三级现场测评命令单 on ClearSec Wiki

AIX-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：AIX 7.2

说明：IBM 文档可直接支撑 oslevel 与 lssrc 的典型输出格式；对随现场变化的值仅描述关键字段。

系统版本核查

oslevel

预期现象：应输出系统版本级别；IBM 示例格式为 6.1.0.0，在 AIX 7.2 环境中通常表现为 7.2.x.x。

示例输出（节选）

7.2.0.0

oslevel -r

预期现象：应输出技术级别，常见格式类似 5300-02、6100-00。

示例输出（节选）

7200-07

uname -a

预期现象：应显示系统名、节点名、版本、架构等信息。

示例输出（节选）

AIX aixprod 2 7 00F8A3CC4C00

ifconfig -a

预期现象：应显示网络接口和 IP 信息。

示例输出（节选）

en0: flags=1e080863,480<UP,BROADCAST,NOTRAILERS,RUNNING,SIMPLEX,MULTICAST,GROUPRT,64BIT>
 inet 192.168.10.21 netmask 0xffffff00 broadcast 192.168.10.255
lo0: flags=e08084b,c<UP,BROADCAST,LOOPBACK,RUNNING,SIMPLEX,MULTICAST,GROUPRT,64BIT>
 inet 127.0.0.1 netmask 0xff000000 broadcast 127.0.0.1

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:!:0:0::/:/usr/bin/ksh
daemon:!:1:1::/etc:
bin:!:2:2::/bin:
sys:!:3:3::/usr/sys:
appuser:!:210:1::/home/appuser:/usr/bin/ksh

cat /etc/security/passwd

预期现象：应列出口令散列相关信息，通常需高权限。

示例输出（节选）

root:
 password = {ssha512}06$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
 lastupdate = 1735689600
 flags = ADMCHG
appuser:
 password = {ssha512}06$yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy
 lastupdate = 1722470400

cat /etc/security/user

预期现象：应显示用户口令默认设置。

示例输出（节选）

default:
 admin = false
 login = true
 su = true
 maxage = 12
 minage = 1
 minalpha = 2
 minother = 2
 mindiff = 3
 loginretries = 5
 histexpire = 26
 histsize = 5

cat /etc/security/login.cfg

预期现象：应显示登录策略参数。

示例输出（节选）

default:
 logindelay = 4
 logintimeout = 60
 logininterval = 600
 maxlogins = 32
usw:
 shells = /bin/sh,/bin/bsh,/bin/csh,/bin/ksh,/usr/bin/ksh

lsrole -f ALL

预期现象：应显示角色定义和属性。

示例输出（节选）

ManageAllUsers: authorized_roles=ALL default_roles= screen=NONE visibility=1
Operator: authorized_roles=ManageBasicUsers default_roles= screen=NONE visibility=1
SecurityAdmin: authorized_roles=ALL default_roles= screen=sec_ww visibility=1

lsuser ALL

预期现象：应显示用户属性。

示例输出（节选）

root id=0 pgrp=system groups=system,bin,adm,security home=/ shell=/usr/bin/ksh
daemon id=1 pgrp=staff groups=staff home=/etc shell=/usr/bin/ksh
bin id=2 pgrp=bin groups=bin home=/bin shell=/usr/bin/ksh
appuser id=210 pgrp=staff groups=staff,audit home=/home/appuser shell=/usr/bin/ksh

远程接入与服务核查

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 服务端配置，可核查认证方式、算法和访问控制参数。

示例输出（节选）

Port 22
Protocol 2
PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 60
PasswordAuthentication yes
PubkeyAuthentication yes
X11Forwarding no
Subsystem sftp /usr/sbin/sftp-server

ssh -Q cipher

预期现象：安装 OpenSSH 时应列出客户端支持的对称加密算法。

示例输出（节选）

3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr

ssh -Q mac

预期现象：安装 OpenSSH 时应列出客户端支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96

ssh -Q kex

预期现象：安装 OpenSSH 时应列出客户端支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
curve25519-sha256

ssh -Q key

预期现象：安装 OpenSSH 时应列出客户端支持的主机密钥/公钥算法。

示例输出（节选）

ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.1p1, OpenSSL 1.1.1k 25 Mar 2021

lssrc -t ssh

预期现象：IBM 示例格式通常包含 Subsystem、Group、PID、Status 列。

示例输出（节选）

Subsystem Group PID Status
 ssh 4849924 active

lssrc -t sshd

预期现象：应显示 sshd 服务状态。

示例输出（节选）

Subsystem Group PID Status
 sshd 4849924 active

lssrc -t telnet

预期现象：停止时可见 inoperative，运行时可见 active。

示例输出（节选）

Subsystem Group PID Status
 telnet inoperative

lssrc -t ftp

预期现象：应显示 ftp 服务状态。

示例输出（节选）

Subsystem Group PID Status
 ftp inoperative

netstat -an | grep 21

预期现象：启用 FTP 时应看到 21 端口监听或连接信息。

示例输出（节选）

tcp4 0 0 *.21 *.* LISTEN

netstat -an | grep 22

预期现象：启用 SSH 时应看到 22 端口监听或连接信息。

示例输出（节选）

tcp4 0 0 *.22 *.* LISTEN
tcp 0 0 192.168.10.21.22 192.168.10.5.52341 ESTABLISHED

netstat -an | grep 23

预期现象：启用 Telnet 时应看到 23 端口监听或连接信息。

示例输出（节选）

# telnet 未启用时通常无输出

cat /etc/inetd.conf

预期现象：应显示 inetd 管理的服务配置。

示例输出（节选）

#ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd
#telnet stream tcp6 nowait root /usr/sbin/telnetd telnetd
#shell stream tcp6 nowait root /usr/sbin/rshd rshd
#login stream tcp6 nowait root /usr/sbin/rlogind rlogind

lssrc -ls inetd

预期现象：应显示 inetd 当前管理的服务信息。

示例输出（节选）

Subsystem Group PID Status
 inetd tcpip 3768502 active

Source /etc/inetd.conf
Service command status:
ftp comments enabled
telnet comments enabled

安全审计核查

ps -ef | grep syslog

预期现象：运行 syslog 时应看到相关进程。

示例输出（节选）

 root 4849924 1 0 Aug 18 - 0:04 /usr/sbin/syslogd
 root 56623152 58327242 1 09:32:44 pts/0 0:00 grep syslog

lssrc -s syslogd

预期现象：应显示 syslogd 状态。

示例输出（节选）

Subsystem Group PID Status
 syslogd ras 4849924 active

audit query

预期现象：应显示操作系统审计功能状态。

示例输出（节选）

audobjects on
auditbin on
binmode = panic
streammode = dual
stream: /audit/stream.out

/usr/sbin/audit query

预期现象：应显示与 audit query 相同的状态信息。

示例输出（节选）

audobjects on
auditbin on
binmode = panic
streammode = dual

lssrc -s auditd

预期现象：应显示 auditd 状态。

示例输出（节选）

Subsystem Group PID Status
 auditd audit 4630536 active

cat /etc/security/audit/config

预期现象：应显示审计配置。

示例输出（节选）

start:
 binmode = on
 streammode = on

bin:
 trail = /audit/trail
 binsize = 25000

classes:
 general = USER_SU,PASSWORD_Change,FILE_Unlink
 objects = S_PASSWD_READ,/etc/security/user

cat /etc/syslog.conf

预期现象：应显示日志规则和转发配置。

示例输出（节选）

*.err;kern.debug;daemon.notice;mail.crit /var/adm/messages
auth.info /var/adm/authlog
*.notice @loghost.example.local

auditpr -v

预期现象：应显示审计输出或审计格式信息。

示例输出（节选）

event loginstatus
command /usr/sbin/login
result FAILURE
login user=root tty=/dev/lft0 host=UNKNOWN

tail -n 20 /var/adm/sulog

预期现象：应输出最近的 su 操作日志。

示例输出（节选）

su: GOOD su-by root on /dev/pts/0 at 08/24/26 08:31:02
su: BAD su-from appuser to root on /dev/pts/1 at 08/24/26 08:35:47
su: GOOD su-by appuser on /dev/pts/2 at 08/23/26 17:02:11

last -n 20

预期现象：应输出最近登录记录。

示例输出（节选）

appuser pts/1 192.168.10.55 08 24 09:01 still logged in.
root pts/0 192.168.10.30 08 24 08:30 - 08:45 (00:15).
appuser pts/2 192.168.10.55 08 23 17:00 - 19:12 (02:12).

wtmp begins Mon Aug 03 08:00:00 2026

who /etc/security/failedlogin

预期现象：应显示失败登录记录。

示例输出（节选）

appuser pts/1 Aug 24 07:58 192.168.10.99
root pts/0 Aug 24 08:12 192.168.10.77

关键文件权限核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root security 1521 Mar 12 2025 /etc/passwd

ls -l /etc/security/user

预期现象：应显示关键文件权限。

示例输出（节选）

-rw------- 1 root security 8842 Feb 03 2025 user

ls -l /etc/security/login.cfg

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root security 3312 Nov 22 2024 login.cfg

ls -l /etc/syslog.conf

预期现象：应显示日志配置文件权限。

示例输出（节选）

-rw-r--r-- 1 root system 612 Jan 15 2025 /etc/syslog.conf

ls -l /var/adm/sulog

预期现象：应显示日志文件权限。

示例输出（节选）

-rw------- 1 root system 10240 Aug 24 09:12 /var/adm/sulog

ls -l /var/adm/wtmp

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-rw-r-- 1 adm adm 1048576 Aug 24 09:01 /var/adm/wtmp

ls -l /etc/utmp

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-rw-r-- 1 bin bin 480 Aug 24 09:01 /etc/utmp

ls -l /etc/security/faillogin

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-r--r-- 1 root security 1200 Aug 24 08:12 faillogin

ls -l /etc/security/lastlog

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-r--r-- 1 root security 3400 Aug 24 09:01 lastlog

最小安装与补丁核查

lslpp -la | more

预期现象：应列出已安装软件清单。

示例输出（节选）

 Fileset Level State Type Description
 ----------------------------------------------------------------------------
Path: /usr/lib/objrepos
 bos.rte 7.2.5.0 COMMITTED R Base Operating System Runtime
 openssh.base.client 8.1.102.1700 COMMITTED R Open Secure Shell Commands
 openssh.base.server 8.1.102.1700 COMMITTED R Open Secure Shell Server
State codes:
 A -- Applied.
 C -- Committed.

instfix -i

预期现象：应显示补丁安装情况。

示例输出（节选）

All filesets for 7.2.0.0_AIX_ML were found.
All filesets for 7200-00_AIX_ML were found.
Not all filesets for 7200-02_AIX_ML were found.

instfix -i | grep AIX_ML

预期现象：应筛出 AIX_ML 级别补丁条目。

示例输出（节选）

All filesets for 7.2.0.0_AIX_ML were found.
All filesets for 7200-00_AIX_ML were found.

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。

示例输出（节选）

sshd : 192.168.10.0/255.255.255.0 : ALLOW

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。

示例输出（节选）

# 未配置拒绝规则时通常为空或仅有注释行

cat /etc/profile

预期现象：应显示登录环境和超时控制参数。

示例输出（节选）

export PATH=/usr/bin:/etc:/usr/sbin:$HOME/bin:/sbin
TMOUT=600 ; export TMOUT
umask 022

时钟同步与计划任务核查

lsattr -El sys0

预期现象：应显示系统时钟、时区或相关系统属性配置。

示例输出（节选）

maxbuf 20 Maximum number of pages in block I/O BUFFER CACHE True
modelname IBM,9000-32E Machine name False
systemid Hardware system identifier False
tz Asia/Shanghai Time zone (TZ) variable with DST suitability True

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能为空或提示无计划任务。

示例输出（节选）

#0 2 * * 0 /usr/local/scripts/backup.sh >/dev/null 2>&1
30 1 * * * /usr/local/scripts/logclean.sh >/dev/null 2>&1

入侵防范核查

grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
LoginGraceTime 60
MaxAuthTries 4
AllowUsers opsadmin deploy

sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

permitrootlogin no
logingracetime 60
maxauthtries 4
allowusers opsadmin deploy

安全基线与完整性核查

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

******************************************************************
* 本系统为生产环境受控主机，仅限授权人员操作，操作将被审计。 *
******************************************************************

lslpp -L | head

预期现象：应显示已安装软件包摘要信息。

示例输出（节选）

 Fileset Level State Type Description
 ----------------------------------------------------------------------------
 bos.rte 7.2.5.0 C F Base Operating System Runtime
 openssh.base.client 8.1.102.1700 C F Open Secure Shell Commands
 openssh.base.server 8.1.102.1700 C F Open Secure Shell Server

HP-UX-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：HP-UX 11i v3（11.31 / B.11.31）

说明：HPE 官方资料可直接支撑 11i v3 对应版本号 11.31；对随安装介质变化的 OE 名称仅保留关键字段预期。

系统版本核查

uname -r

预期现象：示例输出关键字段为 B.11.31。
示例输出（节选）
```
B.11.31
```

ifconfig

预期现象：应显示网络接口和 IP 信息。

示例输出（节选）

lan0: flags=843<UP,BROADCAST,RUNNING,MULTICAST>
 inet 192.168.10.21 netmask ffffff00 broadcast 192.168.10.255

swlist HPUX*OE*

预期现象：关键字段通常包含 B.11.31，完整 OE 名称随已安装介质而异。
示例输出（节选）
```
HPUX11i-OE B.11.31 HP-UX 11i v3 Operating Environment
```

账户与口令策略核查

cat /etc/hosts.equiv

预期现象：部分主机该文件可能不存在；如存在则应显示信任主机配置。
示例输出（节选）
```
cat: 该文件不存在（部分主机未部署此文件）
```

find / -name .rhosts

预期现象：存在 .rhosts 文件时应输出路径。
示例输出（节选）
```
/users/app/.rhosts
```

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:3:superuser:/:/sbin/sh
bin:x:2:2:bin:/usr/bin:/sbin/sh
appadm:x:101:20::/home/appadm:/usr/bin/sh

cat /etc/group

预期现象：应列出本地组。
示例输出（节选）
```
root::0:root,other
users::20:appadm,dev01
```

cat /etc/default/security

预期现象：应显示安全策略配置。

示例输出（节选）

# /etc/default/security（节选）
MIN_PASSWORD_LENGTH=8
PASSWORD_HISTORY_DEPTH=5
AUTH_MAXTRIES=5
PASSWORD_MIN_DAYS=1

cat /etc/default/passwd

预期现象：应显示口令策略；部分资产可能无该文件。
示例输出（节选）
```
HISTSIZE=5
MIN_PASSWORD_LENGTH=8
# PASSWORD_WARNDAYS=7
```

cat /etc/profile

预期现象：应显示登录超时控制参数。
示例输出（节选）
```
# Set login timeout
TMOUT=600 ; export TMOUT
```

远程接入与服务核查

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 服务端配置，可核查认证与算法参数。

示例输出（节选）

# sshd_config（节选）
PermitRootLogin no
MaxAuthTries 4
PasswordAuthentication yes
Protocol 2

ssh -Q cipher

预期现象：安装 OpenSSH 客户端时应列出支持的对称加密算法。
示例输出（节选）
```
3des-cbc
aes128-cbc,aes192-cbc,aes256-cbc
aes128-ctr,aes256-ctr,...
```

ssh -Q mac

预期现象：安装 OpenSSH 客户端时应列出支持的 MAC 算法。
示例输出（节选）
```
hmac-sha1
hmac-sha2-256
hmac-sha2-512
```

ssh -Q kex

预期现象：安装 OpenSSH 客户端时应列出支持的密钥交换算法。
示例输出（节选）
```
diffie-hellman-group-exchange-sha256
diffie-hellman-group14-sha256
ecdh-sha2-nistp256
```

ssh -Q key

预期现象：安装 OpenSSH 客户端时应列出支持的主机密钥/公钥算法。
示例输出（节选）
```
ssh-rsa,rsa-sha2-256,rsa-sha2-512,ecdsa-sha2-nistp256
```

