Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

CIS-Ubuntu-Benchmark

In diesem Dokument wird das Maß der Compliance beschrieben, das Google Distributed Cloud mit der CIS-Ubuntu-Benchmark hat.

Auf die Benchmark zugreifen

Die CIS-Ubuntu-Benchmark steht auf der CIS-Website zur Verfügung:

Konfigurationsprofil

Im Dokument zur CIS-Ubuntu-Benchmark finden Sie Informationen zu Konfigurationsprofilen. Die von Google Distributed Cloud verwendeten Ubuntu-Images sind gehärtet, um dem Level-2-Serverprofil zu genügen.

Bewertung in Google Distributed Cloud

Wir verwenden die folgenden Werte, um den Status von Ubuntu-Empfehlungen in Google Distributed Cloud anzugeben:

Status	Beschreibung
pass	Entspricht einer Benchmarkempfehlung.
Nicht bestanden	Weicht von einer Benchmark-Empfehlung ab.
notapplicable	Es ist nicht relevant, ob es auf dem zu bewertenden System getestet wird.

Status von Google Distributed Cloud

Die mit Google Distributed Cloud verwendeten Ubuntu-Images sind gehärtet, um dem Serverprofil CIS-Level 2 zu genügen. Für die Bewertung wird das Profil cis_level2_server_customized verwendet, das das CIS-Level-2-Serverprofil für Google Distributed Cloud anpasst. In den folgenden Tabellen sind für jede Version die ausgewerteten Empfehlungen aufgeführt, die von Google Distributed Cloud nicht erfüllt werden, sowie die VMs, für die die einzelnen Ergebnisse gelten, die Empfehlungen, die erfüllt werden oder nicht zutreffen, und die Empfehlungen, die vom maßgeschneiderten Profil von der Auswertung ausgeschlossen werden.

Der Scanner wertet die iptables-Firewall-Empfehlungen nur aus, wenn weder das Paket nftables noch das Paket ufw installiert ist. Da die Images eines dieser Pakete enthalten, werden die iptables-Empfehlungen als nicht zutreffend gemeldet, was nicht der Firewallrichtlinie der Knoten entspricht.

Ab Version 1.35 verwendet Google Distributed Cloud Ubuntu 24.04 LTS-Images, die anhand des CIS Ubuntu Linux 24.04 LTS-Benchmarks bewertet werden. Die Empfehlungsnummern und die Empfehlungen unterscheiden sich vom CIS Ubuntu Linux 22.04 LTS-Benchmark, der für Version 1.34 verwendet wird.

1.36 und 1.35

Versionen

Dieser Abschnitt bezieht sich auf die folgenden Versionen:

Google Distributed Cloud-Version	Ubuntu-Version	Version der CIS-Ubuntu-Benchmark	CIS-Level
1,36	24.04 LTS	v1.0.0	Level-2-Server
1,35	24.04 LTS	v1.0.0	Level-2-Server

Fehlgeschlagene Empfehlungen

In der folgenden Tabelle sind die Benchmark-Empfehlungen aufgeführt, die von Google Distributed Cloud nicht erfüllt werden, sowie die VMs, für die die einzelnen Ergebnisse gelten. Die VMs sind die Knoten der Cluster-Steuerungsebene, die Worker-Knoten und die Administrator-Workstation.

#	Empfehlung	Schweregrad	Status	Gilt für
1.1.2.1.1	Achten Sie darauf, dass sich /tmp auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.1.2.3.1	Achten Sie darauf, dass sich /home auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.1.2.4.1	Achten Sie darauf, dass sich /var auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.1.2.5.1	Achten Sie darauf, dass sich /var/tmp auf einer separaten Partition befindet	mittel	Nicht bestanden	Alle
1.1.2.6.1	Achten Sie darauf, dass sich /var/log auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.1.2.7.1	Achten Sie darauf, dass sich /var/log/audit auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.4.1	Bootloader-Passwort in grub2 festlegen	hoch	Nicht bestanden	Alle
2.3.2.1	Systemd-Timesyncd-Server konfigurieren	mittel	Nicht bestanden	Alle
3.3.7	Kernelparameter aktivieren, um Reverse Path Filtering auf allen IPv4-Schnittstellen zu verwenden	mittel	Nicht bestanden	Knoten der Steuerungsebene, Worker-Knoten
5.1.4	SSH-Zugriff von Nutzern einschränken	unbekannt	Nicht bestanden	Alle
5.2.4	Nutzer müssen sich bei der Rechteausweitung noch einmal authentifizieren – sudo	mittel	Nicht bestanden	Alle
5.4.1.1	Maximale Gültigkeitsdauer des Passworts festlegen	mittel	Nicht bestanden	Alle
6.1.3.3	Achten Sie darauf, dass journald so konfiguriert ist, dass Logs an rsyslog gesendet werden.	mittel	Nicht bestanden	Knoten der Steuerungsebene, Worker-Knoten
6.1.4.1	Gruppeneigentümerschaft von Protokolldateien überprüfen	mittel	Nicht bestanden	Knoten der Steuerungsebene
6.1.4.1	Inhaberschaft von Protokolldateien bestätigen	mittel	Nicht bestanden	Knoten der Steuerungsebene
6.1.4.1	Berechtigungen von Protokolldateien prüfen	mittel	Nicht bestanden	Knoten der Steuerungsebene, Worker-Knoten
6.2.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst	mittel	Nicht bestanden	Alle
7.1.12	Sicherstellen, dass alle Dateien einem Nutzer gehören	mittel	Nicht bestanden	Knoten der Steuerungsebene

Bestandene Empfehlungen

In der folgenden Tabelle sind die Benchmark-Empfehlungen aufgeführt, die von Google Distributed Cloud erfüllt werden.

