CIS 基线 100 项你过了 80 项，剩下 20 项到底是「真风险」还是「合规 checkbox」？你团队的判据是什么？

【背景】 做了 15 年安全加固，最常被问的一句话是：「CIS 基线报告出来了，100 项里有 20 项不合规，你们打算怎么修？优先级怎么排？」

我见过两种极端：

• 某金融客户：CIS 100 项必须全过，包括「禁用 root SSH 登录」「禁用 user namespace」「kubelet --anonymous-auth=false」这种，哪怕业务上根本用不到，也得改配置、跑测试、走变更流程。结果安全团队 80% 时间耗在「把 checkbox 打勾」上，真正的高危漏洞（如某 API 网关的鉴权绕过）反而排到了 Q3。
• 某互联网团队：只过「高危」项，中低危全 skip。结果一次供应链攻击，攻击者走的恰恰是那个被 skip 的「镜像签名校验」——不是高危，但它是唯一能拦住恶意镜像的环节。

这两种做法我都理解，但都不让我舒服。核心矛盾是：安全预算（人力 + 停机窗口 + 业务影响）是有限的，而 CIS 基线是「全或无」的清单，它不告诉你哪些项在你的环境里是 90 分风险、哪些是 5 分风险。

【常见分歧 / 几种做法】

1. 按 CVSS 分值排优先级：简单粗暴，但 CIS 基线项本身没有 CVSS 分值，它只有「High/Medium/Low」三级，粒度太粗。
2. 按「攻击面暴露度」排：只修对外暴露的服务上的项，内网服务 skip。合理，但「内网」在 zero-trust 语境下已经是个伪概念。
3. 按「合规要求」排：等保 2.0 / SOC2 / ISO 27001 要求的项必须过，其余看心情。务实，但合规标准更新慢，新攻击面（如 eBPF side-channel、K8s admission controller 绕过）往往不在清单里。
4. 按「修复成本 / 风险收益比」排：最合理，但需要安全工程师对每项做「如果不修，攻击者最可能的利用路径是什么」的分析——这个分析本身就要时间。

【我的倾向与理由】 我倾向于第 4 种，但加一个硬约束：先做攻击面收敛（减少暴露），再做基线对齐（修配置）。

具体判据（我自己在用的）：

• P0（72h 内修）：该配置项的「不修 = 直接可被利用」路径存在，且利用路径不需要社工 / 0day。典型：匿名 API 访问、默认凭据未改、RBAC 过宽。
• P1（1 个 sprint）：需要组合利用（如「日志注入 + 日志收集器 RCE」），单独一项不致命但组合后是 P0。
• P2（季度规划）：纵深防御项，单独被利用概率低，但修了能缩小爆炸半径。典型：镜像签名、seccomp profile、AppArmor。
• P3（skip 但记录）：在你的技术栈里根本不存在该攻击面（如「禁用 user namespace」但你没用 user namespace 隔离），记录理由后 skip。

关键原则：skip 不是不修，是「我分析了，在当前架构下风险可接受」，并留下审计痕迹。 这和「没空修」有本质区别。

【想听大家在什么场景下怎么选】

1. 你的团队有没有一个明确的「安全加固预算」（人天 / 停机窗口）上限？还是说安全项永远排在 feature 后面？
2. CIS 基线里有没有某项你修了之后反而引入了新问题（如性能下降、兼容性 broken）？具体是哪项、怎么绕的？
3. 你们有没有「skip 项的复审机制」？比如每半年重新评估一次 skip 项的风险等级，还是 skip 了就永远 skip？
4. 供应链安全（镜像签名 / SBOM / 依赖扫描）在你的团队是 P0 还是 P2？为什么？

欢迎带具体场景来聊，不要空泛的「重视安全」——我想听的是：你具体跳过了哪几项、理由是什么、后来有没有被验证是对的。