安全加固速查
防火墙、SSH、口令策略、服务收敛、补丁与审计基线：分平台给出加固命令与核查方法，对齐等保 2.0 常见要求。
主机加固基线
通用加固清单与最小权限原则
UID 0 账号核查（仅允许 root）
检查 /etc/passwd 中 UID 为 0 的账号：任何非 root 的 UID 0 账号都等同于超级用户，是攻击者留后门与提权的经典手法，发现即清理。
空口令账号核查（shadow 第二字段）
检查 /etc/shadow 第二字段为空的账号：空口令账号无需任何凭据即可登录，属于最危险的历史遗留问题，发现后必须立即设置口令或锁定。
等保 2.0 主机安全要求对照（三级）
等保 2.0 三级对主机的要求集中在身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范与可信验证；逐条映射到本包命令即可形成主机自查表。
/etc/shadow 权限加固（0000 或 0640）
shadow 保存全部口令哈希：权限过宽会让本地普通用户直接取走哈希离线爆破。CIS 要求属主 root、组 root 或 shadow、权限 0000 或更严（部分发行版默认 0640 root:shadow）。
SUID 文件清点与基线比对
SUID 程序以文件属主身份运行，是本地提权的重灾区；用 find 建立基线清单并定期比对，新增的 SUID 文件往往是入侵或异常安装的信号。
/etc/passwd 与 /etc/group 权限（0644）
/etc/passwd 与 /etc/group 必须全局可读、仅 root 可写（0644）：可写意味着攻击者能直接添加账号或改 GID 提权，是最严重的权限错误之一。
全局可写文件核查（-0002）
任何用户可写的关键文件都可能导致提权或篡改；排除 /tmp、/var/tmp 等预期目录后，全局可写文件应清零，配置文件与服务脚本尤须优先排查。
ASLR 地址随机化（randomize_va_space=2）
全量地址空间随机化让缓冲区溢出等内存破坏漏洞难以稳定利用；CIS 要求 kernel.randomize_va_space 为 2，现代发行版默认已开启。
系统账号禁止登录 shell（nologin）
bin、daemon、adm、lp、sync、shutdown、halt、mail、operator、games、ftp、nobody 等系统账号不应持有可登录 shell；一旦被利用即可交互式登录系统。
cron 计划任务文件权限
cron 配置目录可写等于任意用户可植入定时后门；要求 /etc/crontab 与 cron 目录属主 root、权限收紧，spool 目录同样受限。
加固基线的分批实施与回滚预案
批量加固最大的风险是把自己锁在门外（SSH、防火墙、认证类变更）；标准节奏：单机试点→小批量→全量，每步带定时回滚与带外通道。
sudo NOPASSWD 授权核查
NOPASSWD 让授权用户免密执行特权命令，配置不慎等于把 sudo 变成无门槛提权通道；定期扫出全部 NOPASSWD 条目并逐条确认必要性。
sshd 配置与主机密钥权限
/etc/ssh/sshd_config 与主机私钥若可被普通用户读写，等于泄露服务私钥或允许注入配置；统一 root 属主并收紧权限。
SMBv1 协议禁用（WannaCry 通道）
SMBv1 是永恒之蓝（MS17-010）等蠕虫的传播通道且现代环境不再需要；服务端与客户端两侧都应禁用 SMB1 功能。
su 限制到 wheel 组（pam_wheel）
通过 PAM 的 pam_wheel 模块仅允许 wheel 组成员使用 su，阻止普通账号借他人口令切换到特权账号；这是等保访问控制项在主机的常规落点。
sudo 会话加固（use_pty 与日志）
sudo 默认按时间戳缓存口令；结合近年 sudo 提权漏洞频发，加固要点：启用 use_pty、缩短免密窗口、记录 sudo 日志便于事后审计。
sysctl 加固配置的落地与验证
内核参数加固统一写入 /etc/sysctl.d/ 下的文件并用 sysctl --system 加载，避免散落修改被升级覆盖；改完逐项验证实际生效值。
GRUB 引导口令（阻断单用户绕过）
能接触控制台的人可在 GRUB 编辑内核参数进入单用户模式重置 root 口令；给引导器设置 superuser 口令是阻断该路径的关键控制。
系统账号口令锁定（! 或 * 前缀）
除 shell 收敛外，系统账号还应在 shadow 中处于锁定状态（口令字段以 ! 或 * 开头），确保即使存在其他认证路径也无法用口令登录。
/tmp 与 /var/tmp 粘滞位（1777）
共享临时目录必须带粘滞位（drwxrwxrwt）：人人可建文件，但只能删除自己的；缺粘滞位时任意用户可删除或替换他人文件，可被用于本地提权。
/tmp 挂载加固（nosuid,nodev,noexec）
通过独立分区或 tmpfs 挂载 /tmp 并加 noexec、nosuid、nodev 选项，阻断从临时目录执行恶意程序与利用 SUID 提权的路径，是 CIS 入侵防范的常规项。
交互会话超时（TMOUT）
无人值守的登录会话是等保与 CIS 明确要求控制的点；通过 TMOUT 让空闲 shell 自动退出，减少被劫持与误操作窗口。
SELinux 强制模式（Enforcing）
SELinux 强制访问控制可在进程被攻破后限制其越权范围（例如 Web 进程读不到 /etc/shadow）；运行状态应为 Enforcing，配置持久化默认值同样要改。
Credential Guard 凭据保护
用虚拟化隔离保护 LSA 机密（NTLM 哈希、Kerberos 票据），让抓取 LSASS 内存获取凭据的手段失效；核查以 SecurityServicesRunning 含 1 为准。
用户家目录权限（750 或更严）
家目录默认 755 会泄露文件列表与内容（如 .ssh、.bash_history）；CIS 要求 750 或更严，配套 .ssh 目录 700、authorized_keys 600。
cron 与 at 使用限制（allow 白名单）
通过 /etc/cron.allow 与 /etc/at.allow 白名单只允许指定用户创建计划任务；依赖默认放开不是控制，白名单才是收敛姿态。
TCP SYN Cookies 开启（防半连接耗尽）
开启 SYN Cookies 后，服务器在半连接队列满时用加密序列号应答、不分配状态，抵御 SYN Flood 半连接耗尽攻击；CIS 与等保均建议开启。
Defender 防病毒状态核验
恶意代码防范条款的基础项：Defender 的实时保护、行为监控与防病毒引擎都应处于启用状态；用第三方 EDR 替换的场景也要保留等效核查。
无属主文件核查（-nouser / -nogroup）
无属主文件通常来自被删除账号或恢复操作错误；新账号一旦复用相同 UID/GID，就可能意外接管这些文件，也是入侵痕迹排查的一部分。
默认 umask 027（login.defs）
默认 umask 022 让新建文件对同组与其他用户可读；收敛为 027 后新文件 640、新目录 750，从源头减少信息暴露面。服务进程另有 systemd UMask 需单独设置。
ICMP 重定向防护（accept_redirects=0）
接受 ICMP 重定向会让攻击者伪装的“更优路由”改写本机路由表，把流量劫持到攻击者主机；主机应关闭接受与发送重定向。
CIS 基线分级与豁免治理（L1/L2）
CIS Benchmark 区分 Level 1（基础、低影响）与 Level 2（纵深、可能影响功能）并附评分；落地应先匹配版本，再按业务角色裁剪，并对例外建立书面豁免。
Guest 来宾账户禁用
Guest 是 Windows 默认的匿名访问通道；微软安全基线与 CIS 均要求禁用，并确认远程访问无法借它建立会话。
Defender ASR 攻击面缩减规则
ASR 从行为层阻断常见攻击链（Office 子进程、脚本混淆、LSASS 凭据窃取）；生产落地要先审计观察累积误报清单，再切阻止模式。
/etc/gshadow 与 /etc/gshadow- 权限（0000）
gshadow 保存组口令与组管理员信息，虽很少被使用但仍是敏感文件；应 root:root 且 0000，备份文件 gshadow- 同步收紧。
SGID 文件与目录清点
SGID 文件以属组身份运行；SGID 目录让新建文件继承属组（如共享协作目录）。两类都要清点，重点核查运行时可写的 SGID 文件。
禁用 core dump（limits + sysctl）
core dump 会把进程内存写到磁盘，可能包含口令、密钥等敏感数据；收紧 core 限制并禁止 SUID 程序转储，降低内存数据泄露面。
反向路径过滤（rp_filter）防源地址欺骗
