审计和改进合规性

为目标组计划审计扫描后,目标组将出现在“映射和审计目标”视图的列表中。属于目标组的系统将根据计划定期接受评估,是否符合映射策略中的所有规则,评估结果将显示每个目标组的总体合规百分比。总体合规性百分比表示,在目标组扫描的所有系统中,安全的系统(即单个系统的合规性至少达到90%)所占百分比。点击目标组可以查看完整的合规信息。

总体合规性百分比 = 安全系统数量(合规性至少达到90%的系统)/扫描系统总数 * 100

注意:只有被扫描的系统(不是所有系统)才能计入总体合规性百分比。因为在审计扫描开始后,目标组可能新增系统,这些新添加的机器没有进行合规审计,因此不能计入合规性百分比的计算,直到下一次计划扫描时,新增系统进行评估后才能计入合规性百分比。

目标组内部:

上图中显示了目标组名称,审计计划的创建者,以及扫描计划。点击“修改计划”可以对计划进行编辑。下面将详细介绍此视图的各个部分。

合规性状态:

这一部分显示了在所有被扫描的计算机中,需要注意的计算机数量(即个体合规性低于90%的计算机)。根据Vulnerability Manager Plus的标准,安全系统的合规性至少要达到90%。这里显示的合规性百分比表示,目标组中被扫描的所有系统中安全系统占比,等同于目标组的总体合规性百分比。

计算机健康状况分类:

此部分根据计算机的合规性对其进行了健康状况分类。

系统合规性百分比 健康状态
10%以下 有漏洞——表示有漏洞的计算机
10%——50% 低合规性——表示系统的合规性低
50%——90% 中等合规性——表示系统的合规性有待改进
90%以上 安全——表示安全的计算机

列表视图:

这部分列出了所有属于此目标组的计算机,并提供了计算机的详细信息,包括操作系统、已扫描和尚未扫描策略,以及合规性百分比。如果在扫描之后修改审计,并将一个或多个新的策略组映射到目标,那么这些策略在下一次扫描之前,将一直保持未扫描状态。在此之前,这些策略将被视为“尚未扫描”策略。每个系统的合规性百分比表示计算机通过的规则,在所有映射策略的总扫描规则(不包括未评分的规则)中的百分比。

合规性百分比=通过的规则/(总扫描规则-未评分规则)* 100

注意:

 

并非所有映射策略的规则都会影响合规性百分比,以下三种规则不计入合规性百分比:

  • 属于尚未扫描策略的规则。
  • 属于系统不适用策略的规则。即专为特定操作系统设计的策略,与系统的操作系统不匹配。
  • 标记为未评分的规则。虽然这些规则仍然计入策略的规则总数,但不会计入合规性百分比。

此外,如果在审计扫描后修改映射到目标的策略组,添加/删除策略,则这些更改将不会影响合规性百分比,直至下一次扫描,对变更后的映射策略进行扫描后,对应的合规性百分比才会改变。

点击计算机,还可以查看计算机每个策略的合规性状态和百分比。

单个计算机视图:

下面我们将详细介绍这个视图的各个部分。

合规性状态:

这一部分显示浏览在所有映射策略的扫描规则总数中,不合规的规则数量。这里的合规性百分比表示计算机通过的规则,在所有映射策略的总扫描规则(不包括未评分的规则)中的百分比。

合规性百分比=通过的规则/(总扫描规则-未评分规则)* 100

规则合规性状态分类:

此部分对所有适用于计算机的规则进行了合规性状态分类。

  • 失败——计算机配置不合规的规则。
  • 出错——扫描失败的规则。
  • 未评分——虽然这些规则仍然计入策略的规则总数,但不会计入合规性百分比。CIS将规则分为“评分”和“未评分”两种,“评分”规则必须满足CIS合规要求,如果不满足,将降低总基准合规性百分比。“未评分”规则对合规性百分比没有影响。
  • 通过——计算机配置合规的规则。

列表视图:

这部分列出了映射到这台计算机的所有策略,每个策略中通过的规则数量,以及每个策略的计算机合规性百分比。每个策略的合规性百分比表示,计算机通过的规则占该策略扫描规则总数的百分比。过滤器选项可以查看不同计算机合规性状态下的规则。例如,合规性状态选择“失败”,每个策略中失败的规则将被列出。每个规则都建议了一个安全值,点击失败规则旁边的“查看解决方案”,可以查看实现推荐值的详细步骤。

点击策略,还可以查看计算机每个规则的合规性状态。

单个策略视图:

下面我们将详细介绍这个视图的各个部分。

合规性状态:

这一部分显示了特定策略的所有扫描规则中,计算机不合规的规则数量。这里显示的合规性百分比表示,计算机通过的规则占策略扫描规则总数的百分比。

规则合规性状态分类:

此部分对策略中的所有规则进行了计算机合规性状态分类。

  • 失败——计算机配置不合规的规则。
  • 出错——扫描失败的规则。
  • 未评分——虽然这些规则仍然计入策略的规则总数,但不会计入合规性百分比。CIS将规则分为“评分”和“未评分”两种,“评分”规则必须满足CIS合规要求,如果不满足,将降低总基准合规性百分比。“未评分”规则对合规性百分比没有影响。
  • 通过——计算机配置合规的规则。

策略详细列表视图:

如果您希望了解更多策略的结构和策略中使用的术语的详细解释,请参阅本文档。每个标题都可以查看计算机通过的规则数量。点击标题可以展开查看相关规则,每个规则旁边显示了合规性状态,并且每个规则都建议了一个安全值。点击规则将显示详细概览、基本原理和修复方法。修复方法提供了为计算机中失败的规则实现推荐值的详细步骤。