安全工程与运维
本域考查安全架构设计原则、日常运维控制与应急响应流程，以及备份容灾指标。场景题常给时间指标要求选择备份策略，或要求在事件处置中排出正确顺序。
设计与防护原则
- 安全域划分：按业务重要性与信任级别划分，域间用防火墙或网闸做最小化策略。
- 纵深防御：边界、网络、主机、应用、数据多层控制，避免单点失效。
- 最小权限与职责分离：运维、审计、审批角色不重叠。
- 默认拒绝：策略白名单化，未明确允许即拒绝。
运维控制
- 堡垒机统一运维入口，双因子登录，全程录屏与命令审计。
- 日志集中采集、时间同步、留存满足法规要求，并用只写介质或哈希链防篡改。
- SIEM 做关联分析，把分散告警合成可处置的安全事件。
- 漏洞管理闭环：发现-评估-修复-验证，按 CVSS 与业务影响排优先级，重大漏洞走应急变更。
- 建立配置基线并做变更管理，上线前安全验收。
应急响应与取证
- 六阶段：准备、检测、抑制、根除、恢复、总结（跟踪改进）。
- 抑制阶段要平衡止血与保全证据：先做内存与磁盘镜像（写保护、哈希校验），再断网清理。
- 证据链要完整：记录何人、何时、何地、以何方式取得，全程留痕。
备份与容灾
- 全量、增量、差异：增量依赖前一次备份链，恢复需全量加全部增量；差异只需全量加最近一次差异。
- 3-2-1 原则：3 份数据、2 种介质、1 份异地。
- RTO 是恢复时间目标（能停多久），RPO 是恢复点目标（能丢多少数据）。
工作示例
业务要求 RTO ≤ 4 小时、RPO ≤ 15 分钟。每日一次全备意味着最坏丢失 24 小时数据，RPO 不达标；应增加日志或增量数据持续传送至异地，并配置温站或热站以便 4 小时内切换。若只做冷站（需临时采购设备再安装调试），RTO 通常远超 4 小时。
高频陷阱
- 把 RTO 与 RPO 记反。
- 事件处置中先格式化重装系统，导致证据灭失。
- 认为差异备份每天都要依赖前一天的备份。