From 0061a7d83e8201fb96fed7844df0a9f32b863595 Mon Sep 17 00:00:00 2001 From: Rocky Linux Automation <75949597+rockylinux-auto@users.noreply.github.com> Date: Tue, 6 Jun 2023 11:05:16 -0400 Subject: [PATCH 1/5] New translations disa_stig_part2.md (Ukrainian) --- docs/books/disa_stig/disa_stig_part2.uk.md | 110 +++++++++++++++++++++ 1 file changed, 110 insertions(+) create mode 100644 docs/books/disa_stig/disa_stig_part2.uk.md diff --git a/docs/books/disa_stig/disa_stig_part2.uk.md b/docs/books/disa_stig/disa_stig_part2.uk.md new file mode 100644 index 0000000000..c09ab97c61 --- /dev/null +++ b/docs/books/disa_stig/disa_stig_part2.uk.md @@ -0,0 +1,110 @@ +--- +title: Перевірка сумісності DISA STIG із OpenSCAP – Частина 2 +author: Scott Shinn +contributors: Steven Spencer +tested with: 8.6 +tags: + - DISA + - STIG + - безпека + - enterprise +--- + +# Вступ + +У попередній статті ми налаштували нову систему Linux 8 із застосуванням DISA stig за допомогою [OpenSCAP](https://www.openscap.org). Тепер ми розглянемо, як перевірити систему за допомогою тих самих інструментів, і розглянемо, які типи звітів ми можемо створювати за допомогою інструментів oscap і аналога SCAP Workbench для інтерфейсу користувача. + +Rocky Linux 8 (і 9!) містить набір вмісту [SCAP](https://csrc.nist.gov/projects/security-content-automation-protocol) для тестування та виправлення відповідності проти різних стандартів. Якщо ви створили систему STIG’d у частині 1, ви вже бачили це в дії. Інсталятор anaconda використовував цей вміст, щоб змінити конфігурацію rocky 8 для впровадження різних елементів керування, встановлення/видалення пакетів і зміни способу роботи точок монтування рівня ОС. + +З часом ці речі можуть змінитися, і ви захочете стежити за цим. Часто я також використовую ці звіти, щоб показати доказ того, що певний контроль було реалізовано правильно. У будь-якому випадку, це запекло в Rocky. Ми почнемо з деяких основ. + +## Список профілів безпеки + +Щоб отримати список доступних профілів безпеки, нам потрібно використати команду `oscap info`, яку надає пакет `openscap-scanner`. Це має бути вже встановлено у вашій системі, якщо ви стежите за цим, починаючи з частини 1. Щоб отримати доступні профілі безпеки: + +``` +oscap info /usr/share/xml/scap/ssg/content/ssg-rl8-ds.xml +``` + +!!! нотатка + + Вміст Rocky Linux 8 використовуватиме тег «rl8» у назві файлу. У Rocky 9 це буде «rl9». + +Якщо все піде добре, ви повинні отримати екран, який виглядає приблизно так: + +![Профілі безпеки](images/disa_stig_pt2_img1.jpg) + +DISA — це лише один із багатьох профілів безпеки, які підтримуються визначеннями Rocky Linux SCAP. У нас також є профілі для: + +* [ANSSI](https://www.ssi.gouv.fr/en/) +* [CIS](https://cisecurity.org) +* [Australian Cyber Security Center](https://cyber.gov.au) +* [NIST-800-171](https://csrc.nist.gov/publications/detail/sp/800-171/rev-2/final) +* [HIPAA](https://www.hhs.gov/hipaa/for-professionals/security/laws-regulations/index.html) +* [PCI-DSS](https://www.pcisecuritystandards.org/) + +## Аудит відповідності DISA STIG + +Тут є два типи на вибір: + +* stig - без графічного інтерфейсу +* stig_gui – з графічним інтерфейсом + +Запуск сканування та створення HTML-звіту для DISA STIG: + +``` +sudo oscap xccdf eval --report unit-test-disa-scan.html --profile stig /usr/share/xml/scap/ssg/content/ssg-rl8-ds.xml +``` + +Це призведе до такого звіту: + +![Результати сканування](images/disa_stig_pt2_img2.jpg) + +І виведе звіт HTML: + +![HTML звіт](images/disa_stig_pt2_img3.jpg) + +## Створення сценаріїв Bash для виправлення + +Далі ми згенеруємо сканування, а потім використаємо результати сканування для створення сценарію bash для відновлення системи на основі профілю stig DISA. Я не рекомендую використовувати автоматичне виправлення, вам слід завжди переглядати зміни перед їх фактичним запуском. + +1) Згенеруйте сканування системи: + ``` + sudo oscap xccdf eval --results disa-stig-scan.xml --profile stig /usr/share/xml/scap/ssg/content/ssg-rl8-ds.xml + ``` +2) Використовуйте цей результат сканування, щоб створити сценарій: + ``` + sudo