| 加固项 | 计划任务创建白名单 |
|---|---|
| 适用平台 | Linux（RHEL/CentOS/Debian/Ubuntu） |
| 风险等级 | 中 |
| 机制 | cron.allow / at.allow 存在且只列授权用户 |
加固：只允许 root 创建计划任务
加固：只允许 root 创建计划任务
printf 'root\n' > /etc/cron.allow
printf 'root\n' > /etc/at.allow
chmod 600 /etc/cron.allow /etc/at.allow
rm -f /etc/cron.deny /etc/at.deny # allow 优先，deny 留着只会造成困惑核查
核查
cat /etc/cron.allow /etc/at.allow 2>/dev/null
for u in $(cut -f1 -d: /etc/passwd); do crontab -l -u "$u" 2>/dev/null | grep -v '^#' | sed "s/^/$u: /"; done建设白名单前先全量盘点现有 crontab（上一条命令），把真正依赖定时任务的账号纳入 allow，否则业务会在无人察觉时停掉。