6-9 其他安全措施 · 波仔的云计算课

📄 一句话概括

前面所有的墙、摄像头、杀毒，防的都是【怎么进来】。访问控制防的是另一件事：进来之后，他能碰什么。 核心是最小权限——只给干活需要的那点权限。而把这条原则推到每一个请求上，就是这几年最常被提到的零信任：取消【内网就是可信的】这个前提，每一次访问都重新验证。

📝 本节和前面几节的关系

这是本章的最后一节，也是唯一一节把落实的手段落在【权限】而不是【设备】上的。教材把它放在最后，用意和前几章一致：前面七节讲的都是【把什么挡在外面】，这一节回头补上最重要的一层——因为现代攻击往往【用合法身份从正门进来】，那么【让他进来也做不成事】就成了最后一道、也是最有效的一道防线。

它直接接 6-3 攻击链的第 3 步（提权）与第 4 步（横向移动）——那一节列出的对策里反复出现的就是【最小权限】，这一节把它展开讲透。

一、最小权限：把【用得到】和【用不到】分开

【最小权限】这条原则说出来平平无奇，但它同时解决两个问题：

少出事：权限给多了，被攻击的面就广。一个只用来看报表的账号，不应该能删数据库。
出了事不至于全完：即使这个账号被攻破，攻击者拿到的也只是【它能碰的那一点】。

而现实中的默认状态往往正好相反。原因不是有人故意，而是因为有三种非常合理的推动力：

推动力	造成的结果
【先让业务跑起来】	权限一步给到位，省事
【人员变动】	换了岗，旧权限没撤
【怕出事被叫去修】	干脆多给一点，免得来回申请

三条合起来，就是所谓的【权限膨胀】——它不来自某一次错误的决定，而来自一连串合理的小决定。

二、动手 Demo：权限与路径数的账

看到什么算成功：

==================================================================================================
【Demo 9】其他安全措施：访问控制
==================================================================================================
  前面所有的墙、摄像头、杀毒，防的都是【怎么进来】。
  访问控制防的是另一件事：进来之后，他【能碰什么】。

  【一】最小权限：把【用得到】和【用不到】分开

  场景：100 人的公司，服务器管理员权限

  做法                    有多少管理员账号              风险面
  ----------------------------------------------------------------------------------------
  人人都是管理员          100 个                        一个人中招，全公司跟着沦陷
  按需临时提权            3 个常驻 + 其余临时申请       中招的账号通常本来就没权限

  【二】几条措施要一起用才有效

  措施                一句话说明                        解决什么问题
  --------------------------------------------------------------------------------------------
  最小权限            只给干活需要的那些权限            中招后能造成的破坏有限
  职责分离            一个人不能从头管到尾              防单点作恶、也防单点失误
  即时提权            要用那一刻才给，用完就收回        权限挂着不用最危险
  特权账号管理        管理员操作全程录像                出了事查得清，平时也震慑

