第249篇：安全基线检查清单

关键词：安全基线、配置核查、等保合规、CIS Benchmark、配置审计、自动化巡检、配置标准化

一、引言

安全基线（Security Baseline）是一组最低限度的安全配置要求，定义了网络设备在上线前必须满足的安全标准。没有基线的网络安全建设如同没有标准的建筑工程——每台设备的配置因人而异，安全隐患无法系统性排查，合规审计无从下手。

安全基线检查不是"一次性任务"，而是贯穿设备全生命周期的常态化工作。从设备初始化、上线前核查、定期巡检到变更后的回归检查，基线检查为网络安全提供了可量化、可审计的保障机制。

二、安全基线框架

2.1 基线分类体系

2.2 交换机安全基线检查清单

2.2.1 访问控制检查项

2.2.2 协议安全检查项

2.2.3 网络安全检查项

2.2.4 审计日志检查项

2.2.5 系统安全检查项

2.3 防火墙安全基线检查清单

三、自动化基线检查实施

3.1 基线检查脚本（Python + Netmiko）

#!/usr/bin/env python3
"""
网络设备安全基线自动检查脚本
支持华为 VRP 设备（交换机/路由器/防火墙）
"""
from netmiko import ConnectHandler
import json
import csv
from datetime import datetime

# 设备清单
devices = [
    {"host": "10.10.100.10", "username": "admin", "password": "xxx", "device_type": "huawei"},
    {"host": "10.10.100.11", "username": "admin", "password": "xxx", "device_type": "huawei"},
]

# 基线检查项定义
baseline_checks = {
    "AC-01_Default_Account": {
        "name": "默认账号检查",
        "command": "display local-user initial",
        "pass_condition": "不存在",  # 如果命令报错则通过
    },
    "PR-01_Telnet_Disabled": {
        "name": "Telnet 禁用检查",
        "command": "display this interface vty 0",
        "fail_pattern": "telnet",  # 如果输出包含 telnet 则失败
        "pass_pattern": "protocol inbound ssh",
    },
    "PR-02_SSH_Version": {
        "name": "SSH 版本检查",
        "command": "display ssh server status",
        "pass_pattern": "version 2",
    },
    "AU-01_Syslog": {
        "name": "Syslog 配置检查",
        "command": "display info-center loghost",
        "pass_pattern": "loghost",  # 如果存在 loghost 配置则通过
    },
    "AU-02_NTP": {
        "name": "NTP 配置检查",
        "command": "display ntp status",
        "pass_pattern": "synchronized",
    },
    "SY-01_Banner": {
        "name": "Banner 检查",
        "command": "display banner",
        "pass_pattern": "warning|authorized|unauthorized",
    },
}

def check_device(device, checks):
    """检查单个设备的安全基线"""
    results = []
    try:
        conn = ConnectHandler(**device)
        conn.enable()

        for check_id, check in checks.items():
            try:
                output = conn.send_command(check["command"], read_timeout=30)

                # 判断合规状态
                passed = False
                if "fail_pattern" in check:
                    passed = check["fail_pattern"] not in output.lower()
                if "pass_pattern" in check:
                    passed = check["pass_pattern"] in output.lower()
                if "pass_condition" == check.get("pass_condition"):
                    passed = True  # 命令报错视为通过

                results.append({
                    "check_id": check_id,
                    "name": check["name"],
                    "status": "PASS" if passed else "FAIL",
                    "output_snippet": output[:200].strip(),
                })
            except Exception as e:
                results.append({
                    "check_id": check_id,
                    "name": check["name"],
                    "status": "ERROR",
                    "error": str(e)[:200],
                })

        conn.disconnect()
    except Exception as e:
        return {"error": str(e), "results": []}

    return results

def generate_report(all_results):
    """生成基线检查报告"""
    report = {
        "report_time": datetime.now().strftime("%Y-%m-%d %H:%M:%S"),
        "summary": {},
        "device_results": all_results,
    }

