OpenSCAPとは

OpenSCAPとは、SCAPの規格に従ってシステムのセキュリティポリシーをチェックすることができるオープンソースソフトウェアです。

SCAP(Security Content Automation Protocol)は、アメリカ国立標準技術研究所(NIST)が進めている情報セキュリティ対策の自動化と標準化を行なうための規格です。アメリカのNVD(National Vulnerability Datase)や日本のJVN(Japan Vulnerability Notes)等、各種脆弱性情報データベースで利用されています。

OpenSCAPは、SCAPを実施するためのオープンソースソフトウェアです。
OpenSCAPを利用することで、SCAPの規格に従ってシステムのセキュリティポリシーをチェックすることができます。OpenSCAPでは、一般的に利用できる標準的なセキュリティポリシーセットも利用することができるようになっています。OpenSCAPにより、システム管理者は簡単にSCAPセキュリティポリシーチェックを実施することができます。OpenSCAPのセキュリティポリシーチェックに合格すれば、そのシステムはSCAPに準拠していることになりますので、安心して運用を継続することができます。

OpenSCAPの特徴

OpenSCAPのコンポーネント

OpenSCAPは下記の2つのソフトウェアで構成されています。

セキュリティポリシー

様々な組織が効率的にSCAPを利用することができることを目的として作成されているSCAPセキュリティポリシーです。scap-security-guideという名称で公開されています。Red Hat Enterprise Linux, Fedora, Debian, Ubuntu等のディストリビューション毎のセキュリティポリシーや、汎用サーバ、米国政府のベースライン保証等の用途別のセキュリティポリシー等が含まれています。

SCAPスキャナー

SCAPセキュリティポリシーを読み込み、OpenSCAPでシステムがセキュリティポリシーに準拠しているかチェックを行うアプリケーションです。コマンドラインツールのoscap、GUIのscap-workbentchを利用することができます。

SCAPセキュリティポリシーは、scap-security-guideに含まれているものだけでなく、独自にカスタマイズしたセキュリティポリシーを作成することもできます。自組織に合わせて作成したセキュリティポリシーでシステムをチェックするようにすれば、一定のセキュリティポリシーを確実に確保することができるようになります。OpenSCAPを使うことで、システム管理者の負担を減らしつつ、高いレベルのセキュリティを保つことができます。

RHSA(Red Hat Security Advisory)の対応

Red Hat Enterprise Linuxのセキュリティ情報はRHSA(Red Hat Security Advisory) として報告されています。レッドハット社は、RHSAをチェックするためのセキュリティポリシーを公開しています。

OpenSCAPでRHSAのセキュリティポリシーを使用してシステムのセキュリティチェックを実施すれば、未対応のRHSAをすぐに探し出すことができます。定期的にRHSAセキュリティポリシーによるセキュリティチェックを実施すようにすれば、セキュリティ対策を確実にできるようになり、安心してRed Hat Enterprise Linuxを利用できるようになります。

デージーネットの取り組み

デージーネットでは、scap-security-guideに含まれるセキュリティポリシーのカスタマイズ方法やRHSAセキュリティポリシーをCentOSで使用するための方法を検証しました。これにより、SCAPに準拠したセキュリティポリシーのチェックを行えるようになり、より安心できるサーバを構築・運用できるようになりました。