セキュリティーコンプライアンスの管理

手順

1. パッケージブラウザーの SCAP セキュリティーガイド にアクセスします。
2. バージョン メニューから、ホストが実行している RHEL マイナーバージョン向けの最新の SSG バージョンを選択します。たとえば、RHEL 8.6 の場合は、*.el8_6 という名前のバージョンを選択します。
3. パッケージ RPM をダウンロードします。

4. RPM からデータストリームファイル (*-ds.xml) を展開します。以下に例を示します。

   Copy to Clipboard Toggle word wrap

   $ rpm2cpio scap-security-guide-0.1.69-3.el8_6.noarch.rpm \
   | cpio -iv --to-stdout ./usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml \
   > ssg-rhel-8.6-ds.xml

5. データストリームを Satellite にアップロードします。詳細は、「追加の SCAP コンテンツのアップロード」 を参照してください。

手順

1. Satellite Web UI で、Hosts > Compliance > SCAP contents に移動します。
2. Upload New SCAP Content をクリックします。
3. Title テキストボックスにタイトルを入力します (My SCAP Content など)。
4. Scap File で、Choose file をクリックし、SCAP データストリームファイルが含まれる場所に移動して、Open をクリックします。
5. Locations タブで場所を選択します。
6. Organizations タブで組織を選択します。
7. Submit をクリックします。

CLI 手順

1. SCAP データストリームファイルを Satellite Server 上のディレクトリー (/usr/share/xml/scap/my_content/ など) に配置します。

2. Satellite Server で次の Hammer コマンドを実行します。

   Copy to Clipboard Toggle word wrap

   # hammer scap-content bulk-upload --type directory \
   --directory /usr/share/xml/scap/my_content/ \
   --location "My_Location" \
   --organization "My_Organization"

手順

1. Satellite の Web UI で Hosts > Compliance - Tailoring Files に移動し、New Tailoring File をクリックします。
2. Name テキストボックスに、名前を入力します。
3. Choose File をクリックし、テーラリングファイルが含まれる場所に移動して、Open を選択します。
4. Submit をクリックして、選択したテーラリングファイルをアップロードします。

手順

1. Satellite Web UI で、Hosts > Compliance - Policies に移動します。
2. New Policy または New Compliance Policy をクリックします。
3. デプロイメント方法を Ansible、Puppet、または Manual から選択します。Next をクリックします。
4. ポリシーの名前、説明 (省略可能) を入力してから 次へ をクリックします。

5. 適用する SCAP Content および XCCDF Profile を選択し、Next をクリックします。

   Satellite は、選択された XCCDF プロファイルにルールが含まれているかどうかを検出しないことに注意してください。Default XCCDF Profile などの空の XCCDF プロファイルは、空のレポートを返します。

6. オプション: XCCDF プロファイルをカスタマイズするには、Tailoring File と XCCDF Profile in Tailoring File を選択し、Next をクリックします。

7. ポリシーを適用するスケジュール時刻を指定します。Period のリストから、Weekly、Monthly、または Custom を選択します。Custom オプションを使用すると、ポリシーのスケジュールをより柔軟に行うことができます。

   • Weekly を選択したら Weekday リストから曜日を選択します。
   • Monthly を選択したら Day of month フィールドで日付を指定します。
   • Custom を選択したら Cron line フィールドに有効な Cron 式を入力します。
8. ポリシーを適用する場所を選択し、Next をクリックします。
9. ポリシーを適用する組織を選択し、Next をクリックします。
10. オプション: ポリシーを割り当てるホストグループを選択します。
11. Submit をクリックします。

手順

1. Satellite Web UI で、Hosts > Compliance - Policies に移動します。
2. 必要なポリシーの Actions 列で、Show Guide をクリックするか、リストから Show Guide を選択します。

手順

1. Satellite Web UI で、Hosts > Compliance - Policies に移動します。
2. 必要なポリシーの名前をクリックします。
3. 必要な属性を編集します。
4. Submit をクリックします。

手順

1. Satellite Web UI で、Hosts > Compliance - Policies に移動します。
2. 必要なポリシーの Actions 列で、リストから Delete を選択します。
3. 確認メッセージで OK をクリックします。

