https://plumephp.com/tags/cis/Recent content in CIS on PlumePHPHugozh-CNMon, 28 Sep 2026 10:00:00 +0800https://plumephp.com/linux-security-hardening/Mon, 28 Sep 2026 10:00:00 +0800https://plumephp.com/linux-security-hardening/<h2 id="引言">引言</h2> <p>一台刚装好的 Linux 默认配置经不起公网扫描。安全加固不是装一个工具，而是<strong>一套纵深防御流程</strong>：从系统基线、SSH 与权限，到强制访问控制、网络最小化、审计与入侵检测。本文按攻击者的视角走一遍防守方该做的每一层——先立目标与模型，再逐层落地基线配置、SSH 加固、PAM/sudo、SELinux/AppArmor、服务最小化、审计监控、入侵检测，最后用 CIS 基线验收加固效果。</p>https://plumephp.com/kubernetes-cluster-hardening/Sun, 27 Sep 2026 15:00:00 +0800https://plumephp.com/kubernetes-cluster-hardening/<p>Kubernetes 的安全边界是你自己划的。<strong>默认集群并不安全</strong>：API 匿名访问未关、RBAC 过度授权、无审计日志、NetworkPolicy 全开放。攻击者一旦拿到一次越权 Pod，就可能横向移动到控制面。本指南对照 <strong>CIS 基准</strong>，从<strong>控制面</strong>到<strong>工作负载</strong>到<strong>审计</strong>，建立一套「看得见、锁得住、查得到」的纵深防御。</p>https://plumephp.com/devops-cloud-native-security/Sun, 27 Sep 2026 10:30:00 +0800https://plumephp.com/devops-cloud-native-security/<p>云原生环境变化快、组件多、攻击面大——<strong>&ldquo;上线后请安全团队做渗透&quot;的传统模式，在每天发布几十次的节奏下完全失效</strong>。安全左移（Shift-Left）的核心是：把安全检查从&quot;上线后&quot;提前到&quot;每次提交、每次构建、每次部署&quot;里，用自动化门禁把风险挡在进入生产之前。本指南按流水线的推进顺序展开防线：镜像扫描（Trivy/Grype）→ IaC 扫描（tfsec/Checkov/OPA）→ 运行时安全（gVisor/Falco）→ 准入控制（Kyverno/Gatekeeper）→ 质量阈值门禁 → SBOM 依赖治理 → CIS 安全基线。</p>