服务器安全基线检查清单
安全基线是服务器安全配置的最低标准。每台新上线的服务器都应该通过基线检查，确保不存在明显的安全隐患。本文整理了一份实用的安全基线检查清单。
运维与安全工作的价值，常常体现在「什么都没发生」上。「服务器安全基线检查清单」所涉及的云上安全纵深防御，正是这种隐性价值的来源：体系健全时风平浪静，体系缺失时一次小问题就可能演变成大事故。
账户和认证
- 禁止root直接SSH登录（PermitRootLogin no）
- 使用SSH密钥认证，禁用密码登录（PasswordAuthentication no）
- 删除或锁定不需要的系统账户（如guest、test）
- 密码复杂度策略：最小长度12位，包含大小写+数字+特殊字符
- 密码过期策略：90天强制更换（/etc/login.defs）
- 登录失败锁定：5次失败后锁定账户15分钟（pam_faillock）
网络和服务
- 修改SSH默认端口（从22改为其他）
- 只开放必要的端口（通过iptables或安全组）
- 关闭不需要的服务（如telnet、ftp、rsh）
- Redis/MySQL等数据库只监听内网IP
- 开启fail2ban防暴力破解
文件和权限
- /etc/passwd、/etc/shadow权限设为600/400
- /etc/sudoers权限设为440
- 禁止全局可写目录（除/tmp外）
- 关键系统文件设置immutable属性（chattr +i）
- 设置umask为027（新建文件默认权限750/640）
日志和审计
- 开启auditd审计服务
- SSH登录日志级别设为VERBOSE
- 配置日志远程传输（rsyslog → 日志服务器）
- 命令历史记录（HISTSIZE）保留1000条以上
系统更新
- 启用自动安全更新（yum-cron / unattended-upgrades）
- 定期检查系统漏洞（yum updateinfo list security）
- 内核版本保持最新（修复已知安全漏洞）
自动化检查
使用开源工具自动化基线检查：Lynis（Linux安全审计）、OpenSCAP（合规性检查）、OSSEC（入侵检测）。将基线检查集成到服务器上线流程中，不通过基线的服务器不允许接入生产网络。
云上安全纵深防御的体系化思路
与其追求单点工具的极致配置，不如先保证覆盖面：关键资产是否都在监控之内、重要操作是否都有审计、对外暴露面是否都经过评估。覆盖面完整之后，再谈深度优化才有意义。
体系化的另一个好处是可传承：不依赖某个人的记忆，而是依赖流程与清单，团队整体水位才会稳定提升。
把云上安全纵深防御交给更专业的协作方
安徽卓牛为客户提供云上的安全加固、监控体系搭建与运维托管服务，能够结合阿里云安全与可观测产品，帮助团队建立可持续的运维安全体系，而非一次性整改。
若你希望就「服务器安全基线检查清单」涉及的内容做一次现状评估，可通过官网在线客服联系安徽卓牛，获取针对性建议。