STIG 규정 준수를 위한 SLES 15 강화 방법: 안전한 OpenSCAP 워크플로우

SUSE Linux Enterprise Server 15(SLES 15)의 보안 강화 및 STIG(보안 기술 구현 지침) 준수는 단순히 스캐너를 실행하는 것 이상의 작업이 필요합니다. 먼저 설치된 서비스 팩이 최신 DISA 체크리스트 및 SCAP 콘텐츠와 일치하는지 확인하고, 호스트의 기준선을 설정한 후, 각 발견 사항이 서비스에 미치는 영향을 검토하고, 테스트 환경에서 문제를 해결한 다음 다시 스캔하십시오. 스캔 결과(컴퓨터 판독 가능)와 사람이 검토한 STIG 체크리스트를 증거 자료로 함께 보관하십시오.

2026년 10월 6일 기준 최신 릴리스 노트에 따르면, SUSE의 DISA 목록에는 SLES 15 STIG가 V2R8 (2026년 7월 10일자)로 표시되어 있습니다. 별도로 등록된 SLES 15 SCAP 벤치마크는 V2R9 (역시 2026년 7월 10일자)입니다. 이러한 개정 레이블은 서로 다른 아티팩트에 해당하므로 스캔하기 전에 둘 다 확인하십시오. 공식 검토에는 최신 DISA 체크리스트를 사용하고 자동 검사에는 해당 SUSE SCAP 콘텐츠를 사용하십시오.

아래 인터페이스 이미지는 개념적인 소프트웨어 일러스트레이션입니다. 이 이미지는 여기서 설명하는 정보 유형과 명령 예시를 보여주는 것이며, 스캔 또는 변경된 시스템의 스크린샷이 아닙니다.

모든 SLES 15 서버에 동일한 STIG 설정이 필요한가요?

SLES 15 STIG가 조직 또는 계약의 적용 가능한 기준선인 경우 해당 벤치마크를 사용하십시오. DISA는 국방부 네트워크에 연결하는 시스템에 STIG가 필수적이라고 명시하고 있으며, 다른 조직은 정책, 고객 요구 사항 또는 위험 평가에 따라 STIG를 채택할 수 있습니다. 호스트를 변경하기 전에 보안 담당자와 적용 범위를 확인하십시오.

웹 서버, 데이터베이스 노드, SAP 호스트 및 보안 강화 장비는 각각 다른 운영 제약 조건을 가질 수 있습니다. 플랫폼 기준선은 동일하지만, 각 규칙에 대해 적용 가능성, 종속성 및 서비스 영향도를 평가해야 합니다. 서비스 비활성화 또는 인증 방식 변경이 필요한 경우, 테스트 없이 적용하면 애플리케이션 또는 원격 관리가 중단될 수 있습니다.

어떤 STIG 및 SCAP 릴리스를 사용해야 할까요?

먼저 정확한 제품 및 서비스 팩을 확인하십시오. SLES 호스트에서 /etc/os-releaseSLES 15 서비스 팩, 시스템 역할 및 패치 레벨을 확인하고 기록하십시오. SUSE의 최신 보안 및 강화 가이드는 SLES 15 SP7용이며, STIG 프로파일 자체는 SLES 15용입니다. 보유한 정책 콘텐츠가 대상에 적합한지 확인하고 패키지 및 벤치마크 버전을 기록하십시오.

SUSE DISA STIG 릴리스 목록을 사용하여 최신 버전을 확인하십시오. DISA의 STIG 다운로드 페이지 에서 해당 체크리스트를 다운로드하십시오 . 특히 SCAP 벤치마크 버전 번호가 체크리스트 버전 번호와 동일하다고 가정하지 마십시오. 다운로드한 파일을 변경 기록과 함께 저장하여 나중에 검토자가 어떤 콘텐츠가 사용되었는지 정확히 확인할 수 있도록 하십시오.

굳히기 전에 무엇을 준비해야 할까요?

프로파일을 설치하거나 수정 사항을 적용하기 전에 호스트 인벤토리와 테스트 계획을 수립하십시오. 각 호스트의 서비스 팩, 비즈니스 역할, 소유자, 접근 가능한 콘솔 또는 복구 방법, 유지 관리 기간, 중요 서비스, 백업 또는 스냅샷 참조 정보를 기록하십시오. 동일한 빌드 및 워크로드를 공유하는 시스템들을 그룹화한 다음, 각 그룹에서 대표 호스트를 선택하여 테스트하십시오.

