最核心的措施是严格限制配置修改权限——只允许管理员操作，其他用户一律无权更改。必须落实最小权限原则，禁用root远程登录，改用普通用户+sudo提权，并在/etc/sudoers中精确限定可执行命令；windows移除普通用户对关键注册表路径和gpo的写权限；云环境通过iam角色策略显式拒绝高危api调用；所有管理入口强制mfa、ip白名单及会话超时；同时禁用默认共享、停用非必要服务、删除测试账户，并启用auditd或高级审核策略实现变更全程审计与告警。
最核心的措施是严格限制配置修改权限——只允许管理员操作，其他用户一律无权更改。这不是靠工具禁用或事后检查来兜底，而是从权限源头切断非授权路径。
只允许管理员修改配置
这是防范未授权配置变更的根本性手段。必须落实最小权限原则，确保只有经过认证和审批的管理员账户才能执行配置类操作。
- Linux系统中禁用root远程登录，改用普通用户+sudo提权，并在/etc/sudoers中精确限定可执行的命令（如仅允许systemctl restart nginx，禁止shell通配）
- Windows服务器上移除普通用户对注册表关键路径（如HKLM\SYSTEM\CurrentControlSet\Services）和组策略对象（GPO）的写权限
- 云环境（如AWS/Azure）使用IAM角色策略，显式拒绝“ec2:ModifyInstanceAttribute”“ssm:UpdateDocument”等高危API调用，除非明确赋予特定运维角色
强化身份认证与会话管控
即使权限收紧，若登录环节失守，一切控制都形同虚设。认证必须可靠，会话必须可控。
- 所有管理入口强制启用多因素认证（MFA），包括SSH登录、Web控制台、API密钥使用场景
- 为管理员账户设置登录IP白名单，例如仅允许可信运维网段或跳板机出口IP访问22/3389端口
- 配置会话超时：SSH设置ClientAliveInterval 300，Web后台设置空闲15分钟自动登出，避免会话被劫持复用
关闭默认风险通道
很多未授权配置变更是通过被忽视的“便利通道”发生的，需主动封堵。
- 禁用所有默认共享（如Windows的C$、ADMIN$；Samba的IPC$）和匿名访问接口
- 停用非必要服务：Print Spooler、Remote Registry、Telnet Server、SNMP等易被利用的服务
- 删除或锁定测试账户、guest账户，重命名administrator/root账户，避免成为暴力破解首选目标
启用审计与变更追踪
权限与认证是防线，审计是哨兵。每一次配置变更都应可查、可溯、可预警。
- Linux开启auditd，监控/etc/、/usr/local/etc/、/etc/systemd/等配置目录的write、attr_modify事件
- Windows启用高级审核策略中的“对象访问”和“特权使用”，记录对注册表项和服务配置的修改
- 将日志集中转发至独立SIEM系统，对“非工作时间配置修改”“同一用户短时多次变更”等行为自动告警
