安全基线
安全 基线核查 安全服务 相关概念
安全基线核查是确保系统满足安全规范要求的一系列活动。
它涉及到检查各安全配置参数是否符合预设的标准，这些标准通常是基于操作系统、数据库及中间件的安全实践及合规检查要求制定的。
这些配置参数包括但不限于账号配置安全、口令配置安全、授权配置、日志配置、IP通信配置等。
通过进行这样的核查，可以及时发现并修复系统中的安全漏洞，从而提高系统的整体安全性。
安全服务则是一系列为了保障信息系统安全而提供的服务，这些服务可能包括安全基线核查、安全漏洞扫描、风险评估、安全加固等。
这些服务旨在确保信息系统的机密性、完整性和可用性，从而防止因恶意攻击、数据泄露等原因导致的损害。
总的来说，安全基线核查是安全服务中的一项重要内容，它通过对系统配置参数的检查来确保系统达到预设的安全标准。
而安全服务则是一个更广泛的概念，它涵盖了所有为了保障信息系统安全而提供的服务。
docker 安全基线标准
docker 安全基线标准
Docker的安全基线标准主要从内核、主机、网络、镜像、容器以及其它等几个方面来考虑。
具体标准如下：
1.内核级别：
•及时更新内核。
•User NameSpace：容器内的root权限在容器之外处于非高权限状态。
•Cgroups：对资源的配额和度量。
•SELiux/AppArmor/GRSEC：控制文件访问权限。
•Capability：权限划分。
•Seccomp：限定系统调用。
•禁止将容器的命名空间与宿主机进程命名空间共享。
2.主机级别：
•为容器创建独立分区。
•仅运行必要的服务，服务器中不要开启FTP服务，如果开启，需要开启禁锢家目录的操作。
•禁止将宿主机上敏感目录映射到容器，最好使用其他磁盘（非sda，例如：sdb、sdc等）。
•对Docker守护进程、相关文件和目录进行审计。
•设置适当的默认文件描述符数。
3.网络级别：
•使用Docker的网络功能，不要使用桥接模式。
•限制容器的网络访问能力，例如使用iptables规则。
4.镜像和容器级别：
•使用最新的安全镜像。
•限制容器的访问权限，例如使用--privileged参数。
5.其他：
•使用最新的安全配置和最佳实践。
•定期进行安全审计和漏洞扫描。
以上信息仅供参考，具体标准可能随时间而变化，建议查阅最新的Docker安全基线标准或咨询相关专家获取更准确的信息。
安全基线运维管理
培训对象
全体员工，特别是运维人员和安全管理人员 。
案例分析与实战演练
结合企业实际场景，进行案例分析和实战演 练，提高员工实际操作能力。
宣传渠道拓展及效果评估
宣传渠道
企业内部网站、公告栏、电子邮件、社交媒体等多 种渠道。
宣传内容
安全基线的重要性、安全操作规范、最新安全动态 等。
效果评估
通过问卷调查、在线测试等方式，评估员工对安全 基线的认知程度和掌握情况。
建立运维流程监控机制，及时发现并改进流程中存在的问题，持续 优化运维流程。
运维工具选型及应用
工具调研
对市场上主流的运维工具进行调研和评估，选择适合 自身业务需求的工具。
工具应用
根据选定的工具，制定详细的实施方案和操作指南， 确保工具的正确使用和最大化发挥效益。
工具优化与升级
持续关注工具的发展动态和技术创新，及时进行工具 的优化和升级，提高运维工作效率和质量。
提高员工安全意识及技能水平
安全意识培养
定期开展安全意识教育，强调安全的重要性，提高员工对安全的 重视程度。
技能水平提升
组织专业的安全培训，提高员工的安全技能和防范能力。
激励与考核机制
建立安全绩效考核机制，对表现优秀的员工进行奖励，对违反安 全规定的员工进行惩罚。
THANKS FOR WATCHING
更新周期与流程
更新周期
根据业务发展、技术变化以及安全威 胁的变化，定期对安全基线进行评估 和更新，通常每年至少更新一次。
更新流程
由安全团队发起更新需求，进行调研 和分析，制定更新草案，提交给专家 评审，经过审批后进行发布和实施。
审批及发布机制
审批机制
设立专门的审批机构或委员会，对安全基线的制定和更新进行审批，确保基线的合理性和有效性。
