<div dir="ltr"><div class="gmail_default" style="font-size:small">Lesley, what version of SSG and OpenSCAP are you using?</div><div class="gmail_default" style="font-size:small"><br></div><div class="gmail_default" style="font-size:small">Greg</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Sat, Jan 10, 2015 at 5:53 PM, Lesley Kimmel <span dir="ltr">&lt;<a href="mailto:ljkimmel99@hotmail.com" target="_blank">ljkimmel99@hotmail.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><p dir="ltr">Thanks a ton for all of that information, Greg. From what I&#39;ve been reading I would have expected just what you described. However, all I had to do to run the RHEL content on CentOS was to add &lt;platform&gt;&quot;cpe:/o:centos:centos:6&quot;&lt;/platform&gt; near the top of the benchmark (xccdf) with no modification to the CPE or components...</p><div class="HOEnZb"><div class="h5">
<div class="gmail_quote">On Jan 10, 2015 1:54 PM, Greg Elin &lt;<a href="mailto:gregelin@gitmachines.com" target="_blank">gregelin@gitmachines.com</a>&gt; wrote:<br type="attribution"><blockquote style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div style="font-size:small">Lesley,</div><div style="font-size:small"><br></div><div style="font-size:small">I know how you feel. SCAP seems like it should be easy because it is &quot;just XML&quot;. Then you dig into looking for a test and it gets confusing fast.</div><div style="font-size:small"><br></div><div>SCAP (Security Content Automation Protocol) is actually a set of multiple standards and specifications that are used together to enable automatically testing hundreds of nerd settings. Let me emphasize that: <i>SCAP is not a single XML specification -- SCAP is multiple standards and specs</i>. Whenever you give &quot;SCAP Content&quot; to a scanner to check a system configurations you are giving the scanner multiple XML files representing multiple standards.</div><div><br></div><div>- XCCDF describes the checklist (Extensible Configuration Checklist Description Format). [1]</div><div>- CCE are unique identifiers and descriptive material for specific configuration settings (Common Configuration Enumeration). [1]</div><div>- OVAL is the XML that describes tests, including multi-part tests, that assess if a CCE identified configuration setting is correct on a system. (Open Vulnerability Assessment Language) [1]</div><div>- CPE is as unique string of text to uniquely identify a &quot;platform&quot; of software, hardware, or application (Common Platform Enumeration). The idea is that CPE string can be used to associate a checklist (XCCDF), a configuration setting (CCE) or test (OVAL) with a specific platform. (Oy!) [1]</div><div><br></div><div>And the list goes on. But to understand how to use SCAP-Security-Guide on CentOS we only need to worry about  XCCDF, CCE, OVAL, and CPE. (At least I think...)</div><div><br></div><div>Almost all RHEL CCE&#39;s (config settings) and OVAL (test criterion) work on CentOS. The exception are those settings/tests like the RHEL GPG key installed which only make sense in relation to a RHEL subscription and do not apply to CentOS. </div><div><br></div><div>So why does OpenSCAP run SCAP-Security-Guide on CentOS, but the results come back &quot;not applicable?&quot;  Two reasons:</div><div>1) Because the XCCDF in RHEL refers to CPE XML file that specifies RHEL and not CentOS.</div><div>2) Because CPE platform string is verified with an OVAL test that checks the RPMs for platform identification.</div><div><br></div><div>Thus, to get OpenSCAP to work on CentOS, we need to tell OpenSCAP to use a CPE-dictionary.xml file that includes a CPE string for CentOS <i>and</i> we need to have a corrected OVAL test that validates we are on CentOS.</div><div><br></div><div>And how do we do this reliability? Part of what I&#39;m trying to do with my software, GovReady [2], is to make things like this easier. </div><div><br></div><div>But you don&#39;t have to use GovReady. If you read the CentOS quick start in the GovReady README, you will see link to a CentOS ssg-centos6-cpe-oval.xml and ssg-centos6-cpe-oval.xml file that make the necessary adjustments. You just need to copy them to your local CentOS server and then correctly specify their path when running OpenSCAP. Like so:</div><div><br></div><div>oscap xccdf eval --oval-results --profile server --cpe scap/content/ssg-centos6-cpe-dictionary.xml /usr/share/xml/scap/ssg/content/ssg-rhel6-xccdf.xml<br></div><div><br></div><div>Alternatively, you could manually update the CPE and OVAL XML file using (e.g., using a sed statement). </div><div><br></div><div>It&#39;s still kind of confusing for me. So I hope I have the above correct.</div><div><br></div><div style="font-size:small">[1] <a href="http://wiki.gentoo.org/wiki/SCAP" target="_blank">http://wiki.gentoo.org/wiki/SCAP</a><br></div><div style="font-size:small">[2] <a href="https://github.com/GovReady/govready" target="_blank">https://github.com/GovReady/govready</a></div><div style="font-size:small"><br></div><div style="font-size:small">Greg Elin</div><div style="font-size:small"><a href="http://govready.org" target="_blank">http://govready.org</a> - Making FISMA compliance easier for innovators</div><div style="font-size:small"><br></div><div style="font-size:small">email: <a href="mailto:gregelin@gitmachines.com" target="_blank">gregelin@gitmachines.com</a></div><div style="font-size:small">phone: <a href="tel:917-304-3488" value="+19173043488" target="_blank">917-304-3488</a></div><div style="font-size:small"><br></div></div><div><br><div>On Fri, Jan 9, 2015 at 5:20 AM, Simon Lukasik <span dir="ltr">&lt;<a href="mailto:isimluk@fedoraproject.org" target="_blank">isimluk@fedoraproject.org</a>&gt;</span> wrote:<br><blockquote style="margin:0 0 0 0.8ex;border-left:1px #ccc solid;padding-left:1ex"><div><div>On 01/08/2015 09:04 PM, Lesley Kimmel wrote:<br>
<blockquote style="margin:0 0 0 0.8ex;border-left:1px #ccc solid;padding-left:1ex">
I just downloaded the RHEL7 SCAP content and was &#39;playing&#39; with it on a<br>
CentOS 6 system. I found that in order to make the checks run I needed<br>
to add &#39;cpe:/o:centos:centos:6&#39; in a &lt;platform&gt; tag near the beginning<br>
of the XCCDF component. I found this, in part, from various posts on the<br>
interwebs. I&#39;m really curious how this validation occurs and where the<br>
information comes from on the target OS. Can anyone give me insight to<br>
this issue?<br>
<br>
</blockquote>
<br></div></div>
If you really wish to understand the things, your best bet would be to read the actual standards.<br>
<br>
For example XCCDF Standard document (NIST Interagency Report 7275) gives basic insight into CPE matching.<br>
<br>
Best regards,<font color="#888888"><br>
<br>
-- <br>
Simon Lukasik<br>
Security Technologies, Red Hat, Inc.<br>
-- <br>
SCAP Security Guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org" target="_blank">scap-security-guide@lists.<u></u>fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.<u></u>org/mailman/listinfo/scap-<u></u>security-guide</a><br>
<a href="https://github.com/OpenSCAP/scap-security-guide/" target="_blank">https://github.com/OpenSCAP/<u></u>scap-security-guide/</a></font></blockquote></div><br></div>
</blockquote></div></div></div><br>--<br>
SCAP Security Guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
<a href="https://github.com/OpenSCAP/scap-security-guide/" target="_blank">https://github.com/OpenSCAP/scap-security-guide/</a><br></blockquote></div><br></div>