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.4p1 HP-UX Secure Shell-A.08.40.001, OpenSSL 1.1.1t 30 Apr 2023

ps -elf | grep ftp

预期现象：运行 FTP 时应显示 ftp 相关进程。
示例输出（节选）
```
 appadm 4722 1 0 08:00:01 ? 0:00 /usr/lbin/ftpd -l -a
```

ps -elf | grep ssh

预期现象：运行 SSH 时应显示 ssh 相关进程。
示例输出（节选）
```
 root 3810 1 0 Mar 14 ? 0:02 /opt/ssh/sbin/sshd -D
```

ps -elf | grep telnet

预期现象：运行 Telnet 时应显示 telnet 相关进程。
示例输出（节选）
```
 appadm 5120 3801 0 08:15:22 pts/tb 0:00 grep telnet
```

netstat -an | grep 21

预期现象：启用 FTP 时应看到 21 端口监听或连接信息。
示例输出（节选）
```
tcp 0 0 *.21 *.* LISTEN
```

netstat -an | grep 22

预期现象：启用 SSH 时应看到 22 端口监听或连接信息。
示例输出（节选）
```
tcp 0 0 *.22 *.* LISTEN
```

netstat -an | grep 23

预期现象：启用 Telnet 时应看到 23 端口监听或连接信息。
示例输出（节选）
```
tcp 0 0 *.23 *.* LISTEN
```

cat /etc/inetd.conf

预期现象：应显示 inetd 管理的服务配置。

示例输出（节选）

telnet stream tcp nowait root /usr/lbin/telnetd telnetd
ftp stream tcp nowait root /usr/lbin/ftpd ftpd -l -a

cat /var/adm/inetd.sec

预期现象：应显示 inetd 安全控制配置。
示例输出（节选）
```
ftp allow 192.168.10.*
telnet deny *
```

cat /etc/securetty

预期现象：应显示 root 可登录终端定义。
示例输出（节选）
```
console
/dev/pts/*
```

安全审计核查

ps -ef | grep syslog

预期现象：运行 syslog 时应显示相关进程。
示例输出（节选）
```
 root 2744 1 0 Mar 14 ? 0:05 /usr/sbin/syslogd -D
```

cat /etc/syslog.conf

预期现象：应显示日志记录和转发配置。

示例输出（节选）

# syslog.conf（节选）
*.info;mail.none /var/adm/syslog/syslog.log
*.alert /dev/console
*.debug @logsvr.example.internal

ls -l /etc/syslog.conf

预期现象：应显示日志配置文件权限。
示例输出（节选）
```
-rw-r--r-- 1 root root 412 Nov 10 2023 /etc/syslog.conf
```

ls -l /var/.audit/audfile1

预期现象：应显示审计文件权限；文件不存在时应结合现场确认审计实现方式。
示例输出（节选）
```
-rw-r----- 1 root audit 2048 Aug 21 09:30 /var/.audit/audfile1
```

ls -l /var/.audit/audfile2

预期现象：应显示审计文件权限；文件不存在时应结合现场确认审计实现方式。
示例输出（节选）
```
-rw-r----- 1 root audit 2048 Aug 21 09:45 /var/.audit/audfile2
```

ls -l /var/adm/syslog/*.log

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-rw-rw- 1 root root 5242880 Aug 21 18:00 /var/adm/syslog/syslog.log
-rw-r--r-- 1 root root 262144 Aug 20 23:55 /var/adm/syslog/mail.log

tail -100 /var/adm/syslog/syslog.log

预期现象：应输出最近 100 行 syslog 日志。

示例输出（节选）

Aug 21 08:00:03 demo-hpux01 sshd[4122]: Accepted password for appadm from 192.168.10.33 port 51244 ssh2
Aug 21 08:02:11 demo-hpux01 vmunix: Ethernet lan0 link up at 1000 Mbps

tail -20 /var/adm/sulog

预期现象：应输出最近 su 日志。
示例输出（节选）
```
SU 08/21 09:12 + pts/tb appadm-root
```

tail -20 /var/adm/messages

预期现象：应输出最近系统日志。

示例输出（节选）

Aug 21 06:25:01 demo-hpux01 cron[3011]: (root) CMD (/usr/bin/find /var/tmp -atime +7 -delete)

访问控制与最小安装核查

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。
示例输出（节选）
```
# 未配置时文件可能为空或不存在
```

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。
示例输出（节选）
```
# 未配置时文件可能为空或不存在
```

swlist -l bundle

预期现象：应列出已安装的软件包束。

示例输出（节选）

BUNDLE SOFTWARE STATE REV
HPUX11i-OE B.11.31.2209 applied
GNUSW-Utils B.11.31.0706 configured

时间同步与计划任务核查

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能为空或提示无计划任务。
示例输出（节选）
```
crontab: you are not authorized to use cron.
```

ps -ef | grep xntpd

预期现象：启用 NTP 服务时通常会看到 xntpd 进程；未启用时通常无有效结果。
示例输出（节选）
```
 root 2980 1 0 Mar 14 ? 0:00 /usr/sbin/xntpd
```

入侵防范核查

grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。
示例输出（节选）
```
PermitRootLogin no
LoginGraceTime 60
MaxAuthTries 4
```

sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。
示例输出（节选）
```
permitrootlogin no
logingracetime 60
maxauthtries 4
```

安全基线与完整性核查

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

******************************************************************
* 本系统仅供授权人员使用，操作将被审计并记录。 *
******************************************************************

Linux(RHEL_CentOS)-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：RHEL 7.9 / CentOS 7.9

系统版本核查

cat /etc/redhat-release

预期现象：输出中通常包含 release 7.9 等版本关键字。

示例输出（节选）

CentOS Linux release 7.9.2009 (Core)

cat /proc/version

预期现象：输出中通常包含 3.10.0-1160 等内核关键字段。

示例输出（节选）

Linux version 3.10.0-1160.el7.x86_64 (builder@kbuilder.dev.centos.org) (gcc version 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC) ) #1 SMP Mon Oct 19 16:18:59 UTC 2020

hostnamectl

预期现象：通常可见 Static hostname、Operating System、Kernel 等字段。

示例输出（节选）

 Static hostname: web01
 Icon name: computer-server
 Chassis: server
Operating System: CentOS Linux 7 (Core)
 CPE OS Name: cpe:/o:centos:centos:7
 Kernel: Linux 3.10.0-1160.el7.x86_64
 Architecture: x86-64

网络配置核查

ip addr

预期现象：应能看到网卡、IP 地址、掩码等信息；实际地址随主机而异。

示例输出（节选）

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
 inet 127.0.0.1/8 scope host lo
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
 inet 192.168.10.21/24 brd 192.168.10.255 scope global noprefixroute eth0

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户信息，每行一个账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
...
appuser:x:1000:1000::/home/appuser:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和口令状态，通常需要 root 权限。

示例输出（节选）

root:$6$rounds=4096$AbCdEf$XyZ1234567890abcdef…::0:99999:7:::
bin:*:17832:0:99999:7:::
...
appuser:$6$rounds=4096$GhIjKl$0987654321fedcba…:19876:0:90:7:30:::

cat /etc/login.defs

预期现象：应能看到 PASS_MAX_DAYS、PASS_MIN_DAYS、PASS_MIN_LEN 等口令老化字段。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_MIN_LEN	12
PASS_WARN_AGE	14

cat /etc/pam.d/system-auth

预期现象：应能看到口令复杂度或认证模块配置，如 pam_pwquality、pam_unix 等。

示例输出（节选）

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=600
...
password requisite pam_pwquality.so try_first_pass local_users_only retry=3
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
...

cat /etc/pam.d/password-auth

预期现象：应能看到登录认证与失败处理相关模块，如 faillock 或等效配置。

示例输出（节选）

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=600
...
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
...
session required pam_loginuid.so

cat /etc/security/pwquality.conf

预期现象：应能看到 minlen、ucredit、lcredit、dcredit 等复杂度参数。

示例输出（节选）

minlen = 12
dcredit = -1
ucredit = -1
lcredit = -1
ocredit = -1
maxrepeat = 3

chage -l root

预期现象：应显示最近改密时间、失效时间、最短/最长口令使用期限等。

示例输出（节选）

最近一次密码修改时间：3月 15, 2026
密码过期时间：6月 13, 2026
密码失效时间：从不
...
最少数量的天数：密码修改之间间隔的天数：7
最多数量的天数：密码修改之间间隔的最大天数：90

远程接入控制核查

cat /etc/ssh/sshd_config

预期现象：应能核查 PermitRootLogin、PermitEmptyPasswords、ClientAliveInterval 等参数。

示例输出（节选）

PermitRootLogin no
PermitEmptyPasswords no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers appuser opsadmin
...

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的加密算法、MAC、密钥交换和主机密钥算法。

示例输出（节选）

ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group14-sha256
hostkeyalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256
pubkeyacceptedalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

aes128-cbc
aes128-ctr
aes192-ctr
aes256-ctr
...
aes128-gcm@openssh.com
aes256-gcm@openssh.com

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha2-256
hmac-sha2-512
...
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group14-sha1
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-ed25519
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ssh-rsa
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_7.4p1, OpenSSL 1.0.2k-fips 26 Jan 2017

update-crypto-policies --show

预期现象：在支持该机制的系统中应显示系统级密码策略，如 DEFAULT、FUTURE、FIPS；旧版系统可能无此命令。

示例输出（节选）

DEFAULT

ps -ef | grep sshd

预期现象：启用 SSH 时通常可见 sshd 进程。

示例输出（节选）

root 1123 1 0 2025 ? 00:01:23 /usr/sbin/sshd -D
root 456789 123456 0 10:02 ? 00:00:00 sshd: appuser [priv]
appuser 456791 456789 0 10:02 ? 00:00:00 sshd: appuser@pts/0

ps -ef | grep telnet

预期现象：未启用 Telnet 时通常除 grep 本身外无有效结果。

示例输出（节选）

root 567890 456789 0 10:03 pts/0 00:00:00 grep --color=auto telnet

systemctl status telnet.socket

预期现象：应显示 active、inactive、disabled 等状态之一。

示例输出（节选）

● telnet.socket
 Loaded: loaded (/usr/lib/systemd/system/telnet.socket; disabled; vendor preset: disabled)
 Active: inactive (dead)
 Listen: [::]:23 (Stream)

cat /etc/profile

预期现象：应能核查 TMOUT 等登录超时参数。

示例输出（节选）

if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
 umask 002
else
 umask 022
fi
export TMOUT=600
readonly TMOUT

安全审计核查

service rsyslog status

预期现象：应显示日志服务运行状态，常见为 running 或 active。

示例输出（节选）

Redirecting to /bin/systemctl status rsyslog.service
● rsyslog.service - System Logging Service
 Loaded: loaded (/usr/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:11 CST; 2h 15min ago
 Main PID: 1088 (rsyslogd)

service auditd status

预期现象：应显示审计服务运行状态，常见为 running 或 active。

示例输出（节选）

Redirecting to /bin/systemctl status auditd.service
● auditd.service - Security Auditing Service
 Loaded: loaded (/usr/lib/systemd/system/auditd.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:10 CST; 2h 15min ago

auditctl -l

预期现象：启用审计规则时应逐条输出规则；未配置时可能为空。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor

cat /etc/audit/rules.d/audit.rules

预期现象：应看到审计规则文件内容。

示例输出（节选）

## First rule - delete all
-D
...
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor
-e 2

cat /etc/rsyslog.conf

预期现象：应看到本地日志规则和远程转发配置。

示例输出（节选）

#### RULES ####
*.info;mail.none;authpriv.none;cron.none /var/log/messages
authpriv.* /var/log/secure
...
# 远程转发示例（如已配置）
*.* @@192.168.20.10:514

ls -l /var/log/messages

预期现象：应显示文件权限、属主、属组、大小、时间。

示例输出（节选）

-rw-------. 1 root root 1048576 Aug 24 10:20 /var/log/messages

ls -l /var/log/secure

预期现象：应显示安全日志文件权限信息。

示例输出（节选）

-rw-------. 1 root root 262144 Aug 24 09:58 /var/log/secure

ls -l /var/log/audit/audit.log

预期现象：应显示审计日志文件权限信息。

示例输出（节选）

-rw-------. 1 root root 2097152 Aug 24 10:22 /var/log/audit/audit.log

tail -n 20 /var/log/messages

预期现象：应输出最近 20 条系统日志。

示例输出（节选）

Aug 24 10:18:02 web01 systemd: Started Session 342 of user root.
Aug 24 10:18:35 web01 kernel: TCP: request_sock_TCP: Possible SYN flooding on port 80. Sending cookies.
...
Aug 24 10:22:41 web01 rsyslogd: [origin software="rsyslogd" swVersion="8.24.0-57.el7"] exit on signal 2.

tail -n 20 /var/log/audit/audit.log

预期现象：应输出最近 20 条审计日志。

示例输出（节选）

type=USER_AUTH msg=audit(1771893601.231:8812): pid=456789 uid=0 auid=1000 msg='op=PAM:authentication acct="appuser" exe="/usr/sbin/sshd" hostname=203.0.113.50 addr=203.0.113.50 terminal=ssh res=success'
type=CRED_ACQ msg=audit(1771893601.240:8813): pid=456789 uid=0 auid=1000 msg='op=PAM:setcred acct="appuser" exe="/usr/sbin/sshd" hostname=? addr=? terminal=ssh res=success'
...

last

预期现象：应显示成功登录记录。

示例输出（节选）

opsadmin pts/0 203.0.113.50 Mon Aug 24 10:02 still logged in
root pts/1 192.168.10.5 Sun Aug 23 17:44 - 19:02 (01:17)
reboot system boot 3.10.0-1160.el7. Mon Aug 24 08:29 - 10:25 (01:55)
...
wtmp begins Tue Jan 6 09:00:01 2026

lastb

预期现象：应显示失败登录记录；部分主机可能需要 root 权限。

示例输出（节选）

root ssh:notty 203.0.113.77 Mon Aug 24 04:12 - 04:12 (00:00)
root ssh:notty 203.0.113.77 Mon Aug 24 04:11 - 04:11 (00:00)
admin ssh:notty 198.51.100.9 Sun Aug 23 22:40 - 22:40 (00:00)

btmp begins Fri Jul 31 00:01:02 2026

访问控制与地址限制核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r--. 1 root root 1024 Aug 3 2025 /etc/passwd

ls -l /etc/shadow

预期现象：应显示关键文件权限。

示例输出（节选）

----------. 1 root root 896 Aug 3 2025 /etc/shadow
(常见亦为 -rw-r----- 或 400，以现场为准)

ls -l /etc/group

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r--. 1 root root 512 Aug 3 2025 /etc/group

cat /etc/hosts.allow

预期现象：应看到允许地址配置；未配置时可能为空。

示例输出（节选）

# 示例：仅允许运维网段访问 sshd
sshd: 192.168.10.0/255.255.255.0

cat /etc/hosts.deny

预期现象：应看到拒绝地址配置；部分基线常见 ALL，但应以现场为准。

示例输出（节选）

sshd: ALL

服务、端口与边界防护核查

systemctl list-units --type service --all | grep running

预期现象：应列出当前运行中的服务。

示例输出（节选）

auditd.service loaded active running Security Auditing Service
crond.service loaded active running Command Scheduler
firewalld.service loaded active running firewalld - dynamic firewall daemon
rsyslog.service loaded active running System Logging Service
sshd.service loaded active running OpenSSH server daemon

chkconfig --list

预期现象：应列出开机启动项；旧版系统更常见。

示例输出（节选）

Note: This output shows SysV services only. ...
netconsole 	0:off	1:off	2:off	3:off	4:off	5:off	6:off
network 	0:off	1:off	2:on	3:on	4:on	5:on	6:off

netstat -ntlp

预期现象：应显示监听端口、本地地址、PID/程序名等信息。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1123/sshd
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 2101/mysqld
tcp6 0 0 :::80 :::* LISTEN 2205/nginx: master

systemctl status firewalld

预期现象：应显示 firewalld 当前状态，如 active 或 inactive。

示例输出（节选）

● firewalld.service - firewalld - dynamic firewall daemon
 Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:12 CST; 2h ago

firewall-cmd --list-all

预期现象：应显示 zone、services、ports、rich rules 等规则信息。

示例输出（节选）

public (active)
 target: default
 interfaces: eth0
 sources:
 services: dhcpv6-client ssh
 ports: 80/tcp 443/tcp
 protocols:
 masquerade: no
 forward-ports:
 rich rules:

iptables -nvL

预期现象：应按链输出规则、计数器和匹配条件。

示例输出（节选）

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target prot opt in out source destination
 120K 12M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
 350 24560 ACCEPT tcp -- * * 192.168.10.0/24 0.0.0.0/0 tcp dpt:22
...
Chain OUTPUT (policy ACCEPT 98765 packets, 45M bytes)

最小安装、补丁与中间件核查

rpm -aq

预期现象：应按行列出已安装软件包。

示例输出（节选）

kernel-3.10.0-1160.el7.x86_64
openssh-server-8.8p1-1.el7.x86_64
...
nginx-1.20.1-9.el7.x86_64
(实际输出按字母序逐行列出全部已安装包，通常上千行)

yum list installed

预期现象：应列出已安装软件清单，通常包含包名、版本、仓库信息。

示例输出（节选）

Loaded plugins: fastestmirror, langpacks
Installed Packages
NetworkManager.x86_64 1:1.18.8-2.el7 @anaconda
OpenIPMI-modalias.x86_64 2.0.27-1.el7 @base
...
zlib.x86_64 1.2.7-20.el7_9 @updates

rpm -qa | grep patch

预期现象：如存在相关命名规则，通常会筛出补丁相关包。

示例输出（节选）

patch-2.7.1-12.el7_7.x86_64

rpm -qi samba

预期现象：安装 Samba 时应显示 Name、Version、Release、Summary 等字段。

示例输出（节选）

Name : samba
Version : 4.10.16
Release : 25.el7_9
Architecture: x86_64
Install Date: Sat 06 Jun 2026 09:12:33 AM CST
...
Summary : Server and Client software to interoperate with Windows machines

ps -ef | grep 'nginx\|apache\|tomcat\|redis-server\|mongod\|postgresql\|mysql\|mariadb\|memcached\|mongodb-server\|rabbitmq-server\|weblogic'

预期现象：存在对应中间件时应显示相关进程。

示例输出（节选）

root 2205 1 0 2025 ? 00:02:11 nginx: master process /usr/sbin/nginx
nginx 2206 2205 0 2025 ? 00:05:43 nginx: worker process
mysql 2101 1 0 2025 ? 00:30:12 /usr/libexec/mysqld --basedir=/usr
root 567890 456789 0 10:05 pts/0 00:00:00 grep --color=auto nginx|apache|tomcat|...

