EDR\/XDR 中的主机基线（Host Baseline）与配置漂移检测<\/strong><\/p>

一、什么是主机基线？<\/h2>
主机基线（Host Baseline）是指为服务器、工作站等终端设备建立的一套标准安全配置状态，包括系统设置、服务状态、文件权限、注册表项、网络配置等。它定义了"正常"和"安全"的基准状态，是后续安全监控和异常检测的基础参照物。<\/p>
在 EDR\/XDR 体系中，主机基线不是静态的配置文件，而是动态的、可量化的安全状态快照，通常以策略形式存在，能够持续比对当前状态与基线的差异。<\/p>
二、为什么需要主机基线？<\/h2>

安全合规要求<\/strong>：CIS、NIST、等保等标准都要求建立基线配置并定期检查<\/li>
降低攻击面<\/strong>：通过禁用不必要的服务、关闭高危端口、限制权限，减少可被利用的漏洞<\/li>
快速发现异常<\/strong>：当系统配置偏离基线时，能第一时间发现潜在威胁或违规操作<\/li>
统一安全管理<\/strong>：确保所有主机遵循统一的安全策略，避免配置不一致带来的风险<\/li> <\/ol>
三、主机基线包含哪些内容？<\/h2>
一个完整的主机基线通常涵盖以下维度：<\/p>

维度<\/th> 具体内容示例<\/th> <\/tr> <\/thead>

系统配置<\/strong><\/td> 密码策略、账户锁定策略、审计策略、防火墙规则<\/td> <\/tr>
服务状态<\/strong><\/td> 哪些服务应启动\/停止，如远程桌面、SMB、Telnet等<\/td> <\/tr>
文件权限<\/strong><\/td> 关键系统文件（如system32目录）的访问权限设置<\/td> <\/tr>
注册表项<\/strong><\/td> 安全相关的注册表键值，如UAC设置、远程访问配置<\/td> <\/tr>
网络配置<\/strong><\/td> 开放的端口、网络共享设置、DNS配置<\/td> <\/tr>
软件清单<\/strong><\/td> 允许安装的软件列表，禁止的软件（如挖矿工具）<\/td> <\/tr> <\/tbody> <\/table>
四、配置漂移检测的工作原理<\/h2>
配置漂移（Configuration Drift）是指系统配置随时间推移逐渐偏离基线状态的过程。EDR\/XDR 通过以下机制进行检测：<\/p>
1. 基线采集阶段<\/strong><\/p>

在"黄金镜像"或经过安全加固的系统上采集初始基线<\/li>
记录所有关键配置项的当前值（哈希值、状态、权限等）<\/li>
将基线策略下发到所有受管主机<\/li> <\/ul>
2. 持续监控阶段<\/strong><\/p>

代理程序定期（如每5分钟）采集主机当前配置<\/li>
与基线策略进行比对，计算差异<\/li>
记录偏离项、偏离时间、操作者（如有审计日志）<\/li> <\/ul>
3. 漂移分析阶段<\/strong><\/p>

区分"允许的漂移"（如系统更新、合法变更）和"可疑漂移"<\/li>
结合进程树、网络连接、用户行为等上下文信息判断风险等级<\/li>
生成告警或自动执行修复动作<\/li> <\/ul>
五、配置漂移的常见类型<\/h2>

恶意变更<\/strong>：攻击者修改系统配置以维持持久化或提升权限<\/li>
误操作变更<\/strong>：管理员误操作导致配置错误<\/li>
合规性漂移<\/strong>：系统更新后未及时调整安全策略<\/li>
影子IT<\/strong>：未经审批安装软件或开启服务<\/li> <\/ol>
六、EDR\/XDR 中的基线管理最佳实践<\/h2>

分层基线策略<\/strong>：针对不同角色（Web服务器、数据库、办公终端）制定不同的基线<\/li>
变更管理流程<\/strong>：所有配置变更需通过审批，并在基线中更新<\/li>
自动修复能力<\/strong>：对于高风险漂移，自动恢复至基线状态<\/li>
基线版本控制<\/strong>：记录基线变更历史，支持回滚<\/li>
定期评估<\/strong>：结合威胁情报和漏洞信息，持续优化基线策略<\/li> <\/ol>
七、与其他安全能力的联动<\/h2>

