先说个常识。操作系统装完，默认配置基本是冲着“能用”去的，不是冲着“安全”去的。
厂商也没办法。一个中间件默认只允许本机连接，装完连不上，客服电话当天就得爆。所以默认密码是 admin，默认端口全开，默认协议版本往低了留——为了兼容那些十年前的老客户端。
网络安全基线干的就是把“能用就行”改成“按规矩来”。规矩倒不用自己发明，CIS Benchmarks、NIST SP 800-53、等保 2.0 三级里主机安全那几条款、微软自己的安全基线文档，抄就是了。麻烦的是抄完之后怎么落地。
默认配置是给兼容性让路的
举几个具体的。Windows 域环境里，LLMNR 和 NetBIOS 名字解析默认是开着的，这两个协议在横向移动的口诀书里出现频率很高。SMB 签名默认不强制，中间人改包几乎没成本。
Linux 那边，sshd 默认允许 root 直接登录，也允许密码认证。MySQL 装完监听 0.0.0.0，有人把 root 账号的 host 从 localhost 直接改成百分号通配。
网络设备更省事。SNMP 团体字还留着 public，CDP 对着所有口广播。单看哪一项都不致命，堆在一起，就是一条从外网到内网再到数据库的完整路径。
基线清单通常分几层：账号与认证、网络与服务、日志与审计、补丁与更新、数据与加密。
我的建议是别一上来照抄 CIS Level 2。那玩意儿上千项，推下去第一天运维就想递辞职信。先挑那些改完不会有人打电话来的——关掉用不上的服务、把审计日志开起来、管理员账号的弱口令先改掉。低风险，高收益。
剩下那些牵一发动全身的，SMB 签名、LDAP 签名、Kerberos 策略，单独拉一个批次，慢慢来。
真正卡住你的是例外，不是技术
技术问题查文档总能解决，人的问题不行。
前两年我采访过一家做金属加工的企业。车间里那批数控机床是十几年前进的，控制系统只认 SMBv1，而且是硬编码在固件里的，改不了。IT 把域控的 SMBv1 一关，第二天整条产线就停在那儿了。
这算谁的错？设备采购那年没人在意协议版本，现在基线要求关，关了就停产。
最后的方案是折中。机床单独划一个 VLAN，用工业防火墙卡着，只允许它访问那台文件服务器，其余流量全断，同时把这个网段从域里摘出去。代价是运维多维护一套网段策略，还要每年做一次例外复审。收益是这台机器至少不能被人当跳板去打别的网段。
这就是基线的常态。例外本身不可怕，可怕的是例外没有名字、没有到期日、没有补偿措施。
很多单位的例外审批表就是一串“生产需要，暂缓整改”。三年之后还在那儿挂着。审计来了翻一眼，签字的人早调岗了。
所以例外清单必须有几个字段：谁申请的、为什么、配了什么补偿控制、什么时候到期。到期不续就算违规，这条得写进制度，否则没人当真。
配置漂移比漏洞更难缠
基线做完那天，系统是合规的。从第二天起，它就开始慢慢跑偏。
原因都不复杂。排障的时候临时开个端口，回头忘了关。业务上线急着要账号，先给管理员权限，说好回头降下来，然后就没有然后了。老的备份脚本需要明文密码，就让它明文待着。这里面没有恶意，全是图省事。
一个季度下来，通过率从九成掉到七成，没人说得清是哪天掉的。
手工检查治不了这个病。几千台机器的环境，一年查一次，查完那天就已经过期了。
得上自动化。Ansible、Puppet、SaltStack 这类配置管理工具本身就能做一致性校验；操作系统层面有 OpenSCAP；云上有 AWS Config 和 Azure Policy；域环境靠组策略加 Intune。选哪套不重要，重要的是检查频率——按天跑，不是按年跑。
这里有个坑：告警太多等于没有告警。一天跑出三百条差异，其中二百九十条是已知例外或者误报，安全团队第三天就把它静默了。
所以差异告警得分层。新出现的、不在例外清单里的、涉及高危项的，即时通知。已经在册的，每周汇总一份就够。
误伤是必然要付的账
改基线一定会打坏东西，区别只是早晚和多少。
我见过最典型的场景是：为了满足禁用不安全协议的要求，工程师批量推了一条注册表策略，结果某个部门的老式网络打印机集体掉线。那批打印机的固件是上世纪末的，厂商都注销了。
这事没得辩，就是误伤。减少误伤的办法不新鲜，但都管用。
先在测试环境里跑一遍。测试环境不必百分之百还原生产，但至少要有代表性的业务系统。分批灰度，先推十台，盯两天。留一个明确的回滚窗口，变更单上写清楚回滚步骤，而不是“如有问题请联系管理员”。
时机也得挑。别在月底结账日、大促前夜或者版本发布周推安全基线。技术上没问题，政治上会死得很难看。
还有一点常被忽略：推之前跟业务打个招呼。不是群发邮件通知，是真的找到那个系统的负责人说一声。这一步花十分钟，能省掉后面三天的扯皮。
合规是副产品，不是目的
不少单位做基线是为了过等保、过 ISO 27001 审核。这没什么不好意思承认的，有外部压力反而好推动。
但基线真正值钱的地方在出事那天。
勒索软件进来之后，最常被问到的是什么？日志有没有。攻击者从哪台机器横过去的。RDP 开没开。
如果基线做扎实了，这几个问题当天能有答案。日志留存六个月以上，RDP 收在白名单里，管理员账号不能从办公网登录，SMB 签名开着改不了包。攻击者能走的路少一大半。
反过来，一个日志只留七天、RDP 全网开放、管理员共用一套口令的环境，出了事只能靠猜。
所以别把基线当成一张要交的表格。它更像是给整个环境立的默认规矩。规矩立起来，大家在框里干活，偶尔有人要出框，走例外流程，留下痕迹。
最后说件能马上动手的。这周可以先把域控的密码策略和 SMB 签名打开，然后看有多少台机器会闹脾气。别急着全量推，先摸底。摸清楚了再动手，比照着文档一口气推完要稳得多。