等保2.0实战：主机安全与网站防护合规解读

核心要点（TL;DR）

等保2.0要求主机身份鉴别、访问控制、安全审计三同步。
网站防护需部署WAF并开启全量日志，留存不少于6个月。
主机加固核心是SSH改端口、禁root、强密码与密钥登录。
定期漏洞扫描与基线核查是避免测评整改的关键动作。

等保2.0测评在即，主机和网站却不知道从哪查起？本文面向运维和站长，直接给出可执行的检查命令、加固步骤和核查清单，帮你一次通过测评，避免整改返工。

一、等保2.0对主机安全的核心监管要求

等保2.0将主机安全列为三级要求中的关键项，重点核查身份鉴别、访问控制、安全审计、入侵防范四个层面。与等保1.0相比，2.0更强调动态防护和全流程审计，要求所有用户操作可追溯，日志留存不少于6个月。测评时，专家会直接登录服务器检查配置，因此必须提前加固。

二、主机安全合规检查与加固步骤

1. 账户与权限加固

执行以下命令检查是否存在多余账户：

cat /etc/passwd | grep -v nologin | grep -v false

锁定或删除无用账户，设置强密码策略：

authconfig --passminlen=8 --passminclass=3 --passmaxrepeat=2 --update

确保root只能通过密钥登录，修改/etc/ssh/sshd_config：

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
Port 2222

重启SSH服务：systemctl restart sshd。

2. 安全审计与日志

安装并启用auditd：

yum install audit -y
systemctl enable auditd --now

配置审计规则，监控关键文件：

auditctl -w /etc/passwd -p wa -k passwd_change
auditctl -w /etc/shadow -p wa -k shadow_change

确保日志集中存储，使用rsyslog转发到日志服务器，并配置logrotate保留180天。

3. 入侵防范与恶意代码

关闭非必要端口和服务：

netstat -tulnp | grep LISTEN
systemctl stop telnet.socket
systemctl disable telnet.socket

安装防病毒软件如ClamAV，并定期扫描：

yum install clamav -y
freshclam
clamscan -r /home

三、网站防护的监管要求与实操

等保2.0要求网站必须防御SQL注入、XSS、命令注入等攻击，并记录所有访问日志。部署WAF是满足要求的直接方式。以Nginx为例，可编译ModSecurity模块或使用云WAF。若自建，安装ModSecurity：

yum install mod_security -y
systemctl restart httpd

配置规则集，启用OWASP CRS。同时确保Web日志包含$remote_addr、$request、$status，并保留6个月。建议在Nginx配置中增加：

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent"';

此外，需定期进行漏洞扫描，可使用OpenVAS或AWVS，每月至少一次，并修复高危漏洞。

四、合规核查清单与工具对比

检查项	命令/工具	达标标准
账户唯一性	cat /etc/passwd	无共享账户，无用账户已删除
SSH安全	sshd -T	端口非22，root禁止登录，密码禁用
日志审计	auditctl -l	关键文件监控，日志留存180天
防火墙	firewall-cmd --list-all	仅开放必要端口
WAF	curl -I http://localhost	返回头包含ModSecurity标识

若需更高效的合规管理，可考虑使用AegisX的主机安全模块，它提供基线核查、入侵检测和日志审计一体化能力，帮助自动化完成等保2.0要求。

五、行动建议

立即按照上述清单逐项检查，优先处理SSH加固和日志审计。建议使用自动化工具进行基线扫描，并每季度进行一次漏洞评估。等保测评前，务必模拟专家检查路径，确保所有配置可验证。合规不是一次性的，需持续监控和优化。

常见问题（FAQ）

等保2.0对主机安全具体有哪些强制要求？

等保2.0主机安全强制要求包括：身份鉴别需唯一账户与强密码策略，访问控制遵循最小权限，安全审计覆盖所有用户并留存日志6个月以上，入侵防范需关闭非必要端口与服务，恶意代码防范需安装防病毒软件。未达标项将直接导致测评不通过。

网站防护方面，等保2.0要求部署WAF吗？

等保2.0明确要求对网站进行安全防护，部署WAF是满足入侵防范和访问控制要求的常见手段。若未部署WAF，需通过其他等效措施证明能防御SQL注入、XSS等攻击，但测评时通常建议部署WAF并开启全量日志，否则易被判定为高风险项。

主机安全加固有哪些必须执行的命令？

必须执行：修改SSH端口（vi /etc/ssh/sshd_config 改Port），禁止root登录（PermitRootLogin no），启用密钥认证（PubkeyAuthentication yes），设置密码策略（authconfig --passminlen=8 --passminclass=3 --update），开启防火墙（systemctl enable firewalld），并安装auditd（yum install audit -y）。

等保2.0日志审计需要保存多久？

等保2.0要求安全审计日志留存时间不少于6个月。建议使用rsyslog或syslog-ng集中收集，并配置logrotate避免磁盘写满。同时需确保日志包含日期、时间、用户、事件类型等要素，且不可被普通用户删除或修改。

如何快速检查主机是否满足等保2.0合规要求？

可使用以下命令快速检查：查看账户（cat /etc/passwd），检查SSH配置（sshd -T | grep -E 'permitrootlogin|port|passwordauth'），查看防火墙（firewall-cmd --list-all），检查审计服务（systemctl status auditd），查看开放端口（netstat -tulnp）。建议使用OpenSCAP或等保自检工具进行基线扫描。

资讯中心