龍蜥社群釋出首個 Anolis OS 安全指南 為使用者業務系統保駕護航

近日，龍蜥社群系統安全委員會SIG，聯合阿里雲、統信軟體等 SIG 成員，基於最新 Anolis OS 發行版聯合釋出了 Anolis OS 8 安全最佳實踐（下載連結見文末），該最佳實踐基於 Anolis OS 8 下游發行版 Alibaba Cloud Linux 3 和 UOS Server v20 大規模產品落地的安全經驗和實踐進行打造，相容 CIS（Center for Internet Security）、等保 2.0 等安全標準的安全保護基本要求，以安全基線的形式為社群使用者提供配置各種安全功能的指南，幫助企業和組織對安全風險做出更清晰的決策。

系統安全是業務安全穩定執行的重要基礎之一，隨著網路安全對抗的愈演愈烈，規模化的自動攻擊、蠕蟲、勒索、APT 等攻擊形式也逐漸增多，預設安裝的系統可能存在埠配置不當、弱口令、安全策略配置弱、系統補丁缺失等系統配置不合理問題，給業務系統的安全執行帶來很大的挑戰。

伺服器和作業系統作為雲端計算最基礎也最重要的網路資產，其安全檢查也成為重中之重，系統配置安全問題往往是緩解威脅、減少風險的第一道防線。同時，隨著企業國際化的發展，資訊保安合規管理成為常態化，企業和組織的網路安全建設往往需要滿足來自國家或監管單位的“安全標準”，如等保 2.0、CIS 安全標準、GDPR 等等。結合這些安全合規要求，構建作業系統安全基線已經成為系統安全工程的首要步驟，Anolis OS 8 安全最佳實踐的釋出，旨在為龍蜥社群使用者提供詳細、廣泛、易用、可配置的最佳安全基線配置指南，降低由於安全控制不足而引起的安全風險。

最佳實踐包括 access-and-control、logging-and-auditing、services、 system-configurations、mandatory-access-control 五個方面共 150 多條內容，每一項安全指南都以一個獨立的 markdown 檔案在社群專案倉庫進行釋出與維護，並涵蓋了對應的安全等級、描述、修復建議與掃描檢測等內容（連結地址詳見文末）。

Anolis OS 8 安全最佳實踐將安全基線的等級分為四級：其中一、二級不影響系統的效能及易用性，同時，第一級能夠透過指令碼完成錯誤配置的掃描檢測和自動化修復，第二級往往要求系統管理員的手動檢查與配置；第三和第四級安全指南可能帶來系統效能和易用性上的影響。二者的區別與第二級、第一級類似。採用分級分類的定義方式能夠支援使用者結合實際的安全需求選擇實施不同安全等級的加固，並更好地滿足對不同使用者不同場景的配置安全基準要求。

目前對應的程式碼倉庫 security-benchmark 已經在 gitee 上開源，當前已經有來自龍蜥社群的 7 名開發者參與了安全基線的貢獻。同時隨著 Anolis OS 8 安全最佳實踐 v1.0.0 的釋出，相應的文件釋出工具也一併開源，該工具基於 Python 3 實現，支援將多個安全基線的 markdown 檔案轉換合併成 PDF 格式釋出文件，並能夠針對待發布的 markdown 檔案組合進行靈活的配置，允許使用者按需生成滿足不同場景不同安全需求的定製版安全基線標準。

此外，結合龍蜥作業系統（Anolis OS）的體系化安全合規建設，下游發行版 Alibaba Cloud Linux 2/3 以及統信軟體 UnionTech OS Server v20 近期先後完成與國際知名安全社群 OpenSCAP 的產品支援整合，併成為 OpenSCAP 官方首批支援的國內 OS 產品。隨著 Anolis 8 安全最佳實踐的釋出，相關的安全基線配置能夠持續與 OpenSCAP 安全策略進行結合，進一步繁榮龍蜥社群的安全生態。

‍龍蜥社群（OpenAnolis）致力於為社群使用者提供安全的作業系統開源發行版（Anolis OS）和安全應用，並結合充分測試與廣泛驗證的安全標準配置為企業與組織更細粒度地實現安全控制提供支援。

未來我們期待更多的社群開發者能夠參與 Anolis OS 安全最佳實踐基線的共同開發和完善。圍繞該安全最佳實踐指南，我們還將進一步開發並充分驗證相關的配置掃描和修復指令碼，結合安全工具集進行釋出以支援系統安全配置的自動化核查與加固，幫助 Anolis OS 及其下游廠商更好地滿足安全合規的要求，降低安全風險。

相關連結：

1.Anolis OS 8 安全最佳實踐下載：

https://gitee.com/anolis/security-benchmark/releases

2.最佳實踐開發者指南連結地址：

https://gitee.com/anolis/security-benchmark/blob/master/docs/development-guide.md

3.Anolis 安全最佳實踐專案倉庫：

https://gitee.com/anolis/security-benchmark

4.文件工具連結地址：

https://gitee.com/anolis/security-benchmark/tree/master/tools/release

—— 完 ——

相關連結可移步龍蜥公眾號（OpenAnolis龍蜥）2022年7月19日相同推送檢視。