I
基于 SCAP 的服务器安全基线核查设计与实现
摘要：随着互联网的普及，各行各业对信息系统依赖度的不断增强，
各政企对安全建设的极度重视，构建保障安全的基线成为不可或缺
的一部分。本文主要研究针对证券、电信、移动等行业安全基线核
查面临的问题，通过 SCAP（安全内容自动化协议）设计安全基线，
使用 AGENT/SERVER 的方式实现远程安全基线核查系统，进行系
统安全配置设置的持续性监测，对影响系统安全的脆弱性因素进行
全面检查，帮助安全运维人员及时发现安全风险，全面洞察安全隐
患，检查系统的折衷标记以及能在任意设定时刻给出系统的安全状
态

首先，对 SCAP 产生的背景进行简要介绍，提出本文研究是基
于联软科技有限公司为解决证券、电信、移动等行业安全基线核查
所面临的问题而研发的安全基线核查系统；并对国内外的研究现状
进行概述

其次，简要介绍安全配置的基本概念，分析安全基线核查的业
务场景，明确安全配置标准清单问题，概述安全基线的定义；指出
证券、电信、移动等行业执行安全基线核查所面临的主要问题是缺
少信息资产，在大规模环境下尤为明显。通过对目前安全基线核查
方式的分析，明确安全基线核查的难点，提出通过 Agent 方式的可
解决方案，并实现 PDCA 四阶段循环过程

引入 SCAP 标准，使用 SCAP 协议中的 OVAL 进行安全基线设
计，借助开源社区工具 OVALDI 实现 30 多个数据采集方法，为安
全性核查提供数据；采用基于 Agent/Server 架构，通过在服务器上
部署 Agent 程序，与 Server 后台联动来实现对大规模服务器环境下
操作系统、中间件、数据库的安全基线核查；Agent 在采集数据的
同时获取服务器系统及进程的性能数据，实时监控服务器状态，对
出现异常的服务器通过告警的方式通知服务器系统管理员，使服务
器时刻运行在一个可保障的安全状态

最后，实现通过 Agent 方式并基于 SCAP 协议的安全基线核查
系统；同时分析证券行业的特点及执行安全基线核查的需求，以信
息资产为驱动实现证券行业安全基线管理，并在此基础上扩展安全
基线核查系统的功能；通过实验结果分析，本文所实现的核查系统
对核查结果的科学性、准确性起到促进作用，同时加快了检查的进
度，提高了工作效率

关键字：SCAP；安全基线；中间件；OVAL；XCCDF
。。。。。。以上简介无排版格式，详细内容请下载查看