| 加固项 | 结果判读 |
|---|---|
| 适用平台 | 通用 |
| 风险等级 | 低 |
| 判读 | 结论=达标/整改/例外（例外必须附批准） |
判读三问（写入报告模板）
判读三问（写入报告模板）
# 1) 这条是否属于基线要求？（CIS / 等保条款号）
# 2) 当前值是减配还是业务必需？（业务必需要有书面说明）
# 3) 处置动作谁复核？（整改-复核-归档闭环）
# 输出模板：
# 核查项 | 当前值 | 基线值 | 差距 | 结论 | 责任人 | 期限报告两大翻车点：只贴命令输出不给结论；只提问题不给整改建议与责任人。
本包目录（363 条）
主机加固基线90 条防火墙与访问控制50 条口令与认证策略55 条服务与端口收敛50 条补丁与漏洞管理50 条日志与审计34 条
基线核查命令34 条
- 监听端口清单核查（ss）
- UID 0 账号核查
- 空口令与锁定状态核查
- 防火墙状态与规则量核查
- Windows 本地账号核查
- SSH 生效配置核查（sshd -T）
- 计划任务与自启项核查
- 口令策略生效状态核查
- Windows 监听端口与进程核查
- RDP 安全配置核查
- sudo 权限清单核查
- SUID/SGID 文件扫描
- Windows 防火墙配置核查
- SMB 配置与共享核查
- root 登录与认证方式核查
- 高危端口对照核查
- Windows 补丁状态核查
- 审计子系统状态核查
- Windows 口令与锁定策略核查
- 内核参数批量核查（sysctl）
- 补丁级别与重启需求核查
- 非必要服务清单核查
- 一页式快速巡检（轻量版）
- 恶意代码防护状态核查
- 全局可写目录与文件核查
- 可登录账号清单核查
- 系统版本与内核盘点
- 家目录与 .ssh 权限核查
- 日志轮转与留存现状核查
- 证书有效期批量核查
- 核查结果判读与报告写法
- 时间同步状态核查
- OpenSCAP 快速核查思路
- 默认 umask 核查
核查结果判读与报告写法
核查报告的价值不在命令输出，而在结论：每条落“当前值/基线值/差距/结论”四列，结论只有三种。
易错点
- “例外”必须附理由与批准人，否则等于自留后门
- 核查记录要有时间点与执行人：无签名报告不可用于审计举证
数据来源与参考
- 等保 2.0：安全管理制度
- CIS Benchmark：评估方法