时钟与计划任务核查

netstat -tlunp | grep ntp

预期现象：启用 NTP 服务时通常可见 123 端口监听；如无时钟服务可不执行。

示例输出（节选）

udp 0 0 192.168.10.21:123 0.0.0.0:* 1305/ntpd
udp 0 0 127.0.0.1:123 0.0.0.*:* 1305/ntpd

ntpq -p

预期现象：应显示上级时钟源与对时状态；如无 NTP 服务可不执行。

示例输出（节选）

 remote refid st t when poll reach delay offset jitter
==============================================================================
*203.0.113.100 .GPS. 1 u 32 64 377 0.512 -0.102 0.021
+192.168.20.10 203.0.113.100 2 u 45 64 377 0.301 -0.055 0.013

timedatectl status

预期现象：应显示本地时间、时区、NTP 同步状态等信息。

示例输出（节选）

 Local time: Mon 2026-08-24 10:28:33 CST
 Universal time: Mon 2026-08-24 02:28:33 UTC
 RTC time: Mon 2026-08-24 02:28:32
 Time zone: Asia/Shanghai (CST, +0800)
 NTP enabled: yes
NTP synchronized: yes

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

*/5 * * * * /usr/bin/curl -s http://192.168.10.30/healthcheck > /dev/null
0 2 * * * /opt/scripts/log_clean.sh >> /var/log/log_clean.log 2>&1

groups 用户名

预期现象：应显示该用户所属组列表。

示例输出（节选）

appuser : appuser wheel docker

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 30
AllowUsers appuser opsadmin

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

allowgroups none
allowusers appuser opsadmin
denygroups none
denyusers none
logingracetime 30
maxauthtries 4
permitrootlogin no

rpm -qa | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

fail2ban-firewall-0.11.2-1.el7.noarch
fail2ban-sendmail-0.11.2-1.el7.noarch
fail2ban-server-0.11.2-1.el7.noarch

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/usr/lib/systemd/system/fail2ban.service; enabled; vendor preset: disabled)
 Active: active (running) since Mon 2026-08-24 08:30:20 CST; 2h ago
 Main PID: 1420 (fail2ban-server)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.
CentOS Linux release 7.9.2009 (Core)
Kernel \r on an \m

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

Authorized access only. Unauthorized use is prohibited.
CentOS Linux release 7.9.2009 (Core)

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

*** 本系统仅限授权人员使用，操作行为将被审计记录。 ***
*** For authorized personnel only. Activities are audited. ***

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

(无空口令账户时无输出；存在时应仅输出账号名，例如)
svcbackup

rpm -Va

预期现象：如存在被篡改文件，通常会输出校验不一致项；无异常时无输出或输出很少。

示例输出（节选）

missing /usr/libexec/abrt-hook-ccpp
S.5....T. c /etc/ssh/sshd_config
.M....... /usr/local/bin/custom-tool
(无篡改时通常无输出或仅有少量预期变更项)

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

AIDE found differences between database and filesystem!!
added: /root/.bash_history.new
removed: /tmp/old.lock
changed: /etc/passwd
...
File: /etc/passwd
 Size: 1024 -> 1032

macOS-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：macOS Ventura 13

说明：Apple 官方支持文档可直接支撑“远程登录”使用 SSH 或 SFTP；“软件更新”用于检查系统更新；macOS 内置应用防火墙支持 Block all incoming connections、自动允许签名软件和 stealth mode 等配置。

系统版本核查

sw_vers

预期现象：应显示 ProductName、ProductVersion、BuildVersion 等字段。

示例输出（节选）

ProductName:		macOS
ProductVersion:		13.5.2
BuildVersion:		22G91

system_profiler SPSoftwareDataType

预期现象：应显示 System Version、Kernel Version、Boot Volume、Secure Virtual Memory 等软件信息。

示例输出（节选）

Software:

 System Software Overview:

 System Version: macOS 13.5.2 (22G91)
 Kernel Version: Darwin 22.6.0
 Boot Volume: Macintosh HD
 Secure Virtual Memory: Enabled

uname -a

预期现象：应显示 Darwin 内核版本、主机名、架构等信息。

示例输出（节选）

Darwin demo-mac 22.6.0 Darwin Kernel Version 22.6.0: Wed Jul 26 21:31:31 PDT 2023; root:xnu-8796.141.3~1/RELEASE_X86_64 x86_64

网络配置核查

ifconfig

预期现象：应显示网络接口、IPv4/IPv6、MAC 地址等信息。

示例输出（节选）

en0: flags=8863<UP,BROADCAST,SMART,RUNNING,SIMPLEX,MULTICAST> mtu 1500
	ether a1:b2:c3:d4:e5:f6
	inet 192.168.1.10 netmask 0xffffff00 broadcast 192.168.1.255
	inet6 fe80::1234:5678:90ab:cdef%en0 prefixlen 64 secured scopeid 0x6
	media: autoselect
	status: active

networksetup -listallnetworkservices

预期现象：应列出当前配置的网络服务名称。

示例输出（节选）

An asterisk (*) denotes that a network service is disabled.
Wi-Fi
Thunderbolt Ethernet

scutil --dns

预期现象：应显示当前 DNS 解析器配置。

示例输出（节选）

DNS configuration

resolver #1
 nameserver[0] : 192.168.1.1
 nameserver[1] : 192.168.1.2
 if_index : 6 (en0)

账户与口令策略核查

dscl . list /Users

预期现象：应列出本地用户对象。

示例输出（节选）

daemon
nobody
root
admin
devuser

dscl . -read /Users/root

预期现象：应显示 root 账户属性；若未启用 root，仍可用于核查账户对象信息。

示例输出（节选）

AppleMetaNodeLocation: /Local/Default
GeneratedUID: FFFFEEEE-DDDD-CCCC-BBBB-AAAA00000000
NFSHomeDirectory: /var/root
RecordName: root
UniqueID: 0
UserShell: /bin/sh

pwpolicy -getaccountpolicies

预期现象：已配置账户口令策略时应输出策略 XML/plist；未配置时可能为空。

示例输出（节选）

Getting global account policies

+-------------------------------------------------------------------------------+
policyCategoryPasswordContent:
 policyIdentifier: maxFailedLoginAttempts
 policyContent: policyAttributeCurrentFailedAttempts < 5 ...

sysadminctl -secureTokenStatus 用户名

预期现象：应显示指定用户是否具有 Secure Token。

示例输出（节选）

Secure token is ENABLED for user devuser

cat /etc/pam.d/authorization

预期现象：应显示本地认证相关 PAM 配置。

示例输出（节选）

auth optional pam_kanji.so
auth optional pam_cknso.so
auth required pam_opendirectory.so use_first_pass
account required pam_opendirectory.so

远程接入服务核查

systemsetup -getremotelogin

预期现象：应显示 Remote Login: On 或 Off。Apple 官方说明远程登录使用 SSH 或 SFTP。

示例输出（节选）

Remote Login: On

systemsetup -getremoteappleevents

预期现象：应显示 Remote Apple Events: On 或 Off。

示例输出（节选）

Remote Apple Events: Off

lsof -iTCP -sTCP:LISTEN -n -P

预期现象：应显示当前监听端口及对应进程。

示例输出（节选）

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xa1b2c3d4e5f6 0t0 TCP *:22 (LISTEN)
rapportd 512 user 4u IPv4 0xf6e5d4c3b2a1 0t0 TCP *:59241 (LISTEN)

launchctl list | grep ssh

预期现象：启用 SSH 时通常可见 sshd 相关服务或进程标识。

示例输出（节选）

-	0	com.openssh.sshd

远程连接协议与算法核查

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 服务端配置，可核查认证、访问控制和算法参数。

示例输出（节选）

#Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#PermitRootLogin prohibit-password
#MaxAuthTries 6
#PubkeyAuthentication yes
Subsystem	sftp	internal-sftp

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers chacha20-poly1305@openssh.com,aes128-gcm@openssh.com,aes256-gcm@openssh.com,aes128-ctr,aes256-ctr
macs umac-64-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512
hostkeyalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256
pubkeyacceptedalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

chacha20-poly1305@openssh.com
aes128-gcm@openssh.com
aes256-gcm@openssh.com
aes128-ctr
aes256-ctr

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

curve25519-sha256
curve25519-sha256@libssh.org
ecdh-sha2-nistp256
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
rsa-sha2-512
rsa-sha2-256
ssh-rsa

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_9.0p1, LibreSSL 3.3.6

安全审计核查

ls -l /var/audit

预期现象：启用 BSM 审计时应显示审计日志目录及文件。

示例输出（节选）

total 24
drwx------ 3 root wheel 96 Aug 20 09:00 .
drwxr-xr-x 6 root wheel 192 Aug 20 09:00 ..
-rw-r----- 1 root wheel 8192 Aug 21 17:32 20260821093000.not_terminated.demo-mac

praudit /var/audit/current

预期现象：当前审计日志文件存在时应输出可读审计记录；文件不存在时需结合现场确认审计状态。

示例输出（节选）

header,133,11,user authentication,0,Fri Aug 21 17:32:01 2026, + 120 msec
subject,devuser,root,wheel,devuser,501,99,,0,0,192.168.1.10
return,success,0
trailer,133

log show --last 1d

预期现象：应输出最近一天统一日志；输出通常较长。

示例输出（节选）

Timestamp Thread Type Activity PID
2026-08-21 09:00:12.345001+0800 0x1a2b Default 0x0 111 launchd: Bootstrapping com.apple.sshd
2026-08-21 09:00:13.456002+0800 0x3c4d Default 0x0 222 sshd: Server listening on 0.0.0.0 port 22.

last

预期现象：应显示登录记录。

示例输出（节选）

devuser pts/1 192.168.1.55 Fri Aug 21 16:02 still logged in
devuser console Fri Aug 21 09:00 still logged in
reboot ~ Fri Aug 21 08:58
shutdown ~ Thu Aug 20 19:30

边界防护核查

/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate

预期现象：应显示应用防火墙开关状态。

示例输出（节选）

Firewall is enabled. (State = 1)

/usr/libexec/ApplicationFirewall/socketfilterfw --getblockall

预期现象：应显示是否启用 Block all incoming connections。

示例输出（节选）

Block all incoming connections is disabled

/usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode

预期现象：应显示 stealth mode 是否启用。

示例输出（节选）

Stealth mode enabled

pfctl -s info

预期现象：启用 PF 时应显示包过滤器状态信息。

示例输出（节选）

Status: Enabled for 5 days 03:12, Debug: Urgent
State Table Total Rate
 current entries 4
Searches 18234567 41.15/s
Matches 23451 0.05/s
Invalid Packets 0 0.00/s

pfctl -sr

预期现象：存在 PF 规则时应输出规则集。

示例输出（节选）

scrub-anchor "com.apple/*" all fragment reassemble
block drop in log proto tcp from any to any port = 23
pass out on en0 all

系统完整性与本地安全增强核查

csrutil status

预期现象：应显示 System Integrity Protection status: enabled 或 disabled。

示例输出（节选）

System Integrity Protection status: enabled.

spctl --status

预期现象：应显示 assessments enabled 或 disabled，用于核查 Gatekeeper 状态。

示例输出（节选）

assessments enabled

fdesetup status

预期现象：应显示 FileVault 是否开启。

示例输出（节选）

FileVault is On.

最小安装与补丁核查

softwareupdate --list

预期现象：应列出可用更新；若无更新，通常会提示未发现新软件。

示例输出（节选）

Software Update found the following new or updated software:
 * Label: macOS Ventura 13.6-22G120
	Title: macOS Ventura 13.6, Size: 1832476KiB, Recommended: YES,

softwareupdate --history

预期现象：应显示历史安装更新记录。

示例输出（节选）

Display Name Version Date Source
macOS Ventura 13.5 13.5 2026-07-28 10:12:34 Apple
Safari 16.6 2026-07-28 10:05:01 Apple
XProtectPlistDataUpdate 2026-08-18 04:30:00 Apple

system_profiler SPApplicationsDataType

预期现象：应列出已安装应用信息；输出通常较长。

示例输出（节选）

 Terminal:
 Version: 2.13
 Obtained from: Identified Developer
 Last Modified: 2026/8/1, 09:30
 Kind: Intel
 Signed by: Software Signing, Apple Code Signing Certification Authority...

时间同步与计划任务核查

systemsetup -getusingnetworktime

预期现象：应显示是否使用网络时间同步。

示例输出（节选）

Network Time: On

systemsetup -getnetworktimeserver

预期现象：应显示当前网络时间服务器。

示例输出（节选）

Network Time Server: time.internal.example.com

systemsetup -gettimezone

预期现象：应显示当前时区。

示例输出（节选）

Time Zone: Asia/Shanghai

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

*/5 * * * * /usr/local/bin/healthcheck.sh >> ~/healthcheck.log 2>&1

launchctl list

预期现象：应列出当前 launchd 管理的任务和服务；输出通常较长。

示例输出（节选）

PID	Status	Label
-	0	com.apple.coreservices.uiagent
512	0	com.apple.rapportd
-	78	com.openssh.ssh-agent

入侵防范核查

grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
LoginGraceTime 30
MaxAuthTries 4
AllowUsers devuser audituser

sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

permitrootlogin no
logingracetime 30
maxauthtries 4
allowusers devuser audituser
denyusers none
allowgroups none
denygroups none

log show --predicate 'eventMessage contains "Failed password"' --last 1d

预期现象：如有 SSH 失败登录事件，应在统一日志中出现匹配记录；无事件时可能为空。

示例输出（节选）

2026-08-21 14:22:31.102004+0800 0x5e6f Default 0x0 333 sshd: Failed password for invalid user admin from 203.0.113.77 port 51234 ssh2
2026-08-21 14:22:38.210115+0800 0x5e70 Default 0x0 333 sshd: Failed password for invalid user admin from 203.0.113.77 port 51236 ssh2

安全基线与完整性核查

defaults read /Library/Preferences/com.apple.loginwindow LoginwindowText

预期现象：如配置了登录告警文本，应输出对应内容；未配置时可能报错或无输出。

示例输出（节选）

本系统仅限授权人员使用，操作将被审计。

launchctl list | grep auditd

预期现象：启用审计时应显示 auditd 相关服务；未启用时可能无结果。

示例输出（节选）

245	0	com.apple.auditd

openEuler-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：openEuler 22.03 LTS-SP3

系统版本核查

cat /etc/os-release

预期现象：官方示例关键字段包括 NAME=“openEuler”、VERSION=“22.03 (LTS-SP3)"、PRETTY_NAME=“openEuler 22.03 (LTS-SP3)"。

示例输出（节选）

NAME="openEuler"
VERSION="22.03 (LTS-SP3)"
ID="openEuler"
VERSION_ID="22.03"
PRETTY_NAME="openEuler 22.03 (LTS-SP3)"
ANSI_COLOR="0;31

cat /etc/openEuler-release

预期现象：官方示例为 openEuler release 22.03 (LTS-SP3)。

示例输出（节选）

openEuler release 22.03 (LTS-SP3)

cat /etc/openEuler-latest

预期现象：应看到 openeulerversion=openEuler-22.03-LTS-SP3、kernelversion=5.10.0-136.12.0.86.oe2203sp3 等字段。

示例输出（节选）

openeulerversion=openEuler-22.03-LTS-SP3
kernelversion=5.10.0-136.12.0.86.oe2203sp3
...

hostnamectl

预期现象：应显示主机名、内核、架构等信息。

示例输出（节选）

 Static hostname: demo-web01
 Icon name: computer-server
 Chassis: server
Operating System: openEuler 22.03 (LTS-SP3)
 Kernel: Linux 5.10.0-136.12.0.86.oe2203sp3.x86_64
 Architecture: x86-64

网络与默认权限掩码核查

ip addr

预期现象：应显示网卡与 IP 信息。

示例输出（节选）

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
 inet 127.0.0.1/8 scope host lo
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
 inet 192.168.10.23/24 brd 192.168.10.255 scope global noprefixroute eth0

umask

预期现象：应输出当前 shell 的权限掩码值，实际值随系统配置而异。

示例输出（节选）

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
...
appuser:x:1000:1000::/home/appuser:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和口令状态。

示例输出（节选）

root:$6$rounds=4096$AbCdEf$XyZ1234567890abcdef…::0:99999:7:::
bin:*:19375:0:99999:7:::
...
appuser:$6$rounds=4096$GhIjKl$0987654321fedcba…:19876:0:90:7:30:::

cat /etc/login.defs

预期现象：应显示口令老化参数。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_MIN_LEN	12
PASS_WARN_AGE	14
...
UMASK		027

cat /etc/pam.d/system-auth

预期现象：应显示口令复杂度相关模块配置。

示例输出（节选）

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=600
...
password requisite pam_pwquality.so try_first_pass local_users_only retry=3
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
...

cat /etc/pam.d/password-auth

预期现象：应显示登录失败锁定或认证策略配置。

示例输出（节选）

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=600
...
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
...
session required pam_loginuid.so

cat /etc/pam.d/login

预期现象：应显示本地登录相关 PAM 配置。

示例输出（节选）

#%PAM-1.0
auth required pam_sepermit.so
auth substack password-auth
...
session required pam_selinux.so open
session required pam_limits.so

chage -l root

预期现象：应显示 root 账户口令期限信息。

示例输出（节选）

最近一次密码修改时间：3月 15, 2026
密码过期时间：6月 13, 2026
密码失效时间：从不
...
最少数量的天数：密码修改之间间隔的天数：7
最多数量的天数：密码修改之间间隔的最大天数：90

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 登录控制参数。

示例输出（节选）

PermitRootLogin no
PermitEmptyPasswords no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers appuser opsadmin
...