路由器安全配置基线
配置安全功能和策略
启用密码保护：设置强密码，定期更换密码 配置防火墙：启用防火墙，设置安全规则 配置入侵检测和防御：启用IDS/IPS，监控网络流量，检测和防御攻击 配置虚拟专用网络（VPN）：启用VPN，保障远程访问安全
测试和验证配置的有效性
配置路由器安全基线 测试和验证配置的有效性 确保配置符合安全标准 及时更新和升级路由器安全配置
● 路由器面临的安全威胁
● 病毒感染：通过下载带有病毒的软件或者点击带有病毒的链接，使路由器感染恶意软件 ● 非法访问：未经授权的人员通过破解路由器密码或者利用漏洞，非法访问路由器并进行恶意操作 ● 拒绝服务攻击：攻击者通过发送大量无效或恶意请求，使路由器无法正常处理合法请求 ● 篡改配置文件：攻击者通过篡改路由器的配置文件，干扰路由器的正常工作，导致网络中断或者数据泄露 ● 窃取用户信息：攻击者通过监听路由器数据流，窃取用户的敏感信息，如账号密码、信用卡信息等
和数据传输。
定期备份配置： 定期备份路由器 的配置文件，以 防止意外数据丢 失和配置错误。
监控网络流量： 监控路由器的网 络流量，以便及 时发现异常流量 和潜在的安全威
胁。
感谢您的观看
定期备份路由器配置文件
备份方法：使用TFTP或FTP 协议进行备份
备份周期：至少每周备份一 次，并保留多个备份版本
备份目的：防止配置文件丢 失或被篡改
注意事项：备份文件应存储在 安全位置，并确保备份文件的
完整性
及时关注安全漏洞和补丁发布信息
定期检查路由器安全漏洞， 及时更新补丁
及时关注厂商发布的安全 公告和漏洞信息
攻击。
入侵检测与防御配置
配置步骤：确定入侵检测系统的安装位置、 选择合适的探测器、设置报警阈值、配置 报警方式等。
linux系统安全基线
linux系统安全基线Linux系统安全基线是指在构建和维护Linux操作系统时，按照一系列预定义的安全措施和规范来实施的一种最佳实践。
它主要是为了减少系统遭受恶意攻击的概率，保护系统的机密性、完整性和可用性。
本文将详细阐述Linux系统安全基线涉及的各个方面，并一步一步回答有关问题。
第一步：建立访问控制机制首先，我们需要建立合理的访问控制机制来限制用户的权限。
这可以通过为每个用户分配适当的权限级别和角色来实现。
例如，管理员账户应该具有最高的权限，而普通用户账户只能执行有限的操作。
此外，应该禁用不必要的账户，并定期审计所有账户和权限。
问题1：为什么建立访问控制机制是Linux系统安全基线的重要组成部分？答：建立访问控制机制可以限制用户的权限，避免未经授权的访问和滥用系统权限，从而提高系统的安全性。
问题2：如何建立访问控制机制？答：建立访问控制机制可以通过分配适当的权限级别和角色给每个用户来实现，同时禁用不必要的账户，并定期审计账户和权限。
第二步：加强系统密码策略系统密码是保护用户账户和系统数据的重要屏障，因此需要加强密码策略。
这包括要求用户使用强密码、定期更新密码、限制密码尝试次数等。
此外，为了避免密码泄露和未经授权的访问，应该启用多因素身份验证。
问题3：为什么加强系统密码策略是Linux系统安全基线的重要组成部分？答：加强系统密码策略可以提高账户和系统数据的安全性，避免密码泄露和未经授权的访问。
问题4：如何加强系统密码策略？答：加强系统密码策略可以通过要求用户使用强密码、定期更新密码、启用密码复杂性检查、限制密码尝试次数等方式来实现。
第三步：更新和修补系统Linux系统安全基线要求及时更新和修补系统以纠正已知的漏洞和安全问题。
这涉及到定期更新操作系统和软件包，并及时应用安全补丁。
此外，应该禁用不必要的服务和端口，以减少攻击面。
问题5：为什么更新和修补系统是Linux系统安全基线的重要组成部分？答：更新和修补系统可以修复已知的漏洞和安全问题，减少系统受攻击的风险。
数据库安全基线 标准
数据库安全基线标准全文共四篇示例，供读者参考第一篇示例：数据库安全基线是数据库安全管理的重要组成部分，也是数据安全保障的基础。
