3、主机安全加固：操作系统安全配置、最小权限原则、账户管理与审计、补丁管理

各位同学，咱们今天聊点实在的。主机安全加固，说白了就是给你的EMS系统服务器穿上防弹衣。我干这行十几年，见过太多因为主机裸奔导致整个产线瘫痪的案例。嗯，咱们一步步来拆解。

3.1 操作系统安全配置——打好地基

操作系统是EMS系统的根基。根不牢，地动山摇。我个人习惯，拿到一台新服务器，第一件事不是装应用，而是做安全基线配置。

你想想看，一个EMS主机上开着FTP、Telnet、打印服务，这不是给黑客留后门吗？我在项目中遇到过，某工厂的EMS服务器居然默认开启了IIS，结果被扫描到漏洞，整个数据库被勒索加密。血的教训。

具体怎么做？我列几个关键点：

• 禁用不必要的端口： 只保留22（SSH）、443（HTTPS）、以及EMS应用需要的端口。其余全封掉。
• 关闭高危服务： Telnet、Rlogin、FTP、TFTP、SNMP（如果不用的话）。
• 内核参数调优： 比如禁用IP转发、禁用ICMP重定向、设置SYN Flood防护。
• 文件权限收紧： /etc/passwd、/etc/shadow 这些关键文件，权限必须严格。

这里给个Linux下的安全基线检查脚本片段，大家可以参考：

#!/bin/bash
# 安全基线检查脚本（片段）
echo "检查不必要的服务..."
systemctl list-unit-files | grep enabled | grep -E '(telnet|ftp|rlogin)'
echo "检查关键文件权限..."
ls -l /etc/passwd /etc/shadow /etc/group
echo "检查开放端口..."
ss -tlnp | grep -E ':(23|21|513)'

3.2 最小权限原则——给用户刚刚好的权限

最小权限原则，说白了就是「够用就行，多一分都不要」。我曾经见过一个运维，为了省事，直接给所有操作员root权限。结果呢？一个误操作把系统库删了，产线停了三天。

为什么会这样？因为人性本懒。但作为安全工程师，我们不能懒。

具体落地方法：

• 角色分离： 操作员、工程师、管理员，权限必须严格区分。
• 使用sudo： 普通用户需要执行特权命令时，通过sudo授权，并且要记录日志。
• 文件系统ACL： 对于特定目录，用setfacl做细粒度控制。
• 禁止root直接登录： 只能通过普通用户+su或sudo切换。

举个例子，一个EMS操作员，他只需要查看实时数据和下发简单指令。那就只给他对应目录的读权限和特定API的执行权限。其他目录，连看都别看。

3.3 账户管理与审计——谁在什么时候做了什么

账户管理，是安全的第一道门。审计，是事后追溯的唯一手段。这两件事必须一起做。

我个人习惯，每个账户都要实名制。别搞什么「admin001」、「operator」这种通用账号。出了问题你找谁去？

账户管理要点：

• 密码策略： 长度至少12位，包含大小写、数字、特殊字符。每90天强制更换。
• 账户锁定： 连续5次登录失败，锁定账户30分钟。
• 闲置账户清理： 超过90天未登录的账户，自动禁用。
• 共享账户禁止： 严禁多人共用一个账户。

审计方面，我建议开启以下日志：

日志类型	记录内容	保留周期
登录日志	用户登录/登出时间、IP地址、登录方式	≥180天
操作日志	执行的命令、修改的文件、启动的服务	≥365天
权限变更日志	谁在什么时候修改了谁的权限	永久保存
异常日志	登录失败、越权访问、异常进程	≥90天

我曾经在审计日志里发现，某个账户凌晨3点登录，执行了数据导出操作。一查，是内部人员违规操作。如果没有日志，这事根本查不出来。

3.4 补丁管理——别让漏洞成为突破口

补丁管理，是主机安全里最头疼的事。不打补丁，漏洞一堆；打了补丁，又怕影响业务。嗯，这里要注意，EMS系统对稳定性要求极高，不能随便打补丁。

我的策略是「分级打补丁」：

• 紧急补丁（如远程代码执行漏洞）： 48小时内完成测试，72小时内上线。
• 高危补丁： 1周内完成测试，2周内上线。
• 中低危补丁： 随常规维护窗口一起更新。
• 功能更新： 非必要不打，除非有重大安全改进。

具体流程：

1. 漏洞扫描： 每月用漏洞扫描工具扫一遍所有主机。
2. 补丁获取： 从官方渠道下载，校验哈希值。
3. 测试环境验证： 先在测试机上打补丁，跑一遍业务场景。
4. 灰度发布： 先升级一台非关键节点，观察24小时。
5. 全量部署： 确认没问题后，分批升级所有主机。
6. 回滚预案： 准备好回滚脚本，一旦出问题，立刻回退。

下面这张图，是我总结的主机安全加固核心逻辑，大家可以对照着看：

好了，主机安全加固这块，核心就是这四个方面。操作系统配置是基础，最小权限是原则，账户审计是手段，补丁管理是持续动作。四者缺一不可。

记住，安全不是一锤子买卖，而是持续改进的过程。你配置好了，不代表就安全了。定期检查、定期演练，才能真正守住底线。