企业官网建设流程全解析

69：EAP安全管控、权限分级与数据防泄露规范

一、本课学习目标

1. 建立Fab EAP全维度安全认知，区分账号、配置、服务、生产数据四类安全风险
2. 掌握EAP账号分级权限体系、操作授权与访问审计机制
3. 熟悉配置文件、程序目录、日志文件的权限加固方法
4. 识别数据泄露、非法篡改、越权操作的典型风险场景与防控手段
5. 明确安全操作红线，落实日常安全巡检与变更审计要求

二、EAP核心安全风险分类

1. 账号访问风险

弱密码、账号共用、权限过度开放、离职人员账号未回收、远程无管控登录，导致无关人员修改配置、启停服务。

2. 配置篡改风险

配置文件权限未锁定，任何人可编辑通信参数、报警过滤、自动化联动逻辑，引发批量设备异常、生产联锁失效。

3. 程序服务风险

EAP服务以最高管理员权限运行，程序目录可随意修改；恶意脚本、补丁覆盖造成功能篡改。

4. 生产数据风险

工单信息、晶圆工艺Trace、报警履历、Lot生产记录属于涉密生产数据，随意拷贝、外传、导出造成工艺泄密。

5. 网络交互风险

服务器无访问白名单，外部网段可直接访问EAP服务端口；内网主机非法抓取SECS报文、生产日志。

三、EAP账号分级权限体系（四级标准）

1. 访客只读账号（最低权限）

权限范围：仅查看设备在线状态、前台监控界面，不可查看配置、日志，不可下发任何指令。
适用：产线作业员、实习人员、外部参观厂商临时查看。
限制：无服务器登录权限，无文件下载、导出功能。

2. 普通运维账号（一线EAP工程师日常使用）

权限范围：

1. 查看全部监控界面、完整日志、设备点位配置；
2. 下发复位、查询、临时暂停类低风险指令；
3. 仅可查看配置，禁止保存修改、批量推送配置；
   禁止权限：启停EAP服务、修改通信参数、编辑自动化脚本、导出完整生产日志。

3. 管理员账号（组长/资深运维）

权限范围：包含普通运维全部权限，额外拥有：

1. 编辑设备配置、模板、转发规则；
2. 启停EAP通信子服务、执行配置重载；
3. 操作定时脚本、备份配置；
   限制：禁止版本升级、服务器系统级修改、批量全产线配置推送（需双人复核）。

4. 超级管理员账号（IT/系统负责人，极少使用）

权限范围：服务器系统登录、程序替换、版本升级、防火墙策略修改、账号创建删除、全盘日志导出。
管控规则：专人保管，日常运维不登录，重大变更双人在场操作并登记。

账号通用管控规则

1. 禁止多人共用同一账号，一人一号独立分配；
2. 密码复杂度：大小写+数字+特殊符号，9位以上，每90天强制更换；
3. 闲置账号、离职人员账号24小时内禁用并删除；
4. 远程登录开启登录日志，记录登录IP、时间、操作行为。

四、文件与目录权限加固规范

1. EAP程序安装目录

1. 运行账号仅赋予只读+执行权限，禁止写入修改；
2. 超级管理员以外账号无修改、删除、覆盖程序包权限；
3. 程序目录禁止存放临时脚本、配置备份，防止误覆盖。

2. 设备配置文件目录

1. 配置文件默认只读，仅管理员账号拥有写入权限；
2. 所有ini/xml/json配置文件开启修改日志，记录每一次编辑人、时间；
3. 关键通信模板、MES接口映射文件设置文件锁定，无法直接删除。

3. 日志存储目录

1. 日志仅开放只读查询权限，普通运维无法删除、裁剪日志；
2. 生产追溯日志禁止拷贝至个人U盘、私人电脑；
3. 日志目录开启写入审计，记录所有访问、下载行为。

4. 脚本与定时任务目录

自动化备份、巡检脚本仅管理员可编辑；普通账号只能执行，不能修改脚本逻辑，防止植入旁路、过滤规则。

五、生产数据防泄露管控细则

1. 受限数据清单（严禁私自外传）

1. 完整DV工艺Trace采集数据、各腔体工艺参数；
2. MES工单、产品型号、Lot批次、良率相关记录；
3. 设备完整ALID报警台账、机型专属点位SV/DV/CEID对照表；
4. EAP全套标准化配置模板、跨系统接口通信报文。

2. 数据导出审批流程

1. 因工艺分析、厂商故障排查需要导出数据，必须提交书面审批；
2. 登记导出内容、用途、接收人、使用期限，到期回收删除；
3. 导出介质仅允许厂区内部加密服务器，禁止个人U盘、外网邮箱传输；
4. 对外提供报文/日志必须脱敏：抹除产品型号、批次、工艺参数。

3. 内网传输限制

EAP服务器仅允许和厂区指定MES/FDC/AMS服务器互通，禁止开放外网访问；办公网段与生产Fab网段隔离，无跨网段转发权限。

六、网络访问安全加固

1. 防火墙配置端口白名单：仅开放HSMS 7000系列端口、内网运维管理端口，其余端口全部拦截；
2. 服务器登录IP白名单，仅运维固定办公主机可SSH/网页登录；
3. 关闭服务器不必要网络服务，禁用FTP、远程共享等高风险传输协议；
4. 跨VLAN访问EAP服务器必须经过IT审批，新增访问策略登记台账。

七、日常安全巡检清单

每日安全检查

1. 查看账号登录日志，识别异地、陌生IP登录行为；
2. 检查EAP配置文件修改记录，有无未登记变更；
3. 确认服务器磁盘无大量日志、配置文件拷贝导出记录。

每周安全检查

1. 核对账号清单，清理闲置、过期账号；
2. 抽查目录文件权限，确认无文件权限被放开；
3. 检查防火墙策略，无新增未知放行端口。

每月安全复盘

1. 汇总本月所有配置、版本、接口变更审计记录；
2. 排查是否存在越权操作、违规导出数据记录；
3. 同步更新权限台账，同步IT更新离职人员权限回收。

八、安全运维红线规范

1. 严禁共用账号、弱密码长期不更换、私自创建临时超级权限账号；
2. 禁止未审批私自导出工艺Trace、工单、设备点位涉密数据外传；
3. 不放开配置文件、程序目录全局读写权限，不关闭文件修改审计；
4. 量产EAP服务器禁止接入外网、私人U盘、非厂区合规存储设备；
5. 任何配置、版本、网络策略变更必须双人复核并完整登记审计台账。

九、本课核心总结

1. EAP安全分为账号、配置程序、生产数据、网络交互四大类风险，需分层管控。
2. 账号分为四级权限，按需分配最小权限，遵循“最小授权原则”。
3. 程序、配置、日志目录严格收紧读写权限，开启操作审计记录。
4. 工艺、批次、点位数据属于涉密内容，导出、外传必须走审批脱敏流程。
5. 日常分日/周/月执行安全巡检，所有变更留痕可追溯。

十、课后小作业

1. EAP存在哪五类核心安全风险？
2. EAP账号四级权限分别是什么，最低权限账号有哪些限制？
3. 哪些生产数据属于涉密、禁止私自外传？
4. 导出EAP生产数据需要遵守什么流程？
5. EAP安全运维五条硬性红线是什么？