rp_filter 校验入包源地址在路由表中的可达性，缓解 IP 欺骗与部分环路问题；CIS 建议 all 与 default 均启用严格模式（1）。
最小化安装与软件资产盘点
加固第一原则是减少存在：最小化安装、按需装包、定期清点；多余的组件就是多余的漏洞面与合规负担。
LSA 进程保护（RunAsPPL）
RunAsPPL 让 LSASS 作为受保护进程运行，阻断 mimikatz 类工具读取其内存的常规路径；与 Credential Guard 互补，共同保护凭据面。
/dev/shm 挂载加固（noexec）
/dev/shm 是共享内存目录，默认读写执行；攻击者常把它当免磁盘落地的执行点。加固为 nosuid、nodev、noexec，压缩可执行面。
关闭 IP 转发（ip_forward=0）
非路由/网关主机开启转发会被当作跳板利用：攻击者控制一台主机后可借其转发能力向内网横向探测；主机角色明确时应关闭。
AIDE 文件完整性校验
AIDE 为关键文件建立哈希基线并定期比对，可发现配置篡改与后门文件落地；把基线库放在只读介质或远程存储才算完整用法。
UAC 配置（启用与安全桌面）
UAC 是管理员令牌分离的基石：启用 EnableLUA、管理员批准模式设为安全桌面提示、拒绝静默提升，能显著抬高本地提权链的门槛。
LAN Manager 认证级别（拒绝 LM/NTLM）
限制 LM/NTLM 降级：“仅发送 NTLMv2 响应并拒绝 LM 与 NTLM”堵住抓取弱哈希的路径；老设备兼容风险要先用审核级别过渡。
LLMNR 多播名称解析关闭
LLMNR 的组播名称请求可被 Responder 类工具投毒，劫持认证哈希；域环境应全量关闭 LLMNR。
受控文件夹访问（防勒索加固）
受控文件夹访问（CFA）拦截未授权程序对保护目录的写入，是勒索软件缓解的关键控制；按“审计→强制”流程上线，并把业务数据目录显式纳入保护。
源路由选项禁用（accept_source_route=0）
携带 IP 源路由选项的数据包可指定转发路径，绕过部分网络访问控制；关闭接受源路由（IPv4 与 IPv6）是 CIS 基线项。
内核信息泄露限制（dmesg_restrict / kptr_restrict）
普通用户读 dmesg 或 /proc/kallsyms 可获取内核地址、驱动与硬件细节，显著降低漏洞利用成本；用两个内核参数限制可见性。
AppArmor 强制执行（aa-status）
Ubuntu/Debian/SUSE 系的强制访问控制实现；核查已加载 profile 与 enforce 数量，确保 sshd、nginx 等关键服务处于 enforce 而不是 complain 观察态。
WDigest 明文凭据缓存禁用
历史配置中 WDigest 会把明文口令留在 LSASS 内存，mimikatz 可一键抓取；应显式确保 UseLogonCredential=0。
SMB 签名强制（防中继篡改）
SMB 签名保证报文完整性与来源真实性，抵御 SMB 中继攻击；服务端与客户端都应要求签名（RequireSecuritySignature=True）。
ICMP 广播响应抑制（icmp_echo_ignore_broadcasts）
响应广播地址的 ICMP Echo 会让主机成为 Smurf 类放大攻击的反射器；忽略广播请求并忽略伪造错误响应，是边界主机的常规加固。
空密码账户只能控制台登录
允许空密码账户远程登录是灾难级配置；安全选项“使用空密码的本地账户只允许进行控制台登录”（LimitBlankPasswordUse）必须保持启用。
内存完整性（HVCI 内核隔离）
Hypervisor 强制代码完整性（HVCI）让内核代码必须通过虚拟化层校验，阻止脆弱驱动加载后篡改内核；与 Credential Guard 同属 VBS 防护家族。
Defender 云保护与 PUA 拦截
开启云交付保护（MAPS）与潜在不受欢迎应用拦截，提高对新型样本的响应速度；样本上传递送策略需按数据合规要求设置。
应用控制（WDAC / AppLocker）
应用白名单让系统“只允许已知程序运行”，从根上压制未知恶意代码执行；Windows 企业版/Server 2022 提供 WDAC 与 AppLocker 两条落地路径。
启动项与自运行点盘点
持久化是入侵者的第一诉求：Run/RunOnce 键、启动目录、Winlogon Shell 都是自启动点，要定期盘点并与基线比对。
ptrace 范围限制（yama.ptrace_scope）
限制非特权进程互相 ptrace 调试，阻断从同机受害者进程（SSH agent、浏览器、数据库客户端）注入代码或抓取内存的常见路径。
IPv6 参数加固（accept_ra 与重定向）
不用或仅静默使用 IPv6 的主机仍是可达攻击面：关闭 RA 接受与重定向接受，防止被伪造路由通告劫持；依赖 SLAAC 的网络需豁免。
USB 存储禁用（usb-storage 黑名单）
机房物理访问不可控时，USB 存储是数据拷出与恶意程序引入的物理通道；无需外设的服务器应禁用 usb-storage 模块。
安全启动（Secure Boot）核查
Secure Boot 校验引导链签名，阻断 bootkit/rootkit 在系统加载前落地，是“可信验证”条款在服务器上的常见落点之一。
SMB 加密（SMB3 传输加密）
对跨不可信网络访问或高敏感共享启用 SMB 加密，防止凭据与数据被旁路嗅探；按共享或服务器全局启用（SMB3 起支持）。
NetBIOS over TCP/IP 关闭
NBT-NS 名称解析同样可被投毒，且广播噪声大；服务器网卡应禁用 NetBIOS over TCP/IP（TcpipNetbiosOptions=2）。
Defender 防篡改保护
防篡改让恶意软件与误操作管理员都无法悄悄关闭杀软、删改定义或篡改排除项；勒索团伙“先杀杀软”的标准步骤会因此受阻。
PowerShell 2.0 引擎禁用
PS2 引擎不产生 ScriptBlock 日志且可被降级调用绕过检测；禁用“Windows PowerShell 2.0 引擎”是现代 Windows 基线的必做项。
secedit 导出/导入安全模板
secedit 可把本机安全策略完整导出为 inf 模板用于审计取证，也能导入加固模板批量生效，是 Windows 基线落地的命令行主力。
异常报文日志（log_martians）
记录源/目的地址明显异常的数据包（martian），为入侵行为与网络配置错误提供线索；适合边界主机与网关开启。
救援模式认证（sulogin）
内核救援模式默认可能直接给出 root shell；通过 sulogin 要求输入 root 口令，与 GRUB 口令配合形成两层引导防线。
罕见文件系统模块禁用（cramfs/hfs 等）
攻击者常利用内核自带但无人使用的文件系统模块（配合 loop 挂载恶意镜像）辅助提权；按 CIS 清单裁剪本机用不到的文件系统模块。
Administrator 账户重命名（RID 500）
默认 Administrator 名称是爆破脚本的第一目标；重命名降低自动化攻击命中率，属于纵深防御而非主要控制。新名称不要出现在横幅等公开位置。
未加引号服务路径核查（路径劫持）
含空格且未加引号的服务路径存在被中间可执行文件劫持的可能（C:\Program Files\X.exe 风格）；这是本地提权的经典检查项，需审计并修复。
Defender 定期扫描策略
定期扫描是基线要求：服务器建议避开业务高峰安排周期性扫描，并确保数据盘与关键目录纳入扫描范围。
微软安全基线应用（SCT 体系）
微软按 Windows 版本发布官方安全基线（GPO 包+文档），是 Windows 加固的权威起点；结合 CIS 做差异裁剪，避免拍脑袋定标准。
禁用 Ctrl+Alt+Del 重启
控制台上一次误触 Ctrl+Alt+Del 就会重启服务器（跳过正常关机，业务中断）；生产主机默认屏蔽该组合键。
罕见网络协议模块禁用（dccp/sctp/rds/tipc）
dccp、sctp、rds、tipc 等内核协议模块服务器几乎不用，却各有历史漏洞（如 dccp 的 CVE-2017-6074）；禁用可缩小内核攻击面。
AutoRun 与自动播放禁用
可移动介质与网络位置的自动运行是经典的横向移动通道；策略禁用所有驱动器类型自动运行，并按需关闭自动播放处理。
PATH 可写目录核查（劫持面）
系统 PATH 中若存在非管理员可写目录，攻击者可放置同名程序劫持其他进程调用，是本地提权的常见入口；用普通权限账户筛查。
易受攻击驱动阻止列表（BYOVD 防御）
攻击者常投放已知易受攻击的签名驱动（BYOVD）来关闭杀软或提权；启用微软易受攻击驱动阻止列表可拦截这类加载，与内存完整性协同最好。
Windows Script Host 禁用
