CN112685743A - 一种主机安全基线自动加固方法及系统 - Google Patents

Abstract

一种主机安全基线自动加固方法，包括以下步骤：S1、获取安全基线文件，对安全基线项目进行解析；S2、配置主机安全基线；S3、存储信息，并对相关信息进行云端备份；S4、创建核查任务，进行安全基线核查；S5、确定所需加固的待加固项，重新设定文件内容中的配置参数；S6、对加固项进行加固；S7、对主机安全加固的结果是否生效进行验证；本发明还提出了一种主机安全基线自动加固系统，包括信息采集模块、文件解析模块、显示模块、导出模块、参数配置模块、存储模块、云端备份模块、核查模块、加固模块和验证模块。本发明不仅能够对主机安全基线进行配置，还能够对主机安全基线进行核查和自动加固，加固效率高，加固效果好，适合推广使用。

Description

一种主机安全基线自动加固方法及系统

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种主机安全基线自动加固方法及系统。

背景技术

指计算机硬件系统中用于放置主板及其他主要部件的容器，通常包括CPU、内存、硬盘、光驱、电源、以及其他输入输出控制器和接口，如USB控制器、显卡、网卡、声卡等等，位于主机箱内的通常称为内设，而位于主机箱之外的通常称为外设(如显示器、键盘、鼠标、外接硬盘、外接光驱等)；通常，主机自身(装上软件后)已经是一台能够独立运行的计算机系统，服务器等有专门用途的计算机通常只有主机，没有其他外设，在网络技术中指的是关于发送与接收信息的终端设备；近年来，信息安全事件频发，信息安全越来越受到人们的重视，安全基线是信息安全领域中的一个概念，指计算机系统和软件中与安全相关的配置所应该达到的最低的限度，包括系统安全配置、系统组件配置、权限和用户配置等多种方面，而安全基线项目则是安全基线管理中的一个最小的单位，指的是与具体的安全配置直接对应的一条规则；目前主要使用专业的安全基线检查工具对基线各个要求项进行自动化的基线检查，但是无法实现自动对主机安全基线进行加固，在实际工作中，主机安全基线检查和加固基本都是通过人工操作完成的，依靠人工操作费时费力，并且对主机进行安全基线检查和加固需要维护人员具有较强的专业技术能力以及解决问题能力，但不同的维护人员对检查和加固方法的理解不同，也容易对最终的加固效果造成不利影响。

发明内容

(一)发明目的

为解决背景技术中存在的技术问题，本发明提出一种主机安全基线自动加固方法及系统，不仅能够对主机安全基线进行配置，还能够对主机安全基线进行核查和自动加固，操作简单，使用方便，加固效率高，加固效果好，适合推广使用。

(二)技术方案

本发明提出了一种主机安全基线自动加固方法，包括以下步骤：

S1、获取安全基线文件并对其进行分类，基于文件类型对安全基线文件中的安全基线项目进行解析；

S2、获取解析出的安全基线项目，显示安全基线项目并提供安全基线项目配置界面，导出安全基线项目格式，基于所解析信息来配置主机安全基线，包括服务和应用程序配置、权限和权利配置、管理规则配置；

