이 설명서는 호출되는 명령 줄 도구 oscap와 가장 일반적인 작업에 대한 정보를 제공 합니다. oscap으로 당신은 시스템의 보안 구성 설정을 확인할 수 있으며, 표준 및 사양을 기반으로 규칙을 사용하여 타협의 징후에 대한 시스템을 검사합니다. oscap은 SCAP 의해 유지 사양의 라인 NIST 시스템 보안을 관리하기위한 표준화 된 방식을 제공하기 위해 만들어졌다. 새로운 사양은 일관되고 반복 가능한 수정 작업 흐름을 제공하기 위해 NIST의 SCAP 릴리스주기 에 의해 관리됩니다. oscap는 주로 XCCDF를 처리합니다. 이는 체크리스트 컨텐츠를 표현하는 표준 방식이며 보안 체크리스트를 정의합니다. 또한 CPE , CCE 및 OVAL 과 같은 다른 사양과 결합하여 SCAP 검증 제품으로 처리 할 수있는 SCAP 표현 체크리스트를 작성합니다. SCAP에 대한 자세한 내용은 SCAP 표준을 참조하십시오 .

이 oscap도구는 OpenSCAP 프로젝트 의 일부입니다 . 이 도구에 대한 그래픽 대안에 관심이 있으시면 SCAP Workbench 페이지 를 방문 하십시오.

우리는 scap-security-guide SSG 프로젝트를 사용하여 SCAP 컨텐츠를 제공 할 것입니다. 이는 여러 가지 컴퓨터 보안 영역을 다루는 SCAP 문서 형식으로 작성된 보안 정책을 제공하며 존중 당국 ( PCI DSS , STIG 및 USGCB)에서 권장하는 보안 지침을 구현 합니다.

최소한 XCCDF 또는 OVAL에 대해 잘 알고 있다면 자신 만의 SCAP 컨텐트를 생성 할 수도 있습니다. XCCDF 컨텐츠는 오픈 소스 라이센스하에 온라인으로 자주 게시되기 때문에 필요에 맞게이 컨텐츠를 사용자 정의 할 수 있습니다. SCAP Workbench는 커스터마이제이션을 수행하는 훌륭한 도구입니다.

매뉴얼의 기본 oscap 사용법 섹션에서는 도구 및 SCAP 컨텐츠를 설치하는 방법과이를 사용하여 SCAP 컨텐츠를 검사하고, 구성 스캔을 수행하며, 자동으로 시스템을 교정하는 방법을 제시합니다.

세 번째 섹션에서는 SCAP 콘텐츠의 유효성 검사, 서명 및 변형, 보고서 및 가이드 생성 및 CPE 적용 가능성에 대한 몇 가지 정보와 같은 고급 주제를 다룹니다.

마지막 절에는 Linux 및 Windows에서 개발자에게 유용한 oscap 디버깅 및 컴파일에 대한 정보가 포함되어 있습니다.

로컬 시스템의 구성 또는 취약점 검색을 수행하려면 다음을 사용할 수 있어야합니다.

• A tool (oscap or SCAP Workbench)
• SCAP content (XCCDF, OVAL…​)

소스 에서 OpenSCAP 라이브러리와 oscap 도구를 빌드하거나 (자세한 내용은 컴파일 섹션 참조) Linux 배포판에 기존 빌드를 사용할 수 있습니다. Fedora 또는 Red Hat Enterprise Linux 배포판에 oscap 도구를 설치하려면 다음 yum 명령을 사용하십시오.

# yum install openscap-scanner

이 oscap도구를 사용하기 전에 시스템에 일부 SCAP 콘텐츠가 있어야합니다. 해당 웹 사이트에서 다운로드 할 수 있지만 다음 섹션에서 SSG 프로젝트를 사용합니다. 소스 에서 빌드 하거나 패키지 관리 시스템을 사용하여 설치할 수 있습니다.