검증된 백업을 생성하고 SSH, PAM, 방화벽, 부트로더 또는 파일 시스템 설정이 변경될 경우 액세스를 복구할 수 있는지 확인하십시오. SUSE는 STIG 설정을 구현하기 전에 운영 환경이 아닌 테스트 환경을 구축할 것을 특별히 권장합니다. OpenSCAP 수정은 구성 변경으로 간주하십시오. 규칙이 변경할 내용을 검토하고, 변경 사항을 테스트하고, 전체 시스템에 적용하기 전에 애플리케이션의 정상 작동 여부를 확인하십시오.

SLES 스캐닝 도구는 어떻게 설치하나요?

필수 저장소가 활성화된 등록된 SLES 시스템에서 SUSE는 다음과 같은 핵심 패키지를 문서화합니다.

sudo zypper install openscap-utils scap-security-guide

패키지 사용 가능 여부는 등록 상태, 활성화된 모듈 및 저장소 접근 권한에 따라 달라집니다. 패키지를 사용할 수 없는 경우, 다른 출처에서 검증되지 않은 패키지를 설치하기보다는 호스트 시스템의 SUSE 구독 및 저장소 구성을 확인하십시오. SCAP Workbench는 선택적인 그래픽 사용자 인터페이스입니다. SUSE는 가능한 경우 별도의 관리 워크스테이션에서 실행하고 대상 시스템에는 필요한 도구만 설치하도록 권장합니다.

평가하기 전에 대상의 이용 가능한 콘텐츠와 프로필을 검토하십시오.

ls -1 /usr/share/xml/scap/ssg/content/ssg-*-ds.xml
oscap info /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

표시된 파일 경로는 SUSE의 SLES 15 STIG 예제에서 사용된 경로입니다. 해당 경로가 존재하고 oscap info의도한 STIG 프로파일이 나열되어 있는지 확인하십시오. 패키지에서 다른 파일 또는 프로파일 식별자를 제공하는 경우, 기존 명령어를 그대로 복사하는 대신 설치된 콘텐츠에 명시된 값을 사용하십시오.

기준선 스캔은 어떻게 수집하나요?

먼저 해당 옵션 없이 평가판을 실행해 보세요 --remediate. SUSE는 SLES 15에 대한 로컬 스캔 패턴을 문서화했습니다.

sudo oscap xccdf eval \
  --profile stig \
  --results /tmp/results.xml \
  --report /tmp/report.html \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

스캔 후 결과 XML과 보고서를 승인된 증거 위치에 저장하고, /tmp장기 보관을 위해 임시 파일을 사용하지 마십시오. 분할 환경이나 오프라인 환경에서는 스캐너 출력에서 ​​건너뛴 외부 OVAL 리소스를 검토하십시오. 승인된 로컬 리소스를 제공할지 또는 승인된 원격 가져오기를 수행할지 결정하십시오. 필수 콘텐츠가 건너뛴 스캔은 완전한 평가로 간주되지 않습니다.

대화형 검토를 위해 SUSE는 SLES 15 프로파일을 사용하는 SCAP Workbench를 지원합니다. 규칙별 공식 검토 작업에는 해당 DISA 체크리스트를 가져오거나 스캔 결과를 DISA STIG Viewer로 가져오십시오. 스캐너는 자동 검사가 가능한 규칙에 유용하며, 사람의 검토나 증거가 필요한 요구 사항은 수동 검증을 통해 확인하십시오.

스캔 결과를 어떻게 해석해야 할까요?

결과 상태를 사용하여 다음에 수행할 작업을 결정합니다. A는 pass평가된 검사가 통과되었음을 의미하고, fail는 통과하지 못했음을 의미합니다. notapplicable는 해당 규칙이 평가 대상에 적용되지 않았음을 의미하며, notchecked는 검사 엔진이 해당 규칙을 평가하지 않았음을 의미합니다. error와 는 unknown검사가 불확실하거나 불완전하여 추가 조사가 필요함을 나타냅니다. NIST의 XCCDF 사양에서 이러한 상태를 정의하며, 서로 바꿔 사용할 수 없습니다.