  【三】算一算分段能把横向移动的路掐掉多少

    100 台机器两两之间都通（扁平网络）：
      路径数 = 100 x 99 / 2 = 4950 条

    分成 5 段，每段 20 台，段内互通、段间默认拒绝：
      路径数 = 5 x (20 x 19 / 2) = 5 x 190 = 950 条

    4950 / 950 = 5.2 —— 攻击者可走的路缩到原来的五分之一。
    这就是分段最直接的价值：不是【进不来】，而是【进来了也走不远】。

  【四】2026 的关键词：零信任

    老思路的前提是【内网就是可信的】——进了墙就被当成自己人。
    这个前提现在不成立了：钓鱼进来的账号、被偷的令牌，都在内网里。

    零信任就是取消这个前提：每一次访问都验证
    （你是谁 + 你的设备健不健康 + 你在哪、什么时候），
    不因为【你已经在内网】就自动放行。

    它和本节的关系：访问控制是零信任的最小单元——
    零信任不是一样新产品，而是把【最小权限 + 每次验证】做到每一个请求上。

读结果：

第一张表的对比不是【100 个对 3 个】，而是两种风险结构。左边是【一个人中招，全公司跟着沦陷】——100 个入口，每一扇都通到底；右边是【中招的账号通常本来就没权限】——它把【被攻破】和【被攻破之后能做什么】拆开了。 这是本节最重要的一句：不能指望【不被攻破】，那就让【被攻破的代价】变小。
第二张表里最容易被跳过的是【职责分离】。它的意思是一个人不能从头管到尾——比如【申请权限的人】和【批准权限的人】不能是同一个，【改代码的人】和【把它发布上线的人】最好也不是同一个。它防的是两件事：单点作恶和单点失误——而后者其实更常见（一个人自己申请自己批，出事的时候也没人复核过）。
第三段（路径数）是一个很直观的算法。100 台机器全通，两两之间的路径是 4950 条；分成 5 段、段间默认拒绝之后，只剩 950 条（段内互通）。这个数字的意义不在于精确，而在于它说明【分段缩小的是攻击者可走的路径数量】——注意它缩小的不是【进不来】，而是【进来之后能去哪】。

三、这几条措施为什么要一起用

Demo 第二张表里的四条，单独任何一条都有漏洞：

只做这一条	会漏什么
只做最小权限	权限再小，长时间挂着也总有一天被用上
只做即时提权	提权的那一刻如果没记录，事后查不出来
只做职责分离	两个人合谋，或者一个人借另一个人的号
只做录像	录了没人看，等于没录

它们合起来才形成一个闭环：平时只给一点点（最小权限）→ 要用的时候才给、用完就收（即时提权）→ 关键动作不是一个人能决定的（职责分离）→ 做过的都留下记录（特权账号管理）。

这条闭环的思路也能推广到整章：每一节讲的措施，单独都挡不住所有情况；它们的价值在于【覆盖了攻击链的不同步骤】。

四、零信任：取消【内网可信】这个前提

【零信任】是这几年出现频率最高的安全词，但它说的其实是一件很朴素的事。

老思路（边界模型）是这样的：画一条线，线外面不可信、线里面可信。 你在外面要验证，进来之后就被当成自己人——这也解释了几十年来网络设计的一个默认假设：内网里互相访问是放开的。

这个前提现在不成立了，原因正是本章反复讲的几件事：

攻击者用合法身份进来（钓到一组凭据），他本来就在内网里。
远程办公和云让【内网】的边界消失——服务在云上、人在家里，那条线画在哪里都说不通。
一台中招的笔记本本身就是【内网的一部分】，它连上公司网络的那一刻，就已经在【里面】了。

所以零信任做的事就是删掉这个前提：不因为【你已经在内网】就放行——每一次访问都重新验证三件事：你是谁、你的设备健不健康、你在哪、什么时候。

它和本节的关系是：零信任不是一个新产品，而是【最小权限 + 每次验证】做到每一个请求上。 所以访问控制是零信任的最小单元——你不是去买一个【零信任】，你是把自己的权限模型和数据流一条条理清楚。 这也是为什么本节把它放在最后：前面几节买的都是设备，这一节要的是【先想清楚谁该有什么权】。

一个务实的提醒：零信任落地是按范围一点点做的（先保护最关键的几套系统），全公司一次改完的案例几乎没有——所以它更像一条方向，而不是一个项目。

五、本章到此

第六章从【风险分两类】起头，一路讲到【谁来碰什么】。回头看，这九节其实在回答四个层次的问题：

认识层面：风险有哪几类（6-1）——先把【会怎么坏】说清楚，否则对策无从谈起。
制度层面：策略与认证（6-2）——把要防什么写下来，并让外人能核验。
技术层面：纵深防御的六层（6-3~6-8）——物理、防火墙、DMZ、检测、防病毒，每一层防的都不是同一件事。
主体层面：访问控制与零信任（6-9）——前面都在讲【怎么挡】，这一节回到【人】身上。

一句话收束这一章：前面五章讲的是【云能做什么】，这一章讲的是【它会怎么坏】——而这两件事是一体的：正因为把这么多东西交给了别人、放在了外面，才需要在每一个环节上都留下自己的防线。 而本章真正的落点其实是那句老话：安全不是一个产品，是一种常态——它由策略、流程、设备和人共同维持，任何单独一样都撑不住。

☐ 下一章（7-1 云服务开箱即用：选择题与标准答案）

30 秒实验

打开任意一个你常用的在线服务（邮箱、网盘、办公套件都行），进入它的【安全设置】页，做三件事：

看有没有【登录设备列表】——列出最近登录过的设备。
看有没有【第三方应用授权】——列出你用这个账号登录过哪些别的服务。
数一数这两个列表里，有多少是你已经不用了、但还挂着的。

