下载文档原格式
安全基线的基本内容-回复什么是安全基线？安全基线是指一个组织、系统或产品在保障其安全性方面应当满足的最小要求，是确保信息安全的起点和基础。
它是一种标准化的规范，包含一系列的控制措施和管理实践，旨在确保系统或产品在设计、开发、部署和运行过程中满足最低的安全要求。
安全基线的基本内容涵盖了以下几个方面：1. 身份验证和访问控制：包括身份验证、授权机制、权限分配和访问控制策略等。
系统或产品应该能够确定用户的身份并对其进行合理的授权和权限控制，以确保只有合法的用户能够访问系统或产品的资源。
2. 数据保护：包括数据的存储、传输和处理等方面。
系统或产品应该有相应的加密措施来保护数据的完整性和机密性，同时也应该有备份和恢复机制来应对数据丢失或损坏的情况。
3. 异常检测和响应：包括对安全事件的实时监控和及时响应。
系统或产品应该能够及时发现并响应潜在的安全威胁，包括入侵检测、日志审计和事件响应等方面。
4. 系统配置管理：包括对系统或产品配置的管理和审计。
系统或产品应该有一个合理的配置管理机制，可以确保系统或产品的配置与安全策略的要求一致，并能够及时检查和修复配置上的漏洞。
5. 安全意识培训和教育：包括对员工和用户的安全意识培训和教育。
组织应该设立相应的培训计划，提高员工和用户对信息安全的认知，并教育他们如何正确使用系统或产品以最大程度地减少潜在的安全风险。
6. 安全组织和管理：包括安全团队和安全管理实践。
组织应该有一个专门的安全团队负责信息安全事务，并制定相应的安全政策和流程，确保信息安全工作的规范执行。
以上是安全基线的基本内容，不同组织或系统可能会根据具体情况和需求进行适当的调整和扩展。
安全基线是确保信息安全的起点和基础，组织在设计、开发和部署系统或产品时应该将安全基线作为一项基本要求，以最大限度地减少潜在的安全风险。
同时，定期的安全评估和审计也是必要的，以确保系统或产品的安全性始终处于合理的水平。
安全基线的基本内容-回复什么是安全基线？安全基线（Security Baseline），也被称为最低安全配置（Minimum Security Configuration），是指在计算机系统或网络系统中所设定的最低安全要求或配置。
它是为了减少潜在漏洞和防止系统被攻击而采取的一系列预防措施的总称。
安全基线代表了一个系统或网络的安全性水平，并为系统管理员和安全专业人员提供了一个标准化的参考，以确保系统或网络的安全性得到最佳保障。
为什么需要安全基线？随着计算机系统和网络的普及和发展，信息安全面临着越来越多的挑战。
黑客攻击、漏洞利用、恶意软件等网络攻击手段日益复杂和隐蔽，给企业和个人的信息安全带来了极大的威胁。
为了防范和应对这些威胁，建立一个合理的安全基线成为了保障系统和网络安全的基础。
安全基线可以确保系统和网络的最低安全要求得到满足，最大程度地减少恶意攻击和数据泄露的风险。
安全基线的基本内容：1. 访问控制和身份验证：设置用户访问权限、身份验证要求和访问控制策略，以确保只有授权的用户能够访问系统或网络资源。
2. 密码策略：建立强密码要求和周期性更改密码的规定，加强对用户密码的保护和管理，防止密码猜测和撞库攻击。
3. 操作系统和应用程序的补丁管理：及时安装操作系统和应用程序的安全补丁，修复已知漏洞，减少攻击者利用漏洞的可能性。
4. 防病毒和恶意软件防护：安装并及时更新防病毒软件，对系统和网络进行常规扫描，及时发现和清除潜在的病毒和恶意软件。
5. 防火墙配置：配置和管理防火墙，限制对系统和网络的非法访问，有效阻止潜在攻击。
6. 安全审计和日志管理：开启事件日志、访问日志和安全审计功能，记录系统和网络的活动情况，及时发现异常行为和安全事件。
7. 数据备份和恢复：制定有效的数据备份策略，定期备份重要数据，确保在系统遭受攻击或故障时能够快速恢复。
8. 用户教育和安全意识培训：通过定期的安全培训和教育活动，提高用户对安全风险和防范措施的认识，增强安全意识。
安全基线管理规范安全基线管理是为了规范系统安全基线配置过程，加强系统安全配置的强度与质量，防止未经授权的访问、黑客攻击等造成的系统故障与业务中断，保证系统运行安全。
