RHEL 10 OpenSCAP 基线扫描：CIS Server L1 实测

OpenSCAP 在 RHEL 10 上仍是“SCAP 数据流 + oscap 扫描”这套：装 scap-security-guide 拿到 RHEL 10 的规则，装 openscap-scanner 拿到 oscap。本页跑一遍 CIS Server L1，并把结果怎么读、哪里会踩坑讲清。

验证范围

在 PVE 390 rhel10-lab（RHEL 10.2 x86_64）上实际执行：

sudo dnf -y install scap-security-guide openscap-scanner
rpm -q scap-security-guide openscap-scanner
oscap info /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml | grep 'Id:'
sudo oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis_server_l1 \
  --results /tmp/oscap-cis.xml \
  --report /tmp/oscap-cis.html \
  /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

E3 记录：plans/content-expansion/evidence/rhel/rhel-openscap-baseline/run.json（7 步，含扫描日志/XML/HTML 的 sha256）。

先给结论：扫描 ≠ 合规认证

OpenSCAP 给的是某一时刻的配置快照：

扫的是本机当前状态，不覆盖网络、流程、人员；
规则通过不等于审计通过，规则失败也不等于系统“不能用”；
扫描本身不改系统（除非加 --remediate）；
结果要结合业务豁免与风险接受记录，不能只报一个分数。

安装与数据流

scap-security-guide-0.1.82-2.el10_2.noarch
openscap-scanner-1.4.4-1.el10_2.x86_64
/usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

数据流里有 17 个 profile，常用的包括：

Profile	用途
`cis`	CIS 综合
`cis_server_l1`	CIS Server Level 1
`cis_workstation_l1/l2`	CIS 工作站
`stig` / `stig_gui`	DISA STIG
`pci-dss`	PCI DSS
`anssi_bp28_*` / `bsi` / `e8`	各国/行业基线

用 oscap info ... | grep 'Id:' 看完整列表，不要凭记忆拼 profile id。

跑 CIS Server L1

sudo oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis_server_l1 \
  --results /tmp/oscap-cis.xml \
  --report /tmp/oscap-cis.html \
  /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml
echo $?   # 2

实测结果：

结果	数量
pass	170
fail	120
notapplicable	34
error / unknown	0
score	69.089 / 100

产物：

-rw-r--r-- 3.6M /tmp/oscap-cis.html
-rw-r--r--  15M /tmp/oscap-cis.xml

退出码与产物怎么读

退出码	含义
0	所有适用规则通过
2	有规则失败（本次就是 2）
1	扫描本身出错

自动化脚本要把“扫描失败（1）”和“规则不通过（2）”分开处理；不要把 2 当异常直接重试。--results 的 XML 适合做 diff/入库，--report 的 HTML 适合给人看；两者都应归档，并记录 profile、数据流版本、扫描时间。

remediation：先审再改

# 只生成修复脚本，不执行
oscap xccdf generate fix \
  --profile xccdf_org.ssgproject.content_profile_cis_server_l1 \
  --output /tmp/cis-fix.sh \
  /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml