Rocky 安全基线加固
最小可用系统装好之后，加固不该按流传的清单逐条抄，而应先确定官方给了哪些抓手，再按自己的暴露面排序。本页先列官方材料，再给出与之一一对应的落地顺序；没有官方来源的加固项，本页不写。
官方安全抓手的四份材料
Section titled “官方安全抓手的四份材料”安全基线的官方抓手有四份：security/firewalld（主机防火墙）、security/dnf_automatic（自动更新）、security/cve_hygiene（CVE 跟踪）与 books/security_enhancements（系统加固）；其中自动更新与漏洞跟踪这两条线，日常都落在 dnf 上。
它们覆盖三类工作：边界（谁能连进来）、补丁（漏洞什么时候被修）与加固（系统自身的攻击面）。把三类分开排期，比把所有条目塞进一次变更更容易验证。
系统加固：安全增强专题书
Section titled “系统加固：安全增强专题书”官方提供安全增强专题书（books/security_enhancements），含 PAM 等系统加固主题：PAM 章节从基本概念讲到配置文件与策略写法，并用实际案例演示（例如用 pam_faillock 在多次登录失败后锁定账户），章末提醒改动认证模块前先做系统快照。
读这类专题书时先看它的适用范围：加固项多数会改动认证与访问控制，回退成本比装一个软件包高，因此先快照、再改一项、再验证是基本节奏。
CVE 跟踪：从公告到补丁
Section titled “CVE 跟踪：从公告到补丁”官方提供 CVE 卫生（cve_hygiene）指南，说明如何跟踪与处置 CVE：核对软件包 changelog、用 dnf updateinfo 查看安全公告，并强调扫描器的结论需要人工复核。
两类动作对应两个问题：我装的版本修没修（对 changelog 与包版本）与还有哪些安全更新没打（看公告列表）。指南还说明了安全公告编号的构成，用来区分安全修复与普通更新。
自动更新与主机防火墙
Section titled “自动更新与主机防火墙”官方提供 dnf-automatic 指南与 firewalld 指南（基础与进阶）：前者解决「安全更新怎么自动打」，后者解决「哪些流量允许进来」。
两条线的顺序建议是：先把边界收紧，再让补丁自动进来。防火墙规则决定谁能连，自动更新决定漏洞多久被补上；前者的变更更容易引发业务中断，先做、并留出验证窗口。
落地顺序（本页整理）
Section titled “落地顺序（本页整理）”- 账户与认证：收敛可登录账户与提权方式，认证相关改动先快照再验证；
- 主机防火墙：默认拒绝入站，只放行业务必需端口，规则变更分批下发；
- 自动安全更新：先在测试机观察一轮更新结果，再在生产启用，并保留失败告警；
- 漏洞跟踪：定期核对已有补丁与未打补丁的安全更新，扫描器结论人工复核。
- Rocky 仓库结构与启停 — 自动更新的仓库前提
- Rocky 版本与支持周期 — 安全更新阶段的边界
- Rocky 合规基线（CIS 思路） — 逐项核对的另一条线
- Rocky 服务与 systemd 运维 — unit 与日志的日常检查
- Rocky 网络与性能调优 — 连接与内核参数的调优
- 共享教程：服务器基线实践 — 通用基线项
- 官方：firewalld 指南、自动更新指南、CVE 卫生指南