使用 OpenSCAP 确保系统安全

安全内容自动化协议 (SCAP) 是根据社区观点衍生出的一套综合性可互操作规范。它是由美国国家标准与技术研究院 (NIST) 维护的一系列规范，用于维持企业系统的系统安全性。

制定 SCAP 的目的是提供一种标准化方法来维持系统安全性，并且使用的标准会根据社区和企业的需求不断变化。新规范根据 NIST 的 SCAP 发布周期进行控制，以提供一致且可重复的修订工作流程。有关详细信息，请参见：

SUSE Multi-Linux Manager 使用 OpenSCAP 来实现 SCAP 规范。OpenSCAP 是一个利用可扩展配置清单描述格式 (XCCDF) 的审计工具。XCCDF 是表达清单内容和定义安全清单的标准方式。它还结合了其他规范，例如通用平台枚举 (CPE)、通用配置枚举 (CCE) 及开放漏洞和评估语言 (OVAL)，以创建 SCAP 表达的、可由 SCAP 验证过的产品处理的清单。

OpenSCAP 使用 SUSE 安全团队生成的内容来验证补丁是否存在。OpenSCAP 使用基于标准和规范的规则来检查系统安全配置设置，并检查系统是否存在遭受入侵的迹象。有关 SUSE 安全团队的详细信息，请参见 https://www.suse.com/support/security。

在开始之前，需要为客户端系统的 SCAP 扫描做好准备。

在开始之前，请在客户端上安装 OpenSCAP 扫描程序和 SCAP 安全指南（内容）软件包。根据操作系统，这些软件包要么包含在基本操作系统中，要么包含在 SUSE Multi-Linux Manager 客户端工具中。

下表列出了所需的软件包：

RHEL 7 and compatible systems provide a scap-security-guide package, which contains outdated contents. You are advised to use the scap-security-guide-redhat package you will find in the SUSE Multi-Linux Manager Client Tools.

OpenSCAP 使用 SCAP 内容文件来定义测试规则。这些内容文件是根据 XCCDF 或 OVAL 标准创建的。除了 SCAP 安全指南之外，您还可以下载公开的内容文件并根据要求对其进行自定义。可为默认内容文件模板安装 SCAP 安全指南软件包。或者，如果您熟悉 XCCDF 或 OVAL 的话，可以创建自己的内容文件。

When you have created your content files, you need to transfer the file to the client. You can do this in the same way as you move any other file, using physical storage media, or across a network with Salt (for example, salt-cp or the Salt File Server), ftp or scp.

我们建议您创建一个软件包以将内容文件分发到使用 SUSE Multi-Linux Manager 管理的客户端。可将软件包签名并对其进行校验以确保其完整性。有关详细信息，请参见 自定义通道。

不同的操作系统提供不同的 OpenSCAP 内容文件和配置文件。一个内容文件可以包含多个配置文件。

在基于 RPM 的操作系统上，可使用以下命令确定可用 SCAP 文件的位置：

在基于 DEB 的操作系统上，可使用以下命令确定可用 SCAP 文件的位置：

确定了一个符合您需求的 SCAP 内容文件后，列出客户端上可用的配置文件：

记下用于执行扫描的文件路径和配置文件。

安装或传输内容文件后，您可以执行审计扫描。可以使用 SUSE Multi-Linux Manager Web UI 触发审计扫描。还可以使用 SUSE Multi-Linux Manager API 来安排定期扫描。

Information about the scans you have run is in the SUSE Multi-Linux Manager Web UI. Navigate to Audit  OpenSCAP  All Scans for a table of results. For more information about the data in this table, see All Scans.

To ensure that detailed information about scans is available, you need to enable it on the client. In the SUSE Multi-Linux Manager Web UI, navigate to Admin  Organizations and click on the organization the client is a part of. Navigate to the Configuration tab, and check the Enable Upload of Detailed SCAP Files option. When enabled, this generates an additional HTML file on every scan, which contains extra information. The results show an extra line similar to this:

To retrieve scan information from the command line, use the spacewalk-report command:

You can also use the SUSE Multi-Linux Manager API to view results, with the system.scap handler.

Only SCAP scans that have passed the configured retention period can be deleted. You can configure the retention period in the Organization Configuration section.

修复 Bash 脚本和 Ansible 剧本包含在相同的 SCAP 安全指南软件包中，以强化客户端系统。例如：

在客户端系统中启用 Ansible 后，可以使用远程命令或 Ansible 运行这些脚本和剧本。