建立数据库安全基线标准是为了规范数据库安全管理，保障数据的可靠性、完整性和机密性，防止数据泄露和数据被恶意篡改。
在本文中，我们将探讨数据库安全基线标准的重要性、内容和实施方法。
一、数据库安全基线标准的重要性1. 数据库是企业重要资产之一，包含了企业的核心业务数据、客户信息、人事信息等重要数据。
一旦数据库遭受到攻击或数据泄露，可能会对企业造成巨大的经济损失和声誉损害。
2. 数据库安全基线标准是规范企业数据库安全管理的重要依据，通过建立数据库安全基线标准可以确保数据库系统的安全性和稳定性。
4. 遵循数据库安全基线标准可以减少数据库系统的漏洞和脆弱性，提高数据库系统的抗攻击能力，降低安全风险，保护企业数据安全。
1. 认证和授权管理：规定数据库管理员的身份认证和授权管理机制，明确数据库管理员的权限和责任。
2. 数据备份与恢复：规定数据库的备份和恢复策略，确保数据库数据的可靠性和完整性。
3. 数据加密技术：规定敏感数据的加密机制和加密算法，保护数据的机密性。
4. 审计和监控：规定数据库审计和监控机制，实时监测数据库运行状态，发现异常行为。
5. 数据安全策略：规定数据库安全策略，包括访问控制、密码策略、会话管理等，确保数据的安全性。
6. 异地备份和灾难恢复：规定异地备份和灾难恢复计划，防止因自然灾害或人为原因造成的数据丢失。
7. 安全更新和漏洞修复：规定数据库软件的定期更新和漏洞修复机制，确保数据库系统安全。
8. 员工安全培训：规定员工数据库安全培训计划，提高员工的安全意识和技能。
1. 制定数据库安全基线标准：企业应根据自身特点和需求，制定符合实际情况的数据库安全基线标准，并明确责任人和执行时间。
2. 实施安全技术措施：通过加密技术、认证授权、安全审计、访问控制等技术手段，加强数据库系统的安全防护。
电网IT主流设备安全基线技术规范
电网IT主流设备安全基线技术规范1. 引言电力系统是国家经济发展和民生所依赖的重要基础设施，而电网IT主流设备作为电力系统的核心部件，其安全性和稳定性对于电力供应的可靠性至关重要。
为了确保电网IT设备的信息安全和系统的可靠运行，制定本文档旨在规范电网IT主流设备的安全基线技术规范。
2. 安全基线定义安全基线是指一组定义的配置要求和操作规范，旨在提供高级别的安全保护，并防止最常见的攻击。
本文档中的安全基线技术规范旨在为电网IT主流设备的配置和操作提供指导，以确保设备和系统的安全。
3. 安全基线技术规范要求为了满足电网IT设备的安全需求，以下是对设备安全基线的技术规范要求：3.1 身份验证和访问控制•所有设备必须启用严格的身份验证和访问控制机制，包括使用密码、令牌或生物识别等方式验证用户身份。
•设备必须支持多种身份验证方式，并允许管理员为不同的角色分配适当的权限。
•所有默认的身份验证凭证必须在设备交付后被更改，以防止未经授权的访问。
3.2 防火墙和网络隔离•设备必须配置防火墙来过滤网络流量，并只允许经过身份验证的用户访问。
•设备必须使用虚拟局域网(VLAN)或其他隔离机制将不同的网络流量进行隔离，以减少潜在攻击的影响范围。
3.3 操作系统和应用程序安全•设备的操作系统必须及时安装安全补丁，并禁用不必要的服务和协议，以减少攻击面。
•设备上安装的应用程序必须经过严格的安全审计和评估，并定期更新版本以修复已知的安全漏洞。
3.4 密码和凭证管理•设备必须实施强密码策略，包括密码复杂性要求和定期更换密码。
•所有敏感的凭证(如私钥和证书)必须得到妥善管理，并进行定期备份和更新。
3.5 审计和日志记录•设备必须启用审计和日志记录功能，记录用户操作、系统事件和安全告警等。
•日志文件必须定期备份和存储，以供后续的审计和调查使用。
4. 安全基线规范的实施4.1 设备部署前的配置验证在设备投入使用之前，必须对设备的安全基线配置进行验证，确保其符合规范要求。
运维安全基线包括哪些内容
Nessus：一款流行的漏洞扫描工具，可以检测系统和网络中的安全漏洞 OpenVAS：一款开源的漏洞扫描工具，可以扫描网络中的安全漏洞 Snort：一款开源的网络入侵检测系统，可以检测网络中的异常行为 Tripwire：一款文件完整性检查工具 ，可以检测系统中的文件是否被篡改