#	Empfehlung	Schweregrad	Status
1.1.1.1	Bereitstellung von cramfs deaktivieren	niedrig	pass
1.1.1.2	Bereitstellung von freevxfs deaktivieren	niedrig	pass
1.1.1.3	Bereitstellung von hfs deaktivieren	niedrig	pass
1.1.1.4	Mounten von hfsplus deaktivieren	niedrig	pass
1.1.1.5	Bereitstellung von jffs2 deaktivieren	niedrig	pass
1.1.1.6	Achten Sie darauf, dass das Kernelmodul „overlayfs“ nicht verfügbar ist	niedrig	pass
1.1.1.8	Bereitstellung von udf deaktivieren	niedrig	pass
1.1.1.9	Modprobe-Laden des USB-Speichertreibers deaktivieren	mittel	pass
1.1.2.2.1	Sicherstellen, dass /dev/shm konfiguriert ist	niedrig	pass
1.1.2.2.2	Option „nodev“ zu /dev/shm hinzufügen	mittel	pass
1.1.2.2.3	Option „nosuid“ zu /dev/shm hinzufügen	mittel	pass
1.1.2.2.4	Option „noexec“ zu /dev/shm hinzufügen	mittel	pass
1.3.1.1	Sicherstellen, dass AppArmor Utils installiert ist	mittel	pass
1.3.1.1	Prüfen, ob AppArmor installiert ist	mittel	pass
1.3.1.2	Achten Sie darauf, dass AppArmor in der Bootloader-Konfiguration aktiviert ist	mittel	pass
1.4.2	Berechtigungen für /boot/grub/grub.cfg prüfen	mittel	pass
1.5.1	Randomisiertes Layout des virtuellen Adressraums aktivieren	mittel	pass
1.5.2	Nutzung von ptrace auf untergeordnete Prozesse beschränken	mittel	pass
1.5.3	Core Dumps für alle Nutzer deaktivieren	mittel	pass
1.5.3	Core Dumps für SUID-Programme deaktivieren	mittel	pass
1.5.4	Das Paket „prelink“ darf nicht installiert sein	mittel	pass
1.5.5	Apport-Dienst deaktivieren	unbekannt	pass
1.6.1	Sicherstellen, dass die Nachricht des Tages richtig konfiguriert ist	mittel	pass
1.6.2	Sicherstellen, dass das Warnbanner für die lokale Anmeldung richtig konfiguriert ist	mittel	pass
1.6.3	Sicherstellen, dass das Warnbanner für die Remote-Anmeldung richtig konfiguriert ist	mittel	pass
1.6.4	Gruppeninhaberschaft des Banners „Nachricht des Tages“ bestätigen	mittel	pass
1.6.4	Inhaberschaft des Banners „Nachricht des Tages“ bestätigen	mittel	pass
1.6.4	Berechtigungen für das Banner „Nachricht des Tages“ prüfen	mittel	pass
1.6.5	Gruppeninhaberschaft des Systemanmeldebanners überprüfen	mittel	pass
1.6.5	Inhaberschaft des Systemanmeldebanners bestätigen	mittel	pass
1.6.5	Berechtigungen für das Systemanmeldebanner prüfen	mittel	pass
1.6.6	Gruppeninhaberschaft des Systemanmeldebanners für Remoteverbindungen prüfen	mittel	pass
1.6.6	Inhaberschaft des Systemanmeldebanners für Remoteverbindungen bestätigen	mittel	pass
1.6.6	Berechtigungen für das Systemanmeldebanner für Remoteverbindungen prüfen	mittel	pass
2.1.1	autofs-Paket entfernen	niedrig	pass
2.1.2	Avahi-Serverpaket deinstallieren	mittel	pass
2.1.3	DHCP-Dienst deaktivieren	mittel	pass
2.1.3	DHCPD6-Dienst deaktivieren	mittel	pass
2.1.3	DHCP-Serverpaket deinstallieren	mittel	pass
2.1.4	Benannten Dienst deaktivieren	mittel	pass
2.1.4	Bind-Paket deinstallieren	niedrig	pass
2.1.5	dnsmasq-Dienst deaktivieren	mittel	pass
2.1.5	dnsmasq-Paket deinstallieren	niedrig	pass
2.1.6	vsftpd-Dienst deaktivieren	mittel	pass
2.1.6	vsftpd-Paket deinstallieren	hoch	pass
2.1.7	LDAP-Server (slapd) deaktivieren	mittel	pass
2.1.7	openldap-servers-Paket deinstallieren	niedrig	pass
2.1.8	Dovecot-Dienst deaktivieren	unbekannt	pass
2.1.8	Dovecot-Paket deinstallieren	unbekannt	pass
2.1.9	Network File System (NFS) deaktivieren	unbekannt	pass
2.1.9	Paket „nfs-kernel-server“ deinstallieren	niedrig	pass
2.1.10	ypserv-Dienst deaktivieren	mittel	pass
2.1.10	ypserv-Paket deinstallieren	hoch	pass
2.1.11	CUPS-Dienst deaktivieren	unbekannt	pass
2.1.11	CUPS-Paket deinstallieren	unbekannt	pass
2.1.12	rpcbind-Dienst deaktivieren	niedrig	pass
2.1.13	Sicherstellen, dass der rsyncd-Dienst deaktiviert ist	mittel	pass
2.1.13	rsync-Paket deinstallieren	mittel	pass
2.1.14	Samba deaktivieren	niedrig	pass
2.1.14	Samba-Paket deinstallieren	unbekannt	pass
2.1.15	net-snmp-Paket deinstallieren	unbekannt	pass
2.1.16	tftpd-hpa-Dienst deaktivieren	hoch	pass
2.1.16	tftpd-hpa-Paket deinstallieren	hoch	pass
2.1.17	Squid-Paket deinstallieren	unbekannt	pass
2.1.18	apache2-Dienst deaktivieren	unbekannt	pass
2.1.18	nginx-Dienst deaktivieren	unbekannt	pass
2.1.18	apache2-Paket deinstallieren	unbekannt	pass
2.1.18	nginx-Paket deinstallieren	unbekannt	pass
2.1.19	xinetd-Dienst deaktivieren	mittel	pass
2.1.19	xinetd-Paket deinstallieren	niedrig	pass
2.1.20	X Windows-Paketgruppe entfernen	mittel	pass
2.1.21	Sicherstellen, dass der Mail Transfer Agent keine Nicht-Loopback-Adresse überwacht	mittel	pass
2.2.1	NIS-Paket deinstallieren	niedrig	pass
2.2.2	rsh-Paket deinstallieren	unbekannt	pass
2.2.3	Talk-Paket deinstallieren	mittel	pass
2.2.4	Telnet-Clients entfernen (inetutils-telnet-Paket)	niedrig	pass
2.2.4	Telnet-Clients entfernen (telnet-Paket)	niedrig	pass
2.2.5	Sicherstellen, dass der LDAP-Client nicht installiert ist	niedrig	pass
2.2.6	FTP-Paket entfernen	niedrig	pass
2.2.6	tnftp-Paket entfernen	niedrig	pass
2.3.1.1	Dienst „systemd_timesyncd“ aktivieren	hoch	pass
2.3.1.1	Sicherstellen, dass ein einzelner Zeitsynchronisierungsdienst verwendet wird	mittel	pass
2.3.1.1	systemd_timesyncd-Dienst installieren	hoch	pass
2.4.1.1	Cron-Dienst aktivieren	mittel	pass
2.4.1.1	Cron-Dienst installieren	mittel	pass
2.4.1.2	Prüfen, ob /etc/cron.allow vorhanden ist	mittel	pass
2.4.1.2	Gruppe prüfen, die Inhaber der Crontab ist	mittel	pass
2.4.1.2	Bestätigter Inhaber in Crontab	mittel	pass
2.4.1.2	Berechtigungen für crontab prüfen	mittel	pass
2.4.1.3	Gruppe prüfen, die Inhaber von cron.hourly ist	mittel	pass
2.4.1.3	Bestätigten Inhaber von cron.hourly prüfen	mittel	pass
2.4.1.3	Berechtigungen für cron.hourly prüfen	mittel	pass
2.4.1.4	Gruppe prüfen, die Inhaber von cron.daily ist	mittel	pass
2.4.1.4	Bestätigter Inhaber von cron.daily	mittel	pass
2.4.1.4	Berechtigungen für cron.daily prüfen	mittel	pass
2.4.1.5	Gruppe prüfen, die Inhaber von cron.weekly ist	mittel	pass
2.4.1.5	Bestätigter Inhaber auf cron.weekly	mittel	pass
2.4.1.5	Berechtigungen für cron.weekly prüfen	mittel	pass
2.4.1.6	Gruppe prüfen, die Inhaber von cron.monthly ist	mittel	pass
2.4.1.6	Bestätigter Inhaber von cron.monthly prüfen	mittel	pass
2.4.1.6	Berechtigungen für cron.monthly prüfen	mittel	pass
2.4.1.7	Gruppe prüfen, die Inhaber von cron.d ist	mittel	pass
2.4.1.7	Bestätigter Inhaber von cron.d	mittel	pass
2.4.1.7	Berechtigungen für cron.d prüfen	mittel	pass
2.4.1.8	Sicherstellen, dass /etc/cron.deny nicht vorhanden ist	mittel	pass
2.4.1.8	Gruppe prüfen, die Inhaber der Datei „/etc/cron.allow“ ist	mittel	pass
2.4.1.8	Berechtigungen für die Datei „/etc/cron.allow“ prüfen	mittel	pass
2.4.1.8	Nutzer überprüfen, der Inhaber der Datei „/etc/cron.allow“ ist	mittel	pass
2.4.2.1	Prüfen, ob /etc/at.allow vorhanden ist	mittel	pass
2.4.2.1	Gruppe prüfen, die Inhaber der Datei „/etc/at.allow“ ist	mittel	pass
2.4.2.1	Gruppe prüfen, die Inhaber der Datei „/etc/at.deny“ ist	mittel	pass
2.4.2.1	Berechtigungen für die Datei „/etc/at.allow“ prüfen	mittel	pass
2.4.2.1	Berechtigungen für die Datei „/etc/at.deny“ prüfen	mittel	pass
2.4.2.1	Nutzer prüfen, der Inhaber der Datei „/etc/at.allow“ ist	mittel	pass
2.4.2.1	Nutzer prüfen, dem die Datei „/etc/at.deny“ gehört	mittel	pass
3.1.2	Schnittstellen für drahtlose Netzwerke deaktivieren	mittel	pass
3.1.3	Bluetooth-Dienst deaktivieren	mittel	pass
3.2.1	DCCP-Unterstützung deaktivieren	mittel	pass
3.2.2	TIPC-Unterstützung deaktivieren	niedrig	pass
3.2.3	RDS-Unterstützung deaktivieren	niedrig	pass
3.2.4	SCTP-Unterstützung deaktivieren	mittel	pass
3.3.2	Kernelparameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren	mittel	pass
3.3.2	Kernel-Parameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen standardmäßig deaktivieren	mittel	pass
3.3.3	Kernelparameter aktivieren, um fehlerhafte ICMP-Fehlerantworten auf IPv4-Schnittstellen zu ignorieren	unbekannt	pass
3.3.4	Kernelparameter aktivieren, um ICMP-Broadcast-Echoanfragen auf IPv4-Schnittstellen zu ignorieren	mittel	pass
3.3.5	Annahme von ICMP-Weiterleitungen für alle IPv4-Schnittstellen deaktivieren	mittel	pass
