加固实操

加固的正确顺序是先有基线、再谈工具。AlmaLinux 的优势在于官方直接提供 SCAP 工具链与现成基线档案——加固不是凭感觉改配置，而是对着档案扫出差距再收敛。

账户与认证基线

先把与登录相关的口子收掉：普通用户走 sudo 而非共享 root；SSH 关闭密码登录改用密钥；空闲会话与密码 aging 按组织策略收紧。这些属于通用基线，改完用 last / lastlog 抽查一遍登录痕迹。

SELinux 与防火墙

SELinux 保持 enforcing 是底线——排查问题时用临时 permissive，别图省事直接 disabled。防火墙按「默认拒绝、按需放行」整理 firewalld 的 zone 与 service，收敛完用 firewall-cmd --list-all 留档。这两块的工具用法与本站维护的通用教程一致：SELinux 入门、firewalld 基础。

SCAP 工具链：装什么

官方 OpenSCAP 指南（针对 AlmaLinux 8）列出的四个包都在 AppStream 仓库，其他版本请到对应版本核对：

openscap — OpenSCAP 库与评估工具，负责评估系统、生成报告；
openscap-utils — 基于该库的命令行工具；
openscap-scanner — 打开漏洞与配置扫描等 SCAP 能力，并接入 SCAP Security Guide；
scap-security-guide — SCAP 格式的系统加固指南，内置各合规档案。

内置基线档案

官方指南写明，AlmaLinux 8 的 scap-security-guide 内置的档案覆盖常见合规口径：CIS AlmaLinux OS 8 Benchmark（Level 1/2 的 Server 与 Workstation 变体）、ANSSI-BP-028、通用操作系统保护档案（OSPP）、PCI-DSS v3.2.1 与 DISA STIG 等。指南也提醒：你系统上实际可用的档案可能与它列出的不同。

选档案比选工具重要——先确认审计方认哪个口径。

安装与首次扫描

sudo dnf install openscap openscap-utils scap-security-guide

安装后所有安全策略位于 /usr/share/xml/scap/ssg/content/ 目录，用 oscap 对着选定的档案做首次评估，把报告里的失败项按风险排序收敛，收敛完复扫留档。勘误数据与扫描的对接见安全公告与勘误跟踪。