# yum install scap-security-guide

SCAP 컨텐츠는 /usr/share/xml/scap/ssg/content/ 디렉토리에 설치됩니다.

SCAP 컨텐츠를 시스템에 가져 오거나 설치 하면 oscap 컨텐츠에 대한 파일 경로를 지정하여 컨텐츠를 처리 할 수 ​​있습니다. oscap은 SCAP 1.2 및 SCAP 역 호환성 1.1 및 SCAP 1.0 를 지원합니다. 이전 버전의 SCAP 컨텐츠를 가져오고 처리하려면 특별한 처리가 필요하지 않습니다.

oscap, 지원되는 사양, 기본 제공 CPE 이름 및 지원되는 OVAL 개체의 버전을 표시하려면 다음 명령을 입력하십시오.

$ oscap -V

oscap의 기능 중 하나는 파일 내의 SCAP 내용에 대한 정보를 표시하는 것입니다. 실행중인 oscap info명령은 같은 문서 유형, 사양 버전, 상태, 문서가 게시 된 날짜 (같은 SCAP 문서 및 디스플레이 정보의 내부 구조의 시험을 허용 생성 ) 및 문서 시스템을 파일에 복사 된 날짜 ( 수입 ). 일반적으로 XCCDF 문서 또는 SCAP 데이터 스트림을 검사 할 때 가장 유용한 정보는 프로필, 검사 목록 및 스트림에 대한 정보입니다.

다음 예제에서는 target이 SCAP 데이터 스트림 일 때 명령의 사용법과 샘플 출력을 보여줍니다.

$ oscap info /usr/share/xml/scap/ssg/content/ssg-rhel7-ds.xml
Document type: Source Data Stream
Imported: 2016-08-10T20:49:16

Stream: scap_org.open-scap_datastream_from_xccdf_ssg-rhel7-xccdf-1.2.xml
Generated: (null)
Version: 1.2
Checklists:
        Ref-Id: scap_org.open-scap_cref_ssg-rhel7-xccdf-1.2.xml
                Status: draft
                Generated: 2016-08-10
                Resolved: true
                Profiles:
                        xccdf_org.ssgproject.content_profile_standard
                        xccdf_org.ssgproject.content_profile_pci-dss
                        xccdf_org.ssgproject.content_profile_C2S
                        xccdf_org.ssgproject.content_profile_rht-ccp
                        xccdf_org.ssgproject.content_profile_common
                        xccdf_org.ssgproject.content_profile_stig-rhel7-workstation-upstream
                        xccdf_org.ssgproject.content_profile_stig-rhel7-server-gui-upstream
                        xccdf_org.ssgproject.content_profile_stig-rhel7-server-upstream
                        xccdf_org.ssgproject.content_profile_ospp-rhel7-server
                        xccdf_org.ssgproject.content_profile_nist-cl-il-al
                        xccdf_org.ssgproject.content_profile_cjis-rhel7-server
                Referenced check files:
                        ssg-rhel7-oval.xml
                                system: http://oval.mitre.org/XMLSchema/oval-definitions-5
                        ssg-rhel7-ocil.xml
                                system: http://scap.nist.gov/schema/ocil/2
                        http://www.redhat.com/security/data/oval/Red_Hat_Enterprise_Linux_7.xml
                                system: http://oval.mitre.org/XMLSchema/oval-definitions-5
Checks:
        Ref-Id: scap_org.open-scap_cref_ssg-rhel7-oval.xml
        Ref-Id: scap_org.open-scap_cref_ssg-rhel7-ocil.xml
        Ref-Id: scap_org.open-scap_cref_output--ssg-rhel7-cpe-oval.xml
        Ref-Id: scap_org.open-scap_cref_output--ssg-rhel7-oval.xml
Dictionaries:
        Ref-Id: scap_org.open-scap_cref_output--ssg-rhel7-cpe-dictionary.xml

XCCDF 문서를 검사 할 때 :

