用途：用于按 CIS 基准与安全最佳实践加固 Linux 服务器，适用于生产服务器加固、合规基线落地、安全 SSH 访问配置等场景。
主要能力：提供 SSH 加固示例（如 PermitRootLogin no、PasswordAuthentication no、PubkeyAuthentication yes、MaxAuthTries 3、AllowUsers 指定已确认的管理用户）；用户安全（安装 libpam-pwquality 并配置 /etc/security/pwquality.conf 的 minlen、dcredit、ucredit、ocredit、lcredit，useradd -D -f 30）；防火墙（ufw default deny incoming、ufw allow ssh 等）；内核参数（/etc/sysctl.d/99-security.conf 中 send_redirects、accept_redirects、accept_source_route、randomize_va_space、suid_dumpable 等）；文件权限排查（查找全局可写与 SUID 文件）；审计配置（安装 auditd 并编写规则）。
使用方式：示例均为片段，不是通用 CIS 合规脚本。应先确认发行版/版本、选定的 CIS 配置文件、现有服务配置与已获授权的变更；保留可用的访问会话与带外恢复途径；私下备份受影响文件；预览并验证后再重载。sudoers 变更应通过 visudo 编辑并执行 visudo -c 校验。sysctl 应用需单独执行并指定实际文件。
限制：仅在授权范围内实施，破坏性步骤先在非生产环境测试；未验证管理访问与 IPv4/IPv6 需求前，不得应用防火墙/默认拒绝规则，也不得在远程在线主机上先设 INPUT DROP。文档仅导入，上游脚本与模板未随附。