OpenSCAP（脆弱性スキャン）のインストールと使い方メモ

Linux
2018.05.19
Linux
CentOSセキュリティ
スポンサーリンク

OpenSCAP（オープンエスキャップ）は、システムの脆弱性や問題のある設定をチェックしてくれるオープンソースのツールです。アメリカ国立標準技術研究所（NIST）が維持管理している SCAP 1.2（情報セキュリティ対策の自動化と標準化を実現する技術仕様）の認定を取得しています。OpenSCAP を使えば、サーバーの脆弱性管理を自動化することもできるそうです。そこで今回は、CentOS7 に OpenSCAP をインストールして脆弱性スキャンをするまでの手順をメモしておきました。

  1. OpenSCAP のインストール
  2. SCAP Security Guide (SSG) のインストール
  3. 脆弱性スキャンの実行
  4. おわりに

 
参考資料：
第6章 コンプライアンスおよび OpenSCAP を使った脆弱性のスキャン：Red Hat Customer Portal
セキュリティ設定共通化手順SCAP概説：IPA

OpenSCAP のインストール

RPM パッケージが用意されていますので yum からインストールできます。

yum -y install openscap-scanner

インストールされた oscap コマンドに -V オプションを付けて実行すると、サポートされているバージョンなどを確認することができます。

oscap -V

==== Supported specifications ====
XCCDF Version: 1.2
OVAL Version: 5.11.1
CPE Version: 2.3
CVSS Version: 2.0
CVE Version: 2.0
Asset Identification Version: 1.1
Asset Reporting Format Version: 1.1
CVRF Version: 1.1

==== Capabilities added by auto-loaded plugins ====
No plugins have been auto-loaded...

==== Paths ====
Schema files: /usr/share/openscap/schemas
Default CPE files: /usr/share/openscap/cpe
Probes: /usr/libexec/openscap
（略）

SCAP Security Guide (SSG) のインストール

Linux 向けのセキュリティポリシーコレクションをインストールします。このポリシーに則って OpenSCAP は脆弱性スキャンを行います。

yum -y install scap-security-guide

各種ポリシーファイルは /usr/share/xml/scap/ssg/content/ 下にインストールされます。

ls -l /usr/share/xml/scap/ssg/content/
 
-rw-r--r--. 1 root root 8557775 5月 3 23:00 ssg-centos6-ds.xml
-rw-r--r--. 1 root root 1766813 5月 3 23:00 ssg-centos6-xccdf.xml
-rw-r--r--. 1 root root 13934723 5月 3 23:00 ssg-centos7-ds.xml
-rw-r--r--. 1 root root 3333091 5月 3 23:00 ssg-centos7-xccdf.xml
-rw-r--r--. 1 root root 546 5月 3 23:00 ssg-firefox-cpe-dictionary.xml
（略）

ポリシーファイルの内容を確認するには oscap info コマンドを使います。今回は PCI-DSS v3 コントロールをベースラインにした脆弱性チェックを行いますのでプロファイルid の「pci-dss」をメモしておきます。

oscap info /usr/share/xml/scap/ssg/content/ssg-centos7-xccdf.xml

Document type: XCCDF Checklist
Checklist version: 1.1
Imported: 2018-05-03T23:00:41
Status: draft
Generated: 2018-05-03
Resolved: true
Profiles:
	Title: Standard System Security Profile
		Id: standard
	Title: PCI-DSS v3 Control Baseline for CentOS Linux 7
		Id: pci-dss
	Title: C2S for CentOS Linux 7
		Id: C2S
	Title: Red Hat Corporate Profile for Certified Cloud Providers (RH CCP)
		Id: rht-ccp
（略）

脆弱性スキャンの実行

以下のコマンドを実行すると脆弱性スキャンが開始します。

oscap xccdf \
eval \
--profile pci-dss \
--report ssg-centos7-xccdf-pci-dss.html \
/usr/share/xml/scap/ssg/content/ssg-centos7-xccdf.xml

oscap xccdf
　xccdf もしくは oval（どちらも脆弱性やセキュリティ設定のチェックリストを記述するための言語です）を指定します。今回のポリシーファイルは XCCDF 形式なので xccdf を指定します。

eval
　eval に続けてオプションを指定します。

--profile pci-dss
　ポリシーのプロファイルid を指定します。

--report ssg-centos7-xccdf-pci-dss.html
　スキャンの結果レポートの出力先を指定します。

/usr/share/xml/scap/ssg/content/ssg-centos7-xccdf.xml
　ポリシーファイルを指定します。

２〜３分で下のような結果レポートが出力されます。

サンプル
OpenSCAPのスキャン結果レポート

おわりに

脆弱性スキャンはポリシーの設定などが大変そうなイメージがありましたが、OpenSCAP + CentOS7（RHEL7）ならあらかじめポリシーが用意されているので、インストールからスキャンまで10分くらいで出来てしまいます。ぜひ試してみてはいかがでしょうか。

