# 基线检查概述 安全云脑的基线检查功能支持检测云服务关键配置项，通过执行扫描任务，检查云服务基线配置风险状态，分类呈现云服务配置检测结果，告警提示存在安全隐患的配置，并提供相应配置加固建议和帮助指导。 针对华为云服务关键配置项，安全云脑内置了"安全上云合规检查1.0"、"等保2.0三级要求"、"护网检查"、"华为云安全配置基线3.0"、"GDPR"、"操作系统配置基线"、"经典弱口令检测"、"口令复杂度策略检测"、"PCI-DSS"、"NIST SP 800-53"、"ISO/IEC 27002:2022"遵从包，帮助您了解云服务存在的风险配置。另外，您还可以自定义新增检查项及遵从包，定制专属检查内容。 表1安全云脑内置遵从包说明 | 遵从包名称 | 描述 | 适用区域 | 分类 | 领域 | |:---|:---|:---|:---|:---| | 安全上云合规检查1.0 | 该遵从包以合规为依据，从身份与访问管理、基础设施防护、数据防护、数据备份与检查等多个方面提供自动化工具方式开展数据安全合规性检查，能够有效发现数据安全问题。 | 全球 | 行业标准 | 网络安全 | | 等保2.0三级要求 | 该遵从包依据国家标准GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》中三级的安全要求，提供检查项和评测指引供云计算客户自评网络安全管理情况，并给出了网络安全等级保护的改进建议，帮助企业建设网络安全体系，提升网络安全水平。 | 中国 | 国家标准 | 网络安全 | | 护网检查 | 该遵从包提供国际通用安全最佳实践的自动检查项，帮助云计算客户针对云主机、Web基础防护、对象存储服务、数据安全中心服务等资产，识别当前网络安全面临的威胁与隐患，提高对网络安全的整体防御能力。 | 全球 | 行业标准 | 网络安全 | | 华为云安全配置基线3.0 | 该遵从包基于云安全配置基线指南，对身份与访问管理、日志与监控、虚拟机与容器 、网络、存储、数据库 、企业智能、应用中间件、开发与运维、CDN与智能边缘和安全等方面进行安全配置检查，保证云环境最基本的安全，帮助客户提高云环境的安全防护能力。 | 全球 | 行业标准 | 网络安全 | | GDPR | GDPR（通用数据保护条例）是欧盟制定的一部法律，旨在保护个人数据隐私和安全。它要求所有处理欧盟公民数据的公司和组织确保数据的透明性、合法性和安全性。 | 欧盟 | 区域性法律 | 数据保护 | | 操作系统配置基线 | 该遵从包包含口令复杂度策略检测、经典弱口令检测、配置检查，可检测主机中不安全的口令配置、关键软件中含有风险的配置信息，并针对所发现的风险为您提供修复建议，帮助您正确地处理服务器内的各种风险配置信息。 | 全球 | 行业标准 | 操作系统 | | 经典弱口令检测 | 经典弱口令检测功能通过将口令与弱口令库进行比对，检测账号口令是否属于常用的弱口令，提示用户修改不安全的口令。 | 全球 | 行业标准 | 操作系统 | | 口令复杂度策略检测 | 口令复杂度策略指的是一种口令安全机制，用于规定用户设置的口令必须遵守的规则，以提升口令安全性，防止口令因复杂度过低而被暴力破解。口令复杂度策略检测功能支持检测Linux系统账号的口令复杂度策略并给出修改建议，帮助用户提升口令安全性 | 全球 | 行业标准 | 操作系统 | | PCI-DSS | PCI-DSS（Payment Card Industry Data Security Standard，支付卡行业数据安全标准）是由五大支付卡品牌（Visa、Mastercard、American Express、Discover 和 JCB）联合制定的全球性安全标准，旨在保护支付卡数据的安全，防止数据泄露和欺诈行为。 | 全球 | 行业标准 | 数据安全 | | NIST SP 800-53 | NIST SP 800-53旨在为组织提供一套全面的安全控制框架，帮助其识别、评估和管理信息安全风险。 | 全球 | 行业标准 | 数据安全 | | ISO/IEC 27002:2022 | ISO/IEC 27002是一项国际标准，为寻求建立、实施和改进以网络安全为重点的信息安全管理体系（ISMS）的组织提供指导。该遵从包提供了与关键网络安全方面相关的最佳实践和控制目标，包括访问控制、加密、人力资源安全和事件响应。该标准为组织提供了一个实用的蓝图，旨在有效地保护其信息资产免受网络威胁。 | 全球 | 行业标准 | 网络安全 | #### 约束与限制 - 仅安全云脑专业版支持"操作系统配置基线"、"经典弱口令检测"、"口令复杂度策略检测"遵从包，需要提前在安全云脑接入企业主机安全 HSS的"主机安全基线"日志且打开"主机安全基线"日志对应的"自动转告警"按钮。操作方法如下： 1. 在目标工作空间左侧导航栏选择"日志审计 \> 云服务接入"，进入云服务日志接入页面。 2. 打开"企业主机安全 HSS"服务的"主机安全基线"前的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002328588569.png)按钮以及"自动转告警"列对应的按钮，单击"保存"，并在弹出的配置保存框中，单击"确定"，更多操作指导请参见[接入日志数据](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_01335.html)。 - "操作系统配置基线"、"经典弱口令检测"、"口令复杂度策略检测"遵从包不支持在安全云脑侧执行基线检查，安全云脑仅支持查看HSS的基线检查结果。若需执行HSS的基线检查请在HSS侧执行，详细操作请参见[HSS执行基线检查](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0146.html)。 #### 基线检查方式 - **自动执行基线检查** SecMaster默认每隔3天检查一次，每次在00:00\~06:00对您账号下当前区域的"安全上云合规检查1.0"遵从包所涉及的资产进行检查。 默认检查计划仅支持变更开启或关闭自动执行基线检查的操作。 - **自定义定时执行基线检查** 支持自定义自动检查周期、检查时间和检查范围，"安全上云合规检查1.0"、"护网检查"、"华为云安全配置基线3.0"里的支持自动化项的检查项。定时执行基线检查详细操作请参见[定时执行基线检查](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0013.html#secmaster_01_0013)。 - **立即执行基线检查** 支持立即检查所有检查规范或某个检查计划，实时查看是否存在基线风险。 支持用户设置遵从包中的可自动化项的检查项。针对仅支持手动检查的检查项系统会生成检查结果为"待检查"的检查项，需要用户线下执行手动检查后在控制台反馈检查结果。 立即执行基线检查详细操作请参见[立即执行基线检查](https://support.huaweicloud.com/usermanual-secmaster/secmaster_02_7002.html#secmaster_02_7002)。 - 立即检查所有遵从包：检查已有的，且已启用的遵从包中所有自动检查项的遵从情况。 - 立即执行某个检查计划：检查已选择的检查计划中设置的遵从包中的检查项目的遵从情况。 - 立即检查某个或某些检查项目：检查选中的检查项。 - **手动执行基线检查** 基线检查的一些检查项目为手动检查项，需要您在线下执行检查后，再在控制台上反馈检查结果，以便计算检查项合格率。另外，自动检查的检查项目也可以进行手动检查。 基线检查的"等保2.0三级要求"、"GDPR"、"PCI-DSS"、"NIST SP 800-53"中所有的检查项目、"安全上云合规检查1.0"、"护网检查"、"华为云安全配置基线3.0"、"ISO/IEC 27002:2022"中的一些检查项目为手动检查项。 手动检查详细操作请参见[手动执行基线检查](https://support.huaweicloud.com/usermanual-secmaster/secmaster_02_0423.html#secmaster_02_0423)。 #### 使用流程 基线检查使用流程说明如下： 表2使用流程 | 序号 | 操作项 | 说明 | |:---|:---|:---| | 0 | （可选）接入"企业主机安全 HSS"的"主机安全基线"日志到安全云脑 | 仅安全云脑专业版且启用了"操作系统配置基线"、"经典弱口令检测"、"口令复杂度策略检测"遵从包场景需要执行该操作，启用遵从包请参见[编辑、启用、停用或删除遵从包](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0382.html#secmaster_01_0382__zh-cn_topic_0000001965492293_section12341175381615)。 在目标工作空间左侧导航栏选择"日志审计 \> 云服务接入"，进入云服务日志接入页面，打开"企业主机安全 HSS"服务的"主机安全基线"前的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002266728400.png)按钮以及"自动转告警"列对应的按钮，单击"保存"，并在弹出的配置保存框中，单击"确定"。更多信息请参见[接入日志数据](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_01335.html#secmaster_01_01335)。 说明： 对于"经典弱口令检测"、"口令复杂度策略检测"遵从包，若HSS取消防护，存在弱口令的ECS实例在HSS侧不显示，但是在安全云脑依然会正常显示存在弱口令的ECS实例。 | | 1 | [定时执行基线检查](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0013.html#secmaster_01_0013) | 安全云脑将使用默认检查计划对所有资产进行检查。 - 默认检查计划：默认每隔3天检查一次，每次在00:00\~06:00对您账号下当前区域的"安全上云合规检查1.0"遵从包所涉及的资产进行检查。 - 自定义基线检查计划：根据您的需求自定义遵从包和检查时间。 | | 2 | [立即执行基线检查](https://support.huaweicloud.com/usermanual-secmaster/secmaster_02_7002.html#secmaster_02_7002) | 基线检查功能支持定期自动检查和立即检查。 - 定期自动检查：根据系统默认基线检查计划或您自定义的基线检查计划，定时自动执行基线检查。 - 立即检查：如果您新增或修改了自定义的基线检查计划，您可以在基线检查页面选择该基线检查计划，立即执行基线检查，实时查看服务器中是否存在对应的基线风险。 | | 3 | [查看检查结果](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0014.html#secmaster_01_0014) | 自动/手动基线检查完成后，可以查看基线检查结果，了解基线检查项影响的资产、基线项目详情等信息。 | | 4 | [处理基线检查结果](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0033.html#secmaster_01_0033) | 基线检查完后，可以根据修复建议对风险项目进行处理。 - [查看风险项的改进建议](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0033.html#secmaster_01_0033__zh-cn_topic_0000001938453294_section1513915354275)：根据检测结果修复风险检查项。 - [反馈检查结果](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0033.html#secmaster_01_0033__zh-cn_topic_0000001938453294_section279914582318)：检查项中的手动检查项，您在线下执行检查后，需要在控制台上反馈检查结果，以便计算检查项合格率。 - [导入检查结果](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0033.html#secmaster_01_0033__zh-cn_topic_0000001938453294_section1755319511233)：将线下检查结果数据信息导入至安全云脑基线检查中。 - [导出检查结果](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0033.html#secmaster_01_0033__zh-cn_topic_0000001938453294_section19759111819231)：将线上检查结果导出至本地。 |