# 基线和漏洞的区别是什么？
#### 基线检查
基线一般指云服务关键配置项，即配置和管理系统的详细描述，或者说是最低的安全要求，包括服务设置、应用程序设置、操作系统的配置、组件的配置等。安全云脑的基线检查功能支持检测云服务关键配置项，通过执行扫描任务，检查云服务基线配置风险状态，分类呈现云服务配置检测结果，告警提示存在安全隐患的配置，并提供相应配置加固建议和帮助指导。
- 安全云脑支持的内置检查项请参见[内置检查项](https://support.huaweicloud.com/productdesc-secmaster/secmaster_01_0021.html)。

- 基线检查的更多操作指导请参见[基线检查概述](https://support.huaweicloud.com/usermanual-secmaster/secmaster_02_0028.html)。
- 安全云脑支持的内置遵从包请参见下表。
 
表1安全云脑内置遵从包说明 
| 遵从包名称            | 描述                                                                                                                                                               | 适用区域 | 分类       | 领域      |
|:---|:---|:---|:---|:---|
| 安全上云合规检查1.0    | 该遵从包以合规为依据，从身份与访问管理、基础设施防护、数据防护、数据备份与检查等多个方面提供自动化工具方式开展数据安全合规性检查，能够有效发现数据安全问题。                                                                                     | 全球   | 行业标准     | 网络安全 |
| 等保2.0三级要求      | 该遵从包依据国家标准GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》中三级的安全要求，提供检查项和评测指引供云计算客户自评网络安全管理情况，并给出了网络安全等级保护的改进建议，帮助企业建设网络安全体系，提升网络安全水平。                                         | 中国   | 国家标准   | 网络安全   |
| 护网检查            | 该遵从包提供国际通用安全最佳实践的自动检查项，帮助云计算客户针对云主机、Web基础防护、对象存储服务、数据安全中心服务等资产，识别当前网络安全面临的威胁与隐患，提高对网络安全的整体防御能力。                                                                    | 全球   | 行业标准   | 网络安全   |
| 华为云安全配置基线3.0  | 该遵从包基于云安全配置基线指南，对身份与访问管理、日志与监控、虚拟机与容器 、网络、存储、数据库 、企业智能、应用中间件、开发与运维、CDN与智能边缘和安全等方面进行安全配置检查，保证云环境最基本的安全，帮助客户提高云环境的安全防护能力。                                            | 全球  | 行业标准    | 网络安全    |
| GDPR           | GDPR（通用数据保护条例）是欧盟制定的一部法律，旨在保护个人数据隐私和安全。它要求所有处理欧盟公民数据的公司和组织确保数据的透明性、合法性和安全性。                                                                                      | 欧盟   | 区域性法律    | 数据保护    |
| 操作系统配置基线        | 该遵从包包含口令复杂度策略检测、经典弱口令检测、配置检查，可检测主机中不安全的口令配置、关键软件中含有风险的配置信息，并针对所发现的风险为您提供修复建议，帮助您正确地处理服务器内的各种风险配置信息。                                                               | 全球  | 行业标准   | 操作系统  |
| 经典弱口令检测        | 经典弱口令检测功能通过将口令与弱口令库进行比对，检测账号口令是否属于常用的弱口令，提示用户修改不安全的口令。                                                                                                            | 全球  | 行业标准   | 操作系统    |
| 口令复杂度策略检测        | 口令复杂度策略指的是一种口令安全机制，用于规定用户设置的口令必须遵守的规则，以提升口令安全性，防止口令因复杂度过低而被暴力破解。口令复杂度策略检测功能支持检测Linux系统账号的口令复杂度策略并给出修改建议，帮助用户提升口令安全性                                                | 全球 | 行业标准 | 操作系统    |
| PCI-DSS        | PCI-DSS（Payment Card Industry Data Security Standard，支付卡行业数据安全标准）是由五大支付卡品牌（Visa、Mastercard、American Express、Discover 和 JCB）联合制定的全球性安全标准，旨在保护支付卡数据的安全，防止数据泄露和欺诈行为。 | 全球     | 行业标准    | 数据安全  |
| NIST SP 800-53    | NIST SP 800-53旨在为组织提供一套全面的安全控制框架，帮助其识别、评估和管理信息安全风险。                                                                                                               | 全球   | 行业标准 | 数据安全   |
| ISO/IEC 27002:2022 | ISO/IEC 27002是一项国际标准，为寻求建立、实施和改进以网络安全为重点的信息安全管理体系（ISMS）的组织提供指导。该遵从包提供了与关键网络安全方面相关的最佳实践和控制目标，包括访问控制、加密、人力资源安全和事件响应。该标准为组织提供了一个实用的蓝图，旨在有效地保护其信息资产免受网络威胁。              | 全球      | 行业标准     | 网络安全     |
   
#### 漏洞
漏洞是指在操作系统实现、安全策略、软件等方面存在的缺陷或弱点，这些缺陷或弱点可能被攻击者利用，从而导致系统被破坏、数据泄露、服务中断或其他安全问题。安全云脑通过集成企业主机安全（Host Security Service，HSS）漏洞扫描数据以及手动导入漏洞数据，集中呈现云上资产漏洞风险，帮助用户及时发现资产安全短板，修复危险漏洞。关于漏洞的更多操作指导请参见[漏洞管理概述](https://support.huaweicloud.com/usermanual-secmaster/secmaster_02_0038.html)。