安全加固
概述
安全加固（Security Hardening）是为了保护信息系统、网络、应用程序以及组织资产免受网络威胁，而有意识地强化配置、设定与流程的活动。默认值（default）通常出于便利而处于开放状态，因此核心在于移除不必要的服务、账户、权限和端口，并应用最小权限原则。应将其理解为一项持续性流程，而非单一技术的引入：资产识别 → 威胁建模 → 控制措施实施 → 监控 → 改进。
主要内容
1. 资产识别与威胁建模
安全加固的起点是知道需要保护什么。建立资产清单，覆盖硬件、软件、数据、云资源、API、外包厂商访问路径，并对每项资产的机密性、完整性和可用性要求等级进行分类。随后使用 STRIDE、攻击树（Attack Tree）、MITRE ATT&CK 映射等方法进行威胁建模，并根据风险度（发生可能性 × 影响）确定控制优先级。威胁建模越是在开发早期阶段（Shift-Left）执行，成本越低。
2. 身份认证与访问控制
仅使用密码进行认证已不再充分。应在管理员账户和重要系统上优先应用具备抗钓鱼能力的基于 FIDO2/通行密钥（Passkey）的多因素认证（MFA），并结合 SSO 与条件访问策略（位置、设备状态、时间）。权限应从基于角色的访问控制（RBAC）细化为基于属性的访问控制（ABAC），并自动化定期权限审查（Access Review）以及离职人员、转岗人员账户的即时回收流程。服务账户和 API 密钥应在独立的保险库（Vault）中管理，禁止硬编码。
3. 加密与密钥管理
传输链路使用 TLS 1.2 及以上（尽可能使用 1.3），存储数据使用 AES-256 等经过验证的算法加密。重要的是密钥管理体系而非算法选择：应将密钥的生成、保管、轮换、废弃周期文档化，并使用 HSM 或云 KMS。通过数据库列加密、令牌化、脱敏减少个人信息暴露面，备份数据也必须加密。
4. 网络与终端安全
网络应按照默认拒绝（Default Deny）原则进行分段，并尽量减少暴露在互联网上的资产。部署 WAF、IDS/IPS、DNS 过滤，并对出站流量进行管控，以阻断 C2（命令控制）通信。终端应通过磁盘加密、屏幕锁定策略、应用程序允许列表、EDR 代理常驻运行、USB 等可移动介质管控进行加固。服务器应移除不必要的服务、端口和默认账户，容器应使用最小基础镜像并以非 root 运行。
5. 漏洞管理与补丁
收集各资产的 CVE、CVSS 信息，并结合实际暴露情况（是否暴露于互联网、是否存在公开利用）以风险为基础确定补丁优先级。获取 SBOM（软件构成清单）以跟踪开源依赖漏洞，并在 CI/CD 流水线中内置 SAST、DAST、SCA、机密扫描。将补丁窗口定期化，同时为紧急漏洞（零日、活跃利用）制定例外流程。
6. 日志、监控与检测
将认证日志、权限变更、数据访问、配置变更、网络流日志收集到中央 SIEM，并至少保存 6 个月至 1 年。为防止日志被篡改，应将其与完整性哈希一起保存在独立存储中。并行采用基于已知 TTP 的检测规则和基于异常行为的检测，为降低告警疲劳，结合基于资产重要性的优先级和自动响应（SOAR）剧本。
7. 零信任与最小权限
废弃“内网可信”的假设，验证所有访问。按用户、设备、服务为单位执行持续认证与授权，并通过微隔离阻断横向移动。管理员权限以 JIT（Just-In-Time，即时）方式仅在需要时授予，并应用会话录制。开发与生产环境分离、生产数据去标识化也已成为基本控制。
8. 供应链安全
随着外包、SaaS、开源依赖不断扩大，供应链已成为主要攻击路径。应在合同阶段明确安全要求和事件通知条款，并执行定期安全尽职调查与入侵历史核查。确保构建流水线完整性（签名制品、可复现构建、双重审批），并强制在部署前验证制品签名。
9. 组织与治理
仅靠技术控制是不够的。需要由管理层负责的安全政策、每年至少一次模拟演练（钓鱼演练、入侵响应演练）、事件响应计划（IR）与应急联络网、备份恢复演练（RTO/RPO 验证）。以 ISO/IEC 27001、NIST CSF 2.0 等框架为基线映射控制项，并用指标（KPI）衡量成效。
最新趋势
2024—2025 年最大的变化是 ①AI 的应用与 ②监管的具体化。攻击方利用生成式 AI 批量生产精密的钓鱼、深度伪造语音和恶意软件变种；防御方则引入基于 AI 的异常检测、自动分流、代码漏洞自动修复工具。不过，AI 代理和 LLM 应用本身也成为新的攻击面（提示注入、数据泄露、模型供应链），基于 OWASP LLM Top 10 的控制正在扩散。
在认证方面，通行密钥（Passkey）的采用正式展开，微软、谷歌、苹果生态以及主要服务正在推进密码替代，美国 CISA 的“抗钓鱼 MFA”建议实际上已成为标准。同时，为应对量子计算机威胁，向后量子密码（PQC）迁移已经开始；自 NIST 标准（ML-KEM、ML-DSA、SLH-DSA）公布后，建立加密资产清单（Crypto Agility）已成为主要课题。
监管环境也在快速收紧。欧盟通过 NIS2 指令、DORA（金融部门运营韧性）和网络韧性法案（CRA）强化了供应链安全与漏洞披露义务；韩国国内也随着信息保护管理体系认证和个人信息保护法修订，使日志保存、泄露通知、假名化处理要求更加具体。随着云和 SaaS 使用的扩大，CSPM、SSPM 等云配置安全工具以及“持续暴露管理（CTEM）”方法正在替代或补充传统漏洞扫描。最后，勒索软件应对已重组为以备份加密、不可变存储、恢复演练为中心，并且为投保而要求证明安全控制的趋势也在增加。
相关主题
- [[零信任]]
- [[勒索软件]]
- [[漏洞管理]]
- [[多因素认证]]
- [[后量子密码]]
- [[供应链安全]]
- [[信息保护法规]]