安小圈
第506期
国产操作系统 加固
| 笔者： |
|
| 一、银河麒麟 |
之前笔者文章中介绍过的非官方安全加固脚本已经停更两年了，刚好上周（2024年9月5日前后），银河麒麟发通稿介绍自己的加固工具，大致情况可参考如下链接：
图1 安装麒麟操作系统同时安装安全加固工具
笔者认为，其实应该默认就勾选安装，不要让系统管理员还要提醒自己要手工勾选安装。
比较奇怪的是，执行加固后工具给出的安全报告是空白的，如图2。
图2 加固后安全报告无内容
| 二、龙蜥 |
龙蜥仅指 OpenAnolis 社区版。
文档方面，OpenAnolis 项目释出了名为《Anolis OS 安全最佳实践》的加固指引文档，与 CIS Benchmarks 相似。
工具方面是随同加固指引文档释出了基于命令行操作的扫描和加固工具。地址如下：
https://gitee.com/anolis/security-benchmark
OpenAnolis 加固工具的特点是贴近 Linux 社区原生，与 OpenSCAP 有整合关系。
项目有持续更新，Release 不算频繁，最近一次是在2024-01-19 释出版本 1.5.1。
| 三、统信 |
https://doc.chinauos.com/content/C-T8Vo8BZybsW1rIMzb9
发行注记的第2.4节对新版本的加固工具进行了功能描述。
安装运行 UOS 1070，运行加固工具，操作界面如图3：
图3 统信 UOS 加固工具 GUI 界面
执行加固操作后，可以查看到进行了哪些加固设置，如图4。
图4 统信 UOS 加固工具基线加固报告
| 四、欧拉 |
欧拉体系也是社区和商业上下游版本的结合，所以笔者也只观察社区版 openEuler。
openEuler 在 gitee 上建立了项目，设立了 openEuler 安全委员会。openEuler 安全委员会创建并公开发布了《openEuler安全配置基线》，项目地址如下：
https://gitee.com/openeuler/security-committee
项目没有以具体到版本号的方式释出安全配置基线，其全文位于：
https://gitee.com/openeuler/security-committee/blob/master/secure-configuration-benchmark/release/
同时，openEuler 的文档网站有专门列出安全加固指南，例如：
https://docs.openeuler.org/zh/docs/22.03_LTS_SP2/docs/SecHarden/secHarden.html
但这个指南的内容组织方式......还不如直接看安全配置基线。
加固工具方面，openEuler 首先是通过内置的 openEuler-security 服务，配合按需要修改：
/etc/openEuler_security/usr-security.conf
配置文件中的设置项实现加固。笔者觉得以服务方式实施加固的设计颇为特别，或者可以转化为未来实现持续审计的先行措施。
openEuler 也有一个安全中心加固工具子项目，地址：
https://gitee.com/openeuler/ks-ssr
但该项目没有独立释出版本，也没有随同发行版一起发行。
| 五、腾讯 |
腾讯的 TencentOS 所知的人不多，关于该产品安全的说明位于：
https://cloud.tencent.com/document/product/1397/72782#Q14
TencentOS 主要面向的是云原生使用场景，产品声明了与 CentOS7 和 CentOS8 二进制兼容，因此CentOS/RHEL的加固措施可以直接应用其上。
| 本篇小结 |
作为甲方，如果只部署一种操作系统，那么安全加固信息的散落并不是什么问题。
但如果是多种操作系统混合部署的环境，要能持续跟踪获得安全加固信息，没有统一的来源那就会让人比较恼火了。
况且还不是都能直接通过操作系统本身的软件包更新而获得加固工具，加固指引文档的质量也各有千秋。
具体到命令行和 GUI 工具，笔者认为操作系统厂家必须是两种方式都能提供。
因为命令行方式可用于快速批量部署和部署后的定期审计，实现各种过程自动化。而 GUI 工具可以降低使用门槛，避免个别系统管理员因为学习曲线影响而引致放松甚至放弃执行安全加固。
还有就是加固工具应能就执行的加固设置输出完整的日志信息，以备进行审计和在需要时能手工还原。
国产化转型期，厂家需要为甲方提供功能设计上考虑得更周到的产品。
注：题头图由豆包生成。
END
【原文来源：wavecn】
本文内容所包含内容仅限于学习和研究目的。这些内容源自公开的渠道搜集而来，目的是为帮助安全研究人员用于更好地理解和分析潜在的安全问题。
原文始发于微信公众号（安小圈）：【实操篇】国产操作系统【加固】措施汇总（202409）
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论