01 · 治理基线总表
下表汇总本子课题八大域治理基线，每条基线三重标注：责任矩阵归属（第2页）、检测规则来源（第3、6页）、合规条款映射（第4、7页）。基线条目为方向性要求，落地时应按等保等级与数据敏感度分级裁剪。
| 治理域 | 基线要点 | 三重映射 |
|---|---|---|
| 1.责任治理 | 责任矩阵文档化并随架构触发式复审；三大灰区（身份/日志/密钥）书面条款全覆盖 | 矩阵格（第2页）；规则：接入检查清单；条款：等保"云服务商选择"、27017责任条款 |
| 2.资产与台账 | 全账号纳管、影子资源清零、标签规范统一；台账与CMDB双向对账 | 矩阵格：资产盘点责任；规则：CSPM资产发现；条款：CCM CCC域 |
| 3.身份与权限 | MFA全覆盖、长期密钥清零（例外清单化）、90天权限收敛、跨账号信任白名单 | 矩阵格：IAM行；规则：TC-04/05；条款：等保身份鉴别、CCM IAM域 |
| 4.数据与存储 | 默认私有+例外审批、敏感数据分级分区、快照加密、密钥模型按敏感度选型 | 矩阵格：数据行；规则：TC-01/02/03；条款：等保数据安全、CCM DSP/CEK域、密评 |
| 5.网络与边界 | 端口白名单化、分段隔离、管理面禁公网直连、出口收敛阻断元数据端点 | 矩阵格：网络行；规则：TC-06；条款：等保边界防护、CCM网络域 |
| 6.日志与审计 | 控制面日志全量开启、独立账号留存≥6个月、不可篡改存储、季度取证演练 | 矩阵格：日志灰区；规则：4.2节基线核查；条款：网络安全法第21条、CCM LOG域 |
| 7.监测与响应 | CSPM持续核查+CIEM权限分析+账单异常检测；告警分派SLA；年度攻防演练覆盖凭证滥用场景 | 矩阵格：监测责任；规则：第6章流水线；条款：等保安全管理中心 |
| 8.合规与评估 | 控制映射库维护、等保测评闭环、供应商STAR/评估状态年度跟踪、出境合规前置审查 | 矩阵格：合规责任；规则：映射覆盖率指标；条款：等保制度、云评估办法、出境办法 |
02 · 云安全治理成熟度模型
跃迁原则：① maturity ≠ 工具采购——L3的核心是"闭环与度量"而非"CSPM上线"；② 每一级都要先固化责任格再建技术能力（第2页是全部级别的公共底座）；③ 不同业务域允许处于不同级别，按数据敏感度排序跃迁顺序。
03 · 12个月实施路线
| 阶段 | 重点任务 | 里程碑验收 |
|---|---|---|
| Q1 筑基 | 账号全量接入、资产盘点与影子资源清零；责任矩阵v1.0发布；灰区合同条款签署 | 台账覆盖率100%；矩阵评审会签完成 |
| Q2 立规 | CIS Level 1基线批扫上线；TC-01~TC-08用例集（第5页）验证；高危问题清零行动 | 高危修复SLA达成；用例集通过率100% |
| Q3 成环 | CSPM事件流监测切换；CIEM首轮权限收敛（90天口径）；自动修复影子模式转执行；日志独立账号改造 | 漂移告警闭环率≥80%；权限收敛零事故 |
| Q4 合规 | 控制映射库v1.0发布；等保测评/年度复审证据归档；成熟度自评与次年规划；攻防演练覆盖凭证滥用场景 | 映射覆盖率≥90%；演练报告与整改backlog |
04 · 特色方向：云基础设施与反钓鱼治理的攻防互动
依托公共互联网反网络钓鱼工作组的协同处置经验，云计算在钓鱼攻击链中扮演双重角色——既是钓鱼基础设施的低成本载体，也是防御处置的倍增器。三个联动机制：
4.1 云托管钓鱼的分钟级处置联动
