主机加固软件装了没效果？问题多半在基线

装完就以为万事大吉，这事在主机加固软件上见得太多。软件跑起来了，仪表盘一片绿，报告也导出来了，可实际连上去一看，该关的端口还开着，能登的弱口令还能登。多数人的第一反应是换一家软件，我的建议是先别急着换——十有八九不是软件不行，是底下那层基线本来就歪了，尺子不准，量出来的结果再漂亮也没意义。

基线说白了就是这台机器该长什么样

基线不是什么高深玩意。它就是一张清单，上面写着这台机器在正常状态下该是什么配置：哪些账号该存在、密码最短几位、SSH 允不允许 root 直接登录、哪些服务该关掉、配置文件的权限是 644 还是 600、内核参数里那些跟转发和重定向相关的开关该是 0 还是 1。有了这张清单，加固才有比对的对象。

加固软件干的事也就一件：把机器现在的样子，逐条跟清单对一遍，对不上的标出来。所以清单写得糙，软件再贵也白搭——你等于拿别人的体检报告给自己看病，指标全是正常的，人却一天比一天虚。

主机加固软件为什么常常查不出真问题

第一种情况是扫描口径跟服务实际跑的位置对不上。现在不少业务塞在容器里，宿主机上跑个 dockerd，容器里的 sshd、容器里的 nginx 配置，宿主机层面根本读不到，软件扫一圈回来说全合格。类似的还有业务跑在别的机器上，只在前端负载均衡上开了个口，你扫这台当然什么都扫不出。

第二种更隐蔽，权限不够。软件用低权限账号跑，读不到 /etc/shadow，读不到某些目录的权限位，它的处理逻辑往往是读不到就当通过。报告绿的漂亮，实际全是盲区。装完先翻一遍扫描日志，看 skipped 和 unknown 有多少条，这个数字比通过率更值得盯。

第三种是清单里的开关被人关掉了。有人嫌告警太多，一条条点忽略，点着点着自己都忘了关过哪些。过两个月真出事，报告依然干净得离谱，谁也想不起来当初为什么放行。

清单别直接从模板抄下来

很多模板是通用项，是给一大片机器用的，不是给你这一台用的。等保二级三级有自己的条文，行业里也有对应要求，这些可以拿来当底稿，但落到具体机器上，总会有几条明显不适用的。这类项该做的是标注不适用、写清理由、留个复核日期，而不是硬套上去——硬套的结果是全红，全红之后人就麻木了，后面真红的那一条也没人看。条文口径以标准原文和服务商给出的安全基线说明为准，别信二手转述。

动手之前先把这三样盘清楚

第一样是账号和权限。有多少个能登录的账号，哪些是长期没人用的，sudo 权限给了谁，密钥登录和密码登录各开着哪个。第二样是对外暴露面，sshd_config 里的 PermitRootLogin、PasswordAuthentication 该是什么值，防火墙是 firewalld 还是 iptables 还是 ufw，到底哪层在生效，别三层都以为对方在管。第三样是日志和时间同步，rsyslog 有没有把关键日志送出去，chronyd 或 ntpd 是不是在跑——时间对不上，日志交叉比对全是废的。

这三样盘完，你手上才有一份能用的现状清单。没有现状，直接对着模板开干，基本等于闭着眼改配置。

一键加固最坑的地方在哪

最坑的不是漏改，是改过头。常见的翻车有几种：把 SSH 的老加密算法全禁了，自己的老跳板机连不上；把密码套件收得太紧，某个老旧接口调不通；SELinux 直接开 enforcing，应用起不来；文件权限一刀切收紧，Web 目录里的上传功能全废。这些都不是加固软件算错了，是基线定得太急，没考虑自家业务的实际情况。

稳妥的做法是改之前留另一条通道，控制台、带外管理、VNC 这些至少有一条能用；有条件的先打快照；改完自己登一遍、跑一遍业务主流程。别改完看一眼仪表盘绿了就收工，那是自己骗自己。

主机加固软件的活儿得有人接着管

软件是执行的手，基线才是标准。标准没人维护，手再快也白搭。业务上线新组件、系统升版本、中间件换配置，这些动作都会让原来的基线部分失效。谁改的、为什么改、什么时候复核，这三件事得有人记着，不然半年后这台机器就成了一台没人敢动的黑盒。小团队没专职的人，那就挂到运维的月度巡检里，一次看几条，别攒到年底一起补。

下次再看到报告一片绿，先别高兴，问一句：这份清单是谁写的，上一次动它是什么时候。答不上来，那绿就是装饰色。想让主机加固软件真派上用场，顺序永远是先定基线、再谈扫描、最后才是换工具——倒过来做，换十家也一样。