CIS Benchmarks 完整指南

在所有 IT 资产上保持安全的配置对网络安全、合规性和业务连续性至关重要。即使是单一的错误配置也可能导致安全漏洞和业务中断，因此必须在整个环境中强制执行一致的策略。

CIS Benchmarks 是用于安全系统配置的最广泛认可的框架之一。由 Center for Internet Security 开发，这些最佳实践由全球专家社区创建并维护。他们定义了云平台、操作系统、桌面应用程序、 网络设备 以及更多领域中，安全配置应当是什么样子。

通过遵循 CIS Benchmarks，组织能够获得用于加固系统、降低风险并提升整体安全态势的实用指导。

为何 CIS Benchmarks 对网络安全至关重要

在网络安全这样复杂且往往较为抽象的领域中，最好依靠已建立的标准来明确需要哪些防护措施以及应当部署在哪里。CIS Benchmarks 是最广泛使用的最佳实践之一，它为安全配置 IT 环境提供了全面的方法，并且提供超过 25 种不同技术的基准。

在实践中，CIS Benchmarks 通过修复错误配置来减少攻击面至关重要。当处理诸如未使用的端口或过度的管理权限等问题时，系统效率会得到提升，剩余的漏洞也会更少，从而增强运行安全性。

通过这种改进的契合度，借助 Benchmarks 中经过精简的组织结构以及明确的审计指南，IT 团队能够更好地开展系统审计。审计也会变得更容易，因为遵循这些协议能够加强合规性。由于 CIS Benchmarks 定义了有效的安全最佳实践，它们自然能够支持 NIST、PCI DSS、HIPAA 和 ISO 27001 等框架；这些框架都将 CIS 协议视为网络安全行业标准。

CIS 配置与加固说明

按照 CIS Benchmarks 中概述的安全系统设置进行配置，就会得到所谓的 CIS Configuration，即与 CIS 最佳实践一致的系统配置。通常，这通过安全模板来实现：该模板可先行展示按照 CIS 认证标准配置的系统设置。

实现 CIS Configuration 对于部署安全的系统配置至关重要，这一过程也被称为“加固(hardening)”。对网络进行加固对于建立可靠的防护至关重要：因为安全配置能够让 IT 团队消除并预防错误配置及其相关漏洞，在防止配置漂移的同时保持安全策略，并降低系统整体的攻击面。系统中残留的错误配置或不安全设置越少，攻击者成功实施攻击的机会就越少。

由于这一过程是通过有效的设置配置来实现的，因此大多数系统都可以得到安全加固。话虽如此，最重要的是先保护组织的关键系统，例如服务器、防火墙、云环境和工作站。

一旦系统已经得到了充分加固，就必须保留基线配置（baseline configuration） 的记录。这些基线作为内部标准，用于界定针对您特定系统而言什么构成安全配置。这有助于在审计或事后（post-incident）复盘期间分析您的网络，同时也为 IT 团队提供配置备份，以便在发生意外变更时可以还原。

CIS Benchmarks 对比 CIS Controls

尽管 CIS Benchmarks 为特定技术提供具体的配置指导，但Critical Security Controls 提供了按优先级排列的战略性步骤，用于提升系统安全。 这些 Controls 被划分为具体行动，概述如何保障组织 IT 环境的不同领域。例如，Control 4 描述网络防御的最佳实践，帮助您为软件和硬件资产建立并维护正确的配置。

CIS 建议的这两个相似组成部分会共同作为一份统一的指南，用于系统加固（system hardening） 。尽管CIS Controls 会指定为应对特定漏洞所必需的防护措施，但 CIS Benchmarks 则提供与技术相关的最佳实践，用于落实这些策略。

再以 Control 4 为例，假设您正在尝试对企业资产和软件进行安全的配置。由于 Control 4 涵盖了这一安全领域，它将提供最初的最佳实践，并按照优先级顺序指导您实现安全配置。随后，可以落实 CIS Benchmarks，将这些配置应用到操作系统、服务器软件或任何其他需要加固的特定技术上。

CIS 基准的级别与配置文件

CIS Security Benchmarks 是一套完整的、针对具体技术的安全最佳实践，并根据环境的安全需求，将严格程度划分为三个等级。

第 1 级：影响最小，基础安全卫生

1 级 CIS 配置代表最基础的安全等级，定义了每台系统都应具备的关键保护。由于这些基准属于最简单的防护措施，因此易于实施，且很少会扰乱业务运营或影响系统可用性。

