系统与网络安全加固清单
一份可执行的加固清单，涵盖预防 / 加固 / 验证各领域：配置、修补、访问与验证行动。
快速解答
加固系统：移除默认/过度宽泛的访问权限，强制执行强认证与修补，限制不必要的服务，验证安全头/DNS/邮件控制项，并按计划重新验证配置。
定义
一份可直接执行的加固清单，将预防与验证转化为离散的配置、修补与访问控制行动。
事前（基线）
- 盘点资产、版本与暴露的服务；标注其业务关键性。
- 建立配置基线（CIS 基准）与补丁生命周期（
security:patch-management）。
事中（加固）
- 禁用或移除默认账户、不受管理的管理员 shell 与不必要的服务（缩小攻击面）。
- 对特权与远程访问强制执行 MFA（
security:identity-mfa）。 - 实施最小权限授权；审查过度宽泛的权限（
security:authentication-authorization）。 - 应用最新的关键补丁；优先修复暴露面最大/KEV 的 CVE（
guides:tool-cve-guide）。 - 按照
security:misconfiguration纠正已知错误配置（暴露的仪表盘、开放端口、全局可读的机密）。 - 验证外部端点：安全头（
guides:tool-headers-guide）、邮件/DMARC 态势（security:email-security）、DNS/记录卫生（guides:tool-dns-guide）。
事后（验证）
- 重新运行端点检查，确认头部/记录已修复。
- 确认无后门账户或意外计划任务/持久化。
- 重新建立基线并保存经验证的配置快照。
验证与升级
- 修复通过重新扫描验证，而非仅凭意图。
- 将发现的任何 P0 缺口（已被利用的 KEV 漏洞或暴露的凭据）升级至响应团队。
与 guides:threat-detection-response-checklist 和 guides:incident-response-playbook 搭配使用。