▼▼安全配置基线定义安全配置基线是指系统实现安全运行所需要的最低安全配置，是系统所要达到的安全基本要求。
系统安全配置管理通用安全配置技术规范涉及五个方面，包括帐号管理、认证授权、审计日志、访问控制和服务配置，是编制各类系统安全配置技术规范的依据。
▼▼帐号管理方面的要求包括：•应按照用户分配帐号；•避免不同用户间共享帐号；•避免员工用户帐号和系统间通信使用的帐号共享；•应删除或锁定与系统运行、维护等工作无关的帐号。
▼▼认证授权方面的要求包括：•对于采用静态口令认证技术的系统，口令长度至少10位，并包括数字、小写字母、大写字母和特殊符号4类中至少3类；•帐号口令输入错误超过5次自动锁定一定时间；•帐号口令的生存期不长于90天；•系统权限应遵循“最小权限”原则，在系统配置能力内，根据用户需要，配置其所需的最小权限。
▼▼审计日志方面的要求包括：•应配置日志功能对普通用户登录进行记录，记录内容包括但不限于用户登录使用的帐号，登录是否成功，登录时间；•应配置日志功能记录管理员对系统的操作，包括但不限于以下内容：帐号创建、删除和权限修改，口令修改，读取和修改系统配置；日志记录中需要包含用户帐号，操作时间，操作内容以及操作结果；•系统应配置权限，控制对日志文件读取、修改和删除权限操作。
▼▼访问控制方面的要求包括：•网络系统应根据业务需要，配置基于源IP地址、通信协议TCP 或UDP、目的IP地址、源端口、目的端口的流量过滤，过滤所有和业务不相关的流量；•对于使用IP协议远程维护的系统，系统应配置使用SSH等加密协议。
▼▼服务配置方面的要求包括：•系统中应关闭不必要的服务，卸载不必要的组件；•对于具有交互界面的系统，应开启操作空闲超时退出功能。
安全配置基线说明系统安全配置基线涉及操作系统、数据库、中间件和应用、网络设备四类系统，详细如下：•操作系统：包括Windows、Linux、AIX、Solaris等操作系统；•数据库：包括Oracle、DB2、MySQL、SQL Server等数据库；•中间件和应用：包括Tomcat、Weblogic、Websphere等中间件；Apache、IIS等Web应用；•网络设备：包括Cisco防火墙、Juniper防火墙等防火墙；Cisco、华为路由器/交换机等路由交换设备等。
![如何理解“基线”（Baseline）这个术语[转]](https://uimg.taocdn.com/0a73b464a517866fb84ae45c3b3567ec102ddc21.webp)
如何理解“基线”（Baseline）这个术语[转]基线”是⼀个很常见的术语，在配置管理和项⽬管理⾥⾯都能看到，⽽且还有很多衍⽣的术语，例如基线提升、基线化、基线审计，等等等等。
我个⼈以前对微软的那套开发流程（就是product cycle model）以及PSP、TSP了解⽐较多⼀些，这些流程⾥⾯对“基线”的概念提的不多。
但接触RUP、MSF以及项⽬管理以后，看到到处都有baseline，就觉得迷惑了。
经过我⾃⼰的理解，以及和⼏个同事的讨论，现在我觉得我们通常看到的“基线”这个术语有两个意思：1）代表多个源代码⽂件的⼀组版本。
⽐如有三个⽂件，aaa.c、bbb.c和ccc.h。
可以对这三个⽂件做⼀个基线，取aaa.c的版本1.1，取bbb.c的版本1.3，取ccc.h的版本1.0。
(1.1,1.3,1.0)就是⼀个基线。
换句话说，通常在vss和cvs⾥⾯做label，就是在做基线。
这种基线对“构建审计”特别有⽤：在做build的时候，可以先对所有源⽂件做⼀个label，取名为"Build2394"，然后再编译、集成。
这样，以后如果要找到和build 2394对应的原⽂件，只需要到vss或者cvs⾥⾯把所有⽂件对应label Build2394的版本取回来就可以了。
2）代表⽂档的⼀个稳定状态。
⽐如有⼀个项⽬设计⽂档，当设计基本完成，开发即将开始的时候，需要把这个⽂档固定下来，内容不能再频繁改变，否则开发⼈员就⽆所适从了，可能导致每个⼈所参照的⽂档并不是同⼀个⽂档。
⽤⼀句上海这⾥的⽣活⽤语来说，就叫做要把这个⽂档“敲定”。
