| 补丁 | 可信介质与源，先打齐安全更新 |
|---|---|
| 凭据 | 系统、数据库、应用账号全部重置 |
| 网络 | 最小端口开放、管理来源限制 |
| 验证 | 基线扫描 + 业务回归测试 |
核对攻击面与补丁
核对攻击面与补丁
ss -lntp | head -n 30
systemctl list-units --type=service --state=running | head -n 30
apt-get update && apt-get -y upgrade上线前核对监听端口与服务白名单：多余端口就是多余攻击面。
本包目录（168 条）
恢复上线前的加固顺序
恢复后的加固顺序：先补丁与基线，再改凭据与网络限制，最后做业务验证与安全复扫。
易错点
- 先恢复业务再加固：风险窗口被拉长
- 只打系统补丁：中间件与运行时同样要更新
数据来源与参考
- CIS Benchmarks：加固基线
- NIST SP 800-123：服务器安全指南