wscript/cscript 是钓鱼脚本（VBS/JS）的主要执行载体；业务不依赖 WSH 的环境可直接禁用，把社工链上的执行支点拿掉。
WebClient 服务禁用（WebDAV 横向移动）
WebClient 服务让系统能通过 WebDAV 从远程 HTTP 路径访问资源，攻击者常用它把载荷直接“拉”进内网执行；服务器不需要时直接禁用。
崩溃转储配置（小内存转储）
服务器崩溃转储含完整内存镜像（可能含凭据与业务数据）；配置为小内存转储或关闭，并管控遗留 dump 文件的权限。
LGPO 工具（离线组策略落地）
Security Compliance Toolkit 的 LGPO.exe 能把 GPO 备份导入本地策略，适合无域环境批量落地微软安全基线，可与 secedit 配合覆盖全部加固面。
登录警告横幅（issue / issue.net）
登录前展示法律警告横幅是合规审计的常规要求：本地控制台用 /etc/issue，SSH 远程通过 /etc/issue.net 与 sshd 的 Banner 指令。
mDNS 组播解析关闭
mDNS（5353/udp）同样是 Responder 类工具的投毒面；不依赖 Bonjour/投屏发现的服务器应关闭 DNS 客户端的多播解析。
远程协助关闭（fAllowToGetHelp）
Windows 远程协助历史上多次被当入侵通道（msra 反向连接）；服务器不需要该功能时应从策略层彻底关闭。
存储凭据盘点（cmdkey）
服务器上长期保存的凭据（共享、RDP、证书密码）是横向移动的提款机；定期盘点，清理不再需要的存储凭据。
时间同步核查（w32tm）
时间源不一致会让日志时间线错乱、Kerberos 认证失败（偏移超过 5 分钟）与证书校验异常；域内依赖层级授时，独立主机显式配置 NTP。
关机清理页面文件
页面文件会把内存数据换出磁盘，关机后残留可被离线分析；启用关机清理降低敏感数据落盘留存。
交互式登录法律横幅
登录前展示法律警告（标题+正文）是合规审计常规项；配合“不显示上次登录用户名”，覆盖控制台与远程桌面登录路径。
防火墙与访问控制
iptables/firewalld/ufw 与安全组策略
iptables 最小基线规则集（白名单模型）
iptables 加固的标准骨架：默认策略 DROP，先放 loopback 与已建立连接，再逐条放行业务端口——先拒绝后放行的白名单模型。
0.0.0.0/0 高危端口专项核查
对全网开放的高危端口是撞库、未授权访问与勒索的最高频入口；定期核对全账号安全组中 0.0.0.0/0 的高危端口清单。
ufw 与 Docker 端口绕过（DOCKER-USER 链）
Docker 发布端口时经 nat 表 DNAT 直达容器，绕过 ufw 的 filter 规则——这是最经典的“防火墙开着但端口全网可达”事故现场。
Windows 防火墙启用并默认阻止入站
把三个档案全部打开并设置“入站阻止、出站允许”的默认动作，是 Windows 主机加固的最小动作；再按业务逐条放行。
Windows 防火墙三档案状态核查
Windows 防火墙按域/专用/公用三个 profile 独立生效；加固先确认三个档案都处于开启状态，避免“公用网络才关闭”的隐性口子。
iptables 默认策略（安全顺序与自锁防护）
链默认策略是防火墙的姿态（INPUT/FORWARD 通常 DROP）；但改策略瞬间生效，正确顺序是先建放行规则、带定时回滚、再收策略。
云安全组入方向最小化原则
安全组是云上第一道、且真正生效的边界：入方向只放行必要端口并限定来源网段，其白名单特性决定了“拒绝”无需显式配置。
firewalld 状态与区域概览
firewalld 用“区域+服务”抽象管理 netfilter；先看清运行状态、默认区域与活动区域，确认现有放行面再动手改规则。
ufw 状态与默认策略（Ubuntu/Debian）
ufw 是 netfilter 的易用前端；加固第一步是确认启用状态与默认策略——入站默认拒绝，仅放行必要端口。
防火墙变更流程（备份-灰度-验证-回滚）
防火墙是最高危的线上变更类型之一：固定流程=导出备份→限时应用→双人验证→留存证据；任何一步缺失都可能演变成断联事故。
firewalld 放行服务与端口（permanent+reload 流程）
放行优先选“服务”（自带协议与描述语义），非标端口/端口段再用 add-port；任何变更都走 permanent + reload 的固定流程。
堡垒机/跳板机收敛管理面
把 SSH/RDP 收敛到堡垒机：业务机只信任堡垒机来源，人员认证、授权、操作记录集中在堡垒机完成。
firewalld 富规则（源限定与限速）
富规则支持源地址、端口、协议、日志、限速的组合表达；SSH 与数据库端口的“限定来源”放行应使用富规则。
iptables 规则查看（-S 与计数器）
排障第一步是看清现状：-S 输出可回放的规则文本，-L -v 看计数器定位哪条规则真正命中。
fail2ban 自动封禁（与防火墙后端联动）
fail2ban 读日志按模式计数并调用防火墙后端封禁来源 IP，是 SSH 与 Web 爆破的通用缓解方案，需与本机防火墙后端正确搭配。
PowerShell 精细化规则（New-NetFirewallRule）
New-NetFirewallRule 支持更丰富的过滤条件（地址、端口、协议、程序、用户、接口），适合做成可复用、可审查的加固脚本。
防火墙自锁后的自救路径
改防火墙把自己锁在外面是最常见的事故之一：提前准备带外通道，事故时按“控制台→救援模式→清空规则”顺序恢复。
firewalld 默认区域收敛（drop 基座）
默认区域决定未匹配流量的归宿；服务器应以 drop/最小放行为基座，再逐条放行必要服务，而不是在 public 上做增量删减。
ufw 规则增删改查（含按编号删除）
ufw 规则支持服务名、端口、源地址三元组控制；删除支持按原规则描述或按 status numbered 的编号，日常维护以此为入口。
IPv6 防火墙同步收敛
很多环境只管 IPv4：IPv6 一旦启用又无规则，等于全端口裸奔。确认启用状态后，IPv6 必须得到与 IPv4 同等的策略。
应急封禁与解封（疑似入侵时的边界动作）
发现主机被爆破、CC 攻击或数据外传迹象时，边界侧应能“分钟级”封禁来源并保留证据；封禁动作本身要留档、要有解封流程。
firewalld 源地址绑区（管理网白名单）
把管理网段绑定到高信任区域，其余流量走公众区域；区域级白名单是 firewalld 最稳妥的访问分离方式，比富规则更直观。
iptables recent 模块限制 SSH 爆破
用 recent 模块对 SSH 新建连接做来源限速：60 秒内超过 4 次新连接直接丢包，压低爆破速率且不误伤已建立会话。
netsh 防火墙规则增删查
netsh advfirewall firewall 是 Windows 防火墙规则的传统命令行入口，适合脚本化批量下发，记住 add/delete/show 三段式。
暴露面自查（外网视角验证）
防火墙配置是否正确，以“外部视角能否连通”为准：从公网/其他网段对自有资产做定向端口探测，与本机监听清单交叉核对。
iptables 规则持久化（重启不丢）
iptables 规则默认只在内存，重启即清空；用 iptables-save/restore 配合发行版服务完成持久化，并纳入配置管理。
出方向限制（egress 白名单）
默认放行的出方向是数据外带与 C2 回连通道；高安全区可改为出方向白名单（DNS/时间同步/更新源/业务依赖），对横向移动同样有效。
安全组与主机防火墙的双层模型
云安全组管边界，主机防火墙管实例内细粒度（按网段/进程/容器）；两层职责不同、不是冗余，关键系统两层都要有。
VPN 收敛管理入口
管理端口（SSH/RDP/面板）只对 VPN 网段开放，公网零放行；人员先接入 VPN 再运维，简单且有效降低暴露面。
白名单设计方法（资产×端口×来源矩阵）
白名单不是拍脑袋放行：先画资产×端口×来源矩阵，标注业务必要性，再逐格落地规则；矩阵本身就是评审与审计的依据。
Windows 防火墙导出/导入与 GPO 统一下发
变更前导出 .wfw 备份，故障时一键恢复；域内环境用 GPO 统一下发规则，避免逐台手工维护造成的策略漂移。
nftables 基础与持久化（RHEL 9+/Debian 11+ 默认）
现代发行版已是 nftables 后端：用 nft 管理规则并持久化到 /etc/nftables.conf，替代 iptables 服务方案。
firewalld 拒绝日志（审计闭环）
默认拒绝但不记录等于黑盒：开启拒绝日志（并限速），把被拒流量接入日志平台，才能发现扫描与策略错配。
iptables-apply 安全应用（自动回滚）
