OVAL\MSRC

Зачем нужна эта вкладка#

OVAL (Open Vulnerability and Assessment Language) — это международный стандарт описания уязвимостей. Производители ОС и независимые эксперты публикуют в формате OVAL базы данных, где для каждой уязвимости указано: какой пакет, какой версии, в какой ОС содержит проблему, и какая версия её исправляет.

MSRC (Microsoft Security Response Center) — это аналог OVAL, но от Microsoft. Описывает уязвимости Windows и привязку к конкретным KB.

Вкладка «OVAL\MSRC» даёт администратору:

• Понимание, какие машины уязвимы — и по каким CVE/BDU.
• Оценку возможностей — какую уязвимость можно устранить обновлением, а какую — нет (например, нет patched-версии).
• Доказательную базу для отчётов руководству и проверяющим органам — особенно актуально для аттестованных систем.

Пять подвкладок:

Подвкладка	Хеш-маршрут	Зачем
Базы	#oval/bases	Таблица загруженных источников OVAL, пресеты ОС.
Настройки загрузки	#oval/upload	Импорт по URL/файлу, загрузка с Edge, автозагрузка по расписанию.
Поиск по OVAL-описаниям	#oval/vuln	Найти конкретную уязвимость по CVE/BDU.
Проверка пакетов	#oval/scan	Где какая уязвимость найдена.
Статус хостов	#oval/hoststatus	Сводка по каждому хосту: сколько уязвимостей.

Подвкладка «Базы»#

Здесь администратор управляет загруженными OVAL-источниками. Поддерживаются публичные базы для всех основных Linux-дистрибутивов и MSRC для Windows.

Таблица загруженных баз#

Колонки: Имя, Файл, Версия схемы OVAL, Определений (сколько записей), Пресеты ОС, Дата загрузки, Действия.

Пресеты ОС — критически важно#

В меню действий строки:

• «Обновить из файла» — подставить новый XML/ZIP/BZ2/DEB вместо определений этой базы и сразу поправить пресеты ОС.
• «Пресеты ОС» — только привязка к версиям ОС, без замены файла. Отметить нужные и нажать «Сохранить».
• «Удалить» — убрать базу и её определения.

Подвкладка «Настройки загрузки»#

Здесь настраивается пополнение баз: способы загрузки и расписание автоматической синхронизации. Сами загруженные базы и их пресеты — на подвкладке «Базы».

1. Прямой импорт по URL:

• В выпадающем списке пресетов выберите нужный (Debian OVAL, Ubuntu OVAL, AlmaLinux OVAL, ALT X-SOFT OVAL DB и т.п.).
• Нажмите «Загрузить выбранную». LSUS сам скачает и распарсит.
• Или введите URL вручную → «Загрузить по URL».
• Кнопка «Через Edge на мастер» — если мастер в закрытом контуре, загрузка пойдёт через Edge. Для шаттл-Edge пресеты читаются из локальной копии (снимок последнего бандла), а загрузка ставится в очередь рейса — см. визард «Подготовить рейс».

2. Загрузка файла:

• Поддерживаемые форматы: .xml, .zip, .xml.bz2, .deb (для некоторых источников, поставляемых как пакет).
• Укажите имя источника (необязательно) и выберите файл.
• Нажмите «Загрузить XML/ZIP/BZ2/DEB». Откроется окно: файл, имя, куда сохранить и пресеты ОС.
• «Новая база» — отдельный источник. Если пресеты не отмечены, LSUS подберёт их по содержимому файла.
• Уже загруженная база в списке — определения этой базы заменяются файлом. Отмеченные пресеты записываются как есть; если снять все галочки, привязка к ОС снимается.
• То же окно открывается из меню строки на подвкладке «Базы» пунктом «Обновить из файла»: база уже выбрана, остаётся указать файл и пресеты.

