一、為什么要做基線配置管理
一個組織在不同的時期部署了不同的業(yè)務系統(tǒng)，承載業(yè)務系統(tǒng)的是不同的操作系統(tǒng)和支持系統(tǒng)。業(yè)務系統(tǒng)在運行期間，基本上很少做操作系統(tǒng)的升級或變更。再就是由于不同供應商的支持原因，導致現(xiàn)存的操作系統(tǒng)和應用版本跨度很廣，安全人員或運維人員資源不夠的情況下很難支持做基線配置工作。
對組織的運維和安全人員來說，如果運行的業(yè)務系統(tǒng)一直不出事，是想不到要做基線配置、升級補丁、修復漏洞這些事情的，考慮做基線管理，通常來自于3個原因：
* 合規(guī)性性要求，上級安全檢查；
* 遇到安全事件，根源落在安全配置或加固未做好的原因上；
* 有經(jīng)驗的安全運維人員主動推動。
做好基線配置和加固是安全運維工作中很基礎的工作，卻跟很多安全事件有著緊密關系，如登錄策略未配置好導致賬號可以爆破、敏感信息泄露、默認口令、開啟了含有漏洞服務的端口。做好基礎的基線管理和系統(tǒng)加固可以在很多突發(fā)安全漏洞情況有足夠的響應處理時間。
二、怎樣做好基線配置管理
從整個安全工作來說，需要組織高層的支持，基線配置管理也同樣需要，安全運維人員需要跟業(yè)務、開發(fā)、運維一起討論，定制一個適用的基礎運維環(huán)境統(tǒng)一計劃，使用相同版本的操作系統(tǒng)和應用軟件（容器、框架）。開發(fā)人員（包括外包開發(fā)）使用運維的建議的操作系統(tǒng)版本定制開發(fā)。運維人員使用分發(fā)軟件（如：SaltStack、Puppet）統(tǒng)一做基線的配置修改�？梢詤⒖既缦虏襟E：
建立基線配置管理規(guī)劃
在了解組織現(xiàn)有資產(chǎn)情況（負責人是誰？現(xiàn)在運行的操作系統(tǒng)是什么版本，支持系統(tǒng)是什么版本？供應商是誰？是否還有開發(fā)或外包開發(fā)支持等）。同業(yè)務、開發(fā)、運維一起討論制定合理的版本統(tǒng)一化建議，對統(tǒng)一化的時間達成一致的共識，并尋求最高管理層的支持。
實施情況和實施效果跟績效關聯(lián)，明確基線的訂制、實施、評審責任，有檢查手段能夠確認安全基線未能成功部署的原因，有獎懲措施會提高基線落實的效果。
定制基礎操作系統(tǒng)鏡像
基礎鏡像包括選擇那個版本的操作系統(tǒng)、如何進行分區(qū)，如何最小化安裝，如何部署必須的工具軟件（如殺毒，主機入侵檢測、運維系統(tǒng)Agent等），統(tǒng)一做好的基礎操作系統(tǒng)鏡像分發(fā)給開發(fā)作為基礎的定制開發(fā)環(huán)境。
制定基線配置模板
基線配置模板可以包含運維和安全2個部分，運維部分如性能相關配置、穩(wěn)定性相關配置、個性化配置。同一個應用（Tomcat、IIS、Apache等）可以做成一個統(tǒng)一的配置模板由SaltStack、Puppet進行分發(fā)。同時也可以做一份標準化配置腳本，在部分能分發(fā)的情況下也能統(tǒng)一基線配置。
安全的基線配置可以參考2個來源：工信部基線配置要求；
https：//learn.cisecurity.org/benchmarks 的安全配置建議，內(nèi)容很多，雖然是英文版本的，建議讀一下，寫清楚了為什么要修改成的配置原因，更新也比較及時。
分發(fā)基線配置
分發(fā)基線配置最好和運維一起做，由運維支撐系統(tǒng)進行分發(fā)，可以加速效率。如果運維目前階段還沒有統(tǒng)一的分發(fā)管理系統(tǒng)，可單個用配置腳本完成，這樣效率就很低。
基線配置檢查
基線配置檢查有獨立的商業(yè)產(chǎn)品可以支持，也可以使用運維管理系統(tǒng)進行檢查。
基線配置修訂
每隔幾年主流操作系統(tǒng)就會進行一次大版本的升級，商業(yè)版的操作系統(tǒng)也有可能供應商不在支持，需要建立基線修訂的觸發(fā)條件，滿足什么情況下對基線進行修訂，按照提前做好的修訂流程修訂基線配置。
三、基線管理配置的文檔示例
同安全文檔要求，分為3級文檔，1級是指導規(guī)范，2級是具體操作要求，3級是結果和檢查記錄。
《安全基線技術規(guī)范》
其中框架分類可以參考CIS Benchmark的分類。
《XX基線配置》
還有種常見的基線配置文檔見下面
檢查記錄可以在基線配置文檔增加個符合選項。
四、總結
落實好基線配置還是于其他部門做好配合，一般安全基線的創(chuàng)建和檢查屬于安全部門負責，實際的實施由運維來做，如果沒有比較成熟的運維能力和系統(tǒng)支持，做基線效率很低容易遺漏。安全人員可以協(xié)助運維建立基礎運維支撐環(huán)境，安全運維和運維共通的部分很多，很多痛點是一樣的，多和其他部門的人員溝通，一起提升組織的安全防御能力。資源不足就想辦法標準化和自動化。
現(xiàn)在很多業(yè)務系統(tǒng)在云上部署，也有組織實施了 DevOps 方案，使用 Docker 直接部署應用，基線配置也需要跟上技術趨勢，如 Docker 中配置安全的鏡像，Dockerfile 的安全配置。
核心關注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標題：企業(yè)如何做好安全基線配置
本文網(wǎng)址：http://www.oesoe.com/html/consultation/10839524409.html
相關文章
