44、RHEL系统安全加固：FIPS模式、STIG配置与扫描实践

RHEL系统安全加固：FIPS模式、STIG配置与扫描实践

1. 启用RHEL中的FIPS模式

RHEL 9自几年前开始开发时就专注于FIPS 140 - 3标准。由于为已获得FIPS 140 - 2认证的RHEL 8添加FIPS 140 - 3需要大量重构，且RHEL 8已处于生命周期的最后五年维护模式（一般不引入新特性，仅进行安全和漏洞修复），因此Red Hat决定不在RHEL 8上添加该标准。

构建符合FIPS的系统需在安装时将安装程序置于FIPS模式，这可通过在系统启动过程中编辑一行内容实现。在安装期间，在安装程序引导内核选项的内核行后追加 fips=1 。

graph LR
    A[开始安装RHEL 9] --> B[编辑内核选项]
    B --> C[追加fips=1]
    C --> D[完成安装]

可选地，你也可以在安装后配置FIPS合规模式。以root身份运行以下命令：

# fips-mode-setup

在执行系统扫描前，可通过以下步骤验证FIPS模式：
1. 检查内核引导选项是否设置为支持FIPS，在实际引导Linux之前检查内核的引导选项，但这并不保证完成了FIPS 140 - 3合规所需的所有其他配置。
2. 运行以下命令强制设置系统策略：

# update-crypto-polici