SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场security-hardening

security-hardening

安全与审计

查看项目

更新于 10-15 13:55

技能介绍

用途

Security Hardening 用于在基础设施各层面主动缩减攻击面，通过系统化配置加固、最小权限执行和自动化安全控制实现。它应用业界标准的 CIS Benchmarks 和零信任原则，覆盖操作系统、容器、云配置、网络和数据库。

适用场景包括：生产基础设施部署前加固；满足合规要求（SOC 2、PCI-DSS、HIPAA、FedRAMP）；实施零信任安全架构；降低容器或云配置错误风险；准备安全审计或渗透测试；自动化安全基线执行；响应漏洞扫描结果。

主要能力

五层加固

第 1 层：操作系统（Linux） 内核参数调优（sysctl）、SSH 配置加固、用户与组管理、文件系统权限与挂载选项、服务最小化、SELinux/AppArmor 强制执行。

第 2 层：容器 最小基础镜像（Chainguard、Distroless、Alpine）、非 root 容器执行、只读根文件系统、Seccomp 与 AppArmor 配置文件、资源限制与能力丢弃、Pod Security Standards 执行。

第 3 层：云配置 IAM 最小权限与 MFA 强制、网络安全组与 NACL 配置、静态与传输加密、公共访问阻断、日志与监控启用、CSPM 集成。

第 4 层：网络 默认拒绝网络策略、网络分段与微隔离、TLS/mTLS 强制、防火墙规则最小化、DNS 安全（DNSSEC、DNS 过滤）。

第 5 层：数据库 认证与授权加固、连接加密（SSL/TLS）、审计日志启用、网络隔离与访问控制、基于角色的最小权限。

核心加固原则

  1. 默认拒绝，显式允许：从全部拒绝开始，仅显式允许所需操作。
  2. 最小权限访问：授予运行所需的最低权限，使用 RBAC、限定资源的 IAM 策略和受限数据库角色。
  3. 纵深防御：实施多重重叠安全控制，网络防火墙、认证、授权、审计日志和加密协同工作。
  4. 最小攻击面：移除不必要的组件、服务和权限。
  5. 安全失败：出错或配置错误时默认进入安全状态。

加固优先级框架

  • 关键优先级：面向互联网的系统——立即应用容器加固、网络分段（DMZ、WAF、DDoS 防护）、TLS 终止与证书管理、速率限制与认证、实时监控与告警。工具：Trivy、Falco、ModSecurity、Cloudflare。
  • 高优先级：含敏感数据的系统——生产前应用静态加密（AES-256、KMS 管理密钥）、严格访问控制、全面审计日志、数据库连接加密、定期漏洞扫描。工具：Checkov、Prowler、Lynis、OpenSCAP。
  • 标准优先级：内部系统——系统化应用操作系统加固（CIS Benchmarks）、服务最小化、补丁管理自动化、配置管理、基础监控。工具：Ansible、Puppet、kube-bench、docker-bench-security。

CIS Benchmark 集成

提供自动化 CIS 扫描命令，包括 Docker CIS Benchmark、Kubernetes CIS Benchmark 和 Linux CIS Benchmark（Lynis、OpenSCAP）。关键 CIS 控制映射涵盖安全配置、账户管理、访问控制、审计日志管理、网络监控和数据保护。

容器基础镜像选择

根据安全需求与兼容性选择：生产应用推荐 Chainguard Images（约 10MB，0 CVE）或 Distroless（约 20MB，无 shell，调试较难）；开发可用 Alpine（约 5MB）；调试可用 Debian slim；遗留应用可用 Ubuntu。生产推荐 Chainguard Images 或 Distroless，开发推荐 Alpine。

验证与审计

加固必须持续验证。提供容器漏洞扫描（Trivy、Grype）、IaC 扫描（Checkov、Terrascan）、Kubernetes 安全扫描（Kubesec、Polaris、Trivy K8s）、云安全态势（Prowler、ScoutSuite）的命令示例，以及 GitHub Actions 持续验证流水线示例和合规报告生成方式。

自动化工具

  • 加固自动化：Ansible/Puppet/Chef、Terraform/Pulumi、Cloud Custodian、OPA/Gatekeeper、Kyverno。
  • 扫描工具：Trivy、Checkov、Falco、Prowler、ScoutSuite、Lynis、docker-bench-security、kube-bench。
  • 监控工具：Falco、Sysdig、Wazuh、OSSEC。

使用方式

提供常见加固任务快速参考，包括加固 SSH 访问、加固容器镜像、加固 Kubernetes Pod、加固 AWS S3 存储桶、使用默认拒绝加固网络、加固数据库访问，均附具体配置代码。

详细加固指南按层划分：操作系统、容器、云、网络、数据库。自动化脚本包括 Python 自动化、容器主机设置、合规报告生成、基础设施扫描。工作示例涵盖 Linux 配置、Kubernetes 清单、Terraform 模块。

入门步骤：评估当前态势（运行 CIS 基准扫描）→ 按优先级排序（面向互联网 → 敏感数据 → 内部）→ 应用基线加固 → 自动化 → 持续验证 → 监控 → 迭代。

适用场景

生产基础设施部署前加固、合规审计准备、零信任架构实施、容器与云配置风险降低、安全审计与渗透测试准备、安全基线自动化执行、漏洞扫描结果响应。

限制与注意事项

应避免的反模式：仅在部署时加固（加固是持续的）；盲目应用所有控制（应按风险与暴露程度排序）；无验证；依赖隐蔽性安全；未测试即加固；大规模手动加固。

该技能与其他技能集成：auth-security、secret-management、kubernetes-operations、infrastructure-as-code、building-ci-pipelines、observability、compliance-frameworks。

关于具体收费、价格、平台支持范围等信息，资料中暂未提供。