SaltStack SecOps Compliance のカスタムコンテンツ

カスタムコンプライアンスコンテンツを使用すると、SaltStack SecOps Compliance に組み込まれているセキュリティベンチマークおよびセキュリティチェックのライブラリを補完する独自のセキュリティ標準を定義できます。このカスタムコンテンツは、SaltStack SecOps Compliance のポリシーを社内の要件に合わせて強化する場合に便利です。

チェックは、SaltStack SecOps Compliance で準拠を評価するセキュリティ標準です。ベンチマークは、セキュリティチェックのカテゴリです。

SaltStack SecOps Compliance には、Custom Content SDK (Software Development Kit) が含まれています。この SDK を使用して、独自のカスタムセキュリティコンテンツを作成、テスト、およびビルドできます。カスタムセキュリティコンテンツをインポートして、SaltStack SecOps Compliance の組み込みのセキュリティライブラリとともに評価や修正に使用できます。また、カスタムコンテンツをインポートする機能により、選択したバージョン管理システムを使用してコンテンツをバージョン管理できます。

カスタムチェックを使用するには、まず SaltStack SecOps Compliance の Custom Content SDK を初期化します。SDK に含まれるサンプルファイルに変更を加えることで、独自のカスタムチェックやベンチマークを作成できます。SDK には、新しいコンテンツをテストできる Docker ベースのテスト環境も含まれています。

カスタムコンテンツの作成とテストが完了したら、コンテンツファイルをビルドして SaltStack SecOps Compliance にインポートし、評価と修正を開始できます。カスタムチェックにはユーザーアイコンカスタムチェックユーザーアイコンが表示され、SaltStack チェックには組み込みチェックシールドアイコンが表示されます。SaltStack SecOps Compliance は、ポリシーとカスタムコンテンツの間の依存関係を追跡し、コンテンツを削除すると解除される可能性がある依存関係のリストを表示します。

前提条件

SaltStack SecOps Compliance の Custom Content SDK をダウンロードします。
Docker をインストールします。Docker のインストールドキュメントを参照してください。

SDK の初期化

コマンドラインから、ファイルを含むディレクトリに移動し、OS に応じて次のコマンドを実行します。
- Mac OS または Linux
```
./secops_sdk init
```
- Windows
```
secops_sdk.exe init
```
出力は表示されません。これは想定どおりです。この時点で、ディレクトリには次のフォルダとファイルが含まれています。
- benchmarks
- salt/locke/custom
- sample_tests
- README.md
これらのフォルダとファイルの詳細については、フォルダとファイルを参照してください。
（オプション）バージョン管理されたリポジトリに変更をコミットします。

カスタムチェックの作成

注：

カスタムコンテンツを作成するには、SDK の初期化が前提条件となります。SDK の初期化を参照してください。

Custom Content SDK で、salt/locke/custom に移動します。このディレクトリには、サンプル状態 (.sls) およびメタ (.meta) ファイルを含むさまざまなサブディレクトリがあります。
注：すべてのカスタムチェックは、状態 ( .sls) および対応するメタ ( .meta) ファイルの両方で構成する必要があります。
サンプル状態 (.sls) のコピーおよび対応するメタ (.meta) ファイルのコピーを作成し、それぞれの名前をカスタムチェックを示すわかりやすい名前に変更します。
チェックに関連付けられた両方のファイルが同じディレクトリにあり、同じ名前で始まっている必要があります。たとえば、次のようになります。
- my_first_check.meta
- my_first_check.sls
この 2 つのファイルは、salt/locke/custom の任意のサブディレクトリに一緒に保存できます。
メタファイルの内容を編集することで、ニーズに基づいてチェックをカスタマイズします。ファイルは YAML 形式で記述されています。ファイルに含まれるオプションのリストについては、フォルダとファイルを参照してください。
注：チェックのメタファイルには、複数のベンチマークへの参照が含まれています。カスタムコンテンツを作成する場合は、関連付けられているすべてのベンチマークをチェックのメタファイルに含める必要があります。
状態ファイルの内容を編集します。詳細については、フォルダとファイルを参照してください。
両方のファイルが同じディレクトリに保存されていることを確認します。
これで、カスタムチェックを作成するために必要な最小限の手順が完了しました。引き続き、チェックのテスト、バージョン管理へのコミット、またはコンテンツライブラリのビルドを実行できます。

