# 安全控制变更：风险降低且合法业务仍成立

工作单元：W-C29；版本：2026-10-21.workunits.2；复核：2026-10-20
交付一个限定风险的代码/配置/访问/检测控制变更，并用原风险、绕过和正常行为证明有效及可回退。

## 当前用法
可委派限定控制实现、获准部署与验证，按风险降低/合法行为和回退接收；不能由安全产品接入文档证明效果。
依据：NIST53A把检查对象与测试结合，kubectl提供可执行授权查询；AI整合控制变更属于方法基础上的迁移，不是独立性能成绩。
来源状态：active
本站记录：本次核查公开资料与任务契约，未在本站运行目标任务或新增模型试次。

条件：
- 固定代码/配置/身份/规则、目标系统权限与旧状态、可逆测试环境，明确授权动作。
- 准备原风险/合法行为/绕过和规则漂移控制，定义风险/业务/资源接收及回退。

## 请求与范围
给已证实风险/明确策略、资产/角色、期望允许/拒绝行为和不可牺牲的业务。
产物是生效的控制变更，不是发现列表或告警结论；治理可组合这些实际控制及整改跟踪。风险接受与合规认定另有组织依据。

## 输入
- 控制目标：给已证实风险/明确策略、资产/角色、期望允许/拒绝行为和不可牺牲的业务。
- 变更环境：固定代码/配置/身份/规则、目标系统权限与旧状态、可逆测试环境，明确授权动作。
- 独立测试：准备原风险/合法行为/绕过和规则漂移控制，定义风险/业务/资源接收及回退。

## 交付物
- 可审查并可部署的控制补丁/配置与实际差异
- 原风险被拒绝、正常业务被允许及绕过/副作用结果
- 版本/审计、回退与后续漂移复核和未覆盖风险

## 验收
1. 控制达到具体目标
   方法：独立重放原路径/策略，直接查询真实权限或业务状态。
   拒收：仅配置文件存在，没有生效检查。
2. 正常与绕过都检查
   方法：同角色/对象的正反矩阵、替代路径、错误配置和资源副作用控制。
   拒收：全拒绝让风险消失，合法业务也坏了。
3. 变更可维护
   方法：核对版本/审计与回退后状态；用漂移反例验证持续复核入口。
   拒收：临时手工改动不在版本中，重建后控制丢失。


## 具体例子
输入：服务账号权限过宽，目标仅能读指定namespace。
预期产物：最小权限补丁、生效授权矩阵、正常请求/越权拒绝与回退。
失败：删掉全部权限导致业务中断，但报告说风险已消除。

## 工作重组
以前：安全指出风险、工程改配置、运维核实生效，结果常分散。
现在：Agent可联合实现、部署到授权环境并重测，程序检查正反矩阵，责任人核验风险与业务取舍。
保留：
- 确定策略和授权、业务容忍与风险接受，合规结论依据真实组织要求。
新增：
- 核对版本/审计与回退后状态；用漂移反例验证持续复核入口。

## 人的责任与失败接管
确定策略和授权、业务容忍与风险接受，合规结论依据真实组织要求。
验证失败回退或交明确未生效原因；不以关闭告警或禁用全部功能充作整改。

## 尚待补足
- 选一项访问/配置风险，冻结允许/拒绝矩阵，让Agent交变更，再独立测试原风险、合法路径、绕过及回退。

## 职业与团队下一步
安全控制工程
可审查并可部署的控制补丁/配置与实际差异
选一项访问/配置风险，冻结允许/拒绝矩阵，让Agent交变更，再独立测试原风险、合法路径、绕过及回退。
/explore?purpose=career&domain=computing
NIST53A把检查对象与测试结合，kubectl提供可执行授权查询；AI整合控制变更属于方法基础上的迁移，不是独立性能成绩。
Agent可联合实现、部署到授权环境并重测，程序检查正反矩阵，责任人核验风险与业务取舍。
选一项访问/配置风险，冻结允许/拒绝矩阵，让Agent交变更，再独立测试原风险、合法路径、绕过及回退。
/explore?purpose=team&domain=computing