第 2 级：面向高级环境的更严格管控

CIS Benchmarks 的第二级非常适合处理敏感或机密数据的环境。由于这些控制项更为复杂，它们也更能满足合规标准。因此，二级基准需要更高的技术专业能力才能实施，尽管通常只会造成有限的业务中断。

STIG（第3级）：面向联邦与军事用途的高安全基线

CIS Benchmarks 的第三级，也就是 Security Technical Implementation Guide（STIG），专为那些需要最高级别安全性的环境而设计，例如承载政府数据的服务器或与军事网络进行交互的系统。由美国国防部制定，这些高标准是专门为满足美国政府的网络安全要求而开发的。STIG 的要求涵盖了 1 级和 2 级的所有保护措施，因此任何通过 STIG 认证的系统都本质上符合 CIS。

CIS Benchmarks 覆盖的系统与平台

CIS Benchmarks 会为其所保护的每项技术规定相应的防护措施。主要类别包括：

• 操作系统： Windows、macOS
• 云平台： AWS、Azure、Google Cloud
• 网络设备： 路由器、交换机、防火墙
• 桌面应用： Office 365、Zoom、浏览器
• 移动设备： iOS 和 Android 智能手机、平板电脑
• 物联网资产： 智能设备、GPS 设备

通过提供面向特定技术的控制措施，CIS Benchmarks 提供清晰且可操作的协议，帮助您减少攻击面，并消除潜在的入侵入口。

如何一步步实施 CIS Benchmarks

1. 评估系统： 调研您的企业环境，以确定哪些系统需要加固，以及应应用哪些 CIS Benchmarks。
2. 设定安全优先级： 确定哪些 Benchmarks 对您系统的安全最为关键，并将其作为配置的第一步优先处理。
3. 制定实施计划： 详细概述团队在实施必要 Benchmarks 时将采取的行动方案，包括逐步流程、截止期限以及各团队成员的具体职责。
4. 培训员工： 向团队成员说明所应用 CIS Benchmarks 的功能及其重要性，以便让员工更好地与新的安全标准保持一致。
5. 启动试点： 使用仅包含一个或两个优先 Benchmarks 的试点项目来测试更新后的策略；然后在每一组新的控制措施成功实施后，按优先顺序逐步纳入更多 Benchmarks。
6. 监控与改进： 持续检查系统，以跟踪 Benchmarks 的有效性，并调整控制措施以解决漏洞、满足不断变化的安全需求。

CIS 配置加固：为什么重要以及如何实施

如前所述，系统加固（hardening）是通过建立有效的配置来保护系统，同时移除不必要的功能，从而降低漏洞。持续进行这一做法能够提升网络效率，减少攻击面，并增强整体系统防护能力。

尽管 CIS Configurations 提供了一套用于保护系统的基础标准，但它们更偏向于通用的最佳实践，而不是针对单个服务器的详细建议。因此，你可以通过调整其中的控制项，使 CIS Configurations 更好地符合你系统的独特需求。事实上，CIS Benchmarks 甚至也包含了对这一过程的建议。

为帮助你强化配置，CIS Benchmarks 提供了以下方面的具体指南：

• 禁用不安全的服务（例如 Telnet、SMBv1）
• 实施强身份认证和访问策略
• 在操作系统、网络和应用程序各层保护配置

使用 CIS 加固清单强化资产保护至关重要；为降低遭受攻击的风险，应在资产投入生产之前应用针对特定技术的配置。

Netwrix 解决方案可在身份、数据、目录和终端之间简化加固与合规工作。

• Netwrix Change Tracker 提供经过 CIS 认证的模板、漂移检测以及自动回滚，从一开始就确保安全配置。
• Netwrix Auditor 持续监控配置变更，验证与 CIS 基准的一致性，并将结果直接映射到 PCI DSS、HIPAA 和 NIST 等合规框架。
• Netwrix 1Secure DSPM 帮助发现并分类敏感数据或影子数据，评估风险，并应用敏感度标签，以确保 CIS 控制扩展到关键数据。
• Netwrix Privilege Secure (PAM) 强制实施 按需即时时间访问（just-in-time access），移除长期/常驻权限，并严格监控管理员会话，以符合 CIS Control 4。
• Netwrix Directory Manager 自动化执行账号开通（provisioning）、账号停用（deprovisioning）以及组成员资格审查，确保符合 CIS 最佳实践的最小权限。
• Netwrix PolicyPak 在整个终端设备上实施安全的 GPO，同时 Netwrix Endpoint Protector 增加设备和 数据丢失防护（data loss prevention） 控制。
  共同而言，这种以身份为先（identity-first）的方式可确保 CIS 加固在系统、用户和数据之间得到一致执行。
• Netwrix Threat Manager and Threat Prevention (ITDR) 实时检测异常行为、特权滥用以及高风险的配置变更，确保 CIS 加固持续得到执行。

