| 加固项 | 等保 2.0 主机条款符合性 |
|---|---|
| 适用平台 | 通用（Linux/Windows） |
| 风险等级 | 高 |
| 对照标准 | GB/T 22239-2019 三级：安全计算环境（主机部分） |
主机控制点与本包落点
| 控制点 | 要求要点 | 本包落点 |
|---|---|---|
| 身份鉴别 | 口令复杂度、登录失败处理、远程管理防窃听 | 口令与认证策略组：pwquality、faillock、SSH 密钥/MFA |
| 访问控制 | 账户权限最小化、默认账户处置 | UID 0 核查、系统账号锁定、sudo/su 收敛 |
| 安全审计 | 覆盖每个用户、留存≥6 个月、防删除 | 日志与审计组：auditd、rsyslog、集中留存 |
| 入侵防范 | 最小安装、关闭非必要服务与端口 | 服务与端口收敛组、基线核查命令组 |
| 恶意代码防范 | 防恶意代码机制及时更新 | AIDE 完整性、ClamAV/EDR、补丁管理 |
| 可信验证 | 启动与运行态度量（依据产品能力） | TPM/可信启动、白名单产品（工具链控制） |
自查命令样例（配合本包条目执行）
自查命令样例（配合本包条目执行）
awk -F: '($3==0){print $1}' /etc/passwd # 身份鉴别+访问控制
auditctl -s | head -3 # 安全审计状态
ss -tulnp | grep -v '127.0.0.1' | head # 开放端口盘点测评看“证据链”：命令输出、配置备份、审计记录都要留存归档；只临时改配置、测评后又还原不算整改。