iptables-apply 应用新规则后要求限时确认，超时自动回滚——防火墙变更防自锁的标准做法（Debian 系自带）。
ufw 限速放行与日志留存
ufw limit 对同一来源的新建连接做速率限制（默认 30 秒 6 次），天然削弱 SSH 爆破；配合日志级别把拒绝行为记录下来。
连接数与扫描缓解（connlimit + 畸形包过滤）
connlimit 限制单源并发连接数，削弱端口扫描与暴力枚举；对 Web 服务要按业务实测调整阈值，避免误杀正常并发。
安全组规则导出评审与定期复核
把全部安全组导出为清单，按“端口×来源×实例”做定期评审，删除无人认领的放行——暴露面治理本质是台账治理。
ipset 大规模 IP 封禁（黑名单万级条目）
iptables 直接堆几万条封禁规则会拖慢匹配；ipset 把集合做成哈希表，一条规则命中整个集合，是封禁量级上台阶的标准做法。
隧道与端口转发行为审计
SSH 隧道、frp、ngrok 类工具能在防火墙之下打开隐蔽通道：将转发能力纳入审计（sshd 限制 AllowTcpForwarding）是访问控制的一部分。
ufw 应用 Profile（按内置模板放行）
ufw 的 application profiles 由 /etc/ufw/applications.d/ 提供，按服务一次性放行标准端口组合，减少手写端口的出错面。
Windows 防火墙日志启用与判读
默认关闭的防火墙日志是排障与取证的重要数据：开启被拒记录并定期判读，能看到被业务规则静默丢弃的扫描与爆破尝试。
防火墙规则定期复核与死规则清理
规则集合会随业务演进而腐化：按季度核对命中计数与业务下线记录，删除零命中的放行，收缩长期暴露面。
企业出口统一代理与出网白名单
生产网络不让主机直连互联网：统一出口代理（正向代理/网关）做域名白名单与审计，主机侧防火墙只放行到代理。
VPC 网络 ACL / 子网级补充控制
网络 ACL 作用于子网，可做整体网段级拒绝（如封禁全部入向 3389）；它与安全组互补，但无状态，需成对处理回包。
管理端口非标化与访问收敛的取舍
把 22/3389 换到非标端口只能减少自动化扫描命中、不能替代访问控制；正确姿势是非标端口 + 来源网段限定 + 密钥/MFA 三件套。
规则命名与注释规范（可审计性）
每条规则带名称/注释/责任人/到期时间，是防火墙可维护性的底线；无注释的规则集合几个月后无人敢删。
端口敲门/单包授权（SPA）隐藏管理端口
默认关闭管理端口，客户端发送特定序列或加密令牌后才临时放行——把扫描面降到接近零，属于管理面隐藏的进阶方案。
SYN 泛洪基础防护（synproxy 与内核参数配合）
小规模 SYN 泛洪先用内核参数与 SYN cookies 卸力（属主机基线），有更高要求再上 synproxy 与上游清洗。
DROP/REJECT 选择与拒绝日志策略
DROP 静默丢弃使扫描者不知端口状态，REJECT 快速失败对用户更友好；无论哪种都要有可观测性，否则排障全靠猜。
地域封禁与 IP 信誉（按需启用的减噪手段）
业务只面向特定地区时，按地域或 IP 信誉库做拒绝可以显著减少噪音；但它是粗粒度手段，需评估误伤与合规。
口令与认证策略
复杂度、有效期、失败锁定与多因素
SSH 禁用口令登录、启用密钥认证
密钥认证是 SSH 最有效的单点加固：关掉 PasswordAuthentication 后，口令爆破直接失效；再叠加来源限制与审计。
pam_faillock 失败锁定策略
连续认证失败达到阈值后临时锁定账号，是抗暴力破解的核心控制；主流发行版统一读 /etc/security/faillock.conf。
PAM pwquality 复杂度基线
pwquality 是 RHEL/Debian 共用的口令质量模块：长度、字符类别与重复约束配在 /etc/security/pwquality.conf，由 PAM 在改密时强制。
login.defs 口令时效全局基线
口令有效期/最短使用期/过期提醒的全局缺省写在 /etc/login.defs；chage 单用户覆盖它，新账号自动继承全局值。
本地密码策略（net accounts / secedit）
工作组或单机 Windows 的密码与锁定策略通过 net accounts 或安全模板设置；这是域外机器的第一站基线核查。
LAPS 自动轮换本地管理员口令
LAPS 给每台机器生成唯一、定期轮换的本地管理员口令并存于 AD/Entra（Windows LAPS），彻底终结“全网同一本地口令”的隐患。
清除组策略首选项中的 cpassword
早期 GPP 在 SYSVOL 里以可逆 AES 密钥加密的 cpassword 存口令，密钥公开可见：历史遗留文件必须清理并轮换口令。
移除 PAM nullok（空口令即登录）
nullok 允许空口令账号直接登录；审计这种“免检通道”要用 grep 全量扫 pam.d，发现即移除并清空对应账号。
特权组成员定期审计
Administrators / Domain Admins / Enterprise Admins 等的成员清单必须定期评审：每多一个成员，域失守概率就上一个台阶。
chage 逐账号口令生命周期管理
chage 是账号口令时效的操作面：查询（-l）、设置最大/最小天数（-M/-m）、提醒（-W）、强制下次改密（-d 0）、账号有效期（-E）。
TOTP 双因素接入（google-authenticator）
在口令/密钥之外叠加动态口令：服务端装 libpam-google-authenticator，用户侧绑定 TOTP，显著抬高撞库成本。
账户锁定策略与自助解锁
锁定阈值、时长与计数器重置窗口共同决定抗爆破强度：窗口过短会让攻击者通过“慢速脉冲”绕过，需要组合评估。
口令时效与弱口令存量核查
基线落地后要能一键抽查：哪些账号永不过期、哪些长期未改密、哪些仍是弱口令（用字典碰撞思路自查）。
口令保管与共享禁令（密码库落地）
禁止口令明文散落（脚本、邮件、文档、群聊）：统一进密码库（Vault/KeePass/1Password），共享账号改为可追责的个人账号 + 授权。
限制 NTLM 出站（向远程服务器发送 NTLM）
NTLM 是横向移动与中继攻击的重灾区：逐步将出站 NTLM 设为“仅域内/拒绝”，配合审计事件定位仍依赖 NTLM 的老系统。
RDP 暴露面收敛（网关与来源限制）
不要把 3389 直接开到公网：用 RD 网关/堡垒机/ VPN 收敛入口，主机侧再按来源网段限制；暴露的 3389 是被爆破最多的端口之一。
authselect/authconfig 统一管理 PAM
RHEL 8+ 用 authselect、老版本用 authconfig：通过受支持接口启用 faillock、pwhistory 等特性，避免手改 pam.d 被升级覆盖。
authorized_keys 权限与目录加固
OpenSSH 对密钥文件权限敏感：.ssh 700、authorized_keys 600、属主正确，否则密钥静默失效或被同机用户读取。
SSH 强制“密钥 + 动态口令”组合认证
用 AuthenticationMethods 精确声明多因素顺序：publickey,keyboard-interactive 表示两关都要过，而非二选一。
域密码策略（默认域策略）核查
域环境的密码策略在 Default Domain Policy 集中生效：长度、历史、最长/最短期限、复杂度开关是测评必查项。
RDP 强制网络级身份验证（NLA）
NLA 让远程桌面在建立会话前先完成认证：未认证连接拿不到登录界面，显著降低预认证攻击面与资源占用。
pwquality 防弱口令进阶参数
在长度与类别之外，difok（新旧差异）、maxrepeat/maxclassrepeat（重复字符）与 gecoscheck（禁止含用户名信息）能挡住一大批可预测口令。
SSH 密钥算法与长度要求
Ed25519 优先、RSA≥3072（兼容老设备）；清理 DSA 与短 RSA 密钥，并用指纹清单做资产化盘点。
托管服务账号（gMSA）替代静态服务口令
组托管服务账号由 AD 自动维护 240 字符周期轮换口令，服务读取无需人工保管——静态口令改不动、轮换难的问题一次解决。
faillock 核查与手工解锁
运维日常两类操作：查某账号的失败计数与锁定状态、解锁被锁账号；faillock 命令直接读内核态记录，简单可靠。
账号锁定与解锁（passwd/usermod）
离职、审计冻结、临时封禁用 passwd -l/-u 或 usermod -L/-U；锁定只是加 ! 前缀，不动密钥与计划任务，适合快速处置。
SSH CA 集中签发与 Principal 授权
大规模环境用 SSH CA 替代逐台分发 authorized_keys：客户端证书由 CA 签发，服务端只信任 CA 并按 principal 授权。
sudo 凭据缓存与提权审计
