核心要点（TL;DR）
- 服务器加固优先做账号收敛、SSH限制与防火墙默认拒绝三件事，收益最高。
- 等保2.0三级要求身份鉴别、访问控制、安全审计三部分必须有配置证据。
- 加固后必须逐项验证并留存截图与命令输出，否则测评时无法举证。
- 基线不是一次性工作，应纳入配置管理与月度巡检形成闭环。
很多团队的主机安全现状是：能登录、能跑业务，但一问口令策略、sudo授权、审计日志留存，就答不上来。等保测评现场被要求提供配置证据时，才发现服务器几乎是出厂默认状态。本文按等保2.0三级要求梳理出2026年应落地的20项服务器加固基线，每项都给出可执行命令与验证方法，照着做即可完成一轮自查整改。
一、先搞清楚：等保要的加固基线是什么
等保2.0对主机层的要求可归纳为三块：身份鉴别（唯一账号、口令强度、登录失败处理）、访问控制（最小权限、默认账户处置、远程管理限制）、安全审计（关键操作留痕、日志保护、留存不少于6个月）。测评不是看你装了什么软件，而是看你能否提供配置与验证证据。
因此加固的核心思路是：先收敛攻击面，再强化身份，最后补齐审计。下面20项按这个顺序排列，前10项建议一周内完成。
二、账号与权限加固（第1—6项）
绝大多数入侵始于一个弱口令或一个多余的账号，先把人管住。
- 清理多余账号与共享账号：
awk -F: '>=1000 && !~/nologin/{print }' /etc/passwd列出可登录用户，逐个确认用途，无用即usermod -L锁定。 - 禁用或限制root直接登录：
/etc/ssh/sshd_config中设置PermitRootLogin no，改用普通账号加sudo提权。 - 口令复杂度与有效期：在
/etc/security/pwquality.conf设置minlen=12、minclass=3；/etc/login.defs设置PASS_MAX_DAYS 90。 - 登录失败锁定：
/etc/pam.d/system-auth加入pam_faillock，连续5次失败锁定300秒，满足等保登录失败处理要求。 - sudo最小授权：
visudo中按运维角色分配命令白名单，禁止ALL=(ALL) NOPASSWD: ALL这类全放开配置。 - 敏感文件权限收敛：
chmod 600 /etc/shadow、chmod 644 /etc/passwd，并检查/etc/crontab与计划任务目录属主。
三、远程访问与网络面收敛（第7—12项）
公网服务器每多开一个端口，就多一条被扫到的路径。
# SSH 关键加固项示例
Port 22222
PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3
ClientAliveInterval 300
改完先执行 sshd -t 校验语法，再用新终端验证能登录，最后重启服务。对应第7项SSH端口与协议加固、第8项强制密钥登录、第9项关闭不必要的Telnet/FTP等明文服务。
第10项是防火墙默认拒绝：firewall-cmd --set-default-zone=drop 后仅放行22/80/443等必需端口，规则持久化并核对 firewall-cmd --list-all。第11项关闭无用系统服务，用 systemctl list-unit-files --state=enabled 排查。第12项限制管理面来源IP，数据库与Redis严禁监听 0.0.0.0。
四、日志审计与补丁（第13—17项）
没有日志的服务器，出事之后等于无法追溯。
- 第13项 开启auditd：监控
/etc/passwd、/etc/sudoers及提权操作，用auditctl -l验证规则生效。 - 第14项 日志集中与留存：rsyslog转发至日志服务器，本地保留不少于180天，并设置
logrotate防止磁盘打满。 - 第15项 时间同步：启用chrony，日志时间戳不一致会让溯源直接失效。
- 第16项 补丁与内核更新：开启
dnf-automatic或unattended-upgrades只装安全更新，每月人工复核一次。 - 第17项 基线扫描：用OpenSCAP或Lynis跑一遍，输出报告与手工配置互相印证。
五、系统与文件层加固（第18—20项）
第18项启用SELinux enforcing模式，getenforce 确认状态，不要图省事直接disabled。第19项内核参数加固，在 /etc/sysctl.d/99-hardening.conf 中关闭IP转发、开启SYN Cookie与反向路径校验，执行 sysctl --system 生效。第20项文件完整性监控，用AIDE对关键目录建立基线库并定期比对，发现异常变更立即告警。
六、上线前自查清单与行动建议
| 检查项 | 验证命令 | 合格标准 |
|---|---|---|
| root远程登录 | sshd -T | grep permitrootlogin | no |
| 防火墙默认策略 | firewall-cmd --list-all | 仅放行必需端口 |
| 审计规则 | auditctl -l | 关键文件有监控 |
| SELinux | getenforce | Enforcing |
建议按「账号→SSH→防火墙→审计→补丁」顺序推进，每完成一项就把命令输出归档，形成可交付的整改记录。若团队人力有限，可借助AegisX的主机安全基线核查与配置合规能力，把分散的手工检查变成周期性自动巡检，让加固从一次性动作变成持续闭环。加固完成不等于结束，把它写进变更流程，下次上新机器时直接套用模板，才是真正的基线。
常见问题（FAQ）
等保2.0对服务器加固具体有哪些硬性要求？
核心集中在身份鉴别、访问控制和安全审计三块：要求唯一身份标识、口令复杂度与定期更换、登录失败锁定、最小权限分配、关闭默认账户与共享账户，以及关键操作日志留存不少于6个月。落地时对应本文的账号收敛、SSH加固、sudo授权与auditd日志项，逐条配置并留存证据即可满足大部分主机层测评项。
加固后业务连不上了怎么办？
最常见原因是SSH端口变更或防火墙默认拒绝误伤了业务端口。建议先在控制台保留一个可用会话，改配置时用sshd -t校验语法，重启服务前用新终端测试连接，确认成功后再关闭旧会话。防火墙规则先用iptables -L或firewall-cmd --list-all核对放行清单，再执行持久化，避免规则丢失或误封管理IP。
没有等保测评需求，小站也需要做这20项吗？
需要，但可分优先级。账号唯一化、禁用root远程登录、密钥登录、防火墙默认拒绝、自动安全更新这五项成本最低、拦截效果最好，建议所有公网服务器必做。日志审计、内核参数加固、文件完整性监控可随后补齐。等保基线本质是业界公认的最小安全集合，与是否测评无关。
加固配置如何验证和留证？
每项配置都要有可复现的验证命令，例如用sshd -T | grep permitrootlogin确认SSH策略、用getenforce确认SELinux状态、用auditctl -l确认审计规则。把命令输出、配置文件片段和截图归档到整改记录中，按项编号对应。测评时提供这份记录，比临时翻配置效率高得多。
服务器加固会影响性能吗？
绝大多数基线项对性能影响可忽略。日志审计和文件完整性监控有少量IO开销，可通过只监控关键目录控制；SELinux在 enforcing 模式下有轻微系统调用开销，但远小于一次入侵的代价。真正需要评估的是全流量审计类设备，主机层加固基本无感。