3. Загрузка с Edge-сервера:

• Выберите Edge из списка.
• Отобразится таблица файлов, доступных на Edge. Для шаттл-Edge список — из снимка бандла (бейдж «снимок от …»), пока не принят первый рейс.
• Нажмите «Загрузить» для нужного файла или «Загрузить все OVAL» для массовой загрузки. На шаттле это ставит задачу, а не тянет файл по сети.

4. Автозагрузка по расписанию:

• Расписание автоматической загрузки баз Linux (OVAL) и Windows (MSRC): интервал и включение/выключение для каждой группы.
• Работает и в закрытом контуре — через Edge или шаттл (задачи ставятся в очередь рейса).

Подвкладка «Поиск по OVAL-описаниям»#

Здесь можно искать конкретные уязвимости в загруженных базах.

Когда это нужно#

• «Прочитал новость про CVE-2024-12345 — у нас такое есть?»
• «Проверяющий запросил подтверждение по BDU-2023-04567 — как ответить?»
• «Какие уязвимости в openssl мы должны закрыть?»

Параметры поиска#

• Запрос — CVE (например, CVE-2024-1234), BDU, или просто ключевое слово (имя пакета, описание).
• База OVAL — искать по всем базам или по конкретной.
• Кнопка «Искать».
• Кнопка «Сброс» — очистить результаты.

Результаты#

Таблица: ID определения, Название, CVE/BDU, используется ли при проверке (да/нет — в зависимости от пресетов), действия.

Клик по строке открывает детали определения — модальное окно с полным описанием: какие пакеты уязвимы, какие версии, какая версия исправляет.

Подвкладка «Проверка пакетов»#

Здесь администратор видит результаты сопоставления пакетов хостов с OVAL-базами. То есть — где именно, на каких машинах, какие уязвимости найдены.

Бюллетень, в котором исправление указано сразу для нескольких релизов (например, Astra Linux 1.7 и 1.8), проверяется только по релизу хоста. Порог другого релиза находку не даёт: пакет, уже обновлённый до версии своего релиза, не показывается уязвимым из‑за более новой версии чужого релиза. Метапакет ядра, у которого в версии записана другая ветка (linux-image-6.1-generic версии 5.4…), с порогом ядра 6.1 не сравнивается. Чтобы это заработало на уже загруженной базе, где один бюллетень покрывает несколько релизов, загрузите эту базу ещё раз.

Как это работает#

Таблица показывает последний сохранённый снимок проверки (кеш в БД). Чтобы получить актуальные данные:

1. При необходимости нажмите кнопку выбора хостов (по умолчанию «Все хосты»). Можно отметить несколько коллекций и отдельные машины; у коллекции есть переключатель «только этот уровень».
2. Нажмите «Пересчитать в фоне» — пересчёт идёт по выбранным хостам, не по всему парку. Смена выбора требует нового пересчёта: снимок запоминает, для кого он посчитан. На больших парках это занимает время.
3. Нажмите «Обновить» — загрузить снимок из кеша после пересчёта.

Таблица результатов#

Колонки:

• № — порядковый номер.
• Хосты — на скольких машинах найдена эта уязвимость (число кликабельно — открывает список).
• Критичность — Critical / High / Medium / Low.
• CVE/BDU — идентификатор.
• Название — описание уязвимости.
• Пакет — уязвимый пакет.
• Установленная версия — что стоит на хостах.
• Требуемая версия — начиная с которой уязвимость закрыта.
• Статус — можно устранить / нельзя.

Строки группируются по уязвимости: одна строка = одна уязвимость. Если та же уязвимость на 10 хостах — будет одна строка с числом 10.

Фильтры#

• Хост — найти уязвимости на конкретной машине.
• Критичность — Critical / High / Medium / Low.
• CVE/BDU — конкретный идентификатор.
• Пакет — уязвимости определённого пакета (например, openssl).
• Название — поиск по тексту описания.

Экспорт#

Кнопки «Экспорт CSV» и «Экспорт JSON» выгружают отфильтрованные результаты. Полезно для отчётов руководству или аудиторов.

