كيفية تعزيز أمان نظام SLES 15 للامتثال لمعايير STIG: سير عمل OpenSCAP آمن

يتطلب تعزيز أمان خادم SUSE Linux Enterprise Server 15 (SLES 15) للامتثال لمعايير دليل التنفيذ الفني الأمني ​​(STIG) أكثر من مجرد تشغيل ماسح ضوئي. ابدأ بمطابقة حزمة الخدمة المثبتة مع قائمة التحقق الحالية الصادرة عن وكالة نظم معلومات الدفاع (DISA) ومحتوى SCAP، ثم قم بتقييم أداء الجهاز، وراجع كل نتيجة بحث لتحديد تأثيرها على الخدمة، وقم بمعالجتها في بيئة اختبار، ثم أعد المسح. احتفظ بنتائج المسح القابلة للقراءة آليًا وقائمة التحقق من معايير STIG التي تمت مراجعتها يدويًا كدليل.

ملاحظة الإصدار الحالية، تم التحقق منها في 6 أكتوبر 2026: تُظهر قائمة DISA الخاصة بشركة SUSE معيار SLES 15 STIG برقم V2R8 ، بتاريخ 10 يوليو 2026. أما معيار SLES 15 SCAP Benchmark المُدرج بشكل منفصل فهو V2R9 ، بتاريخ 10 يوليو 2026 أيضًا. تنتمي هذه المراجعات إلى ملفات منفصلة، ​​لذا يُرجى التحقق من كليهما قبل إجراء الفحص. استخدم قائمة التحقق الحالية الخاصة بـ DISA للمراجعة الرسمية، ومحتوى SUSE SCAP المُطابق لإجراء الفحوصات الآلية.

الصور التوضيحية للواجهة أدناه هي رسومات توضيحية برمجية. وهي تُظهر أنواع المعلومات وأمثلة الأوامر التي نوقشت هنا؛ وليست لقطات شاشة لنظام تم مسحه ضوئيًا أو تغييره.

هل يحتاج كل خادم SLES 15 إلى نفس إعدادات STIG؟

استخدم معيار SLES 15 STIG عندما يكون هذا المعيار هو الأساس المطبق على مؤسستك أو عقدك. تنص وكالة نظم معلومات الدفاع (DISA) على أن معايير STIG مطلوبة للأنظمة المتصلة بشبكات وزارة الدفاع الأمريكية؛ وقد تتبناها مؤسسات أخرى من خلال سياساتها أو متطلبات عملائها أو قراراتها المتعلقة بالمخاطر. تأكد من نطاق تطبيقها مع مسؤول الأمن لديك قبل تغيير أي جهاز مضيف.

قد تختلف القيود التشغيلية لخادم الويب، وعقدة قاعدة البيانات، ومضيف SAP، والجهاز المُحصّن. يُعدّ خط الأساس للمنصة نقطة مرجعية واحدة، ولكن لا يزال يتعين تقييم كل قاعدة من حيث قابليتها للتطبيق، والتبعيات، وتأثيرها على الخدمة. قد يؤدي أي اكتشاف يستدعي تعطيل خدمة أو تغيير المصادقة إلى تعطيل تطبيق أو إدارة عن بُعد إذا طُبّق دون اختبار.

أي إصدار من معايير STIG وSCAP يجب عليك استخدامه؟

تأكد أولاً من المنتج وحزمة الخدمة بدقة. على خادم SLES، افحص /etc/os-releaseوسجل حزمة خدمة SLES 15، ودور النظام، ومستوى التصحيح. دليل الأمان والتحصين الحالي من SUSE مخصص لـ SLES 15 SP7؛ وملف تعريف STIG نفسه مخصص لـ SLES 15. تحقق من أن محتوى السياسة لديك مُصمم للنظام المستهدف، وسجل حزمة السياسة ومراجعة معيار الأداء.

استخدم قائمة إصدارات SUSE DISA STIG للتحقق من المراجعات الحالية. نزّل قائمة التحقق المطابقة من صفحة تنزيلات STIG التابعة لـ DISA . تجنّب افتراض أن رقم مراجعة معيار SCAP يساوي رقم مراجعة قائمة التحقق. احفظ الملفات التي تم تنزيلها مع سجل التغييرات الخاص بك ليتمكن المراجع اللاحق من الاطلاع على المحتوى المستخدم بدقة.