sudo 默认缓存认证 5 分钟：共享运维机上缓存等于给后来者免密提权；收紧 timeout 并开启 I/O 日志更适合审计场景。
细粒度密码策略（PSO）为特权账号加严
域内可给 Domain Admins 等特权组单独下发 PSO：更长的口令、更短的期限、更严的锁定，普通用户不受影响。
Kerberos 加密类型收敛（AES only）
限制 Kerberos 只允许 AES128/AES256，禁用 RC4/DES：把“抓包离线破解服务账号”的风险降下来。
pam_pwhistory 口令历史与重用限制
禁止重复使用最近 N 次口令，配合 pwquality 防止“改来改去就那几个”的合规空转；历史记录存 /etc/security/opasswd。
sudo 组认证失败锁定
特权提权路径也要计入失败锁定：把 pam_faillock 接进 sudo 的 PAM 栈，防住“先猜 sudo 口令”的定向爆破。
口令哈希算法收敛（SHA-512/yescrypt）
确认新改口令使用强哈希（SHA-512 或 yescrypt），并把 ENCRYPT_METHOD 固化到 login.defs，避免历史 DES/MD5 残留。
限制 SSH Agent 转发
Agent 转发会把私钥“能力”带到登录后的远端：远端 root 可借用转发通道登录其他主机——默认应关闭，按需精确开放。
禁用自动登录与明文默认口令
Winlogon 的 AutoAdminLogon/DefaultPassword 是内嵌系统的经典隐患：审计注册表并清除，改由 Kiosk 模式或统一身份方案实现自动会话。
计划任务与服务凭据安全
计划的“使用存储口令运行”任务与服务账户会在系统中留下可解密凭据：盘点运行账户，能换 gMSA 的换，不能换的下调权限。
屏幕锁定与空闲超时
无人看管的已登录会话等于把权限让给路过者：启用屏保密码保护或“计算机不活动限制”，让空闲会话自动锁屏。
服务账号权限与登录方式盘点
批量盘点服务账户的登录类型（禁止交互登录）、口令有效期与权限级别：让“没人知道干啥用”的服务账号浮出水面。
WinRM 认证与传输收敛
WinRM 远程管理同样要收敛认证：禁用 Basic/未加密传输，域内走 Kerberos，跨域走 HTTPS 5986 + 证书，避免明文凭据。
root 账户锁定保护（even_deny_root 取舍）
默认 root 不参与锁定；开启 even_deny_root 可防 root 逐点爆破，但一旦被锁必须本地控制台恢复，需权衡场景。
SSH 认证尝试与并发限制
MaxAuthTries/MaxSessions/MaxStartups 限制单连接的认证尝试与并发会话，压低爆破效率并缓解资源滥用。
MFA 备用码与应急通道管理
MFA 的可用性风险由备用码承担：备用码要一次性、加密保管、定期轮换，并明确“丢失设备”的重置流程与审批。
限制缓存登录数量
缓存凭据允许离线登录但也会在终端留存口令哈希：域内终端建议缓存 1-4 个；高安全终端可设 0（失去离线登录能力）。
凭据委托与 RDP 凭据保护
关掉“允许委派保存的凭据”，并为 RDP 启用 Restricted Admin/Remote Credential Guard，防止凭据在使用远程服务时被中间机窃取。
用户权限分配：拒绝本地/远程登录
权限分配（SeDenyInteractiveLogonRight 等）是“最小权限”的落点：给服务账号与普通用户显式拒绝不该有的登录方式。
凭据管理器存量清理
终端“记住的密码”把可复用凭据留在用户配置里：用 cmdkey /list 盘点、按需清理，并配合策略禁止 RDP 保存凭据。
智能卡/证书登录要求（高安全账号）
对高价值账号启用“交互式登录需要智能卡”（SmartcardLogonRequired），把口令单因素从这些账号上彻底拿掉。
BitLocker 的 TPM+PIN 双因素启动保护
纯 TPM 保护在“整机失窃+冷启动攻击”场景下可被绕过：加 PIN 让启动解密需要用户知识因素，属认证体系的一环。
失败登录记录分析（btmp/lastb）
btmp 记录全部失败登录尝试，lastb 是它的可读前端：按来源与账号聚合是识别爆破与撞库的最快路径。
Kerberos 票证生命周期策略
限制 TGT/服务票证生命周期与时钟偏差：缩短票证存活窗口可降低被盗票据的可用时间，是域级纵深防御项。
认证策略筒仓（Authentication Policy Silos）
把特权账号放进隔离策略容器：仅允许从规定的主机（如跳板机）认证，直接切断“拿到管理员口令随便登”的路径。
匿名枚举与空会话限制
匿名空会话（null session）曾被大量用于信息搜集：限制匿名枚举 SAM 账号与共享，缩小侦察面。
PAM limits 会话资源限制
/etc/security/limits.conf 限制用户级资源（进程数、文件数、登录数），防 fork 炸弹与资源耗尽型滥用，属认证会话加固的一部分。
登录时间与工作站限制
对特定账号限制可登录时段与工作站（net user /times、/workstations 或 AD 属性），缩小账号被滥用时的可用窗口。
失败锁定与 fail2ban 的职责划分
faillock 保护“账号”，fail2ban 保护“来源 IP”：两者互补不冲突，常见组合是 faillock 兜账号、fail2ban 兜网络层。
服务与端口收敛
关闭危险服务与最小化开放端口
Redis 未授权访问加固
Redis 未授权访问是挖矿与勒索写 SSH 密钥的经典入口：绑定回环/内网、开启认证、禁用危险命令、非 root 运行。
常见危险/冗余服务处置清单
一批历史遗留服务默认开启即高危：telnet/rsh/rlogin/tftp、rpcbind、ypserv、xinetd 等，服务器上非必要一律关闭或卸载。
Docker API（2375/2376）暴露处置
未加密的 Docker API 等于把宿主机 root 交给对方（起一个特权容器即可逃逸）：发现 2375 立即封堵并整改。
SMB 445/139 暴露面核查与收敛
跨平台都可能有 SMB 服务在听：Linux 是 Samba、Windows 是 LanmanServer；对互联网开放 445 是永恒之蓝类蠕虫的入口。
systemd 服务全景审计（运行态与自启动）
服务收敛第一步是全量盘点：正在运行的服务、开机自启的服务、以及两者之差——审计要求“运行即必要、自启即批准”。
Elasticsearch 未授权访问加固
ES 未授权可读写全部索引，数据泄露与勒索删库事件多发：开启安全模块、绑定内网、禁止公网入口。
MySQL 对外暴露与账号来源收敛
3306 对公网开放是撞库与勒索的高发入口：数据库只应监听内网，账号来源限制到具体网段，禁止 % 泛授权。
监听端口全量盘点（ss/netstat）
以本机监听清单为底账：哪些端口、绑定哪个地址、属于哪个进程，逐条与“批准清单”比对。
Memcached 未授权与 UDP 放大
Memcached 既可能泄露数据，又因 UDP 反射成为大流量攻击的放大器：绑定回环、关闭 UDP、开启 SASL。
Kubelet 10250 匿名访问与鉴权
Kubelet 接口可执行命令、拉取日志：匿名认证开启时攻击者可直接接管节点上所有容器（历史大规模挖矿事件的入口）。
高危端口处置标准流程
发现高危端口暴露时按“先验证→后封堵→再根治”的顺序：临时封边界止血，然后补认证/升级/改配置，最后复核。
MongoDB 未授权访问加固
Mongo 默认无认证即可读写：勒索删库案例中常见“暴露+无认证”组合；开启 authorization 并限制绑定。
Jenkins 管理界面暴露与弱口令加固
Jenkins 8080 若暴露公网且允许匿名访问，脚本控制台（Script Console）等于远程命令执行：收敛访问、强认证、禁用 CLI。
etcd 2379/2380 暴露与证书认证
K8s 的 etcd 保存全部集群密钥：客户端端口暴露且无证书认证等于集群失守，属于最高优先级收敛项。
telnet 服务清除与替代（SSH 化）
telnet 明文传输口令与数据：生产环境应彻底卸载 telnet-server；客户端工具如需保留仅限排查用途并登记。
SNMP 服务安全（v3 与团体字）
SNMP v1/v2c 的团体字等价明文口令：监控需求存在时改用 v3（认证+加密），并限制查询来源。
监听地址收敛（只绑内网/回环）
端口是否对外暴露取决于绑定地址：让服务只绑 127.0.0.1 或内网地址，比单纯依赖防火墙更直接可控。
Windows 服务与启动类型盘点
Windows 同样要“运行即必要”：用 PowerShell 导出运行中与自动启动服务清单，逐项与批准清单比对。
FTP 服务加固或替换为 SFTP
