<html dir="ltr">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
<style id="owaParaStyle" type="text/css">P {margin-top:0;margin-bottom:0;}</style>
</head>
<body ocsi="0" fpstyle="1">
<div style="direction: ltr;font-family: Tahoma;color: #000000;font-size: 10pt;">Warning - shameless commercial plug below.<br>
<br>
I'm an engineer on a commercial product called 'Security Blanket' that can also help with the remediation against the RHEL5 and RHEL6 STIGs, in addition to other industry/government standards.&nbsp; We do not consume the SCAP content directly from DISA, but read
 the manual prose and then use our own library code to implement the desired changes.&nbsp; If you are interested, please check our our website at
<a href="http://www.trustedcs.com/securityblanket." target="_blank">http://www.trustedcs.com/securityblanket.</a>&nbsp; There are some very dated videos on YouTube that you can find as well as a much more recent video on our reseller's web-site :
<a href="http://www.shadow-soft.com/linux-hardening." target="_blank">http://www.shadow-soft.com/linux-hardening.</a>&nbsp; Feel free to contact me off list as well.<br>
<br>
-Rob Sanders<br>
<div><br>
<div style="font-family:Tahoma; font-size:13px"><span class="958550421-31072012"><font size="2">===========================<br>
Rob Sanders<br>
Sr. Secure Systems Engineer<br>
Raytheon Trusted Computer Solutions<br>
12950 Worldgate Drive, Suite 600<br>
Herndon, Virginia 20170<br>
Security Blanket Support: 1-866-230-1317<br>
Security Blanket Email: SecurityBlanket@TrustedCS.com<br>
Office: 703-896-4762<br>
Fax:&nbsp;&nbsp;&nbsp; 703-318-5041<br>
Email: RSanders@TrustedCS.com</font></span></div>
</div>
<br>
<div style="font-family: Times New Roman; color: #000000; font-size: 16px">
<hr tabindex="-1">
<div style="direction: ltr;" id="divRpF707740"><font color="#000000" face="Tahoma" size="2"><b>From:</b> scap-security-guide-bounces@lists.fedorahosted.org [scap-security-guide-bounces@lists.fedorahosted.org] on behalf of Vincent Passaro [vince@buddhalabs.com]<br>
<b>Sent:</b> Wednesday, September 03, 2014 1:49 AM<br>
<b>To:</b> Joe Nall<br>
<b>Subject:</b> Re: Remediation advice for RHEL 5 and 6<br>
</font><br>
</div>
<div></div>
<div>
<p dir="ltr">On the topic of the rhel stig fix repo, what was the intent in forking Aqueduct bash content and creating a separate project? Wouldn't we want to keep things together to prevent the community from now having multiple projects attempting the same
 goal... Using the same Aqueduct code?</p>
<p dir="ltr">It would make sense that a fork occurred if it was done by an external person or company, but this was done by Red Hat employees.
</p>
<p dir="ltr">I'm sure the Aqueduct community would have loved to see the contribution from Red Hat back into the project.
</p>
<div class="gmail_quote">On Sep 2, 2014 9:46 PM, &quot;Shawn Wells&quot; &lt;<a href="mailto:shawn@redhat.com" target="_blank">shawn@redhat.com</a>&gt; wrote:<br type="attribution">
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex; border-left:1px #ccc solid; padding-left:1ex">
<div bgcolor="#FFFFFF">
<div>On 9/3/14, 12:09 AM, Vincent Passaro wrote:<br>
</div>
<blockquote type="cite">Phillip,
<div><br>
</div>
<div>Aqueduct definitely has the most options (Ansible / Puppet / Bash) for DISA STIG remediation.&nbsp;</div>
<div><br>
</div>
<div>Cheers,<br>
<div>
<div><br>
</div>
<div><font size="3">Vince</font></div>
<br>
<div>
<div>On Sep 2, 2014, at 9:03 PM, Philip Shuman &lt;<a href="mailto:philip.shuman@sri.com" target="_blank">philip.shuman@sri.com</a>&gt; wrote:</div>
<br>
<blockquote type="cite">Are the Aqueduct remediation scripts still the best available place to start for implementing requested changes from the DISA STIG findings for RHEL5 and RHEL6?</blockquote>
</div>
</div>
</div>
</blockquote>
<br>
<br>
Aqueduct is pretty much the only location with RHEL5 scripts. And like Vince pointed out, Aqueduct also has Puppet and Ansible. IIRC, the Puppet scripts were contributed by Maura Dailey earlier this summer, and represented NSA open sourcing their baseline.
 Everything Aqueduct has is reputable and very tested.<br>
<br>
A benefit of SSG is that scanning/remediation is tightly integrated through human-readable prose guides, scanning/evaluation, and remediation. A single change within SSG (say, to tailor password lengths) will automatically trickle to prose guides (XCCDF), evaluation
 (OVAL), and remediation (bash scripts). SSG also benefits from a vibrant community, and further, will be shipping natively in RHEL 6.6&#43;.<br>
<br>
A third option would be to evaluate the STIG kickstart builder Red Hat Gov released to GitHub:<br>
<a href="https://github.com/RedHatGov/stig-fix-el6-kickstart" target="_blank">https://github.com/RedHatGov/stig-fix-el6-kickstart</a><br>
<br>
It wraps SSG &#43; stig-fix scripts &#43; banners into a customized installation DVD/ISO. Many of the remediation scripts were originally sourced from Aqueduct.<br>
<br>
<br>
<br>
</div>
<br>
--<br>
SCAP Security Guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org" target="_blank">scap-security-guide@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
<a href="https://github.com/OpenSCAP/scap-security-guide/" target="_blank">https://github.com/OpenSCAP/scap-security-guide/</a><br>
</blockquote>
</div>
</div>
</div>
</div>
</body>
</html>