Rocky Linux 合规与安全基线（CIS 思路）
This content is not available in your language yet.
合规基线要回答两件事：判据从哪里来，以及判据变化时你怎么知道。Rocky 这条线上，官方给出的是一批安全抓手与一份生命周期定义；CIS 在本页只作为加固思路的参照。
本页的边界：CIS 是加固思路参照，不是官方基准
Section titled “本页的边界：CIS 是加固思路参照，不是官方基准”把边界写在前面是为了避免两种误用：把「本站按 CIS 思路整理」读成「发行版有官方 CIS 基准」，或者把某次第三方扫描结果当成发行版的承诺。官方能给的是抓手；能不能通过某份基准，取决于那份基准的版本与你实际配置的比对结果。
官方抓手：安全增强专题书（含 PAM）
Section titled “官方抓手：安全增强专题书（含 PAM）”官方提供安全增强专题书（books/security_enhancements），其中包含 PAM 等系统加固主题。
官方抓手：CVE 卫生指南
Section titled “官方抓手：CVE 卫生指南”官方提供 CVE 卫生（cve_hygiene）指南，说明如何跟踪与处置 CVE。
「CVE 卫生」这个提法本身就是方法：跟踪、判断影响、处置、留痕。把它接进流程时，关键不是有没有漏洞扫描器，而是扫描结果出来之后谁来判断「这一条影响不影响我」；判断依据应当是可核对的软件包与公告信息，运行侧见 Rocky 安全基线加固 与 Rocky 发布与变更跟踪。
官方抓手：自动更新与主机防火墙
Section titled “官方抓手：自动更新与主机防火墙”官方提供 dnf-automatic 指南（Patching with dnf-automatic）与 firewalld 指南（基础与进阶两篇），分别对应自动安全更新与主机防火墙的官方做法。
补丁策略的事实背景
Section titled “补丁策略的事实背景”官方对生命周期术语的定义是：Active Support（亦称 Full Support）期间每 6 个月出小版本；其后的 Security Support（亦称 Maintenance Support）只提供安全更新。
这段定义对合规有直接影响：处在 Active Support 的主机会持续拿到小版本，基线应当跟随小版本复核；进入 Security Support 之后能等到的只有安全更新，基线里依赖新特性的项就不会再变化。各线的具体日期见 Rocky 版本与生命周期。
CIS 思路落到 Rocky 的三类动作
Section titled “CIS 思路落到 Rocky 的三类动作”不引用控制项编号，也能把 CIS 的常见思路落成可执行动作；下面三类是本站整理时使用的分类：
- 账户与会话：账户清单与用途、提权路径是否收敛、会话与口令策略有没有明确归属；官方对应抓手是上文的安全增强专题书，判据来自你的组织策略；
- 内核与网络：内核参数的取舍要有记录（改了哪个参数、为什么、怎么回退），网络暴露面先收敛再开放，防火墙基线可以从上文的官方指南入手；
- 审计与日志：审计与日志的价值在于留存与可读——留存周期、轮转策略、异地副本缺一项，事后追溯就会变成猜谜；保留策略见 Rocky 备份与恢复。
基线定下来只是开始，能用才是终点。把自测做成三层：配置层（配置文件与参数是否符合基线）、行为层（实际生效的策略是否与配置一致）、流程层（更新之后基线有没有被复核过）。回归的触发点建议写死：基线每次变更、大版本每次升级、合规口径每次调整，各跑一轮。
- Rocky 安全基线加固 — 官方安全抓手的落地顺序
- Rocky 版本与生命周期 — 支持窗口与补丁策略背景
- Rocky 发布与变更跟踪 — 变更进入生产前的对齐
- Rocky 网络与性能调优 — 网络暴露面与参数取舍
- Rocky 服务与 systemd 运维 — 审计、日志与服务的运行侧
- 官方：安全增强专题书、CVE hygiene、自动安全更新指南、firewalld from iptables