カスタムベンチマークの作成

注：カスタムコンテンツを作成するには、SDK の初期化が前提条件となります。 SDK の初期化を参照してください。

カスタムコンテンツ SDK で、benchmarks ディレクトリに移動します。このディレクトリには、サンプルのベンチマークメタ (.meta) ファイルが含まれています。
Sample_Benchmark.meta のコピーを作成し、ベンチマークを示すわかりやすい名前に変更します。
メタファイルの内容を編集することで、ニーズに基づいてベンチマークをカスタマイズします。ファイルは YAML 形式で記述されています。ファイルに含まれる各オプションの説明については、フォルダとファイルを参照してください。

カスタムコンテンツのテスト

注：以下の手順には、Docker のインストールが前提条件となります。Docker のダウンロードとインストールの詳細については、 Docker のインストールドキュメントを参照してください。

カスタムコンテンツを作成したら、コマンドラインを開き、Custom Content SDK の sample_tests ディレクトリに移動します。
テスト用に Salt を使用して CentOS7 の Docker イメージをビルドします。
```
./build.sh
```
テスト用コンテナを起動します。
```
./up.sh
```
salt/locke/custom ディレクトリに作成したチェックに対してサンプルテストを実行します。カスタムチェックは、次のように通常の Salt 状態と同様に実行できます。
```
./test.sh salt-call --local state.apply locke.custom.mounts.my_first_check test=True
```
その他のテストの例については、SDK README の「Test Custom Content」を参照してください。Salt 状態の詳細については、Salt のドキュメント：How do I use Salt States?を参照してください。
テストが完了したら、テスト用コンテナをシャットダウンします。
```
./down.sh
```

カスタムコンテンツライブラリのビルド

カスタムコンテンツを作成したら、コマンドラインを開き、Custom Content SDK のルートディレクトリに移動します。
カスタムコンテンツライブラリをビルドします。
```
./secops_sdk build -a
```
これにより、SDK のルートディレクトリに _dist サブディレクトリが作成されます。これには、SaltStack Config のユーザーインターフェイスまたは API (RaaS) を介したコンテンツのインポートに使用できる 2 つの tar.gz ファイルが含まれています。ディレクトリに含まれるすべてのファイルの説明については、フォルダとファイルを参照してください。

カスタムコンテンツのインポート

サイドメニューの [管理者] > [SecOps] をクリックします。
[コンプライアンスコンテンツ - SaltStack] の [更新を確認] をクリックします。
注：現在のセッションで SaltStack SecOps Compliance のコンテンツをすでにダウンロードしている場合は、この手順をスキップできます。
[パッケージのアップロード] をクリックし、ファイルエクスプローラで .tar.gz ファイルを選択します。
注：カスタムチェック間の移動を簡単にするには、ファイル名にタイムスタンプを含むファイルを使用します。ファイルの詳細については、フォルダとファイルを参照してください。
これで、SaltStack SecOps Compliance でカスタムコンテンツを使用して、ポリシーの作成、評価の実行、システムの修正を実行できるようになります。カスタムチェックにはユーザーアイコンが表示され、SaltStack チェックにはが表示されます。

注：
API (RaaS) を使用するか、インストール時にコマンドラインを使用して、コンテンツをインポートすることもできます。Sec API インターフェイスまたはエンタープライズインストールガイドを参照してください。