ما الذي يجب تحضيره قبل التصلب؟

أنشئ قائمة جرد للأجهزة المضيفة وخطة اختبار قبل تثبيت أي ملف تعريف أو تطبيق أي إصلاحات. سجّل حزمة الخدمة لكل جهاز مضيف، ودوره الوظيفي، ومالكه، ووحدة التحكم أو طريقة الاسترداد المتاحة، وفترة الصيانة، والخدمات الحيوية، ومرجع النسخ الاحتياطي أو اللقطة. جمّع الأنظمة التي تشترك في نفس البنية وحمل العمل، ثم اختبر جهازًا مضيفًا نموذجيًا من كل مجموعة.

قم بعمل نسخة احتياطية موثقة وتأكد من إمكانية استعادة الوصول في حال تغيير إعدادات SSH أو PAM أو جدار الحماية أو برنامج الإقلاع أو نظام الملفات. توصي SUSE تحديدًا بإنشاء بيئة اختبار غير تشغيلية قبل تطبيق إعدادات STIG. تعامل مع معالجة OpenSCAP كتغيير في التكوين: راجع ما ستغيره القاعدة، واختبر التغيير، وتأكد من سلامة التطبيق قبل تكراره على جميع الأجهزة.

كيف يتم تثبيت أدوات فحص SLES؟

في نظام SLES المسجل مع تمكين المستودعات المطلوبة، توثق SUSE هذه الحزم الأساسية:

sudo zypper install openscap-utils scap-security-guide

يعتمد توفر الحزم على تسجيلك، والوحدات النمطية المُفعّلة، وإمكانية الوصول إلى المستودع. في حال عدم توفر الحزم، يُرجى التحقق من اشتراك SUSE الخاص بالجهاز المضيف وإعدادات المستودع بدلاً من تثبيت حزمة غير مُوثّقة من مصدر آخر. SCAP Workbench هي واجهة رسومية اختيارية؛ وتوصي SUSE بتشغيلها من محطة عمل إدارية منفصلة كلما أمكن ذلك، مع الحرص على اقتصار النظام المستهدف على الأدوات التي يحتاجها فقط.

قبل التقييم، تفقد المحتوى المتاح والملف الشخصي للشخص المستهدف:

ls -1 /usr/share/xml/scap/ssg/content/ssg-*-ds.xml
oscap info /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

مسار الملف الموضح هو المسار المستخدم في مثال SUSE SLES 15 STIG. تأكد من وجوده ومن أنه oscap infoيعرض ملف تعريف STIG المطلوب. إذا كانت حزمة البرامج لديك توفر مُعرّف ملف أو ملف تعريف مختلف، فاستخدم القيمة الموثقة للمحتوى المُثبّت بدلاً من نسخ أمر قديم دون تغيير.

كيف يتم جمع بيانات المسح الأساسي؟

قم بإجراء تقييم بدون --remediateالخيار أولاً. توثق SUSE نمط المسح المحلي هذا لنظام SLES 15:

sudo oscap xccdf eval \
  --profile stig \
  --results /tmp/results.xml \
  --report /tmp/report.html \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

احفظ ملف XML الخاص بالنتيجة والتقرير في موقع الأدلة المعتمد بعد الفحص، بدلاً من الاعتماد على الملفات المؤقتة /tmpللسجلات طويلة الأجل. في البيئات المجزأة أو غير المتصلة بالإنترنت، راجع مخرجات الماسح الضوئي بحثًا عن موارد OVAL الخارجية التي تم تخطيها. حدد ما إذا كنت ستوفر موارد محلية معتمدة أو جلبًا عن بُعد مُصرّحًا به؛ فالفحص الذي يتخطى محتوىً مطلوبًا لا يُعد تقييمًا كاملاً.

لإجراء مراجعة تفاعلية، تدعم SUSE برنامج SCAP Workbench مع ملف تعريف SLES 15. وللعمل الرسمي على كل قاعدة على حدة، استورد قائمة التحقق أو نتائج المسح الضوئي المطابقة من DISA إلى برنامج DISA STIG Viewer. يُعد الماسح الضوئي مفيدًا للقواعد التي تتضمن عمليات فحص آلية؛ احتفظ بالتحقق اليدوي للمتطلبات التي تتطلب فحصًا بشريًا أو أدلة.

كيف ينبغي قراءة نتائج الفحص؟

استخدم حالة النتيجة لتحديد الخطوة التالية. passيشير الرمز A إلى نجاح الفحص المُقيّم؛ failبينما يشير الرمز 0 إلى فشله. notapplicableيشير الرمز 0 إلى عدم انطباق القاعدة على الهدف المُقيّم، بينما يشير notcheckedالرمز 0 إلى عدم تقييم محرك الفحص لتلك القاعدة. أما الرمزان 0 و0 errorفيشيران unknownإلى فحص غير مؤكد أو غير مكتمل ويتطلبان تحقيقًا. تُحدد مواصفات XCCDF الصادرة عن المعهد الوطني للمعايير والتكنولوجيا (NIST) هذه الحالات، وهي غير قابلة للتبادل.