$ oscap info /usr/share/xml/scap/ssg/content/ssg-rhel7-xccdf.xml
Document type: XCCDF Checklist
Checklist version: 1.1
Imported: 2016-08-10T20:49:16
Status: draft
Generated: 2016-08-10
Resolved: true
Profiles:
        standard
        pci-dss
        C2S
        rht-ccp
        common
        stig-rhel7-workstation-upstream
        stig-rhel7-server-gui-upstream
        stig-rhel7-server-upstream
        ospp-rhel7-server
        nist-cl-il-al
        cjis-rhel7-server
Referenced check files:
        ssg-rhel7-oval.xml
                system: http://oval.mitre.org/XMLSchema/oval-definitions-5
        ssg-rhel7-ocil.xml
                system: http://scap.nist.gov/schema/ocil/2
        http://www.redhat.com/security/data/oval/Red_Hat_Enterprise_Linux_7.xml
                system: http://oval.mitre.org/XMLSchema/oval-definitions-5

Document type : 파일의 형식을 설명합니다. 공통 유형에는 XCCDF, OVAL, 소스 데이터 스트림 W 결과 데이터 스트림이 포함됩니다.
Checklist version : XCCDF 파일에 대해서만 표시된 XCCDF 버전입니다. 일반적인 값은 1.1과 1.2입니다.
Imported : OpenSCAP에서 사용하기 위해 파일을 가져온 날짜입니다. OpenSCAP은 로컬 파일 시스템을 사용하고 독점 데이터베이스 형식이 없기 때문에 가져온 날짜는 파일 수정 날짜와 동일합니다.
Status : XCCDF 벤치 마크 상태입니다. 일반적인 값에는 accepted, draft, deprecated, incomplete가 포함됩니다. 자세한 내용은 XCCDF 사양을 참조하십시오. 이것은 XCCDF 파일에만 표시됩니다.
Generated date : 파일이 생성 / 생성 된 날짜입니다. 이 날짜는 XCCDF 파일 W 검사 목록에 표시되며 XCCDF 상태 요소에서 제공됩니다.
Checklists : oscap xccdf eval 명령어에 --benchmark-id 옵션과 함께 사용하는경우 데이터 스트림에 통합 된 사용 가능한 검사 목록이 나열 됩니다 . 또한 각 체크리스트에는 상세한 정보가 인쇄되어 있습니다.
Profiles : oscap xccdf eval 명령어에 --profile 옵션과 함께 사용하는경우 사용 가능한 프로필 ID가 나열 됩니다

oscap info는 XCCDF 결과 및 ARF 파일과 함께 사용시 약간 유용한 명령입니다. 일반적으로 요청되는 두 가지 중요한 날짜는 평가 시작일과 종료일입니다.

XCCDF 결과 파일에서 파일을 찾으려면 파일을 열고 TestResult 요소를 찾으십시오. 시작 시간 과 종료 시간 속성은 평가 시간과 날짜가 포함되어 있습니다.

<TestResult id="xccdf_org.open-scap_testresult_common" start-time="2017-01-21T19:16:28" end-time="2017-01-21T19:17:35"

ARF 파일에서 날짜를 조회하려면 파일을 열고 다시 TestResult 요소를 찾으십시오. 요소는 arf : report 요소에 있습니다.

<arf:reports>
  <arf:report id="xccdf1">
    <arf:content>
      <TestResult xmlns="http://checklists.nist.gov/xccdf/1.2" id="xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_stig-rhel7-server-upstream" start-time="2017-01-20T14:30:18" end-time="2017-01-20T14:36:32"
      

HTML 보고서 인 표 평가 특성 에서 두 날짜를 모두 찾을 수도 있습니다 . XCCDF 결과 또는 ARF에서 HTML 보고서를 생성하려면 oscap xccdf generate report명령을 사용하십시오 .

oscap도구 의 주요 목표 는 로컬 시스템의 구성 및 취약성 검색을 수행하는 것입니다. Oscap은 XCCDF 벤치 마크 및 OVAL 정의를 평가하고 적절한 결과를 생성 할 수 있습니다. SCAP 컨텐츠는 단일 파일 (OVAL 파일 또는 SCAP 데이터 스트림) 또는 여러 개의 별도 XML 파일로 제공 될 수 있습니다. 다음 예는 이러한 접근 방식을 구분합니다.

