From ae9a18f998c89c8392bdd7bea2bec69d05a0133e Mon Sep 17 00:00:00 2001 From: April1016 Date: Mon, 1 Apr 2024 06:33:59 +0000 Subject: [PATCH 1/8] =?UTF-8?q?add=20sig/=E7=B3=BB=E7=BB=9F=E5=AE=89?= =?UTF-8?q?=E5=85=A8SIG/content/SIG=E4=BE=8B=E4=BC=9A/SIG=E7=BB=843?= =?UTF-8?q?=E6=9C=88=E4=BE=8B=E4=BC=9A(2024-03-29).md.=20=E6=8F=90?= =?UTF-8?q?=E4=BA=A4=E6=9C=88=E5=BA=A6=E4=BE=8B=E4=BC=9A=E4=BC=9A=E8=AE=AE?= =?UTF-8?q?=E7=BA=AA=E8=A6=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Signed-off-by: April1016 --- ...10\344\276\213\344\274\232(2024-03-29).md" | 48 +++++++++++++++++++ 1 file changed, 48 insertions(+) create mode 100644 "sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" diff --git "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" new file mode 100644 index 00000000..532aa868 --- /dev/null +++ "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" @@ -0,0 +1,48 @@ +## 会议主题 +龙蜥社区系统安全SIG 3月例会 + +## 会议时间 +2024-03-29 14:30-15:30 + +## 轮值主持人 +徐峥 --浪潮信息 + +## 参会人 +浪潮信息、阿里云、统信、中科院计算所、长擎软件、中关村国家实验室及社区开发者 + +## 会议纪要 +### 1、系统安全SIG规划介绍--浪潮信息：徐峥 + +### 2、开源项目简单介绍 + + 2.1 KSecure --浪潮信息：甄鹏 + + KSecure工具适配内核版本：RHCK的4.18 和ANCK的4.19、5.10 + + 是否会适配ANCK6.6内核：计划在今年4-5月进行适配 + + ptrace攻击检测是否是基于CVE漏洞：不是CVE漏洞，是进程注入攻击 + + 工具是否进行过性能测试：CPU性能消耗在5%以内 + + 2.2 KSMSuite --浪潮信息：霍文 + + 2.3 KSCLM --浪潮信息：杨金林 + + 2.4 security-benchmark --阿里云：杨雨青 + + 对于加固完可能对系统产生影响的条目，是否考虑增加回退脚本：目前没有回退工具，脚本根据对系统影响的程度划分了四个等级，二级和四级对系统易用性和性能是有影响的，用户可以根据自己情况自己选择加固项 + 一个操作系统使用工具加固后，可以满足等保要求的范围大概有多少：覆盖等保三级要求中的部分条目，具体覆盖比例没有进行验证 + 合规检测工具是否覆盖应用、数据库等服务：目前覆盖系统级别的，SSH、防火墙等，没有应用级别的 + 检测项参考CIS标准：参考了CIS，借鉴了阿里alinux的检测和加固脚本 + +### 3、讨论：社区的商业版本，如何来应对四院行标要求中的SBOM软件供应链安全需求 + + 背景介绍：华为在最新的四院行标补充标准里面，已经明确提出希望将sbom安全写入到四院行标里面，也就是说希望以后满足四院行标标准送测的时候，操作系统中所有软件组件，必须通过软件物料清单的安全认证。 + 初步进展：目前信息不明确，需要线下对齐一下信息，找相应的人讨论 + + +## 遗留问题 + +1、SBOM供应链安全问题：对齐目前已掌握信息，与标准化SIG、安全联盟共同讨论 + -- Gitee From 77553323a72d379ec8f801baf47d286f98c2fb9d Mon Sep 17 00:00:00 2001 From: April1016 Date: Mon, 1 Apr 2024 06:34:37 +0000 Subject: [PATCH 2/8] =?UTF-8?q?update=20sig/=E7=B3=BB=E7=BB=9F=E5=AE=89?= =?UTF-8?q?=E5=85=A8SIG/content/SIG=E4=BE=8B=E4=BC=9A/SIG=E7=BB=843?= =?UTF-8?q?=E6=9C=88=E4=BE=8B=E4=BC=9A(2024-03-29).md.?