# AIX-三级等保现场测评命令单 LLMS index: [llms.txt](/wikis/llms.txt) --- > 示例版本：AIX 7.2 > 说明：IBM 文档可直接支撑 oslevel 与 lssrc 的典型输出格式；对随现场变化的值仅描述关键字段。 ## 系统版本核查 ```bash oslevel ``` - 预期现象：应输出系统版本级别；IBM 示例格式为 6.1.0.0，在 AIX 7.2 环境中通常表现为 7.2.x.x。
示例输出（节选）
7.2.0.0
```bash oslevel -r ``` - 预期现象：应输出技术级别，常见格式类似 5300-02、6100-00。
示例输出（节选）
7200-07
```bash uname -a ``` - 预期现象：应显示系统名、节点名、版本、架构等信息。
示例输出（节选）
AIX aixprod 2 7 00F8A3CC4C00
```bash ifconfig -a ``` - 预期现象：应显示网络接口和 IP 信息。
示例输出（节选）
en0: flags=1e080863,480<UP,BROADCAST,NOTRAILERS,RUNNING,SIMPLEX,MULTICAST,GROUPRT,64BIT>
        inet 192.168.10.21 netmask 0xffffff00 broadcast 192.168.10.255
lo0: flags=e08084b,c<UP,BROADCAST,LOOPBACK,RUNNING,SIMPLEX,MULTICAST,GROUPRT,64BIT>
        inet 127.0.0.1 netmask 0xff000000 broadcast 127.0.0.1
## 账户与口令策略核查 ```bash cat /etc/passwd ``` - 预期现象：应列出本地账户。
示例输出（节选）
root:!:0:0::/:/usr/bin/ksh
daemon:!:1:1::/etc:
bin:!:2:2::/bin:
sys:!:3:3::/usr/sys:
appuser:!:210:1::/home/appuser:/usr/bin/ksh
```bash cat /etc/security/passwd ``` - 预期现象：应列出口令散列相关信息，通常需高权限。
示例输出（节选）
root:
        password = {ssha512}06$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
        lastupdate = 1735689600
        flags = ADMCHG
appuser:
        password = {ssha512}06$yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy
        lastupdate = 1722470400
```bash cat /etc/security/user ``` - 预期现象：应显示用户口令默认设置。
示例输出（节选）
default:
        admin = false
        login = true
        su = true
        maxage = 12
        minage = 1
        minalpha = 2
        minother = 2
        mindiff = 3
        loginretries = 5
        histexpire = 26
        histsize = 5
```bash cat /etc/security/login.cfg ``` - 预期现象：应显示登录策略参数。
示例输出（节选）
default:
        logindelay = 4
        logintimeout = 60
        logininterval = 600
        maxlogins = 32
usw:
        shells = /bin/sh,/bin/bsh,/bin/csh,/bin/ksh,/usr/bin/ksh
```bash lsrole -f ALL ``` - 预期现象：应显示角色定义和属性。
示例输出（节选）
ManageAllUsers: authorized_roles=ALL default_roles= screen=NONE visibility=1
Operator: authorized_roles=ManageBasicUsers default_roles= screen=NONE visibility=1
SecurityAdmin: authorized_roles=ALL default_roles= screen=sec_ww visibility=1
```bash lsuser ALL ``` - 预期现象：应显示用户属性。
示例输出（节选）
root id=0 pgrp=system groups=system,bin,adm,security home=/ shell=/usr/bin/ksh
daemon id=1 pgrp=staff groups=staff home=/etc shell=/usr/bin/ksh
bin id=2 pgrp=bin groups=bin home=/bin shell=/usr/bin/ksh
appuser id=210 pgrp=staff groups=staff,audit home=/home/appuser shell=/usr/bin/ksh
## 远程接入与服务核查 ```bash cat /etc/ssh/sshd_config ``` - 预期现象：应显示 SSH 服务端配置，可核查认证方式、算法和访问控制参数。
示例输出（节选）
Port 22
Protocol 2
PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 60
PasswordAuthentication yes
PubkeyAuthentication yes
X11Forwarding no
Subsystem       sftp    /usr/sbin/sftp-server
```bash ssh -Q cipher ``` - 预期现象：安装 OpenSSH 时应列出客户端支持的对称加密算法。
示例输出（节选）
3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr
```bash ssh -Q mac ``` - 预期现象：安装 OpenSSH 时应列出客户端支持的 MAC 算法。
示例输出（节选）
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
```bash ssh -Q kex ``` - 预期现象：安装 OpenSSH 时应列出客户端支持的密钥交换算法。
