服务器安全检查与加固

按系统发行版、业务角色和管理网络盘点首批主机，记录登录来源、监听端口、特权账号及依赖服务。先实际验证备用管理通道，再保存关键配置、属主、权限与业务健康基线，检查记录应脱敏后归档。以下只读命令用于核对系统与服务现状；输出若出现未知监听或失败服务，先由负责人解释，不直接执行关闭或重启。

uname -r
ss -lntup
systemctl --failed

优先按经审阅的只读清单核对账号、sudo 权限、SSH 生效策略、服务暴露、文件权限和日志留存；如已部署并完成安全准入的 InfraGuard，仅复用其主机台账与分组确定检查对象；基线规则、风险判断和整改证据由独立检查流程与人工记录承担，不将资产管理或 SSH 任务执行等同于内置安全扫描。补丁结论结合发行版安全公告与包构建信息，避免只看上游版本。每个发现保留主机、命令来源、关键输出和业务依赖，并区分立即整改、窗口整改与风险例外。

将已确认整改项拆成独立任务，指定唯一试点主机、恢复文件及失败停止条件。先审阅模块的检查模式支持情况，确认不存在强制执行的 check_mode: false 任务，差异输出涉及凭据时关闭该任务的 diff。下列预检不会代替真实试点；语法及差异确认后，才在窗口内对试点逐项应用，每项完成即验证登录与业务。

ansible-playbook -i inventory hardening.yml --syntax-check
ansible-playbook -i inventory hardening.yml --check --diff --limit canary

先准备并验证授权管理账号、密钥或既定认证机制，再按批准清单调整 SSH 与 sudo 策略。涉及 Match 条件时按实际用户和来源检查最终配置，执行 sshd 配置语法检查通过后再采用发行版支持的重载流程。保留原会话，从独立终端完成新登录及所需提权后，才处理旧账号或认证方式；防火墙来源限制单独执行，不与认证变化同时放大。

逐项核对无用服务、监听地址、日志权限及保留策略，确认业务依赖后才停止或限制服务；内核和系统库更新按独立补丁方案安排。配置 Fail2ban 时先确定认证日志后端、过滤器与封禁动作是否匹配，设置真实管理来源例外和可接受的观察、封禁时间。用隔离测试来源验证命中与解除行为，避免共享出口被误封，并持续检查审计和日志磁盘增长。

试点通过后按同发行版和同业务角色划分小批次，使用固定 inventory 与 serial 控制并发，每批执行前确认没有新故障或额外变更。按登录、业务请求、计划任务、监控与备份顺序回归，涉及长周期任务的项目保留待验证状态。比较任务结果和配置差异，若同一项目在多台出现失败或业务指标偏离停止阈值，立即冻结批次并先分析共同原因。

重新执行同一版本检查项，逐条对比前后证据，确认风险关闭是实际配置改善而非检查条件变化。整理例外的原因、补偿措施、到期日和责任人，把需重启的补丁、待运行的备份任务及登录观察分别转为后续工作。归档资产清单、任务版本、配置恢复点和试点记录，并安排定期漂移检查；后续新增主机按相同角色基线接入。