配置基线与核查
配置基线定义系统应有的安全设置：账号与口令策略、网络与服务开放、文件权限、日志与审计开关、补丁级别等。配置核查用工具把实际配置与基线逐项比对，输出偏差清单并跟踪整改。没有基线，安全设置就只能依赖个人经验，也难以向审计证明控制有效。
落地要点
基线不要直接照搬模板：先从通用底线项落地（口令复杂度、禁止口令登录暴露在公网、日志留存、补丁时限），再按业务补白名单与豁免说明，每条偏差都要落到责任人与整改期限。重大变更或版本升级后复核查一次，防止配置漂移到基线之外。
基本信息
| 覆盖范围 | 账户口令、网络与服务、文件权限、日志审计、补丁 |
|---|---|
| 核查工具 | 基线扫描工具、配置管理数据库比对、配置核查脚本 |
| 节奏 | 上线前核查、定期扫描、重大变更后复核 |
| 豁免管理 | 书面申请 + 补偿措施 + 到期重评 |
典型使用场景
- 新系统上线前：确认基线与安全要求已落实再放行
- 定期巡检：批量扫描主机与中间件，输出偏差清单
- 等保或体系认证准备：用扫描结果作为控制证据
- 故障或入侵事件后：比对配置是否被篡改
- 版本升级后：复核服务端口与日志开关是否被改回默认
- 云主机批量交付：用镜像与自动化脚本固化基线
核查输出示例
核查输出示例
主机 web-03：偏差 6 项
- 未启用登录失败锁定（中） # 应设置失败次数与锁定时长
- SSH 允许口令登录（中） # 建议改为密钥认证
- 时钟同步未配置（低） # 影响日志时间可比性
整改：责任人 + 期限写在清单中，整改后复测关闭偏差分级与时限
| 等级 | 示例 | 处理方式 |
|---|---|---|
| 高 | 公网开放高危端口、无审计日志 | 限期修复，未修复需升级 |
| 中 | 口令策略宽松、权限过大 | 排期修复并登记 |
| 低 | 时钟未同步、冗余人情账号 | 合并到例行维护处理 |
基线是“通用底线 + 业务白名单”：对不合理项要写清豁免理由与补偿控制，直接忽略的项会让整份基线失去约束力。