カスタムチェックの削除

ユーザーインターフェイスで、[SecOps] > [チェック] の順に移動します。
削除するチェックの横にあるメニューをクリックし、[削除] をクリックします。
注：カスタムコンテンツのみ削除できます。カスタムコンテンツにはユーザーアイコンが表示され、SaltStack コンテンツにはが表示されます。
[チェックの削除] ダイアログの [使用中] で、チェックを含むポリシーとベンチマークのリストを確認します。これは、チェックを削除すると解除される可能性がある環境内の依存関係を予測するのに便利です。
使用中の依存関係の確認が完了したら、[次へ] をクリックします。
[チェックの削除] > [警告] で、[削除] をクリックします。チェックが削除されたことがダイアログに表示されます。
[完了] をクリックしてダイアログを閉じます。

カスタムベンチマークの削除

ユーザーインターフェイスで、[SecOps] > [ベンチマーク] の順に移動します。
削除するチェックの横にあるメニューをクリックし、[削除] をクリックします。
注：
カスタムコンテンツのみ削除できます。カスタムコンテンツにはユーザーアイコンが表示され、SaltStack コンテンツにはが表示されます。
[ベンチマークの削除] ダイアログの [使用中] で、ベンチマークに関連付けられたポリシーとチェックのリストを確認します。これは、ベンチマークを削除すると解除される可能性がある環境内の依存関係を予測するのに便利です。
使用中の依存関係の確認が完了したら、[次へ] をクリックします。
[ベンチマークの削除] > [警告] で、[削除] をクリックします。ベンチマークが削除されたことがダイアログに表示されます。
[完了] をクリックしてダイアログを閉じます。

フォルダとファイル

SDK の初期化後、ディレクトリには次のフォルダとファイルが含まれています。

benchmarks - カスタムベンチマークのメタ (.meta) ファイルを含む
salt/locke/custom - カスタムチェックの状態 (.sls) とメタ (.meta) ファイルを含む
sample_tests - Docker を使用したテスト用のサンプルファイルを含む
README.md - SDK に関する詳細情報を含む

重要なファイルについては、以下で詳しく説明します。

[カスタムベンチマークのファイル]

ベンチマークは、セキュリティチェックのカテゴリです。SaltStack SecOps Compliance の組み込みのベンチマークは、信頼されたエキスパートによって定義されています。一方、カスタムベンチマークは、組織の標準に基づいて定義できます。各ベンチマークには、チェックと呼ばれる推奨のリストが含まれます。また、対応する .meta ファイルが benchmarks ディレクトリにあります。SaltStack SecOps Compliance のベンチマークの詳細については、ベンチマークを参照してください。

ベンチマークのメタファイルを作成することにより、チェックのカテゴリを作成します。その後、チェックのメタファイルの benchmark_id でベンチマークに名前を付けることで、そのベンチマークにチェックを追加できます。フォルダとファイルを参照してください。

メタファイルは YAML 形式で記述され、コンテンツ用にカスタマイズできる次のオプションが含まれています。

name: ベンチマーク名
display_name: SaltStack SecOps Compliance でベンチマークのリストに表示されるベンチマークの名前
desc: ベンチマークの説明

注：

上記のオプションに加えて、メタファイルには、version、authority、ids など、さまざまな予約済みアイテムが含まれています。これらの予約済みアイテムは、管理者の指示がない限り変更しないでください。

[カスタムチェックのファイル]

チェックは、SaltStack SecOps Compliance で準拠を評価するセキュリティ標準です。これは、ベンチマークに関連付けられた推奨です。この推奨には、説明、根拠、監査、および修正に関する情報が示されます。各チェックは、状態 (.sls) および対応するメタ (.meta) ファイルという 2 つ以上のファイルによって定義されます。

注：

チェックに関連付けられた両方のファイルが同じディレクトリにあり、同じ名前で始まっている必要があります。たとえば、次のようになります。

my_first_check.meta
my_first_check.sls

この 2 つのファイルは、salt/locke/custom の任意のサブディレクトリに一緒に保存できます。

各ファイルタイプについては、以下で詳しく説明します。

[チェックのメタファイル]

チェックのメタファイルには、チェックの説明と、そのバージョンや適用可能なオペレーティングシステムなど、チェックに関連するその他の詳細が含まれています。メタファイルは YAML 形式で記述され、ファイル拡張子 .meta を使用します。