做完你通常会发现几个【早就不用了还在授权】的条目——这就是本节说的【权限膨胀】在你个人账号上的版本。它和 Demo 第一张表讲的是同一件事：权限不会自己过期，只会一层层堆上去。而清理这两个列表，就是最小权限原则最便宜的实践。

常见误区

错误：最小权限就是把权限压到最低。——纠正：它的目标是【刚好够用】，不是【越低越好】。权限压得太低，人会去找绕过去的办法——共享管理员密码、把脚本写在别人的账号下跑、或者干脆把数据导出到自己的电脑上做。所以判断标准不是【权限有多小】，而是【有没有绕路】：如果一套权限设置逼出了共享账号，那它比给足权限更危险（因为共享账号没人负责，日志上也看不出是谁做的）。
错误：零信任就是买一个零信任产品。——纠正：零信任是一套【设计原则】，不是一个可以买来的盒子。它的核心动作是两件很具体的事：① 把权限收到【只够用】；② 让每一次访问都要验证，而不是【进来就放行】。 产品只是帮你做这两件事的工具——如果内部权限模型还是一团乱，装什么产品都只能把它原样搬到更贵的地方去。 所以零信任项目真正的第一步，是画清楚【谁需要访问什么】。
错误：内网是可信的，所以内网之间的访问不用管。——纠正：这个假设现在正是最大的风险来源。原因有三条：① 攻击者用合法凭据进来，他本来就是【内网用户】；② 一台中招的员工笔记本连上公司网络，它就是内网的一部分；③ 云和远程办公让【内网】这个词本身变得模糊。所以现在的正确姿势是边界照防、但不再依赖边界——把验证放到【每一次访问】上，而不是【进门那一次】。
错误：安全做到最后，靠的就是技术。——纠正：本章九节里，靠技术能解决的只有一半。策略要人来写和批（6-2）、补丁要流程来排（6-8）、例外要有人登记、权限要有人定期复核（6-9）。而这些动作的共同特点是【没人盯着就会停】——所以本章真正的落点是那句：安全不是一次投入，是一种常态。 一个技术上堆满设备的组织，如果没人定期看日志和权限，它的实际安全水平可能不如一个设备普通但流程扎实的组织。

自测三问（点开对答案）

1. 为什么【最小权限】的价值不只是【少出事】，还包括【出了事不至于全完】？ —— 因为**它改变的是【被攻破之后的后果】而不是【会不会被攻破】**。这两件事必须分开看：**任何防护都有被绕过的可能**（本章前面几节已经说明了这一点），所以**假设【总会有一次被突破】是更现实的前提**。在这个前提下，能控制的就只剩下一件事——**那次突破之后攻击者能拿走多少**。Demo 第一张表讲的就是这个：左边是【100 个账号，一个人中招全公司沦陷】，右边是【中招的账号本来就没权限】。**换句话说：最小权限买的不是【不出事】，是【出事的规模】。** 2. 为什么【分段】能让攻击者能走的路少五分之四，但这不是【越分越好】？ —— 因为**分段是有成本的**。段与段之间的规则要维护、加了新服务要开口子、排查网络问题时要多绕一层——**分得太细，运维会先撑不住**。而且**分段的收益是递减的**：从 4950 条缩到 950 条是五分之一，**再切一刀不会又是五分之一**，但维护成本是线性甚至加速上涨的。**所以实际做法是【按敏感度分段】**——**把最该保护的那几样（数据库、管理面、个人信息）单独隔出来，其余的按需要分**，而不是把每个服务都切成一段。 3. 零信任为什么被形容成【一个方向】而不是【一个项目】？ —— 因为**它要改的是【长期形成的访问习惯】，而这种东西没法一次改完**。老的组织里到处都是【因为当年方便而放开的内网互访】，**如果一次性收紧，业务会先断**。所以落地的方式一定是**按范围推进**：**先挑最关键的几套系统做起来（把权限理清楚、把访问改成每次验证），跑通了再扩大范围。** 而且它**没有【完成】的那一天**——**只要有人在、有系统在，就要持续复核权限和访问关系**。**这就是它的性质：不是修一堵墙，是改一种默认状态。**