基线不是一份模板走天下
CIS Benchmark 对每个操作系统与版本单独发布基线文件，条目分两个级别：Level 1 是基础且低影响的项，适合所有环境；Level 2 面向纵深防御，可能影响功能或性能，需要按角色评估。条目还区分“计分”与“不计分”：不计分项多为无法自动判定的管理类要求，适用于人工核查。落地流程是先对齐到与资产匹配的基线版本，再按业务角色裁剪，并对例外建立书面豁免。
基本信息
| 加固项 | 基线范围选择与例外治理 |
|---|---|
| 适用平台 | 通用（Linux、Windows、数据库、云平台、K8s 等） |
| 权限要求 | 安全管理与运维协同 |
| 达标判据 | 基线版本与资产匹配，L1 全覆盖，L2 有取舍依据 |
| 落地工具 | OpenSCAP、SCAP Security Guide、商业合规扫描工具 |
典型使用场景
- 等保与行业检查前做差距清单，明确整改优先级
- 新系统交付时按角色套用对应基线模板
- 年度基线复评，处理因业务变化而失效的旧条目
- 给管理层汇报时区分“可自动核查”与“需人工判定”两类
- 第三方审计要求提供豁免清单与补偿控制说明
用 OpenSCAP 跑 CIS profile
用 OpenSCAP 跑 CIS profile
oscap info /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml | grep -A5 Profiles # 看有哪些可用 profile
oscap xccdf eval --profile cis --report cis-report.html \
/usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml
# 只看失败项，便于生成整改清单：
oscap xccdf eval --profile cis --results cis-results.xml \
/usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml级别与条目类型
| 分类 | 含义 | 落地建议 |
|---|---|---|
| Level 1 | 基础、低影响、普适 | 所有生产环境默认实施 |
| Level 2 | 纵深防御，可能影响功能 | 按角色评估，先测试再实施 |
| Scored（计分） | 有明确判定条件，可自动化 | 纳入自动化扫描与趋势跟踪 |
| Not Scored（不计分） | 多为管理类或需人工判断 | 以核查表与访谈方式取证 |
| 豁免项 | 因业务原因不实施 | 写清原因、补偿控制、审批人与复评时间 |
豁免不是免死金牌：每条例外要写清原因、补偿控制、审批人与复评时间，并在资产角色变化时重新评估。另一种常见错误是把 L2 模板全量套到数据库、容器宿主这类复杂角色上，结果服务起不来或性能骤降，最终整批回滚、基线形同废纸。
CIS 版本必须与操作系统的发行版本对齐：基线是针对具体版本发布的，版本错配会产生大量误报与漏报。落地前先在测试环境跑一遍全量扫描，把误报项标注出来，再依据业务实际情况决定整改、豁免或调整扫描规则。