SCAP 문서는 단일 OVAL 파일 (OVAL 정의 파일)의 형식을 가질 수 있습니다. oscap도구는 OVAL 정의를 평가하는 동안 OVAL 정의 파일을 처리합니다. 시스템 정보를 수집하고 평가하며 OVAL 결과 파일을 생성합니다. 각 OVAL 정의의 평가 결과는 표준 출력 스트림에 인쇄됩니다. 다음 예는 OVAL 정의 파일과 관련된 가장 일반적인 시나리오를 설명합니다.

주어진 OVAL 정의 파일 내의 모든 정의를 평가하려면 다음 명령을 실행하십시오.

$ oscap oval eval --results oval-results.xml scap-oval.xml

여기서 scap-oval.xml 은 OVAL 정의 파일이고 oval-results.xml 은 OVAL 결과 파일입니다.

다음은 주어진 OVAL 정의 파일 내에서 하나의 특정 정의를 평가하는 예입니다.

$ oscap oval eval --id oval:rhel:def:1000 --results oval-results.xml scap-oval.xml

평가되는 OVAL 정의가 oval:rhel:def:1000 문자열 로 정의되고 scap-oval.xml 은 OVAL 정의 파일이고 oval-results.xml 은 OVAL 결과 파일입니다.

SCAP 데이터 스트림 콜렉션 내의 특정 데이터 스트림의 일부인 OVAL 구성 요소의 모든 정의를 평가하려면 다음 명령을 실행하십시오.

$ oscap oval eval --datastream-id ds.xml --oval-id xccdf.xml --results oval-results.xml scap-ds.xml

여기서 ds.xml은 데이터 스트림이고, xccdf.xml는 OVAL 컴포넌트를 지정하는 XCCDF 파일이다. oval-results.xml는 OVAL 결과 파일, scap-ds.xml는 SCAP 데이터 스트림의 컬렉션을 나타내는 파일이다.

SCAP 컨텐트가 여러 XML 파일로 표현되면 OVAL 정의 파일을 XCCDF 파일과 함께 배포 할 수 있습니다. 이러한 경우 OVAL 정의는 검사 중에 XCCDF 파일에서 내보내는 변수에 따라 달라질 수 있으며 OVAL 정의를 별도로 평가하면 잘못된 결과가 발생할 수 있습니다. 따라서 외부 변수는 OVAL 정의 평가 중에 사용되는 특수 파일로 내보내 져야합니다. 다음 명령은이 시나리오의 예입니다.

$ oscap xccdf export-oval-variables --profile united_states_government_configuration_baseline usgcb-rhel5desktop-xccdf.xml
$ oscap oval eval --variables usgcb-rhel5desktop-oval.xml-0.variables-0.xml --results usgcb-results-oval.xml usgcb-rhel5desktop-oval.xml

여기서 united_states_government_configuration_baseline가 XCCDF 문서의 프로파일을 나타내고, usgcb-rhel5desktop-xccdf.xml가 XCCDF 문서를 지정하는 파일이며, usgcb-rhel5desktop-oval.xml는 OVAL 정의 파일이다 usgcb-rhel5desktop-oval.xml-0.variables-0.xml 은 XCCDF 파일에서 내보낸 변수가 들어있는 파일이고, usgcb-results-oval.xml 은 OVAL 결과 파일입니다.

