Le renforcement de la sécurité de SUSE Linux Enterprise Server 15 (SLES 15) pour la conformité aux recommandations STIG (Security Technical Implementation Guide) ne se limite pas à l'exécution d'un scanner. Commencez par vérifier que le Service Pack installé correspond à la liste de contrôle DISA et au contenu SCAP les plus récents, établissez une base de référence pour le système, évaluez l'impact de chaque anomalie sur les services, corrigez les problèmes dans un environnement de test et effectuez une nouvelle analyse. Conservez les résultats d'analyse (lisibles par machine) et la liste de contrôle STIG validée manuellement comme preuves.
Note de version actuelle (vérifiée le 6 octobre 2026) : la liste DISA de SUSE indique que le STIG SLES 15 est la version V2R8 , datée du 10 juillet 2026. Le benchmark SCAP SLES 15, listé séparément, est la version V2R9 , également datée du 10 juillet 2026. Ces étiquettes de révision correspondent à des éléments distincts ; veuillez donc vérifier les deux avant l’analyse. Utilisez la liste de contrôle DISA actuelle pour une vérification formelle et le contenu SCAP SUSE correspondant pour les vérifications automatisées.
Les images d'interface ci-dessous sont des illustrations conceptuelles du logiciel. Elles présentent les types d'informations et d'exemples de commandes abordés ici ; il ne s'agit pas de captures d'écran d'un système qui a été analysé ou modifié.
Utilisez la norme SLES 15 STIG lorsque celle-ci constitue la référence applicable à votre organisation ou à votre contrat. La DISA exige l'application des STIG pour les systèmes connectés aux réseaux du ministère de la Défense ; d'autres organisations peuvent les adopter par le biais de leur politique, des exigences de leurs clients ou de décisions relatives aux risques. Avant toute modification d'un hôte, veuillez confirmer la portée de l'application auprès de votre autorité de sécurité.
Un serveur web, un nœud de base de données, un hôte SAP et un dispositif de sécurité renforcé peuvent présenter des contraintes opérationnelles différentes. Bien que la plateforme de référence soit la même, chaque règle doit être évaluée quant à son applicabilité, ses dépendances et son impact sur le service. Une décision nécessitant la désactivation d'un service ou la modification de l'authentification peut interrompre une application ou l'administration à distance si elle est appliquée sans test préalable.
Vérifiez d'abord le produit et le Service Pack exacts. Sur l'hôte SLES, examinez /etc/os-releaseet notez le Service Pack, le rôle système et le niveau de correctif de SLES 15. Le guide de sécurité et de renforcement de SUSE actuel concerne SLES 15 SP7 ; le profil STIG lui-même concerne SLES 15. Assurez-vous que le contenu de la stratégie est adapté à votre cible et notez son package et sa révision de référence.
Utilisez la liste des versions STIG de SUSE DISA pour vérifier les révisions actuelles. Téléchargez la checklist correspondante depuis la page de téléchargement des STIG de DISA . En particulier, ne considérez pas qu'un numéro de révision de benchmark SCAP corresponde au numéro de révision de la checklist. Conservez les fichiers téléchargés avec votre historique des modifications afin qu'un relecteur ultérieur puisse voir précisément le contenu utilisé.
Avant d'installer un profil ou d'appliquer des correctifs, établissez un inventaire des hôtes et un plan de test. Notez pour chaque hôte son Service Pack, son rôle métier, son propriétaire, la console accessible ou la méthode de récupération, la fenêtre de maintenance, les services critiques et la référence de sauvegarde ou d'instantané. Regroupez les systèmes partageant la même version et la même charge de travail, puis testez un hôte représentatif de chaque groupe.
Effectuez une sauvegarde vérifiée et assurez-vous de pouvoir rétablir l'accès en cas de modification des paramètres SSH, PAM, pare-feu, chargeur de démarrage ou système de fichiers. SUSE recommande expressément la création d'un environnement de test hors production avant l'application des paramètres STIG. Considérez la correction OpenSCAP comme une modification de configuration : examinez l'impact de la règle, testez la modification et vérifiez le bon fonctionnement de l'application avant de la déployer sur l'ensemble du parc.
Sur un système SLES enregistré avec les dépôts requis activés, SUSE documente ces paquets principaux :
sudo zypper install openscap-utils scap-security-guideLa disponibilité des paquets dépend de votre enregistrement, des modules activés et de l'accès au dépôt. Si les paquets ne sont pas disponibles, vérifiez l'abonnement SUSE et la configuration du dépôt de votre système hôte plutôt que d'installer un paquet non vérifié provenant d'une autre source. SCAP Workbench est une interface graphique optionnelle ; SUSE recommande de l'exécuter depuis un poste d'administration distinct lorsque cela est possible, en limitant le système cible aux outils nécessaires.
Avant toute évaluation, examinez le contenu disponible et le profil de la cible :
ls -1 /usr/share/xml/scap/ssg/content/ssg-*-ds.xml
oscap info /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xmlLe chemin d'accès indiqué est celui utilisé dans l'exemple STIG de SLES 15. Vérifiez son existence et assurez-vous qu'il oscap infocontient le profil STIG souhaité. Si votre paquet fournit un identifiant de fichier ou de profil différent, utilisez la valeur documentée du contenu installé plutôt que de copier une ancienne commande sans la modifier.
