服务器安全加固服务：扫描、脚本还是项目？报价单必须说清的八项
CIS 基线扫描、加固脚本、加固项目，三样东西都叫“服务器加固服务”，交付的却完全不同。本文讲清每一种给您什么，以及签字之前能把它们区分开的八个问题。
本文据英文原文为亚洲读者改写：English version
简短回答
“服务器加固服务”在市场上有三种形态：报告差距的基线扫描、套用标准配置的脚本或模板、以及先评估您的主机、在受控窗口里落实修改、验证业务仍正常、最后交回可复用基线的加固项目。它们价格不同，因为交付的东西不同。报价单只有写明“发现问题之后做什么”，您才知道自己买的是哪一种。
这篇文章写给谁
写给博彩平台、加密货币交易所或金融科技公司的基础设施负责人、CISO 或合规负责人——被要求“把服务器加固一下”，正在比较服务商。本文只讲主机层：Linux 与 Windows 服务器以及跑在上面的东西。如果您还在决定身份、云、网络、应用几类加固先做哪个，先读英文原文中的在线博彩平台的加固优先级；本文默认服务器加固已经在清单上，只回答“该买什么”。
亚洲运营商常见的现实是：游戏后台、代理系统、出纳服务分别由不同的供应商或白牌平台搭建，机房在马尼拉、金边或新加坡，几台关键主机的配置多年没人完整看过。在这种环境里，“扫描”和“项目”的差距会被放大——扫描报告里的几百条差距，没有人知道哪条动了会让出纳服务停摆。
一个名字下的三样东西
| 基线扫描 | 脚本或模板 | 加固项目 | |
|---|---|---|---|
| 做什么 | 把配置与基线比对 | 套用一套标准配置 | 评估、落实、验证、交接 |
| 输出 | 一份差距清单 | 所有主机改成同一个样子 | 改好的主机 + 报告 + 可复用基线 |
| 了解您的业务 | 否 | 很少 | 必须了解，否则会改坏 |
| 检查修改是否生效 | 否 | 默认不 | 是，通过复测暴露面 |
| 适合的场景 | 测量起点 | 大规模完全相同的机群 | 重要且各不相同的主机 |
三种都没有错。扫描是合理的第一次测量；对一批从同一镜像构建的完全相同的服务器，脚本可能正好合适。错的是买了扫描却期待主机被加固，或者买了脚本却期待它知道您的出纳服务依赖某个被基线禁用的功能。
为什么“基线”本身不是交付物
CIS 基线和 NIST 的加固指引，是描述“某个操作系统上什么叫加固好了”的一套好用的共同语言。它们天生是通用的，由此带来两件事。
第一，它们包含与应用交互的设置。关掉某一项，在一台服务器上是正确选择，在另一台上就是一次停机。整套照搬基线，正是加固项目“老把东西搞坏”这个名声的来源。
第二，它们描述的是配置，不是攻击路径。一台主机可以通过基线里的大多数条目，却仍然通过基线不衡量的地方暴露在外：一个从扁平内网就能访问的管理接口、一个权限远超职责的服务账号、一把存放在机器上的部署密钥。所以项目的第一步是问“攻击者最可能从哪条路到达这些主机”，而不只是“哪些设置没开”。
CIS 基线还提供不止一个级别，更严的级别用兼容性换取防护。按主机角色选择级别、把例外记录下来，本身就是工作的一部分，也是值得向任何服务商提出的问题。
报价单必须包含的八项
请每一家服务商把下面八项写成书面：
- 按主机与角色列出的范围。 哪些服务器、哪些操作系统，按用途分组，哪些被排除。一句笼统的“全部服务器”掩盖了到底有多少套不同的配置。
- 指名基线。 哪个基线、哪个级别适用于哪个角色，谁来决定例外。
- 谁来落实修改。 服务商直接改您的主机、交给您的团队一份清单、还是两者混合；需要什么访问权限。只交报告的服务商，交付的是扫描。
- 变更窗口计划。 先预发环境，生产分阶段，每个阶段有约定窗口，每一项有回滚。
- 业务验证。 每个阶段之后如何确认您的应用仍在运行，您这边由谁签字。
- 复测。 如何确认暴露面确实关闭了，而不只是某个设置改了。
- 交付物。 变更报告、以代码或可重复配置形式交付的基线、对照基线的前后比对。
- 写明不在范围内的东西。 项目不覆盖什么——比如应用代码、云控制平面——这样您知道做完之后还有什么是开着的。
如果第 3、4、6 项缺失，您看到的大概率是一份按项目价格卖的扫描。
第一次通话值得问的问题
- 某个基线设置弄坏了我们的某个应用，你们怎么办？
- 是你们改主机，还是我们改？
- 怎么决定哪些主机用更严的级别？
- 你们走了以后，我们手里有什么，能在没有你们的情况下加固下一台服务器？
- 怎么证明一个设置不只是改了，而是它对应的暴露面已经消失？
能凭经验、具体地回答这些问题的服务商，描述的是一套流程；用一个工具名来回答的服务商，描述的是一件产品。
这件事不能替代什么
加固减少的是攻击者在一台主机上能够到的东西。它不会找出您还不知道的漏洞——那是漏洞评估或渗透测试的工作；它也不会盯着攻击尝试——那是托管 SOC 的职能。对持牌运营商来说，报告还得是审计方和牌照方读得懂的东西：写清的范围、指名的基线、以及修改已落实并经过检查的证据。
局限
这是一份买方框架，不是合规意见，也不为您的环境推荐某个具体的基线级别。基线内容随版本和操作系统变化，请以各平台的现行基线为准。本文不对厂商排名，也不引用任何服务商的结果，不含 AnySec 的自有数字。
下一步
把手里的报价单与上面八项逐一对照，标出每一份缺了什么。如果想让第二个人读一遍您的范围草案，可以就安全加固项目获取固定报价，把您已有的报价一并发来。安全加固页面说明一个项目如何进行、交回什么。
延伸阅读
- 漏洞评估与渗透测试的区别：博彩平台该先做哪个——加固默认您已经知道差距在哪，这篇讲怎么找出差距。
- 渗透测试服务报价单必须写清的事——同一套读报价的方法。
- English original: Server Hardening Services — Scan, Script, or Engagement?