上一节我们学习了杀伤链模型，理解了攻击者的完整攻击流程；而要让之前学过的 P2DR、纵深防御、零信任等模型真正落地，就离不开企业安全策略与基线。它是企业安全的 “总纲领”，也是蓝队所有日常工作的制度依据。本节我们将拆解安全策略与基线的定义、核心框架、落地流程，帮你理解如何制定适配业务场景的安全规则，为后续的技术落地提供支撑。
一、什么是安全策略与基线？—— 先搞懂两个核心概念
很多初学者会把安全策略和安全基线混为一谈，其实两者是 “顶层规则” 和 “落地标准” 的关系，一张表帮你理清区别：
表格
| 维度 | 企业安全策略 | 安全基线 |
|---|---|---|
| 核心定位 | 企业安全工作的顶层规则与制度 | 安全策略落地的最低执行标准 |
| 解决的问题 | “我们要做什么、为什么做、谁来做” | “具体怎么做、做到什么程度才算合格” |
| 内容特点 | 宏观、原则性、方向性的要求 | 具体、可执行、可验证的配置项 |
| 例子 | “企业所有系统必须启用强身份认证” | “服务器密码长度不低于 12 位，包含大小写字母、数字、特殊符号，每 90 天强制更换” |
1. 企业安全策略：安全工作的 “总章程”
企业安全策略，是企业为了保护资产安全，制定的一系列原则、规则和流程的集合，它定义了企业的安全目标、责任分工、操作规范，是所有安全工作的依据。
- 核心作用：让企业的安全工作有章可循，避免 “拍脑袋决策”，确保所有部门、所有人员都遵循统一的安全规则。
- 特点：必须贴合企业的业务场景，不能照搬通用标准，否则会出现 “安全和业务冲突” 的问题。
2. 安全基线：安全合规的 “最低门槛”
安全基线，是企业为了落实安全策略，制定的一套统一、可量化的最低安全配置标准，它是企业所有资产（主机、网络设备、应用系统）必须达到的安全底线。
- 核心作用：消除企业内部安全配置的 “参差不齐”，避免部分资产配置过松、成为攻击突破口，同时满足合规要求。
- 特点：必须是可落地、可检查的，比如 “禁用不必要的服务” 不够具体，而 “禁用 Telnet、FTP 等明文传输服务” 才是有效的基线要求。
二、企业安全策略的核心框架（企业通用分类）
企业的安全策略，通常分为 3 大类，覆盖管理、技术、应急全场景，也是蓝队需要重点制定和维护的策略：
1. 管理类安全策略：明确规则与责任
这类策略定义了企业安全的管理规则、责任分工和流程规范，是所有技术类工作的基础：
- 典型策略示例：
- 企业信息安全管理总则：明确企业安全目标、各部门安全责任、员工安全义务
- 访问控制策略：定义不同角色的访问权限、权限申请与审批流程
- 员工安全行为规范：员工办公电脑使用规范、密码管理要求、钓鱼邮件识别规范
- 第三方供应商安全策略：对供应商的安全要求、数据共享规范、安全责任划分
- 蓝队落地动作：参与制定、评审管理类策略，推动各部门执行，定期检查策略落地情况。
2. 技术类安全策略：定义技术防护规则
这类策略是技术落地的直接依据，定义了不同技术场景下的安全要求，也是蓝队日常工作中最常接触的策略：
- 典型策略示例：
- 主机安全策略：Windows/Linux 服务器安全配置要求、补丁管理规范、杀毒软件配置标准
- 网络安全策略：防火墙 / IDS/IPS 配置规则、网络分段要求、VPN 接入规范
- 应用安全策略：Web 系统安全开发规范、漏洞修复流程、接口安全管控要求
- 数据安全策略：数据分级分类标准、数据备份与加密要求、数据外发管控规范
- 蓝队落地动作：根据策略制定安全基线，配置安全设备规则，定期检查技术配置是否符合策略要求。
3. 应急与恢复类策略：定义异常场景的处置规则
这类策略定义了企业遇到安全事件时的处置流程、责任分工和恢复要求，是安全事件处置的核心依据：
- 典型策略示例：
- 安全事件应急响应预案：不同等级事件的处置流程、角色分工、沟通机制
- 业务连续性计划：核心业务系统故障 / 被攻陷后的恢复流程、数据备份与恢复规范
- 漏洞应急处置流程：高危漏洞的发现、评估、修复与验证流程
- 蓝队落地动作：参与制定应急预案，组织应急演练，在事件处置时严格遵循预案流程。
三、安全基线的核心分类与企业落地标准
安全基线需要根据不同的资产类型制定，企业最常用的基线分为 4 大类，也是蓝队基线加固工作的核心：
1. 主机安全基线（Windows/Linux）
主机基线是企业最基础的基线要求，目标是缩小主机攻击面，提升终端与服务器的基础安全性：
- 核心配置项示例：
- 账户安全：禁用 Guest 账户、设置账户锁定策略（连续 5 次错误登录锁定 15 分钟）、管理员账户重命名
- 密码安全：强制密码复杂度、定期更换密码、禁止重复使用旧密码
- 服务与端口：禁用不必要的服务（Telnet、FTP）、关闭高危端口（如公网直接访问的 3389、22）
- 日志审计：启用系统安全日志、配置日志留存时间不少于 6 个月
- 蓝队落地动作：批量加固服务器基线，定期扫描基线合规性，修复不合规配置。
2. 网络设备安全基线（防火墙 / 交换机 / 路由器）
