等保2.0与数据安全法下，中小企业服务器合规加固实战盘点

核心要点（TL;DR）

等保2.0要求服务器身份鉴别、访问控制、安全审计三件套必须落地。
数据安全法强调数据分类分级与加密存储，违规最高罚1000万。
中小企业加固优先级：账户权限>日志审计>漏洞修复>数据加密。
用OpenSCAP或等保基线脚本可快速自查，节省80%时间。

痛点引入：合规不是大厂专利，中小企业服务器同样面临严查

等保2.0与《数据安全法》实施后，中小企业服务器再也不能“裸奔”。监管抽查、客户审计、甚至投标门槛都要求提供合规证明。但很多运维人员面对一堆条款无从下手：到底改哪些配置？用什么命令？本文从实战角度，梳理出六个必须落地的加固要点，并给出可直接复制的操作步骤与检查清单，帮你用最少的时间通过测评。

要点一：账户与身份鉴别——杜绝弱口令与共享账号

等保2.0要求服务器必须实现唯一身份标识和复杂度鉴别。首先清理多余账户，设置密码策略。

# 查看可登录账户
awk -F: '!~/nologin/{print }' /etc/passwd
# 锁定无用账户
usermod -L 用户名
# 修改密码策略（CentOS）
vi /etc/login.defs
PASS_MAX_DAYS 90
PASS_MIN_LEN 8
# 启用pam_cracklib复杂度检查
vi /etc/pam.d/system-auth
password requisite pam_cracklib.so try_first_pass retry=3 minlen=8 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1

检查清单：① 删除或锁定默认账户（如adm、lp）；② 禁止root远程登录（PermitRootLogin no）；③ 启用登录失败锁定（pam_tally2）；④ 强制密钥登录或双因素认证。

要点二：访问控制——最小权限与网络隔离

等保2.0强调“最小权限”原则。服务器应关闭非必要端口，限制源IP访问。

# 查看监听端口
ss -tulnp
# 使用firewalld限制访问（示例：仅允许内网访问SSH）
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept'
firewall-cmd --reload
# 文件权限检查：确保敏感文件仅root可读
chmod 600 /etc/shadow
chmod 644 /etc/passwd

检查清单：① 关闭telnet、ftp等明文协议；② 使用sudo替代直接root操作；③ 对Web目录设置不可执行权限；④ 数据库禁止外网访问。

要点三：安全审计——日志留存6个月，关键事件必录

《数据安全法》要求日志留存不少于6个月。等保2.0要求审计覆盖每个用户和关键操作。

# 启用auditd审计
systemctl enable auditd --now
# 添加关键文件监控规则
auditctl -w /etc/passwd -p wa -k passwd_change
auditctl -w /etc/shadow -p wa -k shadow_change
# 日志轮转配置（/etc/logrotate.conf）
rotate 12
monthly
# 集中日志：rsyslog转发到日志服务器
*.* @@192.168.1.100:514

检查清单：① 开启系统日志与安全日志；② 记录登录、提权、文件变更事件；③ 日志服务器独立存储，防篡改；④ 定期检查日志异常（如暴力破解）。

要点四：漏洞与补丁管理——高危7天内修复

等保2.0要求定期进行漏洞扫描和补丁更新。建议每月扫描一次，高危漏洞优先修复。

# CentOS安全更新
yum update --security -y
# 使用OpenVAS快速扫描（安装后）
openvas-start
gvm-cli --gmp-username admin --gmp-password pass target create --name web --hosts 192.168.1.10
# 或使用Nessus免费版

检查清单：① 关闭不必要的服务（如cups、avahi）；② 卸载无用软件包；③ 订阅安全通告；④ 修复前在测试环境验证。

要点五：数据加密与备份——敏感数据必须加密存储

《数据安全法》要求对敏感数据采取加密措施。服务器上存储的用户身份证、手机号等应加密。

# 使用LUKS加密磁盘分区（示例）
cryptsetup luksFormat /dev/sdb1
cryptsetup open /dev/sdb1 encrypted_data
mkfs.ext4 /dev/mapper/encrypted_data
# 数据库字段加密（MySQL示例）
SELECT AES_ENCRYPT('敏感数据','密钥');
# 备份脚本（每日增量，保留6个月）
rsync -avz /data/ backup@192.168.1.200:/backup/$(date +%F)

检查清单：① 敏感数据加密存储；② 备份数据加密传输；③ 定期恢复演练；④ 备份介质异地存放。

要点六：防护建议与工具推荐

除了上述手动加固，建议使用自动化基线检查工具。例如AegisX提供等保2.0合规基线模板，可一键检测服务器配置并生成修复建议，大幅降低人工核查成本。同时，建立月度安全自查制度，将检查清单固化为脚本，确保长期合规。

行动建议：立即按照上述六个要点逐项排查，优先处理账户权限和日志审计，再逐步完善加密与备份。所有变更记录在案，以备测评时提供证据。

常见问题（FAQ）

等保2.0对服务器密码强度有什么具体要求？

等保2.0要求服务器密码长度至少8位，包含大小写字母、数字和特殊字符，且定期更换（建议90天）。同时应启用登录失败锁定策略，如5次失败锁定10分钟。可通过修改/etc/login.defs和/etc/pam.d/system-auth实现。

中小企业没有专职安全团队，如何低成本满足日志审计要求？

可使用开源方案如rsyslog集中收集日志，搭配Logwatch或ELK进行简单分析。关键是要确保日志留存6个月以上，并开启关键事件（登录、提权、文件变更）审计。云服务器可启用云审计服务，成本更低。

数据安全法要求的数据分类分级怎么做？

先梳理服务器上存储的数据类型，按敏感程度分为公开、内部、敏感三级。敏感数据（如用户身份证、手机号）必须加密存储，并限制访问权限。可参考《数据安全法》与行业标准，制定简单的分类清单并打标。

服务器漏洞修复应该多久一次？

建议每月至少进行一次全面漏洞扫描，高危漏洞应在7天内修复，中危30天内修复。可使用OpenVAS或Nessus免费版扫描，结合yum/apt自动更新安全补丁。修复前务必在测试环境验证。

等保2.0测评前需要准备哪些服务器相关材料？

需准备服务器资产清单、安全配置基线文档、日志审计记录（近6个月）、漏洞扫描与修复报告、备份恢复记录、应急预案。建议提前使用等保自查工具核对，确保配置与文档一致。

资讯中心