4.7. Security

pcsc-lite パッケージが 1.9.5 にリベースされました

pcsc-lite パッケージはアップストリームバージョン 1.9.5 にリベースされました。この更新では、特に次のような新しい拡張機能とバグ修正が提供されます。

暗号化ポリシーは diffie-hellman-group14-sha256 をサポートする

これで、RHEL システム全体の暗号化ポリシーの libssh ライブラリーに diffie-hellman-group14-sha256 キー交換 (KEX) アルゴリズムを使用できます。この更新は、この KEX アルゴリズムもサポートする OpenSSH との同等性も提供します。この更新により、libssh ではデフォルトで diffie-hellman-group14-sha256 が有効になりますが、カスタム暗号化ポリシーを使用して無効にすることができます。

OpenSSH サーバーがドロップイン設定ファイルをサポートするようになりました

sshd_config ファイルは include ディレクティブをサポートします。これは、設定ファイルを別のディレクトリーに含めることができることを意味します。これにより、Ansible Engine などの自動化ツールを使用して、OpenSSH サーバーにシステム固有の設定を簡単に適用できます。また、ssh_config ファイルの機能との整合性も高くなっています。さらに、ドロップイン設定ファイルを使用すると、着信接続のフィルター処理など、さまざまな用途に合わせてさまざまな設定ファイルを簡単に整理できます。

sshd_config:ClientAliveCountMax=0 は接続終了を無効にします

SSHD 設定オプション ClientAliveCountMax を 0 に設定すると、接続の終了が無効になります。これにより、このオプションの動作がアップストリームと一致します。その結果、OpenSSH は、 ClientAliveInterval オプションで設定されたタイムアウトに達したときに、アイドル状態の SSH ユーザーを切断しなくなりました。

libssh が 0.9.6 にリベース

libssh パッケージは、アップストリームバージョン 0.9.6 にリベースされました。このバージョンでは、主なバグ修正および機能強化が数多く追加されました。

Libreswan を 4.5 にリベース

Libreswan はアップストリームバージョン 4.5 にリベースされるこのバージョンでは、主なバグ修正および機能強化が数多く追加されました。

SELinux モジュールのチェックサムを検証するための新しいオプション

semodule コマンドに新しく追加された --checksum オプションを使用すると、インストールされている SELinux ポリシーモジュールのバージョンを確認できます。

OpenSCAP はローカルファイルを読み取ることができます

OpenSCAP は、リモート SCAP ソースデータストリームコンポーネントの代わりにローカルファイルを使用できるようになりました。以前は、インターネットにアクセスできないシステムで、リモートコンポーネントを含む SCAP ソースデータストリームの完全な評価を実行できませんでした。これらのシステムでは、リモートコンポーネントをインターネットからダウンロードする必要があるため、OpenSCAP はこれらのデータストリームの一部のルールを評価できませんでした。この更新により、OpenSCAP スキャンを実行する前にリモート SCAP ソースデータストリームコンポーネントをダウンロードしてターゲットシステムにコピーし、oscap コマンドで --local-files オプションを使用してそれらを OpenSCAP に提供できます。

SSG は、ホームディレクトリーとインタラクティブユーザーのルールをスキャンして修正するようになりました

対話型ユーザーが使用するホームディレクトリーに関連するすべての既存のルールをチェックおよび修正するための OVAL コンテンツが、SCAP セキュリティーガイド (SSG) スイートに追加されました。多くのベンチマークでは、インタラクティブユーザーのホームディレクトリー内に通常見られるプロパティーとコンテンツの検証が必要です。システム内のインタラクティブユーザーの存在と数はさまざまである可能性があるため、これまで、OVAL 言語を使用してこのギャップを埋める堅牢なソリューションはありませんでした。この更新により、システム内のローカルの対話型ユーザーとそれぞれのホームディレクトリーを検出する OVAL チェックと修復が追加されます。その結果、SSG は、関連するすべてのベンチマーク要件を安全にチェックおよび修正できます。

SCAP ルールに、大規模システムの監査ログバッファーを設定するための警告メッセージが表示されるようになりました

SCAP ルール xccdf_org.ssgproject.content_rule_audit_basic_configuration は、このルールによって設定された監査ログバッファーが小さすぎてカスタム値を上書きできる大規模システムのユーザーを示唆するパフォーマンス警告を表示するようになりました。この警告は、より大きな監査ログバッファーを設定するプロセスについても説明しています。この機能拡張により、大規模システムのユーザーはコンプライアンスを維持し、監査ログバッファーを正しく設定できます。

