| 加固项 | 修复验证 |
|---|---|
| 适用平台 | 全部平台 |
| 风险等级 | 中 |
| 基线 | 修复有验证证据 |
验证清单
验证清单
echo '1) 版本/配置已生效：'
uname -r; nginx -v 2>&1; cat /proc/version
echo '2) 运行态：'
systemctl is-active nginx sshd
echo '3) 复测：用原 PoC 思路在测试环境/受控条件复现验证（不再成功）'原 PoC 复测可能触发安全设备告警：提前与安全团队沟通并限定在测试环境。
本包目录（363 条）
主机加固基线90 条防火墙与访问控制50 条口令与认证策略55 条服务与端口收敛50 条
补丁与漏洞管理50 条
- Log4Shell（log4j-core）排查与处置
- RHEL 系安全更新（yum security）
- CVE 应急评估四步法
- Debian/Ubuntu 待升级与安全源核查
- 发行版生命周期（EOL）核查
- 待装更新与重启需求盘点
- polkit pkexec 提权自查（PwnKit）
- 紧急漏洞（0day/在野利用）处置流程
- 自动安全更新（unattended-upgrades）
- 内核更新与重启生效验证
- 内核漏洞自查（版本与公告对照）
- glibc 版本自查（Looney Tunables 类）
- 软件仓库来源与 GPG 校验
- 系统文件完整性核验（rpm -V / debsums）
- 组件版本清点与 CVE 对照方法
- sudo 版本自查（Baron Samedit 类）
- Windows 补丁清单核查（Get-HotFix）
- 数据库/中间件补丁的专项流程
- dnf updateinfo 安全公告过滤
- 补丁窗口与灰度发布纪律
- Apache Struts2 组件排查（OGNL 类漏洞）
- Windows 更新源与 WSUS 核查
- 容器镜像更新与基线复核
- bash Shellshock 类漏洞自查
- OpenSSH 版本自查与缓解
- Java 应用依赖清点（jar 清单）
- 漏洞修复验证（版本+功能+复测）
- 月度补丁评估（补丁星期二节奏）
- 补丁后验证清单（服务/业务/日志）
- 内网镜像源与断网环境更新
- 第三方应用与自带组件补丁
- OpenSSL 版本与 Heartbleed 类自查
- CVE 评估表模板（资产×版本×暴露×结论）
- 漏洞扫描工具选型与使用边界
- 补丁前快照与备份准备
- 回滚方案与已知问题清单
- 更新历史审计（yum history / dpkg.log）
- Apache HTTPD 版本与模块核查
- Nginx 版本与配置核查
- 组件清单（SBOM）与依赖台账
- Windows 第三方软件补丁管理
- 包版本锁定与排除（versionlock/apt-mark）
- 云安全中心/主机防护 agent 落地
- Windows 更新故障排查（缓存与组件）
- 固件/BIOS/BMC 补丁管理
- 带凭据扫描与基线合规扫描
- 漏洞报告处置 SLA 与复盘
- 补丁合规报表与敞口统计
- 扫描误报的复核与豁免流程
- 补丁管理指标（MTTP 与合规率）
漏洞修复验证（版本+功能+复测）
修复后必须验证三件事：版本/开关已生效、业务功能正常、原验证方法不再复现——三者缺一不算修完。
易错点
- 只验证“包已安装”不验证“服务已重启”：运行进程仍是旧代码
- 集群/多实例只修一台：验证要覆盖全部副本，防止负载均衡打到旧节点
数据来源与参考
- NIST SP 800-40：修复验证
- 等保 2.0：漏洞修复验证