S3、安全基线配置完成后，存储所配置的安全基线项目以及安全基线文件信息，并对相关信息进行云端备份；

S4、创建核查任务，根据待核查主机的设备信息实现正常登录，识别待核查主机中的核查对象并确定与其相对应的核查模板，根据核查模板对核查对象进行安全基线核查；

S5、核查完成后，确定所需加固的待加固项，完善需要加固的信息和主机IP信息，并重新设定文件内容中的配置参数；

S6、根据所设定的配置参数对加固项进行加固，加固完成后获取其当前值，对比加固项的当前值与配置参数中所包含的基线标准值；

若加固项的当前值与基线标准值不匹配时，则加固结果不通过，需重新进行加固操作；若加固项的当前值与基线标准值相匹配，则加固结果通过；

S7、对主机安全加固的结果是否生效进行验证，若加固结果生效，则表明加固完成，存储该加固信息并进行云端备份，若加固结果未生效，则表明加固不成功并发出警告。

优选的，在S1中，对安全基线项目的解析包括对唯一标识符、名称、检查类型、检查对象、安全性等级、检查对象目标值、支持的操作系统、支持的软件产品的解析。

优选的，在S2中，服务和应用程序配置的内容包括只安装必要的服务和应用组件、指定相关重要服务进程的权限；

权限和权利配置的内容包括将网站文件读写权限和执行权限分配给不同的文件或目录、敏感设置文件和系统服务操作权限仅限于管理员；

管理规则配置的内容包括多个用户给予不同权限、定时更换系统管理员帐号、限定管理员密码最小长度和复杂度信息。

优选的，在S2中，还包括配置IIS组件，具体如下：

从计算机上删除IIS自带的所有样本文件和默认网站，保持IIS日志记录开关及相应的日志记录字段信息完全，禁用可能导致信息泄露的设置；对相关服务器设置进行调整，包括设置最大连接数目、应用信任等级、应用程序池运行参数、ISAPI和CGI扩展。

优选的，在S4中，核查任务包括获取待核查主机的设备信息，即获取待核查主机的因特网IP地址、用户名和登录密码。

优选的，在S4中，包括如下操作：

获取待核查的每一条目标安全基线，以及与每一条目标安全基线对应的合乎规定的标准安全基线；

对于每一条标准安全基线，根据标准安全基线对配置参数进行核查，配置参数为标准安全基线对应的目标安全基线所需要核查的参数；

对于每一条标准安全基线，当配置参数核查不通过时，则将其确定为待加固项。

优选的，还需对所有基线条目的状态进行扫描和更新，并根据该主机所有基线条目的结果来判定主机当前的合规状态，具体如下：

判断已经扫描过的基线条目的总数与合规的总数是否一致，若结果一致，则表明所有的基线条目扫描结果均合规，则该主机处于合规状态；若结果不一致，则进一步判断修复成功的数量与不合规的数量是否一致，若此结果一致，则表明所有不合规的基线条目均被修复，此时该主机同样处于合规状态。

优选的，若修复成功的数量与不合规的数量不一致，即有不合规的基线条目且该项目没有修复成功，则表明该主机处于不合规状态。

优选的，在S4中，核查对象包括操作系统和软件，其中，识别待核查主机中的核查对象包括如下操作：

根据预设的系统识别命令，识别待核查主机包含的操作系统；根据预设的软件识别命令，识别待核查主机包含的软件；系统识别命令用于识别待核查主机包含的操作系统，软件识别命令用于识别待核查主机包含的软件。

本发明还提出了一种主机安全基线自动加固系统，包括信息采集模块、文件解析模块、显示模块、导出模块、参数配置模块、存储模块、云端备份模块、核查模块、加固模块和验证模块；

其中，信息采集模块用于获取安全基线文件并对其进行分类，文件解析模块用于对安全基线文件中的安全基线项目进行解析，显示模块用于进行显示信息，导出模块用于导出安全基线项目格式，参数配置模块用于配置主机安全基线，存储模块用于对信息进行存储，云端备份模块用于对信息进行云端备份，核查模块用于进行安全基线核查，验证模块用于对主机安全加固的结果是否生效进行验证。

本发明的上述技术方案具有如下有益的技术效果：

首先获取安全基线文件并对其进行分类，基于文件类型对安全基线文件中的安全基线项目进行解析，获取解析出的安全基线项目，显示安全基线项目并提供安全基线项目配置界面，导出安全基线项目格式，配置主机安全基线，并存储所配置的安全基线项目以及安全基线文件信息，实现主机安全基线的配置；

然后创建核查任务，根据待核查主机的设备信息实现正常登录，识别待核查主机中的核查对象并确定与其相对应的核查模板，根据核查模板对核查对象进行安全基线核查；核查完成后，确定所需加固的待加固项，完善需要加固的信息和主机IP信息，并重新设定文件内容中的配置参数；根据所设定的配置参数对加固项进行加固，最后对主机安全加固的结果是否生效进行验证；