安全事件定义：指在运维过程中发生的可能导致业务中断、数据泄露等安全风险的异常现 象。
应急响应流程：发现安全事件后，应立即进行初步处置，同时上报安全管理部门，启动应 急响应计划。
应急响应小组：由安全管理部门牵头，各部门安全负责人组成，负责制定应急响应计划和 协调处置工作。
应急处置措施：根据安全事件的性质和影响范围，采取相应的处置措施，如隔离、修复、 数据恢复等。
定期更新安全策 略和配置
执行配置管理：按照配置 管理计划，执行配置管理 操作
监控配置变化：实时监控 配置变化，确保配置符合 安全基线
定期评估和更新安全基线： 定期评估安全基线，并根 据需要更新安全基线
审核目的：确 保系统安全配 置符合基线要
求
审核内容：系 统安全配置、 安全策略、安
全补丁等
审核方式：人 工审核、自动
化审核工具
,A CLICK TO UNLIMITED POSSIBILITES
汇报人：
目录
CONTENTS
运维安全基线：是指在运维过程中， 为确保系统安全稳定运行而设定的一 系列安全策略和规范。
包括：安全配置、安全审计、安全监 控、安全响应等方面。
目的：提高系统安全性，降低安全风 险，确保业务连续性。
作用：为运维人员提供明确的安全 指导和操作规范，有助于及时发现 和应对安全威胁，保障系统安全。
审核周期：定 期审核、不定
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
安全基线项目项目简介：安全基准项目主要帮助客户降低由于安全控制不足而引起的安全风险。
安全基准项目在NIST、CIS、OVAL等相关技术的基础上，形成了一系列以最佳安全实践为标准的配置安全基准。
二. 安全基线的定义2.1 安全基线的概念安全基线是一个信息系统的最小安全保证, 即该信息系统最基本需要满足的安全要求。
信息系统安全往往需要在安全付出成本与所能够承受的安全风险之间进行平衡, 而安全基线正是这个平衡的合理的分界线。
不满足系统最基本的安全需求, 也就无法承受由此带来的安全风险, 而非基本安全需求的满足同样会带来超额安全成本的付出, 所以构造信息系统安全基线己经成为系统安全工程的首要步骤, 同时也是进行安全评估、解决信息系统安全性问题的先决条件。
2.2 安全基线的框架在充分考虑行业的现状和行业最佳实践，并参考了运营商下发的各类安全政策文件，继承和吸收了国家等级保护、风险评估的经验成果等基础上，构建出基于业务系统的基线安全模型如图2.1所示：图 2.1 基线安全模型基线安全模型以业务系统为核心，分为业务层、功能架构层、系统实现层三层架构：1. 第一层是业务层，这个层面中主要是根据不同业务系统的特性，定义不同安全防护的要求，是一个比较宏观的要求。
2. 第二层是功能架构层，将业务系统分解为相对应的应用系统、数据库、操作系统、网络设备、安全设备等不同的设备和系统模块，这些模块针对业务层定义的安全防护要求细化为此层不同模块应该具备的要求。
3. 第三层是系统实现层，将第二层模块根据业务系统的特性进一步分解，如将操作系统可分解为Windows、Solaris等系统模块，网络设备分解为华为路由器、Cisco路由器等系统模块……这些模块中又具体的把第二层的安全防护要求细化到可执行和实现的要求，称为Windows安全基线、华为路由器安全基线等。
下面以运营商的WAP系统为例对模型的应用进行说明：首先WAP系统要对互联网用户提供服务，存在互联网的接口，那么就会受到互联网中各种蠕虫的攻击威胁，在第一层中就定义需要防范蠕虫攻击的要求。
蠕虫攻击的防护要求对于功能架构层的操作系统、网络设备、网络架构、安全设备等都存在可能的影响，因此在这些不同的模块中需要定义相对应的防范要求，而针对这些防范要求，如何来实现呢？这就需要定义全面、有效的第三层模块要求了。