FTP 明文且被动端口范围难管：能替换就替换为 SFTP/HTTPS；确需 FTP 时按最小权限与 TLS 加固。
PostgreSQL pg_hba 与监听收敛
Postgres 的访问控制核心在 pg_hba.conf：禁止 trust、限定网段、按用户库级最小授权；listen_addresses 只绑内网。
Tomcat 管理应用与 8080 收敛
历史版本的 /manager 与 /host-manager 默认弱口令（tomcat/tomcat）曾被大量利用上传 war 包：删除默认应用或强口令限源。
Windows 监听端口与进程映射核查
用 Get-NetTCPConnection 与 netstat -ano 交叉盘点监听端口，PID 映射到进程名，识别计划外监听。
Samba/SMB 服务加固
Samba 面向 Linux/Windows 互通，配置错误会造成匿名共享与弱协议：最小共享、禁 guest、强协议与审计一起上。
rsync 873 未授权访问整治
rsync 守护进程未认证即可列目录与下载文件，备份数据泄露常见：auth users + secrets file + 来源白名单三件套。
Hadoop/YARN Web 界面未授权访问
YARN ResourceManager Web UI（8088/8089）无认证可提交任务：历史上有通过 REST API 执行命令的公开利用链，务必收敛。
RabbitMQ 管理界面与 guest 账号
15672 管理界面默认 guest/guest（仅限 localhost 使用）：一旦放开远程或弱口令，消息与队列可被完全接管。
Windows 137-139/445 端口暴露复核
NetBIOS（137-139）与 SMB（445）是内网蠕虫与横向移动的基础设施：网络层限源 + 主机层关闭历史协议，双层复核。
rpcbind/RPC 服务收敛
rpcbind 为 NFS/NIS 提供端口映射，若不需要 NFS 就应关闭；需要时也要限制访问来源，避免 RPC 端口全网可探。
DNS 服务递归与放大风险控制
对外解析服务器若开放递归，会被用于 DNS 放大攻击：按角色拆分权威/递归，用 allow-recursion 限定来源。
ZooKeeper/Kafka 未授权访问整治
ZK/Kafka 默认无认证：可被读取元数据、篡改队列甚至删除 topic；内网暴露同样高危，按需开启 SASL/ACL。
SQL Server 暴露面与 xp_cmdshell
MSSQL 1433 暴露公网常被爆破；同时确认 xp_cmdshell 等危险扩展已禁用，避免拿到库权限后直接执行系统命令。
Windows 危险/冗余服务处置清单
Remote Registry、Print Spooler（历史高危漏洞）、SSDP/UPnP、Fax 等在服务器上多属冗余：按需禁用降低攻击面。
端口台账与定期复核机制
把“资产×端口×进程×归属人×复核日期”固化为台账：每次巡检 diff，新增即评审、消失即销账，暴露面管理才可持续。
NFS 导出最小化（exports 白名单）
NFS 天然信任客户端：exports 必须限定网段并启用 root_squash，绝不用通配符对全网导出。
Windows 共享清单与最小化
共享目录常因“临时开一下就忘”而长期存在：定期导出共享清单，核对权限与用途，敏感目录禁止 everyone 可读。
Print Spooler 服务风险与处置
打印后台服务历史上多次爆出提权与远程执行漏洞（PrintNightmare 等）：非打印服务器建议关闭，打印服务器及时补丁。
服务收敛变更流程（评估-灰度-复核）
关服务是高风险的日常变更：固定流程=列清单→评估依赖→灰度验证→观察期→固化基线，避免“关出事故”。
服务禁用与屏蔽（disable/mask 的区别）
disable 取消自启但可被依赖拉起；mask 用 /dev/null 链接彻底封死。收敛时按“是否需要兜底防护”选择。
可疑外连与端口排查（netstat -anob）
端口收敛不止“监听”：异常外连（C2/挖矿矿池）同样要发现——按进程映射外连清单，是日常巡检的固定动作。
LDAP 匿名绑定与目录信息泄露
目录服务若允许匿名绑定，攻击者可枚举组织架构、账号与邮箱用于钓鱼：关闭匿名绑定并限制查询来源。
本机邮件服务与开放中继风险
服务器上无意开启的 postfix/sendmail 可能配置成开放中继（被垃圾邮件利用）；不需要邮件就别装，需要就锁死中继范围。
xinetd/inetd 托管服务核查
xinetd 逐文件托管一大堆历史服务（tftp、finger、chargen 等）：逐个文件核对 disable 状态，多数整包卸载更省事。
Remote Registry 服务禁用
远程注册表服务允许远程读取/修改注册表：历史横向移动与信息收集的常用组件，服务器上一律禁用。
NTP 服务安全与放大防护
chrony/ntpd 若对外开放查询会被用于 NTP 放大；服务器作为同步客户端时通常无需对外服务，收紧 restrict 并限制来源。
X11 端口与转发收敛（6000+）
X11 默认监听 6000+N（N 为 display 号），对网络开放意味着键盘记录与截屏风险：服务器应禁用 X 转发与 TCP 监听。
桌面类服务在服务器上的清理
avahi、cups、bluetooth、ModemManager 等桌面生态服务在服务器上无用途却监听端口、暴露信息：一律关闭。
atd 与计划任务服务收敛
atd 常被遗忘却允许任意本地用户排任务：无需求时关闭；保留时用 at.allow 白名单替代 at.deny 黑名单。
SSDP/UPnP 与即插即用服务收敛
SSDP/UPnP 用于设备发现：服务器上无用途却把主机暴露给局域网探测，还可能有 UPnP 相关漏洞，一律禁用。
CUPS 打印服务暴露（631）
服务器上的 CUPS 会监听 631 并提供管理界面：无打印需求直接停用；需要时仅绑回环或内网。
TCP Wrappers（hosts.allow/deny）历史配置清理
老系统靠 /etc/hosts.allow 做访问控制：新版本已弱化该机制，容易产生“以为管控了实则没有”的假象，统一迁到防火墙。
补丁与漏洞管理
更新策略、漏洞扫描与高危端口处置
Log4Shell（log4j-core）排查与处置
Log4Shell 影响极广：全盘搜索 log4j-core 版本、检查 JNDI 利用路径、升级到修复版本（2.17.1+ 或对应 1.x/2.12.x 线上版本）。
RHEL 系安全更新（yum security）
RHEL/CentOS/Rocky/Alma 的安全补丁按 RHSA/ELSA 通告发布：先用 updateinfo 看清安全项，再只装安全更新。
CVE 应急评估四步法
收到高危 CVE 通报后的标准动作：定位组件与版本→判定可达性（是否暴露/是否可触发）→定级与时限→修复验证与归档。
Debian/Ubuntu 待升级与安全源核查
apt 的待升级清单与 -security 源是补丁管理基础：确认安全源存在，再区分安全与普通升级。
发行版生命周期（EOL）核查
已 EOL 的发行版拿不到安全补丁：CentOS 7（2024-06）、CentOS 8、Ubuntu 非 LTS 等都在清单里，必须规划迁移。
待装更新与重启需求盘点
把“待装更新 + 需要重启”做成两台机器都能跑的标准命令：补丁合规检查的第一现场。
polkit pkexec 提权自查（PwnKit）
polkit 的 pkexec 曾被披露本地提权漏洞（CVE-2021-4034）：核查 polkit 版本与发行版修复版本，及时更新。
紧急漏洞（0day/在野利用）处置流程
当漏洞已被在野利用且补丁未及时可得：先缓解（隔离/拦截/关闭入口）优先于排期修复，按“业务连续性优先”的原则决策。
自动安全更新（unattended-upgrades）
无人值守升级可自动装安全补丁：适合基线不敏感的角色，但要配置重启策略与黑名单，避免半夜自动重启生产。
内核更新与重启生效验证
内核补丁装完后必须确认“运行内核 = 最新已装内核”：这是等保与合规检查的固定核查点。
内核漏洞自查（版本与公告对照）
内核漏洞（提权/逃逸类）以发行版勘误为准：先确认运行内核版本，再看发行版公告中该漏洞的修复版本。
glibc 版本自查（Looney Tunables 类）
glibc 的 ld.so 环境变量处理曾出现本地提权漏洞（CVE-2023-4911 系列）：核查 glibc 版本并升级，容器镜像同样适用。
软件仓库来源与 GPG 校验
补丁的可信度取决于仓库：确认仓库地址可信、GPG 校验开启，杜绝“半路注入”的更新来源。
系统文件完整性核验（rpm -V / debsums）
补丁之外还要防篡改：用包管理器自带的完整性与签名校验发现被替换的系统文件（rootkit、后门常替换核心命令）。