OVAL 지시문 파일을 사용하여 결과를 “thin” 또는 “full” 여부를 제어 할 수 있습니다. 이 파일은 --directives <file> 옵션을 사용하여 OpenSCAP에서로드 할 수 있습니다.

full 대신 thin 결과를 가능하게하는 OVAL 지시문 파일의 예 :

<?xml version="1.0" encoding="UTF-8"?>
<oval_directives xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:oval="http://oval.mitre.org/XMLSchema/oval-common-5" xmlns:oval-res="http://oval.mitre.org/XMLSchema/oval-results-5" xmlns="http://oval.mitre.org/XMLSchema/oval-directives-5" xsi:schemaLocation="http://oval.mitre.org/XMLSchema/oval-results-5 oval-results-schema.xsd http://oval.mitre.org/XMLSchema/oval-common-5 oval-common-schema.xsd http://oval.mitre.org/XMLSchema/oval-directives-5 oval-directives-schema.xsd">
  <generator>
    <oval:product_name>OpenSCAP</oval:product_name>
    <oval:schema_version>5.8</oval:schema_version> <!-- make sure the OVAL version matches your input -->
    <oval:timestamp>2017-02-04T00:00:00</oval:timestamp>
  </generator>
  <directives include_source_definitions="true">
    <oval-res:definition_true reported="true" content="thin"/>
    <oval-res:definition_false reported="true" content="thin"/>
    <oval-res:definition_unknown reported="true" content="thin"/>
    <oval-res:definition_error reported="true" content="thin"/>
    <oval-res:definition_not_evaluated reported="true" content="thin"/>
    <oval-res:definition_not_applicable reported="true" content="thin"/>
  </directives>
</oval_directives>

유스 케이스에 thin OVAL 결과가 필요한 경우 시스템 특성을 생략 할 가능성이 높습니다. 해당 효과에 --without-syschar 옵션을 사용할 수 있습니다 .

일반 OVAL 파일을 검사 할 때 OVAL 지시문 파일 사용 :

$ oscap oval eval --directives directives.xml --without-syschar --results oval-results.xml oval.xml

원본 DataStream에서 OVAL 구성 요소를 검색 할 때 OVAL 지시문 파일 사용 :

$ oscap oval eval --directives directives.xml --without-syschar --datastream-id ds.xml --oval-id oval.xml --results oval-results.xml scap-ds.xml

여러 파일이 배포 될 때 어떤 OVAL 파일이 사용될 지 항상 명확하지는 않습니다. XCCDF 파일을 평가하는 경우 다음을 사용할 수 있습니다.

$ oscap info ssg-rhel7-xccdf.xml
Document type: XCCDF Checklist
Checklist version: 1.1
Imported: 2017-01-20T14:20:43
Status: draft
Generated: 2017-01-19
Resolved: true
Profiles:
        standard
        pci-dss
        C2S
        rht-ccp
        common
        stig-rhel7-workstation-upstream
        stig-rhel7-server-gui-upstream
        stig-rhel7-server-upstream
        stig-rhevh-upstream
        ospp-rhel7-server
        nist-cl-il-al
        cjis-rhel7-server
        docker-host
        nist-800-171-cui
Referenced check files:
        ssg-rhel7-oval.xml
                system: http://oval.mitre.org/XMLSchema/oval-definitions-5
        ssg-rhel7-ocil.xml
                system: http://scap.nist.gov/schema/ocil/2
        https://www.redhat.com/security/data/oval/com.redhat.rhsa-RHEL7.xml.bz2
                system: http://oval.mitre.org/XMLSchema/oval-definitions-5

출력에서 참조 된 모든 점검 파일을 볼 수 있습니다. 이 경우에는 ssg-rhel7-oval.xml이 참조 된 것으로 간주됩니다. 이 파일의 내용을 보려면 텍스트 편집기에서 열 수 있습니다.

oscap info 원본 데이터 스트림 파일에서도 사용할 수 있습니다. Source DataStream은 종종 번들로 제공되는 OVAL 파일을 참조합니다. 소스 데이터 스트림에서 oscap ds sds-split 명령을 사용하여 OVAL 파일을 추출 할 수도 있습니다.