3.3.5	Annahme von ICMP-Weiterleitungen für alle IPv6-Schnittstellen deaktivieren	mittel	pass
3.3.5	Kernelparameter zum Akzeptieren von ICMP-Weiterleitungen auf IPv4-Schnittstellen standardmäßig deaktivieren	mittel	pass
3.3.5	Kernelparameter für die standardmäßige Annahme von ICMP-Weiterleitungen auf IPv6-Schnittstellen deaktivieren	mittel	pass
3.3.6	Kernel-Parameter konfigurieren, um sichere Weiterleitungen standardmäßig zu akzeptieren	mittel	pass
3.3.6	Kernelparameter zum Akzeptieren sicherer ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren	mittel	pass
3.3.7	Kernelparameter aktivieren, um standardmäßig die Filterung des umgekehrten Pfads auf allen IPv4-Schnittstellen zu verwenden	mittel	pass
3.3.8	Kernelparameter zum Akzeptieren von quellgerouteten Paketen auf IPv4-Schnittstellen standardmäßig deaktivieren	mittel	pass
3.3.8	Kernel-Parameter zum Akzeptieren von quellgerouteten Paketen auf IPv6-Schnittstellen standardmäßig deaktivieren	mittel	pass
3.3.8	Kernelparameter für die Annahme von quellgerouteten Paketen auf allen IPv4-Schnittstellen deaktivieren	mittel	pass
3.3.8	Kernelparameter zum Akzeptieren von quellgerouteten Paketen auf allen IPv6-Schnittstellen deaktivieren	mittel	pass
3.3.9	Kernel-Parameter zum Protokollieren von Martian-Paketen auf allen IPv4-Schnittstellen aktivieren	unbekannt	pass
3.3.9	Kernelparameter aktivieren, um Martian-Pakete standardmäßig auf allen IPv4-Schnittstellen zu protokollieren	unbekannt	pass
3.3.10	Kernelparameter zur Verwendung von TCP-Syncookies auf Netzwerkschnittstellen aktivieren	mittel	pass
3.3.11	Router-Advertisements auf allen IPv6-Schnittstellen akzeptieren	mittel	pass
3.3.11	Annahme von Router-Advertisements auf allen IPv6-Schnittstellen standardmäßig deaktivieren	mittel	pass
4.1.1	Achten Sie darauf, dass nur ein Firewalldienst aktiv ist	mittel	pass
4.3.2, 4.4.1.3	ufw-Paket entfernen	mittel	pass
4.4.1.1	iptables-Paket installieren	mittel	pass
4.4.1.1	Paket „iptables-persistent“ installieren	mittel	pass
4.4.1.2	Prüfen, ob der nftables-Dienst deaktiviert ist	mittel	pass
5.1.1	Gruppe prüfen, die Inhaber der SSH-Serverkonfigurationsdateien ist	mittel	pass
5.1.1	Gruppe prüfen, die Inhaber der SSH-Server-Konfigurationsdatei ist	mittel	pass
5.1.1	Inhaber von SSH-Serverkonfigurationsdateien prüfen	mittel	pass
5.1.1	Bestätigten Inhaber in der Konfigurationsdatei des SSH-Servers prüfen	mittel	pass
5.1.1	Berechtigungen für die SSH-Serverkonfigurationsdatei prüfen	mittel	pass
5.1.1	Berechtigungen für die SSH-Server-Konfigurationsdatei prüfen	mittel	pass
5.1.2	Berechtigungen für private *_key-Schlüsseldateien des SSH-Servers prüfen	mittel	pass
5.1.3	Berechtigungen für öffentliche *.pub-Schlüsseldateien des SSH-Servers prüfen	mittel	pass
5.1.5	SSH-Warnbanner aktivieren	mittel	pass
5.1.6	Nur starke Chiffren verwenden	mittel	pass
5.1.7	Maximale Anzahl von SSH-Client-Alive-Nachrichten festlegen	mittel	pass
5.1.7	SSH-Client-Alive-Intervall festlegen	mittel	pass
5.1.8	SSH-Weiterleitung deaktivieren	mittel	pass
5.1.9	GSSAPI-Authentifizierung deaktivieren	mittel	pass
5.1.10	Hostbasierte Authentifizierung deaktivieren	mittel	pass
5.1.11	SSH-Unterstützung für .rhosts-Dateien deaktivieren	mittel	pass
5.1.12	Nur starke Algorithmen für den Schlüsselaustausch verwenden	mittel	pass
5.1.13	Sicherstellen, dass SSH LoginGraceTime konfiguriert ist	mittel	pass
5.1.14	LogLevel auf INFO festlegen	niedrig	pass
5.1.15	Nur starke MACs verwenden	mittel	pass
5.1.16	Limit für SSH-Authentifizierungsversuche festlegen	mittel	pass
5.1.17	SSH-Limit für MaxSessions festlegen	mittel	pass
5.1.18	Sicherstellen, dass SSH MaxStartups konfiguriert ist	mittel	pass
5.1.19	SSH-Zugriff über leere Passwörter deaktivieren	hoch	pass
5.1.20	SSH-Root-Anmeldung deaktivieren	mittel	pass
5.1.21	SSH-Umgebungsoptionen nicht zulassen	mittel	pass
5.1.22	PAM aktivieren	mittel	pass
5.2.1	sudo-Paket installieren	mittel	pass
5.2.2	Nur Nutzer, die in einem echten tty angemeldet sind, dürfen sudo ausführen – sudo use_pty	mittel	pass
5.2.3	Sudo-Logdatei muss vorhanden sein – sudo logfile	niedrig	pass
5.2.5	Nutzer müssen sich bei der Rechteausweitung noch einmal authentifizieren – sudo !authenticate	mittel	pass
5.2.6	Erneute Authentifizierung bei Verwendung des sudo-Befehls anfordern	mittel	pass
5.2.7	Verwendung von pam_wheel mit Gruppenparameter für su-Authentifizierung erzwingen	mittel	pass
5.2.7	Sicherstellen, dass die vom Modul pam_wheel.so verwendete Gruppe im System vorhanden und leer ist	mittel	pass
5.3.1.1	pam-runtime-Paket installieren	mittel	pass
5.3.1.2	pam-modules-Paket installieren	mittel	pass
5.3.1.3	Paket „pam_pwquality“ installieren	mittel	pass
5.3.2.1	Prüfen, ob das pam_unix-Modul aktiviert ist	mittel	pass
5.3.2.2	Prüfen, ob das pam_faillock-Modul aktiviert ist	mittel	pass
5.3.2.3	Prüfen, ob das pam_pwquality-Modul aktiviert ist	mittel	pass
5.3.2.4	Prüfen, ob das Modul „pam_pwhistory“ aktiviert ist	mittel	pass
5.3.3.1.1	Konten nach fehlgeschlagenen Passworteingaben sperren	mittel	pass
5.3.3.1.2	Sperrzeit für falsche Passworteingaben festlegen	mittel	pass
5.3.3.1.3	Sperrzeit für Root-Nutzer bei fehlgeschlagenen Passworteingaben festlegen	mittel	pass
5.3.3.2.1	Achten Sie darauf, dass PAM Passwortanforderungen erzwingt – Mindestanzahl unterschiedlicher Zeichen	mittel	pass
5.3.3.2.2	Achten Sie darauf, dass PAM die Passwortanforderungen erzwingt – Mindestlänge	mittel	pass
5.3.3.2.3	Achten Sie darauf, dass PAM Passwortanforderungen erzwingt – Mindestanzahl verschiedener Kategorien	mittel	pass
5.3.3.2.3	Achten Sie darauf, dass PAM die Passwortanforderungen erzwingt – Mindestanzahl an Ziffern	mittel	pass
5.3.3.2.3	Achten Sie darauf, dass PAM Passwortanforderungen erzwingt – Mindestanzahl von Kleinbuchstaben	mittel	pass
5.3.3.2.3	Achten Sie darauf, dass PAM die Passwortanforderungen erzwingt – Mindestanzahl an Sonderzeichen	mittel	pass
5.3.3.2.3	Achten Sie darauf, dass PAM die Passwortanforderungen erzwingt – Mindestanzahl an Großbuchstaben	mittel	pass
5.3.3.2.4	Maximale Anzahl aufeinanderfolgender wiederholter Zeichen im Passwort festlegen	mittel	pass
5.3.3.2.5	Maximale Anzahl aufeinanderfolgender Zeichen in Passwörtern begrenzen	mittel	pass
5.3.3.2.6	Sicherstellen, dass PAM Passwortanforderungen erzwingt – Verwendung von Wörterbuchwörtern verhindern	mittel	pass
5.3.3.2.7	Sicherstellen, dass PAM Passwortanforderungen erzwingt – Erzwingen	mittel	pass
5.3.3.2.8	Achten Sie darauf, dass PAM Passwortanforderungen erzwingt – Erzwingen für Root-Nutzer	mittel	pass
5.3.3.3.1	Wiederverwendung von Passwörtern einschränken	mittel	pass
5.3.3.3.2	Wiederverwendung von Passwörtern einschränken	mittel	pass
5.3.3.3.3	Passwortverlauf mit use_authtok erzwingen	mittel	pass
5.3.3.4.1	Anmeldung bei Konten mit leerem Passwort verhindern	hoch	pass
5.3.3.4.2	Verwendung von „remember“ im pam_unix-Modul vermeiden	mittel	pass
5.3.3.4.3	Passwort-Hashing-Algorithmus von PAM festlegen	mittel	pass
5.3.3.4.4	use_authtok für pam_unix.so erforderlich	mittel	pass
5.4.1.1	Maximales Alter für vorhandene Passwörter festlegen	mittel	pass
5.4.1.2	Mindestalter für vorhandene Passwörter festlegen	mittel	pass
5.4.1.2	Mindestalter für Passwort festlegen	mittel	pass
5.4.1.3	Alter für Passwortwarnung festlegen	mittel	pass
5.4.1.4	Passwort-Hashing-Algorithmus in /etc/login.defs festlegen	mittel	pass
5.4.1.5	Kontoablauf nach Inaktivität festlegen	mittel	pass
5.4.1.6	Sicherstellen, dass das Datum der letzten Passwortänderung aller Nutzer in der Vergangenheit liegt	mittel	pass
5.4.2.1	Prüfen, ob nur Root die UID 0 hat	hoch	pass
5.4.2.2	Prüfen, ob Root eine primäre GID 0 hat	hoch	pass
5.4.2.3	Prüfen, ob nur die Gruppe „root“ die GID 0 hat	hoch	pass
5.4.2.4	Zugriff auf Root-Konto kontrollieren	mittel	pass
5.4.2.5	Sicherstellen, dass alle Einträge im Pfad des Stammverzeichnisses Verzeichnisse sind	mittel	pass
5.4.2.5	Achten Sie darauf, dass alle Root-Pfadverzeichnisse Root gehören	mittel	pass