组件版本清点与 CVE 对照方法
漏洞自查始于版本清点：把“组件→版本→来源（系统包/自编译/容器）”做成表格，再对照官方与发行版公告。
sudo 版本自查（Baron Samedit 类）
sudo 历史高危提权漏洞（CVE-2021-3156）影响面广：核查 sudo 版本并升级，同时确认发行版补丁状态。
Windows 补丁清单核查（Get-HotFix）
列出已装补丁（KB 列表）与最近安装时间：与 MSRC 公告对照，确认关键漏洞补丁在列。
数据库/中间件补丁的专项流程
数据库补丁不能“顺手打”：主从切换、版本兼容、驱动匹配、回滚演练，一个都不能省；通常单独排专项窗口。
dnf updateinfo 安全公告过滤
dnf 的 updateinfo 支持按类型（security/bugfix/enhancement）与 CVE 过滤：适合做“本月高危项清单”的证据。
补丁窗口与灰度发布纪律
补丁上线要有窗口与灰度：先 1 台→验证→小批量→全量；数据库/中间件类补丁单独走专项方案。
Apache Struts2 组件排查（OGNL 类漏洞）
Struts2 历史上多次 OGNL 远程执行漏洞（S2-xxx 系列）：清点应用中的 struts 依赖版本并升级到安全版本。
Windows 更新源与 WSUS 核查
企业 Windows 的补丁经 WSUS/Intune/配置管理器下发：先确认更新源指向与策略生效，再谈打没打上。
容器镜像更新与基线复核
容器里也跑着操作系统与组件：基础镜像要定期重建升级，镜像来源与摘要要固定，禁止 latest 漂移。
bash Shellshock 类漏洞自查
Shellshock（CVE-2014-6271 系列）影响 bash 环境变量处理：老设备/镜像仍可能带病，自查脚本可作为常规巡检项。
OpenSSH 版本自查与缓解
OpenSSH 也曾出现远程竞争型漏洞（regreSSHion 类）：核查 sshd 版本与发行版修复公告，过渡期可收紧 LoginGraceTime 缓解。
Java 应用依赖清点（jar 清单）
Java 漏洞大多在依赖里：把应用目录下 jar 清单导出并与安全公告对照，比“整体升级应用”更可执行。
漏洞修复验证（版本+功能+复测）
修复后必须验证三件事：版本/开关已生效、业务功能正常、原验证方法不再复现——三者缺一不算修完。
月度补丁评估（补丁星期二节奏）
微软每月第二个周二发布安全更新：建立“公告阅读→影响评估→测试→灰度→全量→验证”的月节奏，紧急公告（带外）单独走应急。
补丁后验证清单（服务/业务/日志）
补丁装完的验证分三层：系统层（服务与重启状态）、业务层（核心流程与接口）、观察层（日志与性能窗口）。
内网镜像源与断网环境更新
生产网常与互联网隔离：搭内网 yum/apt 镜像，补丁经“外部同步→摆渡审核→内网发布”流程进入，速度与可控性都更好。
第三方应用与自带组件补丁
Nginx/Redis/ES/Jenkins 等自管组件不走系统包管理：它们有独立的安全公告渠道，要单独建立跟踪清单。
OpenSSL 版本与 Heartbleed 类自查
OpenSSL 是 TLS 与大量组件的依赖：版本问题影响面远超“网站证书”；核对版本与发行版修复状态。
CVE 评估表模板（资产×版本×暴露×结论）
用统一表格驱动 CVE 处置：列固定、结论可检索，既能并行分工也能向管理层汇报。
漏洞扫描工具选型与使用边界
扫描器分主机漏扫（OpenVAS/Nessus/云安全中心）与 Web 漏扫（AWVS/AppScan）：选一套落地、按授权范围执行，输出要能闭环。
补丁前快照与备份准备
打补丁前的可回滚准备：虚拟机快照、配置备份、数据库备份三选一（或全要）；快照有效期要同步设置。
回滚方案与已知问题清单
每个补丁变更单必须回答：失败如何回滚、回滚需要多久、数据是否可回退；同时维护“已知问题”清单管理例外。
更新历史审计（yum history / dpkg.log）
补丁是否装过、什么时候装的、谁装的：历史记录是审计与回滚的依据，也是“某日变更后开始出问题”的定位线索。
Apache HTTPD 版本与模块核查
httpd 的漏洞常来自核心与模块组合：核查版本、已加载模块与配置项，避免“升级了核心忘了第三方模块”。
Nginx 版本与配置核查
Nginx 漏洞常与模块版本绑定（如 HTTP/2 模块类）；核查版本来源（系统包/官方源/自编译）并保持升级通道畅通。
组件清单（SBOM）与依赖台账
现代漏洞响应拼的是清单速度：把“应用→版本→依赖→部署位置”的 SBOM 存档，新 CVE 出现时分钟级定位影响面。
Windows 第三方软件补丁管理
浏览器、Java、PDF 阅读器、压缩工具是攻击者最爱的入口：用清单+自动更新或软件分发统一管理。
包版本锁定与排除（versionlock/apt-mark）
业务系统对特定版本有兼容要求时，用版本锁定防止“顺带升级”：锁定的包必须登记理由与复核日期。
云安全中心/主机防护 agent 落地
云环境用厂商安全中心（阿里云/腾讯云/华为云）可获得漏洞预警、基线检查与入侵告警的一体化能力：先装 agent，再配置告警闭环。
Windows 更新故障排查（缓存与组件）
更新下载失败/卡住时的标准修复：停止更新服务→清缓存目录→重启服务；顽固问题再重置组件（谨慎）。
固件/BIOS/BMC 补丁管理
固件漏洞（如 BMC 远程接管类）无法被操作系统补丁覆盖：纳入资产清单按季度巡检厂商公告与版本。
带凭据扫描与基线合规扫描
无凭据扫描只能看网络面；带凭据（SSH/WinRM）可检查包版本与配置基线，部分扫描器还支持等保/CIS 基线模板。
漏洞报告处置 SLA 与复盘
漏洞生命周期要有量化：发现数、修复率、平均修复时长（MTTP）、超期项——数字驱动才能可持续。
补丁合规报表与敞口统计
按月输出：应装/已装/待重启/不适用的分层统计与超期清单——报告要能回答“我们现在的漏洞敞口是什么”。
扫描误报的复核与豁免流程
扫描器误报不可避免：建立“复核→举证→豁免（带到期时间）→复扫确认”的流程，豁免不是删除。
补丁管理指标（MTTP 与合规率）
两个关键指标：平均修复时长（MTTP，按严重级分层）与补丁合规率（已装/应装）；用趋势而非单点数值驱动改进。
日志与审计
审计策略、日志留存与关键事件监控
身份文件变更监控（watch 规则）
对 /etc/passwd、shadow、group、gshadow 与 sudoers 加 watch：账号或权限被改立刻有审计记录，事后 ausearch 一网打尽。
日志留存期核查（等保 6 个月）
留存期是审计条款的硬指标：策略（轮转份数/留存时间）与实测（磁盘上实际有多少天）都要达标，缺一即减配。
auditd 安装与运行核查
auditd 承载内核审计日志的落盘与轮转，是等保“安全审计”条款的核心组件：先确认安装、运行与开机自启，再谈规则配置。
登录事件查询（4624/4625）
4624 成功、4625 失败：按来源 IP 与账号分组能快速识别爆破解；注意登录类型字段区分本地与网络登录。
用户与组管理命令审计
对 useradd/usermod/userdel/groupadd 等管理命令与 setuid 系统调用布控：账号被悄悄添加或提权动作都会留痕。
Windows 审计策略核查（auditpol）
auditpol 是 Windows 审计配置的核查与设置入口：登录、进程创建、账户管理三块必须先开，否则事后无据可查。
特权命令审计（sudo/su/passwd）
对 sudo、su、passwd 等提权入口布控：记录里 auid/uid/euid 三列配合读，能还原“谁以什么身份执行了什么”。
sudoers 变更与 sudo 会话监控
sudo 审计看三处：sudoers 文件变更 watch、sudo.log 会话记录（如启用）、execve 记录的命令行；排查提权必须三者对照。
日志清除事件监控（1102/104）
1102 表示安全日志被清除、104 表示系统日志被清除：入侵者收尾常清日志，这两个事件就是警报器。
内核模块加载审计
init_module/finit_module/delete_module 与 kexec_load 布控：非计划窗口出现内核模块动作，通常就是 rootkit 信号。
rules.d 规则目录与持久化流程
RHEL 系惯例：规则放 /etc/audit/rules.d/*.rules，用 augenrules 合并生成 audit.rules；直接改 audit.rules 会被覆盖。
ausearch 登录事件查询
ausearch 用消息类型查登录成功/失败：USER_LOGIN、USER_AUTH 是排爆破解与异常登录的主入口。
审计日志远程集中（audisp-remote）
关键证据要离开被审计主机：audisp-remote 把审计事件实时转出，本机被入侵也删不掉远端记录。
