Nutanixにおける「STIG」や「SCMA」の紹介～前編～

※このブログの内容は個人の見識や見解をもとに作成しています。参考にされる場合は自己責任でご活用ください。また、このブログで紹介している製品や機能を使用される場合は、メーカードキュメントの手順に従い実施することを推奨します。

Nutanixにおける「STIG」や、それに準拠するためにNutanixがCVMに搭載している「SCMA」について紹介します。Nutanixのセキュリティ実装についての理解にぜひご活用ください。前編では、STIGについて解説します。

1. STIGとは
2. STIGレポートの発行
3. Prism Centralの「セキュリティダッシュボード」でSTIGポリシーの確認
おわりに

1. STIGとは

STIG（Security Technical Implementation Guide - セキュリティ技術導入ガイド）とは、アメリカ国防総省のセキュリティ機関である国防情報システム局（DISA - Defense Information Systems Agency）が公開しているセキュリティ強化のためのガイドラインです。WindowsやLinuxといったOSに限らず、VMwareやNutanixなど様々なベンダー製品に対して、セキュリティベースラインとその設定手順が提供されています。各ベンダーはこのベースラインに準拠しつつ、独自のカスタマイズを加えて製品のセキュリティレベルを最適化しています。

STIGのガイドラインはDISAのサイトで一般公開されており、誰でも見ることができます。
https://public.cyber.mil/stigs/

▽リンク先のドキュメントライブラリで例えば「nutanix」と検索すると、Nutanix AOSでのSTIG実装ガイドやその手順がダウンロードできます。

▽また「Red Hat」で検索すると、RHEL用のSTIGも公開されています。

▽これらをダウンロードしたものの中に、XML文書（+XSL）がありますので適切なブラウザ設定で展開すると以下のようなガイドが確認できます。これがSTIGの生のガイドラインです。

▽スクロールして中身を確認すると、例えば以下のような項目と手順が確認できます。

このような細かい設定内容がこのドキュメントでは100項目以上公開されています。

▽また、NutanixのコアコンポーネントであるCVMやAHVはCentOSであるため（AOS 6.5時点）、RHELのSTIGが導入されています。RHELのSTIGについては例えば以下のような内容が公開されています。

NutanixはSTIGの導入について以下のページで紹介しており、RHELのSTIGにおける独自の実装についても言及していますので、併せてご確認ください。
DISA STIG Guidance Reference
https://portal.nutanix.com/page/documents/details?targetId=Nutanix-compliance-for-RHEL-STIGs-v6_5:Nutanix-compliance-for-RHEL-STIGs-v6_5