$ oscap ds sds-split ssg-rhel7-ds.xml extracted/
$ ls -1 extracted/
scap_org.open-scap_cref_output--ssg-rhel7-cpe-dictionary.xml
scap_org.open-scap_cref_ssg-rhel7-xccdf-1.2.xml
ssg-rhel7-cpe-oval.xml
ssg-rhel7-ocil.xml
ssg-rhel7-oval.xml

원본 데이터 스트림을 분할 한 후 텍스트 편집기를 사용하여 OVAL 및 XCCDF 파일을 개별적으로 검사 할 수 있습니다. 이것은 예제 일 뿐이며 파일 이름은 분리하려는 DataStream의 내용에 따라 다르며 Source DataStream 또는 Result DataStream에서 직접 XCCDF 및 OVAL 내용을 검사 할 수도 있습니다.

XCCDF 벤치 마크를 평가할 때 oscap은 보통 XCCDF 파일, OVAL 파일 및 CPE 사전을 처리합니다. 시스템 분석을 수행하고 이 분석을 기반으로 XCCDF 결과를 산출합니다. 스캔 결과를 별도의 파일에 저장할 필요는 없지만 XCCDF 파일에 첨부 할 수는 있습니다. XCCDF 체크리스트 내의 각 XCCDF 규칙의 평가 결과는 표준 출력 스트림에 인쇄됩니다. 규칙과 관련된 CVE 및 CCE 식별자도 함께 인쇄됩니다. 다음은 단일 XCCDF 규칙에 대한 샘플 출력입니다.

Title   Verify permissions on 'group' file
Rule    usgcb-rhel5desktop-rule-2.2.3.1.j
Ident   CCE-3967-7
Result  pass

CPE dictionary는 콘텐츠가 대상 플랫폼에 적용 가능한지 여부를 결정하는 데 사용됩니다. 적용 할 수없는 콘텐츠는 각 관련 XCCDF 규칙이 적용 할 수 없음 으로 평가되도록합니다.

다음 예제는 XCCDF 벤치 마크 평가의 가장 일반적인 시나리오를 보여줍니다.

XCCDF 파일에서 특정 프로필을 평가하려면 다음 명령을 실행합니다.

$ oscap xccdf eval --profile Desktop --results xccdf-results.xml --cpe cpe-dictionary.xml scap-xccdf.xml

scap-xccdf.xml 는 XCCDF 문서이고, Desktop은 XCCDF 문서에서 선택된 프로파일이다 xccdf-results.xml는 검사 결과를 저장하는 파일이며, cpe-dictionary.xml는 CPE dictionary이다.

위의 명령에 --rule 옵션을 추가 하여 특정 규칙을 평가할 수 있습니다 .

$ oscap xccdf eval --profile Desktop --rule ensure_gpgcheck_globally_activated  --results xccdf-results.xml --cpe cpe-dictionary.xml scap-xccdf.xml

여기서 ensure_gpgcheck_globally_activated 는 평가할 데스크톱 프로필 의 유일한 규칙입니다 .

일반적으로 필요한 모든 입력 파일은 원본 데이터 스트림에 함께 묶입니다. Source DataStream을 사용한 스캐닝은 번들 된 벤치 마크 중 어떤 것을 수행해야 하는지를 결정하는 데 사용할 수있는 몇 가지 추가 매개 변수가있는 oscap xccdf eval 명령에 의해 처리됩니다 .

SCAP DataStream 컬렉션 내의 DataStream에 속한 특정 XCCDF 벤치 마크를 평가하려면 다음 명령을 실행하십시오.

$ oscap xccdf eval --datastream-id ds.xml --xccdf-id xccdf.xml --results xccdf-results.xml scap-ds.xml

여기서 scap-ds.xml은 SCAP 데이터 스트림의 컬렉션을 나타내는 파일이고, ds.xml는 특정 데이터 스트림이고, xccdf.xml가 원하는 XCCDF 문서에 component-ref를 가리키는 ID이며 xccdf-results.xml은 스캔 결과를 포함하는 파일이다.

