加固清单的文章很多，但真正能被执行的往往是那种"十条、每条都能当场验证"的版本。这份清单按这个标准写：每一条都能在今天下班前核对完。
一、账号与认证
- 默认账号处置：禁用或改名，禁止默认口令
- 最小权限：业务进程使用独立低权限账号运行，不以最高权限启动
- 登录限制：限制来源地址，关键系统开启多因素认证
二、补丁与端口
- 补丁管理：操作系统与中间件补丁定期更新，记录版本
- 端口收敛：只开放必要端口，定期比对实际监听与预期清单
一张"端口差集表"很有用
把所有服务器的监听端口汇总，与批准的端口清单做差集，多出来的就是需要解释的。这个方法简单，但能发现不少遗留问题。
三、日志与审计
- 日志留存：关键操作、登录、异常事件留存不少于六个月
- 时间同步：统一时间源，日志时间可交叉比对
四、数据与备份
- 备份可用：备份任务有成功记录，且有恢复演练记录
- 敏感数据保护：敏感字段加密存储，导出行为留痕
五、隔离与监控
- 网络隔离与告警：服务器网络分区，异常登录与资源突变有告警
| 维度 | 验证方式 |
|---|---|
| 账号 | 导出账号列表，核对权限与状态 |
| 端口 | 扫描后与批准清单比对 |
| 日志 | 抽查一条操作记录能否追溯到人 |
| 备份 | 查看最近一次恢复演练日期 |
| 告警 | 模拟一次异常，确认能收到通知 |
十条逐项核完，形成一份带日期与责任人的记录。加固的成果不是"我们做了加固"，而是"这份记录摆在这里"。
#服务器加固#安全基线#审计日志#运维事业部
