2. 安全基线建立：定义安全基线、基线配置项、基线审计方法

说实话，干了这么多年安全运维，我见过太多“裸奔”的设备了。很多团队觉得装了防火墙、上了杀毒软件就万事大吉。但真正的问题，往往出在最基础的配置上。

什么叫安全基线？说白了，就是一台设备在接入网络之前，必须达到的最低安全标准。它不是一个可选项，而是一个强制门槛。我习惯把它比作“体检报告”——每一项指标都合格了，才能上线干活。

2.1 什么是安全基线

安全基线，是一组经过验证的、最小化的安全配置集合。它定义了系统、网络设备或应用在特定环境下，必须满足的安全状态。

举个例子。一台刚出厂的 Linux 服务器，默认可能开了几十个端口，跑着各种不必要的服务。这就像你家大门敞开着，还贴了张纸条“欢迎光临”。安全基线要做的，就是把这些不必要的门都关上，只留下必须的通道。

我记得有一次，帮一家金融客户做渗透测试。他们自认为安全做得不错，结果我扫了一圈，发现一台核心数据库服务器居然还开着 Telnet 服务。一问才知道，是运维人员图方便，装系统时顺手勾上的。这就是没有基线管控的典型后果。

2.2 基线配置项：到底要管什么？

很多新手会问：“基线到底要配哪些东西？” 嗯，这个问题问得好。我一般把它分成五大类，你可以对照着检查。

配置类别	典型配置项	检查要点
账号与认证	密码策略、默认账号、SSH密钥、MFA	是否存在弱口令？默认账号是否禁用？
服务与端口	开放端口列表、运行服务、监听地址	是否有非业务端口？服务是否最小化？
文件系统权限	关键目录权限、SUID/SGID文件、umask	敏感文件是否被过度授权？
日志与审计	syslog配置、auditd规则、日志轮转	日志是否开启？是否集中存储？
系统补丁	内核版本、关键补丁、第三方组件	是否存在已知高危漏洞？

你想想看，如果这五类都管住了，设备的基本面就不会太差。我个人的习惯是，每类配置项都要有明确的“期望值”和“容忍度”。比如密码策略，期望值是“长度不少于16位”，容忍度是“至少12位”。低于容忍度，直接告警。

2.3 基线审计方法：怎么查？

基线定好了，不审计等于白定。审计不是走形式，而是要能发现问题、推动整改。我常用的方法有三种。

2.3.1 手动检查

适用于少量关键设备。比如核心路由器、堡垒机。我会亲自登录上去，一条一条命令对。虽然慢，但最可靠。

# Linux 基线检查示例
# 检查密码策略
cat /etc/login.defs | grep -E 'PASS_MAX_DAYS|PASS_MIN_LEN'

# 检查开放端口
ss -tlnp

# 检查SUID文件
find / -perm -4000 -type f 2>/dev/null

2.3.2 自动化脚本

对于上百台服务器，手动查会累死人。我一般写一个基线检查脚本，批量跑。脚本只做“检查”，不做“修复”，避免误操作。

2.3.3 持续监控

这是最理想的状态。基线不是查一次就完事了，而是要持续校验。我曾在项目中部署了 Osquery 或 Wazuh，实时监控配置变化。一旦发现偏离基线，立刻告警。

为什么会这样？因为设备运行过程中，配置是会变的。运维人员可能临时开个端口忘了关，或者某个补丁被回滚了。没有持续监控，这些“漂移”就会成为安全缺口。

2.4 基线建立流程：从零到一

光讲理论不行，我给你一个可落地的流程。这是我多次项目总结出来的，照着做，基本不会跑偏。

1. 资产盘点：先搞清楚你要管哪些设备。没有清单，基线就是空谈。
2. 行业对标：参考 CIS Benchmarks、等保2.0 或 NIST 标准。别自己瞎编，有现成的就用。
3. 内部裁剪：对标标准后，根据业务场景做减法。比如内网服务器可以适当放宽 SSH 登录限制。
4. 试点验证：先拿 3-5 台非核心设备跑一遍，看看会不会影响业务。
5. 全量推广：验证没问题后，批量下发基线配置。
6. 持续审计：建立定期审计机制，每周或每月自动检查一次。

2.5 知识体系总览

下面这张图，是我对安全基线建立的整体理解。你可以把它当作一个思维导图，方便记忆。

这张图把“定义-配置-审计”串成了一个闭环。你仔细看，每个环节都有对应的子项。我个人建议，刚开始做基线时，先从“配置项”入手，把账号和服务管住，再逐步完善审计机制。

嗯，关于安全基线建立，今天就聊这么多。记住一句话：基线不是束缚，而是保护。它让你在出问题时，能快速定位是哪里“越界”了。