Consolidarea conformității cu Ghidul de implementare tehnică de securitate (STIG) pentru SUSE Linux Enterprise Server 15 (SLES 15) necesită mai mult decât rularea unui scaner. Începeți prin a potrivi pachetul service pack instalat cu lista de verificare DISA curentă și conținutul SCAP, stabiliți gazda la o bază de referință, examinați fiecare constatare pentru impactul asupra serviciului, remediați într-un mediu de testare și rescanați. Păstrați împreună rezultatele scanării lizibile de mașină și lista de verificare STIG revizuită de om, ca dovezi.
Notă de lansare curentă, verificată la 6 octombrie 2026: Listarea DISA a SUSE arată SLES 15 STIG ca V2R8 , datată 10 iulie 2026. Benchmark-ul SLES 15 SCAP listat separat este V2R9 , tot datat 10 iulie 2026. Aceste etichete de revizie aparțin unor artefacte separate, așa că verificați-le pe amândouă înainte de scanare. Utilizați lista de verificare DISA curentă pentru revizuirea formală și conținutul SUSE SCAP corespunzător pentru verificări automate.
Imaginile de interfață de mai jos sunt ilustrații conceptuale ale software-ului. Acestea prezintă tipurile de informații și exemple de comenzi discutate aici; nu sunt capturi de ecran ale unui sistem care a fost scanat sau modificat.
Utilizați STIG-ul SLES 15 atunci când acel benchmark este valoarea de referință aplicabilă pentru organizația sau contractul dumneavoastră. DISA precizează că STIG-urile sunt necesare pentru sistemele care se conectează la rețelele DoD; alte organizații le pot adopta prin politici, cerințe ale clienților sau decizii privind riscurile. Confirmați domeniul de aplicare cu autoritatea dumneavoastră de securitate înainte de a schimba o gazdă.
Un server web, un nod de bază de date, o gazdă SAP și un dispozitiv securizat pot avea constrângeri operaționale diferite. Linia de bază a platformei este același punct de referință, dar fiecare regulă trebuie totuși evaluată pentru aplicabilitate, dependențe și impact asupra serviciului. O constatare care necesită dezactivarea unui serviciu sau modificarea autentificării poate întrerupe o aplicație sau administrarea la distanță dacă este aplicată fără testare.
Confirmați mai întâi produsul și pachetul de service exacte. Pe gazda SLES, inspectați /etc/os-releaseși înregistrați pachetul de service SLES 15, rolul sistemului și nivelul patch-urilor. Ghidul de securitate și consolidare actual al SUSE este pentru SLES 15 SP7; profilul STIG în sine este pentru SLES 15. Verificați dacă conținutul politicii pe care îl aveți este destinat țintei dvs. și înregistrați pachetul și revizia benchmark-ului.
Folosiți lista de versiuni SUSE DISA STIG pentru a verifica reviziile actuale. Descărcați lista de verificare corespunzătoare de pe pagina de descărcări STIG a DISA . În special, nu presupuneți că un număr de revizie a benchmark-ului SCAP este egal cu numărul de revizie al listei de verificare. Stocați fișierele descărcate împreună cu înregistrarea modificărilor, astfel încât un recenzent ulterior să poată vedea exact ce conținut a fost utilizat.
Creați un inventar de gazde și un plan de testare înainte de a instala un profil sau de a aplica remedieri. Înregistrați pachetul service pack, rolul de business, proprietarul, consola accesibilă sau metoda de recuperare, fereastra de întreținere, serviciile critice și referința pentru backup sau snapshot-uri pentru fiecare gazdă. Grupați sistemele care au aceeași versiune și aceeași sarcină de lucru, apoi testați o gazdă reprezentativă din fiecare grup.
Faceți o copie de rezervă verificată și asigurați-vă că puteți recupera accesul dacă setările SSH, PAM, firewall, bootloader sau sistemul de fișiere se modifică. SUSE recomandă în mod specific un mediu de testare neoperațional înainte de implementarea setărilor STIG. Tratați remedierea OpenSCAP ca pe o modificare de configurație: examinați ce va modifica o regulă, testați modificarea și confirmați starea aplicației înainte de a o repeta în cadrul unei flote.
Pe un sistem SLES înregistrat cu depozitele necesare activate, SUSE documentează aceste pachete de bază:
sudo zypper install openscap-utils scap-security-guideDisponibilitatea pachetelor depinde de înregistrarea dvs., de modulele activate și de accesul la repozitoriu. Dacă pachetele nu sunt disponibile, verificați abonamentul SUSE al gazdei și configurația repozitoriului, în loc să instalați un pachet neverificat dintr-o altă sursă. SCAP Workbench este un front-end grafic opțional; SUSE recomandă rularea acestuia de pe o stație de lucru de administrare separată, acolo unde este practic, menținând în același timp sistemul țintă limitat la instrumentele de care are nevoie.
Înainte de evaluare, verificați conținutul și profilul disponibile pe țintă:
ls -1 /usr/share/xml/scap/ssg/content/ssg-*-ds.xml
oscap info /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xmlCalea de fișier afișată este cea utilizată în exemplul SLES 15 STIG de la SUSE. Confirmați că există și că oscap infolistează profilul STIG dorit. Dacă pachetul dvs. furnizează un identificator de fișier sau profil diferit, utilizați valoarea documentată a conținutului instalat în loc să copiați o comandă veche neschimbată.
