基于SCAP的自动化安全基线核查研究

陈军+++饶婕+陈虹+万亚平

摘 要： 研究了服务器安全基线，介绍目前通常使用的技术及检查方式，针对目前工具导致安全配置工作覆盖率难以保障，耗费大量的人力，周期长、效率低下等缺点，引入SCAP标准。采用基于Agent/Server架构，通过在用户服务器上部署Agent程序，与后台联动来实现对大规模服务器环境操作系统、中间件、数据库进行自动化安全基线（主要是安全配置）核查，对核查结果的科学性、准确性起到促进作用，同时加快了检查的进度，提高了工作效率。

关键词： SCAP； 安全基线； 中间件； 设备发现

中图分类号：TP319 文献标志码：A 文章编号：1006-8228（2016）04-28-04

Automated security baseline verification based on SCAP

Chen Jun， Rao Jie， Chen Hong， Wan Yaping

（School of Computer Science and Technology， University of South China， Hengyang， Hunan 421001， China）

Abstract： This paper studies the server security baseline， introduces the technology and inspection methods currently used. In view of the shortcomings resulted in by the current tool that security configuration coverage is difficult to guarantee， consuming a lot of manpower， long cycle， low efficiency and so on， SCAP（Security Content Automation Protocol） standard is introduced. Adopting agent/server architecture， by deploying agent program on the user's servers， realizes the automated security baseline （mainly security configuration） verification to the operating system， middleware and database in the large-scale server environment， promotes the scientificalness and accuracy of the verification result， and speeds up the progress of the inspection， improves work efficiency.

Key words： SCAP； security baseline； middleware； device discovery

0 引言

随着计算机通信技术的飞速发展，由系统配置而导致的安全问题越来越多。安全内容自动化协议（SCAP）为系统配置的标准化以及对系统配置的脆弱性评估提供了一种统一的方法。越来越多的厂商、组织和社团加入到SCAP的研究中，推动SCAP成为真正意义的全球标准。2010年11月7日至16日，IETF79研讨会在北京召开，全球数以千计的科研工作者参加了这次盛会，其中一个很重要的议题就是讨论将安全内容自动化协议（SCAP： Security Content Automation Protocol）引入IETF（互联网工程任务组：Internet EngineeringTask Force）标准化，使之成为真正意义上的全球标准[3]。

本文通过引入SCAP标准，建立安全基线检查策略库，同时研发安全基线检查系统对目标服务器展开合规安全检查，找出不符合的项进行告警以控制安全风险。同时监控服务器的资源使用情况，通过对历史数据的分析获得业务系统安全状态和变化趋势，并以报表的形式展示给安全和管理人员，以解各个行业安全管理人员的燃眉之急。……