<html>
  <head>
    <meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
  </head>
  <body bgcolor="#FFFFFF" text="#000000">
    <div class="moz-cite-prefix">On 10/1/12 11:52 AM, Andrew Gilmore
      wrote:<br>
    </div>
    <blockquote
cite="mid:CAD1s7uzHm0YnV7=1SPLY77X7CYvtpQfN=6Z7ttCMpxrrWYA4-A@mail.gmail.com"
      type="cite">
      <div class="gmail_quote">
        <blockquote class="gmail_quote" style="margin:0 0 0
          .8ex;border-left:1px #ccc solid;padding-left:1ex">Date: Sun,
          30 Sep 2012 14:50:15 -0400<br>
          From: Shawn Wells &lt;<a moz-do-not-send="true"
            href="mailto:shawn@redhat.com">shawn@redhat.com</a>&gt;<br>
          To: <a moz-do-not-send="true"
            href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
          Subject: Re: [PATCH] Fixed typo in example iptables
          network/netmask<br>
                  pair for        limiting ssh port to trusted networks.<br>
          Message-ID: &lt;<a moz-do-not-send="true"
            href="mailto:50689467.5000400@redhat.com">50689467.5000400@redhat.com</a>&gt;<br>
          Content-Type: text/plain; charset=UTF-8; format=flowed<br>
          <br>
          On 9/28/12 1:21 PM, Andrew Gilmore wrote:<br>
          &gt; -&lt;pre&gt;-A RH-Firewall-1-INPUT -s netwk /mask -m
          state --state NEW -p tcp --dport 22 -j ACCEPT&lt;/pre&gt;<br>
          &gt; +&lt;pre&gt;-A RH-Firewall-1-INPUT -s netwk/mask -m state
          --state NEW -p tcp --dport 22 -j ACCEPT&lt;/pre&gt;<br>
          <br>
          Thanks for the catch! Ack<br>
          <br>
          Please push (or indicate you need someone to do so for you).<br>
          <br>
        </blockquote>
        <div><br>
        </div>
        <div>I don't have write access, this patch was mostly a drive
          by.</div>
        <div><br>
        </div>
        <div>Please push.</div>
      </div>
    </blockquote>
    Out of curiosity I did a quick search to see where else this typo
    might be:<br>
    $ grep -rin "netwk /mask -m" *<br>
    services/ldap.xml:365:&lt;pre&gt;-A RH-Firewall-1-INPUT -s netwk
    /mask -m state --state NEW -p tcp --dport 389 -j ACCEPT<br>
    services/ldap.xml:366:-A RH-Firewall-1-INPUT -s netwk /mask -m state
    --state NEW -p tcp --dport 636 -j ACCEPT&lt;/pre&gt;<br>
    services/ssh.xml:372:&lt;pre&gt;-A RH-Firewall-1-INPUT -s netwk
    /mask -m state --state NEW -p tcp --dport 22 -j ACCEPT&lt;/pre&gt;<br>
    <br>
    I went ahead and fixed (and pushed) this for the above lines:<br>
<a class="moz-txt-link-freetext" href="https://fedorahosted.org/scap-security-guide/changeset/a1be82174ef7685790862e7711ebf0f755657978">https://fedorahosted.org/scap-security-guide/changeset/a1be82174ef7685790862e7711ebf0f755657978</a><br>
    <br>
    <br>
    <blockquote
cite="mid:CAD1s7uzHm0YnV7=1SPLY77X7CYvtpQfN=6Z7ttCMpxrrWYA4-A@mail.gmail.com"
      type="cite">
      <div class="gmail_quote">
        <div>My agency is attempting to STIG a CentOS 6 image
          themselves, and I both don't have time to wait, and thought
          someone else was probably doing it. I'm glad you all are, but
          seems like you're months out as well from production release.
          I know, I know, it is done when it is done. :)</div>
      </div>
    </blockquote>
    If you haven't already, I highly recommend checking out the SecState
    tool: <a class="moz-txt-link-freetext" href="https://fedorahosted.org/secstate/">https://fedorahosted.org/secstate/</a><br>
    <br>
    The tool scans the box, can perform remediation (through linking to
    the Aqueduct project), and outputs pretty HTML to let you know if
    you have any findings. It's maintained by Tresys, and their
    developers lurk on this list too.<br>
    <br>
    <br>
    <blockquote
cite="mid:CAD1s7uzHm0YnV7=1SPLY77X7CYvtpQfN=6Z7ttCMpxrrWYA4-A@mail.gmail.com"
      type="cite">
      <div class="gmail_quote">
        <div>I should probably introduce myself, as well. </div>
        <div>I work for a Dept. of Interior agency on databases and
          hydrology, but sometimes dabble here and there. :) I have
          contributed to the CIS benchmarks for RHEL 5 and 6, and have
          all of two lines of code in the linux kernel. :)</div>
      </div>
    </blockquote>
    And now you have 3 lines in the SCAP Security Guide, which is
    working itself to be the upstream source for  RHEL6 STIG and USGCB
    content. Welcome to our community :)<br>
  </body>
</html>