云主机、对象存储静态网站与Serverless函数使钓鱼页面可分钟级部署并弹性扩容，配合快速切换IP/域名规避封堵。防御侧要点：①与主流云厂商建立滥用举报通道（各厂商均有公开abuse接口），实现"发现→下架"分钟级联动；②对本组织被冒用的品牌关键词做云侧监测（对象存储桶名、函数名、实例标签的仿冒注册扫描）；③将"冒充本组织的云托管钓鱼站点"纳入威胁情报消费清单，与本站点反钓演练（drill）体系联动预警。
4.2 元数据凭证滥用与钓鱼基础设施批量搭建
第3页三件套防护的"攻击者视角"：被窃取的实例角色凭证可被用于批量注册域名、托管钓鱼页面、发送钓鱼邮件——即"一个SSRF漏洞养出整条钓鱼产线"。联动防御：①GuardDuty类服务的"凭证在异常环境使用"检测告警直接对接SOC；②被用于钓鱼基础设施的域名/IP情报回流反钓鱼处置流程；③攻防演练中将"SSRF→凭证→钓鱼基础设施搭建"设为复合场景，验证跨团队（云安全+反钓鱼）响应协同。
4.3 SaaS OAuth授权钓鱼（Consent Phishing）的云治理接口
攻击者伪造与正规SaaS外观一致的第三方应用，诱导用户授予"读取邮箱/访问文件"权限，绕过密码重置防线。云治理侧防御：①SaaS平台侧的第三方应用授权清单审计（授权范围、活跃度、发布者信誉）；②CASB/SSE对异常授权（如批量邮箱读取）的实时阻断；③将"恶意OAuth应用识别"纳入员工反钓培训内容——钓鱼的战场已从"骗密码"扩展到"骗授权"，识别指南（guide）体系需同步更新。
05 · 伦理与合规承诺
- 研究边界：本子课题全部方法与工具仅限自有环境或书面授权范围内的防御研究，不构成对第三方云资源的探测、渗透或滥用指引。
- 数据合规：课题涉及的数据处理遵循《网络安全法》《数据安全法》《个人信息保护法》最小必要原则；案例档案仅使用公开披露信息，不收录非公开细节。
- 事实纪律：引用数据均标注原始出处与口径属性（官方披露/媒体报道估计值明确区分）；标准条款以现行有效版本为准，版本变化触发内容复审。
- 测量伦理：参照Menlo报告的国际测量伦理共识，任何网络测量活动遵循授权、最小化与善意披露原则。
06 · 课题总结与协同展望
本子课题以"共享责任模型"为主线，完成了从理论架构（责任矩阵）到工程方法（模式库、工具链）再到合规落地（控制映射、中国合规）与运营固化（基线、成熟度、路线图）的完整闭环。与课题体系的衔接：子课题02（K8s安全）将继承本课题的IAM与CSPM方法下沉至编排控制面；子课题05（多云统一防护）将本课题的单云基线扩展为跨云策略等价性体系；子课题06（合规评估）将本课题第7页的方法论转化为测评执行手册。后续研究将随CCM版本演进、国内云安全政策更新与CNAPP/CIEM技术分化持续滚动修订。
本节参考来源（第8页）
基线总表与成熟度模型为课题原创框架；引用标准与事件出处同第1—7页对应章节。
NIST SP 800-145 / SP 500-307 / SP 800-53 Rev.5（csrc.nist.gov）；CSA CCM v4/CAIQ/STAR（cloudsecurityalliance.org）。
GB/T 22239-2019等保2.0、《云计算服务安全评估办法》（2019）、GB/T 39786-2021（国家标准全文公开系统、中国网信网）。
Capital One事实页与司法部材料；RedLock Tesla报告（2018）；Docker官方通报（2019）；UpGuard《The RNC Files》（2017）；Wired对Exactis报道（2018）。
OWASP SSRF Prevention Cheat Sheet；CIS Benchmarks；Menlo Report（网络测量伦理，caida.org）。
公共互联网反网络钓鱼工作组处置实践（钓鱼站点云托管快速处置的协同机制参照）。