等保主机层核查怎么过
等保测评的主机层面（身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范）大部分要求可以用命令验证。把常用核查项与对应命令整理成对照表，自查、整改、复测都能复用。需要注意的是：不同等级（二级/三级）条款不一样，数值类要求（口令长度、锁定次数、日志保存时长）按本单位策略与定级结论确认，命令只能证明技术项，制度与流程类条款要另行准备材料。
基本信息
| 依据标准 | GB/T 22239-2019 网络安全等级保护基本要求 |
|---|---|
| 覆盖范围 | 主机层面技术条款的自查与整改复测 |
| 常用工具 | login.defs、faillock、sshd、auditd、firewalld/systemctl |
| 核查形态 | 命令输出加解释，形成可复核的证据材料 |
| 注意事项 | 结论以测评机构现场核查与最新测评要求为准 |
典型使用场景
- 测评前自查：逐条比对技术项，提前整改明显不合格处
- 整改复测：针对上一次不合格项输出前后对照证据
- 批量巡检：多台服务器统一跑核查命令，输出统一格式清单
- 交付验收：新装信创系统交付前按基线过一遍
- 变更后复核：安全加固或补丁升级后确认配置未被回退
核查项与命令对照
| 核查项 | 快速核查命令 | 合格参考 |
|---|---|---|
| 口令有效期 | grep -E 'PASS_MAX_DAYS|PASS_MIN_DAYS' /etc/login.defs | 按本单位策略要求 |
| 口令复杂度 | grep -E 'pam_pwquality|pam_cracklib' /etc/pam.d/system-auth | 存在复杂度模块且参数合规 |
| 登录失败锁定 | grep -E 'deny|unlock_time' /etc/security/faillock.conf | 存在锁定参数且已启用 |
| 远程登录限制 | sshd -T | grep -E 'permitrootlogin|maxauthtries' | root 禁登或受限，重试次数受限 |
| 审计服务 | systemctl is-active auditd; auditctl -s | active 且 enabled=1 |
| 防火墙 | systemctl is-active firewalld; firewall-cmd --state | running |
| 多余服务 | systemctl list-unit-files --state=enabled | 对照最小化清单，无多余启用项 |
| 全局可写文件 | find / -xdev -type f -perm -0002 -print | 仅存在设计允许的例外 |
辅助命令
辅助命令
lastb | head # 失败登录尝试记录
who; w # 当前在线用户与会话
last | head # 最近登录历史
aureport --auth --summary # 认证事件汇总（若已安装）
ss -tlnp | head # 对外监听端口清单
rpm -qa | wc -l # 安装包数量，佐证最小化安装本表覆盖可用命令验证的部分。命中输出不代表就是合规结论，需要结合定级情况判断；制度、审批、人员类条款另备文档证据。
整改时不要为了通过核查而临时放宽某项配置（如把审计服务停掉减少日志），复测与实际运行状态不一致会成为新的问题项。