服务器安全加固规范是结合业务、系统与合规的操作指南，核心为“最小权限+纵深防御+持续验证”，需明确适用范围、角色分工、分层可验证加固项、日志应急衔接及动态更新机制。
服务器安全加固规范不是一份通用模板，而是一套结合业务场景、系统类型和合规要求的操作指南。核心是“最小权限+纵深防御+持续验证”，重点不在堆砌技术点，而是明确“谁在什么环节做什么、做到什么程度、如何验证”。
明确适用范围与责任分工
规范开头必须写清适用对象（如：CentOS 7/8、Ubuntu 20.04+、Windows Server 2016+ 的生产环境Web/数据库/API服务器），排除开发测试机、跳板机等非目标系统。责任要落到具体角色：运维人员负责基础配置与补丁更新，应用负责人确认服务端口与账户策略，安全团队主导基线核查与日志审计。
建议用表格形式列出各角色对应任务，例如：
- 系统管理员：禁用root远程登录、配置SSH密钥认证、关闭无用服务（telnet、ftp）
- DBA：修改默认数据库账户密码、限制远程连接IP段、启用查询日志
- 安全员：每月执行一次CIS Benchmark检查、留存加固前后配置快照
分层制定可验证的加固项
按操作系统层、中间件层、应用层划分，每项必须含“操作指令+预期结果+验证方式”，避免模糊表述。例如不写“加强密码策略”，而写：
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- Linux账户密码策略：执行authconfig --passalgo=sha512 --update，确保/etc/login.defs中PASS_MAX_DAYS设为90、MIN_LENGTH为10；验证命令：chage -l username 输出应显示“Maximum number of days between password change: 90”
- Nginx TLS加固：在server块中配置ssl_protocols TLSv1.2 TLSv1.3；验证方式：用openssl s_client -connect domain:443 -tls1_1 2>&1 | grep "Protocol" 应返回空
强制日志与应急响应衔接
所有加固动作必须配套可观测性设计。例如开启sudo命令日志需同步配置rsyslog转发至SIEM平台；关闭SELinux需记录替代方案（如使用firewalld+fail2ban）。每项加固后标注“失效场景”与“回滚步骤”，如：
- 启用内核参数net.ipv4.conf.all.rp_filter=1后，若出现多网卡路由异常，临时回滚：sysctl -w net.ipv4.conf.all.rp_filter=0
- 删除默认账户apache后，若PHP-FPM启动失败，需同步修改www.conf中user/group配置
建立动态更新机制
规范末尾需声明有效期（如一年）和触发更新的条件：CVE高危漏洞披露（如Log4j2）、云平台安全通告（如AWS EC2实例元数据API变更）、等保/ISO27001新版要求发布。指定专人每季度比对CIS、NIST SP 800-123最新版本，更新检查项并留痕。
不复杂但容易忽略的是：每次加固后生成机器指纹（如rpm -qa --last、dpkg -l | head -20、当前iptables规则哈希值），作为后续入侵排查的基线依据。