oscap xccdf generate fix --output draft-disa-remediate.sh --profile stig disa-stig-scan.xml + ``` + +Отриманий сценарій міститиме всі зміни, які він внесе в систему. + +!!! важливо + + Перегляньте це, перш ніж запускати! Це внесе значні зміни в систему. + +![Зміст сценарію](images/disa_stig_pt2_img4.jpg) + +## Створення підручників щодо виправлення + +Ви також можете створити дії з виправлення у форматі ansible playbook. Давайте повторимо наведений вище розділ, але цього разу з виводом ansible: + +1) Згенеруйте сканування системи: + ``` + sudo oscap xccdf eval --results disa-stig-scan.xml --profile stig /usr/share/xml/scap/ssg/content/ssg-rl8-ds.xml + ``` +2) Використовуйте цей результат сканування, щоб створити сценарій: + ``` + sudo oscap xccdf generate fix --fix-type ansible --output draft-disa-remediate.yml --profile stig disa-stig-scan.xml + ``` + +!!! важливо + + Знову ж таки, перегляньте це перед запуском! Ви відчуваєте тут закономірність? Цей етап перевірки для всіх цих процедур дуже важливий! + +![Ansible Playbook](images/disa_stig_pt2_img5.jpg) + +## Про автора + +Скотт Шінн є технічним директором Atomicorp і є частиною команди Rocky Linux Security. Він брав участь у федеральних інформаційних системах Білий дім, Міністерство оборони та розвідки з 1995 року. Частково це було створення STIG і вимоги що ви використовуєте їх, і мені дуже шкода про це. + From 34ade21cf26042cd22b86ee82b02756f923c80fe Mon Sep 17 00:00:00 2001 From: Rocky Linux Automation <75949597+rockylinux-auto@users.noreply.github.com> Date: Tue, 6 Jun 2023 13:10:40 -0400 Subject: [PATCH 2/5] New translations disa_stig_part1.md (Ukrainian) --- docs/books/disa_stig/disa_stig_part1.uk.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/docs/books/disa_stig/disa_stig_part1.uk.md b/docs/books/disa_stig/disa_stig_part1.uk.md index 2d69bc002f..09816132c6 100644 --- a/docs/books/disa_stig/disa_stig_part1.uk.md +++ b/docs/books/disa_stig/disa_stig_part1.uk.md @@ -24,7 +24,7 @@ tags: У цьому посібнику ми розповімо, як застосувати [DISA STIG для RHEL8](https://www.stigviewer.com/stig/red_hat_enterprise_linux_8/) для нової інсталяції Rocky Linux 8. Оскільки серія складається з багатьох частин, ми також розповімо, як перевірити відповідність STIG, адаптувати параметри STIG і застосувати інший вміст STIG у цьому середовищі. -Rocky Linux — це похідна від RHEL 8, і тому вміст, опублікований для DISA RHEL8 STIG, є однаковим для обох операційних систем. Навіть краща новина: застосування параметрів STIG вбудовано в інсталятор Rocky Linux 8 anaconda в розділі «Профілі безпеки». Під капотом усе це працює за допомогою інструменту під назвою [OpenSCAP](https://www.open-scap.org/), який дозволяє вам налаштувати систему на сумісність із DISA STIG (швидко!), а також перевірити відповідність системи після встановлення. +Rocky Linux — це похідна від RHEL, і тому вміст, опублікований для DISA RHEL8 STIG, є однаковим для обох операційних систем. Навіть краща новина: застосування параметрів STIG вбудовано в інсталятор Rocky Linux 8 anaconda в розділі «Профілі безпеки». Під капотом усе це працює за допомогою інструменту під назвою [OpenSCAP](https://www.open-scap.org/), який дозволяє вам налаштувати систему на сумісність із DISA STIG (швидко!), а також перевірити відповідність системи після встановлення. Я буду робити це на віртуальній машині у своєму середовищі, але все тут буде застосовано точно так само на чистому залізі. From 4969d3d20274b7322d57fa51fadb98b06838f78d Mon Sep 17 00:00:00 2001 From: Rocky Linux Automation <75949597+rockylinux-auto@users.noreply.github.com> Date: Tue, 6 Jun 2023 13:11:15 -0400 Subject: [PATCH 3/5] New translations 14-special-authority.md (Ukrainian) --- docs/books/admin_guide/14-special-authority.uk.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/docs/books/admin_guide/14-special-authority.uk.md b/docs/books/admin_guide/14-special-authority.uk.md index 3e824185b4..0d24c4f91e 100644 --- a/docs/books/admin_guide/14-special-authority.uk.md +++ b/docs/books/admin_guide/14-special-authority.uk.md @@ -142,7 +142,7 @@ Shell > setfacl