O que o Herd entrega, com o que nos comprometemos, e o comando que confirma cada afirmação desta página na sua própria máquina.
Nada aqui pede confiança. Cada linha traz o comando que mostra o valor na sua instalação, para você comparar com o que afirmamos.
| Área | Padrão no Herd | Confira você |
|---|---|---|
| SELinux | enforcing | getenforce |
| Firewall | só ssh e cockpit abertos | sudo firewall-cmd --list-services |
| SSH — root | PermitRootLogin no | sshd -T | grep permitrootlogin |
| SSH — senha | PasswordAuthentication no | sshd -T | grep passwordauth |
| SSH — tentativas | MaxAuthTries 3, LoginGraceTime 30 | sshd -T | grep -E "maxauthtries|logingrace" |
| umask | 027 em sessões de login | umask |
| Senha — qualidade | mínimo 12 caracteres, 3 classes | grep -r . /etc/security/pwquality.conf.d/ |
| Senha — idade | máximo 90 dias, mínimo 7 | grep PASS_ /etc/login.defs |
| Auditoria | auditd ativo desde o boot | systemctl is-active auditd |
| Atualização | dnf5-automatic.timer ligado | systemctl is-enabled dnf5-automatic.timer |
Esses são os padrões do perfil standard, aplicado na instalação. Qualquer um deles pode ser mudado por você — e a mudança aparece no próximo scan.
O herd-compliance-scan usa o SCAP Security Guide, com o datastream embarcado no sistema — nada é baixado na hora. Os cinco perfis vêm instalados e rodam com um comando, sem licença.
| Perfil | Regras avaliadas |
|---|---|
standard | 76 |
pci-dss | 121 |
ospp | 208 |
cis-l1 | 324 |
cis-l2 | 438 |
Conte você mesmo: os números saem do próprio datastream em /usr/share/xml/scap/. O perfil standard roda por padrão por ser um baseline que não derruba serviço comum; os mais rígidos mudam bem mais e pedem avaliação de impacto antes.
As correções de segurança vão para a série estável atual. Cada série acompanha seu Fedora base e o suporte encerra quando aquele Fedora chega ao fim de vida — a página de Ciclo de Vida traz todas as datas.
O dnf5-automatic.timer vem ligado, então um servidor esquecido continua recebendo correção. O Herd é mantido por um time pequeno, então respondemos em melhor esforço — preferimos dizer isso a publicar um prazo que não sustentamos. O que prometemos é o processo: todo reporte é confirmado, triado, corrigido na série suportada e divulgado junto com quem reportou.
Pacotes e metadados são assinados com a chave do projeto, e o repo_gpgcheck é exigido na transação — repositório sem assinatura ou adulterado falha a instalação, não vira aviso no log.
A impressão digital da chave do Herd é:
C852 6722 0A81 18C9 864F 0648 BE5B 82AD C8A2 85C0
Compare com a sua máquina e siga o passo a passo na documentação de segurança. A chave privada nunca esteve no servidor de repositórios nem em máquina de build conectada: fica offline. Um servidor comprometido consegue, no máximo, servir arquivos que o seu sistema recusa.
A ISO sai de ferramental oficial do Fedora — lorax, mock e osbuild — a partir de um kickstart versionado no repositório, não de uma máquina configurada à mão. A lista de pacotes é a do kickstart: um servidor enxuto, sem desktop nem serviço que ninguém pediu.
Só sshd, chronyd, firewalld, cockpit.socket, cloud-init e o timer de atualização ficam habilitados. Confira com systemctl list-unit-files --state=enabled.
O herd-compliance-scan avalia o sistema em execução e grava um relatório HTML legível junto com XCCDF XML e ARF — o formato que auditores importam direto nas ferramentas deles.
A evidência é produzida na sua máquina, a partir da sua configuração. Nada é enviado para fora, e nenhum resultado passa por nós.
O Herd não coleta nada. Sem telemetria, sem métricas de uso, sem phone-home no boot ou na atualização, e sem conta para baixar, instalar ou receber correção. O sistema não precisa nos alcançar para funcionar — é por isso que ele roda em ambiente air-gapped.
Confira você: systemctl list-unit-files --state=enabled não traz nenhum serviço de telemetria, e o tráfego de rede de um Herd parado é zero.
Reporte de forma privada — não abra issue pública. Use o GitHub Security Advisories, com reporte privado ativo nos repositórios do projeto. Sem GitHub, use o formulário de contato apenas para estabelecer contato, sem detalhe técnico, e combinamos um canal privado.
Ajuda incluir a versão (cat /etc/os-release), os passos para reproduzir, o impacto e, se possível, uma prova de conceito. Vamos trabalhar com você numa divulgação coordenada.
O relatório não é algo que a gente mostra e você acredita: é um comando que você roda no seu próprio servidor. Ele produz HTML legível, XML de resultados e a evidência ARF, importável por ferramentas de auditoria.
Vamos publicar aqui um relatório de referência, gerado numa VM limpa, junto com o lançamento do Herd 2.
sudo herd-compliance-scan standard
Cobre os controles técnicos do CIS (Níveis 1 e 2, Servidor), OSPP, PCI-DSS e o perfil standard, mais a evidência para demonstrá-los. Não é certificação organizacional como ISO 27001, SOC 2 ou atestado PCI-DSS. Essas exigem suas políticas, sua equipe e um avaliador independente. O Herd apoia esse trabalho; não o substitui.
O Herd roda com fips=1 e a crypto-policy FIPS. Isso é modo FIPS operacional. Não é validação CMVP — os módulos criptográficos do Fedora não são validados. Se o seu requisito é módulo validado, a base atual do Herd não atende, e preferimos te dizer agora e não na sua auditoria.
Preferimos ser precisos a impressionar.