Детализация#

• Клик по числу в колонке «Хосты» → список конкретных машин с этой уязвимостью.
• Клик по строке → находки на отдельном хосте (модальное окно со списком всех его уязвимостей).

Подвкладка «Статус хостов»#

Сводная таблица по хостам — «карта здоровья» парка по уязвимостям.

Чем полезна#

В отличие от подвкладки «Проверка пакетов» (где единица — уязвимость), здесь единица — хост. Так можно быстро понять:

• Какие машины наиболее «проблемные» — у них больше всего уязвимостей.
• Сколько в среднем по парку.
• Какой процент уязвимостей можно закрыть обновлением.

Параметры#

• Выбор хостов — кнопка «Все хосты» открывает дерево. Можно отметить несколько коллекций и отдельные машины. Пустой выбор — весь парк. На этой подвкладке выбор только отбирает строки для просмотра и экспорта: «Пересчитать отчёт в фоне» по-прежнему считает всех (с учётом «ВКЛ» и «ОС»).
• ОС — Все / Linux / Windows.
• ВКЛ — Все / ВКЛ / ВЫКЛ.
• Кнопка «Обновить» — загрузить снимок из кеша.
• Кнопка «Пересчитать отчёт в фоне» — запустить полный пересчёт.

Таблица#

Строки отсортированы по риску: сверху хуже.

• Hostname, IP, ОС — машина.
• Базы OVAL — какие базы применены. Пусто — пресеты ОС не настроены, Linux-хост не проверяется. У Windows здесь «MSRC (CVE/KB)», если есть применимые обновления.
• Риск — Критично, Внимание, Обновления, Нет данных или OK.
• Уязвимости — уникальные уязвимости по критичности: C / H / M / L. У Linux это CVE, BDU и описания без номера. У Windows — CVE из каталога Microsoft (Critical, Important, Moderate, Low попадают в C, H, M, L). Если у применимого обновления нет CVE, но скан записал критичность, оно считается одной позицией. Обновление без критичности и без CVE в столбец не входит. Число кликабельно.
• Уязвимые пакеты — сколько можно устранить и сколько всего (две цифры через дробь). У Windows это число применимых обновлений.
• Обновления — сколько обновлений доступно. У Linux перед дробью — сколько из них закрывает уязвимость.
• Данные — хост на связи и насколько свежий инвентарь (у Windows — последний скан обновлений).

Учёт баз#

В колонке «Базы OVAL» видно, какие базы применены к этому хосту. Если в колонке пусто — значит, пресеты ОС не настроены, и хост не проверяется.

Как это всё связано с обновлениями#

OVAL и MSRC — это карта уязвимостей. Сам по себе OVAL ничего не лечит, но даёт администратору картину:

• где что уязвимо → помогает приоритизировать работу;
• что исправляется обновлением → можно сразу запустить кампанию;
• что не исправляется (нет patched-версии) → нужны компенсирующие меры.

Связка OVAL → кампания установки — это основной сценарий: нашли уязвимость → посмотрели, как исправить → запустили установку → проверили на «Статус хостов», что находок стало меньше.

Таблица хостов берёт красную цифру колонки «Обновления» из того же снимка «Статус хостов»: это число уязвимых установленных пакетов, как «Уязвимых пакетов» в этом отчёте. Список доступных обновлений на красную цифру не влияет. Если машина обновлена из старого репозитория, в таблице будет, например, 12/0: уязвимости есть, а поставить нечего. Плитка «крит.» и фильтр «Только с критичными» смотрят только критические пакеты из этого снимка и тоже не требуют, чтобы исправление уже лежало в репозитории.

Права доступа#

Действие	Permission key
Просмотр баз и поиск	oval.view
Загрузка и удаление баз	oval.operate
Просмотр проверки пакетов	oval.view
Запуск пересчёта	oval.operate
Просмотр статуса хостов	oval.view