用途：在获得明确授权的主机上，按选定的 CIS 基准与版本开展安全合规评估，并据此规划加固与整改，适用于安全合规评估、基线落地、法规要求满足与系统加固等场景。
主要能力与工具：提供 OpenSCAP、Lynis、InSpec、kube-bench 等评估路径的用法参考，并给出从扫描、分析、整改到复验的流程框架，以及基线先行、记录例外、自动化评估、跟踪合规等实践建议。
必要用法：OpenSCAP 安装可用 apt install openscap-scanner scap-security-guide，确认内容与操作系统及基准版本匹配后，用 oscap info "$SCAP_FILE" 查看，再以 oscap xccdf eval --profile "$PROFILE_ID" --results results.xml --report report.html "$SCAP_FILE" 运行评估；Lynis 可用 apt install lynis、lynis audit system，并可用 --report-file 输出报告；InSpec 可编写如 sshd_config 的 control 并用 inspec exec cis-profile -t ssh://user@target 执行；Kubernetes 可用 docker run 方式运行 aquasec/kube-bench，并注意镜像摘要与目标角色需经审核。
限制：扫描输出只是部分证据，不等于认证，整改前需确认适用性、已记录例外与运维影响。评估可能需要较高权限并读取敏感配置，须先批准具体主机、配置档、权限、私有输出与范围。不要未经审查启用自动整改或挂载全部主机路径。通用 Lynis 审计并不等于完整 CIS 基准。基准与配置档标识、已安装 SCAP 内容会随版本变化，应按 OpenSCAP 文档流程操作。生产加固前须测试并保留回滚与访问途径。该资料为纯文档导入，附带脚本与模板未随附。