5.4.2.5	Achten Sie darauf, dass der Pfad des Stammverzeichnisses keine relativen Pfade oder Nullverzeichnisse enthält	unbekannt	pass
5.4.2.5	Sicherstellen, dass der Pfad des Root-Nutzers keine für alle oder für Gruppen beschreibbaren Verzeichnisse enthält	mittel	pass
5.4.2.6	Sicherstellen, dass die Root-Bash-Umask richtig festgelegt ist	mittel	pass
5.4.2.7	Achten Sie darauf, dass Systemkonten bei der Anmeldung keine Shell ausführen	mittel	pass
5.4.2.8	Prüfen, ob nicht interaktive Konten gesperrt sind	mittel	pass
5.4.3.1	Achten Sie darauf, dass die nologin-Shell nicht in /etc/shells aufgeführt ist	mittel	pass
5.4.3.2	Zeitlimit für interaktive Sitzungen festlegen	mittel	pass
5.4.3.3	Achten Sie darauf, dass die Standard-Bash-Umask korrekt festgelegt ist	mittel	pass
5.4.3.3	Sicherstellen, dass die Standard-Umask in /etc/profile korrekt festgelegt ist	mittel	pass
5.4.3.3	Sicherstellen, dass die Standard-Umask in login.defs korrekt festgelegt ist	mittel	pass
6.1.1.1	systemd-journald-Dienst aktivieren	mittel	pass
6.1.1.4	Achten Sie darauf, dass ein Logging-Dienst verwendet wird	mittel	pass
6.1.2.1.4	systemd-journal-remote-Socket deaktivieren	mittel	pass
6.1.3.1	Sicherstellen, dass rsyslog installiert ist	mittel	pass
6.1.3.2	rsyslog-Dienst aktivieren	mittel	pass
6.1.3.4	Sicherstellen, dass rsyslog-Standarddateiberechtigungen konfiguriert sind	mittel	pass
6.1.3.7	Achten Sie darauf, dass rsyslog keine Remote-Nachrichten akzeptiert, es sei denn, es fungiert als Logserver	mittel	pass
6.1.4.1	Gruppe prüfen, die Inhaber der Datei „/var/log/(b\|w)tmp(.\|-)“ ist	mittel	pass
6.1.4.1	Gruppe prüfen, die Inhaber der Datei „/var/log/*.journal(~)“ ist	mittel	pass
6.1.4.1	Gruppe prüfen, die Inhaber der Datei „/var/log/auth.log“ ist	mittel	pass
6.1.4.1	Gruppe prüfen, die Inhaber der Datei „/var/log/cloud-init.log*“ ist	mittel	pass
6.1.4.1	Gruppe prüfen, die Inhaber der Datei /var/log/lastlog ist	mittel	pass
6.1.4.1	Gruppe prüfen, die Eigentümer der Datei /var/log/localmessages* ist	mittel	pass
6.1.4.1	Gruppe prüfen, die Inhaber der Datei „/var/log/messages“ ist	mittel	pass
6.1.4.1	Gruppe prüfen, die Inhaber der Datei /var/log/secure ist	mittel	pass
6.1.4.1	Gruppe prüfen, die Inhaber der Datei „/var/log/syslog“ ist	mittel	pass
6.1.4.1	Gruppe prüfen, die Inhaber der Datei /var/log/waagent.log ist	mittel	pass
6.1.4.1	Gruppeninhaberschaft von Dateien in /var/log/apt prüfen	mittel	pass
6.1.4.1	Gruppeneigentümerschaft von Dateien in /var/log/gdm prüfen	mittel	pass
6.1.4.1	Gruppeneigentümerschaft von Dateien in /var/log/gdm3 prüfen	mittel	pass
6.1.4.1	Gruppeneigentümerschaft von Dateien in /var/log/landscape prüfen	mittel	pass
6.1.4.1	Gruppeneigentümerschaft von Dateien in /var/log/sssd prüfen	mittel	pass
6.1.4.1	Inhaberschaft von Dateien in /var/log/apt prüfen	mittel	pass
6.1.4.1	Inhaberschaft von Dateien in /var/log/gdm prüfen	mittel	pass
6.1.4.1	Inhaberschaft von Dateien in /var/log/gdm3 prüfen	mittel	pass
6.1.4.1	Inhaberschaft von Dateien in /var/log/landscape prüfen	mittel	pass
6.1.4.1	Inhaberschaft von Dateien in /var/log/sssd prüfen	mittel	pass
6.1.4.1	Berechtigungen von Dateien in /var/log/gdm prüfen	mittel	pass
6.1.4.1	Berechtigungen von Dateien in /var/log/gdm3 prüfen	mittel	pass
6.1.4.1	Berechtigungen von Dateien in /var/log/sssd prüfen	mittel	pass
6.1.4.1	Berechtigungen für die Datei /var/log/auth.log prüfen	mittel	pass
6.1.4.1	Berechtigungen für /var/log/cloud-init.log(.*)-Dateien prüfen	mittel	pass
6.1.4.1	Berechtigungen für /var/log/lastlog(.*)-Dateien prüfen	mittel	pass
6.1.4.1	Berechtigungen für /var/log/localmessages(.*)-Dateien prüfen	mittel	pass
6.1.4.1	Berechtigungen für die Datei „/var/log/messages“ prüfen	mittel	pass
6.1.4.1	Berechtigungen für die Datei „/var/log/secure“ prüfen	mittel	pass
6.1.4.1	Berechtigungen für die Datei /var/log/syslog prüfen	mittel	pass
6.1.4.1	Berechtigungen für /var/log/waagent.log(.*)-Dateien prüfen	mittel	pass
6.1.4.1	Berechtigungen für /var/log/wtmp(.*)-Dateien prüfen	mittel	pass
6.1.4.1	Berechtigungen für Dateien im Verzeichnis /var/log/apt/.* prüfen	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Datei „/var/log/(b\|w)tmp(.\|-)“ gehört	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Dateien „/var/log/*.journal(~)“ gehören	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Datei „/var/log/auth.log“ gehört	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Datei „/var/log/cloud-init.log“ gehört	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Datei „/var/log/lastlog“ gehört	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Datei /var/log/localmessages gehört	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Datei „/var/log/messages“ gehört	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Datei „/var/log/secure“ gehört	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Datei „/var/log/syslog“ gehört	mittel	pass
6.1.4.1	Nutzer prüfen, dem die Datei /var/log/waagent.log gehört	mittel	pass
6.2.1.1	Sicherstellen, dass das Audit-Subsystem installiert ist	mittel	pass
6.2.1.1	Prüfen, ob die Standard-Plug-ins für den Audit-Dispatcher installiert sind	mittel	pass
6.2.1.2	auditd-Dienst aktivieren	mittel	pass
6.2.1.4	Limit für Audit-Backlog für den Audit-Daemon erweitern	niedrig	pass
6.2.2.1	Maximale Logdateigröße für auditd konfigurieren	mittel	pass
6.2.2.2	Auditd-max_log_file_action bei Erreichen der maximalen Loggröße konfigurieren	mittel	pass
6.2.2.3	Aktion bei Laufwerksfehler für auditd-Laufwerksfehler konfigurieren	mittel	pass
6.2.2.3	Aktion für volles Laufwerk in auditd konfigurieren, wenn der Speicherplatz voll ist	mittel	pass
6.2.2.4	auditd-Aktion „admin_space_left“ bei wenig Speicherplatz konfigurieren	mittel	pass
6.2.2.4	auditd-Aktion „mail_acct“ bei wenig Speicherplatz konfigurieren	mittel	pass
6.2.2.4	auditd-Aktion „space_left“ bei wenig Speicherplatz konfigurieren	mittel	pass
6.2.3.1	Sicherstellen, dass auditd Aktionen von Systemadministratoren erfasst	mittel	pass
6.2.3.2	Ereignisse aufzeichnen, wenn ausführbare Dateien als anderer Nutzer ausgeführt werden	mittel	pass
6.2.3.2	Ereignisse aufzeichnen, wenn privilegierte ausführbare Dateien ausgeführt werden	mittel	pass
6.2.3.3	Versuche, Wartungsaktivitäten auszuführen, aufzeichnen	mittel	pass
6.2.3.4	Versuche, die Zeit über clock_settime zu ändern, aufzeichnen	mittel	pass
6.2.3.4	Versuche, die Datei „localtime“ zu ändern, aufzeichnen	mittel	pass
6.2.3.4	Versuche, die Zeit über adjtimex zu ändern, aufzeichnen	mittel	pass
6.2.3.4	Versuche, die Zeit über settimeofday zu ändern, aufzeichnen	mittel	pass
6.2.3.5	Ereignisse aufzeichnen, die die Netzwerkumgebung des Systems ändern	mittel	pass
6.2.3.7	Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – creat	mittel	pass
6.2.3.7	Nicht erfolgreiche Zugriffsversuche auf Dateien aufzeichnen – ftruncate	mittel	pass
6.2.3.7	Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – geöffnet	mittel	pass
6.2.3.7	Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – openat	mittel	pass
6.2.3.7	Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – Kürzen	mittel	pass
6.2.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/group	mittel	pass
6.2.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/gshadow	mittel	pass
6.2.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/nsswitch.conf	mittel	pass
6.2.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/pam.conf	mittel	pass
6.2.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/pam.d/	mittel	pass
6.2.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/passwd	mittel	pass
6.2.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/security/opasswd	mittel	pass
