Red Hat Training

A Red Hat training course is available for RHEL 8

Capítulo 6. Verificação do sistema para conformidade e vulnerabilidades de configuração

Uma auditoria de conformidade é um processo para determinar se um determinado objeto segue todas as regras especificadas em uma política de conformidade. A política de conformidade é definida por profissionais de segurança que especificam as configurações necessárias, muitas vezes na forma de uma lista de verificação, que um ambiente de computação deve utilizar.

As políticas de conformidade podem variar substancialmente entre organizações e até mesmo entre diferentes sistemas dentro de uma mesma organização. As diferenças entre estas políticas são baseadas no propósito de cada sistema e sua importância para a organização. As configurações personalizadas do software e as características de implantação também levantam uma necessidade de listas de verificação de políticas personalizadas.

6.1. Ferramentas de conformidade de configuração na RHEL

O Red Hat Enterprise Linux fornece ferramentas que permitem que você realize uma auditoria de conformidade totalmente automatizada. Estas ferramentas são baseadas no padrão Security Content Automation Protocol (SCAP) e são projetadas para a adaptação automatizada das políticas de conformidade.

  • SCAP Workbench - O utilitário gráfico scap-workbench é projetado para realizar varreduras de configuração e vulnerabilidade em um único sistema local ou remoto. Você também pode usá-lo para gerar relatórios de segurança com base nestas varreduras e avaliações.
  • OpenSCAP - A biblioteca OpenSCAP, com o utilitário de linha de comando oscap, foi projetada para realizar varreduras de configuração e vulnerabilidade em um sistema local, para validar o conteúdo de conformidade de configuração e para gerar relatórios e guias baseados nessas varreduras e avaliações.
  • SCAP Security Guide (SSG) - O pacote scap-security-guide fornece a mais recente coleção de políticas de segurança para sistemas Linux. A orientação consiste em um catálogo de conselhos práticos de endurecimento, ligados às exigências governamentais, quando aplicável. O projeto faz a ponte entre os requisitos de políticas generalizadas e diretrizes específicas de implementação.
  • Script Check Engine (SCE) - O SCE é uma extensão do protocolo SCAP que permite aos administradores escrever seu conteúdo de segurança usando uma linguagem de script, como Bash, Python e Ruby. A extensão SCE é fornecida no pacote openscap-engine-sce. O SCE em si não faz parte do padrão SCAP.

Para realizar auditorias de conformidade automatizadas em múltiplos sistemas remotamente, você pode usar a solução OpenSCAP para o Red Hat Satellite.

Recursos adicionais

  • oscap(8) - A página do manual do utilitário de linha de comando oscap fornece uma lista completa de opções disponíveis e explicações sobre seu uso.
  • Demonstrações de segurança da Red Hat: Criando Conteúdo de Política de Segurança Personalizada para Automatizar a Conformidade de Segurança - Um laboratório prático para obter experiência inicial na automatização da conformidade de segurança usando as ferramentas incluídas no Red Hat Enterprise Linux para cumprir tanto as políticas de segurança padrão da indústria quanto as políticas de segurança personalizadas. Se você deseja treinamento ou acesso a estes exercícios de laboratório para sua equipe, contate sua equipe de conta da Red Hat para obter detalhes adicionais.
  • Demonstrações de segurança da Red Hat: Defenda-se com as Tecnologias de Segurança RHEL - Um laboratório prático para aprender como implementar segurança em todos os níveis de seu sistema RHEL, usando as principais tecnologias de segurança disponíveis no Red Hat Enterprise Linux, incluindo OpenSCAP. Se você deseja treinamento ou acesso a estes exercícios de laboratório para sua equipe, contate sua equipe de conta da Red Hat para obter detalhes adicionais.
  • scap-workbench(8) - A página do manual da aplicação SCAP Workbench fornece informações básicas sobre a aplicação, bem como alguns links para fontes potenciais de conteúdo SCAP.
  • scap-security-guide(8) - A página do manual do projeto scap-security-guide fornece mais documentação sobre os vários perfis de segurança SCAP disponíveis. São fornecidos também exemplos de como utilizar as referências fornecidas usando o utilitário OpenSCAP.
  • Para mais detalhes sobre o uso do OpenSCAP com o Red Hat Satellite, veja Gerenciamento de Conformidade de Segurança no Guia de Administração do Red Hat Satellite.