9.3. 将强化的系统升级到安全基线
要在成功升级到 RHEL 8 后获得完全强化的系统，您可以使用 OpenSCAP 套件提供的自动化补救功能。OpenSCAP 修复使您的系统符合安全基线，如 PCI-DSS、OSPP 或 ACSC Essential Eight。由于安全产品的发展，配置合规性建议在 Red Hat Enterprise Linux 的主版本之间有所不同。
当升级一个强化的 RHEL 7 系统时，Leapp 工具 不 提供保持完整强化的直接方法。根据组件配置中的更改，该系统可能会在升级过程中偏离 RHEL 8 的建议。
您不能使用同样的 SCAP 内容来扫描 RHEL 7 和 RHEL 8。如果系统的合规性是由像 Red Hat Satellite 或 Red Hat Insights 这样的工具管理的，则更新管理平台。
作为自动化修复的替代方法，您可以按照 OpenSCAP 生成的报告手动进行更改。有关生成合规性报告的详情，请参考 扫描系统以了解安全合规性和漏洞。
根据流程自动强化带有 PCI-DSS 配置文件的系统。
在默认配置中，自动化修复支持 RHEL 系统。因为安装后已更改了系统升级，因此运行修复可能无法使其完全遵从所需的安全配置文件。您可能需要手动修复一些要求。
先决条件
-
scap-security-guide软件包安装在 RHEL 8 系统上。
流程
查找合适的安全合规数据流
.xml文件：$ ls /usr/share/xml/scap/ssg/content/ ssg-firefox-cpe-dictionary.xml ssg-rhel6-ocil.xml ssg-firefox-cpe-oval.xml ssg-rhel6-oval.xml ... ssg-rhel6-ds-1.2.xml ssg-rhel8-oval.xml ssg-rhel8-ds.xml ssg-rhel8-xccdf.xml ...如需更多信息，请参阅 查看合规性配置文件 章节。
根据从合适的数据流所选的配置文件来修复系统：
# oscap xccdf eval --profile pci-dss --remediate /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml您可以根据您要强化系统的配置文件的 ID 来替换
--profile参数中的pci-dss值。有关 RHEL 8 中所支持的配置文件的完整列表，请参阅 RHEL 中所支持的 SCAP 安全配置文件。警告如果没有谨慎使用，在启用 Remediate 选项的情况下运行系统评估可能会导致系统无法正常工作。红帽不提供任何自动的方法来恢复由强化安全的修复所做的更改。在 RHEL 系统上的默认配置中支持修复。如果在安装后更改了您的系统，运行修复可能无法使其遵守所需的安全配置文件。
重启您的系统：
# reboot
验证
验证系统是否遵从配置文件，并将结果保存到 HTML 文件中：
$ oscap xccdf eval --report pcidss_report.html --profile pci-dss /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml
其他资源
-
scap-security-guide(8)和oscap(8)手册页 - 扫描系统以了解安全合规和漏洞
- Red Hat Insights 安全策略文档
- Red Hat Satellite 安全策略文档
