安装后首轮安全加固核心是“锁门、换锁、清人、记账”：重命名禁用高危默认账户、启用强密码与锁定策略、关闭密码登录改用密钥认证、清理冗余账户及权限残留。
安装完成后的第一轮安全加固，核心是“锁门、换锁、清人、记账”——不求一步到位，但必须堵住最显眼的漏洞。重点不在功能是否齐全，而在攻击者能否用默认配置直接进门。
立即重命名或禁用高危默认账户
Windows系统中，Administrator 是攻击者暴力扫描的首要目标；Linux系统中，root 直接远程登录等于敞开大门。这两类账户不能删，但必须隔离使用：
- Windows：进入“本地用户和组”，右键重命名 Administrator（如改为 Admin2026），同时禁用 Guest 账户；
- Linux：编辑
/etc/ssh/sshd_config，将PermitRootLogin设为no；再创建一个普通用户（如ops），并用usermod -aG sudo ops赋予管理权限； - 检查是否存在其他 UID 为 0 的账户：
awk -F: '($3 == 0) {print $1}' /etc/passwd，只保留 root 一个。
强制启用强密码与账户锁定策略
弱密码是多数入侵的起点。不是“建议设复杂密码”，而是让系统拒绝简单密码、自动锁定异常尝试：
- Windows：通过
gpedit.msc进入“密码策略”，启用“密码必须符合复杂性要求”，设置“密码最长使用期限=90天”、“密码历史记录=10个”、“账户锁定阈值=5次”、“锁定时间=30分钟”； - Linux：配置 PAM 模块，在
/etc/pam.d/system-auth中加入pam_pwquality.so规则，要求至少三类字符、最小长度12位；再用pam_faillock.so实现 5 次失败后锁定 5 分钟； - 统一执行：
chage -M 90 -m 7 -W 14 username设置单个用户密码有效期，避免新用户绕过全局策略。
关闭密码登录，只留密钥或证书认证
只要还允许密码登录，暴力破解就始终存在。切换到密钥认证，相当于把钥匙换成唯一指纹：
- Linux：生成密钥对（
ssh-keygen -t ed25519），上传公钥至服务器~/.ssh/authorized_keys，然后在sshd_config中设PasswordAuthentication no并重启 SSH； - Windows：若启用 OpenSSH Server（Server 2019+ 默认支持），同样禁用密码登录，仅接受公钥；也可配合 Windows Hello for Business 或智能卡实现多因子；
- 操作前务必确认新用户已能用密钥正常登录，再重启服务，避免锁死自己。
清理冗余账户与权限残留
系统自带的测试账户、服务账户、空密码账户，都是隐形入口。定期扫描比等出事再补救更有效：
- Windows：运行
net user查看所有账户，对无业务关联的（如 test、guest、backup）执行net user username /delete； - Linux：运行
awk -F: '($2 == "") {print $1}' /etc/shadow找空密码账户，用passwd -l username锁定；再用getent group | grep -E "(adm|lp|sync|shutdown)"检查非必要组； - 关键文件加锁保护：
chattr +i /etc/passwd /etc/shadow /etc/group（需 root 权限，解除用-i）。
做完这四步，服务器已脱离“裸奔”状态。后续可按需开启日志审计、防火墙白名单、自动更新和端口收敛，但账号与认证层的加固，永远是第一步也是最关键的一步。
