Linux 主机 SSH 远程访问安全加固审计 Checklist + 自动化检查脚本（Bash，覆盖 6 个典型风险点）

背景

生产环境里，SSH 是运维人员进入 Linux 主机的唯一通道。我见过太多因为一行 PermitRootLogin yes 或 PasswordAuthentication yes 没关就被爆破拖尸的案例——SSH 配置看似简单，但 6 个高危风险点藏得很隐蔽，人工逐台检查效率极低，漏检概率高。

最终要什么

一套 可直接执行的 SSH 安全加固审计工具包，交付后运维同学 bash ssh_audit.sh <host> 即可对目标主机（支持本地或远程 ssh）跑完全量检查并输出结构化的审计报告（Markdown + JSON 双格式）。

输入与上下文

• 目标环境：RHEL 8 / CentOS Stream 9 / Ubuntu 22.04（任选其一为主，脚本需兼容至少 2 个发行版）
• 检查维度（6 个典型风险点）：
  1. 认证方式：是否仍允许密码认证（PasswordAuthentication）、是否允许空密码（PermitEmptyPasswords）
  2. Root 登录：是否允许 root 直接 SSH 登录（PermitRootLogin）
  3. 用户限制：是否配置了 AllowUsers / AllowGroups 白名单
  4. 转发与隧道：X11Forwarding / AllowTcpForwarding / PermitTunnel 是否按需关闭
  5. 会话限制：MaxStartups / MaxSessions / LoginGraceTime 是否设置合理上限
  6. 密钥与权限：ssh 公钥文件权限、authorized_keys 中是否存在过期或来源不明的密钥

交付格式

1. sshd_checklist.md：加固 Checklist，每个风险点含「风险描述 → 检测命令 → 加固命令 → 加固后验证命令 → 回滚方式」五段式，至少 6 个风险点
2. ssh_audit.sh：Bash 脚本（#!/usr/bin/env bash，兼容 bash 4+），接受目标主机参数，输出 Markdown 报告 + JSON 报告，退出码 0=全部通过 / 1=存在高危项 / 2=执行错误
3. README.md：使用说明（安装依赖、执行方式、报告解读、CI 集成示例），≤ 200 字
4. 测试记录：至少 2 个发行版（如 Ubuntu 22.04 + RHEL 8）上的实际执行截图或日志片段，证明脚本可跑通

边界条件

• 脚本不得修改目标系统配置（只读审计），所有加固操作仅输出建议命令
• 远程模式使用 ssh 协议，支持 -i 指定密钥文件
• JSON 输出结构需含 host / timestamp / checks[] / summary{critical,warning,pass}
• 不得依赖 Python / Perl 等第三方解释器，纯 Bash + 标准 Linux 工具（grep/awk/sed/sshd -T）