6.2.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/shadow	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – chmod	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – chown	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – fchmod	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die benutzerdefinierte Zugriffssteuerung des Systems ändern – fchmodat	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – fchown	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchownat	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die freiwilligen Zugriffssteuerungen des Systems ändern – fremovexattr	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die benutzerdefinierte Zugriffssteuerung des Systems ändern – fsetxattr	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die benutzerdefinierte Zugriffssteuerung des Systems ändern – lchown	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – lremovexattr	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – lsetxattr	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – removexattr	mittel	pass
6.2.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – setxattr	mittel	pass
6.2.3.10	Sicherstellen, dass auditd Informationen zum Exportieren auf Medien erfasst (erfolgreich)	mittel	pass
6.2.3.11	Versuche, Prozess- und Sitzungsinitiierungsinformationen zu ändern, aufzeichnen	mittel	pass
6.2.3.12	Versuche, Anmelde- und Abmeldeereignisse zu ändern, aufzeichnen – faillock	mittel	pass
6.2.3.12	Versuche, An- und Abmeldeereignisse zu ändern, aufzeichnen – lastlog	mittel	pass
6.2.3.13	Sicherstellen, dass auditd Ereignisse zum Löschen von Dateien durch Nutzer erfasst – rename	mittel	pass
6.2.3.13	Sicherstellen, dass auditd Ereignisse zum Löschen von Dateien durch Nutzer erfasst – renameat	mittel	pass
6.2.3.13	Sicherstellen, dass auditd Ereignisse zum Löschen von Dateien durch Nutzer erfasst – unlink	mittel	pass
6.2.3.13	Sicherstellen, dass auditd Ereignisse zum Löschen von Dateien durch Nutzer erfasst – unlinkat	mittel	pass
6.2.3.14	Ereignisse aufzeichnen, die die obligatorischen Zugriffssteuerungen des Systems ändern (/etc/apparmor)	mittel	pass
6.2.3.14	Ereignisse aufzeichnen, die die obligatorischen Zugriffssteuerungen des Systems ändern (/etc/apparmor.d)	mittel	pass
6.2.3.15	Alle Versuche, chcon auszuführen, aufzeichnen	mittel	pass
6.2.3.16	Alle Versuche zur Ausführung von setfacl aufzeichnen	mittel	pass
6.2.3.17	Alle Versuche, chacl auszuführen, aufzeichnen	mittel	pass
6.2.3.18	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – usermod	mittel	pass
6.2.3.19	Sicherstellen, dass auditd Informationen zum Laden von Kernelmodulen erfasst – init_module	mittel	pass
6.2.3.19	Sicherstellen, dass auditd Informationen zum Laden und Entladen von Kernelmodulen erfasst – finit_module	mittel	pass
6.2.3.19	Sicherstellen, dass auditd Informationen zum Laden und Entladen von Kernelmodulen erfasst – query_module	mittel	pass
6.2.3.19	Sicherstellen, dass auditd Informationen zum Entladen von Kernelmodulen erfasst – create_module	mittel	pass
6.2.3.19	Achten Sie darauf, dass auditd Informationen zum Entladen von Kernelmodulen erfasst – delete_module	mittel	pass
6.2.3.19	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – kmod	mittel	pass
6.2.3.20	Auditd-Konfiguration unveränderlich machen	mittel	pass
6.2.4.1	System-Audit-Logs müssen den Modus 0640 oder weniger restriktiv haben	mittel	pass
6.2.4.2	System-Audit-Logs müssen dem Root-Nutzer gehören	mittel	pass
6.2.4.3	System-Audit-Logs müssen der Gruppe „root“ gehören	mittel	pass
6.2.4.4	System-Audit-Logs müssen den Modus 0750 oder weniger restriktiv haben	mittel	pass
6.2.4.5	Berechtigungen für /etc/audit/audit.rules prüfen	mittel	pass
6.2.4.5	Berechtigungen für /etc/audit/auditd.conf prüfen	mittel	pass
6.2.4.5	Berechtigungen für /etc/audit/rules.d/*.rules prüfen	mittel	pass
6.2.4.6	Audit-Konfigurationsdateien müssen Root gehören	mittel	pass
6.2.4.7	Audit-Konfigurationsdateien müssen der Gruppe „root“ gehören	mittel	pass
6.2.4.8	Prüfen, ob Audit-Tools den Modus 0755 oder niedriger haben	mittel	pass
6.2.4.9	Prüfen, ob Audit-Tools dem Root-Nutzer gehören	mittel	pass
6.2.4.10	Prüfen, ob Audit-Tools der Gruppe „root“ gehören	mittel	pass
7.1.1	Gruppe prüfen, die Inhaber der passwd-Datei ist	mittel	pass
7.1.1	Berechtigungen für die passwd-Datei prüfen	mittel	pass
7.1.1	Nutzer prüfen, dem die passwd-Datei gehört	mittel	pass
7.1.2	Gruppe prüfen, die Eigentümer der Sicherungsdatei „passwd“ ist	mittel	pass
7.1.2	Berechtigungen für die Sicherungsdatei „passwd“ prüfen	mittel	pass
7.1.2	Nutzer prüfen, dem die Sicherungsdatei „passwd“ gehört	mittel	pass
7.1.3	Gruppe prüfen, die Inhaber der Gruppendatei ist	mittel	pass
7.1.3	Berechtigungen für die Gruppendatei prüfen	mittel	pass
7.1.3	Nutzer überprüfen, dem die Gruppendatei gehört	mittel	pass
7.1.4	Gruppe prüfen, die Inhaber der Sicherungsdatei ist	mittel	pass
7.1.4	Berechtigungen für die Datei der Sicherungsgruppe prüfen	mittel	pass
7.1.4	Nutzer überprüfen, dem die Datei der Sicherungsgruppe gehört	mittel	pass
7.1.5	Gruppe prüfen, die Inhaber der Datei „shadow“ ist	mittel	pass
7.1.5	Berechtigungen für die Schattendatei prüfen	mittel	pass
7.1.5	Nutzer prüfen, dem die Datei „shadow“ gehört	mittel	pass
7.1.6	Gruppe prüfen, die Inhaber der Backup-Shadow-Datei ist	mittel	pass
7.1.6	Berechtigungen für die Schattenkopie der Sicherungsdatei prüfen	mittel	pass
7.1.6	Nutzer überprüfen, dem die Schatten-Sicherungsdatei gehört	mittel	pass
7.1.7	Gruppe prüfen, die Inhaber der gshadow-Datei ist	mittel	pass
7.1.7	Berechtigungen für die gshadow-Datei prüfen	mittel	pass
7.1.7	Nutzer prüfen, dem die gshadow-Datei gehört	mittel	pass
7.1.8	Gruppe prüfen, die Inhaber der gshadow-Sicherungsdatei ist	mittel	pass
7.1.8	Berechtigungen für die gshadow-Sicherungsdatei prüfen	mittel	pass
7.1.8	Nutzer überprüfen, dem die gshadow-Sicherungsdatei gehört	mittel	pass
7.1.9	Gruppe prüfen, die Inhaber der Datei „/etc/shells“ ist	mittel	pass
7.1.9	Berechtigungen für die Datei „/etc/shells“ prüfen	mittel	pass
7.1.9	Inhaber der Datei „/etc/shells“ prüfen	mittel	pass
7.1.10	Gruppe prüfen, die Inhaber der Datei „/etc/security/opasswd“ ist	mittel	pass
7.1.10	Gruppe prüfen, die Inhaber der Datei „/etc/security/opasswd.old“ ist	mittel	pass
7.1.10	Berechtigungen für die Datei „/etc/security/opasswd“ prüfen	mittel	pass
7.1.10	Berechtigungen für die Datei „/etc/security/opasswd.old“ prüfen	mittel	pass
7.1.10	Nutzer prüfen, dem die Datei „/etc/security/opasswd“ gehört	mittel	pass
7.1.10	Nutzer prüfen, dem die Datei „/etc/security/opasswd.old“ gehört	mittel	pass
7.2.1	Prüfen, ob alle Kontopasswort-Hashes verborgen sind	mittel	pass
7.2.2	Es dürfen keine Konten mit leeren oder Null-Passwörtern vorhanden sein	hoch	pass
7.2.3	Alle in /etc/passwd referenzierten GIDs müssen in /etc/group definiert sein	niedrig	pass
7.2.4	Sicherstellen, dass die Schattengruppe leer ist	mittel	pass
7.2.5	Sicherstellen, dass alle Konten im System eindeutige Nutzer-IDs haben	mittel	pass
7.2.6	Sicherstellen, dass alle Gruppen im System eine eindeutige Gruppen-ID haben	mittel	pass
7.2.7	Sicherstellen, dass alle Konten im System eindeutige Namen haben	mittel	pass
7.2.8	Sicherstellen, dass alle Gruppen im System eindeutige Gruppennamen haben	mittel	pass
7.2.9	Alle interaktiven Nutzer-Basisverzeichnisse müssen der primären Gruppe gehören	mittel	pass
7.2.9	Alle interaktiven Nutzer-Basisverzeichnisse müssen dem primären Nutzer gehören	mittel	pass
7.2.9	Alle interaktiven Nutzer-Home-Verzeichnisse müssen den Modus 0750 oder weniger restriktiv haben	mittel	pass
7.2.9	Alle Basisverzeichnisse interaktiver Nutzer müssen vorhanden sein	mittel	pass
7.2.10	Sicherstellen, dass alle Nutzerinitialisierungsdateien den Modus 0740 oder weniger restriktiv haben	mittel	pass
7.2.10	Achten Sie darauf, dass die Bash-Verlaufsdatei des Nutzers die richtigen Berechtigungen hat	mittel	pass
7.2.10	Nutzerinitialisierungsdateien müssen der primären Gruppe gehören	mittel	pass
7.2.10	Nutzerinitialisierungsdateien müssen dem primären Nutzer gehören	mittel	pass
7.2.10	Prüfen, ob .forward-Dateien vorhanden sind	mittel	pass
7.2.10	Prüfen, ob keine netrc-Dateien vorhanden sind	mittel	pass

