一、项目背景及目标 

      （一）项目背景：

       信息系统的安全基线是一个信息系统的小安全保证，是信息系统基本需要满足的安全要求。信息系统安全往往需要在付出成本与所能承受的安全风险之间进行平衡，而安全基线正是这个平衡的合理的分界线。若不满足系统基本的安全要求，也就无法承受由此带来的安全风险，因此，对信息系统进行安全基线检测对保障信息系统的安全运行非常重要。

       湖北省农村信用社联合社自光谷灾备中心投产后，完成了两地三中心的整体架构。随着业务快速发展，应用系统的开发量迅猛增长，服务器数量急剧增多，现有的基线检查面临如下难点：

       一是各类平台和基础软件多元化。由于各业务系统平台和架构不同，呈现出平台和基础软件多元化的特点。这就要求省联社提供统一的管理平台必须具备多元配置检测功能，可以为各业务系统的安全基线提供底层支持。

      二是安全保障成本较高。现有运维人员水平良莠不齐，维护困难，以及运维人力的重复性投入造成资源浪费。但如果节约这部分成本就会造成安全隐患，需要寻求资金投入与安全保障之间的微妙平衡。

      三是安全基线检查方式质效低。现有的基础软件基线检查的方式一般为抽样检查及优先检查重要系统，以手工输入命令行的方式检查，误操作风险高，检测效率和检测质量低下。

      为及时、有效的解决以上难点，解决重复性建设投入资源浪费、运维和安全能力不足的问题，适应两地三中心灾备建设的特色需要，湖北省农信社内部一致通过“自动化基础软件基线检测”统一管理运维平台的立项。省联社“自动化基础软件基线检测”统一管理运维平台，运行在省联社虚拟云中心之上，统一管理、弹性配置各业务系统的基础软件基线，自动化检测各信息系统的安全基线。

     （二 ）建设目标：

      根据省联社业务和产品不断创新带来的日益增长的运维和安全需求，当前我社基础软件基线检查目前面临的问题和困难，同时根据省联社的业务发展需要和外部监管要求，省联社确定了自动化基础软件基线检查项目的实施目标：

     （1）省联社基础软件基线管理建设。采取统一集中的管理方法，从资源统一管理的目标出发，以安全基线检查为指导思想，通过资源使用分析、演绎、形成一套科学统一的基础软件自动化基线检查系统，为联社把好基线检查的关。

    （2）研发支持不同平台不同类型基础软件的检测平台。针对基础软件多元化的特点，提供逻辑统一，物理隔离，应用独立的检测方法，方便管理不同的业务系统基线。兼容农信系统中的各种常用的基础软件，如各种常用操作系统、数据库等。解决现有的基线检查脚本只能检查某种系统，兼容性差，对多种基础软件的基线检测效率低下的问题。其中，操作系统可以是AIX系统、Linux系统等，数据库可以是DB2、Oracle数据库等。

    （3）自动化检测平台。在检测方式上，不需要登录被检测机器，直接在统一的平台上全部或者部分检测。在检测方式和报告展示方式上，系统能根据优先级高低顺序依次对被检服务器进行基线检测，通过特有的方式优先展示重点关注问题。

   （4）实现创新方法的广泛应用和推广。该项目在行内成功运行并取得稳定效果后，将向同业和友行进行推广应用，以取得广泛的社会效益和经济效益。

二、项目方案

       项目架构设计：

      根据项目需求，基线检查统一管理平台，对数据中心的服务器安全基线进行统一管理。其中，对不同平台、不同基础软件类型的服务器安全基线，管理平台支持集中管理，统一运维。

      业务处理模块负责业务机制处理、检测模型封装、数据库交互、页面展示等。

      数据库：负责存储各服务器上的各种指标数据、分析型数据、检测到的数据、各种配置数据等。

      被检服务器：业务系统的服务器，需要保证基线的安全。

      客户端：负责登录到统一的自动化基线检查平台，基线的各项操作均在客户端上执行。不同角色的客户端可以做不同的操作。客户端角色一般分为管理员、操作员、查看员。管理员为

统高权限的角色，可以操作包括角色管理、配置管理、检查管理、报告管理等所有的操作。操作员为基线配置和操作检测的角色，负责基线配置和报告管理。查看员只能查看检测报告。

