核心要点（TL;DR）
- 等保2.0将主机安全从单点过检转为持续监测与运营。
- 关基合规强调实战化，要求主机侧可检测、可追溯、可处置。
- 落地优先做账户收敛、补丁闭环、基线核查与日志集中。
- 巡检清单化+自动化，才能让合规要求变成日常动作。
痛点：为什么“过了等保”不等于“主机安全”
不少团队拿到等保测评报告就松了口气，但真正出事时，问题往往落在主机侧：弱口令账户还在、补丁三个月没打、登录日志只留了七天、异常提权没人告警。等保2.0把主机安全从“边界防护的附属品”提升为独立测评对象，关基合规更进一步要求实战化检测与持续运营。本文面向要动手的运维和站长，给出可直接执行的变化解读、排查命令与落地清单。
变化一：测评对象扩展，主机侧要求更细
等保2.0在主机安全层面延续身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范五条主线，但要求更具体：登录失败处理、双因素、最小权限、审计记录留存不少于6个月、重要文件变更监测等都被明确写入。关基合规则强调“可检测、可追溯、可处置”，主机不再只是被扫描的对象，而要成为发现攻击的证据源。
| 维度 | 传统过检做法 | 等保2.0与关基要求 |
|---|---|---|
| 账户 | 改弱口令即可 | 账户收敛、最小权限、双因素 |
| 补丁 | 测评前集中打 | 持续闭环、有台账可追溯 |
| 日志 | 本地留存 | 集中采集、留存6个月、告警运营 |
| 检测 | 边界IDS为主 | 主机侧入侵检测与文件变更监测 |
变化二：从“静态合规”到“持续监测”
等保2.0引入“持续监测”思路，关基合规要求安全运营常态化。落到主机上，就是基线不能只查一次、补丁不能只打一轮、日志不能只存不看。建议把主机安全拆成四个可循环动作：盘点、核查、加固、巡检，每周或每月固定跑一次，形成台账。
落地点一：账户与权限收敛（先做这一步）
攻击者进主机第一件事就是找可用账户。先盘点再收敛：
# 查看可登录账户
awk -F: '!~/nologin|false/{print ,,}' /etc/passwd
# 查看sudo权限
cat /etc/sudoers; ls /etc/sudoers.d/
# 查看最近登录与失败记录
last -n 20; lastb -n 20
# 查看空口令账户
awk -F: '(==""){print }' /etc/shadow处置要点：禁用或删除无用账户，禁止root远程直登，SSH改为密钥登录并限制来源网段，sudo按需授权并记录。对应等保身份鉴别与访问控制条款，也是关基“最小权限”的直接体现。
落地点二：补丁与基线闭环
补丁要形成“发现—评估—灰度—全量—验证”闭环，而不是测评前突击。基线核查可用系统自带能力加开源工具：
# 查看待更新补丁（Debian/Ubuntu）
apt list --upgradable 2>/dev/null | head
# 查看待更新补丁（RHEL/CentOS）
yum check-update || dnf check-update
# 检查SSH关键配置
grep -Ei 'PermitRootLogin|PasswordAuthentication|MaxAuthTries' /etc/ssh/sshd_config
# 检查SELinux状态
getenforce; sestatus建议用Lynis或osquery做基线扫描，把结果纳入台账，未修复项标注风险与期限。关基场景下，补丁台账和变更记录本身就是审计证据。
落地点三：日志审计与入侵监测
日志要“集中、留存、能告警”。开启auditd监控关键文件与提权行为，统一采集到日志平台：
# 监控关键文件与提权
cat >> /etc/audit/rules.d/host.rules <<'EOF'
-w /etc/passwd -p wa -k passwd_change
-w /etc/sudoers -p wa -k sudoers_change
-a always,exit -F arch=b64 -S execve -F euid=0 -k root_exec
EOF
augenrules --load; systemctl restart auditd
# 转发系统日志
# rsyslog 配置示例：*.* @@log.example.com:514告警规则优先覆盖：多次登录失败、非工作时间提权、关键文件变更、异常外联。留存不少于6个月，关基建议异地备份。防护建议上，AegisX的主机侧监测与日志集中能力可承接这部分告警运营，减少自建规则的成本。
落地清单：每周巡检对照表
- 账户：新增账户、空口令、sudo变更是否复核。
- 补丁：高危补丁是否在期限内修复，台账是否更新。
- 基线：SSH、防火墙、SELinux配置是否被改动。
- 日志：采集是否中断，告警是否有人处置并留痕。
- 检测：是否有异常进程、异常外联、关键文件变更。
行动建议：本周先完成账户与端口盘点，下周补日志集中与告警规则，再用一个月把补丁与基线巡检固化为周任务。合规不是一次性交卷，而是把这些动作变成日常习惯。
常见问题（FAQ）
等保2.0和关基合规对主机安全的要求到底差在哪？
等保2.0是通用基线，覆盖主机身份鉴别、访问控制、入侵防范、恶意代码防范与安全审计；关基合规在等保基础上强调实战化与持续运营，要求能发现真实攻击、留存可追溯证据并具备处置闭环。简单说，等保回答“有没有做”，关基追问“做没做到位、能不能扛住”。
主机安全建设第一步应该做什么？
先做资产与账户盘点。用命令梳理开放端口、运行服务、登录账户与sudo权限，把不用的账户、服务、端口关掉。账户收敛和最小权限是性价比最高的一步，既满足等保身份鉴别与访问控制要求，也直接缩小攻击面，后续补丁与基线才有意义。
日志审计要保留多久，怎么落地？
等保2.0要求审计记录留存不少于6个月，关基场景建议延长并异地备份。落地时开启系统auditd与安全日志，统一采集到集中日志平台，设置登录失败、提权、关键文件变更告警，定期抽查。只存不看不等于合规，告警规则和处置记录同样重要。
没有预算买商业产品，能靠开源做到合规吗？
多数主机侧要求可以靠系统自带能力加开源工具满足，如auditd、rsyslog、osquery、Lynis做审计与基线核查。但开源方案需要自建规则与运维投入，告警运营和证据留存要自己兜底。预算有限时优先做账户收敛、补丁闭环与日志集中三件事，再考虑商业平台补齐检测与响应能力。
主机加固后业务出问题怎么办？
加固前先在测试环境验证，生产变更走灰度与回滚预案。常见坑是收紧SSH、关闭端口、启用SELinux导致业务中断。建议每次加固记录变更项、影响范围与回滚命令，变更后观察业务指标与登录日志，出现异常按记录快速回退，避免一次性全量下发。