安全基线构建

安全基线不是检查表，是一组能被验证的默认状态。这份知识库记的是我在真实环境里搭过的那套基线，每条都写清楚改什么、为什么这么改、怎么确认改对了，以及什么时候可以不这么改。

覆盖范围

章节	解决什么问题
建设路线	为什么按网络 → 身份 → 终端 → 平台的顺序做，每一阶段的验收标准是什么
网络安全	内部流量默认不该互通，跨区访问必须显式放行并且留痕
身份与访问控制	权限跟着岗位走，不跟着人走；离职当天权限归零
终端与主机	一台机器被攻破后，攻击者的横向移动要尽可能难
日志与资产平台	让「谁在什么时候动了什么」可以被事后重建，而不是靠猜
支撑服务	存储、远程接入与网络准入：不是起点，但决定了基线的天花板

整体策略一句话：先稳定、后收紧、最后自动化。一次上线太多复杂策略，业务中断、网络异常、员工无法办公、维护复杂度暴增，这四件事会一起来。

适用规模

不是为重型 SOC 设计的，面向的是数十台终端的办公网络：没有专职安全团队，预算有限，但网络边界、身份认证、权限体系、日志体系、可追溯性、资产管理、横向移动防御这七件事要全部落地。规模再往上走，哪些直接复用、哪里该换商业方案，在建设路线里写了。

阅读方式

• 每个目录有自己的 _index，先读目录介绍再进文章，知道这一节为什么存在。
• 配置片段是最小可用版本，可以直接抄，但地址规划要按自己环境改。
• 标注「例外」的地方都是真实踩过之后才加的，没有例外就别自己发明例外。

关于取舍

基线最大的成本不是配置，是往后每一次偏离都要有人签字。所以这套东西刻意不求全：能靠网络分区解决的，不在主机上装包；能靠身份收敛的，不写本地组策略；能靠分区和审计看见的，不上一套没人看的商业 EDR。少一条规则，就少一个长期维护点。