5.3. 配置合规补救

步骤

1. 使用 oscap 命令和 --remediate 选项修复系统：

   # oscap xccdf eval --profile <profile_ID> --remediate /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard

   将 <profile_ID > 替换为系统应该遵守的配置集 ID，例如 hipaa。

2. 重启您的系统。

验证

1. 使用配置文件评估系统合规性，并将扫描结果保存到一个文件中：

   $ oscap xccdf eval --report <scan_report.html> --profile <profile_ID> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard

   替换：

   • <scan_report.html >，带有 oscap 保存扫描结果的文件名。
   • <profile_ id> 带有系统应该遵守的配置集 ID，例如 hipaa。

流程

1. 使用 Ansible 修复您的系统，使其与所选配置文件一致：

   # ANSIBLE_COLLECTIONS_PATH=/usr/share/rhc-worker-playbook/ansible/collections/ansible_collections/ ansible-playbook -i "localhost," -c local /usr/share/scap-security-guide/ansible/rhel10-playbook-<profile_ID>.yml

   Copy to Clipboard

   ANSIBLE_COLLECTIONS_PATH 环境变量是运行命令才能运行 playbook 所必需的。

   将 <profile_ID > 替换为所选配置集的配置集 ID。

2. 重新启动系统。

流程

1. 扫描系统并保存结果：

   # oscap xccdf eval --profile <profile_ID> --results <profile_results.xml> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard

2. 在带有结果的文件中找到结果 ID 的值：

   # oscap info <profile_results.xml>

   Copy to Clipboard

3. 根据第 1 步中生成的文件生成 Ansible Playbook：

   # oscap xccdf generate fix --fix-type ansible --result-id xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_<profile_ID> --output <profile_remediations.yml> <profile_results.xml>

   Copy to Clipboard
4. 检查生成的 &lt ;profile_remediations.yml > 文件是否包含在第 1 步中执行的扫描中失败的规则的 Ansible 修复。

5. 使用 Ansible 修复您的系统，使其与所选配置文件一致：

   # ANSIBLE_COLLECTIONS_PATH=/usr/share/rhc-worker-playbook/ansible/collections/ansible_collections/ ansible-playbook -i "localhost," -c local <profile_remediations.yml>`

   Copy to Clipboard

   ANSIBLE_COLLECTIONS_PATH 环境变量是运行命令才能运行 playbook 所必需的。

   警告

   如果不小心使用，在启用了 Remediate 选项的情况下运行系统评估可能会导致系统无法正常工作。红帽不提供任何自动的方法来恢复由安全补救补救所做的更改。默认配置的 RHEL 系统支持自动安全补救功能。如果在安装后更改了您的系统，运行修复可能无法使其遵守所需的安全配置文件。