5.2. 設定コンプライアンススキャン

手順

1. SCAP Security Guide プロジェクトが提供するセキュリティーコンプライアンスプロファイルで利用可能なファイルをすべて表示します。

   $ ls /usr/share/xml/scap/ssg/content/
   ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

2. oscap info サブコマンドを使用して、選択したデータストリームに関する詳細情報を表示します。データストリームを含む XML ファイルは、名前に -ds 文字列で示されます。Profiles セクションでは、利用可能なプロファイルと、その ID のリストを確認できます。

   $ oscap info /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml
   Profiles:
   …
     Title: Australian Cyber Security Centre (ACSC) ISM Official - Top Secret
   		Id: xccdf_org.ssgproject.content_profile_ism_o_top_secret
   	Title: PCI-DSS v4.0.1 Control Baseline for Red Hat Enterprise Linux 10
   		Id: xccdf_org.ssgproject.content_profile_pci-dss
   	Title: Red Hat STIG for Red Hat Enterprise Linux 10
   		Id: xccdf_org.ssgproject.content_profile_stig
   
   …

   Copy to Clipboard Toggle word wrap

3. データストリームファイルからプロファイルを選択し、選択したプロファイルに関する追加情報を表示します。そのためには、oscap info に --profile オプションを指定した後に、直前のコマンドの出力で表示された ID の最後のセクションを指定します。たとえば、HIPPA プロファイルの ID は xccdf_org.ssgproject.content_profile_hipaa で、--profile オプションの値は hipaa です。

   $ oscap info --profile hipaa /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml
   …
   Profile
   	Title: Health Insurance Portability and Accountability Act (HIPAA)
   
   	Description: The HIPAA Security Rule establishes U.S. national standards to protect individuals' electronic personal health information that is created, received, used, or maintained by a covered entity.
   …

   Copy to Clipboard Toggle word wrap

手順

1. ローカルシステムをスキャンして、選択したプロファイルへの準拠を評価し、スキャン結果をファイルに保存します。

   $ oscap xccdf eval --report <scan_report.html> --profile <profile_ID> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

   以下のように置き換えます。

   • <scan_report.html> は、oscap がスキャン結果を保存するファイル名に置き換えます。
   • <profile_ID> は、システムが準拠する必要があるプロファイル ID (例: hipaa) に置き換えます。

2. オプション: リモートシステムをスキャンして、選択したプロファイルへの準拠を評価し、スキャン結果をファイルに保存します。

   $ oscap-ssh <username>@<hostname> <port> xccdf eval --report <scan_report.html> --profile <profile_ID> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

   以下のように置き換えます。

   • <username>@<hostname> は、リモートシステムのユーザー名とホスト名に置き換えます。
   • <port> は、リモートシステムにアクセスできるポート番号です。
   • <scan_report.html> は、oscap がスキャン結果を保存するファイル名に置き換えます。
   • <profile_ID> は、システムが準拠する必要があるプロファイル ID (例: hipaa) に置き換えます。

手順

1. コンテナーまたはコンテナーイメージの ID を見つけます。

   1. コンテナーの ID を見つけるには、podman ps -a コマンドを入力します。
   2. コンテナーイメージの ID を見つけるには、podman images コマンドを入力します。

2. コンテナーまたはコンテナーイメージがプロファイルに準拠しているかどうかを評価し、スキャン結果をファイルに保存します。

   # oscap-podman <ID> xccdf eval --report <scan_report.html> --profile <profile_ID> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

   以下のように置き換えます。

   • <ID> は、コンテナーまたはコンテナーイメージの ID に置き換えます。
   • <scan_report.html> は、oscap がスキャン結果を保存するファイル名に置き換えます。
   • <profile_ID> は、システムが準拠する必要があるプロファイル ID (例: hipaa または pci-dss) に置き換えます。