亞信安全云安全，守住安全的底線
責編：gltian ｜2021-07-26 09:58:30【亞信安全】–【2021年7月23日】“基線”，字典上的定義為一種在測量、計算或定位中的基本參照。
對應“木桶理論”來理解，可以認為安全基線是安全木桶的最短板，因此，滿足安全基線就是在滿足安全的最低要求。面對信息安全合規的要求，所有企事業單位的網絡安全建設都需要滿足國家或監管單位的“安全標準”，如等保2.0、CIS安全標準、GDPR等等。而“安全標準”就是業界統稱的“安全基線”。
在技術進步和市場發展的整合推動下，云計算已被視為下一次科技革命，成為推動生產進步、創新商業模式的重要技術。然而，新體驗同時也意味更加復雜的安全風險管理以及更加嚴格的網安合規建設。
在此背景下，結合自身豐富技術能力和云主機實踐經驗，亞信安全信艙（DS）—云主機安全20版本（簡稱DS 20）全面滿足《網絡安全法》、等保2.0中如基線核查、主機加固、安全審計、惡意代碼檢測、Web防護等方面的措施要求，形成了完整的云主機安全解決方案。其中的“安全基線”模塊，更為云服務客戶提供快速的、完整的、合規的安全管理能力。
安全基線工作涵蓋的三要素
完整的安全基線內容主要由三方面必須滿足的最低要求組成：系統存在的安全漏洞、系統配置的脆弱性、系統狀態的監控。安全基線通過安全合規管理機制判斷用戶的應用環境安全是否達標，提供一個信息系統所需的最基本的安全保證。
【Linux及Windows系統基線掃描項目】
1．安全漏洞：漏洞通常是由于軟件或協議等系統自身存在缺陷引起的安全風險，如系統登錄漏洞、拒絕服務漏洞、緩沖區溢出、信息泄漏、蠕蟲后門、惡意代碼執行等，反映了系統自身的安全脆弱性；
2．系統配置：通常都是由于人為的疏忽造成，主要包括了賬號、口令、授權、日志、IP協議等方面的配置要求，配置不當導致系統存在安全風險；
3．系統狀態：包含系統端口狀態、進程、賬號、服務以及重要文件的變化。這些信息反映了系統當前所處環境的動態安全狀況，存在的安全隱患將威脅系統運行安全。
基線配置不能采用“人肉策略”
合法合規之下，避免不了對云資源進行審計和基線部署，但管理員往往需要花費大量的時間去檢查資源是否滿足安全合規性、是否符合監管要求、是否遵循安全配置等等。不過，安全基線配置并不簡單，尤其是在大量虛擬主機共生的云端環境，如果采用人拉肩扛的方式，基線管理極易出現紕漏，直接就會造成主機加固失效，系統攻擊面沒有收斂，太多暴露在外的風險點將會被黑客利用。例如：
1．需要運維人員編寫大量的安全基線腳本，而且完全依賴于運維人員的安全知識面；
2．基線檢測工作不容易進行標準化，檢測效率低；
3．基線檢測工作涉及檢測范圍廣，容易造成疏漏，導致系統存在安全隱患。
如何部署高效、有效的安全基線
合規標準讓運維人員有了檢查默認風險的標桿，但是面對網絡中種類繁雜、數量眾多的設備和軟件，如何快速、有效地檢查設備，又如何集中地收集核查的結果，以及制作風險審核報告，最終識別那些與安全規范不符合的項目，以達到整改合規的要求，這些是網絡安全運維人員面臨的新的難題。因此，“自動化”的安全基線將是幫助用戶滿足等保、以及“行規”的最佳助手。
亞信安全云主機安全產品能以自動化模式進一步簡化云端安全負載管理工作，其安全基線、彈性防護、自動化編排等特性，可以實現在安全部署中無需要重啟云主機、任意新增云主機、自動化獲取群集安全防護策略、遷移自動部署安全策略等流程自動化管理，極大地提高新業務實施效率。
1.以等保為基礎，提供覆蓋各類應用的安全基線模板
亞信安全云主機安全產品提供了大量滿足等級保護、不同級別基準要求的模板，涵蓋多個版本的主流操作系統、國產化平臺、Web應用、數據庫等。利用這些基線內容，用戶通過一鍵批量創建基線任務，快速進行企業內部風險自測，發現問題并及時修復，以滿足監管部門要求的安全條件。
2.與資產清點和云主機加固聯動
亞信安全云主機安全產品提供了云主機資產自動化盤點，管理員可在此基礎上實現等保定級跟蹤，并根據所選服務器的操作系統、軟件應用等信息，自動篩選出該服務器上需要檢查的系統、應用基線，進而制定出云主機安全加固模板，迅速實現云端安全基線的一致化。
3．行業化、場景化的安全基線部署能力
企業可根據所處行業要求，結合實際的使用場景（內外網），自行定義基線的檢查項，如定義檢查閾值、自定義檢查目錄、自定義檢查結果展現模板、自定義檢查項整改方案等，以滿足企業多樣化的內部監管要求。
隨著等級保護2.0的持續深化推進，建立一套行之有效的安全基線能力是安全管理人員面臨的當務之急。亞信安全云主機安全產品依據國家《GBT 22239-2019 信息安全技術網絡安全等級保護基本要求》規范，將技術標準落實到了每一種應用的配置檢查工作上，實現對業務系統資產進行等保定級跟蹤，并根據資產定級自動進行對應級別的安全配置檢查，對合規情況出具等保符合性報告，保證系統建設符合等保要求，輔助企業安全運維人員高效執行等級保護自查工作。