⼀个⽂档如果经过讨论被通过了，被固定了，就可以说这个⽂档被“基线化”了，然后所有⼈就可以在这个“基线”的基础上⼯作。
当然，⽂档不可能⼀成不变，所以当对⽂档的修改仍然会不断进⾏，但这种修改并不会随时随地的添加到被“基线化”了的⽂档中去。
因为既然是“基线”，就不能随便动。
2009-07-24发布
2009-07-24实施
中国联通公司发布
目录
1范围 (1)
2安全配置要求 (1)
2.1password的加密 (1)
2。
2Super 密码的使用 (1)
2.3用户口令设置 (1)
2。
4用户权限设置 (1)
2.5VTY的数量限制 (2)
2。
6VTY的访问限制 (2)
2.7禁用Telnet方式访问系统 (2)
2.8SSH的使用 (3)
2。
9SNMP服务设置 (3)
2.10SNMP服务的共同体字符串设置 (3)
2.11SNMP服务的访问控制设置................................................. 错误!未定义书签。
2.12登录超时设置 (3)
2.13禁用不使用的端口 (4)
2.14禁用FTP服务 (4)
2。
15日志审计 (4)
1范围
本文档规定了财务公司范围内安装的华为路由交换设备应当遵循的操作系统安全性设置标准，本文档旨在指导系统管理人员进行华为路由交换设备的安全配置。
2安全配置要求
2.1password的加密
2.2Super 密码的使用
2.3用户口令设置
2.7禁用
Telnet方式访问系统
2.10SNMP服务的共同体字符串设置。
终端安全配置指南一、基线配置
下表为基线配置的必选项，根据配置方法修改配置项
二、防毒软件安装（先到第三步安装天珣，再安装趋势防毒）
通过终端IE浏览器登陆http://10.201.94.225/download下载趋势防毒软件，如图，根据
相应的系统下载安装。
安装完后右下角出现如下图标
右键点击图标选择组件版本可以查看是否更新为最新
看看发布日期，如果为最近几天便为最新版本。
三、天珣安装
通过终端IE浏览器登陆http://188.1.50.132:8833/download下载趋势防毒软件，如图，根据相应的系统下载安装。
下载安装完毕后，需要确定软件联网。
四、终端补丁更新
从开始>运行输入gpedit.msc打开组策略管理器，如图：
确定就打开了组策略窗口
再从计算机配置>管理模板>Windows组件>Windows Update 展开设置条目，用红线框着的是需要设置的项目，具体设置后面详细说明。
双击配置自动更新打开属性并按下图设置好。
3 –自动下载并通知安装
双击指定Intranet Microsoft更新服务位置，打开属性并按下图设置好。
开始->运行输入services.msc打开服务管理器，把Automatic Updates服务启动
手工启动首次更新，方法如下图：
从开始>运行输入CMD打开命令提示符
从命令提示符输入wuauclt.exe /detectnow启动首次更新
右下角出现表示更新已启动。
更新下载完后，手动点击进行安装。
更新正确安装后提示重新启动。
在软件开发和项目管理中，基线（Baseline）和配置项（Configuration Item）是两个重要的概念，它们有以下区别和联系：
1. 区别：
- 基线：基线是在软件开发或项目管理过程中标记为重要里程碑的特定版本或状态。
基线通常用于确定在某个时间点上项目或软件的基准状态，并且可以用来评估后续的变化和进展。
基线可以是软件的版本、需求文档的版本、设计文档的版本，或者项目计划的版本等。
- 配置项：配置项是项目或软件中被管理和控制的所有可识别、可独立变更、可审查和可追溯的实体或工件。
配置项可以是文档、源代码、测试用例、执行脚本、数据库表结构等。
每个配置项都被分配唯一的标识符，以便在项目或软件的整个生命周期中进行跟踪和管理。
2. 联系：
- 基线与配置项的关系：基线是由一个或多个配置项组成的，它是在特定时间点上对相关配置项进行版本控制，并认定为可追溯和可回溯的里程碑状态。
换句话说，配置项是构成基线的具体实体或工件。
- 配置管理：基线和配置项都是配置管理的重要概念和实践。
