ataidesorg/rockylinux

Rocky Linux 安全强化镜像

为关键任务环境打造的安全强化Rocky Linux容器镜像，实现DISA STIG控制、CIS基准和企业安全最佳实践。

快速开始

bash
# 使用最新版本
docker pull ataidesorg/rockylinux:latest
docker run --rm -it ataidesorg/rockylinux:latest

# 使用特定版本
docker pull ataidesorg/rockylinux:10
docker run --rm -it ataidesorg/rockylinux:10

# 作为基础镜像使用
FROM ataidesorg/rockylinux:10
# 在此添加您的应用

强化内容

系统安全

• 非root用户执行（UID/GID 1001）
• 最小化软件包安装（基于UBI micro）
• 禁用不必要的服务
• 安全文件权限（严格的umask 077）
• 强化内核参数
• SELinux强制模式就绪

网络安全

• 配置防火墙规则（firewalld）
• 禁用网络服务
• FIPS合规的SSH配置
• 默认禁用IPv6
• TCP强化和SYN cookies
• 安全主机密钥生成

审计与日志

• 全面的审计规则（150+ STIG控制项）
• 安全事件日志（rsyslog）
• 文件完整性监控（AIDE）
• 访问控制日志
• 集中式日志转发就绪

认证与访问

• 强密码策略（15+字符，复杂性要求）
• 账户锁定保护（3次尝试）
• 使用faillock强化PAM
• Sudo限制和日志记录
• 会话超时（15分钟）
• 禁用root账户

加密

• FIPS 140-2合规算法
• 强加密默认设置
• 安全密钥管理
• TLS 1.2+强制实施
• 仅支持SHA-256/SHA-512哈希

合规标准

所有Rocky Linux强化镜像均满足：

• RHEL 9 DISA STIG：兼容RHEL 9安全技术实施指南
• CIS基准：互联网安全中心Rocky Linux基准
• NIST 800-53：国家标准与技术研究院网络安全框架
• NIST 800-190：容器安全指南
• FIPS 140-2：联邦加密标准
• 通用标准：企业安全要求

已实施的STIG控制项

I类（高严重性）

• V-257777：操作系统版本合规性
• V-257896：禁用Ctrl-Alt-Delete按键序列
• V-257901：非特权用户执行
• V-257898-V-257910：密码策略执行
• V-257825-V-257835：网络安全控制

II类（中严重性）

• V-257777-V-257787：系统配置强化
• V-257788-V-257820：全面审计日志
• V-257860-V-257869：加密控制
• V-257848-V-257859：文件权限安全

III类（低严重性）

• V-257870-V-257885：系统清理和优化
• 超出STIG要求的额外强化
• 容器特定的安全调整

企业特性

FIPS合规

• 启用FIPS 140-2加密策略
• FIPS批准的SSH算法
• 强TLS/SSL配置
• 经过验证的加密模块

审计跟踪

• 150+涵盖所有STIG要求的审计规则
• 实时安全事件监控
• 使用AIDE进行文件完整性监控
• 全面的访问日志记录

访问控制

• 基于角色的访问控制就绪
• 强认证策略
• 会话管理和超时
• 特权升级控制

本地构建

bash
# 克隆仓库
git clone https://github.com/ataidesorg/container-images.git
cd container-images
python scripts/build.py --filter rocky

# 运行安全验证
docker run --rm -u root ataidesorg/rockylinux:10 /opt/compliance-check.sh

企业集成

容器编排

yaml
# Kubernetes部署示例
apiVersion: apps/v1
kind: Deployment
metadata:
  name: secure-app
spec:
  template:
    spec:
      securityContext:
        runAsNonRoot: true
        runAsUser: 1001
      containers:
      - name: app
        image: ataidesorg/rockylinux:10
        securityContext:
          allowPrivilegeEscalation: false
          readOnlyRootFilesystem: true
          capabilities:
            drop:
            - ALL

Docker Compose配置

yaml
version: '3.8'
services:
  secure-service:
    image: ataidesorg/rockylinux:10
    security_opt:
      - no-new-privileges:true
    read_only: true
    user: "1001:1001"

许可证

根据Apache许可证2.0版（"许可证"）授权；除非遵守许可证，否则您不得使用此文件。您可以在以下位置获取许可证副本：

<[***]>

除非适用***要求或书面同意，否则根据许可证分发的软件按"原样"分发，不提供任何明示或暗示的担保或条件。有关许可证下权限和限制的具体语言，请参见许可证。

安全

如果您发现安全漏洞不要打开公共issue，请发送电子邮件至security@ataides.com

支持

有关企业支持、培训和自定义强化需求，请联系contact@ataides.com

Ataides - 通过开源创新塑造网络安全的未来。