主机基线核查<\/strong><\/p>

1. 定义与重要性<\/strong>
主机基线核查（Host Baseline Checking）是指依据安全标准或策略，对操作系统的配置、权限、服务等进行一致性检查的过程。其核心目的是确保主机配置符合预定义的安全基准，减少攻击面。它与漏洞扫描（检测已知漏洞）不同，侧重于发现因配置不当<\/strong>（弱口令、多余服务、不安全策略等）引发的风险，是主动防御的关键环节。<\/p>

2. 基线的建立<\/strong>
在执行核查前，必须先建立基线标准。基线通常来源于：<\/p>

国际安全标准<\/strong>：如CIS Benchmarks，针对不同操作系统、数据库、软件提供具体的配置建议。<\/li>
行业合规要求<\/strong>：如等保2.0、PCI-DSS中对主机配置的具体条款。<\/li>
组织内部安全策略<\/strong>：根据自身业务需求定制的强化配置。<\/li> <\/ul>
3. 核查的主要内容<\/strong>
核查工作围绕以下关键配置项展开：<\/p>

账户与口令策略<\/strong>：检查口令复杂度、有效期、登录失败锁定、是否存在默认或多余账户。<\/li>
服务与进程<\/strong>：识别并关闭非必需的系统服务或后台进程（如不必要的远程访问、文件共享服务）。<\/li>
权限配置<\/strong>：核查文件与目录的访问控制权限（如关键系统目录是否禁止普通用户写操作）、用户权限分配（是否遵循最小权限原则）。<\/li>
日志与审计<\/strong>：检查关键操作（登录、权限变更）的安全审计功能是否开启，日志是否得到妥善保存。<\/li>
网络配置<\/strong>：检查防火墙策略、不必要的开放端口、网络服务配置（如SSH禁用root登录）。<\/li> <\/ul>
4. 核查的流程与方法<\/strong>
典型流程如下：<\/p>

信息收集<\/strong>：通过扫描或代理，采集目标主机的详细配置信息。<\/li>
策略加载<\/strong>：将选定的安全基线（如CIS标准）转化为可执行的检查规则。<\/li>
自动化比对<\/strong>：使用专用工具（如OpenSCAP、商业安全平台）自动执行规则，将当前配置与基准要求逐项比对。<\/li>
结果分析<\/strong>：工具会输出核查报告，列出“合规”、“不合规”、“未知”等项，并对不合规项说明其风险。<\/li>
修复与验证<\/strong>：依据报告对不合规项进行修复（如修改注册表、调整配置文件），之后重新核查以验证修复效果。<\/li> <\/ul>
5. 工具与持续化<\/strong><\/p>

常用工具<\/strong>：开源工具如OpenSCAP、Lynis；商业产品通常集成在统一的安全管理平台中。<\/li>
持续监控<\/strong>：基线核查不应是一次性的，应通过代理或定期扫描实现持续监控，确保配置不因系统变更或人为改动而偏离基线，实现配置的闭环管理。<\/li> <\/ul>