一、合规基线概述：什么是设备合规基线、为什么需要合规基线、合规基线在安全体系中的位置
各位同学，咱们今天聊点实在的。
做安全这么多年，我见过太多公司被“薅羊毛”的场景了。明明买了最好的防火墙，装了最贵的EDR，结果呢？一台Redis服务器裸奔在公网上，连密码都没设。你说这安全投入，是不是打了水漂？
为什么会这样？说白了，就是缺了一个东西——设备合规基线。
1.1 什么是设备合规基线
先别急着背定义。我换个说法：合规基线，就是一台设备“应该长什么样”的标准答案。
你想想看，一台刚装好的Linux服务器，它应该有哪些配置？
- 密码策略：至少12位，包含大小写+特殊字符
- SSH配置：禁止root直接登录，端口改成非标
- 日志审计：开启auditd，记录所有命令操作
- 文件权限：/etc/shadow 只能root读
- 服务管理：关闭不必要的服务，比如telnet、rsh
把这些要求写成一份文档，就是基线。把这份基线落实到每一台设备上，就是合规。
一句话总结：设备合规基线 = 安全配置的“最低标准” + “强制要求”。它不是最佳实践，而是底线。低于这个线，就是不合格。
我个人习惯把基线分成三类：
| 类型 | 说明 | 举例 |
|---|---|---|
| 系统基线 | 操作系统层面的安全配置 | 密码策略、补丁版本、内核参数 |
| 应用基线 | 中间件、数据库、Web服务的配置 | Nginx禁用目录遍历、MySQL删除匿名用户 |
| 网络基线 | 网络设备与防火墙的策略 | ACL最小化、关闭未用端口 |
1.2 为什么需要合规基线
这个问题，我问过很多刚入行的朋友。答案五花八门，但核心就三个字：防翻车。
第一，防“人为失误”。
我记得有一次应急响应，客户说“我们服务器被黑了”。上去一看，好家伙，MySQL的root密码是空。运维小哥说“我忘了设”。你说这找谁说理去？有了基线，这种低级错误就能在巡检时直接揪出来。
第二，防“配置漂移”。
设备刚上线时是合规的，跑着跑着就“漂”了。今天开发说“我要开个端口调试”，明天运维说“我关个审计省点CPU”。三个月后，这台设备跟刚上线时完全不是一回事。基线的作用，就是定期拉回来，看看它“漂”了多少。
第三，防“合规审计”。
等保、ISO 27001、PCI-DSS……这些认证你总得过吧？审计老师来了，问你“密码策略怎么设的？日志保留多久？”你拿不出一份基线文档，人家直接给你判个“不符合”。
避坑指南：我曾经见过一家公司，为了过等保，临时抱佛脚改配置。结果审计过了，但业务崩了——因为改了内核参数没通知业务方。基线不是拍脑袋定的，一定要跟业务方、运维方一起评审。否则，合规就是“合鬼”。
1.3 合规基线在安全体系中的位置
很多新人会问：基线到底算安全运营的哪一环？
我画了张图，你看完就明白了。
从这张图你能看到，合规基线不是孤立存在的。它上面承接安全策略，下面驱动自动校验、修复和监控。说白了，它是整个安全运营的“腰”——腰不好，全身都别扭。
我个人的经验是：基线定得好，安全运维就成功了一半。因为后续所有的自动化脚本、巡检工具、告警规则，都是围绕基线来写的。基线如果定得模糊，脚本就没法写；基线如果定得太松，等于没定；基线如果定得太死，业务又跑不动。
小技巧：刚开始做基线时，别追求“大而全”。先挑最关键的10条，比如“禁止root远程登录”、“开启日志审计”、“关闭未用端口”。把这10条落地了，再慢慢加。一口吃不成胖子，安全也是。
1.4 本章小结
好，咱们捋一下今天的内容：
- 什么是合规基线？——设备安全配置的最低标准。
- 为什么需要？——防人为失误、防配置漂移、过合规审计。
- 在安全体系中的位置？——承上启下，是安全策略落地的核心抓手。