等保合规持续改进脚本

#!/bin/bash
# security_compliance_check.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: http://www.fgedu.net.cn

# 定义变量
LOG_FILE="/opengauss/logs/security_compliance_check.log"

# 日志函数
log() {
    echo "[$(date +'%Y-%m-%d %H:%M:%S')] $1" >> $LOG_FILE
    echo "[$(date +'%Y-%m-%d %H:%M:%S')] $1"
}

# 检查密码复杂度配置
check_password_policy() {
    log "检查密码复杂度配置..."
    
    # 获取密码策略配置
    password_policy=$(gsql -U fgedu -d postgres -t -c "SHOW password_policy; 
")
    password_min_length=$(gsql -U fgedu -d postgres -t -c "SHOW password_min_length; 
")
    failed_login_attempts=$(gsql -U fgedu -d postgres -t -c "SHOW failed_login_attempts; 
")
    
    # 检查配置是否符合要求
    if [[ $password_policy != *"STRONG"* ]]; then
        log "警告：密码策略未设置为STRONG"
    fi
    
    if [[ $password_min_length -lt 12 ]]; then
        log "警告：密码最小长度小于12位"
    fi
    
    if [[ $failed_login_attempts -lt 5 ]]; then
        log "警告：登录失败尝试次数限制小于5次"
    fi
    
    log "密码复杂度配置检查完成"
}

# 检查数据加密配置
check_data_encryption() {
    log "检查数据加密配置..."
    
    # 检查TDE是否启用
    enable_tde=$(gsql -U fgedu -d postgres -t -c "SHOW enable_tde; 
")
    
    if [[ $enable_tde != *"on"* ]]; then
        log "警告：透明数据加密（TDE）未启用"
    fi
    
    # 检查SSL是否启用
    ssl=$(gsql -U fgedu -d postgres -t -c "SHOW ssl; 
")
    
    if [[ $ssl != *"on"* ]]; then
        log "警告：SSL/TLS未启用"
    fi
    
    log "数据加密配置检查完成"
}

# 检查审计与日志配置
check_audit_log() {
    log "检查审计与日志配置..."
    
    # 检查审计是否启用
    audit_enabled=$(gsql -U fgedu -d postgres -t -c "SHOW audit_enabled; 
")
    
    if [[ $audit_enabled != *"on"* ]]; then
        log "警告：审计日志未启用"
    fi
    
    # 检查审计级别
    audit_level=$(gsql -U fgedu -d postgres -t -c "SHOW audit_level; 
")
    
    if [[ $audit_level != *"detailed"* ]]; then
        log "警告：审计级别未设置为detailed"
    fi
    
    # 检查日志目录
    log_directory=$(gsql -U fgedu -d postgres -t -c "SHOW log_directory; 
")
    log_directory=$(echo $log_directory | tr -d ' ')
    
    if [ ! -d "$log_directory" ]; then
        log "警告：日志目录 $log_directory 不存在"
    fi
    
    log "审计与日志配置检查完成"
}

# 检查网络安全配置
check_network_security() {
    log "检查网络安全配置..."
    
    # 检查pg_hba.conf配置
    pg_hba_config=$(cat /opengauss/data/pg_hba.conf)
    
    if [[ $pg_hba_config != *"reject"* ]]; then
        log "警告：pg_hba.conf未配置拒绝规则"
    fi
    
    # 检查防火墙配置
    firewall_status=$(firewall-cmd --state)
    
    if [[ $firewall_status != *"running"* ]]; then
        log "警告：防火墙未运行"
    fi
    
    log "网络安全配置检查完成"
}

# 主流程
log "=== 等保合规检查开始 ==="

check_password_policy
check_data_encryption
check_audit_log
check_network_security

log "=== 等保合规检查完成 ==="