来自 CIS 基准的关键技术实践

CIS 基准提供了一套全面的实践，用于保护您的系统，尤其是在与相关的 CIS Controls 结合使用时更为有效。该标准推荐的最重要的网络安全实践包括以下内容。

Controls 4.3 和 4.10：会话与设备锁定

当用户离开时，为了将未经授权访问工作站、服务器和移动设备的风险降到最低，请启用自动会话锁定。对于通用操作系统，不活动超时应不超过 15 分钟。对于移动设备，该超时应不超过两分钟。

除控制项 4.3 中建议的自动会话锁定外，你还应在便携式终端用户设备上设置：当失败登录尝试达到一定次数后自动锁定。笔记本电脑应在 20 次失败尝试后锁定；如果你们组织的风险状况表明需要更严格，则应使用更低的阈值。对智能手机和平板电脑，应将限制降低到最多 10 次失败尝试。

控制项 4.4 和 4.5：保障基于主机的防火墙与服务器防火墙

防火墙对于保护敏感数据至关重要。 在服务器上安装防火墙可以防御未授权访问、阻止特定类型的网络流量，并确保程序仅从受信任的平台和来源运行。防火墙有多种选择，例如虚拟防火墙、操作系统防火墙以及第三方防火墙。

你应在终端用户设备和企业服务器上部署防火墙。 在资产清单中的每一台设备上安装基于主机的防火墙或端口过滤工具，并使用默认拒绝（default-deny）规则：除具备明确权限的特定服务和端口列表之外，阻止所有其他网络流量。

应定期测试并更新防火墙，以确保其配置正确且能有效工作。至少每年应检查一次防火墙；当你的环境或安全需求发生重大变化时，也应及时检查。

控制项 4.7 和 4.8：禁用不必要的服务和默认账户

默认账户很容易成为攻击者的目标，因为它们可能在环境中授予广泛的权限。因此，所有公司都应在安装资产后立即禁用默认账户，并创建具有独特名称、且不为人熟知的新账户。这会增加攻击者猜测管理员账户名称的难度。请确保选择强密码（如 NIST 等组织所建议），并定期更换——至少每 90 天更换一次。

确保能够访问这些特权账户的人明白：这些账户仅限于特定情形使用；除此之外的所有操作都应使用他们的标准用户账户。

在配置企业资产和软件时，重要的是禁用或卸载任何不必要的服务。示例包括未使用的文件共享服务、无需的 Web 应用模块以及多余的服务功能。

这些服务会增加你的攻击面，并可能引入攻击者可利用的漏洞。因此，最好将所有配置尽可能保持精简且安全，只保留绝对必要的部分。

控制 4.9：实施安全的 DNS 配置

您的资产应使用由企业控制的或值得信赖、可从外部访问的 DNS 服务器。由于恶意软件往往会通过 DNS 服务器传播，请确保及时应用最新的安全更新，以帮助防止感染。如果黑客攻破了 DNS 服务器，他们可能会利用它来托管恶意代码。

控制 4.11 和 4.12：启用远程清除和工作区隔离

如果用户丢失或误放了他们的便携设备，未经授权的人员可能会访问其中包含的敏感数据。为防止此类泄露以及潜在的合规处罚，您应设置远程清除 功能，使您无需进行物理访问即可远程擦除便携设备中的敏感数据。请务必定期测试此功能，以确认其正常工作。

此外，您还应在用户的移动设备上设置一个独立的企业工作区，专门用于联系人、网络设置、电子邮件和摄像头。这将有助于防止攻击者在访问用户的个人应用后，进一步接触到您的企业文件或专有数据。

自动化并监控基准合规情况

当你已经遵循 CIS 加固清单并为组织实施了基准要求后，关键在于自动化监控与管理流程，以确保持续执行。虽然从理论上讲可以按照 CIS 加固标准手动强制这些控制，但这样做极不现实，因为需要维护的配置范围非常庞大，会使 IT 团队承担过多责任，从而增加手动错误、新的错误配置以及人员倦怠的风险。

为了实现有效且可靠的强制执行，最好使用行业标准工具来自动化该过程，例如：

• Netwrix Change Tracker: 识别可提升系统安全性的机会；提供实时漂移监控
• Netwrix Auditor: 通过集中式数据收集与报告生成来自动化审计流程；并实时提醒团队系统控制中的关键变更。