Executați mai întâi o evaluare fără --remediateopțiune. SUSE documentează acest model de scanare locală pentru SLES 15:
sudo oscap xccdf eval \
--profile stig \
--results /tmp/results.xml \
--report /tmp/report.html \
/usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml
Salvați fișierul XML al rezultatului și raportați-l în locația aprobată pentru dovezi după scanare, în loc să vă bazați pe fișiere temporare pentru /tmpînregistrări pe termen lung. În medii segmentate sau offline, verificați rezultatul scanerului pentru resurse OVAL externe omise. Decideți dacă să furnizați resurse locale aprobate sau o preluare la distanță autorizată; o scanare care a omis conținutul necesar nu este o evaluare completă.
Pentru o revizuire interactivă, SUSE este compatibil cu SCAP Workbench cu profilul SLES 15. Pentru lucrul formal regulă cu regulă, importați lista de verificare DISA corespunzătoare sau rezultatele scanării în DISA STIG Viewer. Scanerul este util pentru regulile care au verificări automate; păstrați verificarea manuală pentru cerințele care necesită inspecție umană sau dovezi.
Folosiți starea rezultatului pentru a decide ce să faceți în continuare. A passînseamnă că verificarea evaluată a trecut; failînseamnă că nu a trecut. notapplicableînseamnă că regula nu s-a aplicat țintei evaluate, în timp ce notcheckedînseamnă că motorul de verificare nu a evaluat regula respectivă. errorși unknownindică o verificare incertă sau incompletă și necesită investigare. Specificația XCCDF a NIST definește aceste stări; ele nu sunt interschimbabile.
Pentru fiecare regulă eșuată sau nerezolvată, înregistrați identificatorul regulii, severitatea din lista de verificare curentă, serviciul afectat, starea necesară, starea curentă, metoda de remediere, proprietarul și dovezile necesare pentru închidere. Verificați dacă o regulă se încadrează efectiv în domeniul de aplicare înainte de a o clasifica ca neaplicabilă. Un raport automat, în sine, poate să nu surprindă o verificare manuală, o excepție specifică sistemului sau controlul compensatoriu aprobat de autoritatea dvs. de securitate.
Remediați mai întâi în mediul de testare. Conținutul SLES 15 STIG poate aplica corecții prin OpenSCAP; documente SUSE --remediateîn acest scop. Următoarea este forma comenzii din ghidul SUSE:
sudo oscap xccdf eval --remediate \
--profile stig \
--results /tmp/results.xml \
/usr/share/xml/scap/ssg/content/ssg-sle15-ds.xmlAceastă comandă modifică configurația sistemului. Nu o rulați pe un server de producție ca prim pas. Examinați regulile selectate, confirmați calea de backup și recuperare, testați remedierea, apoi verificați serviciile de aplicație necesare, autentificarea, accesul la rețea, înregistrarea în jurnal și joburile programate. Unele reguli pot necesita remediere manuală sau tratament personalizat; documentați motivul și controlul compensatoriu prin procesul de excepții al organizației dvs.
După modificările aprobate, rulați din nou aceeași scanare cu aceeași revizie de referință și păstrați atât rezultatele înainte, cât și cele după. Revizuiți erorile, erorile, necunoscutele și regulile neverificate rămase. Confirmați separat elementele listei de verificare manuală. Un scor mai mare nu dovedește în sine că fiecare cerință aplicabilă a fost evaluată sau că volumul de lucru funcționează în continuare corect.
Conformitatea cu SLES 15 STIG este un proces continuu de configurare și evidență. Cel mai puternic rezultat combină o listă de verificare DISA actuală, conținut SCAP acceptat de SUSE, remediere testată, revizuire manuală acolo unde automatizarea nu se aplică și un proces de excepții documentat.
Configurați un VPN WireGuard point-to-site pe Debian 12 cu wg-quick, redirecționare IPv4, nftables NAT, profiluri de client, pornire systemd și verificare.
Auditați SLES 15 în raport cu DISA STIG actual, revizuiți constatările OpenSCAP, testați remedierile și documentați excepțiile înainte de lansarea în producție.
Remediați ruperea ecranului cu grafica Intel în Pardus Linux verificând X11 vs. Wayland, setările compozitorului, rata de reîmprospătare, driverul Xorg activ și TearFree doar atunci când este cazul.
Configurați firewalld pe SLES 15: verificați zonele, permiteți servicii sau porturi, salvați reguli permanente, reîncărcați în siguranță și verificați accesul.
Activați aplicarea de patch-uri live pentru kernel pe SLES 15 SP7, aplicați remedierile acceptate fără a reporni, verificați patch-urile active și înțelegeți când este încă necesară o repornire a kernelului.
Activați modul FIPS pe SLES 15 cu utilitarul de configurare acceptat de SUSE, reporniți în siguranță, verificați starea kernelului și a politicii criptografice și verificați limitele de certificare.
Install Google Chrome on Gooroom OS safely with official .deb packages, APT, policy checks, update guidance, and fixes for managed devices.
Redirecționați în siguranță jurnalele de sistem SLES către un server syslog la distanță cu rsyslog, certificate TLS, verificare a numelui peer-ului, cozi, validare și testare.
Conectați SLES 15 la Active Directory cu SSSD folosind YaST. Pregătiți DNS și ora, configurați datele de autentificare la domeniu, verificați Kerberos și comparați SSSD, Winbind și realmd.
Remediați problema Wi-Fi RTL8821CE pe Pardus Linux verificând driverul rtw88 încorporat, firmware-ul Realtek, rfkill, NetworkManager și opțiunile de rezervă.
