2. 安全存储前置条件：硬件隔离环境、操作系统版本、网络状态要求

Keystore 的离线存储必须在受控的物理与逻辑环境中执行。本章定义执行安全存储操作前必须满足的三个核心前置条件，任何一条不达标都不得进入存储流程。

适用场景

• 首次搭建离线 Keystore 存储环境时
• 存储环境发生物理变更（如更换主机、硬件故障修复）后重新使用前
• 操作系统版本达到生命周期终点（EOL）前的迁移准备
• 审计或合规要求下的环境复核

前置条件

操作步骤

1. 硬件隔离检查：关闭主机电源，打开机箱（如适用），移除或锁闭所有外部接口的主板跳线/挡板。重新上电后，执行设备列表验证。

   # 检查 PCI/USB 设备列表，与已批准 baseline 对比
   lspci -vnn | grep -E '(USB|Network|Serial)' 
   lsusb -t
   # 确认无未授权的外设控制器

2. 操作系统版本验证：确认发行版及内核版本符合策略，检查已安装的安全补丁。

   cat /etc/os-release
   uname -r
   # 查看安全更新安装记录（Debian/Ubuntu）
   grep -i "install" /var/log/dpkg.log | grep "security"
   # 确认无待安装更新
   apt list --upgradable 2>/dev/null | grep -i security || echo "No security upgrades pending"

3. 网络状态确认：物理拔除网线，关闭所有无线模块，检查网络接口状态。

   ip link show | grep -E '^[0-9]' | awk '{print $2,$9}'
   # 所有非 loopback 接口必须显示 state DOWN
   rfkill list
   # 所有无线模块应为 blocked: yes

4. 记录与环境锁定：将上述检查结果写入环境检查报告，并对满足条件的主机贴上“已隔离-离线存储用”标签。使用 chkconfig 或 systemctl 禁用所有非必要网络服务。

输入输出物

责任边界

记录材料

• 环境检查报告（PDF，含操作人与审核人签名）
• 系统状态快照压缩包
• 硬件物理隔离照片（机箱接口封闭状态，如适用）
• 检查清单原始签字版本

异常处理

验收标准

1. 硬件隔离：无网络接口启用（除 loopback），无 USB/串口设备被系统识别（经白名单确认的存储介质例外）。
2. 操作系统：显示 LTS 版本号，且最后安全更新日期不早于检查日 30 天（建议为当日）。
3. 网络状况：ip link 输出中除 lo 外所有接口 state 均为 DOWN；rfkill list 显示所有无线模块 blocked。
4. 所有检查项 100% 通过，环境报告已由操作员、运维工程师、安全审核员三方签章。
5. 系统状态快照已归档至离线存储介质（如加密 U盘）作为环境基线。