## 证据与关系
- NIST SP800-53A r5：https://csrc.nist.gov/pubs/sp/800/53/a/r5/final
  定位：assessment methods/procedures；公开 2022-01；核查 2026-10-20；复查 2027-01-20
  支持：控制验收方法基础。
  未覆盖：专业方法不是模型成绩。
- kubectl auth can-i：https://kubernetes.io/docs/reference/kubectl/generated/kubectl_auth/kubectl_auth_can-i/
  定位：命令说明与权限检查例；公开 持续更新文档，单页日期以访问版为准；核查 2026-10-20；复查 2027-01-20
  支持：实际权限查询接口。
  未覆盖：单一权限查询不排除所有业务/网络绕过。


## 任务级判断与证据
采用方式：分阶段接收
从证据到建议：NIST53A把检查对象与测试结合，kubectl提供可执行授权查询；AI整合控制变更属于方法基础上的迁移，不是独立性能成绩。
当前可用性：mixed；有公开权限检查工具；代码、网络与其他控制需目标配置/独立测试接口，没有本站部署。
- kubectl auth can-i：https://kubernetes.io/docs/reference/kubectl/generated/kubectl_auth/kubectl_auth_can-i/
  实际K8s/kubectl/角色版本冻结；公开工具；需目标集群授权，不能据此声称有权修改

### NIST53A以检查、访谈与测试及明确评估对象核实控制；实际允许/拒绝行为应独立验证。
依据身份：工具与方法依据；状态：active
- NIST SP800-53A r5：https://csrc.nist.gov/pubs/sp/800/53/a/r5/final
  定位：assessment methods and objects；关系：method
  支持：控制验收方法基础。
  限制：专业方法不是模型成绩。
  核查：2026-10-20；来源状态：active
适用限制：专业方法不是模型成绩。

### kubectl auth can-i公开提供授权检查，可为K8s角色/资源矩阵提供一项生效证据。
依据身份：工具与方法依据；状态：active
- kubectl auth can-i：https://kubernetes.io/docs/reference/kubectl/generated/kubectl_auth/kubectl_auth_can-i/
  定位：command synopsis/examples；关系：method
  支持：实际权限查询接口。
  限制：单一权限查询不排除所有业务/网络绕过。
  核查：2026-10-20；来源状态：active
适用限制：单一权限查询不排除所有业务/网络绕过。

### 可委派限定控制变更，以独立风险/正常/绕过/回退结果接收，其他控制类型须配置对应测试。
依据身份：有条件的编辑推断；状态：active
- NIST SP800-53A r5：https://csrc.nist.gov/pubs/sp/800/53/a/r5/final
  定位：assessment planning/testing；关系：partial
  支持：可检查对象/测试支持目标适配。
  限制：无本组织AI控制有效率。
  核查：2026-10-20；来源状态：active
适用限制：无本组织AI控制有效率。

## 情境变化
### 访问与配置
输入变化：结果是角色/网络/系统配置生效。
判断变化：按具体允许/拒绝矩阵和业务回归接收。
验收变化：实际身份/对象/旁路、漂移和回退。
### 代码与检测控制
输入变化：结果是漏洞修复或规则生效。
判断变化：组合W-C01/C12的复现与验收方法，不继承其他工具成绩。
验收变化：原风险、合法输入、误报漏报/绕过及规则版本。

研究前沿：有公开控制评估方法和权限检查接口；目标控制、绕过及持续漂移没有本站AI试验。
下一项验证：选一项访问/配置风险，冻结允许/拒绝矩阵，让Agent交变更，再独立测试原风险、合法路径、绕过及回退。
未来改判信号：
- 新角色/对象变化下风险控制和合法业务仍可复验，可扩大同类变更。
- 依靠全拒绝、扩大其他权限或绕过未测时拒绝接收。

## 与本单元直接关联的进展
尚未收录与本单元直接关联的新进展。当前用法依据本页的方法与验收资料，不能套用同领域其他任务的成果。

领域背景与未来情景：/explore?purpose=understand&domain=computing


## 工具与采用佐证