Nicht zutreffende Empfehlungen

In der folgenden Tabelle sind die Empfehlungen aufgeführt, die nicht für Google Distributed Cloud gelten.

#	Empfehlung	Schweregrad	Status
1.1.2.1.2	Option „nodev“ zu „/tmp“ hinzufügen	mittel	notapplicable
1.1.2.1.3	Option „nosuid“ zu /tmp hinzufügen	mittel	notapplicable
1.1.2.1.4	Option „noexec“ zu „/tmp“ hinzufügen	mittel	notapplicable
1.1.2.3.2	Option „nodev“ zu „/home“ hinzufügen	unbekannt	notapplicable
1.1.2.3.3	Option „nosuid“ zu /home hinzufügen	mittel	notapplicable
1.1.2.4.2	Option „nodev“ zu „/var“ hinzufügen	mittel	notapplicable
1.1.2.4.3	Option „nosuid“ zu „/var“ hinzufügen	mittel	notapplicable
1.1.2.5.2	Option „nodev“ zu „/var/tmp“ hinzufügen	mittel	notapplicable
1.1.2.5.3	Option „nosuid“ zu /var/tmp hinzufügen	mittel	notapplicable
1.1.2.5.4	Option „noexec“ zu /var/tmp hinzufügen	mittel	notapplicable
1.1.2.6.2	Option „nodev“ zu /var/log hinzufügen	mittel	notapplicable
1.1.2.6.3	Option „nosuid“ zu „/var/log“ hinzufügen	mittel	notapplicable
1.1.2.6.4	Option „noexec“ zu „/var/log“ hinzufügen	mittel	notapplicable
1.1.2.7.2	Option „nodev“ zu /var/log/audit hinzufügen	mittel	notapplicable
1.1.2.7.3	Option „nosuid“ zu /var/log/audit hinzufügen	mittel	notapplicable
1.1.2.7.4	Option „noexec“ zu /var/log/audit hinzufügen	mittel	notapplicable
1.4.1	UEFI-Bootloader-Passwort festlegen	hoch	notapplicable
1.7.1	GDM-Paketgruppe entfernen	mittel	notapplicable
1.7.4, 1.7.5	GNOME3-Bildschirmschonersperre nach Inaktivität aktivieren	mittel	notapplicable
1.7.4, 1.7.5	Zeitlimit für Inaktivität des GNOME3-Bildschirmschoners festlegen	mittel	notapplicable
1.7.4, 1.7.5	Verzögerung für die Sperre des GNOME3-Bildschirmschoners nach Aktivierungszeitraum festlegen	mittel	notapplicable
1.7.6, 1.7.7	Öffnen von GNOME3-Automount deaktivieren	mittel	notapplicable
1.7.6, 1.7.7	Automatisches GNOME3-Mounting deaktivieren	mittel	notapplicable
1.7.8, 1.7.9	Automatische Bereitstellung von GNOME3 deaktivieren	niedrig	notapplicable
1.7.10	XDMCP in GDM deaktivieren	hoch	notapplicable
2.1.1	Automounter deaktivieren	mittel	notapplicable
2.1.2	Avahi-Serversoftware deaktivieren	mittel	notapplicable
2.1.15	snmpd-Dienst deaktivieren	niedrig	notapplicable
2.1.17	Squid deaktivieren	unbekannt	notapplicable
2.1.21	Postfix-Netzwerküberwachung deaktivieren	mittel	notapplicable
2.3.1.1	Der Chronyd-Dienst ist deaktiviert.	mittel	notapplicable
4.2.3	Prüfen, ob ufw aktiv ist	mittel	notapplicable
4.2.3	Prüfen, ob ufw aktiviert ist	mittel	notapplicable
4.2.4	UFW-Loopback-Traffic festlegen	mittel	notapplicable
4.2.6	Sicherstellen, dass ufw-Firewallregeln für alle offenen Ports vorhanden sind	mittel	notapplicable
4.2.7	Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für ufw festgelegt ist	mittel	notapplicable
4.4.2.1	Standardmäßige iptables-Richtlinie für eingehende Pakete festlegen	mittel	notapplicable
4.4.2.2	Konfiguration für Loopback-Traffic festlegen	mittel	notapplicable
4.4.2.4	Sicherstellen, dass iptables-Firewallregeln für alle offenen Ports vorhanden sind	mittel	notapplicable
4.4.3.1	Standard-ip6tables-Richtlinie für eingehende Pakete festlegen	mittel	notapplicable
4.4.3.4	Sicherstellen, dass ip6tables-Firewallregeln für alle offenen Ports vorhanden sind	mittel	notapplicable
6.1.2.1.1	Paket „systemd-journal-remote“ installieren	mittel	notapplicable
6.1.2.1.2	Konfigurieren Sie die TLS-Parameter für systemd-journal-upload: ServerKeyFile, ServerCertificateFile und TrustedCertificateFile.	mittel	notapplicable
6.1.2.1.2	URL für systemd-journal-upload konfigurieren	mittel	notapplicable
6.1.2.1.3	Dienst „systemd-journal-upload“ aktivieren	mittel	notapplicable
6.1.2.2	Sicherstellen, dass journald ForwardToSyslog deaktiviert ist	mittel	notapplicable
6.1.2.3	Achten Sie darauf, dass journald so konfiguriert ist, dass große Logdateien komprimiert werden	mittel	notapplicable
6.1.2.4	Achten Sie darauf, dass journald so konfiguriert ist, dass Logdateien auf einen nichtflüchtigen Speicher geschrieben werden	mittel	notapplicable
6.3.2	AIDE-Ausführung per Systemd-Timer konfigurieren	mittel	notapplicable
7.2.10	Rsh-Vertrauensdateien entfernen	hoch	notapplicable