手順

1. Satellite Server で、コンプライアンスポリシーで使用するデータストリームを調べて、ダウンロードする必要がある不足しているリソースを見つけます。

   Copy to Clipboard Toggle word wrap

   # oscap info /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml | grep "WARNING"
   WARNING: Datastream component 'scap_org.open-scap_cref_security-data-oval-com.redhat.rhsa-RHEL8.xml.bz2'
   points out to the remote 'https://access.redhat.com/security/data/oval/com.redhat.rhsa-RHEL8.xml.bz2'.
   Use '--fetch-remote-resources' option to download it.
   WARNING: Skipping 'https://access.redhat.com/security/data/oval/com.redhat.rhsa-RHEL8.xml.bz2' file
   which is referenced from datastream

2. データストリームによって参照されるローカルファイルの名前を調べます。

   Copy to Clipboard Toggle word wrap

   # oscap info /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml
   ...
   		Referenced check files:
   			ssg-rhel8-oval.xml
   				system: http://oval.mitre.org/XMLSchema/oval-definitions-5
   			ssg-rhel8-ocil.xml
   				system: http://scap.nist.gov/schema/ocil/2
   			security-data-oval-com.redhat.rhsa-RHEL8.xml.bz2
   				system: http://oval.mitre.org/XMLSchema/oval-definitions-5
   ...

3. オンラインのマシンで、不足しているリソースをダウンロードします。

   Copy to Clipboard Toggle word wrap

   # curl -o security-data-oval-com.redhat.rhsa-RHEL8.xml.bz2 https://www.redhat.com/security/data/oval/com.redhat.rhsa-RHEL8.xml.bz2

   重要

   ダウンロードしたファイルの名前が、データストリームによって参照される名前と一致していることを確認してください。

4. ファイルを新しいカスタムファイルタイプコンテンツとして、Satellite Server に追加します。詳細は、コンテンツの管理 の カスタムファイルタイプコンテンツの管理 を参照してください。

   http://satellite.example.com/pulp/content/My_Organization_Label/Library/custom/My_Product_Label/My_Repo_Label/ など、リポジトリーが公開されている URL をメモします。

5. ホスト上の root のホームディレクトリーにファイルをアップロードするリモートジョブをスケジュールします。たとえば、Run Command - Script Default ジョブテンプレートを使用して、次のコマンドを入力します。

   Copy to Clipboard Toggle word wrap

   # curl -o /root/security-data-oval-com.redhat.rhsa-RHEL8.xml.bz2 http://satellite.example.com/pulp/content/My_Organization_Label/Library/custom/My_Product_Label/My_Repo_Label/security-data-oval-com.redhat.rhsa-RHEL8.xml.bz2

   リモートジョブの実行の詳細は、ホストの管理 の リモートジョブの実行 を参照してください。

6. コンプライアンスポリシーのデプロイに進みます。

手順

1. Satellite Web UI で、Configure > Host Groups に移動します。
2. OpenSCAP レポート用に設定するホストグループをクリックします。
3. OpenSCAP Capsule リストから、使用する OpenSCAP が有効な Capsule を選択します。
4. Ansible Roles タブで、foreman.foreman_scap_client Ansible ロールを割り当てます。
5. オプション: Parameters タブで、ロールの Ansible 変数を設定します。
6. Submit をクリックして変更を保存します。
7. 必要なホストグループの行で、Actions 列に移動し、Run all Ansible roles を選択します。

手順

1. Satellite Web UI で Hosts > All Hosts に移動して、OpenSCAP レポートを設定するホストで、Edit をクリックします。
2. OpenSCAP Capsule リストから、使用する OpenSCAP が有効な Capsule を選択します。
3. Ansible Roles タブで、theforeman.foreman_scap_client Ansible ロールを追加します。
4. オプション: Parameters タブで、ロールの Ansible 変数を設定します。
5. Submit をクリックして変更を保存します。
6. Hosts ブレッドクラムリンクをクリックして、ホストのインデックスページに戻ります。
7. ポリシーを追加するホストを選択します。
8. Select Action をクリックします。
9. リストから Assign Compliance Policy を選択します。
10. Assign Compliance Policy ウィンドウで、Remember hosts selection for the next bulk action を選択します。
11. 使用可能なポリシーのリストから必要なポリシーを選択し、Submit をクリックします。
12. Select Action をクリックします。
13. リストから Run all Ansible roles を選択します。