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes128-ctr
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group14-sha256
hostkeyalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256
pubkeyacceptedalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

aes128-cbc
aes128-ctr
aes256-ctr
...
aes128-gcm@openssh.com
aes256-gcm@openssh.com

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha2-256
hmac-sha2-512
...
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group14-sha1
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-ed25519
ecdsa-sha2-nistp256
...
ssh-rsa
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_9.3p1, OpenSSL 1.1.1w 11 Sep 2023
(实际版本随 openEuler 小版本而异)

update-crypto-policies --show

预期现象：在支持该机制的系统中应显示系统级密码策略；若未集成该机制则可能无此命令。

示例输出（节选）

DEFAULT

cat /etc/profile

预期现象：应能核查 TMOUT 等会话控制参数。

示例输出（节选）

if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
 umask 002
else
 umask 022
fi
export TMOUT=600
readonly TMOUT

安全审计核查

service rsyslog status

预期现象：应显示日志服务状态。

示例输出（节选）

Redirecting to /bin/systemctl status rsyslog.service
● rsyslog.service - System Logging Service
 Loaded: loaded (/usr/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:11 CST; 2h ago
 Main PID: 1088 (rsyslogd)

service auditd status

预期现象：应显示审计服务状态。

示例输出（节选）

Redirecting to /bin/systemctl status auditd.service
● auditd.service - Security Auditing Service
 Loaded: loaded (/usr/lib/systemd/system/auditd.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:10 CST; 2h ago

auditctl -l

预期现象：应逐条列出当前审计规则。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor

cat /etc/audit/rules.d/audit.rules

预期现象：应显示审计规则文件内容。

示例输出（节选）

## First rule - delete all
-D
...
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor
-e 2

cat /etc/rsyslog.conf

预期现象：应显示日志规则和转发配置。

示例输出（节选）

#### RULES ####
*.info;mail.none;authpriv.none;cron.none /var/log/messages
authpriv.* /var/log/secure
...
# 远程转发示例（如已配置）
*.* @@192.168.20.10:514

ls -l /var/log/messages

预期现象：应显示日志文件权限、属主、大小、时间。

示例输出（节选）

-rw-------. 1 root root 1048576 Aug 24 10:20 /var/log/messages

ls -l /var/log/secure

预期现象：应显示安全日志文件权限。

示例输出（节选）

-rw-------. 1 root root 262144 Aug 24 09:58 /var/log/secure

ls -l /var/log/audit/audit.log

预期现象：应显示审计日志文件权限。

示例输出（节选）

-rw-------. 1 root root 2097152 Aug 24 10:22 /var/log/audit/audit.log

tail -n 20 /var/log/messages

预期现象：应输出最近 20 条系统日志。

示例输出（节选）

Aug 24 10:18:02 demo-web01 systemd: Started Session 342 of user root.
Aug 24 10:18:35 demo-web01 kernel: TCP: request_sock_TCP: Possible SYN flooding on port 80. Sending cookies.
...
Aug 24 10:22:41 demo-web01 rsyslogd: [origin software="rsyslogd" swVersion="8.2302.0"] exit on signal 2.

tail -n 20 /var/log/audit/audit.log

预期现象：应输出最近 20 条审计日志。

示例输出（节选）

type=USER_AUTH msg=audit(1771893601.231:8812): pid=456789 uid=0 auid=1000 msg='op=PAM:authentication acct="appuser" exe="/usr/sbin/sshd" hostname=203.0.113.50 addr=203.0.113.50 terminal=ssh res=success'
type=CRED_ACQ msg=audit(1771893601.240:8813): pid=456789 uid=0 auid=1000 msg='op=PAM:setcred acct="appuser" exe="/usr/sbin/sshd" hostname=? addr=? terminal=ssh res=success'
...

last

预期现象：应显示成功登录记录。

示例输出（节选）

opsadmin pts/0 203.0.113.50 Mon Aug 24 10:02 still logged in
root pts/1 192.168.10.5 Sun Aug 23 17:44 - 19:02 (01:17)
reboot system boot 5.10.0-136.12.0. Mon Aug 24 08:29 - 10:25 (01:55)
...
wtmp begins Tue Jan 6 09:00:01 2026

lastb

预期现象：应显示失败登录记录。

示例输出（节选）

root ssh:notty 203.0.113.77 Mon Aug 24 04:12 - 04:12 (00:00)
admin ssh:notty 203.0.113.77 Mon Aug 24 04:11 - 04:11 (00:00)

btmp begins Fri Jul 31 00:01:02 2026

安全增强与边界防护核查

sestatus

预期现象：应显示 SELinux status、Current mode 等字段。

示例输出（节选）

SELinux status: enforcing
Loaded policy name: targeted
Current mode: enforcing
Mode from config file: enforcing
Policy MLS status: enabled
Memory protection checking: actual (secure)

getenforce

预期现象：通常为 Enforcing、Permissive 或 Disabled。

示例输出（节选）

Enforcing

systemctl status firewalld

预期现象：应显示 firewalld 状态。

示例输出（节选）

● firewalld.service - firewalld - dynamic firewall daemon
 Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:12 CST; 2h ago

firewall-cmd --list-all

预期现象：应显示 zone、services、ports 等规则。

示例输出（节选）

public (active)
 target: default
 interfaces: eth0
 services: dhcpv6-client ssh
 ports: 80/tcp 443/tcp
 protocols:
 masquerade: no
 forward-ports:
 rich rules:

iptables -nvL

预期现象：应按链输出规则和计数器。

示例输出（节选）

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target prot opt in out source destination
 120K 12M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
 350 24560 ACCEPT tcp -- * * 192.168.10.0/24 0.0.0.0/0 tcp dpt:22
...
Chain OUTPUT (policy ACCEPT 98765 packets, 45M bytes)

netstat -ntlp

预期现象：应显示监听端口及程序名。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1123/sshd
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 2101/mysqld
tcp6 0 0 :::80 :::* LISTEN 2205/nginx: master

最小安装、补丁与中间件核查

rpm -aq

预期现象：应逐行列出已安装软件包。

示例输出（节选）

kernel-5.10.0-136.12.0.86.oe2203sp3.x86_64
openssh-server-9.3p1-4.oe2203sp3.x86_64
...
nginx-1.21.5-1.oe2203sp3.x86_64
(实际输出按字母序逐行列出全部已安装包，通常上千行)

dnf list installed

预期现象：应列出软件包清单。

示例输出（节选）

Installed Packages
NetworkManager.x86_64 1:1.38.0-1.oe2203sp3 @anaconda
audit.x86_64 3.0.7-3.oe2203sp3 @System
...
zlib.x86_64 1.2.11-26.oe2203sp3 @System

rpm -qa | grep patch

预期现象：如命名匹配，应筛出补丁相关包。

示例输出（节选）

patch-2.7.6-13.oe2203sp3.x86_64

rpm -qa | grep -i 'nginx\|apache\|tomcat\|redis-server\|mongod\|postgresql\|mysql\|mariadb\|memcached\|mongodb-server\|rabbitmq-server'

预期现象：安装对应中间件时应输出包名。

示例输出（节选）

nginx-1.21.5-1.oe2203sp3.x86_64
nginx-filesystem-1.21.5-1.oe2203sp3.noarch

ps -ef | grep 'nginx\|apache\|tomcat\|redis-server\|mongod\|postgresql\|mysql\|mariadb\|memcached\|mongodb-server\|rabbitmq-server\|weblogic'

预期现象：运行对应中间件时应输出进程信息。

示例输出（节选）

root 2205 1 0 2025 ? 00:02:11 nginx: master process /usr/sbin/nginx
nginx 2206 2205 0 2025 ? 00:05:43 nginx: worker process
mysql 2101 1 0 2025 ? 00:30:12 /usr/libexec/mysqld --basedir=/usr
root 567890 456789 0 10:05 pts/0 00:00:00 grep --color=auto nginx|apache|tomcat|...

chkconfig --list

预期现象：应显示开机启动项。

示例输出（节选）

Note: This output shows SysV services only. ...
netconsole 	0:off	1:off	2:off	3:off	4:off	5:off	6:off
network 	0:off	1:off	2:on	3:on	4:on	5:on	6:off

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 30
AllowUsers appuser opsadmin

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

allowgroups none
allowusers appuser opsadmin
denygroups none
denyusers none
logingracetime 30
maxauthtries 4
permitrootlogin no

rpm -qa | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

aide-0.16.2-3.oe2203sp3.x86_64
fail2ban-0.11.2-3.oe2203sp3.noarch

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/usr/lib/systemd/system/fail2ban.service; enabled; vendor preset: disabled)
 Active: active (running) since Mon 2026-08-24 08:30:20 CST; 2h ago
 Main PID: 1420 (fail2ban-server)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.
openEuler release 22.03 (LTS-SP3)
Kernel \r on an \m

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

Authorized access only. Unauthorized use is prohibited.
openEuler release 22.03 (LTS-SP3)

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

*** 本系统仅限授权人员使用，操作行为将被审计记录。 ***
*** For authorized personnel only. Activities are audited. ***

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

(无空口令账户时无输出；存在时应仅输出账号名，例如)
svcbackup

rpm -Va

预期现象：如存在被篡改文件，通常会输出校验不一致项；无异常时无输出或输出很少。

示例输出（节选）

missing /usr/libexec/abrt-hook-ccpp
S.5....T. c /etc/ssh/sshd_config
.M....... /usr/local/bin/custom-tool
(无篡改时通常无输出或仅有少量预期变更项)

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

AIDE found differences between database and filesystem!!
added: /root/.bash_history.new
removed: /tmp/old.lock
changed: /etc/passwd
...
File: /etc/passwd
 Size: 1024 -> 1032

Solaris-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：Oracle Solaris 11.4

说明：Oracle 文档可直接支撑 uname -r 为 5.11、cat /etc/release 示例以及 svcs 的状态列格式。

系统版本核查

uname -r

预期现象：Oracle 示例为 5.11。
示例输出（节选）
```
5.11
```

cat /etc/release

预期现象：Oracle 示例可见 Oracle Solaris 11.4 SPARC 等版本标识。

示例输出（节选）

 Oracle Solaris 11.4 SPARC
 Copyright (c) 1983, 2022, Oracle and/or its affiliates.
 Assembled 14 March 2023

cat /etc/hosts.equiv

预期现象：部分主机该文件可能不存在；如存在则应显示信任主机配置。
示例输出（节选）
```
cat: 该文件不存在（部分主机未部署此文件）
```

账户与口令策略核查

cat /etc/default/login | grep passreq

预期现象：目标状态示例为 PASSREQ=YES。
示例输出（节选）
```
PASSREQ=YES
```

logins -p

预期现象：应显示没有密码的账户；无空口令账户时通常无结果或结果为空。
示例输出（节选）
```
# 无匹配输出（无空口令账户时通常无结果）
```

cat /etc/default/passwd

预期现象：应显示密码复杂度要求。

示例输出（节选）

#ident "@(#)default_passwd.dfl"
MAXWEEKS=12
MINWEEKS=1
PASSLENGTH=8
MINDIGIT=2 MINUPPER=1 MINLOWER=1 MINSPECIAL=0

cat /etc/default/security

预期现象：应显示缺省密码长度和复杂度限制。
示例输出（节选）
```
CRYPT_DEFAULT=6
```

cat /etc/security/policy.conf

预期现象：应显示登录失败处理参数，如 LOCK_AFTER_RETRIES。
示例输出（节选）
```
# policy.conf（节选）
LOCK_AFTER_RETRIES=YES
CRYPT_DEFAULT=6
```

cat /etc/default/login | grep retries

预期现象：应显示重试次数配置。
示例输出（节选）
```
RETRIES=5
```

cat /etc/profile

预期现象：应显示 TMOUT 等登录超时参数。
示例输出（节选）
```
TMOUT=600 ; export TMOUT
```

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:Super-User:/:/usr/bin/bash
daemon:x:1:1::/:/sbin/noshell
bin:x:2:2::/usr/bin:/sbin/noshell
appadm:x:1001:10::/export/home/appadm:/usr/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和状态。

示例输出（节选）

root:$5$rounds=10000$xxxxxxxx$H4sIAPxxxx...:19602::::::
daemon:NP:6445::::::
appadm:$5$rounds=10000$yyyyyyyy$Q2xhVxxxx...:19580:7:84:7:::

ls -l /etc/passwd

预期现象：应显示关键文件权限。
示例输出（节选）
```
-rw-r--r-- 1 root sys 1029 Mar 14 2023 /etc/passwd
```

ls -l /etc/group

预期现象：应显示关键文件权限。
示例输出（节选）
```
-rw-r--r-- 1 root sys 398 Mar 14 2023 /etc/group
```

ls -l /etc/shadow

预期现象：应显示关键文件权限。
示例输出（节选）
```
-rw------- 1 root sys 512 Mar 14 2023 /etc/shadow
```

远程接入与服务核查

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 服务端配置，可核查认证与算法参数。

示例输出（节选）

# sshd_config（节选）
PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 60
Subsystem sftp internal-sftp

ssh -Q cipher

预期现象：安装 OpenSSH 客户端时应列出支持的对称加密算法。
示例输出（节选）
```
aes128-gcm@openssh.com,aes256-gcm@openssh.com,aes128-ctr,...
```

ssh -Q mac

预期现象：安装 OpenSSH 客户端时应列出支持的 MAC 算法。
示例输出（节选）
```
hmac-sha2-256,hmac-sha2-512,hmac-sha1,hmac-sha2-256-etm@openssh.com
```

ssh -Q kex

预期现象：安装 OpenSSH 客户端时应列出支持的密钥交换算法。
示例输出（节选）
```
curve25519-sha256,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512
```

ssh -Q key

预期现象：安装 OpenSSH 客户端时应列出支持的主机密钥/公钥算法。
示例输出（节选）
```
ecdsa-sha2-nistp256,ssh-ed25519,rsa-sha2-512,rsa-sha2-256
```

ssh -V

预期现象：应输出 OpenSSH 版本号。
示例输出（节选）
```
OpenSSH_8.4, OpenSSL 1.1.1q 5 Jul 2022
```

svcs telnet

预期现象：输出通常包含 STATE、STIME、FMRI 列，状态列常见 online、disabled、maintenance。
示例输出（节选）
```
STATE STIME FMRI
disabled Mar_14 svc:/network/telnet:default
```

svcs ssh

预期现象：输出通常包含 STATE、STIME、FMRI 列。
示例输出（节选）
```
STATE STIME FMRI
online Mar_14 svc:/network/ssh:default
```

svcs -a

预期现象：Oracle 示例关键状态包括 legacy_run、disabled、online。

示例输出（节选）

online Mar_14 svc:/network/ssh:default
disabled Mar_14 svc:/network/telnet:default
legacy_run Mar_14 lrc:/etc/rc2_d/S70uucp
...