(대안, 권장하지 않음) SCAP DataStream 컬렉션 내의 DataStream의 일부인 특정 XCCDF 벤치 마크를 평가하려면 다음 명령을 실행하십시오.

$ oscap xccdf eval --benchmark-id benchmark_id --results xccdf-results.xml scap-ds.xml

여기서 scap-ds.xml가 SCAP 데이터 스트림의 컬렉션을 나타내는 파일이고, benchmark_id는 콤포넌트내의 xccdf:Benchmark를 포함하는 문자열과 일치하는 id 속성이다. xccdf-results.xml는 검사 결과를 포함하는 파일이다.

위의 예제에서는 --results 명령 줄 인수를 사용하여 XCCDF 결과 파일을 생성합니다. 또한 Result DataStream (ARF - Asset Reporting Format이라고도 함) XML을 생성하는 데 --results-arf 옵션을 사용할 수도 있습니다.

$ oscap xccdf eval --benchmark-id benchmark_id --results-arf arf-results.xml scap-ds.xml

XCCDF 검사 결과를 DISA STIG Viewer로 가져올때 Rule ID가 DISA와 일치하지 않으면 규칙의 특수 참조와 함께 --stig-viewer 명령 행 인수를 사용하여 DISA STIG Viewer에서 가져올 수있는 XCCDF 결과 파일을 생성 할 수 있습니다.

$ oscap xccdf eval --profile stig-rhel7-disa --stig-viewer results-stig.xml ssg-rhel7-ds.xml

입력 XCCDF의 각 규칙은 STIG 규칙 ID에 대한 참조를 포함해야하며 해당 href 속성은 정확히 http://iase.disa.mil/stigs/Pages/stig-viewing-guidance.aspx 이어야합니다.

예:

<Rule id="rpm_verify_permissions">
  ...
  <reference href="http://iase.disa.mil/stigs/Pages/stig-viewing-guidance.aspx">SV-86473r2_rule</reference>
  ...
</Rule>

DISA STIG Viewer에 대한 자세한 내용을 보려면 여기를 클릭 하십시오 .

OpenSCAP은 호환되지 않는 상태에서 발견 된 시스템을 자동으로 수정합니다. 시스템 재조정의 경우 지침이있는 XCCDF 파일이 필요합니다. scap-security-guide 패키지에는 특정 수정 지침이 포함되어 있습니다.

시스템 재조정은 다음 단계로 구성됩니다.

• oscap은 정기적 인 XCCDF 평가를 수행합니다.
• 결과 평가는 OVAL 정의를 평가하여 수행됩니다. 실패한 각 규칙은 재조정 후보로 표시됩니다.
• oscap은 적절한 수정 요소를 검색하여 해결하고 환경을 준비하며 수정 스크립트를 실행합니다.
• 수정 스크립트의 출력은 oscap에 캡처되어 rule-result 요소 내에 저장됩니다. 수정 스크립트의 리턴 값도 저장됩니다.
• oscap은 수정 스크립트를 실행할 때마다 수정 스크립트가 올바르게 적용되었는지 확인하기 위해 즉시 OVAL 정의를 다시 평가합니다. 이 두 번째 실행 중에 OVAL 평가가 성공으로 돌아 오면 규칙 결과가 고정되고 그렇지 않으면 오류가 발생합니다.
• 재조정의 자세한 결과는 출력 XCCDF 파일에 저장됩니다. 두 개의 TestResult 요소를 포함합니다. 첫 번째 TestResult 요소는 재조정 이전의 검사를 나타냅니다. 두 번째 TestResult는 첫 번째 TestResult에서 파생되었으며 치료 결과를 포함합니다.

교정과 관련하여 oscap에는 online, offline 및 review의 세 가지 작동 모드가 있습니다.

온라인 재조정은 검색시 수정 요소를 실행합니다. 평가 및 재조정은 단일 명령의 일부로 수행됩니다.