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Signed-off-by: April1016 --- ...273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" index 532aa868..0a959166 100644 --- "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" +++ "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" @@ -13,7 +13,7 @@ ## 会议纪要 ### 1、系统安全SIG规划介绍--浪潮信息：徐峥 -### 2、开源项目简单介绍 +### 2、开源项目介绍 2.1 KSecure --浪潮信息：甄鹏 -- Gitee From d76e2045739727eb99bb2df4d56dfae4e9fe322d Mon Sep 17 00:00:00 2001 From: April1016 Date: Mon, 1 Apr 2024 06:49:57 +0000 Subject: [PATCH 3/8] =?UTF-8?q?update=20sig/=E7=B3=BB=E7=BB=9F=E5=AE=89?= =?UTF-8?q?=E5=85=A8SIG/sig-info.yaml.=20=E5=A2=9E=E5=8A=A0=E5=BC=80?= =?UTF-8?q?=E6=BA=90=E9=A1=B9=E7=9B=AE=E5=9C=B0=E5=9D=80?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Signed-off-by: April1016 --- .../sig-info.yaml" | 3 +++ 1 file changed, 3 insertions(+) diff --git "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/sig-info.yaml" "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/sig-info.yaml" index 5f0fcd4b..bb1d8e7c 100644 --- "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/sig-info.yaml" +++ "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/sig-info.yaml" @@ -47,3 +47,6 @@ contributors: repositories: - repo: - anolis/ksecure + - anolis/ksmsuite + - anolis/ksclm + - anolis/security-benchmark \ No newline at end of file -- Gitee From 0f524da7339256f9ee577bc73922eb9c71550f32 Mon Sep 17 00:00:00 2001 From: April1016 Date: Mon, 1 Apr 2024 07:34:27 +0000 Subject: [PATCH 4/8] =?UTF-8?q?update=20sig/=E7=B3=BB=E7=BB=9F=E5=AE=89?= =?UTF-8?q?=E5=85=A8SIG/content/SIG=E4=BE=8B=E4=BC=9A/SIG=E7=BB=843?= =?UTF-8?q?=E6=9C=88=E4=BE=8B=E4=BC=9A(2024-03-29).md.?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Signed-off-by: April1016 --- ...2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" | 6 +++--- 1 file changed, 3 insertions(+), 3 deletions(-) diff --git "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" index 0a959166..d9c3f9c7 100644 --- "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" +++ "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" @@ -11,9 +11,9 @@ 浪潮信息、阿里云、统信、中科院计算所、长擎软件、中关村国家实验室及社区开发者 ## 会议纪要 -### 1、系统安全SIG规划介绍--浪潮信息：徐峥 +## 1、系统安全SIG规划介绍--浪潮信息：徐峥 -### 2、开源项目介绍 +## 2、开源项目介绍 2.1 KSecure --浪潮信息：甄鹏 @@ -36,7 +36,7 @@ 合规检测工具是否覆盖应用、数据库等服务：目前覆盖系统级别的，SSH、防火墙等，没有应用级别的 检测项参考CIS标准：参考了CIS，借鉴了阿里alinux的检测和加固脚本 -### 3、讨论：社区的商业版本，如何来应对四院行标要求中的SBOM软件供应链安全需求 +## 3、讨论：社区的商业版本，如何来应对四院行标要求中的SBOM软件供应链安全需求 背景介绍：华为在最新的四院行标补充标准里面，已经明确提出希望将sbom安全写入到四院行标里面，也就是说希望以后满足四院行标标准送测的时候，操作系统中所有软件组件，必须通过软件物料清单的安全认证。 初步进展：目前信息不明确，需要线下对齐一下信息，找相应的人讨论 -- Gitee From 28e594d9537010a6d544f8ca4f9bbef6dab63f7f Mon Sep 17 00:00:00 2001 From: April1016 Date: Mon, 1 Apr 2024 07:35:13 +0000 Subject: [PATCH 5/8] =?UTF-8?q?update=20sig/=E7=B3=BB=E7=BB=9F=E5=AE=89?= =?UTF-8?q?=E5=85=A8SIG/content/SIG=E4=BE=8B=E4=BC=9A/SIG=E7=BB=843?= =?UTF-8?q?=E6=9C=88=E4=BE=8B=E4=BC=9A(2024-03-29).md.?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Signed-off-by: April1016 --- ...43\346\234\210\344\276\213\344\274\232(2024-03-29).md" | 8 ++++---- 1 file changed, 4 insertions(+), 4 deletions(-) diff --git "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" index d9c3f9c7..2ac286b0 100644 --- "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" +++ "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" @@ -15,7 +15,7 @@ ## 2、开源项目介绍 - 2.1 KSecure --浪潮信息：甄鹏 + 2.1 KSecure --浪潮信息：甄鹏 KSecure工具适配内核版本：RHCK的4.18 和ANCK的4.19、5.10 @@ -25,11 +25,11 @@ 工具是否进行过性能测试：CPU性能消耗在5%以内 - 2.2 KSMSuite --浪潮信息：霍文 + 2.2 KSMSuite --浪潮信息：霍文 - 2.3 KSCLM --浪潮信息：杨金林 + 2.3 KSCLM --浪潮信息：杨金林 - 2.4 security-benchmark --阿里云：杨雨青 + 2.4 security-benchmark --阿里云：杨雨青 对于加固完可能对系统产生影响的条目，是否考虑增加回退脚本：目前没有回退工具，脚本根据对系统影响的程度划分了四个等级，二级和四级对系统易用性和性能是有影响的，用户可以根据自己情况自己选择加固项 一个操作系统使用工具加固后，可以满足等保要求的范围大概有多少：覆盖等保三级要求中的部分条目，具体覆盖比例没有进行验证 -- Gitee From bbe56ddb3489059e740fb26bb77ee980edbb7ed1 Mon Sep 17 00:00:00 2001 From: April1016 Date: Mon, 1 Apr 2024 07:37:13 +0000 Subject: [PATCH 6/8] =?UTF-8?q?update=20sig/=E7=B3=BB=E7=BB=9F=E5=AE=89?= =?UTF-8?q?=E5=85=A8SIG/content/SIG=E4=BE=8B=E4=BC=9A/SIG=E7=BB=843?= =?UTF-8?q?=E6=9C=88=E4=BE=8B=E4=BC=9A(2024-03-29).md.?