2024-11-04 - 安全加固必须要有可人读的基准文本而不是傻瓜式的黑箱工具

继续说加固基准。

要讨论加固基准,绕不开 CIS 编制的CIS Benchmarks,因为很长时间内,CIS Benchmarks 是唯一成体系的基础设施加固实践指南。

参照 CIS 编制加固基准的组织过程,国内也需要有类似的组织建立一个社区化的平台,召集和组织志愿者研讨、开发、编写和发布各种加固基准,以及发掘加固基准的深入应用,比如自动化的加固和检查工具等。

而不是现在(就以国产操作系统为例),普遍更时兴的做法:

给系统管理员弄个黑箱工具,“一键加固”。

article banner

笔者:国际注册信息系统审计师、软考系统分析师、软件工程硕士

有必要先提一下 CIS Benchmarks 的编制过程是如何组织的。

CIS Benchmarks 的编制是基于“共识”的指导作用,每项基准均由该主题下的专家组以通过协商获得一致意见的审查过程创建的。

专家组也可称为建立共识的参与者,每位参与者都从各自不同背景的视角提供意见,这些个人背景包括咨询、软件开发、审计和合规、安全研究、运营、政府和法律。

每项 CIS 加固基准都要经过两个阶段的共识审查:

第一阶段发生在加固基准的初始开发阶段。在此阶段,主题专家组召开会议,讨论、创建和测试加固基准的工作草案,在对建议的加固基准内容达成共识之前进行充分的讨论。

第二阶段在加固基准草案发布之后开始。在此阶段,所有由互联网社区提供的反馈都将由共识团队进行审查,确定反馈内容是否纳入加固基准。

由此,经过修改补充的加固基准草案在最终审定后完成并作为正式版本发布。

......点击查看详细内容

最新发表
安全加固必须要有可人读的基准文本而不是傻瓜式的黑箱工具2024-11-04 安全加固必须要有可人读的基准文本而不是傻瓜式的黑箱工具一键式黑箱工具不仅养懒人,实质还可能构成安全风险。
从香港网络安全峰会2024观察香港网安市场机遇2024-11-01 从香港网络安全峰会2024观察香港网安市场机遇系统分析师转岗为市场分析师。
香港网络安全峰会2024所见2024-10-27 香港网络安全峰会2024所见本年度峰会的主题是:“Cyber Security Fortification -- The AI Paradox”,直译是“网络空间安全设防——人工智能悖论”。
反正是内网,一个密码通行全部系统行不行?2024-10-21 反正是内网,一个密码通行全部系统行不行?实现网络安全是需要反人性的,所以如果回答“行”,其实就是人性的懒惰使然。
等微软作为太迟:主动防御 VS Code 恶意扩展2024-10-18 等微软作为太迟:主动防御 VS Code 恶意扩展软件供应链安全必须要防微杜渐而不是亡羊补牢!
网络安全日志保留6个月?可能要三年。2024-10-10 网络安全日志保留6个月?可能要三年。其实也没啥,买多几个硬盘(不是
最新发现 CUPS 漏洞可被用于 DDoS 放大攻击,9.9分值不值?2024-10-08 最新发现 CUPS 漏洞可被用于 DDoS 放大攻击,9.9分值不值?整体来看这漏洞就算不给9.9分也值9.8分了。
微软不作为:VSCode 恶意插件层出不穷2024-10-06 微软不作为:VSCode 恶意插件层出不穷显然 VSCode 插件已成软件供应链攻击关键突破口。
9.9 高分漏洞!国产操作系统发补丁谁最快?2024-10-03 9.9 高分漏洞!国产操作系统发补丁谁最快?难以简单概括总结,读者可根据内文自行评判。
Linux 最新 CVE 9.9 分末日漏洞,还居然被偷家先泄露给黑产2024-09-29 Linux 最新 CVE 9.9 分末日漏洞,还居然被偷家先泄露给黑产数据泄露无处不在......会不会就是利用了这次的9.9分漏洞?
WSUS 行将就木:微软决定放弃这款差强人意的更新管理工具2024-09-26 WSUS 行将就木:微软决定放弃这款差强人意的更新管理工具这是一篇对 WSUS 的吐槽以及:How dare you, M$
国产化替代:操作系统厂商需要加快制订加固基准2024-09-24 国产化替代:操作系统厂商需要加快制订加固基准不仅是填补空白那么简单,还包括厂商要自己为自己背书。
采购使用传呼机、对讲机归谁管?2024-09-20 采购使用传呼机、对讲机归谁管?...谁都不想管。
新鲜钓鱼邮件实例详细分析2024-09-18 新鲜钓鱼邮件实例详细分析数据泄露的情况实在太多,估计已经没谁是没收过钓鱼邮件了。
国产操作系统加固措施汇总(202409)2024-09-15 国产操作系统加固措施汇总(202409)与其干等不如自己动手,笔者收集整理了若干国产操作系统的安全基准和加固操作工具相关信息。
微信订阅号二维码
更多内容
  •  2024-09-15 国产操作系统加固措施汇总(202409)
  •  2024-09-13 CIS 安全基准近期更新情况汇总(202408)
  •  2024-09-13 中国·广州 2024年国家网络安全宣传周现场精彩一瞥
  •  2024-09-08 CISecurity.org 已经拒绝中国大陆 IP 地址访问
  •  2024-09-03 高质运维:需要运维脚本软件的开发能力
  •  2024-09-02 高质运维:能否用重复数据删除功能优化 WSUS ?
  •  2024-08-27 高质运维:WSUS 补丁更新服务器优化措施
  •  2024-08-22 高“效”运维已死,高质运维永生
  •  2024-08-10 支持 Windows 的 SMTP 服务器开源软件:E-MailRelay。