IBM Cloud Security and Compliance Center(SCC): Linuxのコンプライアンス準拠状況を確認する

[IBM Cloud Security and Compliance Center(SCC)を触ってみた](https://qiita.com/testnin2/items/668223c2f4c77466fb4c)の続きです。今回は、LinuxサーバーをSCCでスキャンしたいと思います。


#1. Credential情報を登録
ID/Password方式だけでなく、SSH秘密鍵を使ったアクセスもサポートされている。今回はLinuxにアクセスする際の秘密鍵をPEMファイルとして登録している。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/48c85c58-49ed-7c13-eeab-f022b2ec5ae4.png)


#2. Scopeの設定

- 2020/10/1現在、Environmentとして`IBM`を選んでもVSIのDiscoveryができない。近いうちにVPC上のVSIはDiscoveryできるようになるようだが、VPC/Classic Infrastrucutre含めて、現状構成するには`OnPrem`を選択する必要がある。<br> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/be45a942-5d67-ebb2-d62c-4f852e2866e1.png)



ここで、Scan対象のサーバーを定義するResource listとして以下のようなjsonファイルを指定する。IPアドレス部分のみを書き換えて利用する。当然このIPアドレスは、CollectorからIP reachableである必要がある。

```json:dis.json
{
  "data": [
    {
      "resource": "subnet",
      "resource_type": "switch",
      "facts": "",
      "fact_status": {
        "message": "",
        "status": ""
      },
      "resource_category": "network_resource",
      "children": [
        {
          "resource": "linux",
          "resource_type": "os",
          "facts": "",
          "fact_status": {
            "message": "",
            "status": ""
          },
          "resource_category": "host",
          "scope_id": "",
          "discovery_status": {
            "message": "",
            "status": "PASS"
          },
          "resource_attributes": {},
          "properties": {
            "public_ip": "",
            "OS": [
              "Linux"
            ],
            "category": [
              "Host"
            ],
            "env_type": "ONPREM",
            "private_ip": "10.0.0.12",
            "ports": {}
          },
          "object": "vm"
        }
      ],
      "scope_id": "10.0.0.0/24",
      "discovery_status": {
        "message": "",
        "status": "PASS"
      },
      "resource_attributes": {},
      "properties": "",
      "object": "subnet"
    }
  ]
}
```

- 以下のように無事登録が完了したら、`Update Scope`を選択して完了。<br>![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/75d5684a-e951-12bd-5848-5497b3b8289f.png)


#3. ScopeにMapping Credentialを設定

DiscoveryされているIPアドレスに、どのCredentialを使ってアクセスするかを指定する。

- Mapping Credentialを選択<br> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/5bcb1efd-da09-56e1-ed81-3952903f8bcc.png)
- Criteriaは`IP=xx.xx.xx.xx`で指定。指定方法は以下のやり方がある。
    - IP=ipaddr
    - IP=ipaddr1,ipadd2,ipaddrN
    - IP=ipaddr1-endingAddress (i.e. IP=10.240.128.4-10)
- また、そのままcloseボタンを押すと保存されないので、必ず緑のチェックボックスを選択すること！<br> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/25fd162b-79df-356e-189f-00dbe79f1e7c.png)
- 保存された状態。これでcloseする。<br>
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/b4e46b31-ef77-cb68-b588-d9435ac4a596.png)


#4 スキャンの実施
[前回](https://qiita.com/testnin2/items/668223c2f4c77466fb4c)はSchedule Scanを利用したが、今回は1回だけお試しでスキャンを実施する。

- `Validate Scope`を選択<br> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/f59fa753-9ab7-8608-8a16-f9b16f81792f.png)
- スキャン対象とするプロファイルを選択して、`Start Validation`を実施<br>![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/ad593652-22fd-f8c1-9b7f-0245b483c480.png)
- Validationの実行中<br> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/b9b26f17-608d-d996-c536-4bb31040a74b.png)
- Validationの完了<br>![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/85bee174-1ec2-43a1-385c-322bad56152e.png)


#5 結果の確認(`CIS - Linux Hardening`)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/83c2283b-7211-7daf-932d-9034a296e3d7.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/561825cf-e4ab-87ab-ae29-468293b72cc0.png)


#6 参考
同様の操作で他のプロファイルを使ってスキャンを試してみた。

- PCI-DSS 3.2のスキャン結果。<br> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/e8263b33-5dc9-6243-1230-b74bee1fbb84.png)
- GDPRのスキャン結果。<br> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/692cad77-21c4-76f4-5e80-7847d22c57fe.png)
- NISTのスキャン結果。<br> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/7172f709-ce0d-8083-c56d-60b12cd90d6e.png)
- ISO27001のスキャン結果。<br>![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/62127/738ba950-2a8a-16da-8d21-389dde7ed319.png)