示例输出（节选）
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
curve25519-sha256
```bash ssh -Q key ``` - 预期现象：安装 OpenSSH 时应列出客户端支持的主机密钥/公钥算法。
示例输出（节选）
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512
```bash ssh -V ``` - 预期现象：应输出 OpenSSH 版本号。
示例输出（节选）
OpenSSH_8.1p1, OpenSSL 1.1.1k  25 Mar 2021
```bash lssrc -t ssh ``` - 预期现象：IBM 示例格式通常包含 Subsystem、Group、PID、Status 列。
示例输出（节选）
Subsystem         Group            PID          Status
 ssh                               4849924      active
```bash lssrc -t sshd ``` - 预期现象：应显示 sshd 服务状态。
示例输出（节选）
Subsystem         Group            PID          Status
 sshd                              4849924      active
```bash lssrc -t telnet ``` - 预期现象：停止时可见 inoperative，运行时可见 active。
示例输出（节选）
Subsystem         Group            PID          Status
 telnet                                         inoperative
```bash lssrc -t ftp ``` - 预期现象：应显示 ftp 服务状态。
示例输出（节选）
Subsystem         Group            PID          Status
 ftp                                              inoperative
```bash netstat -an | grep 21 ``` - 预期现象：启用 FTP 时应看到 21 端口监听或连接信息。
示例输出（节选）
tcp4       0      0  *.21                   *.*                    LISTEN
```bash netstat -an | grep 22 ``` - 预期现象：启用 SSH 时应看到 22 端口监听或连接信息。
示例输出（节选）
tcp4       0      0  *.22                   *.*                    LISTEN
tcp        0      0  192.168.10.21.22       192.168.10.5.52341     ESTABLISHED
```bash netstat -an | grep 23 ``` - 预期现象：启用 Telnet 时应看到 23 端口监听或连接信息。
示例输出（节选）
# telnet 未启用时通常无输出
```bash cat /etc/inetd.conf ``` - 预期现象：应显示 inetd 管理的服务配置。
示例输出（节选）
#ftp     stream  tcp6  nowait  root     /usr/sbin/ftpd         ftpd
#telnet  stream  tcp6  nowait  root     /usr/sbin/telnetd      telnetd
#shell   stream  tcp6  nowait  root     /usr/sbin/rshd         rshd
#login   stream  tcp6  nowait  root     /usr/sbin/rlogind      rlogind
```bash lssrc -ls inetd ``` - 预期现象：应显示 inetd 当前管理的服务信息。
示例输出（节选）
Subsystem         Group            PID          Status
 inetd              tcpip           3768502      active

Source             /etc/inetd.conf
Service command status:
ftp        comments enabled
telnet     comments enabled
## 安全审计核查 ```bash ps -ef | grep syslog ``` - 预期现象：运行 syslog 时应看到相关进程。
示例输出（节选）
    root  4849924       1   0   Aug 18      -  0:04 /usr/sbin/syslogd
    root 56623152 58327242   1 09:32:44  pts/0  0:00 grep syslog
```bash lssrc -s syslogd ``` - 预期现象：应显示 syslogd 状态。
示例输出（节选）
Subsystem         Group            PID          Status
 syslogd            ras             4849924      active
```bash audit query ``` - 预期现象：应显示操作系统审计功能状态。
示例输出（节选）
audobjects on
auditbin on
binmode = panic
streammode = dual
stream: /audit/stream.out
```bash /usr/sbin/audit query ``` - 预期现象：应显示与 audit query 相同的状态信息。
示例输出（节选）
audobjects on
auditbin on
binmode = panic
streammode = dual
```bash lssrc -s auditd ``` - 预期现象：应显示 auditd 状态。
示例输出（节选）
Subsystem         Group            PID          Status
 auditd             audit           4630536      active
```bash cat /etc/security/audit/config ``` - 预期现象：应显示审计配置。
示例输出（节选）
start:
        binmode = on