配置管理是一种跟踪、控制和记录项目或软件中配置项的变更和版本的管理过程。
配置管理的目标是确保各个配置项的一致性、可追溯性和可审查性，在不同阶段和团队之间提供准确的基线信息。
总的来说，基线是用于标记项目或软件的里程碑状态的特定版本或状态，而配置项是项目或软件中被管理和控制的所有实体或工件。
配置项构成基线，而配置管理则用于跟踪和管理配置项的变更和版本。
通过对基线和配置项进行有效的管理，可以提高软件开发和项目管理的质量、可控性和可追溯性。
安全基线与配置管理安全基线是指在信息技术系统或网络中，针对特定的业务需求和风险进行的最低安全要求。
通过建立和实施安全基线，可以有效地保护信息系统和网络免受各种安全威胁的侵害。
安全基线的建立需要综合考虑系统和网络的特点、业务需求以及潜在的安全风险，以确保系统和网络的安全性和稳定性。
配置管理是指对系统和网络的配置进行管理和控制，以确保其符合安全基线和最低安全要求。
通过配置管理，可以对系统和网络的配置进行统一管理和监控，及时发现和纠正配置错误和安全漏洞，提高系统和网络的安全性和稳定性。
配置管理还可以帮助组织建立和维护系统和网络的配置文档，为系统和网络的安全审计和检查提供依据。
安全基线和配置管理是信息安全管理中的重要组成部分，对于确保系统和网络的安全和稳定性具有重要意义。
建立和实施安全基线可以帮助组织确定系统和网络的最低安全要求，并根据实际情况进行相应的安全配置，以确保系统和网络的安全性和稳定性。
配置管理可以帮助组织对系统和网络的配置进行统一管理和监控，及时发现和纠正配置错误和安全漏洞，提高系统和网络的安全性和稳定性。
在建立和实施安全基线和配置管理时，组织需要充分考虑业务需求和安全风险，制定相应的安全基线和配置管理策略，并建立相应的安全基线和配置管理体系。
组织还需要对系统和网络的配置进行定期审计和检查，及时发现和纠正配置错误和安全漏洞，确保系统和网络的安全性和稳定性。
综上所述，安全基线和配置管理是信息安全管理中的重要组成部分，对于确保系统和网络的安全和稳定性具有重要意义。
建立和实施安全基线和配置管理可以帮助组织确定系统和网络的最低安全要求，统一管理和监控系统和网络的配置，保障系统和网络的安全性和稳定性。
希望各个组织都能重视安全基线和配置管理，加强对系统和网络的安全保护，共同维护信息安全。
术语安全基线类型
安全基线是一组安全配置标准或最佳实践，用于指导和保障计算机系统或网络的安全性。
它包括了操作系统、应用程序、网络设备等各种组件的安全配置要求，以及安全控制和审计要求等。
具体来说，安全基线通常包括以下几个部分：
1. 安全策略：这是一组规则和措施，用于保护计算机系统和网络的安全性。
安全策略包括密码策略、用户权限管理、网络访问控制等。
2. 安全配置：指对计算机系统和网络设备进行的配置和设置，以提高其安全性。
安全配置包括操作系统配置、应用程序配置、网络设备配置等。
3. 安全控制：指对计算机系统和网络设备进行的一系列控制和管理措施，以保护其安全性。
安全控制包括访问控制、入侵检测、防病毒等。
4. 安全审计：指对计算机系统和网络设备进行的审计和监控，以及对安全事件和安全漏洞进行的记录和分析。
安全审计包括日志管理、事件响应和漏洞扫描等。
综上所述，安全基线是一个全面的安全配置标准和最佳实践，用于指导和保障计算机系统和网络的安全性。
如需了解更多与“安全基线”相关的术语，建议咨询网络安全领域专业人士。
安全基线项目项目简介：安全基准项目主要帮助客户降低由于安全控制不足而引起的安全风险。
安全基准项目在NIST、CIS、OVAL等相关技术的基础上，形成了一系列以最佳安全实践为标准的配置安全基准。
二. 安全基线的定义2.1 安全基线的概念安全基线是一个信息系统的最小安全保证, 即该信息系统最基本需要满足的安全要求。
信息系统安全往往需要在安全付出成本与所能够承受的安全风险之间进行平衡, 而安全基线正是这个平衡的合理的分界线。
不满足系统最基本的安全需求, 也就无法承受由此带来的安全风险, 而非基本安全需求的满足同样会带来超额安全成本的付出, 所以构造信息系统安全基线己经成为系统安全工程的首要步骤, 同时也是进行安全评估、解决信息系统安全性问题的先决条件。
