龙蜥下游发行版 Alinux 和 UOS 成为 OpenSCAP 官方首批支持的国内 OS

背景

近日，龙蜥操作系统（Anolis OS）下游发行版 Alibaba Cloud Linux 2/3（以下简称Alinux 2/3）以及统信软件  UnionTech OS Server v20（以下简称 UOS v20）先后完成与国际知名安全社区 OpenSCAP 的产品支持整合，并成为 OpenSCAP 官方首批支持的国内 OS 产品。

SCAP（Security Content Automation Protocol，安全内容自动化协议）是由 NIST（National Institute of Standards and Technology，美国国家标准与技术研究院）维护的一套标准，用于规范软件产品的安全基线核查与脆弱性评估，是当前国际上比较成熟的一套信息安全评估标准体系，其标准化、自动化的思想对信息安全行业产生了深远的影响。

OpenSCAP 项目是用于实施和执行 SCAP 标准的开源工具集合，并于 2014 年获得 NIST 颁发的 SCAP 1.2 认证。调研发现，OpenSCAP 不仅在 CentOS、Debian 和 Ubuntu 等众多知名 OS 发行版中被广泛内置，也被 Wazuh 等安全产品直接集成。OpenSCAP 开源项目包含一系列的工具和大量的安全策略：

• SCAP Workbench：一个 GUI 的交互界面；
• OpenSCAP：library 和 CLI 命令行工具（oscap 等）；

• SCAP Security Guide（SSG）：SCAP 安全指南；

• Script Check Engine（SCE）：脚本检查引擎（可选）。

其中 SSG 包括针对大量 OS 发行版及软件产品的安全扫描策略，是 OpenSCAP 进行安全合规基线检查、修复及脆弱性评估的重要依据。

Alinux 与 UOS 在 OpenSCAP 的整合

龙蜥社区生态伙伴结合下游 OS 发行版产品（Alinux 2/3、UOS v20），通过 OS 产品支持整合，安全策略对接，近日先后完成在 OpenSCAP 项目上的官方集成，成为 OpenSCAP 标准支持的国内 OS 发行版。

Alinux 与 UOS 完成 OpenSCAP 的集成具有以下意义：

1. 如下图所示，Alinux 2/3 与 UOS v20 成为 OpenSCAP 官方支持的首批国内 OS，能够使用 OpenSCAP 标准的安全策略扫描 Alinux 2/3 以及 UOS v20；

2. Alinux 的 CIS 安全策略得到了 OpenSCAP 的认可与集成，用户可以直接使用 OpenSCAP 的产品扫描与检测 Alinux 环境是否满足 CIS 标准要求等；

3. OpenSCAP 产品除标准策略、CIS 策略外，还支持大量其它合规要求的标准策略，如 HIPAA、PCI-DSS 等，未来这些安全策略也能够应用于 Alinux 2/3 以及 UOS v20 等环境，用来核查与调整系统配置，以满足不同场景下的安全合规需求；

4. OpenSCAP 是大量 Linux 发行版内置的知名安全工具，Alinux 与 UOS 完成与 OpenSCAP 的整合后，也能够作为标准安全工具集，更好地服务于 Alinux 2/3 与 UOS v20 发行版的用户。

此外，围绕龙蜥社区与下游发行版的安全生态，以 Alinux 为例，这是继 CIS 之后第二个官方支持 Alinux 2/3 的国际安全社区。OpenSCAP 官方支持 Alinux 2/3 后，Alinux 2/3 CIS 相关的安全基线也能够贡献到 OpenSCAP 社区，从而进一步提高 Anolis / Alinux 的安全合规能力，为未来更好地服务 Alinux 以及 龙蜥操作系统（Anolis OS ）的用户打下坚实的基础。

OpenSCAP 扫描实践

在编译与安装 openSCAP 及 SSG 后，我们即可对其进行测试。本节以 Alibaba Cloud Linux 2 CIS 策略的扫描为例给出部分的结果。

# 进入安装目录（以`/usr/local/share/xml/scap/ssg/content`为例）
cd /usr/local/share/xml/scap/ssg/content
# 选择Alibaba Cloud Linux 2 CIS profile
oscap xccdf eval --profile "xccdf_org.ssgproject.content_profile_cis" --results-arf results.xml --report report.html ssg-alinux2-ds.xml

打开对应的检测结果文件 report.html， 如下图所示，可以看到对应的检测结果（passed、failed 等），也可以进一步展开查看具体某一安全策略的核查结果以及检查日志等。

总结与展望

未来我们还会继续加强龙蜥社区与 OpenSCAP 安全社区的合作，在 OpenSCAP 社区原生支持龙蜥操作系统（Anolis OS）以及更多的龙蜥社区下游发行版 OS 及其对应的安全策略。同时围绕 OpenSCAP 的其它组件（比如 library 和 CLI 命令行工具等）进一步深入合作与积极贡献，使得龙蜥社区的安全生态更加繁荣。

相关链接：

OpenSCAP 地址链接：

https://github.com/OpenSCAP/openscap

SCAP Security Guide（SSG）：

https://github.com/ComplianceAsCode/content

—— 完 ——

加入龙蜥社群

加入微信群：添加社区助理-龙蜥社区小龙（微信：openanolis_assis），备注【龙蜥】与你同在；加入钉钉群：扫描下方钉钉群二维码。欢迎开发者/用户加入龙蜥社区（OpenAnolis）交流，共同推进龙蜥社区的发展，一起打造一个活跃的、健康的开源操作系统生态！

关于龙蜥社区龙蜥社区（OpenAnolis）由企事业单位、高等院校、科研单位、非营利性组织、个人等在自愿、平等、开源、协作的基础上组成的非盈利性开源社区。龙蜥社区成立于 2020 年 9 月，旨在构建一个开源、中立、开放的Linux 上游发行版社区及创新平台。龙蜥社区成立的短期目标是开发龙蜥操作系统(Anolis OS)作为 CentOS 停服后的应对方案，构建一个兼容国际 Linux 主流厂商的社区发行版。中长期目标是探索打造一个面向未来的操作系统，建立统一的开源操作系统生态，孵化创新开源项目，繁荣开源生态。目前，Anolis OS 8.6 已发布，更多龙蜥自研特性，支持 X86_64 、RISC-V、Arm64、LoongArch 架构，完善适配 Intel、兆芯、鲲鹏、龙芯等芯片，并提供全栈国密支持。欢迎下载：https://openanolis.cn/download加入我们，一起打造面向未来的开源操作系统！https://openanolis.cn往期精彩推荐1.如何提交一个PR？完成这 6 点就可以了
2.欢迎走进"云原生专场"，总有一款活动适合你 | 人人都可以参与开源
3.SysOM 案例解析：消失的内存都去哪了 ！
4.LSF 集群全面监控！浅析 HPC 基于龙蜥操作系统的迁移替代解决方案
5.龙蜥社区第九次运营委员会会议顺利召开