本发明不仅能够对主机安全基线进行配置，还能够对主机安全基线进行核查和自动加固，操作简单，使用方便，加固效率高，加固效果好，适合推广使用。

附图说明

图1为本发明提出的一种主机安全基线自动加固方法的流程图。

图2为本发明提出的一种主机安全基线自动加固方法及系统中核查操作的流程图。

图3为本发明提出的一种主机安全基线自动加固方法及系统中判定主机合规状态的流程图。

图4为本发明提出的一种主机安全基线自动加固系统的系统框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式并参照附图，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

如图1-3所示，本发明提出了一种主机安全基线自动加固方法，包括以下步骤：

S1、获取安全基线文件并对其进行分类，基于文件类型对安全基线文件中的安全基线项目进行解析；

S2、获取解析出的安全基线项目，显示安全基线项目并提供安全基线项目配置界面，导出安全基线项目格式，基于所解析信息来配置主机安全基线，包括服务和应用程序配置、权限和权利配置、管理规则配置；

S3、安全基线配置完成后，存储所配置的安全基线项目以及安全基线文件信息，并对相关信息进行云端备份；

S4、创建核查任务，根据待核查主机的设备信息实现正常登录，识别待核查主机中的核查对象并确定与其相对应的核查模板，根据核查模板对核查对象进行安全基线核查；

S5、核查完成后，确定所需加固的待加固项，完善需要加固的信息和主机IP信息，并重新设定文件内容中的配置参数；

S6、根据所设定的配置参数对加固项进行加固，加固完成后获取其当前值，对比加固项的当前值与配置参数中所包含的基线标准值；

若加固项的当前值与基线标准值不匹配时，则加固结果不通过，需重新进行加固操作；若加固项的当前值与基线标准值相匹配，则加固结果通过；

S7、对主机安全加固的结果是否生效进行验证，若加固结果生效，则表明加固完成，存储该加固信息并进行云端备份，若加固结果未生效，则表明加固不成功并发出警告。

在一个可选的实施例中，在S1中，对安全基线项目的解析包括对唯一标识符、名称、检查类型、检查对象、安全性等级、检查对象目标值、支持的操作系统、支持的软件产品的解析。

在一个可选的实施例中，在S2中，服务和应用程序配置的内容包括只安装必要的服务和应用组件、指定相关重要服务进程的权限；权限和权利配置的内容包括将网站文件读写权限和执行权限分配给不同的文件或目录、敏感设置文件和系统服务操作权限仅限于管理员；管理规则配置的内容包括多个用户给予不同权限、定时更换系统管理员帐号、限定管理员密码最小长度和复杂度信息；在S2中，还包括配置IIS组件，具体如下：从计算机上删除IIS自带的所有样本文件和默认网站，保持IIS日志记录开关及相应的日志记录字段信息完全，禁用可能导致信息泄露的设置；对相关服务器设置进行调整，包括设置最大连接数目、应用信任等级、应用程序池运行参数、ISAPI和CGI扩展。

在一个可选的实施例中，在S4中，核查任务包括获取待核查主机的设备信息，即获取待核查主机的因特网IP地址、用户名和登录密码。

在一个可选的实施例中，在S4中，包括如下操作：获取待核查的每一条目标安全基线，以及与每一条目标安全基线对应的合乎规定的标准安全基线；对于每一条标准安全基线，根据标准安全基线对配置参数进行核查，配置参数为标准安全基线对应的目标安全基线所需要核查的参数；对于每一条标准安全基线，当配置参数核查不通过时，则将其确定为待加固项。

