# 定时执行基线检查 #### 操作场景 安全云脑支持根据基线检查计划检查您的资产是否存在风险，默认每隔3天，每次在00:00\~06:00对您账号下当前region相关资产按照"安全上云合规检查1.0"遵从包自动执行基线检查，无需用户执行额外操作，系统默认开启。 另外，还可以自定义自动检测周期、时间以及检查范围。 本文档将介绍如何新增自定义基线检查计划。 #### 前提条件 在执行基线检查时，"华为云安全配置基线3.0"遵从包部分检查项和"ISO/IEC 27002:2022"遵从包的检查项依赖安全云脑 SecMaster中合规基线日志和审计服务 Config审计基线自动转告警。 - 开启Config服务资源记录器：若基线检查的检查范围包含"ISO/IEC 27002:2022"遵从包中的检查项和"华为云安全配置基线3.0"遵从包中的部分检查项时，需要在Config侧开启Config服务资源记录器。 - 当基线检查选择的检查账号范围是"指定账号"且，指定账号仅包含"本账号"时，开启Config服务资源记录器请参考[配置资源记录器](https://support.huaweicloud.com/usermanual-rms/rms_04_0200.html)。 - 当基线检查选择的检查账号范围是如下任一场景时，开启Config服务资源记录器请参考[基于组织批量配置资源记录器](https://support.huaweicloud.com/usermanual-rms/rms_04_0201.html)。 - 场景1：当基线检查选择的检查账号范围是"所有账号"； - 场景2：当基线检查选择的检查账号范围是"指定账号"，且指定账号包含除本账号之外的其他1个或多个账号； - 场景3：当基线检查选择的检查账号范围是"指定账号"，且指定账号包含本账号及其他账号； - 云服务接入：若基线检查的检查范围包含"ISO/IEC 27002:2022"遵从包中的检查项和"华为云安全配置基线3.0"遵从包中的部分检查项时，需要在安全云脑接入如下日志并开启自动转告警： - 开启安全云脑 SecMaster中合规基线日志的自动转告警按钮，具体操作请参见[接入日志数据](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_01335.html#secmaster_01_01335)。 - 开启审计服务 Config中配置审计基线的自动转告警按钮，具体操作请参见[接入日志数据](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_01335.html#secmaster_01_01335)。 #### 约束与限制 - 同一个检查遵从包只能属于一个检查计划。 - 由于"等保2.0三级要求"、"GDPR"、"PCI-DSS"、"NIST SP 800-53"遵从包中的检查项为手动检查项目，因此不支持创建包含该遵从包的检查计划。 - "操作系统配置基线"、"经典弱口令检测"、"口令复杂度策略检测"遵从包不支持在安全云脑侧执行基线检查，安全云脑仅支持查看HSS的基线检查结果。若需执行HSS的基线检查请在HSS侧执行，详细操作请参见[HSS执行基线检查](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0146.html)。 - 支持检查"安全上云合规检查1.0"、"护网检查"、"华为云安全配置基线3.0"遵从包中支持自动化项的检查项。 - 默认检查计划不支持变更包含的遵从包以及检查时间，仅支持执行开启或关闭操作。 #### 操作步骤 1. [登录安全云脑 SecMaster控制台](https://console.huaweicloud.com/secmaster/#/secmaster/ssa/overview)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002020168740.png)，选择区域和项目。 3. 在左侧导航栏选择"工作空间 \> 空间管理"，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 图1进入目标工作空间管理页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002572515210.png "点击放大") 4. 在左侧导航栏选择"风险预防 \> 基线检查"，进入基线检查页面后，选择"安全遵从包"页签，并在安全遵从包页面中，选择"检查计划"页签，进入检查计划管理页面。 图2进入检查计划页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002501072910.png "点击放大") 5. 在检查计划页面中，单击"创建计划"，系统右侧弹出新建检查计划页面。 6. 配置检查计划。 表1新建检查计划 | 参数名称 || 参数说明 | |:---|---|:---| | 基本信息 | 计划名称 | 自定义检查计划的名称。命名规则如下： - 计划名称由中文、字母、数字、下划线和连接符组成。 - 长度为1\~255个字符。 | | 基本信息 | 检查时间 | 下拉选择检测周期和检查触发时间。 - 检测周期：每隔1天、3天、7天、15天、30天检查一次 - 检查触发时间：00:00\~06:00、06:00\~12:00、12:00\~18:00、18:00\~24:00 | | 基本信息 | 接入的账号 | 选择接入的账号。**仅主工作空间的运营账号支持设置基线检查的扫描账号范围**。 - "所有账号"：如果选择"所有账号"即该检查计划适用"运营账号"以及其所管理的所有"业务账号"。 - "指定账号"：如果选择"指定账号"并勾选对应账号，即表示该检查计划适用"运营账号"所管理的特定或部分"业务账号"。 其中运营账号和业务账号的含义如下： - 运营账号：用来管理其他成员账号的主账号，也称为运营账号。一个运营账号可以管理多个业务账号。 - 业务账号：被运营账号（主账号）管理的成员账号，也称子账号。一个业务账号（子账号）仅能被一个运营账号管理。 | | 选择遵从包 || 勾选选择需要检测的遵从包。 | 7. 单击"确定"。 检查计划创建完成后，安全云脑会在指定的时间执行云服务基线扫描，扫描结果可以在"风险预防 \> 基线检查"中查看。 #### 相关操作 基线检查计划创建后，您可以查看检查计划、对检查计划进行编辑、删除、关闭、开启操作，详细操作请参见[管理检查计划](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0422.html#secmaster_01_0422)。