SUSE 簡介

"Software und System Entwicklung"的簡寫，意思是軟體及系統開發(Software and System Development)

企業版vs社群版

認識 SUSE Linux

• 認識 SUSE Linux

• 全離線安裝 SUSE Linux Enterprise

• 檔案系統 - Btrfs(Copy-on-write)

• 設定防火牆 - Yast

• 文字視窗管理工具 - Yast

• SUSE Linux Enterprise 網路設定

• 套件管理 - zypper

應用環境

檔案系統比較

• Btrfs(Copy-on-write): SUSE

• Xfs(家目錄， NO Copy-on-write) : Red Hat Enterprise Linux 7/CentOS，處裡大量資料

• EXT4 : Ubuntu.Alpine

套件管理

• Ubuntu: apt

• SUSE: zypper

SUSE Linux Security

1. 資訊安全的重要性

2. 國際安全認證介紹

3. 台灣金融機構組態基準合規介紹: TWGCB, FCB

4. 使用 OpenSCAP 強化 SUSE Linux Enterprise

5. 漏洞掃描

6. 漏洞修復

SUSE每個使用者都可以使用Sudo

使用 OpenSCAP 強化 SUSE Linux Enterprise

什麼是 SCAP 和 OpenSCAP？

SCAP

• 安全內容自動化協議，全名 : Security Content Automation Protocol

• 這是一個框架，支持對系統進行自動化配置、漏洞掃描和政策符合性評估。

OpenVulnerability and Assessment Language (OVAL) 一種 XML 格式，用於測試分析系統是否在特定的狀態。

Extensible Configuration Checklist Description Format (XCCDF)

一種 XML 格式，用於指定規範以及對應作業系統的設定檔，例如 STIG、HIPAA、PCI-DSS 或 ANSSI。

OpenSCAP

• 根據 SCAP Security Guide，以自動化方式檢查系統。

• 是為 Linux 實現 SCAP 框架的開源工具的集合

安裝 OpenSCAP 套件

oscap 是一個命令列介面，可以用來掃描本地機器。在本地機器上需要安裝 openscap-utils 和 scap-security-guide 兩個套件。

sudo zypper in openscap-utils scap-security-guide

SCAP Security Guide 重要目錄介紹

/usr/share/xml/scap/ssg/content/

此目錄存放每個規範在 SUSE Linux Enterprise 版本 ( 12 或 15）的設定方法，例如 : 網路設定的檔案會有不同的檔名。

/usr/share/doc/scap-security-guide/guides/

不同強化策略的設定文件。它們描述了 DataStream 文件中包含的設定文件。每個設定文件都是關於如何根據期望系統遵守的法規保護作業系統的指南。

/usr/share/scap-security-guide

包含帶有修復腳本的子目錄，這些腳本可用於在掃描期間發現漏洞時修復目標系統。

漏洞掃描

透過 OSCAP 掃描 SUSE Linux Enterprise system

sudo oscap xccdf eval \
    --profile stig \
    --results /tmp/results.xml \
    --report /tmp/report.html \
    /usr/share/xml/scap/ssg/content/ssg-sle15-ds-1.2.xml

scp -r /tmp/report.html [email protected]:./Reports/

透過 OpenSCAP 修復漏洞

sudo oscap xccdf eval --remediate \
     --profile stig \
     --results /tmp/results.xml \
     /usr/share/xml/scap/ssg/content/ssg-sle15-ds-1.2.xml

sudo oscap xccdf eval \
    --profile stig \
    --results /tmp/results2.xml \
    --report /tmp/report2.html \
    /usr/share/xml/scap/ssg/content/ssg-sle15-ds-1.2.xml

scp -r /tmp/report2.html [email protected]:./Reports/