第 6 章扫描系统以了解配置合规性和漏洞

合规审计是一个确定给定对象是否遵循合规策略中指定的所有规则的流程。合规策略由安全专业人员定义的，他们通常以检查清单的形式指定计算环境应使用的必要设置。

跨组织甚至同一组织内不同系统之间的合规政策可能有很大差异。这些政策之间的差异取决于每个系统的用途及其对组织的重要性。自定义软件设置和部署特征也需要自定义策略检查表。

6.1. RHEL 中的配置合规工具

您可以使用以下配置合规工具在 Red Hat Enterprise Linux 中执行完全自动化的合规审计。这些工具基于安全内容自动化协议(SCAP)标准，专为自动定制合规策略而设计。

SCAP 工作台: scap-workbench 图形工具旨在对单个本地或远程系统执行配置和漏洞扫描。您还可以根据这些扫描和评估，使用它来生成安全报告。
OpenSCAP: 带有 oscap 命令行工具的 OpenSCAP 库旨在对本地系统执行配置和漏洞扫描，以验证配置合规内容，并根据这些扫描和评估生成报告和指南。
重要
在使用 OpenSCAP 时可能会遇到内存消耗问题，这可能会导致程序过早停止，并阻止生成任何结果文件。详情请查看 OpenSCAP 内存消耗问题知识库文章。
SCAP 安全指南(SSG): scap-security-guide 软件包为 Linux 系统提供安全策略的集合。该指南包括一个实用强化建议目录，在适用的情况下与政府的要求相关联。该项目弥补了一般性政策要求和具体实施指南间的差距。
脚本检查引擎(SCE): 通过 SCE（即 SCAP 协议的扩展），管理员可以使用脚本语言（如 Bash、Python 和 Ruby）编写其安全内容。SCE 扩展在 openscap-engine-sce 软件包中提供。SCE 本身不是 SCAP 标准的一部分。

要在多个系统上远程执行自动合规审计，您可以使用 Red Hat Satellite 的 OpenSCAP 解决方案。

其它资源