실패했거나 해결되지 않은 각 규칙에 대해 규칙 식별자, 현재 체크리스트의 심각도, 영향을 받는 서비스, 필수 상태, 현재 상태, 해결 방법, 담당자 및 해결에 필요한 증거를 기록하십시오. 규칙이 실제로 적용 범위에 해당하는지 확인한 후 적용되지 않는 것으로 분류하십시오. 자동 보고서만으로는 수동 확인, 시스템별 예외 사항 또는 보안 담당자가 승인한 보완 조치를 파악하지 못할 수 있습니다.

발견된 문제점을 어떻게 해결해야 할까요?

먼저 테스트 환경에서 문제를 해결하십시오. SLES 15 STIG 콘텐츠는 OpenSCAP을 통해 수정 사항을 적용할 수 있으며, SUSE에서 관련 문서를 제공합니다 --remediate. 다음은 SUSE 가이드에 있는 명령 형식입니다.

sudo oscap xccdf eval --remediate \
  --profile stig \
  --results /tmp/results.xml \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

이 명령은 시스템 구성을 변경합니다. 프로덕션 서버에서 첫 단계로 이 명령을 실행하지 마십시오. 선택한 규칙을 검토하고, 백업 및 복구 경로를 확인하고, 수정 사항을 테스트한 다음, 필요한 애플리케이션 서비스, 인증, 네트워크 액세스, 로깅 및 예약된 작업을 확인하십시오. 일부 규칙은 수동 수정 또는 맞춤형 처리가 필요할 수 있습니다. 조직의 예외 처리 절차를 통해 사유와 보완 조치를 문서화하십시오.

호스트가 검토 준비가 되었다는 것을 어떻게 증명할 수 있나요?

승인된 변경 사항을 적용한 후, 동일한 벤치마크 버전을 사용하여 동일한 스캔을 다시 실행하고 변경 전후 결과를 모두 저장하십시오. 남아 있는 실패, 오류, 알 수 없는 항목 및 확인되지 않은 규칙을 검토하십시오. 수동 체크리스트 항목은 별도로 확인하십시오. 점수가 높다고 해서 모든 관련 요구 사항이 평가되었거나 워크로드가 여전히 올바르게 작동한다는 것을 입증하는 것은 아닙니다.

• SLES 릴리스 및 서비스 팩, 호스트 역할, 스캔 날짜 및 유지 관리 변경 사항을 기록하십시오.
• 정확한 DISA STIG 체크리스트, SCAP 콘텐츠 수정 내역, XML 결과 및 HTML 보고서를 보관하십시오.
• 해결되지 않았거나 수동으로 설정된 규칙에 대해 책임 담당자를 지정하고 처리 결과를 문서화하십시오.
• 재료 업데이트 또는 구성 변경 후에는 현재 요구되는 벤치마크를 사용하여 스캔을 반복하십시오.
• 시스템 강화 후 시스템 복구, 원격 관리, 필수 서비스 및 애플리케이션 동작을 검증합니다.

SLES 15 STIG 준수는 지속적인 구성 및 증거 확보 프로세스입니다. 최상의 결과는 최신 DISA 체크리스트, SUSE에서 지원하는 SCAP 콘텐츠, 테스트를 거친 개선 조치, 자동화가 적용되지 않는 경우 수동 검토, 그리고 문서화된 예외 처리 프로세스를 결합한 것입니다.

공식 참조

• SUSE DISA STIG 릴리스 및 SCAP 벤치마크 목록 — SLES 15에 대한 현재 나열된 개정판.
• SUSE: STIG를 사용한 SUSE Linux Enterprise 보안 강화 — 감사, OpenSCAP 스캔, 복구 및 STIG 뷰어 워크플로; 2026년 9월 17일 게시.
• SUSE: OpenSCAP을 이용한 SUSE Linux Enterprise 서버 보안 강화 — 준비, 패키지 설치, 프로파일링 및 검사 안내.
• SUSE SLES 15 SP7 보안 및 강화 가이드 — 제품 보안 제어 및 강화 참조.
• NISTIR 7275 개정 4 업데이트 1: XCCDF 버전 1.2 — XCCDF 결과 상태에 대한 정의.