核心要点（TL;DR）

• 合规加固先做资产与数据分类分级，再谈技术加固，顺序反了容易返工。
• 关基运营者日志留存不少于6个月，是检查中最容易失分的一项。
• SSH禁止root直登、强制密钥与失败锁定，是性价比最高的加固动作。
• 加固必须可验证：每条要求对应命令输出或截图，形成整改证据链。

痛点：检查表发下来，才发现加固无从下手

数据安全法与《关键信息基础设施安全保护条例》落地后，很多运维和站长第一次拿到合规检查表：账号权限、日志留存、数据分类分级、备份加密、补丁管理，条目密密麻麻，却没人告诉你先做哪一条、命令怎么敲。本文按“先收敛、再留痕、后加密”的顺序，给出可直接执行的服务器合规加固步骤与检查清单，帮你在有限时间内完成可验证的整改闭环。

先搞清楚：合规加固到底在要求什么

两部法规的核心不是买设备，而是证明你对数据“管得住、查得到、恢复得了”。落到服务器层面，可归纳为四类可验证动作：

• 访问可控：账号最小化、权限分离、远程登录可审计。
• 行为可查：关键操作与网络日志集中留存，关基运营者不少于六个月。
• 数据可护：分类分级、敏感数据加密存储与传输、备份可恢复。
• 风险可管：补丁及时、基线可核查、事件有报告流程。

顺序建议：先做资产与数据梳理，再做技术加固，最后补制度与记录。反过来做，往往因资产不清而返工。

第一步：账号与权限收敛（半天可完成）

检查表里出现频率最高的失分点就是“存在无用账号”和“root可远程登录”。操作如下：

# 查看可登录账号与最近登录情况
awk -F: '!~/nologin|false/{print }' /etc/passwd
lastlog | grep -v "Never logged in"

# 锁定长期不用的账号
usermod -L olduser

# 检查sudo授权范围
grep -r "^[^#]" /etc/sudoers /etc/sudoers.d/

要求：业务账号与运维账号分离，禁止多人共用同一账号；sudo按需授权并保留日志；离职人员账号当日禁用。完成后输出一份账号清单与权限矩阵，作为检查证据留存。

第二步：SSH与访问控制加固（性价比最高）

SSH是攻击面最大的入口，也是检查必看项。修改/etc/ssh/sshd_config：

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
ClientAliveInterval 300
AllowUsers ops1 ops2

配合失败锁定与防火墙白名单：

# 安装并启用失败锁定
yum install -y fail2ban && systemctl enable --now fail2ban
# 仅放行管理网段访问22端口
firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=10.0.0.0/24 port port=22 protocol=tcp accept'
firewall-cmd --reload
sshd -t && systemctl reload sshd

改完先保留一个已登录会话验证，避免把自己锁在门外。数据库、Redis等中间件同样只监听内网地址，禁止0.0.0.0暴露公网。

第三步：日志集中留存与时间同步

关基运营者网络日志留存不少于六个月，其他企业建议同标准执行。关键是把日志送出本机：

# 客户端推送系统日志到日志服务器
*.* @@10.0.0.20:514
# 服务端只追加写入，防止篡改
chattr +a /var/log/remote/app.log
# 时间同步，保证日志时间可信
timedatectl set-ntp true
chronyc sources

至少采集：SSH登录、sudo操作、Web访问日志、数据库慢查询与登录失败记录。日志服务器单独设账号权限，业务运维不可删除。

第四步：数据分类分级、加密与备份

用一张表管理数据资产：系统名、数据类型、敏感级别、存储位置、责任人、共享范围。敏感及以上数据落实三点：

• 传输走TLS，禁止明文协议跨网传输。
• 存储加密：数据库敏感字段加密或整盘加密，密钥与数据分离管理。
• 备份加密并定期恢复演练，保留演练记录。

第五步：补丁、基线与证据链

补丁按“高危72小时内、中危两周内”节奏推进，内核与中间件升级前先在测试环境验证。基线核查可用开源脚本定期跑分，输出报告归档。防护建议方面，AegisX提供的基线核查与日志审计能力可把上述检查项固化为周期任务，减少人工比对成本。

最后形成证据链：每条要求对应命令输出或截图，按检查项编号归档；每季度自查一次并留存记录。合规不是一次性项目，而是可重复执行的运维习惯。

行动建议

本周先完成账号清理与SSH加固，下周打通日志外送，两周内补齐数据清单与备份演练记录。把整改项拆成带责任人和截止时间的任务表，比通读法规更能推动落地。

常见问题（FAQ）

我们不是关基单位，数据安全法还要不要遵守？

要。数据安全法适用于所有在境内开展数据处理活动的组织，关基保护条例只是对关键信息基础设施运营者提出更高要求。非关基企业同样需要履行数据分类分级、安全管理制度、风险评估与事件报告义务，只是日志留存、年度检测评估等条款的强制力度不同。建议先按等级保护二级基线做加固，成本可控且能覆盖大部分检查项。

日志到底要留存多久，存哪里才算合规？

关基运营者网络日志留存不少于六个月，这是条例明确要求；其他企业建议同样按六个月执行，便于事件追溯。日志应集中存储到独立日志服务器或日志审计系统，避免与业务同机、同账号权限，防止攻击者删库同时清日志。可用rsyslog或Filebeat采集到远端，配合只追加写入与时间同步，确保日志完整可查。

预算有限，服务器加固应该先做哪几件事？

优先做四件：一是账号收敛，清理无用账号、禁用root远程登录；二是SSH改密钥登录并开启失败锁定；三是系统与中间件补丁及时更新；四是日志外送集中留存。这四项覆盖了检查表里出现频率最高的失分点，且基本零成本。完成后再推进数据分类分级、加密备份与基线核查工具化，形成可持续的整改节奏。

数据分类分级具体怎么落地，有没有简单方法？

先按业务系统梳理数据资产清单，标注数据类型、存储位置、责任人和共享范围；再按敏感程度分为公开、内部、敏感、核心四级，敏感及以上数据单独标识并限制导出。落地时用表格管理清单，配合数据库字段注释与访问审批流程。不必一开始追求大而全，先覆盖用户个人信息与核心业务数据两类，后续逐步扩展即可满足检查要求。

加固做完怎么证明合规，检查时要准备什么？

核心是形成证据链：每条整改要求对应配置截图、命令输出或系统导出报表，按检查项编号归档。重点准备账号清单与权限矩阵、SSH与防火墙配置、日志留存截图、补丁更新记录、备份恢复演练记录、数据分类分级清单与安全制度文件。建议每季度自查一次并留存记录，检查时能直接调取，比临时补材料更可信。