核心要点（TL;DR）

• 等保2.0三级服务器加固需从身份鉴别、访问控制、安全审计、入侵防范四方面入手。
• Linux服务器应禁用root远程登录，启用密钥认证，并设置密码复杂度策略。
• 通过auditd配置关键系统调用审计，并集中日志到syslog服务器。
• 定期使用lynis或openscap进行基线扫描，确保加固措施持续有效。

痛点引入：等保2.0三级落地难？这份checklist帮你逐项搞定

很多运维同行面对等保2.0三级要求时，感觉条款抽象、无从下手。本文基于Linux服务器实战，将等保2.0三级中与服务器安全加固相关的控制点拆解为可操作的checklist，并提供具体命令和检查方法，帮助你逐项落地，既满足合规要求，又切实提升安全防护水平。

身份鉴别：禁用root远程登录，启用密钥认证

等保2.0三级要求对登录用户进行身份标识和鉴别，身份标识唯一，鉴别信息复杂并定期更换。实操步骤如下：

• 禁用root远程登录：编辑/etc/ssh/sshd_config，设置PermitRootLogin no，然后重启sshd服务。
• 启用密钥认证：设置PubkeyAuthentication yes，PasswordAuthentication no，并确保用户公钥已正确配置。
• 设置密码复杂度：修改/etc/pam.d/system-auth，添加pam_pwquality.so模块参数，如minlen=12 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1。
• 登录失败处理：配置pam_faillock.so，设置连续5次失败锁定账户300秒。

检查方法：使用ssh -o PreferredAuthentications=password root@localhost测试是否拒绝密码登录。

访问控制：最小权限与防火墙策略

等保2.0三级要求按最小权限原则设置账户权限，并限制终端接入方式。关键操作：

• 账户权限分离：创建普通运维账户，通过sudo授权特定命令，避免直接使用root。编辑/etc/sudoers使用visudo，添加如ops ALL=(ALL) /usr/bin/systemctl。
• 防火墙限制：使用firewalld或iptables，仅开放业务所需端口，并限制访问源IP。例如：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept'。
• 文件权限控制：确保敏感文件（如/etc/shadow）权限为000或400，重要目录设置粘滞位。

检查命令：ss -tulnp查看监听端口，firewall-cmd --list-all查看规则。

安全审计：auditd规则与日志集中

等保2.0三级要求启用安全审计，覆盖每个用户，记录重要安全事件。配置步骤：

• 安装并启用auditd：yum install audit -y && systemctl enable auditd --now。
• 添加审计规则：编辑/etc/audit/rules.d/audit.rules，添加关键规则，如监控/etc/passwd的修改：-w /etc/passwd -p wa -k passwd_change；监控特权命令执行：-a always,exit -F arch=b64 -S execve -F euid=0 -k root_commands。
• 日志集中：配置rsyslog将audit日志转发到远程syslog服务器，编辑/etc/rsyslog.conf添加*.* @logserver:514。

检查命令：auditctl -l列出规则，ausearch -k passwd_change查询事件。

入侵防范：最小化服务与漏洞修补

等保2.0三级要求遵循最小安装原则，关闭非必要服务，及时修补漏洞。落地方法：

• 最小化安装：使用最小化ISO安装系统，仅安装必要软件包。检查已安装包：rpm -qa | less，移除无关组件。
• 关闭非必要端口：通过netstat -tulnp或ss -tulnp识别监听端口，停止非必要服务（如systemctl stop telnet.socket）。
• 漏洞修补：定期更新系统：yum update --security，并使用yum-plugin-security仅安装安全更新。对于关键漏洞，可订阅CVE通告及时修复。
• 恶意代码防范：安装ClamAV：yum install clamav -y，配置定时扫描crontab -e添加0 3 * * * /usr/bin/clamscan -r /home --remove。

检查命令：rpm -q --changelog kernel | grep CVE查看内核漏洞修复情况。

加固效果验证与持续维护

完成上述配置后，需验证加固效果并建立持续维护机制。推荐使用开源工具Lynis进行基线扫描：

wget https://downloads.cisecurity.org/.../lynis.tar.gz
tar xzf lynis.tar.gz
cd lynis
./lynis audit system

根据报告中的建议项逐项修复。同时，建议每季度进行一次全面安全评估，并保存扫描报告作为等保测评的证据。对于需要更高效集中管理的场景，可以借助AegisX的服务器安全加固与合规检查能力，自动化完成基线核查与修复建议，减少人工逐项排查的成本。

行动建议：从今天开始逐项落地

建议将上述checklist打印出来，每完成一项打勾。优先处理高风险项：禁用root远程登录、配置防火墙、启用审计。遇到不确定的配置，先在测试环境验证。坚持每月复查一次关键配置，确保加固措施持续有效。合规不是终点，安全才是目的。

常见问题（FAQ）

等保2.0三级对服务器身份鉴别有什么具体要求？

等保2.0三级要求服务器对登录用户进行身份标识和鉴别，身份标识具有唯一性，鉴别信息具有复杂度要求并定期更换。实操中需禁用root远程登录，启用SSH密钥认证，设置密码复杂度策略（如长度12位以上、包含大小写字母数字特殊字符），并配置登录失败处理功能（如连续5次失败锁定账户）。

如何配置Linux服务器的安全审计以满足等保要求？

等保2.0三级要求启用安全审计功能，审计覆盖到每个用户，对重要用户行为和重要安全事件进行审计。可通过auditd服务配置关键系统调用（如execve、open、unlink）的审计规则，记录用户登录、权限变更、文件访问等事件，并将日志集中到远程syslog服务器，防止本地日志被篡改。

服务器入侵防范措施有哪些必须落地的点？

等保2.0三级入侵防范要求遵循最小安装原则，关闭不必要的端口和服务，及时修补漏洞。实操中需使用最小化安装，通过netstat或ss检查监听端口，禁用telnet、rsh等明文协议，配置主机防火墙（如iptables/firewalld）限制访问源，定期使用漏洞扫描工具（如OpenVAS）检测并修复漏洞。

等保2.0三级对恶意代码防范有什么要求？

等保2.0三级要求服务器安装防恶意代码软件或采取其他措施，并定期更新特征库。对于Linux服务器，可安装ClamAV等开源杀毒软件，配置定时扫描任务，并确保病毒库自动更新。同时，应禁止服务器访问恶意网站，可通过DNS过滤或防火墙规则实现。

如何验证服务器加固措施是否满足等保2.0三级要求？

可通过自动化基线扫描工具（如Lynis、OpenSCAP）对服务器进行安全配置检查，比对等保2.0三级基线模板。同时，人工核查关键配置项：SSH配置、密码策略、审计规则、防火墙规则、服务最小化等。建议每季度进行一次全面扫描，并保存扫描报告作为合规证据。