CIS RHEL Benchmark → OpenEuler 安全基线覆盖分析

对 CIS Red Hat Enterprise Linux Benchmark PDF 中的每一条安全规则，与 OpenEuler 安全配置基线 Markdown 文档进行逐项对比，输出覆盖分析报告。

使用方式

用户提供两个文件路径即可触发完整分析流程：

老大，分析 CIS 覆盖情况
  CIS PDF: /path/to/CIS_Red_Hat_Enterprise_Linux_9_Benchmark.pdf
  OpenEuler 基线: /path/to/openeuler-security-baseline.md

工作流

步骤 1：确认输入

确认用户同时提供了以下两个文件路径：

• CIS RHEL Benchmark PDF — CIS 官方发布的 PDF 格式 Benchmark 文档
• OpenEuler 安全配置基线 — Markdown 格式的 OpenEuler 基线文档

步骤 2：解析 CIS PDF

运行 scripts/parse_cis_pdf.py 提取 CIS 规则清单：

python scripts/parse_cis_pdf.py "\x3Ccis-pdf-path>" -o "\x3Coutput-dir>/cis_rules.json"

输出 JSON 结构：

[
  {
    "rule_id": "1.1.1.1",
    "title": "Ensure mounting of cramfs filesystems is disabled",
    "config_path": "/etc/modprobe.d/CIS.conf",
    "config_param": "install cramfs /bin/false",
    "expected_value": "install cramfs /bin/false",
    "level": "Level 1",
    "scoring": "Scored"
  }
]

关键提取字段：规则编号、标题、配置项路径、参数名、期望值、级别、评分状态。

步骤 3：解析 OpenEuler 基线 MD

运行 scripts/parse_openeuler_md.py 提取基线条目：

python scripts/parse_openeuler_md.py "\x3Copeneuler-md-path>" -o "\x3Coutput-dir>/openeuler_items.json"

输出 JSON 结构：

[
  {
    "item_id": "2.1",
    "config_path": "/etc/ssh/sshd_config",
    "config_param": "MaxAuthTries",
    "expected_value": "3",
    "description": "SSH 最大认证尝试次数设置为 3"
  }
]

关键提取字段：条目编号、配置项路径、参数名、期望值、描述。

步骤 4：覆盖分析

运行 scripts/coverage_analyzer.py 执行匹配和判定：

python scripts/coverage_analyzer.py \
  --cis "\x3Coutput-dir>/cis_rules.json" \
  --openeuler "\x3Coutput-dir>/openeuler_items.json" \
  -o "\x3Coutput-dir>/analysis_result.json"

匹配策略

1. 精确匹配 — 配置项路径+参数名完全一致
2. 模糊匹配（精确匹配失败后）— 使用 thefuzz 计算路径相似度，阈值 ≥ 85%
3. 人工标记— 对于模糊匹配结果，标记需人工确认

覆盖判定标准

数值安全性比较规则

• 数字比较：对于 "最大尝试次数"、"超时秒数" 等数值，CIS 要求 ≤ 3，OpenEuler 为 3 或更小 → 完全覆盖；若为 4 → 部分覆盖
• 布尔/状态值：yes/no、true/false、enabled/disabled — 优先级认定一致则为覆盖
• 路径/Permissions：权限值 600 比 644 更严格，700 比 755 更严格
• 未知模式：无法自动判断的，归类为部分覆盖，标注"需人工确认"

步骤 5：生成报告

运行 scripts/report_generator.py 输出中英文 CSV：

python scripts/report_generator.py \
  --analysis "\x3Coutput-dir>/analysis_result.json" \
  -o "\x3Copeneuler基线所在目录>"

生成文件：

• \x3Copeneuler基线所在目录>/coverage_report_zh.csv — 中文报告
• \x3Copeneuler基线所在目录>/coverage_report_en.csv — 英文报告

报告列定义

文件结构

cis-rhel-openeuler-coverage/
├── SKILL.md                       # 本文件
├── requirements.txt               # Python 依赖
└── scripts/
    ├── parse_cis_pdf.py           # CIS PDF 规则提取
    ├── parse_openeuler_md.py      # OpenEuler MD 基线解析
    ├── coverage_analyzer.py       # 匹配与覆盖分析
    └── report_generator.py        # 中英文 CSV 报告输出

依赖安装

首次使用前运行：

pip install -r "\x3Cskills-dir>/cis-rhel-openeuler-coverage/requirements.txt"

安全注意事项

• 本技能仅处理文档级分析，不修改任何系统配置
• CIS Benchmark PDF 和 OpenEuler 基线仅用于只读分析
• 生成的报告不包含凭据等敏感信息