① 一句话秒懂

配置管理（CM）与变更管理（Change Management）是”让系统从一开始安全、并一直安全下去”的两道闸门：CM 用基线镜像把系统钉在已知安全状态，变更管理用一套审批流程防止”好心改配置改出大故障”。

② 生活类比

基线镜像（Baseline Image） = 工厂出的”标准安全样板间”，每台新电脑都照它装修，保证一致安全。
变更管理 = 想改房子结构？先写申请 → 专家评审 → 批准/驳回（必要时备回滚方案）→ 在测试房试改 → 挑半夜低峰实施 → 记录归档。少了这流程，一个管理员随手关端口，就可能让全网 Web 瘫痪。

③ 核心概念

Configuration Management (CM)

确保系统以安全一致状态部署并维持。常用基线（baseline）与镜像（image）。

Provisioning（配置发放）

装 OS + 应用，绝不用全默认（默认开一堆漏洞）。按用途硬化（harden）：

禁用未用服务（如文件服务器不用 FTP 就关掉）。
关闭未用逻辑端口（常随禁用服务而关）。
移除未用应用。
改默认密码（攻击者都知道默认口令）。

Baselining（基线）

基线 = 系统起始配置清单。文件服务器与桌面基线不同；管理员可按需微调。

用镜像部署基线（三步）

在”基线机”装好 OS+应用+安全设置，充分测试。
用 imaging 软件捕获镜像存到镜像服务器（或外置盘/DVD）。
部署到目标机（常需补唯一主机名等配置）。镜像保证安全设置永不漏配、大幅降维护成本；用户机坏了分钟级重装。需保护镜像不被注入 malware。

自动化

镜像 + 脚本/组策略（GPO）批量加应用或设置（如给某部门加安全配置）。改注册表可限制/检测 PowerShell 攻击。

Change Management（变更管理）

核心目标：变更不导致中断（outage）。让各方专家在投产前评审潜在副作用，并在受控环境先验证。源于 ITIL（英国IT基础库，非必须采用）。

六步流程

Request（请求）：提交变更请求，系统记录可跟踪。
Review（评审）：跨领域专家评审，重大变更交 CAB（变更咨询委员会/变更评审委员会） 经充分测试后批。
Approve/Reject（批准/驳回）：记录结果；CAB 可能要求 rollback/backout plan（回滚方案）。
Test（测试）：优先在非生产环境测，验证无意外问题。
Schedule & Implement（排期实施）：选低峰/非工作时段，备回滚。
Document（文档化）：更新配置管理文档，便于重建或复用。

应急变更（Emergency Change）

被攻击/中招需紧急改时，仍须事后文档化，供 CAB 复查，也保证重建含新配置。

版本控制（Versioning）

软件配置管理用版本号（1.0 → 1.1 小改 → 2.0 大改）跟踪变更。很多 Web 开发者忽视版本控制，一改就崩站。

配置文档（Configuration Documentation）

记录系统当前配置、责任人、用途、所有基线变更。早年用纸质本，今多用文件/库——但需注意故障时可能不可访问。

④ 真实案例

原书经典图例：Web 服务器经防火墙 2 连数据库。好心的防火墙管理员看到防火墙 2 上有个”不认识的开放端口”就关了——结果 Web 连不上数据库，help desk 被打爆，开发、DBA 乱甩锅半天才发现是那个端口被关。这正是没有变更管理、凭直觉改配置酿成的可用性（CIA 的 A）事故。

⑤ 考试怎么考

变更管理六步顺序（Request → Review → Approve → Test → Implement → Document）。
CAB = 变更咨询/评审委员会；应急变更也须文档化。
回滚方案（rollback/backout plan） 由 CAB 可能要求。
变更管理概念多源自 ITIL。
基线镜像作用：一致安全状态 + 快速重建；须防镜像被注入 malware。
硬化四动作：禁服务、关端口、删应用、改默认口令。

⑥ 记忆口诀

“CM 钉基线，镜像三步装：配好测、捕获存、部署改名不慌；硬化四招禁端口删应用改密码。变更六步求评批测施档，CAB 审、回滚防，ITIL 源、应急也须记心上。”

⑦ 自测

系统硬化（hardening）通常包括哪四类动作？
用镜像部署基线（baseline image）的三个步骤是什么？
变更管理的六个步骤按顺序是什么？
什么是 CAB？应急变更（emergency change）是否仍需文档化？为什么？
变更管理流程的概念主要源自哪个框架？
为什么随手关闭一个”不认识的开放端口”可能造成严重可用性事故？