3. AMD EPYC安全基线制定方法论
安全基线不是“把能关的都关掉”，而是把一组可验证、可回退、可审计的安全配置固化为标准状态。对 AMD EPYC 平台而言，基线同时横跨固件（BIOS/UEFI）、BMC、操作系统与虚拟化层，因此制定方法论的核心是：先确定权威来源，再建立控制项到平台参数的映射，最后按业务场景裁剪并保留证据链。
一、基线来源：四层来源与优先级
EPYC 安全基线的来源可分为四层，优先级由高到低依次为：AMD 官方安全指南与处理器规格文档、行业通用基线（CIS Benchmark、NIST SP 800-53/800-171）、操作系统与虚拟化厂商加固指南（RHEL、Windows Server、VMware ESXi）、以及企业内部合规要求（等保、行业监管）。当来源冲突时，以 AMD 官方文档对平台行为的描述为准，行业基线用于补齐管理面与审计面控制项。
需要特别区分“平台能力”与“基线要求”。例如 AMD EPYC 支持 SME/SEV、SEV-ES、SEV-SNP 等内存加密能力，但基线是否启用取决于业务是否涉及多租户或敏感数据。基线文档应记录“能力清单”与“启用决策”两列，避免把可选能力误写成强制项。
二、CIS 与 NIST 映射：从控制项到平台参数
映射的目标是让每一条控制项都能落到具体可检查的对象上。以 CIS Benchmark 与 NIST SP 800-53 为例，常见映射关系如下：
| 控制目标 | CIS 示例 | NIST 示例 | EPYC 平台落点 |
|---|---|---|---|
| 固件完整性 | BIOS 写保护、安全启动 | SI-7、CM-5 | BIOS 写保护跳线、Secure Boot、SPI 保护 |
| 身份与访问 | BMC 强口令、禁用默认账户 | IA-5、AC-2 | BMC 用户策略、Redfish 账户、LDAP/AD 集成 |
| 内存保护 | 内存加密启用 | SC-28、SC-8 | SME、SEV-ES、SEV-SNP 配置 |
| 审计与日志 | 日志留存、时间同步 | AU-2、AU-6 | BMC SEL、OS auditd、NTP 源 |
| 漏洞管理 | 固件版本受控 | RA-5、SI-2 | AGESA 版本、BMC 固件版本、PSP 固件 |
映射表应至少包含四列：控制项编号、控制描述、平台落点、验证方法。验证方法要具体到“在哪个界面看哪个字段”，例如“在 BIOS 的 Advanced → CPU Configuration 中确认 SME 为 Enabled”，而不是笼统写“检查内存加密”。
三、AMD 安全指南解读：三个关键视角
AMD 安全指南通常围绕三个视角展开：处理器安全特性、平台固件信任链、以及虚拟化安全。解读时建议按以下顺序推进：
- 信任根与启动链：从 AMD 安全处理器（PSP）到 BIOS、再到引导加载程序的度量与验证路径。基线应记录是否启用 Secure Boot、是否启用 TPM/ fTPM、以及是否保留测量日志。
- 内存与虚拟机隔离：SME 提供内存加密，SEV 提供虚拟机内存加密，SEV-ES 加密寄存器状态，SEV-SNP 增加完整性保护。基线需明确“是否启用、密钥管理方式、是否与 vTPM 联动”。
- 管理面与带外访问：BMC 是独立于主机的攻击面。基线应覆盖 BMC 网络隔离、账户策略、固件更新签名校验、以及 Redfish 接口的 TLS 配置。
四、基线裁剪与定制原则
裁剪不是删减控制项，而是按风险与业务约束调整强度。建议采用“三档分级”方法：
- 基础档（所有 EPYC 服务器）：强制项，包括 Secure Boot、BMC 强口令与网络隔离、固件版本受控、审计日志开启、NTP 同步。这些项不依赖业务类型，必须全量执行。
- 增强档（多租户/虚拟化）：在基础档之上启用 SME、SEV-ES 或 SEV-SNP，并配置 vTPM 与密钥管理。裁剪时需评估性能开销与虚拟化平台兼容性。
- 定制档（高敏感/合规场景）：增加固件度量、TPM 绑定、BMC 双因素、以及更严格的日志留存周期。定制项必须逐条记录业务理由与批准人。
裁剪原则可归纳为四条：不可裁剪项（如 Secure Boot、审计日志）必须保留；可降级项（如日志留存周期）可按合规要求调整；可替代项（如用 LDAP 替代本地账户）需说明等效性；可延后项（如 SEV-SNP 在旧平台不可用）需记录补偿控制。
五、从基线到可执行检查：一个示例片段
以下示例展示如何把一条控制项写成可执行检查。假设控制项为“确认 SME 已启用”，在 Linux 下可通过以下方式观察：
# 检查 CPU 是否支持 SME
grep -m1 -o 'sme' /proc/cpuinfo
# 查看内核是否启用 SME
dmesg | grep -i -E 'sme|memory encryption'
# 查看 SEV 设备节点
ls -l /dev/sev
# 示例输出（仅作格式说明，非实测结果）
# /dev/sev 存在表示 SEV 驱动已加载
判断依据：若 /proc/cpuinfo 出现 sme 标志，说明硬件支持；若 dmesg 出现内存加密启用信息，说明固件与内核已开启；若 /dev/sev 存在，说明 SEV 驱动可用。三项同时满足才可判定“SME/SEV 基线达标”。若仅硬件支持而固件未开启，应回到 BIOS 检查 SME 与 SEV 选项，并确认 AGESA 版本满足要求。
把上述方法固化为流程后，基线文档应至少包含：控制项编号、来源、平台落点、目标状态、检查方法、裁剪结论、责任人、复审日期。这样在审计或故障排查时，才能快速回答“为什么这样配、怎么验证、谁批准”的三个问题。