Commencez par effectuer une évaluation sans cette --remediateoption. SUSE documente ce modèle d'analyse locale pour SLES 15 :
sudo oscap xccdf eval \
--profile stig \
--results /tmp/results.xml \
--report /tmp/report.html \
/usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml
Enregistrez le fichier XML de résultats et le rapport dans l'emplacement de stockage des preuves approuvé après l'analyse, plutôt que de vous fier à des fichiers temporaires pour /tmples archives à long terme. Dans les environnements segmentés ou hors ligne, vérifiez les résultats de l'analyseur afin de repérer les ressources externes OVAL ignorées. Déterminez s'il convient de fournir des ressources locales approuvées ou une récupération distante autorisée ; une analyse qui a ignoré du contenu requis ne constitue pas une évaluation complète.
Pour une revue interactive, SUSE prend en charge SCAP Workbench avec le profil SLES 15. Pour une analyse formelle règle par règle, importez la checklist DISA correspondante ou les résultats de l'analyse dans DISA STIG Viewer. L'outil d'analyse est utile pour les règles comportant des contrôles automatisés ; conservez la vérification manuelle pour les exigences nécessitant une inspection humaine ou des preuves.
Utilisez l'état du résultat pour déterminer la suite des opérations. « A » passsignifie que le contrôle a réussi ; « A » failsignifie qu'il a échoué. « A » notapplicablesignifie que la règle ne s'appliquait pas à la cible évaluée, tandis que « A » notcheckedsignifie que le moteur de contrôle n'a pas évalué cette règle. « A » erroret unknown« A » indiquent un contrôle incertain ou incomplet nécessitant une investigation. La spécification XCCDF du NIST définit ces états ; ils ne sont pas interchangeables.
Pour chaque règle non respectée ou non résolue, consignez son identifiant, son niveau de gravité (selon la liste de contrôle actuelle), le service concerné, l'état requis, l'état actuel, la méthode de correction, le responsable et les éléments de preuve nécessaires à sa clôture. Avant de classer une règle comme non applicable, assurez-vous qu'elle relève bien du périmètre concerné. Un rapport automatisé seul peut ne pas prendre en compte un contrôle manuel, une exception spécifique au système ou la mesure de contrôle compensatoire approuvée par votre autorité de sécurité.
Commencez par corriger le problème dans l'environnement de test. Le contenu STIG de SLES 15 permet d'appliquer des correctifs via OpenSCAP ; consultez la documentation SUSE --remediateà ce sujet. Voici la syntaxe de la commande extraite du guide SUSE :
sudo oscap xccdf eval --remediate \
--profile stig \
--results /tmp/results.xml \
/usr/share/xml/scap/ssg/content/ssg-sle15-ds.xmlCette commande modifie la configuration système. Ne l'exécutez pas directement sur un serveur de production. Examinez les règles sélectionnées, confirmez le chemin de sauvegarde et de restauration, testez la correction, puis vérifiez les services applicatifs requis, l'authentification, l'accès réseau, la journalisation et les tâches planifiées. Certaines règles peuvent nécessiter une correction manuelle ou un traitement personnalisé ; documentez la raison et les mesures de contrôle compensatoires conformément à la procédure de gestion des exceptions de votre organisation.
Après les modifications approuvées, relancez l'analyse avec la même version de référence et conservez les résultats avant et après. Examinez les échecs, erreurs, inconnues et règles non vérifiées restantes. Vérifiez séparément les éléments de la liste de contrôle manuelle. Un score plus élevé ne garantit pas à lui seul que toutes les exigences applicables ont été évaluées ni que la charge de travail fonctionne toujours correctement.
La conformité à la norme SLES 15 STIG est un processus continu de configuration et de vérification des preuves. Le résultat le plus probant repose sur une liste de contrôle DISA à jour, le contenu SCAP pris en charge par SUSE, des mesures correctives testées, une vérification manuelle lorsque l'automatisation n'est pas applicable et une procédure de gestion des exceptions documentée.
Téléchargez gratuitement FlightGear depuis le site officiel. Comparez les versions pour Windows, macOS et Linux, installez les fichiers de données et effectuez votre premier vol.
Ouvrez Google Tasks dans un navigateur, ajoutez un raccourci Chrome ou lancez-le comme une application, et gérez vos tâches datées via Agenda et Gmail.
OKSampler permet d'associer des clips MP3 à des touches du clavier et de lire des fichiers audio en boucle. Découvrez les fonctionnalités de cette ancienne version gratuite, ses limitations et les points à vérifier avant de la télécharger.
Créez une clé USB d'installation Windows 11 sous Linux avec Ventoy : téléchargez l'ISO officiel, installez Ventoy en toute sécurité, copiez l'image et démarrez le PC cible.
Installez la version Linux de Don't Starve Together via Steam, créez un monde ou rejoignez vos amis grâce à ces étapes d'installation et de dépannage.
Configurez Squad sur Linux avec Steam Play et Proton, installez le jeu, choisissez un outil de compatibilité et résolvez les problèmes liés à l'anti-triche.
Téléchargez et vérifiez l'image ISO archivée de LMDE 5, créez une clé USB bootable et choisissez l'option d'installation sécurisée. Elsie n'est plus prise en charge ; consultez la version actuelle de LMDE.
Installez Wireshark sur Ubuntu, Debian, Fedora, Arch ou openSUSE avec les commandes de paquets actuelles, puis configurez la capture de paquets en direct en toute sécurité.
Découvrez comment jouer à DiRT Rally sur Linux si vous le possédez déjà sur Steam : installez la version native, lancez-la et n’utilisez Proton qu’en dernier recours.
Apprenez à jouer à It Takes Two sur Linux avec Steam Proton, à installer la version Steam, à activer la compatibilité, à configurer le mode coopératif et à résoudre les problèmes de lancement.