2.2 安全基线的框架在充分考虑行业的现状和行业最佳实践，并参考了运营商下发的各类安全政策文件，继承和吸收了国家等级保护、风险评估的经验成果等基础上，构建出基于业务系统的基线安全模型如图2.1所示：图 2.1 基线安全模型基线安全模型以业务系统为核心，分为业务层、功能架构层、系统实现层三层架构：1. 第一层是业务层，这个层面中主要是根据不同业务系统的特性，定义不同安全防护的要求，是一个比较宏观的要求。
2. 第二层是功能架构层，将业务系统分解为相对应的应用系统、数据库、操作系统、网络设备、安全设备等不同的设备和系统模块，这些模块针对业务层定义的安全防护要求细化为此层不同模块应该具备的要求。
3. 第三层是系统实现层，将第二层模块根据业务系统的特性进一步分解，如将操作系统可分解为Windows、Solaris等系统模块，网络设备分解为华为路由器、Cisco路由器等系统模块……这些模块中又具体的把第二层的安全防护要求细化到可执行和实现的要求，称为Windows安全基线、华为路由器安全基线等。
下面以运营商的WAP系统为例对模型的应用进行说明：首先WAP系统要对互联网用户提供服务，存在互联网的接口，那么就会受到互联网中各种蠕虫的攻击威胁，在第一层中就定义需要防范蠕虫攻击的要求。
华为设备（交换机）安全配置基线目录第1章概述 (4)1.1目的 (4)1.2适用范围 (4)1.3适用版本 (4)第2章帐号管理、认证授权安全要求 (5)2.1帐号管理 (5)2.1.1 用户帐号分配* (5)2.1.2 删除无关的帐号* (6)2.2口令 (7)2.2.1 静态口令以密文形式存放 (7)2.2.2 帐号、口令和授权................................................................ 错误！未定义书签。
2.2.3 密码复杂度 (8)2.3授权 (8)2.3.1 用IP协议进行远程维护的设备使用SSH等加密协议 (8)第3章日志安全要求 (10)3.1日志安全 (10)3.1.1 启用信息中心 (10)3.1.2 开启NTP服务保证记录的时间的准确性 (11)3.1.3 远程日志功能* (12)第4章IP协议安全要求 (13)4.1IP协议 (13)4.1.1 VRRP认证 (13)4.1.2 系统远程服务只允许特定地址访问 (13)4.2功能配置 (15)4.2.1 SNMP的Community默认通行字口令强度 (15)4.2.2 只与特定主机进行SNMP协议交互 (16)4.2.3 配置SNMPV2或以上版本 (17)4.2.4 关闭未使用的SNMP协议及未使用write权限 (18)第5章IP协议安全要求 (19)5.1其他安全配置 (19)5.1.1 关闭未使用的接口 (19)5.1.2 修改设备缺省BANNER语 (20)5.1.3 配置定时账户自动登出 (20)5.1.4 配置console口密码保护功能 (21)5.1.5 端口与实际应用相符 (22)第1章概述1.1目的规范配置华为路由器、交换机设备，保证设备基本安全。
1.2适用范围本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。
1.3适用版本华为交换机、路由器。
终端准入基线
终端准入基线是指在安全策略中制定的一组规则，用于控制终端设备访问网络或系统资源的权限。
这些规则可以针对所连接的终端设备的操作系统、应用程序及其配置等方面进行限制，以确保终端设备的安全性和合规性。
终端准入基线的主要目的是限制终端设备对网络资源的访问，并防止未经授权的设备接入网络，从而提高网络的安全性。
通过实施终端准入基线，可以确保网络中的所有终端设备均符合组织的安全要求，减少系统受到恶意攻击、数据泄露或其他安全风险的可能性。
终端准入基线通常包括以下方面的规则：
1. 操作系统补丁和更新：要求终端设备安装最新的操作系统补丁和安全更新，以修补已知漏洞和提高系统的安全性。
2. 防病毒软件和防火墙：要求终端设备安装并启用防病毒软件和防火墙，以减少恶意软件和网络攻击的风险。