netstat -na | grep -i listen

预期现象：应显示当前监听端口。

示例输出（节选）

*.22 *.* 0 0 65535 LISTEN
*.111 *.* 0 0 65535 LISTEN
192.168.10.5.443 *.* 0 0 65535 LISTEN

cat /etc/ftpd/ftpusers

预期现象：应显示禁止访问 FTP 的用户列表。
示例输出（节选）
```
root
daemon
bin
sys
...
```

安全审计核查

svcs | grep auditd

预期现象：启用审计服务时应显示 auditd 服务项。
示例输出（节选）
```
online Mar_14 svc:/system/auditd:default
```

cat /etc/default/login | grep syslog

预期现象：目标状态示例为 SYSLOG=YES。
示例输出（节选）
```
SYSLOG=YES
```

cat /etc/syslog.conf

预期现象：应显示日志配置和远程转发设置。

示例输出（节选）

auth.notice @logsvr.example.internal
*.err;kern.debug;daemon.notice;mail.crit /var/adm/messages

ls -l /var/adm/messages

预期现象：应显示日志文件权限；原始文档给出建议值 600。
示例输出（节选）
```
-rw------- 2 root sys 286720 Aug 21 09:32 /var/adm/messages
```

ls -l /var/adm/wtmpx

预期现象：应显示日志文件权限；原始文档给出建议值 644。
示例输出（节选）
```
-rw-rw-rw- 1 adm adm 10485760 Aug 21 18:00 /var/adm/wtmpx
```

ls -l /var/adm/utmpx

预期现象：应显示日志文件权限；原始文档给出建议值 644。
示例输出（节选）
```
-rw-r--rw- 1 adm bin 96304 Aug 21 18:00 /var/adm/utmpx
```

访问控制核查

cat /etc/default/login | grep console

预期现象：应显示 root 本地终端登录控制参数。
示例输出（节选）
```
CONSOLE=/dev/console
```

cat /etc/hosts.allow

预期现象：应显示允许地址限制规则；未配置时可能为空。
示例输出（节选）
```
sshd: 192.168.10., 203.0.113.20
```

cat /etc/hosts.deny

预期现象：应显示拒绝地址限制规则；未配置时可能为空。
示例输出（节选）
```
ALL: ALL
```

cat /etc/security/audit_control

预期现象：应显示审计控制配置。

示例输出（节选）

## audit_control（节选）
dir:/var/audit
flags:lo,ad,ex
minfree:20
naflags:lo

cat /etc/security/audit_class

预期现象：应显示审计类别定义。

示例输出（节选）

fr:no-class,fm:no-class,cl:no-class,pc:process creation,ap:application
...

cat /etc/security/audit_event

预期现象：应显示审计事件定义。

示例输出（节选）

AUE_ACCT:acct:ad:as:na
AUE_LOGIN:login:ss:ss:ss
AUE_SU:su:ss:as:ss
...

cat /etc/security/audit_user

预期现象：应显示审计用户配置。
示例输出（节选）
```
admin:lo,ad
```

最小安装与时间同步核查

pkg info

预期现象：应显示已安装软件包信息；输出通常较长。

示例输出（节选）

NAME (PUBLISHER) VERSION DATE
compress/bzip2 1.0.8-11.4.0.0.1.117.3 ...
network/ssh 8.4.0-11.4.42.0.0.118.0 ...
...

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能为空或提示无计划任务。
示例输出（节选）
```
crontab: can't open your crontab file.
```

svcs ntp

预期现象：启用 NTP 服务时应显示对应服务状态；未启用时可能为 disabled 或无结果。
示例输出（节选）
```
STATE STIME FMRI
online Mar_14 svc:/network/ntp:default
```

入侵防范核查

grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。
示例输出（节选）
```
PermitRootLogin no
LoginGraceTime 60
MaxAuthTries 4
```

sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。
示例输出（节选）
```
permitrootlogin no
logingracetime 60
maxauthtries 4
```

安全基线与完整性核查

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

******************************************************************
* 本系统仅供授权人员使用，操作将被审计并记录。 *
******************************************************************

pkg verify

预期现象：如存在被篡改或缺失文件，通常会输出校验异常项；无异常时无输出或输出很少。
示例输出（节选）
```
pkg verify: No errors were found.
```

Ubuntu_Debian-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：Ubuntu 22.04 LTS（Jammy Jellyfish）

系统版本核查

lsb_release -a

预期现象：关键字段通常为 Description: Ubuntu 22.04 LTS、Release: 22.04、Codename: jammy。

示例输出（节选）

No LSB modules are available.
Distributor ID:	Ubuntu
Description:	Ubuntu 22.04.4 LTS
Release:	22.04
Codename:	jammy

cat /proc/version

预期现象：应显示内核与编译信息。

示例输出（节选）

Linux version 5.15.0-91-generic (buildd@lcy02-amd64-021) (gcc (Ubuntu 11.4.0-1ubuntu1~22.04) 11.4.0, GNU ld (GNU Binutils for Ubuntu) 2.38) #102-Ubuntu SMP Thu Nov 16 14:41:53 UTC 2023

网络配置核查

ip addr

预期现象：应显示网卡与 IP 信息。

示例输出（节选）

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
 inet 127.0.0.1/8 scope host lo
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
 inet 192.168.10.22/24 metric 100 brd 192.168.10.255 scope global ens33

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...
appuser:x:1000:1000::/home/appuser:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和状态。

示例输出（节选）

root:$y$j9T$AbCdEf123456$XyZ0987654321abcdef…:19876:7:90:7:30:::
daemon:*:19375:0:99999:7:::
...
appuser:$y$j9T$GhIjKl654321$fedcba0987654321abcde…:19876:7:90:7:30:::

cat /etc/login.defs

预期现象：应显示口令老化参数。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_WARN_AGE	14
...
UMASK		027

cat /etc/pam.d/common-password

预期现象：应显示口令复杂度或密码模块配置。

示例输出（节选）

password	requisite			pam_pwquality.so retry=3
password	[success=1 default=ignore]	pam_unix.so obscure yescrypt
...
# 示例（启用复杂度后）：
# password	requisite			pam_pwquality.so minlen=12 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

cat /etc/pam.d/common-auth

预期现象：应显示认证与登录失败处理相关配置。

示例输出（节选）

auth	[success=2 default=ignore]	pam_faildelay.so delay=3000000
auth	[default=ignore]			pam_tally2.so deny=5 unlock_time=600
auth	required				pam_unix.so nullok
...

cat /etc/pam.d/login

预期现象：应显示本地登录相关 PAM 配置。

示例输出（节选）

session optional pam_keyinit.so force revoke
auth optional pam_group.so
...
session required pam_env.so readenv=1 user_readenv=1
session required pam_limits.so

cat /etc/ssh/sshd_config

预期现象：应能核查 root 远程登录、地址限制、超时等参数。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers appuser opsadmin
...

cat /etc/profile

预期现象：应能核查 TMOUT 等登录超时参数。

示例输出（节选）

# ~/.profile: executed by Bourne-compatible login shells.
if [ "$BASH" ]; then
 if [ -f ~/.bashrc ]; then
 . ~/.bashrc
 fi
fi
mesg n 2> /dev/null || true
export TMOUT=600
readonly TMOUT

远程连接协议与算法核查

cat /etc/ssh/sshd_config

预期现象：应能核查 root 远程登录、地址限制、超时以及算法配置项。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers appuser opsadmin
...

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group16-sha512
hostkeyalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256,ssh-ed25519
pubkeyacceptedalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256,ssh-ed25519

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

aes128-cbc
aes128-ctr
...
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha2-256
hmac-sha2-512
...
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
diffie-hellman-group18-sha512
curve25519-sha256
curve25519-sha256@libssh.org
sntrup761x25519-sha512@openssh.com

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-ed25519
ecdsa-sha2-nistp256
...
rsa-sha2-512
sk-ssh-ed25519@openssh.com

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.9p1 Ubuntu-3ubuntu0.10, OpenSSL 3.0.2 15 Mar 2022

安全审计核查

service rsyslog status

预期现象：应显示 rsyslog 状态。

示例输出（节选）

● rsyslog.service - System Logging Service
 Loaded: loaded (/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:05 CST; 2h ago
 Docs: man:rsyslogd(8)
 Main PID: 945 (rsyslogd)

service auditd status

预期现象：应显示 auditd 状态；部分系统可能未安装该服务。

示例输出（节选）

/lib/systemd/system/auditd.service 不存在或未安装时：
Unit auditd.service could not be found.
(安装 auditd 后)
● auditd.service - Security Auditing Service
 Loaded: loaded (/lib/systemd/system/auditd.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:06 CST; 2h ago

auditctl -l

预期现象：启用审计规则时应逐条输出规则；未配置时可能为空。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor

cat /etc/rsyslog.conf

预期现象：应显示日志规则和转发配置。

示例输出（节选）

/############ RULES ###########/
*.*;auth,authpriv.none		-/var/log/syslog
auth,authpriv.*;			/var/log/auth.log
...
# 远程转发示例（如已配置）
*.* @@192.168.20.10:514

cat /etc/rsyslog.d/50-default.conf

预期现象：该文件通常作为默认日志配置文件，内容中应包含常见 facility/priority 到日志文件的映射规则。

示例输出（节选）

auth,authpriv.* /var/log/auth.log
*.*;auth,authpriv.none -/var/log/syslog
cron.* /var/log/cron.log
daemon.* -/var/log/daemon.log
kern.* -/var/log/kern.log
...

cat /etc/logrotate.conf

预期现象：应显示日志轮转与保留配置。

示例输出（节选）

weekly
rotate 4
create
include /etc/logrotate.d
...
/var/log/syslog
{
	rotate 7
	daily
	missingok
	notifempty
	delaycompress
	compress
	postrotate
		invoke-rc.d rsyslog rotate > /dev/null
	endscript
}

ls -l /var/log/syslog

预期现象：应显示 syslog 文件权限和属主信息。

示例输出（节选）

-rw-r----- 1 syslog adm 1048576 Aug 24 10:20 /var/log/syslog

tail -n 20 /var/log/syslog

预期现象：应输出最近 20 条 syslog 日志。

示例输出（节选）

Aug 24 10:18:02 demo-web01 systemd[1]: Started Session 342 of user appuser.
Aug 24 10:18:35 demo-web01 CRON[456700]: (root) CMD (/opt/scripts/log_clean.sh)
...
Aug 24 10:22:41 demo-web01 systemd[1]: logrotate.service: Deactivated successfully.

last

预期现象：应显示成功登录记录。

示例输出（节选）

opsadmin pts/0 203.0.113.50 Mon Aug 24 10:02 still logged in
appuser pts/1 192.168.10.5 Sun Aug 23 17:44 - 19:02 (01:17)
reboot system boot 5.15.0-91-generi Mon Aug 24 08:29 - 10:25 (01:55)
...
wtmp begins Tue Jan 6 09:00:01 2026

lastb

预期现象：应显示失败登录记录；部分主机可能需要 root 权限。

示例输出（节选）

root ssh:notty 203.0.113.77 Mon Aug 24 04:12 - 04:12 (00:00)
admin ssh:notty 203.0.113.77 Mon Aug 24 04:11 - 04:11 (00:00)

btmp begins Fri Jul 31 00:01:02 2026

访问控制与服务核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 1024 Aug 3 2025 /etc/passwd

ls -l /etc/shadow

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r----- 1 root shadow 896 Aug 3 2025 /etc/shadow

ls -l /etc/group

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 512 Aug 3 2025 /etc/group

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。

示例输出（节选）

# 示例：仅允许运维网段访问 sshd
sshd: 192.168.10.0/255.255.255.0

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。

示例输出（节选）

sshd: ALL

netstat -ntlp

预期现象：应显示监听端口与程序名。

示例输出（节选）

(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN -
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN -

service --status-all

预期现象：应显示全部服务状态，通常包含 +、-、? 等标记。

示例输出（节选）

 [ + ] cron
 [ - ] open-iscsi
 [ ? ] alsa-utils
 [ + ] ssh
 [ + ] ufw

ps aux | grep ssh

预期现象：启用 SSH 时通常应看到 ssh/sshd 相关进程。

示例输出（节选）

root 950 0.0 0.1 15432 8212 ? Ss 08:30 0:00 sshd: /usr/sbin/sshd -D [listener] 0 of 10-100 startups
appuser 456791 0.0 0.0 7368 4812 ? S 10:02 0:00 sshd: appuser@pts/0
root 567890 0.0 0.0 6472 2200 pts/0 S+ 10:05 0:00 grep --color=auto ssh

ps aux | grep telnet

预期现象：未启用 Telnet 时通常无有效结果。

示例输出（节选）

appuser 567890 0.0 0.0 6472 2100 pts/0 S+ 10:06 0:00 grep --color=auto telnet

ps aux | grep tomcat

预期现象：运行 Tomcat 时应显示相关 Java 进程。

示例输出（节选）

tomcat 3105 1.2 12.4 3562000 248968 ? Sl 08:31 1:52 /usr/bin/java ... org.apache.catalina.startup.Bootstrap start
appuser 567891 0.0 0.0 6472 2100 pts/0 S+ 10:07 0:00 grep --color=auto tomcat

ps aux | grep nginx

预期现象：运行 Nginx 时应显示 nginx master/worker 进程。

示例输出（节选）

root 2205 0.0 0.1 10244 5120 ? Ss 08:31 0:00 nginx: master process nginx -g daemon on; master_process on;
www-data 2206 0.1 0.2 12288 8832 ? S 08:31 0:03 nginx: worker process
appuser 567892 0.0 0.0 6472 2100 pts/0 S+ 10:08 0:00 grep --color=auto nginx

ufw status

预期现象：启用 UFW 时应显示 Status 以及允许/拒绝规则；未安装时可能提示命令不存在。

示例输出（节选）

Status: active

To Action From
-- ------ ----
22/tcp LIMIT Anywhere
80/tcp ALLOW Anywhere
443/tcp ALLOW Anywhere

最小安装、补丁与中间件核查

dpkg --list

预期现象：表头通常包含 Desired、Status、Name、Version、Architecture、Description。

示例输出（节选）

Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/
ii adduser 3.118ubuntu5 all add and remove users and groups
...
ii openssh-server 1:8.9p1-3ubuntu0.10 amd64 secure shell (SSH) server

dpkg -l | grep -i 'nginx\|apache\|tomcat\|redis-server\|mongod\|postgresql\|mysql\|mariadb\|memcached\|mongodb-server\|rabbitmq-server'

预期现象：安装对应组件时应输出软件包名和版本。

示例输出（节选）

ii nginx 1.18.0-6ubuntu14.5 amd64 small, powerful, scalable web/proxy server
ii redis-server 5:6.0.16-1ubuntu1.3 amd64 persistent key-value database with network interface

apt list --installed

预期现象：应显示已安装软件包清单；输出通常较长。

示例输出（节选）

Listing...
adduser/jammy,now 3.118ubuntu5 all [installed]
bash/jammy-updates,now 5.1-6ubuntu1.2 amd64 [installed]
curl/jammy-updates,now 7.81.0-1ubuntu1.19 amd64 [installed]
...
zstd/jammy,now 1.4.8+dfsg-3build1 amd64 [installed]

apt list --upgradable

预期现象：存在待更新补丁时应显示可升级软件包；无待升级时通常为空。

示例输出（节选）

Listing...
openssh-client/jammy-security,jammy-updates 1:8.9p1-3ubuntu0.11 amd64 [upgradable from: 1:8.9p1-3ubuntu0.10]
openssh-server/jammy-security,jammy-updates 1:8.9p1-3ubuntu0.11 amd64 [upgradable from: 1:8.9p1-3ubuntu0.10]
(无待升级时仅输出 Listing...)

