| 加固项 | 攻击面收敛 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 高 |
| 判读 | 0.0.0.0/:: 对外监听逐条有责任人 |
核查命令
核查命令
ss -tulnp | head -40
ss -tulnp | grep -vE '127.0.0.1|\[::1\]' | head -30 # 仅看对外监听
ss -tnp state established | head -20 # 活动连接抽查输出直接粘贴进整改表：把 u 列换成业务名，就是一份标准暴露面清单。
本包目录（363 条）
主机加固基线90 条防火墙与访问控制50 条口令与认证策略55 条服务与端口收敛50 条补丁与漏洞管理50 条日志与审计34 条
基线核查命令34 条
- 监听端口清单核查（ss）
- UID 0 账号核查
- 空口令与锁定状态核查
- 防火墙状态与规则量核查
- Windows 本地账号核查
- SSH 生效配置核查（sshd -T）
- 计划任务与自启项核查
- 口令策略生效状态核查
- Windows 监听端口与进程核查
- RDP 安全配置核查
- sudo 权限清单核查
- SUID/SGID 文件扫描
- Windows 防火墙配置核查
- SMB 配置与共享核查
- root 登录与认证方式核查
- 高危端口对照核查
- Windows 补丁状态核查
- 审计子系统状态核查
- Windows 口令与锁定策略核查
- 内核参数批量核查（sysctl）
- 补丁级别与重启需求核查
- 非必要服务清单核查
- 一页式快速巡检（轻量版）
- 恶意代码防护状态核查
- 全局可写目录与文件核查
- 可登录账号清单核查
- 系统版本与内核盘点
- 家目录与 .ssh 权限核查
- 日志轮转与留存现状核查
- 证书有效期批量核查
- 核查结果判读与报告写法
- 时间同步状态核查
- OpenSCAP 快速核查思路
- 默认 umask 核查
监听端口清单核查（ss）
监听清单是所有暴露面的总账：逐条落到“端口-进程-用途-责任人”，没有用途说明的对外端口默认收紧。
易错点
- 非 root 看不到进程名：加 sudo 否则 p 列空白会误判“无主端口”
- unix socket 不在 tcp/udp 列表里：本地服务核对要单独看 -lx
数据来源与参考
- CIS Linux Benchmark：网络服务
- 等保 2.0：访问控制