主机级基线自查
Docker Bench for Security 按 CIS 基线做主机级自查：覆盖宿主配置、守护进程、容器与镜像的检查项，输出通过、告警与提示三类结果并给出整改建议。适合作为合规自查的起点，输出是运行时刻的环境快照。
基本信息
| 定位 | 主机级合规自查脚本 |
|---|---|
| 输出 | 按检查项编号列出通过、告警与提示 |
| 用法 | 在受控机器上以容器方式运行 |
| 覆盖范围 | 宿主配置、守护进程、容器与镜像 |
| 复核方式 | 归档告警项，过一段时间复跑对比 |
典型使用场景
- 上线前做一轮主机级安全自查并归档结论
- 合规审计要求提供基线检查结果时使用
- 排查某些配置项是否偏离安全基线
- 定期复跑，对比告警项是否被修复
- 新机器交付前做一次批量核查
运行方式
运行方式
docker run --rm --net host --pid host --userns host \
--cap-add audit_control \
-v /etc:/etc:ro -v /var/lib:/var/lib:ro \
-v /var/run/docker.sock:/var/run/docker.sock:ro \
--label docker_bench_security docker/docker-bench-security
# 报告是运行时刻的环境快照，把告警项归档成整改清单结果类型与处理
| 结果类型 | 含义 | 处理 |
|---|---|---|
| 通过 | 检查项符合基线 | 无需处理 |
| 告警 | 存在偏离 | 纳入整改清单 |
| 提示 | 需人工判断 | 结合业务环境评估 |
| 不适用 | 当前环境不涉及 | 记录说明原因 |
检查需要读取宿主多类路径与接口，在受控机器上运行并留意其挂载范围。
基线版本与检查工具版本有对应关系，换版本后要重新复跑，结论不要跨版本直接比较。
报告是快照，定期复跑并对比才能看到整改效果。
告警项要结合业务实际情况判断，不是所有偏离都适合在当前环境立刻整改。
把报告归档成可追溯的记录，比跑完就丢掉更有价值。
检查脚本本身需要较高权限，运行前先确认它在受控范围内，并留档运行记录。
同一台机器上多次运行的结果应当保持一致，出现明显差异时先确认是否有并发的配置变更在进行。