针对不同类型蠕虫病毒的威胁，在Windows、Solaris等系统的具体防范要求是不一样的，第三层中就是针对各种安全威胁针对不同的模块定义不同的防护要求，这些不同模块的防护要求就统一称为WAP业务系统的安全基线。
针对WAP业务系统安全基线的检查，就可以转化为针对操作系统、网络设备等的脆弱性检查上面。
2.3 安全基线的内容根据业界通行的一些安全风险评估方法及运营商日常安全维护经验，我们将安全基线的内容分为三个方面：1）系统存在的安全漏洞。
2）系统配置的脆弱性。
3）系统状态的检查。
业务系统的安全基线由以上三方面必须满足的最小要求组成。
具体组成如图2.2所示：图 2.2 安全基线的组成具体来说，安全基线的三个组成部分分别为：1) 漏洞信息：漏洞通常是由于软件或协议等系统自身存在缺陷引起的安全风险，一般包括了登录漏洞、拒绝服务漏洞、缓冲区溢出、信息泄漏、蠕虫后门、意外情况处置错误等，反映了系统自身的安全脆弱性。
由于漏洞信息由相应的国际标准，如CVE（Common V ulnerabilities & Exposures ，公共漏洞和暴露）就列出了各种已知的安全漏洞，因此系统的初始漏洞安全基线可以采用通用标准。
2) 安全配置：通常都是由于人为的疏忽造成，主要包括了账号、口令、授权、日志、IP通信等方面内容，反映了系统自身的安全脆弱性。
在安全配置基线方面，移动集团下发了操作系统安全配置规范、路由器安全配置规范、数据库安全配置规范等一系列规范，因为系统初始安全配置基线可以采用集体下发的标准。
3) 系统重要状态：包含系统端口状态、进程、账号以及重要文件变化的监控。
这些内容反映了系统当前所处环境的安全状况，有助于我们了解业务系统运行的动态情况。
由于系统状态基线随着业务应用不同而不同，没有标准模板可借鉴。
我们通过对系统的状态信息进行一个快照，对非标准的进程端口、关键文件MD5校验值等信息确认后作为初始的系统状态安全基线。
业务系统的安全基线建立起来后，可以形成针对不同系统的详细漏洞要求和检查项（Check list），为标准化和自动化的技术安全操作提供可操作和可执行的标准。
三. 安全基线检查的工具化实现思路3.1 工具化安全检查的方式3.1.1 远程检查远程检查通常描述为漏洞扫描技术，主要是用来评估信息系统的安全性能，是信息安全防御中的一项重要技术，其原理是采用不提供授权的情况下模拟攻击的形式对目标可能存在的已知安全漏洞进行逐项检查，目标可以是终端设备、主机、网络设备、甚至数据库等应用系统。
系统管理员可以根据扫描结果提供安全性分析报告，为提高信息安全整体水平产生重要依据。
图 3.1 远程检查示意图在远程评估技术方面，绿盟科技颇有建树。
其中，绿盟科技的漏洞扫描产品曾在移动集团组织的中外漏洞产品评测中名列第一，并获得了英国西海岸实验室的checkmark认证。
基于多年的安全服务实践经验，同时结合用户对安全评估产品的实际应用需求，绿盟科技自主研发了远程安全评估系统，它采用高效、智能的漏洞识别技术，第一时间主动对网络中的资产进行细致深入的漏洞检测、分析，并给用户提供专业、有效的漏洞防护建议，让攻击者无机可乘，是您身边专业的“漏洞管理专家”。
极光具有以下特点：1.依托专业的NSFOCUS安全小组，综合运用NSIP（NSFOCUS Intelligent Profile）等多种领先技术，自动、高效、及时准确地发现网络资产存在的安全漏洞；2.对发现的网络资产的安全漏洞进行详细分析，并采用权威的风险评估模型将风险量化，给出专业的解决方案；3.提供Open VM（Open Vulnerability Management开放漏洞管理）工作流程平台，将先进的漏洞管理理念贯穿整个产品实现过程中；4.通过国际权威漏洞管理机构CVE 最高级别认证，CVE compatible；5.亚太地区唯一获得英国西海岸实验室安全认证的漏洞扫描产品；6.极光远程安全评估系统在业界的广泛认可，广泛应用于测评机构、运营商、金融、政企等行业；在中国移动、金财工程等多个入围测评中排名第一。
