IBM Cloud Security and Compliance Center(SCC)를 살펴보았습니다. 의 계속입니다. 이번에는 Linux 서버를 SCC로 스캔하고 싶습니다.

1. Credential 정보 등록

ID/Password 방식뿐만 아니라 SSH 비밀키를 사용한 액세스도 지원된다. 이번에는 리눅스에 액세스할 때의 비밀키를 PEM 파일로 등록하고 있다.

2. Scope 설정

2020/10/1 현재, Environment로서 IBM를 선택해도 VSI의 Discovery를 할 수 없다. 조만간 VPC 상의 VSI는 Discovery 할 수 있게 되는 것 같지만, VPC/Classic Infrastrucutre 포함해, 현재 구성하려면 OnPrem 를 선택할 필요가 있다.

여기서, Scan 대상의 서버를 정의하는 Resource list로서 이하와 같은 json 파일을 지정한다. IP 주소 부분만 재작성하여 이용한다. 당연히 이 IP 주소는 Collector에서 IP reachable일 필요가 있다.

dis.json

{
  "data": [
    {
      "resource": "subnet",
      "resource_type": "switch",
      "facts": "",
      "fact_status": {
        "message": "",
        "status": ""
      },
      "resource_category": "network_resource",
      "children": [
        {
          "resource": "linux",
          "resource_type": "os",
          "facts": "",
          "fact_status": {
            "message": "",
            "status": ""
          },
          "resource_category": "host",
          "scope_id": "",
          "discovery_status": {
            "message": "",
            "status": "PASS"
          },
          "resource_attributes": {},
          "properties": {
            "public_ip": "",
            "OS": [
              "Linux"
            ],
            "category": [
              "Host"
            ],
            "env_type": "ONPREM",
            "private_ip": "10.0.0.12",
            "ports": {}
          },
          "object": "vm"
        }
      ],
      "scope_id": "10.0.0.0/24",
      "discovery_status": {
        "message": "",
        "status": "PASS"
      },
      "resource_attributes": {},
      "properties": "",
      "object": "subnet"
    }
  ]
}

다음과 같이 무사 등록이 완료되면 Update Scope 를 선택하여 완료.

3. Scope에 Mapping Credential 설정

Discovery 되고 있는 IP 주소에, 어느 Credential 를 사용해 액세스 하는지를 지정한다.

Mapping Credential 선택

Criteria는 IP=xx.xx.xx.xx 로 지정. 지정 방법은 다음과 같은 방법이 있습니다.

IP=ipaddr

IP=ipaddr1,ipadd2,ipaddrN

IP=ipaddr1-endingAddress (i.e. IP=10.240.128.4-10)

또한 그대로 close 버튼을 누르면 저장되지 않으므로 반드시 녹색의 체크 박스를 선택하는 것!

저장된 상태. 이제 close한다.

4 스캔 수행

지난번은 Schedule Scan을 이용했지만 이번에는 한 번만 시도하여 스캔을 실시한다.

Validate Scope 선택

스캔 할 프로파일을 선택하고 Start Validation를 수행합니다.

Validation 실행 중

Validation 완료

5 결과 확인 (CIS - Linux Hardening)

6 참고

비슷한 작업으로 다른 프로필을 사용하여 스캔을 시도했습니다.

PCI-DSS 3.2 스캔 결과.

GDPR 스캔 결과.

NIST 스캔 결과.

ISO27001의 스캔 결과.