        streammode = on

bin:
        trail = /audit/trail
        binsize = 25000

classes:
        general = USER_SU,PASSWORD_Change,FILE_Unlink
        objects = S_PASSWD_READ,/etc/security/user
```bash cat /etc/syslog.conf ``` - 预期现象：应显示日志规则和转发配置。
示例输出（节选）
*.err;kern.debug;daemon.notice;mail.crit        /var/adm/messages
auth.info                                        /var/adm/authlog
*.notice                                         @loghost.example.local
```bash auditpr -v ``` - 预期现象：应显示审计输出或审计格式信息。
示例输出（节选）
event       loginstatus
command     /usr/sbin/login
result      FAILURE
login       user=root  tty=/dev/lft0  host=UNKNOWN
```bash tail -n 20 /var/adm/sulog ``` - 预期现象：应输出最近的 su 操作日志。
示例输出（节选）
su: GOOD su-by root on /dev/pts/0 at 08/24/26 08:31:02
su: BAD su-from appuser to root on /dev/pts/1 at 08/24/26 08:35:47
su: GOOD su-by appuser on /dev/pts/2 at 08/23/26 17:02:11
```bash last -n 20 ``` - 预期现象：应输出最近登录记录。
示例输出（节选）
appuser  pts/1        192.168.10.55        08 24 09:01   still logged in.
root     pts/0        192.168.10.30        08 24 08:30 - 08:45  (00:15).
appuser  pts/2        192.168.10.55        08 23 17:00 - 19:12  (02:12).

wtmp begins Mon Aug 03 08:00:00 2026
```bash who /etc/security/failedlogin ``` - 预期现象：应显示失败登录记录。
示例输出（节选）
appuser  pts/1           Aug 24 07:58   192.168.10.99
root     pts/0           Aug 24 08:12   192.168.10.77
## 关键文件权限核查 ```bash ls -l /etc/passwd ``` - 预期现象：应显示关键文件权限。
示例输出（节选）
-rw-r--r--   1 root     security        1521 Mar 12 2025  /etc/passwd
```bash ls -l /etc/security/user ``` - 预期现象：应显示关键文件权限。
示例输出（节选）
-rw-------   1 root     security        8842 Feb 03 2025  user
```bash ls -l /etc/security/login.cfg ``` - 预期现象：应显示关键文件权限。
示例输出（节选）
-rw-r--r--   1 root     security        3312 Nov 22 2024  login.cfg
```bash ls -l /etc/syslog.conf ``` - 预期现象：应显示日志配置文件权限。
示例输出（节选）
-rw-r--r--   1 root     system           612 Jan 15 2025  /etc/syslog.conf
```bash ls -l /var/adm/sulog ``` - 预期现象：应显示日志文件权限。
示例输出（节选）
-rw-------   1 root     system         10240 Aug 24 09:12 /var/adm/sulog
```bash ls -l /var/adm/wtmp ``` - 预期现象：应显示日志文件权限。
示例输出（节选）
-rw-rw-r--   1 adm      adm         1048576 Aug 24 09:01 /var/adm/wtmp
```bash ls -l /etc/utmp ``` - 预期现象：应显示日志文件权限。
示例输出（节选）
-rw-rw-r--   1 bin      bin             480 Aug 24 09:01 /etc/utmp
```bash ls -l /etc/security/faillogin ``` - 预期现象：应显示日志文件权限。
示例输出（节选）
-rw-r--r--   1 root     security        1200 Aug 24 08:12 faillogin
```bash ls -l /etc/security/lastlog ``` - 预期现象：应显示日志文件权限。
示例输出（节选）
-rw-r--r--   1 root     security        3400 Aug 24 09:01 lastlog
## 最小安装与补丁核查 ```bash lslpp -la | more ``` - 预期现象：应列出已安装软件清单。
示例输出（节选）
  Fileset                      Level  State  Type  Description
  ----------------------------------------------------------------------------
Path: /usr/lib/objrepos
  bos.rte                     7.2.5.0  COMMITTED  R    Base Operating System Runtime
  openssh.base.client         8.1.102.1700  COMMITTED  R    Open Secure Shell Commands
  openssh.base.server         8.1.102.1700  COMMITTED  R    Open Secure Shell Server
State codes:
 A -- Applied.
