https://plumephp.com/tags/cis-benchmark/Recent content in CIS Benchmark on PlumePHPHugozh-CNSun, 27 Sep 2026 14:50:00 +0800https://plumephp.com/security-hardening-baseline/Sun, 27 Sep 2026 14:50:00 +0800https://plumephp.com/security-hardening-baseline/<h2 id="导语安全基线的意义是默认配置不安全">导语：安全基线的意义是&quot;默认配置不安全&quot;</h2> <p>大多数被入侵的主机，问题都不在某个高级漏洞，而是<strong>基础配置不当</strong>：root 可以直接 SSH 登录、22 端口对公网开放、用户口令永不失效、日志没开审计、任意用户都能 sudo。安全基线（Hardening Baseline）就是把&quot;不安全的默认值&quot;改成&quot;经评估的安全值&quot;，并<strong>用自动化工具持续校验，防止配置漂移</strong>。</p>https://plumephp.com/config-drift-security/Sun, 27 Sep 2026 12:00:00 +0800https://plumephp.com/config-drift-security/<h2 id="引言">引言</h2> <p>&ldquo;基础设施即代码&quot;承诺了一件事：<strong>集群里的现实 = 仓库里的声明</strong>。但现实中，这条等式经常被打破——有人为了排查故障手工 SSH 改了配置、某个自动化脚本直接调云 API 改了安全组、某个 AWS 控制台操作让数据库变成了公网可访问。当声明（Desired State）与现实（Actual State）不一致时，系统进入了**配置漂移（Configuration Drift）**状态。漂移的危害不只是&quot;配置不一致&rdquo;，更严重的是：<strong>安全基线被悄悄腐蚀</strong>——合规基线要求关掉的端口被重新打开、要加密的存储桶被改成了私有、要轮换的密钥过期了三年。</p>