11、互联网安全中心关键控制与Linux安全实践

互联网安全中心关键控制与Linux安全实践

1. 互联网安全中心关键控制概述

在网络安全领域，不同的标准、监管或法律要求虽各有行业侧重点，但许多底层建议和要求却十分相似。当缺乏完善的安全监管指导时，互联网安全中心（CIS）的“关键控制”常被采用，并且它还能与监管要求结合，提升整体安全态势。

CIS关键控制并非合规标准，却是组织构建安全体系的优秀基础和实用模型。它注重实际攻击防御，而非单纯为了合规。若按顺序落实这些控制措施，组织能有效抵御常见攻击。例如，若不了解网络中的主机（控制1），就无法保障主机安全（控制3）；没有主机和应用程序的清单（控制2和3），日志记录（控制8）也难以发挥作用。

CIS关键控制由志愿者编写和维护，并会随时间不断修订，以适应操作系统和攻击手段的变化。这里介绍的是2021年发布的第8版，实际使用时应参考最新版本。

1.1 关键控制的实施组划分

第8版关键控制分为三个实施组：
- 实施组1（IG1） - 基本控制 ：组织通常从这里起步。落实这些控制后，组织能摆脱“最易受攻击”的困境。该组针对小型IT团队以及商用现货硬件和软件。
- 实施组2（IG2） - 中型企业 ：在IG1基础上扩展，提供更具体的配置和技术流程指导。适用于有专人或小团队负责信息安全，或有合规要求的大型组织。
- 实施组3（IG3） - 大型企业 ：针对拥有成熟安全团队和流程的大型环境。许多控制涉及组织层面，如与员工和供应商合作，制定事件响应、管理、渗透测试和红队演练的政策和程序。

每个实施