核心要点（TL;DR）
- 等保2.0服务器加固需重点关注身份鉴别、访问控制、安全审计和入侵防范四个层面。
- 常见失分项包括弱口令、未限制远程管理地址、未开启日志审计、多余服务端口开放。
- 通过配置密码策略、SSH密钥登录、日志集中存储和最小化服务可有效避免失分。
- 定期使用基线检查工具扫描并修复漏洞是持续合规的关键。
痛点引入：等保测评总在服务器上丢分？
很多运维同行反馈，等保2.0测评时网络和主机层面总是被扣分，尤其是服务器加固不到位，导致反复整改。其实大部分失分项都有明确的配置规范，只要按清单逐项落实，就能大幅提升合规通过率。本文梳理了等保2.0下服务器加固的核心要点，并盘点了最常见的失分项，附带具体操作命令和检查清单，帮你一次搞定。
身份鉴别：别让弱口令和默认账户拖后腿
身份鉴别是等保测评的第一道关卡，常见失分点包括使用弱口令、未配置密码复杂度、未限制登录失败次数、允许root远程登录等。
Linux服务器加固步骤
- 密码策略：修改
/etc/login.defs，设置PASS_MAX_DAYS 90、PASS_MIN_LEN 8；使用pam_pwquality模块强制复杂度，在/etc/pam.d/system-auth中添加password requisite pam_pwquality.so try_first_pass local_users_only retry=3 minlen=8 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1。 - 登录失败处理：配置
pam_tally2或pam_faillock，例如在/etc/pam.d/sshd中添加auth required pam_tally2.so deny=5 unlock_time=300。 - 禁止root远程登录：修改
/etc/ssh/sshd_config，设置PermitRootLogin no，并重启sshd服务。 - 清理无用账户：检查
/etc/passwd，锁定或删除不需要的账户，如usermod -L 用户名。
Windows服务器加固步骤
- 通过本地安全策略配置密码策略：最短密码长度8位，启用复杂度，最长使用期限90天。
- 配置账户锁定策略：5次无效登录锁定30分钟。
- 禁用Guest账户，重命名Administrator。
访问控制：最小权限与远程管理限制
访问控制失分点常出现在未限制远程管理地址、权限分配过宽、共享账户等。
- 限制SSH/RDP访问源：Linux使用
/etc/hosts.allow和/etc/hosts.deny，或通过firewalld/iptables限制IP；Windows通过防火墙入站规则限制远程桌面IP。 - sudo权限控制：使用
visudo精细配置，避免普通用户拥有全部权限。 - 共享账户检查：确保每个用户有独立账户，禁用或删除共享账户。
安全审计：日志缺失是重灾区
等保要求开启安全审计并保护审计记录，常见失分项包括未开启日志、日志保存时间不足6个月、日志可被随意删除。
- Linux开启auditd：安装并启用
auditd，配置/etc/audit/audit.rules记录关键事件，如-w /etc/passwd -p wa -k passwd_change。 - 日志集中存储：配置rsyslog将日志发送到远程日志服务器，避免本地删除。
- Windows开启审核策略：通过组策略启用“审核登录事件”、“审核对象访问”等，并增加日志文件大小。
入侵防范：关闭危险端口，及时打补丁
入侵防范失分项包括开放多余端口、未修复高危漏洞、未安装防恶意代码软件。
- 端口最小化：使用
netstat -tulnp查看监听端口，关闭不必要的服务（如telnet、ftp）。 - 漏洞修复：定期使用
yum update或apt upgrade更新补丁，或使用漏洞扫描工具排查。 - 安装防恶意代码：Linux可安装ClamAV，Windows启用Defender并保持更新。
行动建议与检查清单
建议按照以下清单逐项自查，确保服务器加固到位：
| 检查项 | 操作命令/方法 |
|---|---|
| 密码复杂度 | 检查/etc/pam.d/system-auth配置 |
| 登录失败锁定 | 检查pam_tally2配置 |
| root远程登录 | grep PermitRootLogin /etc/ssh/sshd_config |
| 监听端口 | netstat -tulnp |
| 审计日志 | systemctl status auditd |
| 日志远程存储 | 检查/etc/rsyslog.conf中@@配置 |
定期执行基线检查，可使用开源工具如lynis进行扫描。对于需要更高效管理的团队，可以借助AegisX的合规基线功能，一键核查配置并生成修复建议，减少人工排查时间。
常见问题（FAQ）
等保2.0服务器加固主要检查哪些方面？
等保2.0服务器加固主要检查身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范和资源控制等方面。具体包括密码复杂度策略、登录失败处理、远程管理限制、日志记录与保护、漏洞修复、端口和服务最小化等。测评时会通过配置核查和漏洞扫描验证。
服务器加固中常见的失分项有哪些？
常见失分项包括：使用弱口令或默认口令、未配置登录失败锁定、允许root远程登录、未限制管理终端地址、未开启安全审计日志、日志未保存6个月以上、开放不必要的端口和服务、未及时修复高危漏洞、未安装防恶意代码软件等。这些都会导致测评扣分。
如何快速检查Linux服务器是否符合等保2.0要求？
可以使用基线检查工具如lynis、OpenSCAP或等保自查脚本进行快速扫描。手动检查包括：查看/etc/passwd和/etc/shadow确认无空口令、检查/etc/ssh/sshd_config中PermitRootLogin和PasswordAuthentication设置、使用netstat查看监听端口、检查/var/log/secure日志是否开启。根据扫描结果逐项修复。
等保2.0对日志审计有什么具体要求？
等保2.0要求开启安全审计功能，审计覆盖到每个用户，记录重要用户行为和重要安全事件。审计记录应包括日期、时间、用户、事件类型、是否成功等，并保护审计记录免受删除、修改或覆盖。日志应保存至少6个月，建议集中存储到日志服务器。
服务器加固后如何验证是否满足等保要求？
加固后应使用漏洞扫描工具和配置核查工具进行验证，确保高危漏洞已修复、配置项符合要求。同时模拟测评流程，检查身份鉴别、访问控制、安全审计等条款的落实情况。建议定期进行自查和渗透测试，持续保持合规状态。