Konuyu Açan
#1
OpenSCAP ile Uyumluluk Kontrolü
1) OpenSCAP nedir ve temel bileşenler
OpenSCAP, güvenlik açısından uyumu doğrulamak için kullanılan açık kaynaklı bir araç setidir. core bileşenleri şunları içerir:
oscap komutu: tarama ve raporlama için ana uç noktadır. SSG (SCAP Security Guide) standartlarına göre tanımlı politikaları uygular.
scap-security-guide (SSG): güvenlik politikası içeriğini sağlayan ve hedef işletim sistemine göre uyarlanmış profil setlerini barındırır.
xccdf ve ocil: xccdf, kontrol tanımlarını; ocil ise kurallarla ilişkilendirilmiş kanıtları (testler) temsil eder.
Kullanıcılar genellikle Red Hat, Debian türevleri gibi Linux tabanlı sistemlerde, tarama sonuçlarını HTML veya XML raporları olarak alır.
2) Ortam ve hedef hazırlığı
3) Temel tarama akışı ve örnek komutlar
4) Sonuçları yorumlama ve eyleme dönüştürme
5) Entegre akışlar ve otomasyon
Bu konu hakkında kendi ortamınızda karşılaştığınız belirli bir hata mesajı veya hedef profili var mı? Hangi sürüm ve dağıtım üzerinde çalışıyorsunuz, ona göre daha somut komutlar ve profil önerileri paylaşayım.
Güvenlik politikalarını uygularken hangi adımları izlediğinizi ve araçların nasıl çalıştığını netleştirmek, güvenlik düzenlemelerini günlük operasyonlara entegre etmek için faydalı olur. Bu yazıda, OpenSCAP ile uyumluluk kontrolünü adım adım ele alacağım; kurulumdan temel tarama, raporlama ve güvenlik politikalarının entegrasyonuna kadar somut örneklerle ilerleyeceğiz.
1) OpenSCAP nedir ve temel bileşenler
OpenSCAP, güvenlik açısından uyumu doğrulamak için kullanılan açık kaynaklı bir araç setidir. core bileşenleri şunları içerir:
Kullanıcılar genellikle Red Hat, Debian türevleri gibi Linux tabanlı sistemlerde, tarama sonuçlarını HTML veya XML raporları olarak alır.
2) Ortam ve hedef hazırlığı
- Kapsamı belirleyin: hangi hizmetler, hangi kullanıcı grupları, hangi sürümler taranacak? Örneğin, sunucu üzerinde ssh, web server, ve container motorları gibi bileşenler.
- Erişim hakları: root yetkisiyle çalışmak çoğu kuralı doğrudan test eder. SSH üzerinden uzaktan tarama yapılacaksa SSH anahtar tabanlı oturum açma ve uygun güvenlik politikalarının devrede olduğundan emin olun.
- SSG profili seçimi: örneğin basit bir “misafir sunucu” profili ile başlayıp, yükseltici bir profil olan “stig” veya “cis-like” profillere geçiş yapılabilir. Profil, ihtiyaçlarınızla uyumlu olan güvenlik hedeflerini taşır.
3) Temel tarama akışı ve örnek komutlar
- En güncel SSG içeriğini edinmek için scap-security-guide depolarını kullanın veya OS paket yöneticinizle güncelleyin.
- Temel bir tarama komutu örneği:
KOD
123
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_standard \
--results results.html --report report.html /usr/share/xml/scap/ssg/content/ssg-fedora-ds.xml
- Raporlar, hangi kontrollerin geçtiğini ve nelere dikkat edilmesi gerektiğini gösterir. Erişim hataları veya eksik içerikler görüldüğünde ilgili kuralın versiyonunu, profilini veya hedeflerini uyarlamak gerekir.
4) Sonuçları yorumlama ve eyleme dönüştürme
- Tarama çıktısında “pass” olan kontroller güvenli durumdadır. “fail” veya “notchecked” olarak işaretlenenler için düzeltme adımları gerekir.
- Düzeltme planı: ilgili paket güncellemesi, konfigürasyon değişikliği, servis yeniden başlatma ya da kapatma gibi operasyonları içerir.
- Zaman dosyası ve değişiklik yönetimi: uyumluluk değişikliklerini sürüm kontrolüne almak, gelecekteki taramalarda karşılaştırma yapmayı kolaylaştırır.
5) Entegre akışlar ve otomasyon
- CI/CD boru hatlarına OpenSCAP taramalarını eklemek, her değişiklikten sonra otomatik olarak güvenlik durumunu teyit eder.
- Düzenli tarama görevleri için cron veya sistemd timer kullanın; sonuçları merkezi log yönetimine yönlendirmek, uyumluluk görünürlüğünü artırır.
- Raporları takım içinde paylaşın: güvenlik ekibi ile operasyon ekibi arasındaki iletişimi güçlendirir ve düzeltmeleri hızlandırır.
Bu konu hakkında kendi ortamınızda karşılaştığınız belirli bir hata mesajı veya hedef profili var mı? Hangi sürüm ve dağıtım üzerinde çalışıyorsunuz, ona göre daha somut komutlar ve profil önerileri paylaşayım.
