<html>
  <head>
    <meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
  </head>
  <body bgcolor="#FFFFFF" text="#000000">
    <div class="moz-cite-prefix">On 12/18/13, 9:42 AM, Nunez, Luis K
      wrote:<br>
    </div>
    <blockquote
      cite="mid:FDCC719E8EC4714EBFDE8473009EF6EC09FBD665@IMCMBX03.MITRE.ORG"
      type="cite">
      <pre wrap="">Inline below

-----Original Message-----
From: <a moz-do-not-send="true" class="moz-txt-link-abbreviated" href="mailto:scap-security-guide-bounces@lists.fedorahosted.org">scap-security-guide-bounces@lists.fedorahosted.org</a> 
[<a moz-do-not-send="true" class="moz-txt-link-freetext" href="mailto:scap-security-guide-bounces@lists.fedorahosted.org">mailto:scap-security-guide-bounces@lists.fedorahosted.org</a>] On Behalf Of Kurt 
Seifried
Sent: Tuesday, December 17, 2013 12:57 PM
To: <a moz-do-not-send="true" class="moz-txt-link-abbreviated" href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a>
Subject: Re: Should the remediation enforce the restart of service 
configuration of which it's changing?

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On 12/17/2013 08:57 AM, Jan Lieskovsky wrote:
</pre>
      <blockquote type="cite" style="color: #000000;">
        <pre wrap=""><span class="moz-txt-citetags">&gt; </span>----- Original Message -----
</pre>
        <blockquote type="cite" style="color: #000000;">
          <pre wrap=""><span class="moz-txt-citetags">&gt;&gt; </span>From: "Robert Sanders" <a moz-do-not-send="true" class="moz-txt-link-rfc2396E" href="mailto:rsanders@TrustedCS.com">&lt;rsanders@TrustedCS.com&gt;</a> To:
<span class="moz-txt-citetags">&gt;&gt; </span><a moz-do-not-send="true" class="moz-txt-link-abbreviated" href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a> Sent: Tuesday,
<span class="moz-txt-citetags">&gt;&gt; </span>December 17, 2013 4:24:22 PM Subject: RE: Should the remediation
<span class="moz-txt-citetags">&gt;&gt; </span>enforce the restart of service        configuration of which it's
<span class="moz-txt-citetags">&gt;&gt; </span>changing?
<span class="moz-txt-citetags">&gt;&gt;</span>
<span class="moz-txt-citetags">&gt;&gt; </span>As you expand from must the local machine to an Enterprise
<span class="moz-txt-citetags">&gt;&gt; </span>environment, this can be even more important.  Suppose an
<span class="moz-txt-citetags">&gt;&gt; </span>over-eager admin decides to remediate (via SCAP or some other
<span class="moz-txt-citetags">&gt;&gt; </span>process) an entire Enterprise installation.  If boxes are
<span class="moz-txt-citetags">&gt;&gt; </span>rebooted automagically after the remediation you can
<span class="moz-txt-citetags">&gt;&gt; </span>unintentionally take out the entire installation.  Factor in
<span class="moz-txt-citetags">&gt;&gt; </span>cases where there is a required start order (which I bet we've
<span class="moz-txt-citetags">&gt;&gt; </span>all seen), and you've got the makings of a first class mess, with
<span class="moz-txt-citetags">&gt;&gt; </span>really upset users/higher-ups.
</pre>
        </blockquote>
        <pre wrap=""><span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span>Thank you, Robert.
<span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span>Agree, that in the light of the above not enforcing the restart
<span class="moz-txt-citetags">&gt; </span>makes more sense.
<span class="moz-txt-citetags">&gt;</span>
</pre>
        <blockquote type="cite" style="color: #000000;">
          <pre wrap=""><span class="moz-txt-citetags">&gt;&gt; </span>I'd submit that having the option of a reboot is worthwhile, but
<span class="moz-txt-citetags">&gt;&gt; </span>it needs to be wrapped in a couple layers of 'mother-may-I'.
</pre>
        </blockquote>
        <pre wrap=""><span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span>But to follow-up on Luis' post yet (to continue on their
<span class="moz-txt-citetags">&gt; </span>proposal):
<span class="moz-txt-citetags">&gt; </span><a moz-do-not-send="true" class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/pipermail/scap-security-guide/2013-December/004712.html">https://lists.fedorahosted.org/pipermail/scap-security-guide/2013-December/004712.html</a>
<span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span> If there's some 'disruption' or 'reboot' attribute present in the
<span class="moz-txt-citetags">&gt; </span>XCCDF rule definition, should SSG be able to handle these in
<span class="moz-txt-citetags">&gt; </span>automated way (IOW be able to add certain explanatory messages for
<span class="moz-txt-citetags">&gt; </span>each of them automagically)?
<span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span>Or would we (for cases when it's clear) want to mention service
<span class="moz-txt-citetags">&gt; </span>restart / reload is necessary for the configuration change to take
<span class="moz-txt-citetags">&gt; </span>affect?
<span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span>Something like "2.7.4.n. Make the auditd Configuration Immutable"
<span class="moz-txt-citetags">&gt; </span>rule has now .. "With this setting, a reboot will be required to
<span class="moz-txt-citetags">&gt; </span>change any audit rules." ..
<span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span>which reflected into case of sshd could read as
<span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span>"With this setting the sshd service needs to be restarted for the
<span class="moz-txt-citetags">&gt; </span>change to take effect."
<span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span>Should we manually go through the content we already have and
<span class="moz-txt-citetags">&gt; </span>manually add those where appropriate?
<span class="moz-txt-citetags">&gt;</span>
<span class="moz-txt-citetags">&gt; </span>Thank you &amp;&amp; Regards, Jan. -- Jan iankko Lieskovsky / Red Hat
<span class="moz-txt-citetags">&gt; </span>Security Technologies Team
<span class="moz-txt-citetags">&gt;</span>
</pre>
      </blockquote>
      <pre wrap="">Would it be possible to have it default to no restart but have an
optional switch to do a restart? In general it's not safe to restart
by default, but it would be a nice option to offer.
[lnunez] I think this starts to become more of a tool implementation and task 
management issue.  We could start from XCCDF having the reboot=true to 
indicate that a reboot/restart is in order and let the tool separate, manage, 
authorize and perform the reboot function.  The tool should be able to 
separate the fixes that require reboot/restarts into a separate script.   I 
would also think leveraging the disruption attribute could also help in 
managing and categorizing fixes.</pre>
    </blockquote>
    <br>
    Exactly. With the proper use of the reboot and disruption
    attributes, this becomes a <i>tools</i> conversation, not
    necessarily SSG <i>content</i>. <br>
    <br>
    It would be interesting to see oscap be able to accept a
    "--disruption-level" type flag, whereas oscap would only remediate
    for settings equal to or lower than the value given.<br>
    <br>
    And perhaps a "--reboot" option, which would drop an `init 6` as the
    last line of the remediation script output.<br>
  </body>
</html>