在一个可选的实施例中，还需对所有基线条目的状态进行扫描和更新，并根据该主机所有基线条目的结果来判定主机当前的合规状态，具体如下：判断已经扫描过的基线条目的总数与合规的总数是否一致，若结果一致，则表明所有的基线条目扫描结果均合规，则该主机处于合规状态；若结果不一致，则进一步判断修复成功的数量与不合规的数量是否一致，若此结果一致，则表明所有不合规的基线条目均被修复，此时该主机同样处于合规状态；若修复成功的数量与不合规的数量不一致，即有不合规的基线条目且该项目没有修复成功，则表明该主机处于不合规状态。

在一个可选的实施例中，在S4中，核查对象包括操作系统和软件，其中，识别待核查主机中的核查对象包括如下操作：根据预设的系统识别命令，识别待核查主机包含的操作系统；根据预设的软件识别命令，识别待核查主机包含的软件；系统识别命令用于识别待核查主机包含的操作系统，软件识别命令用于识别待核查主机包含的软件。

如图4所示，本发明还提出了一种主机安全基线自动加固系统，包括信息采集模块、文件解析模块、显示模块、导出模块、参数配置模块、存储模块、云端备份模块、核查模块、加固模块和验证模块；

其中，信息采集模块用于获取安全基线文件并对其进行分类，文件解析模块用于对安全基线文件中的安全基线项目进行解析，显示模块用于进行显示信息，导出模块用于导出安全基线项目格式，参数配置模块用于配置主机安全基线，存储模块用于对信息进行存储，云端备份模块用于对信息进行云端备份，核查模块用于进行安全基线核查，验证模块用于对主机安全加固的结果是否生效进行验证。

本发明中，获取安全基线文件并对其进行分类，基于文件类型对安全基线文件中的安全基线项目进行解析，获取解析出的安全基线项目，显示安全基线项目并提供安全基线项目配置界面，导出安全基线项目格式，基于所解析信息来配置主机安全基线，并存储所配置的安全基线项目以及安全基线文件信息，并对相关信息进行云端备份，实现主机安全基线的配置；

创建核查任务，根据待核查主机的设备信息实现正常登录，识别待核查主机中的核查对象并确定与其相对应的核查模板，根据核查模板对核查对象进行安全基线核查；核查完成后，确定所需加固的待加固项，完善需要加固的信息和主机IP信息，并重新设定文件内容中的配置参数；

根据所设定的配置参数对加固项进行加固，加固完成后获取其当前值，对比加固项的当前值与配置参数中所包含的基线标准值；若加固项的当前值与基线标准值不匹配时，则加固结果不通过，需重新进行加固操作；若加固项的当前值与基线标准值相匹配，则加固结果通过；最后对主机安全加固的结果是否生效进行验证，若加固结果生效，则表明加固完成，存储该加固信息并进行云端备份，若加固结果未生效，则表明加固不成功并发出警告；

本发明不仅能够对主机安全基线进行配置，还能够对主机安全基线进行核查和自动加固，操作简单，使用方便，加固效率高，加固效果好，适合推广使用。

应当理解的是，本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims (10)

1.一种主机安全基线自动加固方法，其特征在于，包括以下步骤：

S1、获取安全基线文件并对其进行分类，基于文件类型对安全基线文件中的安全基线项目进行解析；

S2、获取解析出的安全基线项目，显示安全基线项目并提供安全基线项目配置界面，导出安全基线项目格式，基于所解析信息来配置主机安全基线，包括服务和应用程序配置、权限和权利配置、管理规则配置；

S3、安全基线配置完成后，存储所配置的安全基线项目以及安全基线文件信息，并对相关信息进行云端备份；

S4、创建核查任务，根据待核查主机的设备信息实现正常登录，识别待核查主机中的核查对象并确定与其相对应的核查模板，根据核查模板对核查对象进行安全基线核查；

S5、核查完成后，确定所需加固的待加固项，完善需要加固的信息和主机IP信息，并重新设定文件内容中的配置参数；

S6、根据所设定的配置参数对加固项进行加固，加固完成后获取其当前值，对比加固项的当前值与配置参数中所包含的基线标准值；

若加固项的当前值与基线标准值不匹配时，则加固结果不通过，需重新进行加固操作；若加固项的当前值与基线标准值相匹配，则加固结果通过；

S7、对主机安全加固的结果是否生效进行验证，若加固结果生效，则表明加固完成，存储该加固信息并进行云端备份，若加固结果未生效，则表明加固不成功并发出警告。

2.根据权利要求1所述的一种主机安全基线自动加固方法，其特征在于，在S1中，对安全基线项目的解析包括对唯一标识符、名称、检查类型、检查对象、安全性等级、检查对象目标值、支持的操作系统、支持的软件产品的解析。