自动化执行对于防止“配置衰退（configuration decay）”至关重要：当小的变更不断累积时，基线系统设置会逐步变得不那么安全。手动配置监控往往会导致人为错误，从而更难发现漏洞。借助自动化执行，变更可以被即时且可靠地检测到，因此你始终能够清楚了解系统的基线设置以及任何修改内容。

CIS 基准与监管合规

由于 CIS 基准是数据保护领域的行业标准，它们为帮助你的组织实现对任何相关法规的合规提供了出色的途径。事实上，这些基准中包含足够有力的建议，因此可以轻松调整以满足任何主要的法律要求。

IT 团队可以轻松地将 CIS 基准映射到以下用途：

• NIST 网络安全框架
• PCI DSS
• HIPAA
• ISO 27001

然而，最初将配置与合规标准对齐只是流程的一部分。随着威胁不断演进、业务挑战不断变化，必须持续证明合规性，并防止策略偏移。

Netwrix 解决方案使用通过 CIS 认证的报表工具来证明符合您系统保护的要求。通过对网络进行全面扫描，Netwrix 套件中的工具会验证系统控制是否已按 CIS Control 4 进行配置，评估数据保护措施，识别异常的用户权限等。有了这种全面的监控，Netwrix 便能轻松支持审计以及所有与报表合规相关的 CIS Controls。

基准（Benchmark）实施中的常见陷阱

在实施 CIS Benchmarks 和 Controls 时，请避免过度加固系统——这种趋势被称为“over-hardening”（过度加固），即施加比必要更多的保护措施。虽然在一般情况下，过度保护通常优于保护不足，但过度加固系统可能会导致功能性问题、减慢网络速度、引发配置错误，并带来其他会扰乱业务运营的问题。

同样重要的是，为了保持执行（enforcement），需要持续监控系统。有效的系统配置无法可靠地以“设置一次，忘记即可（set it and forget it）”的方式长期运行；业务目标和挑战必然会演变。如果 IT 人员为应对这些变化调整了系统设置，你就需要洞察这些调整，以维持你的安全态势。缺乏持续执行，就很容易发生配置漂移（configuration drift），从而导致意外的（且往往不可见的）漏洞。 同样，任何残留的配置变更都应在集中式数据库中得到充分记录，以便保存策略更新的历史。

在保护不同的资产时，请仔细审查相关的 CIS Benchmarks，确保每项资产都能获得适当的保护。由于不同技术之间的保护措施并不能互换，因此必须基于每个资产的特定特性进行配置。

Netwrix 如何助力实现 CIS 基准成效

Netwrix 提供一套全面的解决方案，帮助组织实施并持续运行 CIS 基准与控制措施。通过融合配置监控、Identity governance 和数据保护，Netwrix 确保 CIS 加固能够在系统、用户以及敏感信息中得到持续一致的执行。

• Netwrix Change Tracker – 提供经 CIS 认证的模板，具备实时偏移（drift）检测能力，并可自动回滚到安全配置，从一开始就确保配置安全，避免配置逐步退化。
• Netwrix Auditor – 提供对所有系统和目录变更的可视化，记录活动以满足审计准备要求，并提供预定义的合规报告，使其与 CIS 以及 HIPAA、PCI DSS 和 ISO 27001 等框架保持一致。
• Netwrix 1Secure DSPM – 发现并分类敏感数据与影子数据（shadow data），应用敏感度标签，并评估风险，确保加固不仅覆盖系统配置，还能延伸到数据保护。
• Netwrix Privilege Secure (PAM) – 消除长期（standing）特权，实施按需（just-in-time）的访问，并实时监控特权会话，以满足 CIS Control 4 对安全配置与特权管理的要求。
• Netwrix Directory Manager – 自动化账号创建（provisioning）、账号停用（deprovisioning）以及组成员审查，确保最小特权并维护符合 CIS 建议的干净目录。
• Netwrix Identity Manager – 通过证明（attestation）、工作流（workflows）和基于角色的模型来管理用户访问，帮助执行 CIS Control 5 以实现账号与身份管理。
• Netwrix PolicyPak – 通过整合 Group Policy、验证基线，并强制执行终端加固（hardening）策略来增强终端安全性。
• Netwrix Endpoint Protector – 增加高级设备控制和数据丢失防护（DLP），以阻止从终端向外进行敏感数据的未授权传输；这是 CIS 加固（hardening）的关键组成部分。
• Netwrix Threat Manager and Threat Prevention (ITDR) – 实时检测异常行为、权限滥用以及高风险的配置变更，确保 CIS 控制措施在不断演进的威胁面前仍然保持有效。