与威胁狩猎联动<\/strong>：配置漂移可作为威胁狩猎的线索，发现隐蔽的攻击行为<\/li>
与合规审计联动<\/strong>：自动生成合规报告，展示与基线的差异<\/li>
与自动化响应联动<\/strong>：检测到高危漂移时自动隔离主机或回滚配置<\/li> <\/ul>
通过主机基线和配置漂移检测，EDR\/XDR 能够从"配置安全"维度构建纵深防御体系，在攻击链早期发现异常，提升整体安全防护能力。<\/p>

维度<\/th>	具体内容示例<\/th> <\/tr> <\/thead>
系统配置<\/strong><\/td>	密码策略、账户锁定策略、审计策略、防火墙规则<\/td> <\/tr>
服务状态<\/strong><\/td>	哪些服务应启动\/停止，如远程桌面、SMB、Telnet等<\/td> <\/tr>
文件权限<\/strong><\/td>	关键系统文件（如system32目录）的访问权限设置<\/td> <\/tr>
注册表项<\/strong><\/td>	安全相关的注册表键值，如UAC设置、远程访问配置<\/td> <\/tr>
网络配置<\/strong><\/td>	开放的端口、网络共享设置、DNS配置<\/td> <\/tr>
软件清单<\/strong><\/td>	允许安装的软件列表，禁止的软件（如挖矿工具）<\/td> <\/tr> <\/tbody> <\/table> 四、配置漂移检测的工作原理<\/h2> 配置漂移（Configuration Drift）是指系统配置随时间推移逐渐偏离基线状态的过程。EDR\/XDR 通过以下机制进行检测：<\/p> 1. 基线采集阶段<\/strong><\/p> 在"黄金镜像"或经过安全加固的系统上采集初始基线<\/li> 记录所有关键配置项的当前值（哈希值、状态、权限等）<\/li> 将基线策略下发到所有受管主机<\/li> <\/ul> 2. 持续监控阶段<\/strong><\/p> 代理程序定期（如每5分钟）采集主机当前配置<\/li> 与基线策略进行比对，计算差异<\/li> 记录偏离项、偏离时间、操作者（如有审计日志）<\/li> <\/ul> 3. 漂移分析阶段<\/strong><\/p> 区分"允许的漂移"（如系统更新、合法变更）和"可疑漂移"<\/li> 结合进程树、网络连接、用户行为等上下文信息判断风险等级<\/li> 生成告警或自动执行修复动作<\/li> <\/ul> 五、配置漂移的常见类型<\/h2> 恶意变更<\/strong>：攻击者修改系统配置以维持持久化或提升权限<\/li> 误操作变更<\/strong>：管理员误操作导致配置错误<\/li> 合规性漂移<\/strong>：系统更新后未及时调整安全策略<\/li> 影子IT<\/strong>：未经审批安装软件或开启服务<\/li> <\/ol> 六、EDR\/XDR 中的基线管理最佳实践<\/h2> 分层基线策略<\/strong>：针对不同角色（Web服务器、数据库、办公终端）制定不同的基线<\/li> 变更管理流程<\/strong>：所有配置变更需通过审批，并在基线中更新<\/li> 自动修复能力<\/strong>：对于高风险漂移，自动恢复至基线状态<\/li> 基线版本控制<\/strong>：记录基线变更历史，支持回滚<\/li> 定期评估<\/strong>：结合威胁情报和漏洞信息，持续优化基线策略<\/li> <\/ol> 七、与其他安全能力的联动<\/h2> 与威胁狩猎联动<\/strong>：配置漂移可作为威胁狩猎的线索，发现隐蔽的攻击行为<\/li> 与合规审计联动<\/strong>：自动生成合规报告，展示与基线的差异<\/li> 与自动化响应联动<\/strong>：检测到高危漂移时自动隔离主机或回滚配置<\/li> <\/ul> 通过主机基线和配置漂移检测，EDR\/XDR 能够从"配置安全"维度构建纵深防御体系，在攻击链早期发现异常，提升整体安全防护能力。<\/p>