PowerShell 脚本块日志（4104）
开启脚本块日志后，PowerShell 执行的明文脚本会进入 4104 事件：查无文件攻击与横向脚本的关键证据链。
审计日志容量与磁盘保护
auditd.conf 控制单文件大小、保留份数与磁盘压力动作：配不好要么证据被冲掉，要么磁盘写满拖垮业务。
auditctl 状态查看与临时规则
auditctl -s 看内核审计开关与队列积压，auditctl -l 看当前生效规则；临时规则重启即失效，定位问题很方便。
失败系统调用审计（越权尝试线索）
-F exit=-EACCES/-EPERM 记录被拒绝的访问：入侵者试探性访问的痕迹全在这里，也是数据泄露路径的佐证。
认证日志位置与快速排查
认证日志是应急第一现场：RHEL 系看 /var/log/secure，Debian 系看 /var/log/auth.log，systemd 环境用 journalctl 兜底。
关键目录命令执行审计（execve）
用 execve 规则盯住关键目录（如 /usr/local/bin、/tmp）里的程序执行：入侵者留下的工具大多会在这些位置落地。
ausearch 按 key 检索与 -i 解析
自定义规则的 -k key 就是检索标签：ausearch -k 一把捞全，-i 把十六进制参数解析成可读文本。
journald 持久化与容量控制
systemd-journald 默认可能只把日志放内存：配置 Storage=persistent 并核对容量与清理策略，重启后日志才会还在。
安全日志容量与保留策略
默认日志容量偏小、滚动快：先算日均事件量，再定容量；证据留存的第一步是把日志装得下。
审计配置固化（-e 2）
规则文件末行 -e 2 会把审计配置置为不可变：连 root 也无法删改规则，等保要求“审计配置不被篡改”的落地手法。
rsyslog 配置核查与语法校验
系统日志与认证日志都过 rsyslog：核查主配置与 rsyslog.d 片段，改前用 -N1 校验语法。
高级审计策略配置路径（本地与域）
Windows 审计集中配置入口：本地是 gpedit 的高级审核策略，域环境在 GPMC 统一下发；先确认生效来源再动手。
网络配置变更审计
监控主机名、/etc/hosts、网络配置与解析文件：被改 DNS 或 hosts 往往是劫持与挖矿的前兆。
rsyslog 远程转发（TCP + 磁盘队列）
生产环境转发用 TCP 加磁盘队列：断线重连补发、不丢关键日志；UDP 只适合内网临时排查。
登录记录核查（last/lastb/lastlog）
wtmp 记成功、btmp 记失败、lastlog 记每个账号最近登录：三条线交叉验证，比单看一处可靠。
Sysmon 部署与关键事件核查
Sysmon 记录进程创建、网络连接、镜像加载等细粒度事件：内置审计不够用时，它是入侵排查的首选数据源。
权限变更审计（chmod/chown）
chmod/chown/chattr 是提权与后门常走的路径：对普通用户发起的权限变更布控，能捞出大量可疑动作。
logrotate 策略核查与演练
轮转配错最常见的后果是日志被误清或磁盘写满：先用 -d 干跑看动作，再真跑；核查保留份数与压缩策略。
事件日志导出与证据固定
调查与交接前先固定证据：导出 evtx、计算哈希、记录时间；取证顺序错了，后续结论都站不住。
SELinux/AppArmor 策略变更审计
强制访问控制策略被关停或修改意味着防线降级：策略目录与 xattr 变更纳入审计，安全整改前后做对照。
aureport 汇总与审计报表
aureport 把审计事件按维度汇总：登录、认证、失败、key 命中都能出报表，适合作为合规检查证据归档。
基线核查命令
一条条可执行的核查与取证命令
监听端口清单核查（ss）
监听清单是所有暴露面的总账：逐条落到“端口-进程-用途-责任人”，没有用途说明的对外端口默认收紧。
UID 0 账号核查
除 root 外任何 UID 0 账号都是后门信号的最高级别：这条命令输出应当只有 root 一行。
空口令与锁定状态核查
shadow 第二字段为空=无口令可登录，属高危；用 passwd -S 拿到人类可读的账号状态清单。
防火墙状态与规则量核查
先判定系统主用哪套防火墙（firewalld/ufw/nftables/iptables 混用会互相打架），再看默认策略与规则数量。
Windows 本地账号核查
两件套核查：管理员组成员清单 + 启用且免密的账号；任一异常都够事件级别。
SSH 生效配置核查（sshd -T）
sshd -T 输出的是包含默认值展开的最终生效配置：核查 SSH 一律以它为准，别对着注释猜。
计划任务与自启项核查
计划任务是持久化重灾区：逐条解释来源与用途，奇怪的 wget/curl 一行流直接按事件排查。
口令策略生效状态核查
策略分布在 login.defs 与 PAM 两处：有效期看 login.defs，复杂度看 pwquality，锁定看 faillock，缺一即减配。
Windows 监听端口与进程核查
把监听端口逐一映射到进程：445/3389/5985/5986 是重点盯防对象，非业务端口一律列为处置项。
RDP 安全配置核查
RDP 是勒索入口常客：NLA 开启、层为 TLS、非必要不暴露；公网直连必须叠多层防护。
sudo 权限清单核查
把 sudoers 里的特权授予摊开看：重点抓 NOPASSWD 与全权 ALL 两项，数量与人员清单偏差即整改。
SUID/SGID 文件扫描
SUID 文件是提权捷径：对照发行版默认清单分类，最近 30 天新增的 SUID 文件重点核实来源。
Windows 防火墙配置核查
三个 Profile（域/专用/公用）都要启用且入站默认拒绝：任何一台被划错网段的机器都可能裸奔。
SMB 配置与共享核查
SMB1 必须关闭、共享列表逐项核对：SMB1 与匿名共享是勒索横向的两条高速路。
root 登录与认证方式核查
禁 root 直登、关密码认证是 SSH 加固两条主线；核查后确认还有可用的提权与密钥路径，避免把自己锁外面。
高危端口对照核查
把数据库、缓存、远程管理类高危端口一键筛出：6379/11211/2375 这类裸露在公网等于开门揖盗。
Windows 补丁状态核查
三个数回答补丁状态：系统版本、最近补丁日期、待重启标记；超过 45 天未打补丁列入整改。
审计子系统状态核查
三行验收审计：服务 active、规则条数非零、日志文件在增长；任何一项为零即“形同未开”。
Windows 口令与锁定策略核查
net accounts 给出本机生效结果：长度、有效期、锁定阈值、锁定时长四个值对照基线。
内核参数批量核查（sysctl）
按组取数几十毫秒完成内核加固项体检：转发、校验、随机化、日志暴露四组参数一次比对。
补丁级别与重启需求核查
一条命令回答“有没有未装的安全更新、最近更新是什么时候、是否需要重启”，补丁核查的三要素一次拿全。
非必要服务清单核查
运行中与开机自启两类服务都要对照业务清单：多跑一个服务就多一份攻击面，不认识的服务先查归属再处置。
一页式快速巡检（轻量版）
十分钟完成一台机器的安全快照：账号、监听、SUID、服务、防火墙、审计六段取数，输出留档做基线。
恶意代码防护状态核查
Defender 三看：实时保护、签名更新时间、排除项；排除项突然变多是攻击者放行的典型信号。
全局可写目录与文件核查
除 /tmp、/var/tmp（带 sticky 位）外的全局可写项都是隐患：无 sticky 位的目录可以被任意用户删文件。
可登录账号清单核查
列出所有能登录 shell 的账号：清单越短越可控，每个可登录账号都应能说清归属与用途。
系统版本与内核盘点
盘点先行：系统版本、内核、架构、已装内核列表，是一切基线判定的起点，EOL 系统直接判定为高风险。
家目录与 .ssh 权限核查
家目录建议 700、.ssh 700、authorized_keys 600：权限过宽等于把密钥交给同机低权账号。
日志轮转与留存现状核查
看近期轮转产物（.gz/.1）与三处留存配置：一个月没有任何轮转产物的系统，留存期多半不达标。
证书有效期批量核查
证书到期是线上最高频事故：体检把“剩余天数”列为必填字段，剩余 30 天内进入续期清单。
核查结果判读与报告写法
核查报告的价值不在命令输出，而在结论：每条落“当前值/基线值/差距/结论”四列，结论只有三种。
时间同步状态核查
System clock synchronized 与时钟源状态是两个必看值：时间不同步，审计与应急时间线全部失真。
OpenSCAP 快速核查思路
用 SCAP 内容包做机器可读的合规体检：CIS/STIG 报告可作为等保自评证据，但结论仍需人工复核。
默认 umask 核查
系统默认 umask 建议 027 或更严：022 意味着新建文件同组可写，配合共享目录容易出事。