3.1.2 本地检查本地检查是基于目标系统的管理员权限，通过Telnet/SSH/SNMP、远程命令获取等方式获取目标系统有关安全配置和状态信息；然后根据这些信息在检查工具本地与预先制定好的检查要求进行比较，分析符合情况；最后根据分析情况汇总出合规性检查结果。
配置核查是本地检查最常见的一项内容。
配置检查工具主要是针对Windows、Solaris等操作系统，华为、Cisco、Juniper等路由器和Oracle 数据库进行安全检查。
检查项主要包括：账号、口令、授权、日志、IP协议等有关的安全特性。
图 3.2 本地检查示意图绿盟科技配合移动集团在2008年11月开发了中国移动安全配置核查工具。
中国移动针对业务系统的安全特性，制订了针对性的《中国移动设备通用安全功能和配置规范》系列规范（以下简称《配置规范》），规范的出台让运维人员有了检查默认风险的标准，是整个安全基线的重要组成部分。
随着日常安全检查、合规性安全检查的开展，面对业务系统内种类繁多、数量众多的设备、系统，如何快速、有效的进行配置安全检查成为一个难题。
运用这一产品可以对中国移动网络中的操作系统、网络设备、数据库等《配置规范》符合性检查，从系统部署和集成的层面规避缺省脆弱性的存在。
目前，该工具在中国移动集团以及14个省公司运维中使用。
3.2 安全基线检查的工具化设计3.2.1 安全基线检查工具框架安全基线检查工具基于业务系统安全运行的要求（最低/基本），对目标系统的漏洞、配置和重要状态进行检查。
从检查的方式上来看，分为远程检查和本地检查。
远程检查体现为漏洞扫描的过程，本地检查体现为对配置的检查和对重要状态的检查。
因此，以检查手段为基础，将安全基线检查分为安全漏洞检查、安全配置检查和重要状态监控。
最终，工具以系统快照的方式获得安全检查的结果，并与安全基线比对，获得当前系统的安全状况，并通过多次检查的结果，梳理出系统的变化趋势。
图 3.3 安全基线检查工具框架3.2.2 安全基线的建立安全基线的建立是以对业务系统的安全评估和基线梳理基础上的。
1. 安全漏洞：通常是属于系统自身的问题引起的安全风险，一般包括了登录漏洞、拒绝服务漏洞、缓冲区溢出、信息泄漏、蠕虫后门、意外情况处置错误等，反映了系统自身的安全脆弱性。
2. 安全配置：通常都是由于人为的疏忽造成，主要包括了账号、口令、授权、日志、IP通信等方面内容，反映了系统自身的安全脆弱性。
安全配置方面与系统的相关性非常大，同一个配置项在不同业务环境中的安全配置要求是不一样的，如在WEB系统边界防火墙中需要开启HTTP通信，但一个WAP网关边界就没有这样的需求，因此在设计业务系统安全基线的时候，安全配置是一个需要关注的重点。
3. 重要状态：重要状态，包括端口、进程和重要文件，这些状态的异常可能意味着来自于外部的各种威胁因素导致，比如非法登陆尝试、木马后门、DDoS攻击等都属于安全异常活动，反映了系统当前所处环境的安全状况，和可能存在的外部风险。
3.2.3 安全基线检查的应用业务系统的安全基线建立起来后，可以形成针对不同系统的详细漏洞要求和checklist要求，为标准化的技术安全操作提供了框架和标准。
其应用范围非常广泛，主要包括新业务系统的上线安全检查、第三方入网安全检查、合规性安全检查（上级检查）、日常安全检查等。
通过对目标系统展开合规安全检查，找出不符合的项并选择和实施安全措施来控制安全风险。
3.2.4 安全基线的变更基于安全基线的检查工作，可以预见的难题可能在于，使用通用的安全基线评估时，由于各个业务系统、各个设备由于功能应用的不同，安全要求也不同；同一设备随着应用的改变，安全要求也随之改变。
因此每次使用同一安全基线进行检查，就会重复出现一些已经确认过的风险，而一些新出现的风险却又未加进检查范围内。
我们使用初始安全基线进行通用安全评估后，系统管理员、安全人员对评估结果进行确认，如果有需要忽略或新增的项目，就调整并保存到基线数据库中。
如果没有就返回到评估结果。
当启动后一次评估并生成评估结果后，新的评估结果会与基线库中的安全基线自动进行对比，管理员、安全人员对评估结果进行确认，如果有需要忽略或新增的项目，就保存到基线库形成新的基线。