DBシステムのセキュリティ技術導入ガイド(STIG)ツール
この記事では、Oracle Linux 7を使用してプロビジョニングされたDBシステム用のSTIGツール(Pythonスクリプト)について説明します。
セキュリティ技術導入ガイド(STIG)は、国防情報システム局(DISA)が記述した文書で、国防総省(DoD)のITネットワーク・システム内に展開するためのサイバーセキュリティ標準を満たすシステムの構成に関するガイダンスを提供します。STIG要件は、インフラストラクチャとネットワークのセキュリティに重点を置いて脆弱性を軽減することで、サイバーセキュリティの脅威からネットワークを保護するのに役立ちます。
STIGツールは、DISAのOracle Linux 7 STIGへのセキュリティ・コンプライアンスを徹尾するために使用されます。このツール:
- DB Systemのベース・イメージをOracle Linux 7 STIGに準拠させます。
- セキュリティ・コンプライアンス要件を満たすために必要な場合、プロビジョニング後にアクティブ化できる特定のSTIGルールをシステムに埋込みます。
-
埋込みルールをカテゴリ化して、次のカテゴリのルールを表示およびモニターできます:
- ベース・イメージに含まれる静的ルール、
- 米国国防総省コンプライアンス標準を満たすために必要な場合に、プロビジョニング後にオプションでアクティブ化されるDoDルール。米国国防総省のコンプライアンス標準を満たすために必要な場合に、
- DBシステム(米国国防総省の外部のユーザーを含む)のセキュリティを強化する必要があるすべてのユーザー(米国国防総省の外部のユーザーを含む)が使用することを目的として、必要に応じてプロビジョニング後にアクティブ化されるランタイム・ルール。米国国防総省)、
- ロールバック機能が提供され、スクリプトによって構成を変更することなく、DB Systemをある状態にロールバックできます。
- コンプライアンス・チェック機能が提供され、DB Systemによって正常に渡されたルールの数を確認できるようになります。
STIGツールを取得する
STIGツールは、新しくプロビジョニングされるすべてのDBシステムで提供されます。STIGツールは、DB Systemノードの次のOSディレクトリの場所にあります: /opt/oracle/dcs/bin/dbcsstig
STIGツールの更新バージョンは、Oracle Technology Network (OTN).からダウンロード可能になりますSTIGツールの更新バージョンは、DB Systemエージェントの更新時にも入手できます。
STIGツールを使用する
STIGツールには次の構文を使用します:
dbcsstig --<operation><category>たとえば:
dbcsstig --fix dodコマンド・リファレンス
操作
| 操作パラメータ | 定義 |
|---|---|
--check, -c |
指定したカテゴリに含まれるルールへのコンプライアンスをチェックします |
--fix, -f |
指定したカテゴリに含まれるルールに対する修正を適用する。 |
--rollback, -rb |
STIGツールによって実装されたシステム構成変更をロールバックします |
--version, -v |
STIGツール・スクリプトのバージョン情報を提供します |
--help, -h |
コマンドライン・ヘルプ情報を提供します。 |
ルールのカテゴリ
| カテゴリ・パラメータ | 定義 |
|---|---|
static |
DB Systemのベース・イメージに含まれるルールを指定するため。 |
dod |
DISAのOracle Linux 7 STIGへの準拠に必要なルールを指定します。 |
runtime |
一般的なセキュリティ・ハードニングのためにプロビジョニング後にアクティブ化されるルールを指定する場合。 |
all |
すべてのルールを指定します。 |