等保2.0服务器主机安全合规逐条解读与自查清单

核心要点（TL;DR）

等保2.0主机安全要求涵盖身份鉴别、访问控制、安全审计、入侵防范四方面。
身份鉴别需强制密码复杂度并启用双因素认证。
访问控制应遵循最小权限原则并限制root远程登录。
安全审计须开启系统日志并集中存储至少6个月。

痛点引入：等保2.0测评在即，主机安全项却不知从何下手？

许多运维同行在接到等保2.0测评通知时，面对服务器主机安全要求往往一头雾水：条款描述抽象，不知道具体改哪些配置、用什么命令验证。结果测评时被扣分，整改起来又费时费力。本文逐条拆解等保2.0中服务器主机安全的核心要求，并给出可落地的操作步骤和自查清单，帮你一次性通过测评。

身份鉴别：强化登录认证

等保2.0要求对登录用户进行身份标识和鉴别，具体包括：

密码复杂度：长度至少8位，包含大小写字母、数字、特殊字符中的三种。
登录失败处理：连续失败5次锁定账户，锁定时间建议30分钟。
双因素认证：对管理员账户建议启用短信/令牌等二次验证。

操作命令（以CentOS为例）：

# 修改密码策略
vi /etc/pam.d/system-auth
# 添加或修改：password requisite pam_pwquality.so try_first_pass local_users_only retry=3 minlen=8 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1
# 设置失败锁定
vi /etc/pam.d/sshd
# 添加：auth required pam_tally2.so deny=5 unlock_time=1800 even_deny_root root_unlock_time=1800

自查时使用chage -l root查看密码有效期，grep pam_tally2 /etc/pam.d/sshd确认锁定配置。

访问控制：最小权限原则

要求：

限制root远程登录，使用普通用户+sudo提权。
按角色分配权限，删除多余账户。
设置登录超时（如10分钟无操作自动断开）。

操作步骤：

# 禁止root远程登录
sed -i 's/#PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
systemctl restart sshd
# 设置登录超时
echo 'TMOUT=600' >> /etc/profile
source /etc/profile

自查：awk -F: '(==0){print }' /etc/passwd 应只输出root；grep PermitRootLogin /etc/ssh/sshd_config 应为no。

安全审计：日志留存与集中管理

要求开启系统审计功能，记录用户操作、安全事件，日志保存至少6个月。建议集中存储到日志服务器。

操作命令：

# 启用auditd
systemctl enable auditd --now
# 配置审计规则（监控关键文件）
echo '-w /etc/passwd -p wa -k passwd_changes' >> /etc/audit/rules.d/audit.rules
service auditd restart
# 配置rsyslog转发到日志服务器
echo '*.* @@192.168.1.100:514' >> /etc/rsyslog.conf
systemctl restart rsyslog

自查：auditctl -l 查看规则；ls /var/log/audit/ 确认日志存在；grep @@ /etc/rsyslog.conf 确认转发配置。

入侵防范：关闭危险端口与服务

要求关闭非必要端口和服务，安装防恶意代码软件，定期更新补丁。

操作步骤：

# 查看监听端口
ss -tulnp
# 关闭不必要服务（如telnet）
systemctl disable telnet.socket --now
# 配置防火墙只开放必要端口
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --add-service=http
firewall-cmd --reload
# 安装防恶意软件（如ClamAV）
yum install clamav -y && freshclam

自查：ss -tulnp 核对端口；firewall-cmd --list-all 查看规则；clamscan --version 确认安装。

自查清单与工具推荐

检查项	合规要求	自查命令
密码策略	复杂度、定期更换	`grep pam_pwquality /etc/pam.d/system-auth`
root远程登录	禁止	`grep PermitRootLogin /etc/ssh/sshd_config`
登录失败锁定	5次锁定	`grep pam_tally2 /etc/pam.d/sshd`
审计日志	开启并保存6个月	`auditctl -l`
防火墙	限制端口	`firewall-cmd --list-all`

推荐使用开源工具Lynis进行基线扫描：yum install lynis -y && lynis audit system，根据输出报告逐项整改。对于需要自动化合规管理的团队，可考虑AegisX的合规检查功能，一键生成等保2.0主机安全报告。

行动建议

立即按照上述清单对服务器进行逐项检查，优先处理身份鉴别和访问控制项，这两项在测评中权重较高。建议每周运行一次Lynis扫描，持续监控合规状态。将本文自查清单打印出来，完成一项勾选一项，确保无遗漏。

常见问题（FAQ）

等保2.0对服务器密码复杂度有什么具体要求？

等保2.0要求密码长度至少8位，包含大小写字母、数字和特殊字符中的三种，并定期更换（建议90天）。可通过修改/etc/pam.d/system-auth或/etc/security/pwquality.conf实现。

如何限制root用户远程登录以满足等保要求？

编辑/etc/ssh/sshd_config，设置PermitRootLogin no，并重启sshd服务。同时应创建普通用户并通过sudo提权，满足最小权限原则。

安全审计日志需要保存多久？

等保2.0要求审计记录保存至少6个月，并建议集中存储到日志服务器。可通过配置rsyslog或使用SIEM系统实现。

入侵防范部分需要做哪些基本配置？

需关闭非必要端口和服务，安装防恶意代码软件，定期更新补丁，并配置主机防火墙（如iptables/firewalld）限制访问。

有没有快速自查的工具推荐？

可使用开源工具如Lynis、OpenSCAP进行基线扫描，或参考等保2.0自查表逐项核对。商业方案如AegisX提供自动化合规检查。

资讯中心