1. 课程导入与安全基线全景

HPE ProLiant 服务器承载着企业最核心的计算与数据服务，一旦其管理面、固件或操作系统被攻破，攻击者往往可以越过业务层直接控制硬件、篡改引导链甚至持久化驻留。因此，本课程不从零散的安全功能讲起，而是先建立一张"全景图"：威胁从哪里来、基线要守住什么、访问控制要达到什么目标，以及后续 29 章如何围绕这条主线展开。

一、HPE ProLiant 的安全威胁模型

要理解安全基线，先要理解攻击面。ProLiant 服务器与普通 PC 最大的区别在于它拥有独立于操作系统的带外管理子系统——iLO（Integrated Lights-Out）。iLO 拥有自己的处理器、内存、网络接口和固件，即使主机断电，只要管理网口有电，iLO 依然在线。这意味着服务器实际上存在两条独立的攻击路径：一条经由业务操作系统，另一条经由管理平面。

从攻击者视角看，ProLiant 的威胁可以按"进入点"归类为四类。第一类是带外管理面入侵：iLO 默认或弱口令、暴露在业务网段、未启用双因素认证，攻击者一旦登录即可远程挂载虚拟介质、重启服务器、读取系统日志，甚至通过虚拟 KVM 直接操作主机。第二类是固件与引导链篡改：BIOS/UEFI、iLO 固件、网卡与 RAID 控制器固件若未做签名校验，恶意固件可在重装系统后依然存活，形成"重装也清不掉"的持久化。第三类是主机操作系统与配置弱点：弱口令策略、开放的高危端口、未打补丁的服务、过度的本地管理员权限。第四类是物理与供应链风险：未锁定的机箱、可插拔的启动介质、来路不明的固件更新包。

这四类威胁并非孤立，而是常常形成一条"攻击链"：先通过管理网扫描发现暴露的 iLO，用弱口令登录，再借助虚拟介质投放恶意引导镜像，最后篡改固件实现持久化。安全基线的意义，正是在这条链的每一个环节上设置可验证的阻断点。

二、安全基线的定义与边界

安全基线（Security Baseline）不是"把能开的安全选项全打开"，而是一组经过验证、可重复、可审计的最低安全配置要求。它有三个关键特征：其一，可度量——每一条基线都对应一个明确的配置项和期望值，例如"iLO 固件版本不低于 2.90"或"Secure Boot 状态为 Enabled"；其二，可复现——同一型号、同一固件版本的服务器应用同一基线后，结果应一致；其三，有依据——基线条目通常来自厂商安全指南、CIS Benchmark、DISA STIG 或企业自身合规要求。

需要特别区分"基线"与"加固"：基线是必须满足的底线，加固是在基线之上的增强。例如，启用 iLO 强口令是基线，而部署基于证书的登录并接入企业 PKI 则属于加固。课程后续章节会反复回到这个区分，避免把可选增强误当成强制要求，导致运维成本失控。

三、访问控制要达成的四个目标

访问控制是安全基线落地的主要手段。对 ProLiant 而言，它要同时覆盖"人"和"设备"两类主体，并达成四个目标：

• 身份可信：任何登录 iLO、BIOS 或操作系统的行为，都必须经过可验证的身份认证，杜绝匿名与共享账户。
• 权限最小：iLO 提供 Administrator、Operator、Read Only 等角色，应按岗位分配，避免人人都是管理员。
• 操作可审计：iLO 事件日志、系统日志、固件更新记录应集中留存，确保任何变更都能追溯到人和时间。
• 固件可信：从引导到固件更新，整条链上的组件都应经过签名校验，防止被替换。

四、课程整体结构

本课程共 30 章，围绕"认识威胁—建立基线—实施访问控制—验证与运维"的主线展开。前段聚焦 iLO 与固件安全，包括管理网隔离、账户与认证策略、证书与双因素；中段进入主机侧，覆盖 BIOS/UEFI 安全引导、Secure Boot、TPM 与磁盘加密、操作系统加固；后段处理运维闭环，包括日志集中、固件版本管理、合规检查与基线漂移修复。每一章都会给出可执行的配置对象、关键参数和结果判读方法，而不是停留在概念层面。