主机层要求怎么落地
等保 2.0 把主机安全拆成身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性等控制点，测评时逐项看证据。落地思路是把每条要求映射到具体命令与配置文件：例如『口令定期更换』对应 chage 与 login.defs，『审计覆盖』对应 auditd 规则。先拿到本项目的测评评分表，再按级别与行业细则逐项整改。
基本信息
| 依据标准 | GB/T 22239-2019 网络安全等级保护基本要求 |
|---|---|
| 覆盖层级 | 身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性 |
| 证据形态 | 制度文件、运行记录、技术核查输出三类 |
| 常见工具 | auditd、AIDE、ClamAV、firewalld、SELinux |
| 核查方式 | 先用只读命令采集现状，再对照评分表整改 |
| 权限要求 | 多数核查需 root 才能读到完整信息 |
典型使用场景
- 新系统上线前按等保要求做基线加固与自查
- 测评前准备技术证据，缩短现场核查时间
- 整改后复测，确认控制点是否真正落地
- 批量终端统一基线，避免逐台人工配置
- 内审或上级检查时快速出具主机安全现状
主机控制点与核查线索
| 控制点 | 核查线索 |
|---|---|
| 身份鉴别 | 口令长度与有效期策略、登录失败锁定、会话超时（PAM、login.defs、sshd_config） |
| 访问控制 | 账户最小化、UID 为 0 的账户、sudo 授权清单、passwd 与 shadow 文件权限 |
| 安全审计 | auditd 是否运行、审计规则覆盖范围、日志保留周期与备份 |
| 入侵防范 | 监听端口最小化、SUID/SGID 清单核查、补丁安装情况 |
| 恶意代码防范 | 防病毒软件是否安装、病毒库版本与更新时间 |
| 数据完整性 | 关键文件完整性校验（如 AIDE）、备份可用性与恢复演练记录 |
快速自查
快速自查
getenforce; systemctl is-active auditd firewalld # 三项基础安全机制是否在线
awk -F: '$3==0{print "UID0:", $1}' /etc/passwd # 排查除 root 外的 0 号账户
awk -F: '{print $1}' /etc/passwd | wc -l # 账户总量，配合清理无用账号
ss -lntup | head -30 # 监听端口盘点，核对是否最小化
chage -l root | head # 口令有效期策略现状
grep -Ei '^(PASS_MAX_DAYS|PASS_MIN_LEN|PASS_WARN_AGE)' /etc/login.defs审计与完整性线索
审计与完整性线索
auditctl -l | head -20 # 查看已加载的审计规则
systemctl is-enabled auditd # 开机自启状态，未启用等于审计断档
journalctl --disk-usage # 日志占用与保留情况，取证能力相关
rpm -Va 2>/dev/null | grep '^..5' | head # 关键文件是否被改动
systemctl list-timers | grep -i -E 'aide|clam' # 是否已把校验与扫描做成定时任务
last -n 10 # 登录记录，用于核对审计链路是否完整等保测评同时看制度、记录与技术：技术项落地后要保留基线报告、加固脚本与变更记录，测评时可直接抽取，现场补材料往往来不及。
不要按网上流传的通用清单硬套：不同级别（三级与四级）和不同行业细则要求有增删，先取得本项目的测评评分表再逐项对照整改，避免做无用功或漏项。