3. 强密码策略：要求终端设备使用强密码，并定期更新密码，以保护用户账户和敏感信息的安全。
4. 访问控制策略：要求终端设备实施访问控制策略，限制用户对系统资源的访问权限，以防止未经授权的访问和信息泄露。
5. 数据加密：要求终端设备对敏感数据进行加密处理，以防止
数据泄露和非法获取。
终端准入基线是一个动态的过程，需要定期审查和更新，以适应不断变化的威胁环境和技术发展。
通过严格执行终端准入基线，可以加强对终端设备和网络资源的保护，提高整个系统的安全性。
基线的概念
在当今互联网快速发展的大环境下，基线（Baseline）成为了互联网中非
常重要的一个概念。
基线（Baseline）是一个紧贴终端用户实际行为，具有时效表现的指标体系，可以客观、实时反映终端用户的使用状态。
基线概念的主要用途是，在应用、客户端、网络基础设施、互联网服务等动态变化的时候，让用户可以有一个系统性的表征。
基线概念在实际操作中，也有着重要作用。
例如，它可以帮助提高企业网站在
各种不同设备、宽带条件下的访问速度和响应稳定性；它可以帮助更好地发现性能瓶颈，改善游戏的网站质量；它也可以指引正确的用户体验优化方向，提升产品质量和用户满意度。
针对于各种类型的基线，其具体的性能测试与应用，需要根据实际的工作场景
和需求来进行定制。
如何合理制定基线，就要求企业进行清晰的业务分析，了解客户行为，了解需求背景等等，然后根据实际设计并应用相应的技术方法，以期实现客户需求优化，从而能够构建一个精准可控的有效的基线。
总的来说，基线的概念为企业提供了一个新的思路来提升体验和设计，通过精
准定位和精密分析，汇总终端用户的行为，挖掘并了解被测项目，以期让客户端使用者拥有更优质的体验。
因此，基线概念将为企业创造新的机遇，让企业通过基线概念来改善客户体验，从而提高自己的经济效益和社会影响力。
安全基线的名词解释
安全基线是指一个组织或者个人在安全防护方面所需达到的最低标准。
它包括了网络安全、信息安全、物理安全等各个方面，是保护组织和个人免受各种安全威胁的基本要求。
首先，安全基线对于组织来说非常重要。
一个组织的安全基线决定了它在安全防护方面的能力和水平。
如果一个组织的安全基线较低，那么它就容易受到各种安全威胁的攻击，造成严重的损失。
因此，建立和维护一个较高的安全基线对于组织来说是至关重要的。
其次，安全基线对于个人来说同样重要。
在信息化时代，个人的安全基线也越来越受到关注。
个人的密码安全、网络安全、手机安全等都是个人安全基线的重要内容。
只有保持一个较高的安全基线，个人才能更好地保护自己的信息和财产安全。
最后，建立和维护一个较高的安全基线需要全社会的共同努力。
政府、企业、组织、个人都应该意识到安全基线的重要性，采取有效的措施来提高安全基线。
政府应该建立相关的法律法规和标准，企
业应该加强安全意识培训和技术投入，组织和个人应该提高自身的安全意识和防护能力。
总之，安全基线是一个组织或者个人在安全防护方面所需达到的最低标准，对于保护组织和个人免受各种安全威胁具有重要意义。
建立和维护一个较高的安全基线需要全社会的共同努力，只有这样才能更好地保护自己的信息和财产安全。
终端安全配置基线名词解释
安全配置基线是操作系统，DB，中间件，网络设备（交换机，路由器，防火墙），终端PC设备上设置的基本配置项。
除了软件系统最基本最重要的安全配置，还需要符合国家信息安全政策法规及监管要求。
人行，四部委，国家标准化管理委员会，质量监督检验检疫总局等都发布过相关指引文件。
一般都要新建基线，然后持续维护修订。
系统复杂的，基线规范和手册需要进行分离编写。
规范类似宪法，手册类似各种普通法律法规。
规范指导手册。
里面应该明确每年什么时间，对什么配置进行哪些项目的检查。
上线前后，开发环境，生产环境都需要按照基线规范进行检查。
比如中间件：Apache,Tomcat,Nginx,Weblogic,IBM MQ,Tuexdo,Kafka 等需要确认日志配置（符合监管，设置日志门卫，不能所有信息都打出来），账号口令设置定期修改策略，账号登录系统多久超时强制下线，端口设置，目录权限（主目录一般小于775），配置文件权限（一般小于775）。
