核心原则：纵深防御
没有单一银弹，必须组合人、流程、技术多层防护。
第一优先级：基础卫生 (必须先做)
- 资产清单: 知道有什么设备、软件、数据、在哪里
- 修改所有默认凭证: Router、IoT、数据库、服务账号
- 启用 MFA (多因素认证): 所有账户，特别是邮箱、VPN、云控制台、特权账号
- 自动化补丁管理: OS、应用、固件、浏览器、插件
- 最小权限原则: 只给完成工作所需的最低权限
- 网络分段: VLAN/Subnet 隔离 (管理、生产、开发、客人、IoT、OT)
- 加密无处不在: 传输中 (TLS 1.2+/1.3, IPsec, WireGuard) + 静态 (BitLocker, LUKS, AES-256)
- 备份与恢复测试: 3-2-1 策略，定期演练恢复 (RTO/RPO)
第二优先级：检测与响应能力
- 集中日志收集与分析 (SIEM/Log Analytics): 防火墙、AD、VPN、EDR、云审计日志
- 端点检测响应 (EDR/XDR): 超越传统 AV，行为分析、威胁狩猎
- 网络流量分析 (NDR/Zeek/Suricata): 东西向流量可视化
- 威胁情报集成: IOC 馈送、TTP 映射 (MITRE ATT&CK)
- 建立 Incident Response Plan (IRP): 角色、流程、沟通、演练 (Tabletop Exercise)
第三优先级：架构现代化
- 零信任架构 (Zero Trust): Never Trust, Always Verify — 身份为新边界
- SASE / SSE: 融合网络与安全 (ZTNA, SWG, CASB, FWaaS)
- 微隔离: 工作负载级防火墙 (Illumio, Guardicore, Azure NSG, AWS SG)
- API 安全: Schema 验证、速率限制、OAuth2/OIDC、mTLS
- 供应链安全: SBOM、依赖扫描、签名验证、可复现构建
技术控制清单 (映射 NIST CSF / CIS Controls)
| CIS Control v8 | 关键行动 |
|---|---|
| 1. 资产清单 | 自动化发现、CMDB、标签化 |
| 2. 软件资产清单 | 授权软件列表、禁止未授权 |
| 3. 数据保护 | 分类、标记、DLP、加密、销毁 |
| 4. 安全配置 | 基线 (CIS Benchmarks)、漂移检测、IaC 扫描 |
| 5. 账户管理 | 生命周期、MFA、特权访问管理 (PAM)、定期审计 |
| 6. 访问控制 | RBAC/ABAC、最小权限、零信任网络访问 |
| 7. 持续漏洞管理 | 扫描、优先级 (EPSS/CVSS)、补丁 SLAs、例外管理 |
| 8. 审计日志管理 | 收集、保留、保护、分析、告警 |
| 9. 邮件/浏览器防护 | DMARC/DKIM/SPF、隔离、安全网关、浏览器隔离 |
| 10. 恶意软件防护 | EDR、行为阻断、自动修复、离线扫描 |
| 11. 数据恢复 | 备份、测试、离线/不可变副本、勒索软件保护 |
| 12. 网络基础设施管理 | 分段、ACL、加密隧道、设备加固 |
| 13. 网络监控防御 | IDS/IPS、NDR、DNS 过滤、流量分析 |
| 14. 安全意识培训 | 钓鱼模拟、角色化培训、文化建设 |
| 15. 服务提供商管理 | 风险评估、合同条款、持续监控 |
| 16. 应用软件安全 | SDLC 安全左移、SAST/DAST/SCA、WAF、RASP |
| 17. 事件响应管理 | IRP、CSIRT、取证就绪、事后复盘 |
| 18. 渗透测试 | 内部/外部、红队、紫队、持续验证 |
快速见效的 5 个动作
- 今天: 开启所有关键账号 MFA
- 本周: 修改 Router/设备默认密码，关闭 WPS/UPnP/Remote Mgmt
- 本月: 部署 EDR，建立备份测试流程
- 本季度: 完成网络分段，导入威胁情报，演练 IRP
- 今年: 落地零信任/SASE，成熟度评估 (CMMC, NIST, ISO 27001)
常见误区
- ❌ "买了防火墙就安全了" → 防火墙只是边界，内网横向移动靠微隔离/EDR
- ❌ "合规等于安全" → 合规是底线，安全要超越合规
- ❌ "只有大公司才被攻击" → 中小企业是主要目标 (自动化攻击不分大小)
- ❌ "安全是 IT 部门的事" → 全员责任，董事会问责
总结
最有效的方法 = 基础卫生做扎实 + 建立检测响应闭环 + 架构向零信任演进。不要试图一次性做完，按优先级迭代，度量关键指标 (MTTD, MTTR, 覆盖率, 补丁时效)，持续改进。安全是旅程，不是终点。
