核心要点（TL;DR）
- 等保2.0要求云服务器必须落实身份鉴别、访问控制、安全审计等配置。
- SSH禁用root登录并启用密钥认证是降低入侵风险的关键步骤。
- 定期漏洞扫描与补丁更新是满足等保2.0入侵防范要求的必要措施。
- 日志集中存储并保留6个月以上，可满足安全审计合规要求。
痛点引入：等保2.0来了，你的云服务器真的合规吗？
随着等保2.0的全面实施，云服务器合规已成为站长和运维人员的必修课。不少企业因配置不当在测评中被扣分，甚至面临处罚。本文从实战角度出发，梳理等保2.0对云服务器的核心安全配置要求，提供可落地的操作步骤和检查清单，助你快速完成合规配置，同时提升系统整体安全性。
等保2.0对云服务器的核心要求是什么？
等保2.0在原有基础上强化了云安全扩展要求，主要涵盖身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性与保密性等方面。对于云服务器，重点检查以下配置项：
- 身份鉴别：密码复杂度、登录失败处理、双因素认证（可选）。
- 访问控制：最小权限、账户唯一性、远程管理限制。
- 安全审计：日志记录、留存时间、审计覆盖范围。
- 入侵防范：漏洞修补、端口管理、入侵检测。
- 恶意代码防范：安装防病毒软件或HIDS。
- 数据完整性：传输加密、存储加密（如需要）。
身份鉴别与访问控制配置实战
1. 账户与密码策略加固
修改/etc/login.defs，设置密码有效期和长度：
PASS_MAX_DAYS 90 PASS_MIN_DAYS 7 PASS_MIN_LEN 8 PASS_WARN_AGE 7
通过pam_pwquality模块强化密码复杂度，编辑/etc/security/pwquality.conf：
minlen = 8 dcredit = -1 ucredit = -1 ocredit = -1 lcredit = -1 maxrepeat = 3
配置登录失败锁定策略，编辑/etc/pam.d/system-auth（或password-auth），在auth部分添加：
auth required pam_faillock.so preauth audit deny=5 unlock_time=600 auth [default=die] pam_faillock.so authfail audit deny=5 unlock_time=600 auth sufficient pam_faillock.so authsucc audit deny=5 unlock_time=600
2. SSH安全加固
编辑/etc/ssh/sshd_config，修改以下参数：
PermitRootLogin no PasswordAuthentication no PubkeyAuthentication yes MaxAuthTries 3 ClientAliveInterval 300 ClientAliveCountMax 2 AllowUsers your_username
重启SSH服务：systemctl restart sshd。确保已配置密钥登录后再禁用密码登录。
3. 防火墙与端口管理
使用firewalld仅开放必要端口（如80、443、自定义SSH端口）：
firewall-cmd --permanent --add-service=http firewall-cmd --permanent --add-service=https firewall-cmd --permanent --add-port=2222/tcp firewall-cmd --reload
或使用iptables规则限制访问源IP。建议将SSH端口改为非默认端口，并限制管理IP。
安全审计与日志配置
等保2.0要求审计日志留存至少6个月。配置rsyslog将日志转发至远程日志服务器（如log.example.com）：
编辑/etc/rsyslog.conf，添加：
*.* @@log.example.com:514
重启rsyslog：systemctl restart rsyslog。
配置logrotate确保本地日志轮转，编辑/etc/logrotate.d/syslog，设置rotate 12（保留12份，按周轮转即3个月，按天轮转则12天，需根据实际情况调整）。
启用auditd监控关键文件：
auditctl -w /etc/passwd -p wa -k passwd_changes auditctl -w /etc/shadow -p wa -k shadow_changes
将规则持久化到/etc/audit/rules.d/audit.rules。
入侵防范与漏洞管理
1. 定期漏洞扫描与补丁更新
使用yum update或apt upgrade定期更新系统。建议每月执行一次全量更新，高危漏洞需在30天内修复。可部署OpenVAS进行漏洞扫描，或使用云平台提供的安全扫描服务。
2. 安装HIDS或防病毒软件
等保2.0要求恶意代码防范。Linux服务器可安装ClamAV进行病毒扫描，或部署AegisX的HIDS功能，实时监控异常进程和文件变化。
3. 最小化服务与端口
使用netstat -tulnp检查监听端口，关闭非必要服务。卸载无用软件包，减少攻击面。
合规检查清单与对比
| 检查项 | 合规要求 | 操作命令/方法 |
|---|---|---|
| 密码策略 | 长度≥8，复杂度，定期更换 | 修改login.defs和pwquality.conf |
| 登录失败处理 | 5次失败锁定10分钟 | 配置pam_faillock |
| SSH加固 | 禁用root，密钥登录 | 修改sshd_config |
| 防火墙 | 仅开放必要端口 | firewall-cmd或iptables |
| 日志审计 | 留存6个月，集中存储 | rsyslog转发+logrotate |
| 漏洞管理 | 定期扫描，及时修补 | yum update + OpenVAS |
| 恶意代码防范 | 安装防病毒或HIDS | ClamAV或AegisX HIDS |
行动建议：立即按照上述清单逐项检查并配置，建议使用自动化工具（如Ansible）批量执行。对于需要集中管理的场景，可考虑部署AegisX安全平台，其基线检查与合规审计功能可帮助持续监控配置状态，简化等保合规工作。
常见问题（FAQ）
等保2.0对云服务器的密码强度有什么要求？
等保2.0要求密码长度至少8位，包含大小写字母、数字和特殊字符，并定期更换（建议90天）。同时应启用登录失败处理功能，如连续5次失败锁定账户10分钟。可通过修改/etc/login.defs和/etc/pam.d/system-auth实现。
云服务器如何满足等保2.0的访问控制要求？
需遵循最小权限原则，为不同角色分配独立账户，禁用默认账户，限制root远程登录。使用sudo授权管理，并配置防火墙仅开放必要端口。例如通过firewalld或iptables设置规则，仅允许特定IP访问管理端口。
等保2.0要求日志保存多久？如何配置？
等保2.0要求安全审计日志留存至少6个月。可通过rsyslog将日志集中转发至日志服务器，并配置logrotate轮转策略，确保日志不被覆盖。同时启用auditd服务监控关键文件访问。
云服务器漏洞管理如何满足等保2.0？
需定期进行漏洞扫描和补丁更新，高危漏洞应在30天内修复。可使用OpenVAS或云平台自带扫描工具，每月至少扫描一次，并保留扫描报告和修复记录，以备测评检查。
等保2.0测评前需要准备哪些材料？
需准备安全管理制度、账户权限清单、日志审计记录、漏洞扫描报告、补丁更新记录、应急预案等。同时确保服务器配置符合基线要求，如密码策略、访问控制、入侵防范等，并保留至少6个月的日志。