这种协同一致、以身份为先的方式，确保 CIS 基准不仅得到实施，还能在整个周期内持续维护。借助 Netwrix，组织可以自信地强制执行安全基线、防止基线漂移、治理特权访问并保护关键数据，从而构建具备韧性的合规与安全态势。

最终思考

CIS 基准是一套全面的最佳实践，用于保障组织数字资产的各个领域，并且是实现良好网络安全卫生（cybersecurity hygiene）的关键要素。

正确实施 CIS Benchmarks 是提升组织合规性并降低发生数据泄露风险的成熟方法。通过将系统的控制措施与这些标准进行对照评估，IT 团队可以更轻松地识别漏洞，制定更强的防护方案，并更好地与行业标准和监管要求保持一致。将 Benchmarks 与相关的 CIS Controls 结合使用，可以进一步支持这些工作，为保护关键资产免受特定威胁提供详细的最佳实践。

Netwrix 提供一整套解决方案，帮助组织根据 CIS Benchmarks 和 Controls 来保护其资产。凭借包括 CIS 认证配置加固、持续监控、Privileged Access Management、Identity Governance、敏感数据保护以及终端安全在内的能力，Netwrix 可确保 CIS 标准在系统、用户和数据之间始终如一地得到应用。与主要合规框架相映射的自动化报表使审计更快、更轻松；同时，实时告警和 ITDR 功能有助于持续保持合规并防止发生数据泄露。借助 Netwrix，组织可以加固系统、保护关键数据，并充满信心地持续证明其合规性。

常见问题

CIS Benchmarks 用于什么？

CIS Benchmarks 提供了一套针对特定技术增强安全性的具体指南。这些控制项按类别进行划分，覆盖云服务、操作系统、桌面应用程序和网络设备等组件。通过遵循这些网络安全协议，IT 专业人员可以更好地理解有效的系统配置应当是什么样，并落实这些保护措施，从而增强企业系统以抵御网络攻击。

CIS Control 4 是否与 CIS Benchmark 相同？

所有 CIS Controls（包括 Control 4）都与 CIS Benchmarks 相关，但两者也有区别。虽然 CIS Controls 提供的是如何保护服务器特定部分的指导——例如，CIS Control 4 详细说明了如何安全地配置企业资产和软件，而 CIS Control 5 涵盖安全的账户管理——但 CIS Benchmarks 则给出关于如何将这些保护措施应用到特定技术中的建议。通常情况下，CIS Controls 概述的是更广泛的防护策略，而 CIS Benchmarks 则针对企业服务器的各个具体组件提供更有针对性的建议。

我应该多久审查一次 CIS 配置？

请定期审查并更新您的 CIS 配置，无论是按月还是甚至按周，以便监控配置漂移并应对不断出现的漏洞。持续了解系统中的控制项对保持其有效性至关重要；与较少频率相比，更频繁地检查总是更安全。

我可以自动化 CIS Benchmark 的强制执行吗？

可以，强制执行 CIS Benchmarks 基本上可实现几乎全自动。CIS 提供了 CIS-CAT Pro 和 SCAP Tools 等专有工具用于此目的，并可与 Netwrix 工具集成；这些工具旨在支持 CIS 加固（hardening）标准，以实现更有效的强制执行。

Level 1 和 Level 2 的 CIS Security Benchmarks 有什么区别？

Level 1 CIS Benchmarks 涵盖最基础的网络安全最佳实践，并为任何系统提供必不可少的保护。另一方面，Level 2 则详细说明了更先进的保护措施，旨在保障包含敏感数据的环境。两个保护级别都可以根据各环境的安全需求应用到服务器的不同部分。

哪些 Netwrix 工具有助于实现 CIS Benchmark？

Netwrix 借助多种解决方案，帮助您落地 CIS Benchmark：

• Netwrix Change Tracker 用于 CIS 认证模板、漂移检测和回滚。
• Netwrix Auditor 用于变更可视化、报表和审计就绪。
• Netwrix 1Secure DSPM 用于发现和分类敏感数据，并应用敏感度标签。
• Netwrix Privilege Secure (PAM) 以实施按需（just-in-time）的特权访问，并移除常驻管理员权限。
• Netwrix Directory Manager 用于自动化账号开通、账号停用以及组成员资格审查。
• Netwrix Identity Manager 通过验证、工作流和基于角色的控制来管理用户访问权限。
• Netwrix PolicyPak 用于强制实施安全的 GPO 以及基线配置。
• Netwrix Endpoint Protector 在终端上提供高级 DLP 和设备控制。
• Netwrix Threat Manager and Threat Prevention (ITDR) 实时检测异常行为、权限滥用以及高风险的配置变更，确保持续执行 CIS 控制要求。