等保2.0下主机安全合规趋势与实战防护要点

核心要点（TL;DR）

等保2.0要求主机层落实身份鉴别、访问控制、入侵防范、恶意代码防范和审计。
安全基线核查是合规第一步，可用脚本自动化检查账户、服务、权限等配置。
漏洞管理需建立闭环，从扫描到修复再到验证，优先处理高危漏洞。
入侵检测与日志审计是发现违规和追溯的关键，需集中采集并设置告警。

痛点引入：合规检查越来越严，主机安全不能再“裸奔”

近年来，等保2.0和《网络安全法》《数据安全法》等监管要求持续加码，主机安全合规已成为运维和站长的必答题。但很多团队仍停留在“防火墙+杀毒软件”的旧思维，面对基线核查、漏洞管理、入侵检测、日志审计等要求时手忙脚乱。本文从实战角度出发，梳理等保2.0下主机安全的防护要点，并提供可落地的操作步骤、命令和检查清单，帮你快速补齐短板。

等保2.0对主机安全的核心要求是什么？

等保2.0在主机安全层面主要围绕身份鉴别、访问控制、入侵防范、恶意代码防范和安全审计五个维度提出要求。具体包括：

身份鉴别：要求唯一账户、强密码策略、定期更换，三级以上需双因素认证。
访问控制：最小权限原则，默认账户改名或禁用，限制root远程登录。
入侵防范：关闭非必要端口和服务，安装防恶意代码软件，定期扫描。
恶意代码防范：及时更新特征库，定期全盘扫描。
安全审计：启用系统审计日志，保存不少于6个月，并集中管理。

此外，监管检查通常还会关注漏洞管理、补丁更新、配置基线等。下面我们分步骤拆解如何落地。

第一步：安全基线核查与加固（附命令）

安全基线是合规的基石。建议使用自动化脚本或工具（如Lynis、OpenSCAP）进行核查，再人工复核。以下为关键检查项及命令：

1. 账户与权限检查

# 检查UID为0的账户（应只有root）
awk -F: '(==0){print }' /etc/passwd

# 检查空密码账户
awk -F: '(==""){print }' /etc/shadow

# 检查root远程登录是否禁用（应为PermitRootLogin no）
grep ^PermitRootLogin /etc/ssh/sshd_config

2. 密码策略检查

# 检查密码有效期（PASS_MAX_DAYS应≤90）
grep ^PASS_MAX_DAYS /etc/login.defs

# 检查密码复杂度（pam_pwquality配置）
cat /etc/security/pwquality.conf

3. 服务与端口检查

# 查看监听端口
ss -tulnp

# 关闭非必要服务（如telnet、rsh）
systemctl disable telnet.socket

4. 文件权限检查

# 关键文件权限应为644
ls -l /etc/passwd /etc/shadow /etc/group

建议将上述检查项整理成清单，每周执行一次，并记录结果。

第二步：漏洞管理与补丁更新闭环

监管检查常关注漏洞修复的及时性。建议建立“扫描-评估-修复-验证”闭环：

扫描：使用OpenVAS或Nessus定期扫描主机，频率至少每月一次。
评估：根据CVSS评分和业务影响确定修复优先级，高危漏洞需在7天内修复。
修复：通过包管理器更新补丁，如yum update --security或apt upgrade。
验证：修复后复测，并保留扫描报告和修复记录至少6个月。

对于无法立即修复的漏洞，需有补偿措施（如网络隔离）并记录原因。

第三步：入侵检测与恶意代码防范

等保要求主机具备入侵防范能力。除了安装防病毒软件（如ClamAV），还应部署主机入侵检测系统（HIDS），如OSSEC或Wazuh，实时监控文件变更、异常登录和恶意进程。

基础配置示例（OSSEC）：

# 安装OSSEC后，配置实时监控目录

  /etc,/usr/bin,/usr/sbin
  43200

同时，定期执行全盘扫描：

clamscan -r --bell -i /

对于Web服务器，还需关注webshell检测，可使用find命令结合特征扫描。

第四步：日志审计与集中管理

等保要求审计日志保存6个月以上。建议配置远程日志服务器，并设置日志轮转策略。

1. 配置rsyslog远程发送

# 在客户端/etc/rsyslog.conf添加
*.* @@log-server:514

2. 配置日志轮转保留6个月

# /etc/logrotate.d/syslog 中设置
monthly
rotate 6

3. 启用auditd审计关键事件

# 监控/etc/passwd变更
auditctl -w /etc/passwd -p wa -k passwd_change

检查日志是否完整：

ls -l /var/log/messages* | head

行动建议：将合规融入日常运维

主机安全合规不是一次性任务，而是持续过程。建议：1) 制定安全基线配置规范，并纳入自动化配置管理（如Ansible）；2) 每月执行一次漏洞扫描和基线核查；3) 部署HIDS和日志集中管理，确保异常可发现、事件可追溯；4) 保留所有合规相关记录至少6个月。对于需要快速提升防护能力的团队，可考虑采用AegisX的主机安全加固与入侵检测方案，其内置等保合规模板，能有效降低合规成本。

常见问题（FAQ）

我们公司刚过等保三级，主机安全部分需要注意哪些重点？

等保三级主机安全重点包括：身份鉴别（唯一账户、强密码、双因素）、访问控制（最小权限、默认账户改名）、入侵防范（关闭非必要端口、安装防恶意代码软件）、恶意代码防范（定期扫描、及时更新特征库）、安全审计（启用日志、保存6个月以上）。建议逐项核对基线，并用漏洞扫描和入侵检测工具持续监控。

如何快速检查Linux主机是否符合等保要求？

可以按以下步骤快速检查：1) 账户检查：使用awk -F: '(==0){print }' /etc/passwd查看UID为0的账户；2) 密码策略：检查/etc/login.defs和/etc/pam.d/system-auth；3) 服务端口：使用ss -tulnp查看监听端口，关闭非必要服务；4) 日志审计：确认rsyslog和auditd服务运行，日志保存6个月以上；5) 文件权限：检查关键文件如/etc/passwd权限是否为644。

主机安全合规中，漏洞管理怎么做才能满足监管要求？

漏洞管理需建立闭环流程：1) 定期使用漏洞扫描工具（如OpenVAS、Nessus）扫描主机；2) 对扫描结果进行风险评估，优先修复高危漏洞；3) 制定修复计划，记录修复过程；4) 修复后复测验证；5) 保留所有扫描和修复记录至少6个月。监管检查时会关注漏洞修复的及时性和记录完整性。

等保要求日志保存6个月，具体该如何实现和检查？

实现方法：1) 配置rsyslog将日志发送到远程日志服务器；2) 使用logrotate设置日志轮转，保留6个月（如monthly rotate 6）；3) 对于auditd日志，修改/etc/audit/auditd.conf中num_logs和max_log_file参数。检查时使用ls -l /var/log查看日志文件时间戳，确保有6个月内的记录，并验证日志服务器接收正常。

有没有开源工具可以帮助主机安全合规检查？

常用开源工具包括：1) Lynis：系统安全审计工具，可检查基线配置；2) OpenSCAP：支持等保基线扫描；3) OSSEC：入侵检测和日志分析；4) Nmap：端口和服务扫描；5) ClamAV：防病毒扫描。这些工具可以辅助自动化检查，但需结合人工复核。

资讯中心