Category: System Operation & System Setting & System Software (系统操作 & 系统设置 & 系统软件)

Posted on

[步骤] Linux SCAP （Security Content Automation Protocol） 的生成 （Linux 开源安全报道的生成）

正文：

步骤一：安装 openscap 和相关组件

如果是 RHEL：

# yum install openscap openscap-scanner

如果是 SLE：

# zypper install openscap openscap-utils scap-security-guide

步骤二：下载最新的 SUSE 官方 OVAL 文件

2.1 进入存放下载的官方 OVAL 文件的目录

# cd /root

（补充：这里以把官方的 OVAL 文件下载到 /root 目录为例）

2.2 下载最新的官方 OVAL 文件

如果是 RHEL：

# wget -O - https://access.redhat.com/security/data/oval/v2/RHEL9/rhel-9.oval.xml.bz2

（补充：这里以下载 RHEL 9 官方的 OVAL 文件为例）

如果是 SLES：

# wget https://ftp.suse.com/pub/projects/security/oval/suse.linux.enterprise.15-patch.xml.bz2

（补充：这里以下载 SLE 15 官方的 OVAL 文件为例）

2.2 解压下载下来的 OVAL 文件

如果是 RHEL：

# bzip2 -d rhel-9.oval.xml.bz2

（补充：这里以解压 rhel-9.oval.xml.bz2 文件为例）

如果是 SLES：

# bzip2 -d suse.linux.enterprise.15-patch.xml.bz2

（补充：这里以解压 suse.linux.enterprise.15-patch.xml.bz2 文件为例）

步骤三：使用 SUSE 官方的 OVAL 文件生成 SCAP （Security Content Automation Protocol） 报告

如果是 RHEL：

# oscap oval eval  --report /root/rhel9.5_report20240101.html /root/rhel-9.oval.xml

（补充：这里以用刚刚下载的官方的 OVAL 文件生成名为 rhel9.5_report20240101.html 的 SCAP （Security Content Automation Protocol） 报告文件，并放在 /root 目录下为例）

如果是 SLES：

# oscap oval eval --report /root/sles15.5_report_20240101.html /root/suse.linux.enterprise.15-patch.xml

（补充：这里以用刚刚下载的官方的 OVAL 文件生成名为 sles15.5_report_20240101.html 的 SCAP （Security Content Automation Protocol） 报告文件，并放在 /root 目录下为例）

参考文献：

https://documentation.suse.com/compliance/all/html/SLES-openscap/index.html

Posted on

[CONTENT] Linux common parameters of /etc/fstab file

/dev/vg/lv_var /var xfs nodev,nosuid,noexec 0 0
/dev/vg/lv_var_log /var/log xfs nodev,nosuid,noexec,x-systemd.requires-mounts-for=/var 0 0

(
Add:
1) nodev parameter here means this directory can not be interpreted by devices or blocks
2) nosuid parameter here means no setuid files can be created in this directory
3) noexec parameter here means no files can be executed in this directory
4) x-systemd.requires-mounts-for=/var here parameter means /var/log directory can not be mounted until /var directory has been mounted
)

Posted on

[DEBUG] Linux resolve error code ‘DB version too old ……, expected …… for domain implicit_files!’

Error Code：

# useradd <account name>
DB version too old ......, expected ...... for domain implicit_files!
......

Or:

# chage -l <user name>
DB version too old ......, expected ...... for domain implicit_files!
......

Solution:

Step One: Create /etc/sssd/sssd.conf file

# vim /etc/sssd/sssd.conf

Add follow lines:

[sssd]
enable_files_domain = true

Step Two: Give /etc/sssd/sssd.conf file properly privilege

# chmod 600 /etc/sssd/sssd.conf

Step Three: Restart sssd service

# systemctl restart sssd

Reference:

https://access.redhat.com/solutions/7031304

Posted on

[步骤] Linux 网络的设置 （禁用 IPv6） （openSUSE & SLES 版）

内容一：显示 IPv6 是否启用

1.1 方法一：通过 ifconfig 命令实现

# ifconfig

1.2 方法二：通过 ip 命令实现

# ip a s

（补充：如果出现了 inet6 则 IPv6 是激活的）

1.3 方法三：通过 sysctl -a 命令实现

# sysctl -a | grep -i ipv6|grep -i disable
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.eth0.disable_ipv6 = 1
net.ipv6.conf.eth1.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 1

（补充：从输出结果中可以看出 IPv6 已经被禁用）

内容二：临时禁用 IPv6

2.1 临时禁用本地所有的 IPv6

# sysctl -w net.ipv6.conf.all.disable_ipv6=1

2.2 临时禁用某 1 张网卡的 IPv6

# sudo echo 1 > /proc/sys/net/ipv6/conf/ens32/disable_ipv6

（
补充：
1) 这里的 ens32 是要禁用 IPv6 的网卡名称
2) 系统或者网卡重启后禁用失效
）

内容三：永久禁用 IPv6

# yast lan

Global Options –> IPv6 Protocol Settings –> 取消勾选 IPv6