لكل قاعدة فاشلة أو غير محلولة، سجّل مُعرّف القاعدة، ودرجة خطورتها من قائمة التحقق الحالية، والخدمة المتأثرة، والحالة المطلوبة، والحالة الحالية، وطريقة المعالجة، والمسؤول عنها، والأدلة اللازمة لإغلاقها. تأكد من أن القاعدة ضمن النطاق قبل تصنيفها على أنها غير قابلة للتطبيق. قد لا يُغطي التقرير الآلي وحده عملية التحقق اليدوي، أو الاستثناءات الخاصة بالنظام، أو إجراءات التحكم التعويضية المعتمدة من قِبل جهة الأمن المختصة.

كيف ينبغي معالجة النتائج؟

قم بإجراء الإصلاحات في بيئة الاختبار أولاً. يمكن تطبيق الإصلاحات في محتوى SLES 15 STIG عبر OpenSCAP؛ راجع وثائق SUSE --remediateلهذا الغرض. فيما يلي أمر shape من دليل SUSE:

sudo oscap xccdf eval --remediate \
  --profile stig \
  --results /tmp/results.xml \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

يُغيّر هذا الأمر إعدادات النظام. لا تُنفّذه على خادم الإنتاج كخطوة أولى. راجع القواعد المُختارة، وتأكّد من مسار النسخ الاحتياطي والاستعادة، واختبر الإصلاح، ثمّ تحقّق من خدمات التطبيق المطلوبة، والمصادقة، والوصول إلى الشبكة، والتسجيل، والمهام المُجدولة. قد تحتاج بعض القواعد إلى إصلاح يدوي أو معالجة مُخصّصة؛ وثّق السبب وآليات التعويض من خلال إجراءات الاستثناءات المُعتمدة في مؤسستك.

ما الذي يثبت أن المضيف جاهز للمراجعة؟

بعد الموافقة على التغييرات، أعد تشغيل الفحص نفسه باستخدام نفس مراجعة المعيار، واحتفظ بنتائج ما قبل التغيير وما بعده. راجع حالات الفشل والأخطاء والحالات غير المعروفة والقواعد غير المُدققة المتبقية. تأكد من بنود قائمة التحقق اليدوية بشكل منفصل. لا تُثبت الدرجة الأعلى وحدها أنه تم تقييم جميع المتطلبات المعمول بها أو أن عبء العمل لا يزال يعمل بشكل صحيح.

• سجل إصدار SLES وحزمة الخدمة، ودور المضيف، وتاريخ المسح الضوئي، وتغيير الصيانة.
• أرشفة قائمة التحقق الدقيقة من معايير DISA STIG، ومراجعة محتوى SCAP، ونتائج XML، وتقرير HTML.
• قم بتحديد مالك مسؤول عن القواعد غير المحلولة أو اليدوية وتوثيق التصرف.
• كرر الفحص بعد تحديثات المواد أو تغييرات التكوين، باستخدام المعيار المطلوب حاليًا.
• التحقق من استعادة النظام، والإدارة عن بعد، والخدمات المطلوبة، وسلوك التطبيق بعد عملية التحصين.

يُعدّ الامتثال لمعيار SLES 15 STIG عملية مستمرة للتكوين والتوثيق. وتتمثل أفضل النتائج في الجمع بين قائمة مراجعة DISA الحالية، ومحتوى SCAP المدعوم من SUSE، والمعالجة المختبرة، والمراجعة اليدوية في الحالات التي لا ينطبق عليها التشغيل الآلي، وعملية استثناء موثقة.

المراجع الرسمية

• إصدار SUSE DISA STIG وقائمة معايير SCAP - المراجعات المدرجة حاليًا لنظام SLES 15.
• SUSE: تحصين SUSE Linux Enterprise باستخدام STIG - التدقيق، وفحص OpenSCAP، والمعالجة، وسير عمل STIG Viewer؛ نُشر في 17 سبتمبر 2026.
• SUSE: تأمين خادم SUSE Linux Enterprise باستخدام OpenSCAP - الإعداد، وتثبيت الحزم، والملفات الشخصية، وإرشادات الفحص.
• دليل الأمن والتحصين SUSE SLES 15 SP7 - ضوابط أمن المنتج ومرجع التحصين.
• NISTIR 7275 المراجعة 4 التحديث 1: XCCDF الإصدار 1.2 — تعريفات لحالات نتائج XCCDF.