OpenSCAP — это набор открытых инструментов и библиотек, реализующих стандарт SCAP (Security Content Automation Protocol). SCAP — это спецификация, разработанная Национальным институтом стандартов и технологий США (NIST), которая объединяет множество компонентов (языки проверки, перечни уязвимостей, репозитории и т.д.) в единый комплекс для автоматизации управления безопасностью.

Архитектура OpenSCAP построена вокруг нескольких ключевых компонентов:
1⃣Библиотека libopenscap - ядро системы, написанное на C. Обеспечивает парсинг SCAP-контента, выполнение проверок и генерацию отчетов в соответствии со стандартами.
2⃣Утилиты командной строки:
🔹oscap - основной инструмент для сканирования системы, валидации контента и генерации отчетов (HTML, PDF, CSV)
🔹oscap-ssh - инструмент для удаленного сканирования через SSH
3⃣Содержит политики безопасности и правила проверки:
🔹Benchmark - базовые стандарты (CIS, STIG)
🔹Профили - специализированные подмножества эталонов
🔹XCCDF - язык описания чек-листов
🔹OVAL - язык определения логики проверок
🔹CPE - стандарт идентификации ПО и оборудования

➡️Установка

sudo apt install openscap-scanner

Проверка

oscap -h

‼️Типичный рабочий процесс включает несколько шагов.
1. Проверка установленных SCAP-файлов

find /usr/share -name "*.xml" | grep scap | grep -i debian

2. Запуск сканирования с тестовым файлом

sudo oscap xccdf eval \
    --profile test_profile \
    --results results.xml \
    --report report.html \
    test.xml

Здесь:
--profile test_profile — указывает профиль для проверки.
--results results.xml — файл с детальными результатами.
--report report.html — удобный для чтения HTML-отчет.

3. Проверка результатов

ls -la results.xml report.html

4. Генерация исправлений

sudo oscap xccdf generate fix \
    --output fix.sh \
    results.xml