      项目建设主要思想

      本次项目建设针对省联社实际业务特点，依据目前我社核心系统遇到的难点及困难，以基线检查集中管理为目标，拟定主要建设思想如下：

    （1）独特方法论克难题

      经过大胆的假设、小心的求证以及详细的测试，项目组采用了采取“统一管理，自适应检测”的创新管理模式，统一建设自动化基线检查平台，由各业务系统提出申请，省联社数据中心集中管理运维，审批并检测。

      通过上述的创新管理模式，实现了在基线检查的集中管理，集中运维，又不改变现有业务的多元化需求。

    （2）弹性配置适应不同的检测场景

      统一的自动化基线检查管理平台可以根据业务系统的规模，集中管理弹性动态配置并自动化检测被检服务器，更加灵活，提高了检测效率，降低了人工成本。

     （3）集中运维，快速响应。

      由于建设了统一的平台，省联社数据中心可以进行统一的管理和运维服务。不需要逐个登录被检测机器，直接在统一的平台上即可快速检测基线。

三、创新点

      （一）资源管理技术和策略上的贡献

       本项目在农信基线管理方法上作出了以下三个方面的贡献：

       1. 解决了省联社业务系统基线检查的难题 

       通过独立开发集中管理软件平台，建立了统一的、全面完整的“安全基线”集中管理。针对服务器日渐增多的现状，解决了农信社基线检查的混乱局面，提高了运维效率、综合降低了运维成本，从而有效提升省联社的形象。

       2. 设计和建立了集中基线检查运维体系 

      通过对原有基线检查运维方式的重新设计，融合了传统的运维项目设计需求和集中式的运维需求,对原有分散的运维人员和能力进行集中调整，统一建立安全检查平台，解决了效率低的问题。在架构上，集中运维可以更好地快速响应，弹性配置检查项目，自动化检查服务器基线，节约运维成本，提升运维响应速度，提高了省联社总体的运维和安全保障水平。

     （二）技术应用上的创新

       1、兼容性自动化的检测方法

      通过统一的管理平台将农信系统的基础软件类型及其分别对应的基线检测规则配置在配置文件中。在管理平台发起检测后，会后台运行检测程序，检测被检服务器的基础软件类型。根据检测到的基础软件类型匹配其对应的基线检测规则进行基线检测。本项目兼容省联社系统中的各种常用基础软件，如各种常用操作系统、数据库等。解决了现有的基线检查脚本只能检查某种系统，兼容性差，对多种基础软件的基线检测效率低下的问题。减少了人员参与作业的人力成本，降低了手工误操作风险，提高了基础软件基线检测效率。

      2、基于优先级的检测方法

      检测平台获取一时间段内所有负载均衡节点的同步处理的请求数量、处理每个请求所需要的时间，以及负载均衡节点所对应的所有被检服务器的CPU使用率、IO占有率和内存使用率，制定出每个被检服务器处理服务请求的顺序数据，并根据所述顺序数据将所有被检服务器从高到低对应匹配优先级；根据优先级高低顺序依次对被检服务器进行基线检测。通过设置规则，对资源和需求的合理调度，对被检服务器进行基线检测的优先级排列，根据优先级来先后对重要资源或系统依次进行检测，使得有限的资源大限度满足响应需求。不仅提高了检测效率，同时保证了检测质量。

       3、基于农信系统的展现方式

       定义各个种类的服务器报告对应的优先级别，所述优先级别根据服务器报告是否为异常报告以及异常的严重情况设置；根据所述服务器报告的优先级别以及上传时间进行排序后展示。提供的一种基于农信系统的服务器报告的展现方法，考虑现有的系统服务器报告未体现重要系统的检测情况，容易出现严重错误没有被及时发现处理的情况，根据服务器报告是否为异常报告以及异常严重情况对服务器报告建立优先级别，显示时按照该优先级别和上传时间进行排序显示，检查报告清晰明了，方便运维人员了解重点突出的问题。

     （三）管理模式上的突破

      本项目在管理模式上提高了省联社的管理和服务水平。省联社中心作为检查和督导的角色，需要对系统和业务的安全健康运行进行统一的管理，“自动化基线检测平台”集中管理和运维也是提升服务和管控水平的重要方法和实现手段。这次通过省联社“自动化基线检测平台”集中管理和运维平台提供的基础功能，设计和建立集中管理和运维的共享中心机制，是省联社实施中试点工作的重要内容， 改变了原有管理模式、操作和流程，提升了省联社业务系统的安全管控和服务水平。