    # 统计
    total = 0
    passed = 0
    failed = 0
    for device_result in all_results.values():
        for r in device_result:
            total += 1
            if r["status"] == "PASS":
                passed += 1
            elif r["status"] == "FAIL":
                failed += 1

    report["summary"] = {
        "total_checks": total,
        "passed": passed,
        "failed": failed,
        "compliance_rate": f"{(passed/total*100):.1f}%" if total > 0 else "N/A",
    }

    return report

if __name__ == "__main__":
    all_results = {}
    for device in devices:
        print(f"Checking {device['host']}...")
        all_results[device["host"]] = check_device(device, baseline_checks)

    report = generate_report(all_results)

    # 输出 JSON 报告
    with open("baseline_report.json", "w") as f:
        json.dump(report, f, indent=2, ensure_ascii=False)

    # 输出 CSV 摘要
    with open("baseline_summary.csv", "w", newline="") as f:
        writer = csv.writer(f)
        writer.writerow(["Device", "Check_ID", "Check_Name", "Status"])
        for host, results in all_results.items():
            for r in results:
                writer.writerow([host, r["check_id"], r["name"], r["status"]])

    print(f"\n合规率: {report['summary']['compliance_rate']}")
    print("报告已保存: baseline_report.json, baseline_summary.csv")

3.2 华为设备基线核查命令速查

# ===== 一键基线核查命令集 =====

# 1. 访问控制
display local-user
display local-user verbose
display aaalimit all

# 2. 协议安全
display this interface vty 0
display ssh server status
display snmp-agent
display http server

# 3. 网络安全
display vlan brief
display current-configuration | include acl
display dhcp snooping brief
display stp brief

# 4. 审计日志
display info-center loghost
display ntp status
display log configuration

# 5. 系统信息
display version
display device
display banner

# 将核查结果导出
display current-configuration > running.cfg

3.3 基线检查报告模板

╔════════════════════════════════════════════════════════╗
║          网络设备安全基线检查报告                        ║
╠════════════════════════════════════════════════════════╣
║ 设备名称: Core-SW-01                                   ║
║ 设备型号: Huawei S6730H-52XC-EI                        ║
║ 检查时间: 2024-07-25 14:30                              ║
║ 检查人: 安全运维组                                      ║
║ 合规率: 92.3% (12/13 PASS, 1 FAIL)                     ║
╠════════════════════════════════════════════════════════╣
║ 检查项               状态     说明                       ║
╠════════════════════════════════════════════════════════╣
║ AC-01 默认账号       PASS     已禁用                     ║
║ AC-02 密码复杂度      PASS     满足要求                   ║
║ AC-03 密码有效期      PASS     90天                       ║
║ PR-01 Telnet禁用      PASS     仅SSH                      ║
║ PR-02 SSH版本         PASS     SSHv2                     ║
║ PR-03 HTTP禁用        FAIL     HTTP服务仍开启 ← 需整改    ║
║ AU-01 Syslog          PASS     已配置                     ║
║ AU-02 NTP             PASS     已同步                     ║
║ ...                                      ║
╚════════════════════════════════════════════════════════╝

四、基线管理与持续改进

4.1 基线检查频率

4.2 基线偏离处理流程

4.3 基线豁免管理

五、总结

核心结论：安全基线是网络安全建设的"地基"。一份完善的基线检查清单不仅为设备安全提供了最低保障，也为安全运营提供了可量化的度量指标。通过自动化基线检查，将安全配置从"人工记忆"升级为"系统保障"，是网络安全管理从粗放走向精细化的必经之路。

思考

1. 如何平衡安全基线的严格性与业务灵活性？当业务部门要求"例外"时应该如何处理？

2. 安全基线检查发现大量设备不合规时，应该优先修复哪些项？排序原则是什么？

3. 在容器化/云计算环境中，传统的网络设备安全基线检查还有哪些适用？哪些需要调整？

下篇预告：第250篇：一次完整的企业网安全渗透测试案例——从外到内的实战演练