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Signed-off-by: April1016 --- ...10\344\276\213\344\274\232(2024-03-29).md" | 22 +++++-------------- 1 file changed, 5 insertions(+), 17 deletions(-) diff --git "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" index 2ac286b0..d8ade125 100644 --- "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" +++ "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" @@ -14,35 +14,23 @@ ## 1、系统安全SIG规划介绍--浪潮信息：徐峥 ## 2、开源项目介绍 - 2.1 KSecure --浪潮信息：甄鹏 - - KSecure工具适配内核版本：RHCK的4.18 和ANCK的4.19、5.10 - - 是否会适配ANCK6.6内核：计划在今年4-5月进行适配 - - ptrace攻击检测是否是基于CVE漏洞：不是CVE漏洞，是进程注入攻击 - - 工具是否进行过性能测试：CPU性能消耗在5%以内 + KSecure工具适配内核版本：RHCK的4.18 和ANCK的4.19、5.10 + 是否会适配ANCK6.6内核：计划在今年4-5月进行适配 + ptrace攻击检测是否是基于CVE漏洞：不是CVE漏洞，是进程注入攻击 + 工具是否进行过性能测试：CPU性能消耗在5%以内 2.2 KSMSuite --浪潮信息：霍文 - 2.3 KSCLM --浪潮信息：杨金林 - 2.4 security-benchmark --阿里云：杨雨青 - 对于加固完可能对系统产生影响的条目，是否考虑增加回退脚本：目前没有回退工具，脚本根据对系统影响的程度划分了四个等级，二级和四级对系统易用性和性能是有影响的，用户可以根据自己情况自己选择加固项 一个操作系统使用工具加固后，可以满足等保要求的范围大概有多少：覆盖等保三级要求中的部分条目，具体覆盖比例没有进行验证 合规检测工具是否覆盖应用、数据库等服务：目前覆盖系统级别的，SSH、防火墙等，没有应用级别的 - 检测项参考CIS标准：参考了CIS，借鉴了阿里alinux的检测和加固脚本 - + 检测项参考CIS标准：参考了CIS，借鉴了阿里alinux的检测和加固脚本 ## 3、讨论：社区的商业版本，如何来应对四院行标要求中的SBOM软件供应链安全需求 - 背景介绍：华为在最新的四院行标补充标准里面，已经明确提出希望将sbom安全写入到四院行标里面，也就是说希望以后满足四院行标标准送测的时候，操作系统中所有软件组件，必须通过软件物料清单的安全认证。 初步进展：目前信息不明确，需要线下对齐一下信息，找相应的人讨论 - ## 遗留问题 - 1、SBOM供应链安全问题：对齐目前已掌握信息，与标准化SIG、安全联盟共同讨论 -- Gitee From db6f72811d9799e4f2daef5cca6a0406cfe0fa48 Mon Sep 17 00:00:00 2001 From: April1016 Date: Mon, 1 Apr 2024 07:40:38 +0000 Subject: [PATCH 7/8] =?UTF-8?q?=E6=8F=90=E4=BA=A4=E4=BC=9A=E8=AE=AE?= =?UTF-8?q?=E7=BA=AA=E8=A6=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Signed-off-by: April1016 --- ...10\344\276\213\344\274\232(2024-03-29).md" | 41 +++++++++++-------- 1 file changed, 25 insertions(+), 16 deletions(-) diff --git "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" index d8ade125..4c903a7f 100644 --- "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" +++ "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" @@ -12,24 +12,33 @@ ## 会议纪要 ## 1、系统安全SIG规划介绍--浪潮信息：徐峥 - ## 2、开源项目介绍 - 2.1 KSecure --浪潮信息：甄鹏 - KSecure工具适配内核版本：RHCK的4.18 和ANCK的4.19、5.10 - 是否会适配ANCK6.6内核：计划在今年4-5月进行适配 - ptrace攻击检测是否是基于CVE漏洞：不是CVE漏洞，是进程注入攻击 - 工具是否进行过性能测试：CPU性能消耗在5%以内 - - 2.2 KSMSuite --浪潮信息：霍文 - 2.3 KSCLM --浪潮信息：杨金林 - 2.4 security-benchmark --阿里云：杨雨青 - 对于加固完可能对系统产生影响的条目，是否考虑增加回退脚本：目前没有回退工具，脚本根据对系统影响的程度划分了四个等级，二级和四级对系统易用性和性能是有影响的，用户可以根据自己情况自己选择加固项 - 