openscap

OpenSCAP 安全合规扫描

补充说明

OpenSCAP 用 SCAP 内容（XCCDF/OVAL）检查主机是否符合安全基线，例如 CIS、STIG、等保。oscap 可以扫描、生成报告并执行修复。

常用流程：选择 profile → 扫描 → 查看报告 → 评估修复 → 生成 remediation。

常用示例

安装：

apt install libopenscap8 scap-security-guide
oscap --version

查看可用 profile：

oscap info /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml

扫描：

oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis \
  --results results.xml \
  --report report.html \
  /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml

生成修复脚本：

oscap xccdf generate fix \
  --profile xccdf_org.ssgproject.content_profile_cis \
  --output fix.sh results.xml

易错点与排错

• SCAP 内容版本与操作系统版本不匹配，规则大量失败。
• 直接执行自动修复，可能改 SSH、PAM 或内核参数导致失联。
• 扫描需要 root，普通用户结果不完整。
• 报告中的 fail 不一定都是风险，要结合业务判断。
• 修复脚本没有在测试环境验证，生产执行前先 dry-run。
• 扫描开销较大，避开业务高峰。
• 只做一次扫描，没有持续合规和基线管理。