Von der Bewertung ausgeschlossene Empfehlungen

Für die Bewertung wird das Profil cis_level2_server_customized verwendet, das auf Google Distributed Cloud zugeschnitten ist. In der folgenden Tabelle sind die Empfehlungen des CIS Level 2 – Server-Profils aufgeführt, die im maßgeschneiderten Profil von der Bewertung ausgeschlossen sind und daher nicht in den vorherigen Tabellen angezeigt werden. Einige dieser Empfehlungen sind Alternativen zu Konfigurationen, die von Google Distributed Cloud verwendet werden, z. B. chrony anstelle von systemd-timesyncd oder GNOME-Einstellungen, die nicht für Server ohne Desktop gelten.

#	Empfehlung	Schweregrad	Status
1.3.1.3	Alle AppArmor-Profile befinden sich im Erzwingungs- oder Beschwerdemodus	mittel	nicht bewertet
1.3.1.4	Alle AppArmor-Profile erzwingen	mittel	nicht bewertet
1.4.2	Inhaberschaft von /boot/grub/grub.cfg prüfen	mittel	nicht bewertet
1.7.2	GNOME3-Anmelde-Warnbanner aktivieren	mittel	nicht bewertet
1.7.2	Text des GNOME3-Anmeldewarnbanners festlegen	mittel	nicht bewertet
1.7.3	GNOME3-Anmeldenutzerliste deaktivieren	mittel	nicht bewertet
2.1.12	rpcbind-Paket deinstallieren	niedrig	nicht bewertet
2.3.1.1	Dienst „systemd_timesyncd“ deaktivieren	mittel	nicht bewertet
2.3.1.1	Das Chrony-Paket ist installiert	mittel	nicht bewertet
2.3.1.1	Der Chronyd-Dienst ist aktiviert	mittel	nicht bewertet
2.3.3.1	Chrony-Pool und -Server konfigurieren	mittel	nicht bewertet
2.3.3.2	Achten Sie darauf, dass chronyd unter dem chrony-Nutzerkonto ausgeführt wird	mittel	nicht bewertet
3.3.1	Kernel-Parameter für die IP-Weiterleitung auf IPv4-Schnittstellen deaktivieren	mittel	nicht bewertet
3.3.1	Kernel-Parameter für IPv6-Weiterleitung deaktivieren	mittel	nicht bewertet
4.2.1	ufw-Paket installieren	mittel	nicht bewertet
4.2.2	iptables-persistent-Paket entfernen	mittel	nicht bewertet
4.3.1	nftables-Paket installieren	mittel	nicht bewertet
4.3.4	Tabelle für Nftables erstellen	mittel	nicht bewertet
4.3.5	Sicherstellen, dass Basis-Chains für Nftables vorhanden sind	mittel	nicht bewertet
4.3.6	nftables-Konfiguration für Loopback-Traffic festlegen	mittel	nicht bewertet
4.3.8	Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für nftables festgelegt ist	mittel	nicht bewertet
4.3.9	Prüfen, ob der nftables-Dienst aktiviert ist	mittel	nicht bewertet
4.3.10	Sicherstellen, dass nftables-Regeln dauerhaft sind	mittel	nicht bewertet
4.4.3.2	Konfiguration für IPv6-Loopback-Traffic festlegen	mittel	nicht bewertet
6.2.1.3	Prüfung für Prozesse aktivieren, die vor dem Audit-Daemon gestartet werden	niedrig	nicht bewertet
6.3.1	AIDE-Datenbank erstellen und testen	mittel	nicht bewertet
6.3.1	AIDE installieren	mittel	nicht bewertet
6.3.3	AIDE für die Überprüfung der Audit-Tools konfigurieren	mittel	nicht bewertet
7.1.11	Sicherstellen, dass keine Dateien mit Schreibzugriff für alle Nutzer vorhanden sind	mittel	nicht bewertet
7.1.12	Sicherstellen, dass alle Dateien einer Gruppe gehören	mittel	nicht bewertet

1,34

Versionen

Dieser Abschnitt bezieht sich auf die folgenden Versionen:

Google Distributed Cloud-Version	Ubuntu-Version	Version der CIS-Ubuntu-Benchmark	CIS-Level
1,34	22.04 LTS	v1.0.0	Level-2-Server

Fehlgeschlagene Empfehlungen

#	Empfehlung	Schweregrad	Status	Gilt für
1.1.2.1	Achten Sie darauf, dass sich /tmp auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.1.3.1	Achten Sie darauf, dass sich /var auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.1.4.1	Achten Sie darauf, dass sich /var/tmp auf einer separaten Partition befindet	mittel	Nicht bestanden	Alle
1.1.5.1	Achten Sie darauf, dass sich /var/log auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.1.6.1	Achten Sie darauf, dass sich /var/log/audit auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.1.7.1	Achten Sie darauf, dass sich /home auf einer separaten Partition befindet	niedrig	Nicht bestanden	Alle
1.4.1	Bootloader-Passwort in grub2 festlegen	hoch	Nicht bestanden	Alle
1.4.3	Sicherstellen, dass für den Einzelnutzermodus eine Authentifizierung erforderlich ist	mittel	Nicht bestanden	Alle
2.3.6	rpcbind-Paket deinstallieren	niedrig	Nicht bestanden	Alle
3.2.2	Kernel-Parameter für die IP-Weiterleitung auf IPv4-Schnittstellen deaktivieren	mittel	Nicht bestanden	Alle
3.3.7	Kernelparameter aktivieren, um Reverse Path Filtering auf allen IPv4-Schnittstellen zu verwenden	mittel	Nicht bestanden	Knoten der Steuerungsebene, Worker-Knoten
3.5.2.8	Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für nftables festgelegt ist	mittel	Nicht bestanden	Alle
3.5.2.10	Sicherstellen, dass nftables-Regeln dauerhaft sind	mittel	Nicht bestanden	Alle
4.2.3	Berechtigungen von Protokolldateien prüfen	mittel	Nicht bestanden	Alle
5.2.4	SSH-Zugriff von Nutzern einschränken	unbekannt	Nicht bestanden	Alle
5.3.4	Nutzer müssen sich bei der Rechteausweitung noch einmal authentifizieren – sudo	mittel	Nicht bestanden	Alle
5.5.1.2	Maximale Gültigkeitsdauer des Passworts festlegen	mittel	Nicht bestanden	Alle
6.1.10	Sicherstellen, dass alle Dateien einem Nutzer gehören	mittel	Nicht bestanden	Knoten der Steuerungsebene, Worker-Knoten

Bestandene Empfehlungen

In der folgenden Tabelle sind die Benchmark-Empfehlungen aufgeführt, die von Google Distributed Cloud erfüllt werden.

