OpenSCAP을 사용하여 SLES 15 STIG를 안전하게 적용하세요

SUSE에서 지원하는 SLES 15용 DISA STIG 프로파일을 사용하고, OpenSCAP으로 서버를 스캔한 후, 테스트 시스템에서 기준선을 검토한 후에만 수정 작업을 수행하십시오. 예를 들어, 규제 대상 서비스를 위해 SLES 15 서버 하나를 준비하는 가상의 관리자 Alex를 가정해 보겠습니다. Alex는 아래 워크플로를 사용하여 발견 사항을 식별하고, 변경 사항을 테스트하고, 증거를 수집하지만, 자동 스캔에서 문제가 없다고 해서 규정 준수 승인으로 간주하지는 않습니다.

이 명령은 SUSE의 SLES 15용 최신 STIG 지침을 따릅니다. 프로파일 내용은 패키지 업데이트 및 DISA 벤치마크 릴리스에 따라 변경될 수 있으므로 이 절차를 사용하기 전에 해당 릴리스 및 시스템별 요구 사항을 확인하십시오. 터미널 이미지는 명령을 보여주는 예시이며 실제 스캔 출력 결과를 나타내지 않습니다.

1. 목표와 현재 기준점을 확인합니다.

먼저 호스트의 SLES 서비스 팩, 용도, 네트워크 역할 및 애플리케이션을 기록합니다. 알렉스는 어떤 서비스가 계속 사용 가능해야 하는지, 관리자가 어떻게 연결하는지, 그리고 보안 강화 변경으로 인해 액세스가 중단될 경우 복구 방법을 기록합니다. 이러한 범위는 중요합니다. 데이터베이스 호스트와 범용 서버는 동일한 운영 체제 STIG 프로파일을 사용하더라도 승인된 예외 사항이 다를 수 있습니다.

콘텐츠를 선택하기 전에 설치된 버전을 확인하세요.

cat /etc/os-release
hostnamectl

그런 다음 공식 DISA STIG 다운로드 페이지 에서 해당 SLES 15 STIG 체크리스트와 벤치마크 개정판을 다운로드하십시오 . 체크리스트를 시스템 제품군과 일치시키고 조직의 평가 지침을 따르십시오. SUSE는 "SUSE Linux Enterprise 15용 DISA STIG" SCAP 프로파일에 대한 지원을 문서화했지만, 그것만으로는 기관에서 요구하는 릴리스를 확정하거나 호스트를 인증할 수 없습니다.

2. SCAP 콘텐츠를 설치하고 확인합니다.

해당 저장소에 접근 권한이 있는 등록된 SLES 시스템에 OpenSCAP 명령줄 유틸리티와 SCAP 보안 가이드 콘텐츠를 설치하십시오.

sudo zypper install openscap-utils scap-security-guide

아래의 패키지 이름과 SLES 15 데이터 스트림 위치는 SUSE의 OpenSCAP 보안 강화 가이드 및 SUSE의 STIG 절차 에 따라 문서화되어 있습니다 . 패키지 저장소와 프로파일 개정판은 서비스 팩 및 업데이트 수준에 따라 다를 수 있습니다. 파일 이름이나 프로파일을 추측하기보다는 설치된 데이터 스트림 목록을 확인하고 후보 파일을 검사하십시오.

ls -1 /usr/share/xml/scap/ssg/content/ssg-*-ds.xml
oscap info /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

SLES 15 데이터 스트림이 있는지, 프로파일 목록에 포함되어 있는지 확인하십시오 stig. 파일이나 프로파일이 누락된 경우, 실행을 중지하고 패키지 또는 저장소 불일치를 해결하십시오. 다른 운영 체제의 벤치마크로 대체하지 마십시오.

3. 기준선을 설정한 후 개선 조치를 테스트합니다.

보고서를 작성하기 전에 보호된 증거 디렉토리를 생성하십시오. 시스템 설정을 변경하지 않고 먼저 스캔하십시오.

sudo install -d -m 0700 /root/stig-review
sudo oscap xccdf eval \
  --profile stig \
  --results /root/stig-review/baseline.xml \
  --report /root/stig-review/baseline.html \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

HTML 보고서를 열고 각 결과를 검토하십시오. 특히 실패, 오류 및 확인할 수 없었던 규칙을 주의 깊게 살펴보십시오. XML 파일과 보고서는 민감한 구성 증거이므로 보관하십시오. 호스트 세부 정보 및 보안 상태를 드러낼 수 있으므로 승인된 채널을 통해서만 저장하거나 전송해야 합니다.

