主机基线信息是什么
把发行版与版本、内核版本、补丁级别、主机名、虚拟化平台与开机时间一次性采集齐，作为事件档案的抬头，以及同批主机横向比对的基底。缺了这组信息，后面分析漏洞利用链、判断重启影响时都要回头补，而且时间点很难对齐。
基本信息
| 采集内容 | 发行版、内核、补丁级别、主机名、虚拟化平台、开机时间 |
|---|---|
| 用途 | 档案抬头、同批比对、漏洞关联 |
| 留存 | 与证据包一起做哈希固定 |
| Windows 对应 | systeminfo、Get-ComputerInfo |
| 采集时机 | 排查开始时一次性完成 |
| 注意 | 同批主机尽量在同一时间窗采集 |
典型使用场景
- 作为事件档案开头的固定字段
- 判断某个漏洞是否适用于该版本内核
- 同批主机差异比对，定位入侵为何只发生在部分机器
- 判断处置动作是否需要重启才能生效
- 资产梳理与加固基线核对
- 复盘时说明环境背景
- 演练中练习快速采集流程
Linux 基线一把抓
Linux 基线一把抓
{ echo '== hostname'; hostname; echo '== os'; head -n 4 /etc/os-release; echo '== kernel'; uname -a; echo '== boot'; uptime -s 2>/dev/null || uptime; echo '== virt'; systemd-detect-virt 2>/dev/null; } | tee /evidence/host_baseline.txt
uname -r # 内核版本，判断漏洞适用性
uptime -s # 开机时间，多数判断的起点
cat /etc/os-release | head -n 5 # 发行版与版本Windows 基线
Windows 基线
Get-ComputerInfo | Select-Object CsName,WindowsProductName,OsVersion,WindowsInstallDateFromRegistry
systeminfo | Select-String -Pattern 'OS Name|OS Version|System Boot Time'字段与用途
| 字段 | 含义 | 用途 |
|---|---|---|
| 主机名 | 设备标识 | 档案抬头与主机对应 |
| 发行版与版本 | 系统类型与版本 | 判断漏洞与软件兼容性 |
| 内核版本 | 内核版本号 | 判断提权漏洞是否适用 |
| 开机时间 | 最后一次启动时刻 | 所有时间判断的起点 |
| 虚拟化平台 | KVM、VMware 或云 | 影响快照与镜像取证方式 |
记录开机时间很关键：很多判断要从最后一次重启算起，例如恶意进程是本次启动拉起的，还是上一轮留下的。
同批主机要在同一时间窗内采集：间隔太久，期间的补丁更新与配置变更会掩盖真正的入侵差异。