15.4. Verificação da conformidade da configuração

Você pode usar a varredura de conformidade de configuração para estar em conformidade com uma linha de base definida por uma organização específica. Por exemplo, se você trabalhar com o governo dos EUA, poderá ter que estar em conformidade com o Perfil de Proteção do Sistema Operacional (OSPP), e se você for um processador de pagamento, poderá ter que estar em conformidade com o Payment Card Industry Data Security Standard (PCI-DSS). Você também pode realizar a verificação de conformidade da configuração para reforçar a segurança de seu sistema.

A Red Hat recomenda que você siga o conteúdo do Protocolo de Automação de Conteúdo de Segurança (SCAP) fornecido no pacote do Guia de Segurança SCAP porque ele está de acordo com as melhores práticas da Red Hat para os componentes afetados.

O pacote do Guia de Segurança SCAP fornece conteúdo em conformidade com as normas SCAP 1.2 e SCAP 1.3. O utilitário openscap scanner é compatível com o conteúdo SCAP 1.2 e SCAP 1.3 fornecido no pacote do Guia de Segurança SCAP.

O conjunto SCAP Security Guide fornece perfis para várias plataformas em uma forma de documentos de fluxo de dados. Um fluxo de dados é um arquivo que contém definições, benchmarks, perfis e regras individuais. Cada regra especifica a aplicabilidade e os requisitos de conformidade. O RHEL 8 fornece vários perfis para a conformidade com as políticas de segurança. Além do padrão do setor, os fluxos de dados da Red Hat também contêm informações para a remediação de regras falhadas.

Data stream
   ├── xccdf
   |      ├── benchmark
   |            ├── profile
   |                ├──rule
   |                    ├── xccdf
   |                         ├── oval reference
   ├── oval                  ├── ocil reference
   ├── ocil                  ├── cpe reference
   └── cpe                   └── remediation

Um perfil é um conjunto de regras baseadas em uma política de segurança, como o Perfil de Proteção do Sistema Operacional (OSPP) ou a Norma de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS). Isto permite auditar o sistema de forma automatizada para o cumprimento das normas de segurança.

Você pode modificar (adaptar) um perfil para personalizar certas regras, por exemplo, o comprimento da senha. Para mais informações sobre personalização de perfis, consulte Personalizando um Perfil de Segurança com o SCAP Workbench.