account    required     pam_laus.so  detach" >> sshd
  echo "session    optional     pam_laus.so" >> rsh
  echo "session    optional     pam_laus.so" >> rlogin
  echo "session    optional     pam_laus.so" >> vsftpd
  echo "account    required     pam_access.so" >> login
  echo "session    optional     pam_laus.so" >> login
3.重启各服务;查看日志.
---------------------------------------------------

设置用户口令的使用期限
1、编辑/etc/login.defs文件
我们可以通过以下参数来修改口令老化的默认配置：
......
#PASS_MAX_DAYS 密码有效期天数设置为9999，实际上就是关闭了口令老化功能 #PASS_MIN_DAYS 表示自从上次密码修改以来多少天后用户才被允许修改口令 #PASS_MIN_LEN  密码最少长度
#PASS_WARN_AGE 表示在口令到期前多少天开始通知用户口令即将到期 

2、编辑/etc/default/useradd文件
在其中查找INACTIVE和EXPIRE关键字：
# useradd defaults file
GROUP=100
HOME=/home
INACTIVE=7  //设置在口令已过期而用户一直没有修改口令多少天后用户帐户将置为不可用而锁定
EXPIRE=  //直接指明新用户的口令的失效日期，格式为YYYY-MM-DD。
SHELL=/bin/bash
SKEL=/etc/skel