网络设备基线的目标是提升网络边界和内部设备的安全性，防止设备被攻陷或配置泄露：
- 核心配置项示例：
- 账户安全：修改设备默认管理员账户、设置强密码、启用 SSH 登录，禁用 Telnet 明文登录
- 配置安全：禁用不必要的远程管理功能、限制管理 IP 范围（仅允许指定 IP 登录设备）
- 日志审计：启用设备日志、配置日志外发至统一日志服务器
- 蓝队落地动作：定期检查网络设备配置，更新管理账户与密码，限制设备管理访问范围。
3. 应用系统安全基线（Web/API）
应用系统基线的目标是规范业务系统的安全配置，减少应用层攻击面：
- 核心配置项示例：
- 身份认证：所有后台系统启用双因素认证，禁用弱口令账户
- 访问控制：配置基于角色的权限管控，禁止越权访问
- 传输安全：所有 Web 服务启用 HTTPS 加密，禁用 HTTP 明文传输
- 错误配置：禁用应用详细错误信息回显，防止信息泄露
- 蓝队落地动作：定期检查应用系统配置，修复错误配置，推动开发团队按基线要求开发应用。
4. 数据安全基线
数据安全基线的目标是保护企业核心数据的保密性、完整性与可用性：
- 核心配置项示例：
- 数据分级：将数据分为公开、内部、敏感、核心四级，不同等级数据设置不同保护要求
- 数据备份：核心业务数据按 “3-2-1 原则” 备份，备份数据定期验证可恢复性
- 数据外发：敏感数据外发需经过审批，禁止通过个人邮箱、U 盘私自外发核心数据
- 蓝队落地动作：参与数据分级分类，检查数据备份与加密配置，监控敏感数据外发行为。
四、企业安全策略与基线的完整落地流程
制定策略和基线不是 “写个文档就完事”，必须遵循完整的落地流程，才能真正发挥作用：
1. 制定阶段：贴合业务，多方参与
- 明确企业的安全目标与业务场景，比如金融企业更关注数据安全，互联网企业更关注 Web 应用安全
- 联合业务、运维、开发、安全等多个部门制定策略，避免安全策略和业务需求冲突
- 参考行业标准（如等保 2.0、ISO27001），但不照搬，根据企业实际情况调整
2. 评审与发布阶段：合规、合理、可执行
- 组织管理层、各部门代表评审策略，确保策略符合企业战略、合规要求和业务实际
- 正式发布策略，明确生效时间、适用范围和各部门责任，让所有员工知晓并理解策略要求
3. 执行阶段：推动落地，全员参与
- 针对不同部门、不同角色，开展策略培训，比如给员工做安全行为规范培训，给运维做主机基线加固培训
- 制定配套的流程和工具，比如权限申请流程、基线加固脚本、漏洞修复流程，让策略落地有抓手
- 定期检查策略执行情况，比如每月检查一次主机基线合规性，每季度检查一次员工密码合规情况
4. 监控与更新阶段：持续优化，动态调整
- 监控策略执行过程中的问题，比如哪些策略难以落地、哪些基线配置影响业务运行
- 随着业务变化、新漏洞出现、合规要求更新，定期修订安全策略与基线，比如业务新增了云服务器，就要更新云主机的安全基线
五、落地常见误区（避坑指南）
很多企业制定了安全策略和基线，但落地效果很差，大多是踩了这些误区：
- 误区 1：照搬通用标准，不贴合企业业务直接照搬等保或大厂的安全标准，不考虑企业的业务场景，结果策略过于严苛，影响业务正常运行，最终没人愿意执行。
- 误区 2：只制定，不培训、不检查把策略和基线写成文档后就束之高阁，没有给员工培训，也不检查落地情况，等于白制定。
- 误区 3：策略和基线脱节顶层策略要求 “强身份认证”，但基线里没有对应的可执行配置项，导致策略无法落地，变成空口号。
- 误区 4：基线 “一刀切”，不区分资产重要性对核心业务服务器和普通办公电脑用完全一样的基线标准，要么核心资产防护不足，要么办公电脑配置过严，影响员工使用体验。
- 误区 5：一次制定，永不更新业务上线时制定了策略和基线，之后再也没更新，随着业务迭代、新漏洞出现，基线慢慢变得无效，甚至和新业务冲突。
六、安全策略与基线和之前模型的结合
安全策略与基线，是之前学过的所有蓝队模型落地的 “制度保障”：
- 和 P2DR 模型结合：防护环节的基线加固、检测环节的日志审计、响应环节的应急流程，都是基于安全策略制定的；基线合规性检查，也是持续优化闭环的重要环节。
- 和纵深防御模型结合：纵深防御的每一层防护，都需要对应的基线标准，比如网络层的防火墙规则、主机层的安全配置，确保每一层防线都符合最低安全要求。
- 和零信任模型结合：零信任的身份权限策略、微分段规则，都是企业安全策略的一部分；基线要求确保所有身份和设备都符合安全标准，才能获得访问权限。
- 和杀伤链模型结合：杀伤链每个阶段的防御措施，都是基于安全策略制定的，比如投递阶段的邮件过滤策略、利用阶段的漏洞修复流程，让防御动作有章可循。
📝 本节小结
企业安全策略与基线，是蓝队所有工作的 “总纲领”。策略定义了 “我们要做什么”，基线定义了 “具体怎么做”，两者结合，才能让安全工作从零散的技术操作，变成标准化、流程化的体系，为企业构建持续、稳定的安全防御能力。
No responses yet