时钟同步与计划任务核查

timedatectl status

预期现象：应显示本地时间、时区、NTP 同步状态等信息。

示例输出（节选）

 Local time: Mon 2026-08-24 10:28:33 CST
 Universal time: Mon 2026-08-24 02:28:33 UTC
 RTC time: Mon 2026-08-24 02:28:33
 Time zone: Asia/Shanghai (CST, +0800)
System clock synchronized: yes
 NTP service: active

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

*/5 * * * * /usr/bin/curl -s http://192.168.10.30/healthcheck > /dev/null
0 2 * * * /opt/scripts/log_clean.sh >> /var/log/log_clean.log 2>&1

groups 用户名

预期现象：应显示指定用户所属组列表。

示例输出（节选）

appuser : appuser sudo docker

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 30
AllowUsers appuser opsadmin

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

allowgroups none
allowusers appuser opsadmin
denygroups none
denyusers none
logingracetime 30
maxauthtries 4
permitrootlogin no

dpkg -l | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

ii fail2ban 0.11.2-6ubuntu0.1 all ban hosts that cause multiple authentication errors

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:20 CST; 2h ago
 Main PID: 1420 (fail2ban-server)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.
Ubuntu 22.04 LTS \n \l

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

Authorized access only. Unauthorized use is prohibited.
Ubuntu 22.04 LTS

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

*** 本系统仅限授权人员使用，操作行为将被审计记录。 ***
*** For authorized personnel only. Activities are audited. ***

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

(无空口令账户时无输出；存在时应仅输出账号名，例如)
svcbackup

debsums -s

预期现象：已安装 debsums 时会输出校验异常包；无异常时无输出。

示例输出（节选）

(无异常时无输出；存在校验异常时应输出被修改的包，例如)
debsums: changed file /usr/sbin/sshd (from openssh-server package)

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

AIDE found differences between database and filesystem!!
added: /root/.bash_history.new
removed: /tmp/old.lock
changed: /etc/passwd
...
File: /etc/passwd
 Size: 1024 -> 1032

Windows_Server-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：Windows Server 2019

说明：Microsoft Learn 可直接支撑 Get-MpComputerStatus 示例中 AMRunningMode : Normal，以及 RDP SecurityLayer 默认值 1 表示 Negotiate。

系统版本与网络信息核查

systeminfo

预期现象：应显示主机名、OS 名称、版本、补丁、启动时间、域/工作组等摘要信息。

示例输出（节选）

Host Name: WEB01
OS Name: Microsoft Windows Server 2019 Standard
OS Version: 10.0.17763 N/A Build 17763
System Type: x64-based PC
Domain: corp.local
System Boot Time: 2026/8/24, 06:02:11
Hotfix(s): N/A

winver

预期现象：应弹出当前 Windows 版本窗口。

示例输出（节选）

（弹出「关于 Windows」窗口，显示 Windows Server 2019 Standard，版本 1809，内部版本 17763.xxxx）

ipconfig /all

预期现象：应显示网卡、IPv4/IPv6、网关、DNS、MAC 等信息。

示例输出（节选）

Ethernet adapter 以太网:
 Physical Address. . . . . . . . . : 00-0C-29-XX-XX-XX
 IPv4 Address. . . . . . . . . . . : 192.168.1.20(Preferred)
 Subnet Mask . . . . . . . . . . . : 255.255.255.0
 Default Gateway . . . . . . . . . : 192.168.1.254
 DNS Servers . . . . . . . . . . . : 192.168.1.100
 192.168.1.101

hostname

预期现象：应输出当前主机名。

示例输出（节选）

WEB01

账户与身份鉴别核查

net user

预期现象：应列出本地用户或指定用户详细信息。

示例输出（节选）

\\WEB01 的用户帐户

-------------------------------------------------------------------------------
Administrator DefaultAccount Guest
svc_backup webadmin
命令运行完毕，但发生一个或多个错误。

lusrmgr.msc

预期现象：应打开本地用户和组界面，可核查账户和管理员组成员。

示例输出（节选）

（打开「本地用户和组」管理单元；Administrators 组成员示例：Administrator、corp\domain admins、webadmin）

whoami /groups

预期现象：应显示当前用户及所属组 SID/名称。

示例输出（节选）

GROUP INFORMATION
Group Name Type SID
====================================== ================ ============
Everyone Well-known group S-1-1-0
BUILTIN\Administrators Alias S-1-5-32-544
NT AUTHORITY\Authenticated Users Well-known group S-1-5-11

secpol.msc

预期现象：应打开本地安全策略，可核查密码策略、锁定策略、本地策略。

示例输出（节选）

（打开「本地安全策略」；密码策略示例：密码最长使用期限 90 天、长度最小值 12 个字符；账户锁定策略：5 次无效登录后锁定 30 分钟）

gpedit.msc

预期现象：应打开组策略编辑器，可核查审计、RDP、会话、安全选项。

示例输出（节选）

（打开「本地组策略编辑器」；审计策略示例：「审核登录事件」「审核对象访问」均为 成功/失败）

control userpasswords2

预期现象：应打开账户设置界面，可核查交互登录要求。

示例输出（节选）

（打开「用户帐户」对话框；「要使用本计算机，用户必须输入用户名和密码」复选框为勾选状态）

netplwiz

预期现象：应打开用户账户界面，可核查是否要求输入用户名和密码。

示例输出（节选）

（打开「用户帐户」界面；自动登录未启用，访问本机须输入用户名和密码）

端口、共享与服务核查

netstat -ano

预期现象：应显示 Proto、Local Address、State、PID 等字段。

示例输出（节选）

活动连接

 协议 本地地址 外部地址 状态 PID
 TCP 0.0.0.0:80 0.0.0.0:0 LISTENING 2104
 TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING 1128
 TCP 192.168.1.20:139 0.0.0.0:0 LISTENING 4

tasklist /svc

预期现象：应显示进程及其承载服务，便于按 PID 反查。

示例输出（节选）

映像名称 PID 服务
========================= ======== ============================================
System 4 N/A
lsass.exe 1016 KeyIso, SamSs, VaultSvc
svchost.exe 1128 TermService
w3wp.exe 2104 IIS Admin Service

net share

预期现象：应列出共享名、资源、说明。

示例输出（节选）

共享名 资源 注解
-------------------------------------------------------------------------------
C$ C:\  默认共享
ADMIN$ C:\WINDOWS 远程管理
IPC$ 远程 IPC
WebShare D:\inetpub\webroot 站点目录

fsmgmt.msc

预期现象：应打开共享文件夹管理界面。

示例输出（节选）

（打开「共享文件夹」管理单元，可查看共享、会话、打开文件列表）

net start

预期现象：应列出已启动服务。

示例输出（节选）

已启动以下 Windows 服务:

 Windows Defender Antivirus Service
 Remote Desktop Services
 Windows Event Log
 Task Scheduler
命令运行完毕，但发生一个或多个错误。

services.msc

预期现象：应打开服务管理器。

示例输出（节选）

（打开「服务」管理单元，可查看各服务名称、描述、状态、启动类型）

安全审计核查

eventvwr.msc

预期现象：应打开事件查看器，可查看应用、安全、系统日志。

示例输出（节选）

（打开「事件查看器」；Security 日志示例：事件 ID 4624 登录成功 / 4625 登录失败，来源 Microsoft-Windows-Security-Auditing）

wevtutil el

预期现象：应输出所有事件日志通道名称。

示例输出（节选）

Application
Security
Setup
System
Microsoft-Windows-TerminalServices-RDPClient/Operational
Microsoft-Windows-Windows Defender/Operational

wevtutil gli Security

预期现象：应显示 Security 日志的配置详情。

示例输出（节选）

creationTime: 2026-07-10T03:00:12.000Z
lastAccessTime: 2026-08-24T09:50:01.000Z
lastWriteTime: 2026-08-24T09:52:33.000Z
fileSize: 209715200
logMode: Circular
logName: Security
numberOfLogRecords: 152340

边界防护与远程接入核查

Firewall.cpl

预期现象：应打开 Windows 防火墙界面。

示例输出（节选）

（打开「Windows Defender 防火墙」，显示域网络/专用网络/公用网络的启用状态及入站规则入口）

netsh advfirewall show allprofiles

预期现象：应显示域、专用、公用三类配置文件的状态与默认动作。

示例输出（节选）

域配置文件设置:
状态 启用
入站流量操作 阻止(默认)
出站流量操作 允许(默认)

公用配置文件设置:
状态 启用
入站流量操作 阻止(默认)
出站流量操作 允许(默认)

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name SecurityLayer

预期现象：默认值示例为 1，表示 Negotiate；0 表示 RDP Security Layer，2 表示 SSL(TLS)。

示例输出（节选）


SecurityLayer : 1
PSPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication

预期现象：0 表示不要求网络级别身份验证（NLA），1 表示要求 NLA；Microsoft 文档给出的默认值示例为 0。

示例输出（节选）


UserAuthentication : 1
PSDrive : HKLM
PSChildName : RDP-Tcp

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name MinEncryptionLevel

预期现象：应返回 RDP 加密级别。Microsoft RDP 协议文档定义的级别包括 Low、Client Compatible、High、FIPS Compliant；实际注册表数值需结合现场系统解析。

示例输出（节选）


MinEncryptionLevel : 3
PSDrive : HKLM
PSChildName : RDP-Tcp

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server'

预期现象：如已显式配置，通常可见 Enabled 和 DisabledByDefault 两个 DWORD；未显式配置时路径可能不存在。

示例输出（节选）


Enabled : 0
DisabledByDefault : 1
PSDrive : HKLM
PSChildName : Server

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server'

预期现象：如已显式配置，通常可见 Enabled 和 DisabledByDefault 两个 DWORD；未显式配置时路径可能不存在。

示例输出（节选）


Enabled : 0
DisabledByDefault : 1
PSDrive : HKLM
PSChildName : Server

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server'

预期现象：如已显式配置，通常可见 Enabled 和 DisabledByDefault 两个 DWORD；未显式配置时路径可能不存在。

示例输出（节选）


Enabled : 1
DisabledByDefault : 0
PSDrive : HKLM
PSChildName : Server

Get-TlsCipherSuite

预期现象：应按优先顺序列出本机可用 TLS 密码套件，常见字段包括 Name、Cipher、Hash、Exchange、Certificate。

示例输出（节选）


Name Cipher Hash Exchange Certificate
---- ------ ---- -------- -----------
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 AES_256_GCM SHA384 ECDH ECDSA
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 AES_256_GCM SHA384 ECDH RSA
TLS_RSA_WITH_AES_256_CBC_SHA256 AES_256 SHA256 RSA RSA

Get-TlsCipherSuite | Select-Object -First 20 Name, Cipher, Hash, Exchange

预期现象：应显示优先级靠前的 TLS 密码套件，可用于核查是否仍启用弱算法。

示例输出（节选）


Name Cipher Hash Exchange
---- ------ ---- --------
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 AES_256_GCM SHA384 ECDH
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 AES_256_GCM SHA384 ECDH
TLS_RSA_WITH_AES_256_CBC_SHA256 AES_256 SHA256 RSA

Get-Service TermService

预期现象：应显示远程桌面服务状态，常见状态为 Running 或 Stopped。

示例输出（节选）


Status Name DisplayName
------ ---- -----------
Running TermService Remote Desktop Services

netstat -ano | findstr :3389

预期现象：启用远程桌面时通常可看到 3389 端口处于 LISTENING 状态。

示例输出（节选）

 TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING 1128
 TCP [::]:3389 [::]:0 LISTENING 1128

远程连接协议与算法核查（SSH，适用于已安装 OpenSSH 的 Windows Server 2019）

Get-Service sshd

预期现象：安装并启用 OpenSSH Server 时应显示 sshd 服务状态；未安装时可能提示找不到服务。

示例输出（节选）


Status Name DisplayName
------ ---- -----------
Running sshd OpenSSH SSH Server

Get-Content 'C:\ProgramData\ssh\sshd_config'

预期现象：应显示 OpenSSH Server 配置，常见可核查 PermitRootLogin、PasswordAuthentication、AllowUsers、AllowGroups 等参数。

示例输出（节选）

Port 22
PermitRootLogin no
PasswordAuthentication yes
MaxAuthTries 4
AllowUsers webadmin svc_backup@192.168.1.*
Match Group administrators
 AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

ssh -V

预期现象：已安装 OpenSSH 客户端时应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_for_Windows_8.1p1, LibreSSL 3.0.2

ssh -Q cipher

预期现象：应列出客户端支持的 SSH 对称加密算法。

示例输出（节选）

3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr

ssh -Q mac

预期现象：应列出客户端支持的 SSH MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-ripemd160

ssh -Q kex

预期现象：应列出客户端支持的 SSH 密钥交换算法。

示例输出（节选）

diffie-hellman-group-exchange-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出客户端支持的主机密钥/公钥算法。

示例输出（节选）

ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512

恶意代码防范核查

Get-MpComputerStatus

预期现象：Microsoft Learn 示例关键字段包括 AMRunningMode : Normal、AMServiceEnabled : True、AntivirusEnabled : True。

示例输出（节选）


AMRunningMode : Normal
AMServiceEnabled : True
AntivirusEnabled : True
RealTimeProtectionEnabled : True
AntivirusSignatureLastUpdated : 2026/8/24 05:30:12 +08:00
QuickScanEndTime : 2026/8/24 03:15:40 +08:00

Get-MpPreference

预期现象：应显示 Defender 策略配置，如排除项、实时保护、云保护等。

示例输出（节选）


DisableRealtimeMonitoring : False
MAPSReporting : Advanced
SubmitSamplesConsent : 1
ScanScheduleQuickScanTime : 180
ExclusionPath : {D:\backup}
PUAProtection : Enabled

wscui.cpl

预期现象：应打开安全和维护界面。

示例输出（节选）

（打开「安全和维护」；病毒和威胁防护显示「Windows Defender 防病毒软件已启用且为最新」）

时间同步与计划任务核查

w32tm /query /status

预期现象：应显示时钟源、层级、上次同步时间等字段。

示例输出（节选）

Leap 指示符: 0
层次: 3 (引用自辅助时钟)
精度: -6 (每刻度 15.625ms)
根延迟: 0.0312500s
上次成功的同步时间: 2026/8/24 09:45:22
源: 192.168.1.100

w32tm /query /configuration

预期现象：应显示 NtpClient、NtpServer、Type 等配置项。

示例输出（节选）

配置:

EventLogFlags: 2 (本地)
AnnounceFlags: 10 (本地)
Type: NT5DS (本地)
NtpServer: (本地)
ServiceMain: SI (本地)
MaxAllowedPhaseOffset: 300 (本地)

schtasks /query /fo LIST /v

预期现象：应显示计划任务详细清单，输出通常较长。

示例输出（节选）

主机名: WEB01
任务名: \NightlyBackup
下次运行时间: 2026/8/25 2:00:00
状态: 就绪
要运行的任务: C:\Scripts\backup.bat
计划类型: 每天
以用户身份运行: CORP\svc_backup

最小安装与补丁核查

appwiz.cpl

预期现象：应打开程序和功能界面。

示例输出（节选）

（打开「程序和功能」，列出已安装程序及其发布者、安装日期、大小）

wmic qfe list brief

预期现象：通常会列出 HotFixID、InstalledOn 等补丁字段。

示例输出（节选）

Caption CSName Description FixComments HotFixID InstallDate InstalledBy InstalledOn
http://schemas.microsoft... WEB01 Update KB5034441 CORP\administrator 2026/7/15
http://schemas.microsoft... WEB01 Security Update KB5005625 NT AUTHORITY\SYSTEM 2026/6/20

sysdm.cpl

预期现象：应打开系统属性界面，可辅助核查远程设置与主机属性。

示例输出（节选）

（打开「系统属性」；「远程」选项卡显示「允许远程连接到此计算机」勾选状态及远程桌面用户列表）

mstsc

预期现象：应打开远程桌面连接客户端。

示例输出（节选）

（打开「远程桌面连接」窗口，可输入目标主机地址并选择显示/资源选项卡）

入侵防范核查

net accounts

预期现象：应显示账户锁定策略与口令策略摘要，可用于核查防暴力破解设置。

示例输出（节选）

强制注销的时间限制(分钟): 从不
密码最短使用期限(天): 7
密码最长使用期限(天): 90
密码长度最小值: 12
保持的密码历史记录个数: 24
锁定阈值: 5
锁定持续时间(分钟): 30

wevtutil qe Security /q:"*[System[(EventID=4625)]]" /f:text /c:5

预期现象：应显示最近 5 条登录失败事件（如存在），用于发现暴力破解迹象。

示例输出（节选）

Event[0]:
 Log Name: Security
 Date: 2026-08-24T07:44:12.000
 Event ID: 4625
 任务类别: 登录
 关键字: 审核失败
 帐户名: administrator
 源网络地址: 203.0.113.77
 失败原因: 未知用户名或密码错误。

Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Actions

预期现象：已配置 ASR 规则时应输出规则动作列表；未配置时可能为空。

示例输出（节选）

凝思-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：凝思安全操作系统 V6.0.80；补充参考凝思欧拉版 V6.0.99 EL20.03 SP3

