适用场景

Linux 加固不是关几个服务就完事，核心是"账号能追责、操作有记录、暴露面最小、补丁跟进"。等保检查基本就是看这几项。

配置步骤（openEuler / 麒麟（Kylin）/ 统信（UOS））

# 通用检查（国产化系统同样适用）
cat /etc/os-release
systemctl list-unit-files --state=enabled | head -20
# 安全基线工具（视版本）
aa-status 2>/dev/null || echo no-apparmor
# 内核参数
cat /etc/sysctl.conf

关键参数与建议

  • 账号：禁用无用账号，禁止 root 直接远程，按人分配账号并 sudo 授权
  • SSH：改端口不是安全手段，禁 root 登录、禁空口令、限制来源更有效
  • 审计：开启 auditd 或至少保留命令历史（HISTTIMEFORMAT + 集中日志）
  • 防火墙：默认拒绝入站，只放通业务端口；管理端口限制来源
  • 补丁与时间：定期更新安全补丁，NTP 同步保证日志可用

容易踩的坑

  • 信创系统文档少，直接照搬 CentOS 脚本可能不兼容
  • 未确认系统是否自带安全加固工具（各版本差异大）
  • 国产化环境缺少内网 yum/apt 源，补丁无法安装

验证与巡检

cat /etc/os-release
rpm -qa | wc -l
  • 巡检：系统版本与台账一致、补丁源可达、基线项逐条核对

小结

加固后要能"证明"：检查项逐条有输出、有截图、有台账。建议把检查脚本固化下来，每季度跑一次并归档结果。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。