适用场景

Linux 加固不是关几个服务就完事，核心是"账号能追责、操作有记录、暴露面最小、补丁跟进"。等保检查基本就是看这几项。

配置步骤（审计与操作留痕）

# 命令历史带时间与用户
echo 'export HISTTIMEFORMAT=\「%F %T %u \」' >> /etc/profile
# 关键目录审计
cat >> /etc/audit/rules.d/hardening.rules <<'EOF'
-w /etc/passwd -p wa -k identity
-w /etc/sudoers -p wa -k sudoers
-a always,exit -F arch=b64 -S execve -F auid>=1000 -k cmd
EOF
augenrules --load

关键参数与建议

  • 账号：禁用无用账号，禁止 root 直接远程，按人分配账号并 sudo 授权
  • SSH：改端口不是安全手段，禁 root 登录、禁空口令、限制来源更有效
  • 审计：开启 auditd 或至少保留命令历史（HISTTIMEFORMAT + 集中日志）
  • 防火墙：默认拒绝入站，只放通业务端口；管理端口限制来源
  • 补丁与时间：定期更新安全补丁，NTP 同步保证日志可用

容易踩的坑

  • 只留本地历史，被清空后无据可查
  • auditd 规则过多导致日志暴涨，磁盘写满
  • 未做集中日志上送，重启或覆盖后丢失

验证与巡检

auditctl -l
aureport -au | tail -20
  • 巡检：规则已加载、日志有上送、磁盘使用率可控

小结

加固后要能"证明"：检查项逐条有输出、有截图、有台账。建议把检查脚本固化下来，每季度跑一次并归档结果。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。