说明：公开资料可直接支撑上述版本号。对未公开给出完整命令样例的部分，下列仅写关键字段预期。

系统版本核查

cat /etc/linx-release

预期现象：关键字段通常应体现 V6.0.80；欧拉版可体现 V6.0.99 与 EL20.03 SP3。

示例输出（节选）

Linx Security OS 6.0.80

cat /etc/os-release

预期现象：如系统提供该文件，关键字段通常会体现底层发行版版本线索。

示例输出（节选）

NAME="Linx Security OS"
VERSION="6.0.80"
ID=linx
VERSION_ID="6.0.80"

网络配置核查

ip addr

预期现象：应显示网卡与 IP 信息。

示例输出（节选）

2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP
 link/ether 00:0c:29:xx:xx:xx brd ff:ff:ff:ff:ff:ff
 inet 192.168.1.11/24 brd 192.168.1.255 scope global ens33
 valid_lft forever preferred_lft forever
 inet6 fe80::xxxx:xxxx:xxxx:xxxx/64 scope link

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
sshd:x:100:65534::/run/sshd:/usr/sbin/nologin
webapp:x:1000:1000::/home/webapp:/bin/bash
auditor:x:1001:1001::/home/auditor:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和状态。

示例输出（节选）

root:$6$rounds=4096$xxxxxxxx$:19xxx:0:90:7:::
daemon:*:19xxx:0:99999:7:::
webapp:$6$rounds=4096$yyyyyyyy$:19xxx:0:90:7:30:::

cat /etc/login.defs

预期现象：应显示口令老化参数。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_MIN_LEN	12
PASS_WARN_AGE	30

cat /etc/pam.d/common-password

预期现象：应显示口令复杂度相关 PAM 配置，原始文档提示可能涉及 pam_cracklib.so。

示例输出（节选）

password	requisite			pam_cracklib.so retry=3 minlen=12 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1
password	[success=1 default=ignore]	pam_unix.so obscure use_authtok try_first_pass sha512 remember=5

cat /etc/pam.d/common-auth

预期现象：应显示登录失败处理配置，原始文档提示可能涉及 pam_tally2.so 或 faillock。

示例输出（节选）

auth	required	pam_tally2.so onerr=fail deny=5 unlock_time=600 even_deny_root root_unlock_time=600
auth	[success=1 default=ignore]	pam_unix.so nullok try_first_pass

cat /etc/profile

预期现象：应能核查登录超时参数。

示例输出（节选）

# /etc/profile: system-wide .profile file for the Bourne shell
export TMOUT=600
readonly TMOUT
umask 027

ps aux | grep ssh

预期现象：启用 SSH 时通常可见 ssh 相关进程。

示例输出（节选）

root 1104 0.0 0.1 12188 6520 ? Ss 09:12 0:00 sshd: /usr/sbin/sshd -D [listener]
root 3312 0.0 0.1 13104 7188 ? Ss 09:30 0:00 sshd: webapp [priv]
webapp 3320 0.0 0.0 14216 5200 ? S 09:30 0:00 sshd: webapp@pts/0

ps aux | grep telnet

预期现象：未启用 Telnet 时通常无有效结果。

示例输出（节选）

audit 4200 0.0 0.0 6432 720 pts/1 S+ 09:41 0:00 grep telnet

远程连接协议与算法核查

cat /etc/ssh/sshd_config

预期现象：应能核查 SSH 登录参数及算法配置项。

示例输出（节选）

Port 22
PermitRootLogin no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers webapp auditor@192.168.1.*
Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr
MACs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group16-sha512
hostkeyalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256
pubkeyacceptedalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-ripemd160

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group-exchange-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.2p1, OpenSSL 1.1.1d 10 Sep 2019

安全审计核查

service rsyslog status

预期现象：应显示日志服务状态。

示例输出（节选）

● rsyslog.service - System Logging Service
 Loaded: loaded (/lib/systemd/system/rsyslog.service; enabled)
 Active: active (running) since Mon 2026-08-24 06:00:05 CST; 3h 45min ago
 Main PID: 942 (rsyslogd)

service auditd status

预期现象：应显示审计服务状态。

示例输出（节选）

● auditd.service - Security Auditing Service
 Loaded: loaded (/lib/systemd/system/auditd.service; enabled)
 Active: active (running) since Mon 2026-08-24 06:00:03 CST; 3h 46min ago
 Main PID: 921 (auditd)

auditctl -l

预期现象：应逐条输出审计规则。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /var/log/audit/ -p wa -k audit_log
-a always,exit -F arch=b64 -S execve -k commands

cat /etc/rsyslog.conf

预期现象：应显示日志规则和远程转发配置。

示例输出（节选）

*.info;mail.none;authpriv.none	/var/log/messages
authpriv.*	/var/log/secure
*.emerg	:omusrmsg:*
*.*	@192.168.1.200:514

ls -l /var/log/messages

预期现象：应显示日志文件权限信息。

示例输出（节选）

-rw------- 1 root adm 1048576 Aug 24 09:35 /var/log/messages

ls -l /var/log/audit/audit.log

预期现象：应显示审计日志文件权限信息。

示例输出（节选）

-rw------- 1 root root 8388608 Aug 24 09:36 /var/log/audit/audit.log

tail -n 20 /var/log/messages

预期现象：应输出最近 20 条系统日志。

示例输出（节选）

Aug 24 09:15:01 linx-app01 systemd[1]: Starting Daily apt upgrade and clean activities...
Aug 24 09:20:33 linx-app01 kernel: [ 1234.5678] device ens33 entered promiscuous mode
Aug 24 09:22:10 linx-app01 CRON[3210]: (root) CMD (/usr/local/bin/backup.sh)
Aug 24 09:25:44 linx-app01 sshd[3312]: Accepted password for webapp from 192.168.1.50 port 51022 ssh2

tail -n 20 /var/log/audit/audit.log

预期现象：应输出最近 20 条审计日志。

示例输出（节选）

type=USER_AUTH msg=audit(1771891200.101:1024): pid=3312 uid=0 auid=1000 msg='op=PAM:authentication acct="webapp" exe="/usr/sbin/sshd" hostname=app01 addr=192.168.1.50 terminal=ssh res=success'
type=SYSCALL msg=audit(1771891230.220:1025): arch=c000003e syscall=59 success=yes exe="/usr/bin/vim" key="commands"
type=CONFIG_CHANGE msg=audit(1771891300.010:1026): auid=1000 op=add_rule key=identity

last

预期现象：应显示成功登录记录。

示例输出（节选）

webapp pts/0 192.168.1.50 Mon Aug 24 09:05 still logged in
auditor pts/1 192.168.1.51 Mon Aug 24 08:58 - 09:20 (00:22)
root tty1 Sun Aug 23 22:10 still logged in

wtmp begins Sun Aug 16 03:14:02 2026

lastb

预期现象：应显示失败登录记录；部分主机可能需要 root 权限。

示例输出（节选）

admin ssh:notty 203.0.113.77 Mon Aug 24 07:44 - 07:44 (00:00)
root ssh:notty 203.0.113.77 Mon Aug 24 07:41 - 07:41 (00:00)
test ssh:notty 198.51.100.9 Sun Aug 23 23:02 - 23:02 (00:00)

btmp begins Sun Aug 23 21:00:01 2026

边界防护核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 2140 Jul 10 2026 /etc/passwd

ls -l /etc/shadow

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r----- 1 root shadow 1320 Jul 10 2026 /etc/shadow

ls -l /etc/group

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 980 Jul 10 2026 /etc/group

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。

示例输出（节选）

sshd: ALL EXCEPT 192.168.1.

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。

示例输出（节选）

sshd: 192.168.1.0/255.255.255.0

netstat -ntlp

预期现象：应显示监听端口和程序名。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1104/sshd
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1508/nginx
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 1702/mysqld

iptables -L -n

预期现象：启用 iptables 时应输出当前规则；未启用时可能为空或提示无规则。

示例输出（节选）

Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
ACCEPT icmp -- 192.168.1.0/24 0.0.0.0/0

Chain FORWARD (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)

最小安装、补丁与计划任务核查

dpkg --list

预期现象：若为 Debian 技术路线版本，表头通常包含 Desired、Status、Name、Version、Architecture、Description。

示例输出（节选）

Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name Version Architecture Description
+++-================-================-============-=================================
ii openssh-server 1:8.2p1-x amd64 secure shell (SSH) server
ii nginx 1.18.0-x amd64 high performance web server

apt list --installed

预期现象：应显示已安装软件包清单；输出通常较长。

示例输出（节选）

Listing... Done
acl/now 2.2.53 amd64 [installed]
auditd/now 1:2.8.5 amd64 [installed]
openssh-server/now 1:8.2p1 amd64 [installed]

apt list --upgradable

预期现象：存在待更新补丁时应显示可升级软件包；无待升级时通常为空。

示例输出（节选）

Listing... Done
openssl/linx-security 1.1.1d-upgrade amd64 [upgradable from: 1.1.1d]
curl/linx-security 7.68.0-upgrade amd64 [upgradable from: 7.68.0]

netstat -tlunp | grep ntp

预期现象：启用 NTP 服务时通常会看到 123 端口监听。

示例输出（节选）

udp 0 0 192.168.1.11:123 0.0.0.0:* 1450/ntpd
udp 0 0 127.0.0.1:123 0.0.0.0:* 1450/ntpd

ntpq -p

预期现象：启用 NTP 时应显示上级时钟源与对时状态。

示例输出（节选）

 remote refid st t when poll reach delay offset jitter
==============================================================================
*192.168.1.100 .GPS. 1 u 32 64 377 0.421 -0.118 0.032
+192.168.1.101 192.168.1.100 2 u 45 64 377 0.517 -0.201 0.048

timedatectl status

预期现象：应显示时间、时区、NTP 同步状态。

示例输出（节选）

 Local time: Mon 2026-08-24 09:48:12 CST
 Universal time: Mon 2026-08-24 01:48:12 UTC
 Time zone: Asia/Shanghai (CST, +0800)
System clock synchronized: yes
 NTP service: active

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

0 2 * * * /usr/local/bin/backup.sh >> /var/log/backup.log 2>&1
*/30 * * * * /usr/local/bin/check_service.sh

groups 用户名

预期现象：应显示指定用户所属组列表。

示例输出（节选）

webapp : webapp sudo www-data

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

MaxAuthTries 4
LoginGraceTime 30
PermitRootLogin no
AllowUsers webapp auditor

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

maxauthtries 4
logingracetime 30
permitrootlogin no
allowusers webapp auditor

dpkg -l | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

ii fail2ban 0.11.1-x all ban hosts that cause multiple authentication errors
ii aide 0.16-x amd64 Advanced Intrusion Detection Environment

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled)
 Active: active (running) since Mon 2026-08-24 06:00:03 CST; 3h 48min ago
 Main PID: 988 (fail2ban-server)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

WARNING: Unauthorized access to this system is forbidden. Access is logged.

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

This system is for authorized operation personnel only.
Operations are subject to security auditing.

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

（无输出，表示不存在空口令账户）

debsums -s

预期现象：已安装 debsums 时会输出校验异常包；无异常时无输出。

示例输出（节选）

（无输出，表示所有已安装包校验通过；如异常会输出 debsums: changed file ... 类似行）

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

Start timestamp: 2026-08-24 09:50:00 +0800 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!
Number of entries: 102345
End timestamp: 2026-08-24 09:52:10 +0800 (run time: 2m 10s)

通用-版本复核命令单

Mon, 24 Aug 2026 00:00:00 +0800

数据库与中间件版本复核

mysql --version

预期现象：应输出 MariaDB/MySQL 客户端版本字符串。

示例输出（节选）

mysql Ver 15.1 Distrib 10.5.18-MariaDB, for Linux (x86_64) using readline 5.1

mysql -V

预期现象：应输出版本号，与 –version 类似。

示例输出（节选）

mysql Ver 15.1 Distrib 10.5.18-MariaDB, for Linux (x86_64) using readline 5.1

SELECT VERSION();

预期现象：在数据库内应返回版本字符串。

示例输出（节选）

+--------------------+
| VERSION() |
+--------------------+
| 10.5.18-MariaDB |
+--------------------+
1 row in set (0.000 sec)

yum list installed | grep mariadb

预期现象：安装 MariaDB 时应输出对应软件包名和版本。

示例输出（节选）

mariadb.x86_64 3:10.5.18-1.el8 @appstream
mariadb-server.x86_64 3:10.5.18-1.el8 @appstream
mariadb-common.x86_64 3:10.5.18-1.el8 @appstream

MongoDB 版本复核

mongod --version

预期现象：通常会显示 version=x.x.x 等版本字段。

示例输出（节选）

db version v4.4.17
Build Info: {
 "version": "4.4.17",
 "gitVersion": "xxxx",
 "modules": [],
 "allocator": "tcmalloc",
 "environment": {"distmod": "ubuntu2004", "distarch": "x86_64", ...}
}

mongo --version

预期现象：应显示 MongoDB 客户端版本。

示例输出（节选）

MongoDB shell version v4.4.17
Connect to: mongodb://127.0.0.1:27017/?compressors=disabled&gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("...") }
MongoDB server version: 4.4.17

db.version()

预期现象：在 MongoDB shell 中应返回版本字符串。

示例输出（节选）

> db.version()
4.4.17

查看 MongoDB 启动日志

预期现象：原始文档给出的示例关键字段包含 MongoDB starting 和 version=x.x.x。

示例输出（节选）

2026-08-21T09:00:01.123+0800 I CONTROL [initandlisten] MongoDB starting : pid=1234 port=27017 dbpath=/var/lib/mongodb 64-bit host=demo-host
2026-08-21T09:00:01.456+0800 I CONTROL [initandlisten] options: { config: "/etc/mongod.conf", net: { bindIp: 127.0.0.1, port: 27017 }, storage: { dbPath: "/var/lib/mongodb" } }

PostgreSQL 版本复核

pg_config --version

预期现象：通常会输出 PostgreSQL x.x.x。

示例输出（节选）

PostgreSQL 13.11

postgres --version

预期现象：通常会输出 postgres (PostgreSQL) x.x.x。

示例输出（节选）

postgres (PostgreSQL) 13.11

SELECT version();

预期现象：原始文档示例格式为 PostgreSQL x.x.x on x86_64-pc-linux-gnu, compiled by gcc …, 64-bit。

示例输出（节选）

 version
----------------------------------------------------------------------------------------------------------
 PostgreSQL 13.11 on x86_64-pc-linux-gnu, compiled by gcc (GCC) 8.5.0, 64-bit
(1 row)

Redis 版本复核

redis-server --version

预期现象：通常会包含 Redis server v=… 等字段。

示例输出（节选）

Redis server v=6.2.7 sha=00000000:0 malloc=jemalloc-5.1.0 bits=64 build=xxxxxxxxxxxxxxxx

/path/to/redis-server --version

预期现象：当程序不在 PATH 中时，应输出同类版本信息。

示例输出（节选）

Redis server v=6.2.7 sha=00000000:0 malloc=jemalloc-5.1.0 bits=64 build=xxxxxxxxxxxxxxxx

Tomcat 版本复核

cat /path/to/tomcat/version.txt

预期现象：存在版本文件时应输出 Tomcat 版本信息。

示例输出（节选）

Apache Tomcat Version 9.0.71

cat /path/to/tomcat/bin/catalina.sh | grep 'Server version'

预期现象：文件包含版本提示时应输出匹配行。

示例输出（节选）

# CATALINA_HOME May point at your Catalina "build" home.
# SERVER_VERSION Apache Tomcat/9.0.71

cat /path/to/tomcat/logs/catalina.out | grep 'Server version'

预期现象：日志包含版本提示时应输出匹配行。

示例输出（节选）

21-Aug-2026 09:00:12.345 INFO [main] org.apache.catalina.startup.Catalina.start Server version name: Apache Tomcat/9.0.71
21-Aug-2026 09:00:12.346 INFO [main] org.apache.catalina.startup.Catalina.start Server built: Aug 1 2026 10:00:00 UTC
21-Aug-2026 09:00:12.347 INFO [main] org.apache.catalina.startup.Catalina.start Server number: 9.0.71.0

通用-服务发现与软件排查命令单

Mon, 24 Aug 2026 00:00:00 +0800

Debian / Ubuntu / UOS 中间件发现

dpkg -l | grep -i 'nginx\\|apache\\|tomcat\\|redis-server\\|mongod\\|postgresql\\|mysql\\|mariadb\\|memcached\\|mongodb-server\\|rabbitmq-server'

预期现象：安装对应组件时应输出软件包名、版本、架构等信息。

示例输出（节选）

ii nginx 1.18.0-6ubuntu14.4 amd64 small, powerful, scalable web/proxy server
ii redis-server 5:6.0.16-1ubuntu1.2 amd64 persistent key-value database with network interface
ii mysql-server-core-8.0 8.0.33-0ubuntu0.22.04.2 amd64 MySQL database core server files

RPM / RHEL / CentOS / openEuler 中间件发现

rpm -qa | grep -i 'nginx\\|apache\\|tomcat\\|redis-server\\|mongod\\|postgresql\\|mysql\\|mariadb\\|memcached\\|mongodb-server\\|rabbitmq-server'

预期现象：安装对应组件时应输出软件包名和版本。

示例输出（节选）

nginx-1.20.1-10.el8.x86_64
redis-6.2.7-1.el8.x86_64
postgresql-server-13.11-1.module_el8.x86_64

运行进程发现

ps -ef | grep 'nginx\\|apache\\|tomcat\\|redis-server\\|mongod\\|postgresql\\|mysql\\|mariadb\\|memcached\\|mongodb-server\\|rabbitmq-server\\|weblogic'

预期现象：运行对应中间件时应显示相关进程。

示例输出（节选）

root 1123 1 0 Aug20 ? 00:00:00 nginx: master process /usr/sbin/nginx -g daemon on; master_process on;
www-data 1124 1123 0 Aug20 ? 00:00:02 nginx: worker process
redis 1456 1 0 Aug20 ? 00:01:10 /usr/bin/redis-server 127.0.0.1:6379
postgres 1789 1 0 Aug20 ? 00:00:05 /usr/lib/postgresql/13/bin/postgres -D /var/lib/postgresql/13/main

ps -ef | egrep -i 'nginx|apache|tomcat|java|redis|rabbitmq|kafka' | grep -v grep

预期现象：运行相关组件时应显示对应进程。

示例输出（节选）

tomcat 2044 1 1 Aug20 ? 00:03:22 /usr/bin/java -Dcatalina.home=/opt/tomcat ... org.apache.catalina.startup.Bootstrap start
rabbitmq 2301 1 0 Aug20 ? 00:01:45 /usr/lib/erlang/erts-12.3.2/bin/beam.smp -K true ... -root /usr/lib/rabbitmq
kafka 2567 1 2 Aug20 ? 00:08:31 java -Xmx1G -jar kafka_2.13-3.4.0/libs/kafka.jar ...

