Rocky 安全基线加固

This content is not available in your language yet.

最小可用系统装好之后，加固不该按流传的清单逐条抄，而应先确定官方给了哪些抓手，再按自己的暴露面排序。本页先列官方材料，再给出与之一一对应的落地顺序；没有官方来源的加固项，本页不写。

官方安全抓手的四份材料

安全基线的官方抓手有四份：security/firewalld（主机防火墙）、security/dnf_automatic（自动更新）、security/cve_hygiene（CVE 跟踪）与 books/security_enhancements（系统加固）；其中自动更新与漏洞跟踪这两条线，日常都落在 dnf 上。

它们覆盖三类工作：边界（谁能连进来）、补丁（漏洞什么时候被修）与加固（系统自身的攻击面）。把三类分开排期，比把所有条目塞进一次变更更容易验证。

系统加固：安全增强专题书

官方提供安全增强专题书（books/security_enhancements），含 PAM 等系统加固主题：PAM 章节从基本概念讲到配置文件与策略写法，并用实际案例演示（例如用 pam_faillock 在多次登录失败后锁定账户），章末提醒改动认证模块前先做系统快照。

读这类专题书时先看它的适用范围：加固项多数会改动认证与访问控制，回退成本比装一个软件包高，因此先快照、再改一项、再验证是基本节奏。

CVE 跟踪：从公告到补丁

官方提供 CVE 卫生（cve_hygiene）指南，说明如何跟踪与处置 CVE：核对软件包 changelog、用 dnf updateinfo 查看安全公告，并强调扫描器的结论需要人工复核。

两类动作对应两个问题：我装的版本修没修（对 changelog 与包版本）与还有哪些安全更新没打（看公告列表）。指南还说明了安全公告编号的构成，用来区分安全修复与普通更新。

自动更新与主机防火墙

官方提供 dnf-automatic 指南与 firewalld 指南（基础与进阶）：前者解决「安全更新怎么自动打」，后者解决「哪些流量允许进来」。

两条线的顺序建议是：先把边界收紧，再让补丁自动进来。防火墙规则决定谁能连，自动更新决定漏洞多久被补上；前者的变更更容易引发业务中断，先做、并留出验证窗口。

落地顺序（本页整理）

账户与认证：收敛可登录账户与提权方式，认证相关改动先快照再验证；
主机防火墙：默认拒绝入站，只放行业务必需端口，规则变更分批下发；
自动安全更新：先在测试机观察一轮更新结果，再在生产启用，并保留失败告警；
漏洞跟踪：定期核对已有补丁与未打补丁的安全更新，扫描器结论人工复核。