カスタムチェックのメタファイルには、次のオプションがあります。

version

チェックコンテンツのバージョン。現時点では、値として 1 のみがサポートされます。

display_name

SaltStack Config のユーザーインターフェイスでチェックのリストに表示されるこのチェックの名前。

global_description

チェックの詳細説明。これは、チェック名やベンチマーク名で示されるよりも多くの情報を提供するために利用できます。

osfinger

このチェックを実行できるオペレーティングシステムのリスト。このリストの値と一致する osfinger 値がホストに存在しない場合、チェックの評価結果は notapplicable として返されます。

refs

このチェックによって満たされる他のベンチマークまたはセキュリティ標準の他のチェックに関する相互参照情報。

benchmark_id

チェックが属する各ベンチマークのリスト。

各ベンチマークエントリについて、次のサブオプションを含む新しいセクションが作成されます。

type

ベンチマークのタイプ。特定の機関から提供されるのではないカスタムチェックを定義する場合は、custom を入力します。

desc

SaltStack Config のユーザーインターフェイスでチェックのリストに表示されるセキュリティ推奨のタイトル。

control_id

推奨の番号（対応する CIS ドキュメントからの番号など）。

scored

このフィールドは、スコア付きまたはスコアなしの CIS 推奨に基づいてモデル化されます。スコアなしの CIS 推奨は、セキュリティスコアのカウントに影響しません。「true」はスコア付きを示し、false はスコアなしを示します。社内のニーズに基づいて、スコア付きまたはスコアなしのチェックを選択します。

profile

CIS および他のベンチマークは、いくつかのプロファイルに分かれています。たとえば、CIS CentOS Linux 7 ベンチマークには次の 4 つのプロファイルがあります。

profile:
  server:level1
  workstation:level1
  server:level2
  workstation:level3

information

チェックの説明。これは、チェックの global_description フィールドと同様です。

rationale

チェックを実装する根拠の説明。

remediation

非準拠状態のシステムを修正する方法に関する指示。

[チェックの状態ファイル]

チェックの状態ファイルは、評価と修正を実行するために Salt 状態を適用します。状態関数は状態モジュール内に含まれる関数であり、アプリケーションがシステムに対して特定の状態になるように管理することができます。状態関数は多くの場合、指定されたタスクを実行するために 1 つまたは複数の実行モジュールを呼び出します。状態ファイルは YAML と Jinja の両方で記述され、ファイル拡張子 .sls を使用します。

評価の結果は、状態ファイルを test=True モードで実行した結果です。状態を適用すると変更が生じるという結果が示された場合、ホストは非準拠と見なされます。状態を適用しても変更が生じない場合、ホストは準拠と見なされます。

Salt 状態の詳細については、Salt のドキュメント：How do I use Salt States?を参照してください。

カスタムコンテンツライブラリのファイル

カスタムコンテンツライブラリをビルドした後、ディレクトリには _dist ディレクトリが含まれています。このディレクトリには、次の追加ファイルが含まれます。

digest.json - コンテンツに関するハッシュおよびその他の情報を含む
secops_custom.tar.gz - 取り込み可能な gzip tar ファイル。これは SaltStack Config のユーザーインターフェイスを介したアップロードに適しています。コンテンツの取り込みの詳細については、エンタープライズインストールガイドを参照してください。
secops_custom.txt - base64 エンコードバージョンの secops_custom.tar.gz。これは、API 呼び出しを行う場合に便利です。
secops_custom_YYYY-MM-DDTHH:MM:SS.SSSSSS...tar.gz - secops_custom.tar.gz と同一のコピー。作成日と tarball UUID を含むわかりやすいファイル名になっているため、SaltStack Config のユーザーインターフェイスを介してアップロードする場合に推奨されます。

前提条件

SDK の初期化

カスタム チェックの作成

カスタム ベンチマークの作成

カスタム コンテンツのテスト

カスタム コンテンツ ライブラリのビルド

カスタム コンテンツのインポート

カスタム チェックの削除

カスタム ベンチマークの削除