다음으로, 비프로덕션 환경에서 서버를 복제하거나 스냅샷을 생성하십시오. 자동화된 변경 사항을 적용하기 전에 애플리케이션 동작, ID 액세스, 네트워킹, 모니터링 및 복구 기능을 검증하십시오. SUSE는 시스템 구성이 변경되므로 프로덕션 환경 외부에서 먼저 수정 작업을 테스트할 것을 관리자에게 권고합니다. 테스트 호스트에서 문서화된 즉시 실행 방법은 다음과 같습니다.

sudo oscap xccdf eval --remediate \
  --profile stig \
  --results /root/stig-review/remediation.xml \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

생성된 결과에는 수정 전 테스트 결과와 수정 후 테스트 결과가 포함될 수 있습니다. 표시된 규칙은 fixed자동 수정이 적용되어 해당 평가를 통과했음을 나타내고, 표시되지 않은 규칙은 error해당 규칙에 대한 수정이 실패했음을 의미합니다. 두 상태 모두 운영 테스트 또는 기본 요구 사항 검토를 대체하지 않습니다.

4. 재검사, 예외 사항 해결 및 증거 보존

테스트 동작을 검토한 후, 새로운 출력 경로를 사용하여 별도의 스캔을 실행하십시오. 스캔만 수행하는 평가를 통해 현재 상태와 수정 실행 후 상태를 구분할 수 있습니다.

sudo oscap xccdf eval \
  --profile stig \
  --results /root/stig-review/final.xml \
  --report /root/stig-review/final.html \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

모든 규칙이 자동으로 수정될 것이라고 기대하지 마십시오. 규칙의 전체 검사 항목에 대해 오류를 조사하고 시스템에 선택된 정확한 DISA 체크리스트 버전의 텍스트를 수정하십시오. 일부 규칙은 서비스 소유자의 신중한 결정, 사이트별 구성 또는 수동 검증이 필요합니다. 규칙이 적용되지 않거나 충족될 수 없는 경우, 조직의 공식 예외 처리 절차를 통해 그 이유와 보완 조치를 문서화하십시오. 프로필을 변경하거나 조정하는 것만으로는 요구 사항을 충족할 수 없습니다.

체크리스트 검토를 위해 SUSE는 DISA STIG Viewer로 가져올 수 있는 XCCDF 파일을 내보내는 문서를 제공합니다. 지원되는 옵션을 사용하여 파일을 생성한 다음, 현재 사용자 지침에 따라 Viewer로 가져오십시오.

sudo oscap xccdf eval \
  --profile stig \
  --stig-viewer /root/stig-review/results_stig.xml \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

Alex가 가상 서버에 대해 작성한 증거 자료 패키지에는 호스트 및 서비스 팩 식별 정보, 벤치마크 개정판, SCAP 콘텐츠 버전, 스캔 날짜, 기준선 및 최종 보고서, 개선 조치, 수동 검사, 승인된 예외 사항이 포함되어 있습니다. 해당 파일이 존재하고 승인된 검토자만 읽을 수 있도록 유지되는지 확인하십시오.

sudo ls -l /root/stig-review

작업 완료를 선언하기 전에 최종 보고서가 변경 사항 적용 후 수행된 스캔을 반영하는지, 남아 있는 모든 발견 사항에 담당자와 처리 방안이 지정되었는지, 그리고 서버에 필요한 서비스가 여전히 작동하는지 확인하십시오. STIG 준수 여부는 특정 벤치마크 및 시스템 범위와 연관된 평가 상태입니다. OpenSCAP은 해당 평가를 지원하지만 인증을 부여하거나 모든 사이트 요구 사항이 충족되었음을 보장하지는 않습니다.

출처

• SUSE: STIG를 사용하여 SUSE Linux Enterprise 보안 강화
• SUSE: OpenSCAP을 이용한 SLES 강화
• DISA: STIG 다운로드