基线分层是什么
基线是一组必须满足的配置要求，分层指把它按适用范围组织成若干层：通用层对全部主机生效（时间同步、审计日志、口令策略），角色层按用途追加（Web、数据库、中间件），环境层按环境收紧或放宽（生产更严、预发可放宽），合规层承接行业或内控的专项要求。合并时下层继承上层，冲突项需要显式声明如何处理。分层避免两个极端：一台机器一份基线无法维护，一份基线套所有角色则产生大量误报。
基本信息
| 适用场景 | 系统加固、合规审计、新机上线验收、漂移检测的期望值来源 |
|---|---|
| 层次划分 | 通用层、角色层、环境层、合规专项层、已登记例外 |
| 合并规则 | 上层为默认，下层可追加或覆盖，冲突必须在文件中显式声明 |
| 关键约束 | 例外必须登记并设到期时间，否则形同没有基线 |
典型使用场景
- 新机上线验收：按层次逐项核对，未满足项不允许上线
- 合规审计：出具基线符合率与未符合项清单，作为证据材料
- 角色差异化加固：数据库节点需要用到的内核参数与 Web 节点不同
- 环境差异化：生产强制审计日志与集中采集，测试环境可只保留本地日志
- 与漂移检测联动：基线即期望值，偏离即告警
- 例外管理：业务必须放宽的项登记在例外层，到期复核
分层基线与合并顺序
分层基线与合并顺序
# 通用层：所有主机都要满足（示例结构，字段按自家工具调整）
common:
- key: time_sync
expect: 已启用
severity: 高
- key: audit_log
expect: 已启用
severity: 高
# 角色层：在通用层基础上追加
role_db:
- key: kernel_sem
expect_range: [250, 64000] # 写成范围而非固定值，避免与容量规划冲突
severity: 中
# 环境层：生产收紧
env_prod:
- key: password_min_len
expect_min: 12
severity: 高
# 例外层：必须登记原因、批准人与到期日
exceptions:
- key: root_login
host_group: legacy-app
reason: 老应用不支持普通用户启动
approver: 安全组
expires: 2026-12-31
# 合并顺序：common -> role -> env -> exceptions，后者覆盖前者并留痕各层职责与影响
| 层次 | 作用范围 | 示例要求 | 变更影响 |
|---|---|---|---|
| 通用层 | 全部主机 | 时间同步、审计开关 | 改动即全量生效，需高级审批 |
| 角色层 | 同用途主机 | 内核参数、进程模型 | 影响单一角色，需角色负责人评审 |
| 环境层 | 单一环境 | 口令长度、日志外送 | 只影响该环境，可先在生产验证 |
| 合规层 | 按规范范围 | 加密算法、留存周期 | 涉及合规，需安全部门确认 |
| 例外层 | 指定分组 | 临时放宽项 | 必须设到期日，逾期自动作废 |
与业务强相关的项（连接数、超时、线程数）尽量定义成范围或推导规则，而不是写死数值。写死之后容量调整每次都要改基线，改动越多例外越多，基线很快失去约束力。
集中管理的主机密钥、口令策略、远程登录方式多属通用层，一旦写错会同时影响所有机器，包括你自己的登录途径。这类项上线前务必先在少量主机验证，并保留本地控制台通道。