四、技术实现特点

     （一）安全、高性能的技术架构。

       安全访问，程序不直接被浏览器访问，而是通过反向代理,只开放某个接口，uWSGI本身是内网接口，这样运维人员在Nginx上加上安全性的限制，可以达到保护程序的作用。

       负载均衡，有了Nginx做代理，一个Nginx可以代理多台uWSGI完成负载均衡。

       静态文件，用Django或是uWSGI负责静态文件处理对文件的处理不如Nginx，所以整个静态文件的处理都直接由Nginx完成，静态文件的访问不用经过uWSGI，节省了资源的消耗，提高了处理效率。

      （二）统一集中的管理平台。

      研发了安全可视化自主可控的“基线检查”集中管理平台软件，可以全面兼容市面上主流的平台和基础软件，通过基于django框架开发，建立全行统一的 “基线检查”集中管理。大大提高省联社安全基线管理监测的效率、综合降低重复性运维相关成本。如下图所示：

     （三）自动化兼容性的检查方式。

       自动化检测被检服务器上的基础软件基线，兼容各种基础软件类型，包括操作系统和数据库系统等；操作系统如AIX系统、Linux系统等，数据库如DB2数据库和Oracle数据库等。根据所述基础软件类型自动匹配其对应的基线检测规则进行基线检测。系统制定出每个被检服务器处理服务请求的顺序数据，并根据所述顺序数据将所有被检服务器从高到低对应匹配优先级。从而对高优先级的被检服务器先进行基线检测，依次类推，方便运维人员发现重点关注问题，提高了安全保障水平。

五、项目过程管理

       2020年3月，项目任务书下达。

       2020年4月，需求分析完成。

       2020年5月，提交系统详细设计说明书及测试计划。

       2020年6月，执行功能测试验证及性能测试验证。

       2020年7月，执行集成测试及业务流程测试。

       2020年8月，执行生产环境部署上线。

       2020年9月，项目推广试运行。

       2020年9月，根据反馈调整，项目验收。

六、运营情况 

       项目成功实施，取得了较好的应用效果。一是降低了手工误操作风险和人力成本，二是提高了检测效率，保证了检测质量，三是检查报告清晰明了，便于运维人员了解和解决重点突出的问题。

七、项目成效

     （1）统一管理，自主可控。

       建设了省联社自动化基线检测统一管理平台，一站式管理，提供高效的运维管理手段，提升问题处理效率，缩减问题处理时间。可快速通知到维护人员，从而快速响应，解决问题，减少了大量的重复性投入。综合降低重复性建设和运维相关成本60%，从而有效提升省联社在资本市场上的形象，提升投资者对省联社的认可度和信心。

     （2）开放融合，拓展多元。

      自主研发的平台，方便二次开发，同时提供不同的角色，从而增加了资源分配的灵活度。同时提供多租户的自助管理，提升终用户的自助能力，减少运营人力成本。允许各部门实现多元化应用的定制检测，可以使效率提升50%。

      （3）更低成本，绿色安全。

       安全、高性能的技术架构，保障系统的安全性和业务的稳定性延续性，综合节约60%的运维成本，在原有基础上提升80%的运维响应速度，提高了省联社总体的运维和安全保障水平。

       基于本项目的创新性和独创性，申请了三个技术发明专利，获得了一个软件著作权，如下：

       发明专利申报名目：

       1. 农信系统的兼容性基线检测方法

       2. 优先级基线检测方法

       3. 农信系统综合展现方法

       软件著作权申报名目：

       农信系统自动化基础软件基线检测软件

八、经验总结

      湖北省农村信用社联合社自光谷灾备中心投产后，完成了两地三中心的整体架构。随着业务快速发展，应用系统的开发量迅猛增长，服务器数量急剧增多，为及时、有效的解决安全基线检查面临的难点，解决重复性建设投入资源浪费、运维和安全能力不足的问题，适应两地三中心灾备建设的特色，需要使用创新的技术手段来解决安全基线集中管理、运维和安全保障的难题。省联社“自动化基础软件基线检测”统一管理运维平台，运行在省联社虚拟云中心之上，统一管理、弹性配置各业务系统的基础软件基线，自动化检测各信息系统的安全基线。项目通过一个“分散管理，集中运维”的方法论、一套“自动化基础软件检测”系统的开发建设，不仅破解了管理和运维的难题，节约了运维成本，更好地保障了业务的安全性，而且其设计思路和实施方法均属国内领先。