3.根据权利要求1所述的一种主机安全基线自动加固方法，其特征在于，在S2中，服务和应用程序配置的内容包括只安装必要的服务和应用组件、指定相关重要服务进程的权限；

权限和权利配置的内容包括将网站文件读写权限和执行权限分配给不同的文件或目录、敏感设置文件和系统服务操作权限仅限于管理员；

管理规则配置的内容包括多个用户给予不同权限、定时更换系统管理员帐号、限定管理员密码最小长度和复杂度信息。

4.根据权利要求1所述的一种主机安全基线自动加固方法，其特征在于，在S2中，还包括配置IIS组件，具体如下：

从计算机上删除IIS自带的所有样本文件和默认网站，保持IIS日志记录开关及相应的日志记录字段信息完全，禁用可能导致信息泄露的设置；对相关服务器设置进行调整，包括设置最大连接数目、应用信任等级、应用程序池运行参数、ISAPI和CGI扩展。

5.根据权利要求1所述的一种主机安全基线自动加固方法，其特征在于，在S4中，核查任务包括获取待核查主机的设备信息，即获取待核查主机的因特网IP地址、用户名和登录密码。

6.根据权利要求1所述的一种主机安全基线自动加固方法，其特征在于，在S4中，包括如下操作：

获取待核查的每一条目标安全基线，以及与每一条目标安全基线对应的合乎规定的标准安全基线；

对于每一条标准安全基线，根据标准安全基线对配置参数进行核查，配置参数为标准安全基线对应的目标安全基线所需要核查的参数；

对于每一条标准安全基线，当配置参数核查不通过时，则将其确定为待加固项。

7.根据权利要求1所述的一种主机安全基线自动加固方法，其特征在于，还需对所有基线条目的状态进行扫描和更新，并根据该主机所有基线条目的结果来判定主机当前的合规状态，具体如下：

判断已经扫描过的基线条目的总数与合规的总数是否一致，若结果一致，则表明所有的基线条目扫描结果均合规，则该主机处于合规状态；若结果不一致，则进一步判断修复成功的数量与不合规的数量是否一致，若此结果一致，则表明所有不合规的基线条目均被修复，此时该主机同样处于合规状态。

8.根据权利要求7所述的一种主机安全基线自动加固方法，其特征在于，若修复成功的数量与不合规的数量不一致，即有不合规的基线条目且该项目没有修复成功，则表明该主机处于不合规状态。

9.根据权利要求1所述的一种主机安全基线自动加固方法，其特征在于，在S4中，核查对象包括操作系统和软件，其中，识别待核查主机中的核查对象包括如下操作：

根据预设的系统识别命令，识别待核查主机包含的操作系统；根据预设的软件识别命令，识别待核查主机包含的软件；系统识别命令用于识别待核查主机包含的操作系统，软件识别命令用于识别待核查主机包含的软件。

10.一种主机安全基线自动加固系统，其特征在于，包括信息采集模块、文件解析模块、显示模块、导出模块、参数配置模块、存储模块、云端备份模块、核查模块、加固模块和验证模块；

其中，信息采集模块用于获取安全基线文件并对其进行分类，文件解析模块用于对安全基线文件中的安全基线项目进行解析，显示模块用于进行显示信息，导出模块用于导出安全基线项目格式，参数配置模块用于配置主机安全基线，存储模块用于对信息进行存储，云端备份模块用于对信息进行云端备份，核查模块用于进行安全基线核查，验证模块用于对主机安全加固的结果是否生效进行验证。

Images