Rocky Linux 合规与安全基线（CIS 思路）

合规基线要回答两件事：判据从哪里来，以及判据变化时你怎么知道。Rocky 这条线上，官方给出的是一批安全抓手与一份生命周期定义；CIS 在本页只作为加固思路的参照。

本页的边界：CIS 是加固思路参照，不是官方基准

警告

本次核对未在 Rocky 官方文档站发现 CIS 基准条目。因此本页不声称官方提供 CIS 基准，也不给出任何 CIS 控制项编号；文中出现的 CIS 只表示本站组织加固动作时借用的思路分类（账户、内核与网络、审计与日志），判据本身仍需以你所在组织的合规要求为准。

把边界写在前面是为了避免两种误用：把「本站按 CIS 思路整理」读成「发行版有官方 CIS 基准」，或者把某次第三方扫描结果当成发行版的承诺。官方能给的是抓手；能不能通过某份基准，取决于那份基准的版本与你实际配置的比对结果。

官方抓手：安全增强专题书（含 PAM）

官方提供安全增强专题书（books/security_enhancements），其中包含 PAM 等系统加固主题。

注意

这本专题书是按加固对象分章的，而不是按某份基准的条目编号组织。用它做基线时，建议把每章关心的对象映射成你自己清单上的一条检查项，而不是照抄章节顺序。

官方抓手：CVE 卫生指南

官方提供 CVE 卫生（cve_hygiene）指南，说明如何跟踪与处置 CVE。

「CVE 卫生」这个提法本身就是方法：跟踪、判断影响、处置、留痕。把它接进流程时，关键不是有没有漏洞扫描器，而是扫描结果出来之后谁来判断「这一条影响不影响我」；判断依据应当是可核对的软件包与公告信息，运行侧见 Rocky 安全基线加固 与 Rocky 发布与变更跟踪。

官方抓手：自动更新与主机防火墙

官方提供 dnf-automatic 指南（Patching with dnf-automatic）与 firewalld 指南（基础与进阶两篇），分别对应自动安全更新与主机防火墙的官方做法。

警告

自动更新解决的是时延，不解决验证：把更新装上去，和确认业务仍然正常，是两件事。生产环境里应当先写清楚适用范围（哪些主机、哪些内容、什么时候重启），再决定是否开启。

补丁策略的事实背景

官方对生命周期术语的定义是：Active Support（亦称 Full Support）期间每 6 个月出小版本；其后的 Security Support（亦称 Maintenance Support）只提供安全更新。

这段定义对合规有直接影响：处在 Active Support 的主机会持续拿到小版本，基线应当跟随小版本复核；进入 Security Support 之后能等到的只有安全更新，基线里依赖新特性的项就不会再变化。各线的具体日期见 Rocky 版本与生命周期。

CIS 思路落到 Rocky 的三类动作

不引用控制项编号，也能把 CIS 的常见思路落成可执行动作；下面三类是本站整理时使用的分类：

• 账户与会话：账户清单与用途、提权路径是否收敛、会话与口令策略有没有明确归属；官方对应抓手是上文的安全增强专题书，判据来自你的组织策略；
• 内核与网络：内核参数的取舍要有记录（改了哪个参数、为什么、怎么回退），网络暴露面先收敛再开放，防火墙基线可以从上文的官方指南入手；
• 审计与日志：审计与日志的价值在于留存与可读——留存周期、轮转策略、异地副本缺一项，事后追溯就会变成猜谜；保留策略见 Rocky 备份与恢复。

自测与回归

基线定下来只是开始，能用才是终点。把自测做成三层：配置层（配置文件与参数是否符合基线）、行为层（实际生效的策略是否与配置一致）、流程层（更新之后基线有没有被复核过）。回归的触发点建议写死：基线每次变更、大版本每次升级、合规口径每次调整，各跑一轮。

注意

不要用「扫过一次没问题」代替持续复核：扫描结果有时效，基线也会随业务变化。留存每一轮的结果，才能回答「这条项是从什么时候开始不合格的」。

相关页

• Rocky 安全基线加固 — 官方安全抓手的落地顺序
• Rocky 版本与生命周期 — 支持窗口与补丁策略背景
• Rocky 发布与变更跟踪 — 变更进入生产前的对齐
• Rocky 网络与性能调优 — 网络暴露面与参数取舍
• Rocky 服务与 systemd 运维 — 审计、日志与服务的运行侧
• 官方：安全增强专题书、CVE hygiene、自动安全更新指南、firewalld from iptables