Red Hat Training

A Red Hat training course is available for RHEL 8

15.11. Evaluación del cumplimiento de la seguridad de un contenedor o una imagen de contenedor con una línea de base específica

Siga estos pasos para evaluar el cumplimiento de su contenedor o de una imagen de contenedor con una línea base de seguridad específica, como el Perfil de Protección del Sistema Operativo (OSPP) o el Estándar de Seguridad de Datos de la Industria de las Tarjetas de Pago (PCI-DSS).

Nota

El comando oscap-podman está disponible a partir de RHEL 8.2. Para RHEL 8.1 y 8.0, utilice la solución descrita en el artículo de la base de conocimientos Using OpenSCAP for scanning containers in RHEL 8.

Requisitos previos

  • Los paquetes openscap-utils y scap-security-guide están instalados.

Procedimiento

  1. Obtiene el ID de un contenedor o de una imagen de contenedor, por ejemplo: 

    # podman images
REPOSITORY                            TAG      IMAGE ID       CREATED       SIZE
registry.access.redhat.com/ubi8/ubi   latest   096cae65a207   7 weeks ago   239 MB

  2. Evaluar la conformidad de la imagen del contenedor con el perfil OSPP y guardar los resultados del escaneo en el archivo HTML report.html 

    # oscap-podman 096cae65a207 xccdf eval --report report.html --profile ospp /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml

    Sustituya 096cae65a207 por el ID de su imagen de contenedor y el valor ospp por pci-dss si evalúa el cumplimiento de la seguridad con la línea de base PCI-DSS. Tenga en cuenta que el comando oscap-podman requiere privilegios de root.

Pasos de verificación

  1. Compruebe los resultados en un navegador de su elección, por ejemplo: 

    $ firefox report.html &
Nota

Las reglas marcadas como notapplicable son reglas que no se aplican a los sistemas en contenedores. Estas reglas sólo se aplican a los sistemas bare-metal y virtualizados.

Recursos adicionales

  • Para más información, consulte las páginas de manual oscap-podman(8) y scap-security-guide(8).
  • La documentación de SCAP Security Guide instalada en el file:///usr/share/doc/scap-security-guide/ directorio.