ssh服务合规性检查需覆盖认证、授权、配置、日志、密钥全链条：确认passwordauthentication为no、pubkeyauthentication为yes；主机密钥应为256位ed25519或rsa≥4096位；用户公钥须剔除rsa＜2048及dsa/sha1弱密钥；关键参数如permitrootlogin、maxauthtries等须显式配置；日志需启用且记录完整，audit规则应监控sshd相关路径；主机密钥权限为600，.ssh目录700、authorized_keys为600，主机密钥建议每12个月轮换。
检查 SSH 服务合规性，核心是验证“谁能在什么条件下连、用什么方式连、连了做什么、行为是否可追溯”这四件事是否受控。不能只看密码关没关，得覆盖认证、授权、配置、日志、密钥全链条。
认证方式与凭证强度
重点确认登录凭据是否满足最小权限和强认证要求：
- 执行 grep -E "^(PasswordAuthentication|PubkeyAuthentication|ChallengeResponseAuthentication)" /etc/ssh/sshd_config，确认 PasswordAuthentication 为 no，PubkeyAuthentication 为 yes，ChallengeResponseAuthentication 为 no
- 检查密钥类型与长度：ssh-keygen -l -f /etc/ssh/ssh_host_ed25519_key（应为 256 位 Ed25519）；若存在 RSA 主机密钥，需 ≥4096 位
- 扫描用户级密钥强度：遍历 /home/*/\.ssh/authorized_keys，用 ssh-keygen -l -f 检查每条公钥，剔除 RSA＜2048 或含 DSA/SHA1 的弱密钥
服务配置与访问控制
配置项必须显式设值，避免依赖默认行为：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 确认关键参数已明确设置：PermitRootLogin no、MaxAuthTries 3、LoginGraceTime 60、ClientAliveInterval 300、ClientAliveCountMax 0
- 限制可登录用户或组：AllowUsers admin deploy 或 AllowGroups sshusers，禁用 AllowUsers root 或通配符
- 检查监听范围：grep "^ListenAddress" /etc/ssh/sshd_config，生产环境不应为 0.0.0.0，优先绑定业务网段 IP
日志完整性与操作溯源
没有日志的加固等于没加固，必须确保每类行为都有记录且不可篡改：
- 确认日志设施启用：systemctl is-active rsyslog（或 journald），且 /var/log/auth.log（Debian）或 /var/log/secure（RHEL）持续写入
- 检查 sudo 日志是否包含完整上下文：tail -n 5 /var/log/auth.log | grep sudo，每条应含用户名、终端、时间、完整命令（含参数）
- 验证关键事件审计：auditctl -l | grep ssh，应有规则监控 /usr/sbin/sshd、/etc/ssh/sshd_config 等路径的写操作
密钥生命周期与权限管控
密钥不是一次生成就一劳永逸，需配套管理机制：
- 主机密钥文件权限必须为 600：ls -l /etc/ssh/ssh_host_*_key，属主 root，其他用户无任何权限
- 用户 .ssh 目录权限应为 700，authorized_keys 为 600：find /home -path "*/.ssh" -prune -exec ls -ld {} \; -exec ls -l {}/authorized_keys \; 2>/dev/null
- 检查是否存在长期未轮换密钥：stat /etc/ssh/ssh_host_ed25519_key | grep Modify，建议每 12 个月更新主机密钥