端口发现

netstat -tulnp

预期现象：应显示监听端口、本地地址、PID/程序名等信息。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1123/nginx
tcp 0 0 127.0.0.1:6379 0.0.0.0:* LISTEN 1456/redis-server
tcp 0 0 0.0.0.0:8080 0.0.0.0:* LISTEN 2044/java

ss -tulpn

预期现象：新版本 Linux 中应显示监听端口和进程信息。

示例输出（节选）

Netid State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
tcp LISTEN 0 128 0.0.0.0:80 0.0.0.0:* users:(("nginx",pid=1124,fd=6))
tcp LISTEN 0 4096 127.0.0.1:6379 0.0.0.0:* users:(("redis-server",pid=1456,fd=7))
tcp LISTEN 0 100 0.0.0.0:8080 0.0.0.0:* users:(("java",pid=2044,fd=48))

lsof -i :8080

预期现象：8080 被占用时应显示 COMMAND、PID、USER 等字段。

示例输出（节选）

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
java 2044 tomcat 48u IPv4 0xa1b2 0t0 TCP *:http-alt (LISTEN)

配置与日志目录发现

find /etc -maxdepth 2 | egrep 'nginx|redis|tomcat|apache'

预期现象：存在对应配置目录时应输出目录路径。

示例输出（节选）

/etc/nginx
/etc/nginx/nginx.conf
/etc/nginx/conf.d
/etc/redis
/etc/redis/redis.conf
/etc/httpd

ls /var/log | egrep 'nginx|apache|redis'

预期现象：存在对应日志目录或日志文件时应输出名称。

示例输出（节选）

nginx
redis

进程识别提示

识别 java -jar、org.apache.catalina.startup.Bootstrap

预期现象：常作为 Tomcat 启动特征。

示例输出（节选）

tomcat 2044 1 1 Aug20 ? 00:03:22 java -Djava.util.logging.config.file=/opt/tomcat/conf/logging.properties ... org.apache.catalina.startup.Bootstrap start

识别 java weblogic.Server

预期现象：常作为 WebLogic 启动特征。

示例输出（节选）

weblogic 3102 1 3 Aug20 ? 00:12:07 /usr/bin/java -server -Xms512m -Xmx1024m weblogic.Server

识别 nginx: master process

预期现象：常作为 Nginx 主进程特征。

示例输出（节选）

root 1123 1 0 Aug20 ? 00:00:00 nginx: master process /usr/sbin/nginx -g daemon on; master_process on;

识别 beam.smp

预期现象：原始文档指出其可对应 Erlang 环境下的 RabbitMQ。

示例输出（节选）

rabbitmq 2301 1 0 Aug20 ? 00:01:45 /usr/lib/erlang/erts-12.3.2/bin/beam.smp -K true -P 1048576 -- -root /usr/lib/erlang -progname erl ...

统信UOS-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：统信 UOS Server V20 D 版

说明：公开资料可支撑 D 版基于 Debian 技术路线，公开镜像名可支撑 server-20 版本主线。对完整输出未公开给出的命令，下列仅写关键字段预期。

系统版本核查

lsb_release -a

预期现象：关键字段通常应体现 Release: 20；完整 Description 随桌面版/服务器版分支而异。

示例输出（节选）

No LSB modules are available.
Distributor ID:	UOS
Description:	UOS Server 20 (fuyu)
Release:	20
Codename:	fuyu

cat /etc/os-release

预期现象：关键字段通常应体现版本主线为 20。

示例输出（节选）

PRETTY_NAME="UnionTech OS Server 20"
NAME="UOS Server"
VERSION="20"
ID=uos
HOME_URL="https://www.chinauos.com/"
VERSION_ID="20"

cat /etc/debian_version

预期现象：应输出底层 Debian 主版本号字符串。

示例输出（节选）

10.x

cat /etc/redhat-release

预期现象：D 版通常可能不存在该文件；如存在则应体现兼容发行版信息。

示例输出（节选）

cat: /etc/redhat-release: No such file or directory

网络与会话环境核查

ip addr

预期现象：应显示网卡与 IP 信息。

示例输出（节选）

2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP
 link/ether 00:0c:29:xx:xx:xx brd ff:ff:ff:ff:ff:ff
 inet 192.168.1.10/24 brd 192.168.1.255 scope global ens33
 valid_lft forever preferred_lft forever
 inet6 fe80::xxxx:xxxx:xxxx:xxxx/64 scope link

ps -ef | grep tty

预期现象：存在桌面会话时通常可看到 tty/图形登录相关进程。

示例输出（节选）

root 1024 1 0 09:12 tty1 00:00:00 /usr/bin/lightdm
root 1102 1024 0 09:12 tty1 00:00:02 lightdm-greeter
audit 2048 1 0 09:13 ? 00:00:01 sshd: /usr/sbin/sshd -D [listener]

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
sshd:x:100:65534::/run/sshd:/usr/sbin/nologin
webapp:x:1000:1000::/home/webapp:/bin/bash
auditor:x:1001:1001::/home/auditor:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和状态。

示例输出（节选）

root:$6$rounds=4096$xxxxxxxx$:19xxx:0:90:7:::
daemon:*:19xxx:0:99999:7:::
webapp:$6$rounds=4096$yyyyyyyy$:19xxx:0:90:7:30:::

cat /etc/login.defs

预期现象：应显示口令老化参数。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_MIN_LEN	12
PASS_WARN_AGE	30

cat /etc/pam.d/common-password

预期现象：应显示口令复杂度相关 PAM 配置。

示例输出（节选）

password	requisite			pam_pwquality.so retry=3 minlen=12 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1
password	[success=1 default=ignore]	pam_unix.so obscure use_authtok try_first_pass sha512 remember=5

find /usr/lib -name 'pam_tally2.so'

预期现象：启用该模块时应输出模块文件路径；未安装则无结果。

示例输出（节选）

/usr/lib/x86_64-linux-gnu/security/pam_tally2.so

cat /etc/pam.d/common-auth

预期现象：应显示登录失败限制和认证相关配置。

示例输出（节选）

auth	required	pam_tally2.so onerr=fail deny=5 unlock_time=600 even_deny_root root_unlock_time=600
auth	[success=1 default=ignore]	pam_unix.so nullok try_first_pass

cat /etc/ssh/sshd_config

预期现象：应能核查 SSH 超时、RhostsAuthentication、地址范围限制等参数。

示例输出（节选）

Port 22
PermitRootLogin no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers webapp auditor@192.168.1.*

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group16-sha512
hostkeyalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256
pubkeyacceptedalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-ripemd160

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group-exchange-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.2p1, OpenSSL 1.1.1d 10 Sep 2019

cat /etc/profile | grep TMOUT

预期现象：配置 TMOUT 时应输出对应参数行。

示例输出（节选）

export TMOUT=600
readonly TMOUT

more /etc/group

预期现象：应列出账户组信息，可辅助核查分权。

示例输出（节选）

root:x:0:
sudo:x:27:webapp
audit:x:1001:auditor
webapp:x:1000:

more /etc/sudoers

预期现象：应显示 sudo 授权规则，可辅助核查审计员/操作员权限边界。

示例输出（节选）

Defaults	env_reset
root	ALL=(ALL:ALL) ALL
%sudo	ALL=(ALL:ALL) ALL
webapp	ALL=(ALL) /usr/bin/systemctl restart nginx, /usr/bin/journalctl

安全审计核查

systemctl list-unit-files | grep auditd

预期现象：存在 auditd 服务时应输出 auditd 服务项。

示例输出（节选）

auditd.service enabled enabled

systemctl list-unit-files | grep rsyslog

预期现象：存在 rsyslog 服务时应输出 rsyslog 服务项。

示例输出（节选）

rsyslog.service enabled enabled

auditctl -l

预期现象：应逐条显示当前审计规则。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /var/log/audit/ -p wa -k audit_log
-a always,exit -F arch=b64 -S execve -k commands

cat /etc/auditd.conf

预期现象：应显示审计配置项。

示例输出（节选）

local_events = yes
write_logs = yes
log_file = /var/log/audit/audit.log
max_log_file = 8
num_logs = 5
max_log_file_action = ROTATE
space_left_action = email
action_mail_acct = admin@192.168.1.1
admin_space_left_action = halt

more /etc/rsyslog.conf

预期现象：应显示日志规则及远程转发配置。

示例输出（节选）

*.info;mail.none;authpriv.none	/var/log/messages
authpriv.*	/var/log/secure
*.emerg	:omusrmsg:*
*.*	@192.168.1.200:514

ls -l /var/log/messages

预期现象：应显示日志文件权限。

示例输出（节选）

-rw------- 1 root adm 1048576 Aug 24 09:30 /var/log/messages

ls -l /var/log/secure

预期现象：应显示安全日志文件权限。

示例输出（节选）

-rw------- 1 root root 262144 Aug 24 09:31 /var/log/secure

ls -l /var/log/audit/audit.log

预期现象：应显示审计日志文件权限。

示例输出（节选）

-rw------- 1 root root 8388608 Aug 24 09:32 /var/log/audit/audit.log

more /var/log/messages

预期现象：应能抽查日志内容。

示例输出（节选）

Aug 24 09:15:01 uos-web01 systemd[1]: Starting Daily apt upgrade and clean activities...
Aug 24 09:20:33 uos-web01 kernel: [ 1234.5678] device ens33 entered promiscuous mode
Aug 24 09:22:10 uos-web01 CRON[3210]: (root) CMD (/usr/local/bin/backup.sh)

last

预期现象：应显示成功登录记录。

示例输出（节选）

webapp pts/0 192.168.1.50 Mon Aug 24 09:05 still logged in
auditor pts/1 192.168.1.51 Mon Aug 24 08:58 - 09:20 (00:22)
root tty1 Sun Aug 23 22:10 still logged in

wtmp begins Sun Aug 16 03:14:02 2026

lastb

预期现象：应显示失败登录记录；部分主机可能需要 root 权限。

示例输出（节选）

admin ssh:notty 203.0.113.77 Mon Aug 24 07:44 - 07:44 (00:00)
root ssh:notty 203.0.113.77 Mon Aug 24 07:41 - 07:41 (00:00)
test ssh:notty 198.51.100.9 Sun Aug 23 23:02 - 23:02 (00:00)

btmp begins Sun Aug 23 21:00:01 2026

服务、端口与边界防护核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 2140 Jul 10 2026 /etc/passwd

ls -l /etc/shadow

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r----- 1 root shadow 1320 Jul 10 2026 /etc/shadow

ls -l /etc/group

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 980 Jul 10 2026 /etc/group

systemctl list-units | grep service

预期现象：应列出当前服务状态。

示例输出（节选）

sshd.service loaded active running OpenBSD Secure Shell server
rsyslog.service loaded active running System Logging Service
auditd.service loaded active running Security Auditing Service
nginx.service loaded active running A high performance web server

netstat -ntlp

预期现象：应显示监听端口与程序名。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1204/sshd
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1508/nginx
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 1702/mysqld

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。

示例输出（节选）

sshd: ALL EXCEPT 192.168.1.

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。

示例输出（节选）

sshd: 192.168.1.0/255.255.255.0

iptables -L -n

预期现象：应输出当前防火墙规则。

示例输出（节选）

Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
ACCEPT icmp -- 192.168.1.0/24 0.0.0.0/0

Chain FORWARD (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)

最小安装、补丁与计划任务核查

dpkg --list

预期现象：表头通常包含 Desired、Status、Name、Version、Architecture、Description。

示例输出（节选）

Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name Version Architecture Description
+++-================-================-============-=================================
ii openssh-server 1:8.2p1-x amd64 secure shell (SSH) server
ii nginx 1.18.0-x amd64 high performance web server

apt list --installed

预期现象：应显示已安装软件包清单；输出通常较长。

示例输出（节选）

Listing... Done
acl/uos-server,now 2.2.53 amd64 [installed]
auditd/uos-server,now 1:2.8.5 amd64 [installed]
openssh-server/uos-server,now 1:8.2p1 amd64 [installed]

apt list --upgradable

预期现象：存在待更新补丁时应显示可升级软件包；无待升级时通常为空。

示例输出（节选）

Listing... Done
openssl/uos-security 1.1.1d-upgrade amd64 [upgradable from: 1.1.1d]
curl/uos-security 7.68.0-upgrade amd64 [upgradable from: 7.68.0]

timedatectl status

预期现象：应显示本地时间、时区、NTP 同步状态等信息。

示例输出（节选）

 Local time: Mon 2026-08-24 09:40:12 CST
 Universal time: Mon 2026-08-24 01:40:12 UTC
 Time zone: Asia/Shanghai (CST, +0800)
System clock synchronized: yes
 NTP service: active
 RTC in local TZ: no

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

0 2 * * * /usr/local/bin/backup.sh >> /var/log/backup.log 2>&1
*/30 * * * * /usr/local/bin/check_service.sh

groups 用户名

预期现象：应显示指定用户所属组列表。

示例输出（节选）

webapp : webapp sudo www-data

恶意代码防范核查

systemctl list-unit-files | grep -i clam

预期现象：安装 ClamAV 等防病毒服务时应显示对应服务项；未安装则无结果。

示例输出（节选）

clamav-daemon.service enabled enabled
clamav-freshclam.service enabled enabled

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

MaxAuthTries 4
LoginGraceTime 30
PermitRootLogin no
AllowUsers webapp auditor

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

maxauthtries 4
logingracetime 30
permitrootlogin no
allowusers webapp auditor

dpkg -l | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

ii fail2ban 0.11.1-x all ban hosts that cause multiple authentication errors
ii aide 0.16-x amd64 Advanced Intrusion Detection Environment

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled)
 Active: active (running) since Mon 2026-08-24 06:00:03 CST; 3h 42min ago
 Main PID: 988 (fail2ban-server)
 Tasks: 3 (limit: 4915)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

WARNING: Unauthorized access to this system is forbidden. Access is logged.

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

This system is for authorized operation personnel only.
Operations are subject to security auditing.

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

（无输出，表示不存在空口令账户）

debsums -s

预期现象：已安装 debsums 时会输出校验异常包；无异常时无输出。

示例输出（节选）

（无输出，表示所有已安装包校验通过；如异常会输出 debsums: changed file ... 类似行）

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

Start timestamp: 2026-08-24 09:45:00 +0800 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!
Number of entries: 102345
End timestamp: 2026-08-24 09:47:12 +0800 (run time: 2m 12s)