Verificação de um host Linux em relação a uma baseline com o OpenSCAP

Objetivo

Avaliar um host Linux em relação a um perfil de segurança publicado, usando o OpenSCAP, e produzir um relatório que mostre exatamente quais verificações passam, falham ou não se aplicam.

Pré-requisitos

Privilégios de root (uma verificação sem root não consegue ler muitos dos arquivos e configurações que as regras inspecionam). Em sistemas da família RHEL, o pacote openscap-scanner fornece o oscap e o scap-security-guide fornece o conteúdo, ou seja, um arquivo de data stream como /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml (ssg-rhel8-ds.xml e ssg-rhel10-ds.xml para outras versões; liste o diretório em vez de adivinhar o nome). Outras distribuições empacotam o conteúdo com nomes diferentes ou nem o empacotam. O projeto chamava-se originalmente SCAP Security Guide (SSG) e distribui um arquivo de data stream para cada produto suportado.

Passos

1. Liste os perfis disponíveis em um arquivo de data stream: oscap info /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml. Cada perfil tem um ID, como xccdf_org.ssgproject.content_profile_cis; quais perfis existem (níveis do CIS, STIG, OSPP etc.) depende da versão do conteúdo, portanto copie o ID a partir desta saída.
2. Execute uma avaliação com o perfil escolhido, gravando tanto um arquivo de resultados legível por máquina quanto um relatório HTML: oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_cis --results-arf arf.xml --report report.html /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml. O manual do oscap documenta exatamente esta forma: xccdf eval --profile PROFILE_ID ... --report REPORT_FILE. Em scripts, observe que o oscap retorna o código de saída 2 quando a verificação foi concluída, mas pelo menos uma regra falhou, e 1 quando ocorre um erro de fato; não trate todo código de saída diferente de zero como uma verificação com defeito.
3. Abra o report.html (ou copie-o para fora do host) e leia as contagens de pass/fail/notapplicable por regra antes de alterar qualquer coisa.
4. É possível gerar um script de remediação a partir dos resultados com oscap xccdf generate fix --fix-type bash --output fix.sh --result-id <id> arf.xml (ou --fix-type ansible). Leia cada comando dele: é um ponto de partida, não um script para passar direto a um shell. Evite oscap xccdf eval --remediate em hosts de produção, pois ele aplica todas as correções do perfil durante a verificação.
5. Aplique apenas as remediações revisadas e aceitas e, em seguida, execute novamente o mesmo comando oscap xccdf eval para confirmar que as regras em questão agora passam.
6. Guarde o par arf.xml/report.html datado como registro de auditoria daquele host e daquela versão do perfil.

Resultado esperado

Um relatório que lista todas as regras do perfil escolhido com o status pass/fail/notapplicable/error, reproduzível ao executar novamente o mesmo comando com o mesmo arquivo de data stream.

Limites e base de verificação

O oscap informa o estado de um sistema em relação às verificações de um perfil; ele não garante, por si só, que essas verificações sejam adequadas para uma determinada carga de trabalho. Revise antes de remediar (veja o artigo sobre baseline CIS/STIG). Nada aqui é desfeito com um único comando: faça backup de qualquer arquivo de configuração que o oscap ou sua remediação modifique antes de executá-la, como em qualquer outra edição manual. Não é necessário reiniciar para executar uma verificação; um passo de remediação pode exigir reinicialização, dependendo do que altera.