手順

1. Satellite Web UI で、Configure > Host Groups に移動します。
2. OpenSCAP レポート用に設定するホストグループをクリックします。
3. Environment リストで、foreman_scap_client* Puppet クラスを含む Puppet 環境を選択します。
4. OpenSCAP Capsule リストで、使用する OpenSCAP が有効になっている Capsule を選択します。
5. Puppet ENC タブで、foreman_scap_client Puppet クラスを追加します。
6. オプション: Puppet Class Parameters を設定します。
7. Submit をクリックして変更を保存します。

手順

1. Satellite Web UI で Hosts > All Hosts に移動して、OpenSCAP レポートを設定するホストで、Edit をクリックします。
2. Environment リストから、foreman_scap_client および foreman_scap_client::params が含まれる Puppet 環境を選択します。
3. OpenSCAP Capsule リストから、使用する OpenSCAP が有効な Capsule を選択します。
4. Puppet ENC タブで、foreman_scap_client Puppet クラスを追加します。
5. オプション: Puppet Class Parameters を設定します。
6. Hosts ブレッドクラムリンクをクリックして、ホストのインデックスページに戻ります。
7. ポリシーを追加するホストを選択します。
8. Select Action をクリックします。
9. リストから Assign Compliance Policy を選択します。
10. Assign Compliance Policy ウィンドウで、Remember hosts selection for the next bulk action を選択します。
11. 使用可能なポリシーのリストから必要なポリシーを選択し、Submit をクリックします。

手順

1. Satellite Web UI で、Hosts > Reports に移動します。
2. オプション: 空の Search フィールドをクリックすると、利用可能な検索パラメーターがリスト表示されます。
3. Search フィールドに検索クエリーを入力し、Search をクリックします。検索クエリーでは大文字と小文字は区別されません。

手順

1. Satellite Web UI で、Hosts > Policies に移動します。
2. 必要なポリシーの行で、Actions 列に移動し、Dashboard をクリックします。

手順

1. Satellite Web UI で、Hosts > Reports に移動します。
2. Reported At 列で、必要なホストとコンプライアンスポリシーのレポートに移動し、時刻のリンクをクリックします。
3. Satellite で、ポリシールールの簡略化されたリストとスキャンの結果が表示されます。

4. オプション: チェック結果によってルールをフィルターします。Show log messages ドロップダウンリストから、次のフィルターのいずれかを選択します。

   • Failed and othered - 不合格となったルール、またはスキャン中にチェックされなかったルールを表示します。
   • Failed only - 不合格となったルールのみを表示します。
5. オプション: ルールの詳細を調べます。Message 列で、ルール名の横にあるアイコンをクリックします。
6. 必要なルールの行で、Actions 列に移動し、Hosts failing this rule をクリックします。

手順

1. Satellite Web UI で、Hosts > Reports に移動して、すべてのコンプライアンスレポートをリスト表示します。
2. 必要なホストの行で、Actions 列に移動し、Full Report をクリックして、評価レポートの完全な詳細を表示します。
3. Evaluation Characteristics エリアに移動して、特定のプロファイルに対するホストの評価に関する基本情報を確認します。
4. Compliance and Scoring エリアに移動して、評価の統計情報とホストのコンプライアンススコアを確認します。
5. Rule Overview に移動してルールを調べます。
6. オプション: pass、notapplicable、または fix など、非表示にするチェックステータスの選択を解除します。
7. オプション: Group rule by ドロップダウンメニューから、Severity などのルールのグループ化の基準を選択します。
8. オプション: 検索フィールドに検索文字列を入力して、ルールをタイトルでフィルターします。検索は大文字と小文字を区別せず、入力時に動的に適用されます。

9. ルールのタイトルをクリックして、結果の詳細を調べます。

   • ルールの説明と、ホストのコンプライアンスを満たすための指示 (利用できる場合)。
   • ルールの根拠。
   • 場合により、修復スクリプト。

手順

1. Satellite Web UI で、Hosts > Reports に移動します。
2. コンプライアンスレポートウィンドウで、削除するポリシーを特定し、ポリシーの名前の右側にある Delete を選択します。
3. OK をクリックします。

手順

1. Satellite Web UI で、Hosts > Reports に移動します。
2. コンプライアンスレポートウィンドウで、削除するコンプライアンスレポートを選択します。
3. リストの右上の Delete reports を選択します。
4. 削除するページ数だけ、この手順を繰り返します。