CentOS 7でOpenSCAPを使ったセキュリティチェックを行う
Pocket

今回は、OpenSCAPというツールをCentOSにインストールして、パッケージの脆弱性やセキュリティ設定のスキャンを行わせてみる。
OpenSCAPというツールに関する概要は、以下が詳しい。

その他、Spacewalkなどで統合管理をしつつ、定期的なスキャンを行わせることもできるようだ(クライアントとなるサーバにパッケージが必要みたいだが)。
というわけで、今回はこのOpenSCAPをCentOS 7にインストールして、一通りのスキャンを行わせてみる。
なお、当たり前ではあるがrpmなどを用いてのパッケージしかスキャンはできないので、自前でコンパイルしたようなプログラムについては確認できないので注意。可能な限りrpmファイルを作ってインストールするようにするか、個別管理するのがいいだろう。

 

1.インストール

まずは、以下のコマンドでOpenSCAPのインストールをする。

yum install -y openscap-utils openscap-content

 

これで、OpenSCAPはインストールができた。

Sponsored Links

2.セキュリティスキャンを行う

OpenSCAPでは、スキャンに利用するセキュリティ情報ファイルが必要になる。
Redhatの提供しているOVAL・XCCDFファイルがあるので、それをダウンロードしてくる。

wget http://www.redhat.com/security/data/metrics/com.redhat.rhsa-all.xccdf.xml
wget http://www.redhat.com/security/data/oval/com.redhat.rhsa-all.xml

 

取得したファイルを元に、脆弱性の確認を行う。
コンソール上でだけで確認する場合は以下。

oscap xccdf eval ~.xml # XCCDF形式のファイルを使用する場合
oscap oval eval ~.xml # OVAL形式のファイルを使用する場合

 

出力結果はこんな感じ。

20161113_181727000001

 

とはいえ、このままだと読みにくい。
以下のオプションを付与することで、スキャン結果をxmlやhtml形式に出力してくれる。
その他oscapコマンドの使い方については、こちらのRedhatの提供しているドキュメントが詳しい。

  • –results <file_path> … 結果をxml形式で出力
  • –report <file_path> … 結果をhtml形式で出力

 

html形式のレポートの場合、以下のような出力が得られる。

20161113_194709000000

 

エージェントが必要、問題のあるパッケージのみを取得できないという意味ではVulsの方がいい感じなのだが、OpenSCAPの場合は使用するポリシーファイルに応じていろいろなチェックができるのがよさそうだ。
今回はRedhatの提供しているポリシーを使ったが、The SCAP Security Guide project(SSG)というプロジェクトで提供しているポリシーもあるので、状況に応じてポリシーを使い分けてやるといいだろう。

 

Pocket

Written by blacknon

インフラ系のSE。一時期はプログラマ。 仮想化とオープンソースに興味あり。一日中寝てたい今日このごろ。 スペインとかで働きたいなぁ…(シエスタがあるので)

Leave a Comment

メールアドレスが公開されることはありません。