安全基线制定
sentinel, Lab
v3.0
STABLE
Linux
安全基线
最小权限
自动化核查
安全加固
场景 2 — 阶段一：安全基线制定
基线参考标准
| 标准 |
说明 |
| CIS Benchmark |
Center for Internet Security 发布的 Linux 安全配置基准，业界最广泛采用 |
| 等保 2.0 |
中国网络安全等级保护制度对操作系统安全的要求 |
| NIST SP 800-123 |
美国国家标准技术研究院服务器安全指南 |
| STIG (DISA) |
美国国防信息系统局安全技术实施指南 |
| 企业定制 |
基于企业实际业务场景和运维习惯的定制化要求 |
基线控制域总览
| 控制域 |
检查项数 |
说明 |
| 初始安装配置 |
8 |
最小化安装、分区规划、引导加载 |
| 服务管理 |
12 |
不必要服务关闭、服务端口控制 |
| 网络配置 |
15 |
内核网络参数、防火墙、IPv6 |
| SSH 安全 |
14 |
协议版本、认证方式、访问控制 |
| 用户与权限 |
18 |
账户管理、sudo 配置、密码策略 |
| 文件系统 |
12 |
关键文件权限、挂载选项、磁盘配额 |
| 审计与日志 |
16 |
auditd 配置、syslog、日志轮转 |
| 补丁管理 |
6 |
自动更新策略、漏洞修复流程 |
| 防火墙 |
8 |
iptables/firewalld 规则 |
| 内核加固 |
10 |
sysctl 参数、模块加载控制 |
总计：119 项检查控制点
基线等级划分
| 等级 |
适用场景 |
说明 |
| L1 基础级 |
所有服务器 |
必须满足的基本安全要求，对业务影响极小 |
| L2 增强级 |
重要服务器 |
更严格的安全配置，可能需要调整运维流程 |
| L3 严格级 |
核心/互联网服务器 |
最严格的安全要求，适用于面向互联网的核心系统 |
基线制定流程
- 现状调研：梳理现有服务器配置状态，识别常见问题
- 标准选型：选择 CIS Benchmark 作为基础，结合等保要求
- 定制调整：根据企业实际业务需求调整部分配置项
- 分级实施：按 L1/L2/L3 分级，逐步推进
- 评审确认：安全 + 运维 + 业务三方联合评审
- 文档发布：形成正式基线文档和核查脚本