安全基线概念：什么是安全基线、制定原则与常见标准
聊到物联网安全合规，第一个绕不开的词就是「安全基线」。我见过不少团队，一上来就追着最新的漏洞跑，今天修这个明天补那个，结果半年过去，连最基本的安全配置都没统一。说白了，安全基线就是给你画一条线——这条线以下，是不合格；这条线以上，才算入门。
什么是安全基线
安全基线，英文叫 Security Baseline，是一组最低限度的安全配置要求。它不是最高标准，也不是理想状态，而是「你至少要做到这个程度」。举个例子，你家智能门锁如果连固件签名验证都没有，那这条基线就没过。
我个人习惯把安全基线理解成「出厂设置的安全版」。每台设备、每个系统、每段网络，在投入使用之前，都得先过一遍基线检查。检查过了，才能上线；没过，就得整改。
核心要点：安全基线 = 可量化、可验证、可复现的最低安全要求集合。
我在项目中遇到过一家做智能水表的厂商，他们的设备出厂时 SSH 用的是默认密码，而且 root 账户直接对外开放。我问他们为什么不做安全加固？对方说「我们觉得默认密码用户会改」。结果呢？上线三个月，被挖矿程序感染了 2000 多台设备。这就是没有安全基线的代价。
安全基线的制定原则
制定安全基线不是拍脑袋，得遵循几个硬性原则。我总结了四条，你想想看是不是这个理：
- 最小权限原则——只给必要的权限，多一个都不要。比如一个温度传感器，它只需要上报数据，那就别给它执行远程命令的权限。
- 默认安全原则——出厂配置必须是安全的，而不是让用户自己去加固。默认密码、默认开放端口、默认调试接口，这些统统要关掉。
- 可审计原则——每条基线项都能被检查、被记录、被追溯。你说你改了配置，拿什么证明？日志、截图、自动化扫描报告，缺一不可。
- 持续演进原则——基线不是写一次管三年。威胁变了，业务变了，基线也得跟着变。我建议每半年至少 review 一次。
避坑指南：我曾经帮一家车联网企业做基线评审，发现他们的基线文档写了 200 多条，但一半以上没法自动化检查。结果每次合规审计都是人工翻配置，累死三个运维。记住：不能自动检查的基线，等于没写。
常见安全基线标准
目前业界最主流的两个基线标准，一个是国际通用的 CIS Benchmarks，另一个是国内等保 2.0 里的相关要求。我分别说一下。
CIS Benchmarks
CIS（Center for Internet Security）发布的 Benchmarks，可以说是安全基线界的「圣经」。它覆盖了操作系统、数据库、云平台、网络设备、容器等几乎所有主流技术栈。每个 Benchmark 都写得非常细，细到什么程度？连某个注册表项该设成 0 还是 1 都给你标清楚。
举个例子，CIS 针对 Linux 的 Benchmark 里有一条：/etc/shadow 文件的权限必须是 640 或更严格。为什么？因为如果权限太松，普通用户就能读到密码哈希，离线破解就只是时间问题。
CIS 的特点：社区驱动、更新快、有自动化工具（如 CIS-CAT）可以直接扫描。适合国际化企业和云原生场景。
等保 2.0
等保 2.0 是国内的法律法规级标准，全称是《信息安全技术 网络安全等级保护基本要求》。它把安全等级分成五级，一级最低，五级最高。物联网场景下，大部分设备落在二级或三级。
等保 2.0 里跟安全基线直接相关的，主要是「安全计算环境」和「安全区域边界」这两个控制点。比如它要求：
- 身份鉴别：必须使用双因素认证或证书
- 访问控制：默认账户必须重命名或禁用
- 安全审计：日志留存不少于 6 个月
- 入侵防范：关闭不必要的端口和服务
我个人的感受是，等保 2.0 更偏向「管理+技术」的结合，而 CIS 更偏向纯技术配置。两者不冲突，甚至可以互补。我在做国内项目时，通常的做法是：以等保 2.0 为合规底线，以 CIS 为技术参考。
| 对比维度 | CIS Benchmarks | 等保 2.0 |
|---|---|---|
| 发布机构 | 国际互联网安全中心 | 中国国家标准化管理委员会 |
| 适用范围 | 全球，偏技术配置 | 中国境内，偏管理+技术 |
| 更新频率 | 每季度更新 | 版本更新较慢（约 3-5 年） |
| 自动化工具 | CIS-CAT、OpenSCAP 等 | 等保工具箱、第三方扫描器 |
| 法律效力 | 行业最佳实践，非强制 | 国家强制标准，合规必过 |
安全基线在物联网中的特殊之处
物联网设备和传统 IT 服务器不一样。传统服务器你可以在上面装 Agent、跑扫描脚本、随时打补丁。但物联网设备呢？
- 很多设备是嵌入式系统，资源受限（内存 64MB 都算大的）
- 固件更新困难，甚至不支持 OTA
- 设备数量巨大，人工加固不现实
- 通信协议多样，MQTT、CoAP、BLE 各有各的安全坑
所以物联网的安全基线，不能照搬 CIS 的 Windows/Linux 基线。你得针对设备类型、芯片平台、通信协议做裁剪。比如一个基于 ESP32 的温湿度传感器，它的基线可能只有 10 条：关闭调试串口、启用安全启动、使用 TLS 1.2 以上、固件签名验证……够了，再多它跑不动。
注意：不要试图用一套基线覆盖所有物联网设备。网关、传感器、摄像头、智能锁，它们的攻击面完全不同。我建议按设备角色分类制定基线，每类不超过 30 条。
安全基线落地流程
光有基线文档没用，得落地。我一般按四步走：
- 基线定义——根据设备类型和合规要求，编写基线条目
- 基线检查——用自动化工具或脚本，逐条检查设备配置
- 差距整改——对不满足的条目进行修复（改配置、升级固件、加补丁）
- 持续监控——把基线检查嵌入 CI/CD 或设备生命周期管理流程
嗯，这里要注意：基线检查的频率取决于设备的重要程度。核心网关可能每天扫一次，而一个简单的传感器每周扫一次就够了。扫太频繁，设备扛不住；扫太少，风险敞口太大。
这张图展示的就是我一直在用的落地闭环。你看，从定义到检查，再到整改和监控，最后通过反馈回路回到定义阶段——基线不是一成不变的，它得跟着威胁和业务一起进化。
个人经验：我在做基线落地时，最怕的不是技术难，而是「基线漂移」。什么叫基线漂移？就是今天你检查通过了，明天运维手痒改了个配置，后天就忘了。所以持续监控这一步，一定要有自动化告警，谁改的、什么时候改的、改了什么，全得记下来。
好了，安全基线的概念、原则和常见标准，基本就这些。记住一句话：没有基线，安全就是空中楼阁。下一层我们开始聊怎么把这些基线真正落到物联网设备上，那才是硬仗。