コメント

',b.captions&&s){var u=J("figcaption");u.id="baguetteBox-figcaption-"+t,u.innerHTML=s,l.appendChild(u)}e.appendChild(l);var c=J("img");c.onload=function(){var e=document.querySelector("#baguette-img-"+t+" .baguetteBox-spinner");l.removeChild(e),!b.async&&n&&n()},c.setAttribute("src",r),c.alt=a&&a.alt||"",b.titleTag&&s&&(c.title=s),l.appendChild(c),b.async&&n&&n()}}function X(){return M(o+1)}function D(){return M(o-1)}function M(e,t){return!n&&0<=e&&e=k.length?(b.animation&&O("right"),!1):(q(o=e,function(){z(o),V(o)}),R(),b.onChange&&b.onChange(o,k.length),!0)}function O(e){l.className="bounce-from-"+e,setTimeout(function(){l.className=""},400)}function R(){var e=100*-o+"%";"fadeIn"===b.animation?(l.style.opacity=0,setTimeout(function(){m.transforms?l.style.transform=l.style.webkitTransform="translate3d("+e+",0,0)":l.style.left=e,l.style.opacity=1},400)):m.transforms?l.style.transform=l.style.webkitTransform="translate3d("+e+",0,0)":l.style.left=e}function z(e){e-o>=b.preload||q(e+1,function(){z(e+1)})}function V(e){o-e>=b.preload||q(e-1,function(){V(e-1)})}function U(e,t,n,o){e.addEventListener?e.addEventListener(t,n,o):e.attachEvent("on"+t,function(e){(e=e||window.event).target=e.target||e.srcElement,n(e)})}function W(e,t,n,o){e.removeEventListener?e.removeEventListener(t,n,o):e.detachEvent("on"+t,n)}function G(e){return document.getElementById(e)}function J(e){return document.createElement(e)}return[].forEach||(Array.prototype.forEach=function(e,t){for(var n=0;n","http://www.w3.org/2000/svg"===(e.firstChild&&e.firstChild.namespaceURI)}(),m.passiveEvents=function i(){var e=!1;try{var t=Object.defineProperty({},"passive",{get:function(){e=!0}});window.addEventListener("test",null,t)}catch(n){}return e}(),function a(){if(r=G("baguetteBox-overlay"))return l=G("baguetteBox-slider"),u=G("previous-button"),c=G("next-button"),void(d=G("close-button"));(r=J("div")).setAttribute("role","dialog"),r.id="baguetteBox-overlay",document.getElementsByTagName("body")[0].appendChild(r),(l=J("div")).id="baguetteBox-slider",r.appendChild(l),(u=J("button")).setAttribute("type","button"),u.id="previous-button",u.setAttribute("aria-label","Previous"),u.innerHTML=m.svg?f:"<",r.appendChild(u),(c=J("button")).setAttribute("type","button"),c.id="next-button",c.setAttribute("aria-label","Next"),c.innerHTML=m.svg?g:">",r.appendChild(c),(d=J("button")).setAttribute("type","button"),d.id="close-button",d.setAttribute("aria-label","Close"),d.innerHTML=m.svg?p:"×",r.appendChild(d),u.className=c.className=d.className="baguetteBox-button",function n(){var e=m.passiveEvents?{passive:!1}:null,t=m.passiveEvents?{passive:!0}:null;U(r,"click",x),U(u,"click",E),U(c,"click",C),U(d,"click",B),U(l,"contextmenu",A),U(r,"touchstart",T,t),U(r,"touchmove",N,e),U(r,"touchend",L),U(document,"focus",P,!0)}()}(),S(e),function s(e,a){var t=document.querySelectorAll(e),n={galleries:[],nodeList:t};return w[e]=n,[].forEach.call(t,function(e){a&&a.filter&&(y=a.filter);var t=[];if(t="A"===e.tagName?[e]:e.getElementsByTagName("a"),0!==(t=[].filter.call(t,function(e){if(-1===e.className.indexOf(a&&a.ignoreClass))return y.test(e.href)})).length){var i=[];[].forEach.call(t,function(e,t){var n=function(e){e.preventDefault?e.preventDefault():e.returnValue=!1,H(i,a),I(t)},o={eventHandler:n,imageElement:e};U(e,"click",n),i.push(o)}),n.galleries.push(i)}}),n.galleries}(e,t)},show:M,showNext:X,showPrevious:D,hide:j,destroy:function e(){!function n(){var e=m.passiveEvents?{passive:!1}:null,t=m.passiveEvents?{passive:!0}:null;W(r,"click",x),W(u,"click",E),W(c,"click",C),W(d,"click",B),W(l,"contextmenu",A),W(r,"touchstart",T,t),W(r,"touchmove",N,e),W(r,"touchend",L),W(document,"focus",P,!0)}(),function t(){for(var e in w)w.hasOwnProperty(e)&&S(e)}(),W(document,"keydown",F),document.getElementsByTagName("body")[0].removeChild(document.getElementById("baguetteBox-overlay")),w={},h=[],o=0}}})
タイトルとURLをコピーしました