온라인 치료를 사용하려면 --remediate 명령 줄 옵션을 사용하십시오 . 예를 들어, scap-security-guide 패키지를 사용하여 온라인 치료를 실행하려면 다음을 실행하십시오.

$ oscap xccdf eval --remediate --profile xccdf_org.ssgproject.content_profile_rht-ccp --results scan-xccdf-results.xml /usr/share/xml/scap/ssg/content/ssg-rhel7-ds.xml

이 명령의 출력은 두 개의 섹션으로 구성됩니다. 첫 번째 섹션은 재조정 이전 스캔 결과를 표시하고 두 번째 섹션은 재조정을 적용한 후 스캔 결과를 보여줍니다. 두 번째 부분은 고정 및 오류 결과 만 포함 할 수 있습니다. 수정 결과는 수정 이후에 수행 주사 통과 것을 나타낸다. 오류 결과도 개선을 적용한 후, 평가는 여전히 통과하지 않음을 나타냅니다.

오프라인 재조정을 통해 픽스 실행을 연기 할 수 있습니다. 첫 번째 단계에서는 시스템이 평가되고 결과는 XCCDF 파일 의 TestResult 요소에 저장 됩니다.

두 번째 단계에서는 oscap 수정 스크립트를 실행하고 결과를 확인합니다. 결과를 입력 파일에 저장하면 데이터가 손실되지 않습니다. 오프라인 치료 중에는 입력 된 값을 기반으로 모든 데이터를 상속 하는 새 TestResult 요소가 만들어집니다. 새로 작성된 TestResult 는 실패한 룰 - 결과 요소 에서만 다릅니다. 이를 위해 치료가 실행됩니다.

scap-security-guide 패키지를 사용하여 오프라인 치료를 수행하려면 다음을 실행하십시오.

$ oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_rht-ccp --results scan-xccdf-results.xml /usr/share/xml/scap/ssg/content/ssg-rhel7-ds.xml

$ oscap xccdf remediate --results scan-xccdf-results.xml scan-xccdf-results.xml

검토 모드를 사용하면 사용자가 추가 검토를 위해 파일에 수정 지침을 저장할 수 있습니다. 이 작업 중에는 재조정 내용이 실행되지 않습니다. 쉘 스크립트 형식으로 재조정 지침을 생성하려면 다음을 실행하십시오.

$ oscap xccdf generate fix --template urn:xccdf:fix:script:sh --profile xccdf_org.ssgproject.content_profile_rht-ccp --output my-remediation-script.sh /usr/share/xml/scap/ssg/content/ssg-rhel7-ds.xml

$ oscap xccdf eval sds-datastream.xml

Title   Check group file contents
Rule    xccdf_org.example_rule_system_authcontent-group
Result  notchecked

Title   Check password file contents
Rule    xccdf_org.example_rule_system_authcontent-passwd
Result  notchecked

Title   Check shadow file contents
Rule    xccdf_org.example_rule_system_authcontent-shadow
Result  notchecked

...

Title   Ensure Repodata Signature Checking is Not Disabled For Any Repos
Rule    rule-2.1.2.3.6.a
Result  pass

Title   Verify user who owns 'shadow' file
Rule    rule-2.2.3.1.a
Ident   CCE-3918-0
Result  pass

Title   Verify group who owns 'shadow' file
Rule    rule-2.2.3.1.b
Ident   CCE-3988-3
Result  pass

$ oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_common --fetch-remote-resources --results-arf results.xml /usr/share/xml/scap/ssg/content/ssg-rhel6-ds.xml

<rule-result idref="xccdf_org.ssgproject.content_rule_partition_for_tmp" time="2017-01-20T14:30:18" severity="low" weight="1.000000">
  <result>pass</result>
  <ident system="https://nvd.nist.gov/cce/index.cfm">CCE-27173-4</ident>
  <check system="http://oval.mitre.org/XMLSchema/oval-definitions-5">
    <check-content-ref name="oval:ssg-partition_for_tmp:def:1" href="#oval0"/>
  </check>
</rule-result>