 C -- Committed.
```bash instfix -i ``` - 预期现象：应显示补丁安装情况。
示例输出（节选）
All filesets for 7.2.0.0_AIX_ML were found.
All filesets for 7200-00_AIX_ML were found.
Not all filesets for 7200-02_AIX_ML were found.
```bash instfix -i | grep AIX_ML ``` - 预期现象：应筛出 AIX_ML 级别补丁条目。
示例输出（节选）
All filesets for 7.2.0.0_AIX_ML were found.
All filesets for 7200-00_AIX_ML were found.
```bash cat /etc/hosts.allow ``` - 预期现象：应显示允许地址规则；未配置时可能为空。
示例输出（节选）
sshd : 192.168.10.0/255.255.255.0 : ALLOW
```bash cat /etc/hosts.deny ``` - 预期现象：应显示拒绝地址规则；未配置时可能为空。
示例输出（节选）
# 未配置拒绝规则时通常为空或仅有注释行
```bash cat /etc/profile ``` - 预期现象：应显示登录环境和超时控制参数。
示例输出（节选）
export PATH=/usr/bin:/etc:/usr/sbin:$HOME/bin:/sbin
TMOUT=600 ; export TMOUT
umask 022
## 时钟同步与计划任务核查 ```bash lsattr -El sys0 ``` - 预期现象：应显示系统时钟、时区或相关系统属性配置。
示例输出（节选）
maxbuf        20        Maximum number of pages in block I/O BUFFER CACHE True
modelname     IBM,9000-32E Machine name                                False
systemid      Hardware system identifier                             False
tz            Asia/Shanghai Time zone (TZ) variable with DST suitability   True
```bash crontab -l ``` - 预期现象：应显示当前用户计划任务；无任务时可能为空或提示无计划任务。
示例输出（节选）
#0 2 * * 0 /usr/local/scripts/backup.sh >/dev/null 2>&1
30 1 * * * /usr/local/scripts/logclean.sh >/dev/null 2>&1
## 入侵防范核查 ```bash grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config ``` - 预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。
示例输出（节选）
PermitRootLogin no
LoginGraceTime 60
MaxAuthTries 4
AllowUsers opsadmin deploy
```bash sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups' ``` - 预期现象：应输出 SSH 服务端当前生效的对应参数值。
示例输出（节选）
permitrootlogin no
logingracetime 60
maxauthtries 4
allowusers opsadmin deploy
## 安全基线与完整性核查 ```bash cat /etc/motd ``` - 预期现象：应显示登录后提示或告警内容（如已配置）。
示例输出（节选）
******************************************************************
*  本系统为生产环境受控主机，仅限授权人员操作，操作将被审计。 *
******************************************************************
```bash lslpp -L | head ``` - 预期现象：应显示已安装软件包摘要信息。
示例输出（节选）
  Fileset                      Level  State  Type  Description
  ----------------------------------------------------------------------------
  bos.rte                   7.2.5.0    C     F    Base Operating System Runtime
  openssh.base.client       8.1.102.1700  C  F    Open Secure Shell Commands
  openssh.base.server       8.1.102.1700  C  F    Open Secure Shell Server