主机安全（核心目标、关键领域和最佳实践）
简单来说，主机安全的核心思想是：将每一台主机都视为一个需要独立防御的堡垒。
一、核心目标
保密性：确保主机上的敏感数据（如用户信息、知识产权、财务数据）不被未授权访问或窃取。
完整性：确保主机上的操作系统、应用程序和数据的准确性和完整性，不被恶意篡改。
可用性：确保主机能够正常提供服务，不因攻击（如勒索软件、拒绝服务）而中断。
二、关键领域与技术措施
主机安全是一个多层次、纵深防御的体系，主要包括以下关键领域：
1. 系统加固与漏洞管理
这是主机安全的第一道防线，目标是减少攻击面。
最小权限原则：关闭不必要的服务和端口，移除或禁用非必需的软件和账户。
安全配置：遵循安全基线（如CIS基准）对操作系统和应用程序进行配置。
补丁管理：建立流程，及时、系统地安装操作系统和应用程序的安全补丁。
漏洞扫描：定期使用工具扫描主机，发现并修复已知漏洞。
2. 访问控制与身份认证
确保只有授权用户和设备才能访问主机。
强身份认证：推行多因素认证（MFA），避免使用弱口令和默认口令。
最小权限原则（用户）：为用户分配完成其工作所必需的最小系统权限。
账户监控：监控和审计特权账户（如root、Administrator）的使用情况。
网络访问控制（NAC）：确保只有合规的设备才能接入网络并访问主机。
3. 恶意代码防护
防御病毒、勒索软件、木马等威胁。
防病毒/反恶意软件：安装并维护端点保护平台（EPP），保持病毒库更新。
应用程序控制/白名单：只允许授权列表内的程序运行，阻止所有其他程序。
勒索软件防护：特定功能，如保护关键文件夹不被未授权进程修改。
4. 高级威胁检测与响应（EDR）
这是现代主机安全的核心，专注于检测和响应绕过传统防病毒的复杂攻击。
端点检测与响应（EDR）：持续监控主机活动和行为，记录进程创建、网络连接、文件操作等。通过行为分析和威胁情报，发现可疑活动，并提供调查和补救能力。
遥测数据收集：EDR工具收集的数据是安全事件调查的宝贵来源。
5. 应用程序控制与完整性
确保运行的应用程序是可信且未被篡改的。
应用程序白名单：如上所述，只允许运行受信任的应用程序。
代码签名验证：确保执行的代码来自可信的发布者且未被修改。
6. 数据安全
保护主机上存储的数据。
加密：
静态数据加密：对整个硬盘进行加密（如BitLocker, FileVault），防止设备丢失或被盗导致数据泄露。
文件级加密：对特定敏感文件或文件夹进行加密。
数据丢失防护（DLP）：监控和阻止敏感数据通过USB、电子邮件或网络被非法传出。
7. 日志与审计
为了追溯安全事件和满足合规要求。
集中式日志管理：将主机上的安全日志、系统日志等收集到中央系统（如SIEM）。
审计策略：启用并配置审计策略，记录关键事件（如登录成功/失败、策略更改、特权使用）。
三、最佳实践总结
建立安全基线：为不同类型的主机（如Web服务器、数据库服务器、员工电脑）制定并强制执行安全配置标准。
自动化补丁管理：尽可能自动化补丁的测试和部署流程。
部署EDR解决方案：将EDR作为现代端点防护的标配。
推行最小权限原则：无论是在系统服务还是用户账户层面。
强制使用多因素认证（MFA）：特别是对于特权账户和远程访问。
加密所有移动设备和笔记本电脑。
定期进行安全意识培训：让用户了解社会工程学和钓鱼攻击的风险。
制定并测试事件响应计划：确保在发生安全事件时能够快速有效地响应。
回到您最初的问题，您提到的 ASLR、DEP 和 虚拟补丁 都是主机安全体系中具体的技术点：
ASLR & DEP 属于 “系统加固与漏洞利用缓解” 范畴。
虚拟补丁 属于 “漏洞管理” 的一种临时性/补偿性控制措施。