一个操作系统使用工具加固后，可以满足等保要求的范围大概有多少：覆盖等保三级要求中的部分条目，具体覆盖比例没有进行验证 - 合规检测工具是否覆盖应用、数据库等服务：目前覆盖系统级别的，SSH、防火墙等，没有应用级别的 - 检测项参考CIS标准：参考了CIS，借鉴了阿里alinux的检测和加固脚本 +2.1 KSecure --浪潮信息：甄鹏 + + KSecure工具适配内核版本：RHCK的4.18 和ANCK的4.19、5.10 + + 是否会适配ANCK6.6内核：计划在今年4-5月进行适配 + + ptrace攻击检测是否是基于CVE漏洞：不是CVE漏洞，是进程注入攻击 + + 工具是否进行过性能测试：CPU性能消耗在5%以内 + +2.2 KSMSuite --浪潮信息：霍文 + +2.3 KSCLM --浪潮信息：杨金林 + +2.4 security-benchmark --阿里云：杨雨青 + + 对于加固完可能对系统产生影响的条目，是否考虑增加回退脚本：目前没有回退工具，脚本根据对系统影响的程度划分了四个等级，二级和四级对系统易用性和性能是有影响的，用户可以根据自己情况自己选择加固项 + 一个操作系统使用工具加固后，可以满足等保要求的范围大概有多少：覆盖等保三级要求中的部分条目，具体覆盖比例没有进行验证 + 合规检测工具是否覆盖应用、数据库等服务：目前覆盖系统级别的，SSH、防火墙等，没有应用级别的 + 检测项参考CIS标准：参考了CIS，借鉴了阿里alinux的检测和加固脚本 + ## 3、讨论：社区的商业版本，如何来应对四院行标要求中的SBOM软件供应链安全需求 - 背景介绍：华为在最新的四院行标补充标准里面，已经明确提出希望将sbom安全写入到四院行标里面，也就是说希望以后满足四院行标标准送测的时候，操作系统中所有软件组件，必须通过软件物料清单的安全认证。 - 初步进展：目前信息不明确，需要线下对齐一下信息，找相应的人讨论 + + 背景介绍：华为在最新的四院行标补充标准里面，已经明确提出希望将sbom安全写入到四院行标里面，也就是说希望以后满足四院行标标准送测的时候，操作系统中所有软件组件，必须通过软件物料清单的安全认证。 + + 初步进展：目前信息不明确，需要线下对齐一下信息，找相应的人讨论 ## 遗留问题 1、SBOM供应链安全问题：对齐目前已掌握信息，与标准化SIG、安全联盟共同讨论 -- Gitee From f21a4a7b1e5123e2166958af06ad321abaf7ffe4 Mon Sep 17 00:00:00 2001 From: April1016 Date: Mon, 1 Apr 2024 07:42:19 +0000 Subject: [PATCH 8/8] =?UTF-8?q?update=20sig/=E7=B3=BB=E7=BB=9F=E5=AE=89?= =?UTF-8?q?=E5=85=A8SIG/content/SIG=E4=BE=8B=E4=BC=9A/SIG=E7=BB=843?= =?UTF-8?q?=E6=9C=88=E4=BE=8B=E4=BC=9A(2024-03-29).md.?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Signed-off-by: April1016 --- ...73\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" | 3 +++ 1 file changed, 3 insertions(+) diff --git "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" index 4c903a7f..efff9c29 100644 --- "a/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" +++ "b/sig/\347\263\273\347\273\237\345\256\211\345\205\250SIG/content/SIG\344\276\213\344\274\232/SIG\347\273\2043\346\234\210\344\276\213\344\274\232(2024-03-29).md" @@ -30,8 +30,11 @@ 2.4 security-benchmark --阿里云：杨雨青 对于加固完可能对系统产生影响的条目，是否考虑增加回退脚本：目前没有回退工具，脚本根据对系统影响的程度划分了四个等级，二级和四级对系统易用性和性能是有影响的，用户可以根据自己情况自己选择加固项 + 一个操作系统使用工具加固后，可以满足等保要求的范围大概有多少：覆盖等保三级要求中的部分条目，具体覆盖比例没有进行验证 + 合规检测工具是否覆盖应用、数据库等服务：目前覆盖系统级别的，SSH、防火墙等，没有应用级别的 + 检测项参考CIS标准：参考了CIS，借鉴了阿里alinux的检测和加固脚本 ## 3、讨论：社区的商业版本，如何来应对四院行标要求中的SBOM软件供应链安全需求 -- Gitee