SSG が /etc/security/faillock.conf ファイルをサポートするようになりました

この機能拡張により、SCAP セキュリティーガイド (SSG) の /etc/security/faillock.conf ファイルのサポートが追加されます。この更新により、SSG は pam_faillock 設定の定義について /etc/security/faillock.conf ファイルを評価および修正できます。authselect ツールは、pam ファイルの整合性を確保しながら pam_faillock モジュールを有効にするためにも使用されます。その結果、pam_faillock モジュールの評価と修正は、最新バージョンとベストプラクティスに沿ったものになります。

SCAP セキュリティーガイドが 0.1.60 にリベースされました。

SCAP セキュリティーガイド (SSG) パッケージは、アップストリームバージョン 0.1.60 にリベースされました。このバージョンは、さまざまな拡張機能とバグ修正を提供します。特に、次のようなものがあります。

DISA STIG プロファイルは Red Hat Virtualization 4.4 をサポートします

DISA STIG for Red Hat Enterprise Linux 8 プロファイルバージョン V1R5 は、Red Hat Virtualization 4.4 をサポートするように拡張されました。このプロファイルは、国防情報システム局 (DISA) が提供する RHEL 8 セキュリティー技術実装ガイド (STIG) の手動ベンチマークに準拠しています。ただし、一部の設定は、Red Hat Virtualization (RHV) がインストールされているホストには適用されません。これは、Red Hat Virtualization のインストールと正常な動作が妨げられるためです。

OpenSCAP が 1.3.6 にリベースされました。

OpenSCAP パッケージがアップストリームバージョン 1.3.6 にリベースされました。このバージョンは、さまざまなバグ修正と機能拡張を提供します。特に、次のとおりです。

clevis-systemd は nc に依存しなくなりました

この機能拡張により、clevis-systemd パッケージは nc パッケージに依存しなくなりました。Extra Packages for Enterprise Linux (EPEL) で使用すると、依存関係が正しく機能しませんでした。

audit が 3.0.7 にリベースされました。

audit パッケージはバージョン 3.0.7 にアップグレードされ、多くの機能拡張とバグ修正が行われました。以下に例を示します。

Audit は、イベントタイムアウトの終了を指定するためのオプションを提供するようになりました

このリリースでは、ausearch ツールは --eoe-timeout オプションをサポートし、auditd.conf ファイルには end_of_event_timeout オプションが含まれています。これらのオプションを使用して、イベントタイムアウトの終了を指定し、同じ場所に配置されたイベントの解析に関する問題を回避できます。イベントタイムアウトの終了のデフォルト値は 2 秒に設定されています。

Audit の基本ルールに sudoer を追加します。

この機能拡張により、/etc/sudoers および etc/sudoers.d/ ディレクトリーが、Payment Card Industry Data Security Standard (PCI DSS) や Operating Systems Protection Profile (OSPP) などの Audit 基本ルールに追加されます。そのため、sudoers などの特権領域の設定変更を監視することでセキュリティーが強化されます。

Rsyslog には、より高性能な操作と CEF のための mmfields モジュールが含まれます

Rsyslog には、mmfields モジュールを提供する rsyslog-mmfields サブパッケージが含まれるようになりました。これは、プロパティー置き換えフィールド抽出を使用する代わりの方法ですが、プロパティー置き換えとは対照的に、すべてのフィールドが一度に抽出され、構造化データ部分の内部に格納されます。その結果、特に Common Event Format (CEF) などのログ形式を処理する場合や、多数のフィールドが必要であったり特定のフィールドを再使用したりする場合などに、mmfields を使用できます。このような場合の mmfields のパフォーマンスは、既存の Rsyslog 機能よりも優れています。

libcap がバージョン 2.48 にリベース

libcap パッケージがアップストリームバージョン 2.48 にアップグレードされ、以前のバージョンのバグ修正および機能拡張が数多く追加されました。主な改善点は以下の通りです。

fapolicyd が 1.1 にリベースされました。

fapolicyd パッケージは、多くの改善とバグ修正を含むアップストリームバージョン 1.1 にアップグレードされました。最も注目すべき変更点は次のとおりです。

libseccomp が 2.5.2 にリベース

libseccomp パッケージは、アップストリームバージョン 2.5.2 にリベースされました。このバージョンでは、主なバグ修正および機能強化が数多く追加されました。