核心要点（TL;DR）
痛点：等保测评总在云主机上丢分？
很多运维同行在等保2.0测评时，应用层和网络层都顺利通过，却在云主机配置上被扣分。问题往往不是技术难度高，而是检查项分散、缺少系统化的整改清单。本文从实战角度拆解等保2.0对云主机的合规检查项，给出可直接执行的加固命令和配置示例，帮你一次性通过测评。
等保2.0云主机合规检查项拆解
等保2.0三级要求中，云主机需满足身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范和资源控制六个维度。测评时重点核查以下配置：
| 检查维度 | 关键检查项 | 常见失分点 |
|---|---|---|
| 身份鉴别 | 密码复杂度、登录失败处理、远程管理限制 | 未启用密码策略、允许root远程登录 |
| 访问控制 | 账户权限分离、默认账户重命名 | 共享账户、未删除多余账户 |
| 安全审计 | 审计日志开启、日志保留6个月 | 未启用auditd、日志未集中存储 |
| 入侵防范 | 关闭非必要端口、漏洞修补 | 开放高危端口、未定期扫描 |
| 恶意代码防范 | 安装防病毒软件、定期更新 | 未部署HIDS或病毒库过期 |
| 资源控制 | 会话超时、最大连接数限制 | 未配置超时退出 |
Linux云主机加固实战步骤
1. 身份鉴别与访问控制
修改/etc/ssh/sshd_config，禁用root远程登录并限制访问源IP：
PermitRootLogin no AllowUsers ops@10.0.0.0/24 MaxAuthTries 3 ClientAliveInterval 300 ClientAliveCountMax 0
重启sshd服务：systemctl restart sshd。设置密码策略，编辑/etc/security/pwquality.conf：
minlen = 12 dcredit = -1 ucredit = -1 ocredit = -1 maxrepeat = 3
2. 安全审计
安装并启用auditd，添加关键审计规则：
apt install auditd -y # Debian/Ubuntu yum install audit -y # CentOS/RHEL systemctl enable auditd --now auditctl -w /etc/passwd -p wa -k passwd_change auditctl -w /etc/ssh/sshd_config -p wa -k sshd_config
将规则持久化到/etc/audit/rules.d/audit.rules，并配置日志轮转保留180天。
3. 入侵防范与资源控制
使用firewalld或iptables限制入站端口，仅开放业务必需端口：
firewall-cmd --permanent --add-service=ssh firewall-cmd --permanent --add-port=443/tcp firewall-cmd --reload
设置会话超时，编辑/etc/profile添加：TMOUT=600并导出。
Windows云主机加固要点
通过组策略或本地安全策略配置：
- 账户策略：密码长度≥12，启用复杂度，最长使用期限≤90天，锁定阈值5次。
- 远程桌面：限制来源IP，启用网络级身份验证（NLA），设置空闲会话超时。
- 安全选项：禁用Guest账户，重命名Administrator，启用审核策略（登录事件、对象访问）。
- 日志审核：通过
auditpol命令启用详细审核，日志文件大小≥20480KB，保留周期覆盖6个月。
整改后的验证与证据留存
完成加固后，使用基线核查工具（如AegisX）进行自动化扫描，生成合规报告。手动抽查关键配置：
- Linux：
sshd -T | grep -E 'permitrootlogin|maxauthtries'、auditctl -l、systemctl status auditd。 - Windows：
secpol.msc查看安全策略，eventvwr.msc确认日志记录。
保留配置截图、扫描报告和日志样本，作为测评证据。建议每季度复查一次基线，确保配置不漂移。
行动建议
等保2.0云主机加固不是一次性任务，而是持续运营过程。建议：1）立即对照检查清单完成首轮整改；2）部署自动化基线核查工具，定期扫描；3）将加固配置纳入CI/CD流程，新主机上线前自动检查。AegisX提供等保2.0基线模板和自动化核查能力，可帮助团队快速定位不合规项并生成整改报告，降低测评风险。
常见问题（FAQ）
等保2.0三级云主机加固必须做哪些？
等保2.0三级云主机加固必须覆盖身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范和资源控制六个方面。具体包括：启用强密码策略、限制远程管理地址、开启审计日志、关闭非必要端口与服务、安装防恶意代码软件、配置资源限制等。
Linux云主机如何快速完成等保加固？
Linux云主机加固可按照基线脚本执行：修改SSH配置禁用root远程登录、设置密码复杂度、启用auditd审计、配置防火墙规则、关闭多余服务。建议使用自动化工具如AegisX进行基线核查，一键生成整改报告。
等保测评前云主机需要准备哪些证据？
测评前需准备：系统配置截图（如密码策略、SSH配置）、审计日志样本、漏洞扫描报告、防病毒软件运行记录、备份恢复记录。确保所有配置与制度文件一致，并保留至少6个月的日志。
云主机加固后如何验证合规性？
加固后可使用等保基线核查工具（如AegisX）进行自动化扫描，对比配置项是否符合要求。同时手动抽查关键配置，如SSH参数、账户权限、日志服务状态，并生成核查报告作为整改证据。
等保2.0对云主机日志审计有哪些要求？
等保2.0要求云主机开启安全审计功能，记录用户操作、系统事件和安全事件，日志需保留至少6个月，并保护日志不被删除、修改或覆盖。建议配置远程日志服务器，确保日志集中存储。