#	Empfehlung	Schweregrad	Status
1.1.1.1	Bereitstellung von cramfs deaktivieren	niedrig	pass
1.1.1.2	Bereitstellung von squashfs deaktivieren	niedrig	pass
1.1.1.3	Bereitstellung von udf deaktivieren	niedrig	pass
1.1.8.1	Option „nodev“ zu /dev/shm hinzufügen	mittel	pass
1.1.8.2	Option „noexec“ zu /dev/shm hinzufügen	mittel	pass
1.1.8.3	Option „nosuid“ zu /dev/shm hinzufügen	mittel	pass
1.1.9	Automounter deaktivieren	mittel	pass
1.1.10	Modprobe-Laden des USB-Speichertreibers deaktivieren	mittel	pass
1.4.2	Berechtigungen für /boot/grub/grub.cfg prüfen	mittel	pass
1.5.1	Randomisiertes Layout des virtuellen Adressraums aktivieren	mittel	pass
1.5.2	Das Paket „prelink“ darf nicht installiert sein	mittel	pass
1.5.3	Apport-Dienst deaktivieren	unbekannt	pass
1.5.4	Core Dumps für alle Nutzer deaktivieren	mittel	pass
1.5.4	Core Dumps für SUID-Programme deaktivieren	mittel	pass
1.6.1.1	Prüfen, ob AppArmor installiert ist	mittel	pass
1.6.1.2	Achten Sie darauf, dass AppArmor in der Bootloader-Konfiguration aktiviert ist	mittel	pass
1.6.1.4	Alle AppArmor-Profile erzwingen	mittel	pass
1.7.1	Banner für die Systemnachricht des Tages ändern	mittel	pass
1.7.2	Systemanmeldebanner ändern	mittel	pass
1.7.3	Systemanmeldebanner für Remoteverbindungen ändern	mittel	pass
1.7.4	Gruppeninhaberschaft des Banners „Nachricht des Tages“ bestätigen	mittel	pass
1.7.4	Inhaberschaft des Banners „Nachricht des Tages“ bestätigen	mittel	pass
1.7.4	Berechtigungen für das Banner „Nachricht des Tages“ prüfen	mittel	pass
1.7.5	Gruppeninhaberschaft des Systemanmeldebanners überprüfen	mittel	pass
1.7.5	Inhaberschaft des Systemanmeldebanners bestätigen	mittel	pass
1.7.5	Berechtigungen für das Systemanmeldebanner prüfen	mittel	pass
1.7.6	Gruppeninhaberschaft des Systemanmeldebanners für Remoteverbindungen prüfen	mittel	pass
1.7.6	Inhaberschaft des Systemanmeldebanners für Remoteverbindungen bestätigen	mittel	pass
1.7.6	Berechtigungen für das Systemanmeldebanner für Remoteverbindungen prüfen	mittel	pass
2.1.1.1	systemd_timesyncd-Dienst installieren	hoch	pass
2.1.3.2	Dienst „systemd_timesyncd“ aktivieren	hoch	pass
2.2.1	X Windows-Paketgruppe entfernen	mittel	pass
2.2.2	Avahi-Serversoftware deaktivieren	mittel	pass
2.2.2	Avahi-Serverpaket deinstallieren	mittel	pass
2.2.3	CUPS-Dienst deaktivieren	unbekannt	pass
2.2.3	CUPS-Paket deinstallieren	unbekannt	pass
2.2.4	DHCP-Serverpaket deinstallieren	mittel	pass
2.2.5	openldap-servers-Paket deinstallieren	niedrig	pass
2.2.6	Paket „nfs-kernel-server“ deinstallieren	niedrig	pass
2.2.7	Bind-Paket deinstallieren	niedrig	pass
2.2.8	vsftpd-Paket deinstallieren	hoch	pass
2.2.9	httpd-Paket deinstallieren	unbekannt	pass
2.2.9	nginx-Paket deinstallieren	unbekannt	pass
2.2.10	cyrus-imapd-Paket deinstallieren	unbekannt	pass
2.2.10	Dovecot-Paket deinstallieren	unbekannt	pass
2.2.11	Samba-Paket deinstallieren	unbekannt	pass
2.2.12	Squid-Paket deinstallieren	unbekannt	pass
2.2.13	net-snmp-Paket deinstallieren	unbekannt	pass
2.2.14	NIS-Paket deinstallieren	niedrig	pass
2.2.15	Sicherstellen, dass der Mail Transfer Agent keine Nicht-Loopback-Adresse überwacht	mittel	pass
2.2.16	rsync-Paket deinstallieren	mittel	pass
2.3.2	rsh-Paket deinstallieren	unbekannt	pass
2.3.3	Talk-Paket deinstallieren	mittel	pass
2.3.4	Telnet-Clients entfernen (telnet-Paket)	niedrig	pass
2.3.5	Sicherstellen, dass der LDAP-Client nicht installiert ist	niedrig	pass
3.1.2	Schnittstellen für drahtlose Netzwerke deaktivieren	mittel	pass
3.2.1	Kernelparameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren	mittel	pass
3.2.1	Kernel-Parameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen standardmäßig deaktivieren	mittel	pass
3.2.2	Kernel-Parameter für IPv6-Weiterleitung deaktivieren	mittel	pass
3.3.1	Kernelparameter zum Akzeptieren von quellgerouteten Paketen auf IPv4-Schnittstellen standardmäßig deaktivieren	mittel	pass
3.3.1	Kernel-Parameter zum Akzeptieren von quellgerouteten Paketen auf IPv6-Schnittstellen standardmäßig deaktivieren	mittel	pass
3.3.1	Kernelparameter für die Annahme von quellgerouteten Paketen auf allen IPv4-Schnittstellen deaktivieren	mittel	pass
3.3.1	Kernelparameter zum Akzeptieren von quellgerouteten Paketen auf allen IPv6-Schnittstellen deaktivieren	mittel	pass
3.3.2	Annahme von ICMP-Weiterleitungen für alle IPv4-Schnittstellen deaktivieren	mittel	pass
3.3.2	Annahme von ICMP-Weiterleitungen für alle IPv6-Schnittstellen deaktivieren	mittel	pass
3.3.2	Kernelparameter zum Akzeptieren von ICMP-Weiterleitungen auf IPv4-Schnittstellen standardmäßig deaktivieren	mittel	pass
3.3.2	Kernelparameter für die standardmäßige Annahme von ICMP-Weiterleitungen auf IPv6-Schnittstellen deaktivieren	mittel	pass
3.3.3	Kernel-Parameter konfigurieren, um sichere Weiterleitungen standardmäßig zu akzeptieren	mittel	pass
3.3.3	Kernelparameter zum Akzeptieren sicherer ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren	mittel	pass
3.3.4	Kernel-Parameter zum Protokollieren von Martian-Paketen auf allen IPv4-Schnittstellen aktivieren	unbekannt	pass
3.3.4	Kernelparameter aktivieren, um Martian-Pakete standardmäßig auf allen IPv4-Schnittstellen zu protokollieren	unbekannt	pass
3.3.5	Kernelparameter aktivieren, um ICMP-Broadcast-Echoanfragen auf IPv4-Schnittstellen zu ignorieren	mittel	pass
3.3.6	Kernelparameter aktivieren, um fehlerhafte ICMP-Fehlerantworten auf IPv4-Schnittstellen zu ignorieren	unbekannt	pass
3.3.7	Kernelparameter aktivieren, um standardmäßig die Filterung des umgekehrten Pfads auf allen IPv4-Schnittstellen zu verwenden	mittel	pass
3.3.8	Kernelparameter zur Verwendung von TCP-Syncookies auf Netzwerkschnittstellen aktivieren	mittel	pass
3.3.9	Router-Advertisements auf allen IPv6-Schnittstellen akzeptieren	mittel	pass
3.3.9	Annahme von Router-Advertisements auf allen IPv6-Schnittstellen standardmäßig deaktivieren	mittel	pass
3.4.1	DCCP-Unterstützung deaktivieren	mittel	pass
3.4.2	SCTP-Unterstützung deaktivieren	mittel	pass
3.4.3	RDS-Unterstützung deaktivieren	niedrig	pass
3.4.4	TIPC-Unterstützung deaktivieren	niedrig	pass
3.5.2.1	nftables-Paket installieren	mittel	pass
3.5.2.4	Tabelle für Nftables erstellen	mittel	pass
3.5.2.5	Sicherstellen, dass Basis-Chains für Nftables vorhanden sind	mittel	pass
3.5.2.9	Prüfen, ob der nftables-Dienst aktiviert ist	mittel	pass
3.5.3.1.1	iptables-Paket installieren	mittel	pass
3.5.3.1.3	ufw-Paket entfernen	mittel	pass
4.1.1.1	Sicherstellen, dass das Audit-Subsystem installiert ist	mittel	pass
4.1.1.2	auditd-Dienst aktivieren	mittel	pass
4.1.1.4	Limit für Audit-Backlog für den Audit-Daemon erweitern	niedrig	pass
4.1.2.1	Maximale Logdateigröße für auditd konfigurieren	mittel	pass
4.1.2.2	Auditd-max_log_file_action bei Erreichen der maximalen Loggröße konfigurieren	mittel	pass
4.1.2.3	auditd-Aktion „admin_space_left“ bei wenig Speicherplatz konfigurieren	mittel	pass
4.1.2.3	auditd-Aktion „mail_acct“ bei wenig Speicherplatz konfigurieren	mittel	pass
4.1.2.3	auditd-Aktion „space_left“ bei wenig Speicherplatz konfigurieren	mittel	pass
4.1.3.1	Sicherstellen, dass auditd Aktionen von Systemadministratoren erfasst	mittel	pass
4.1.3.2	Ereignisse aufzeichnen, wenn privilegierte ausführbare Dateien ausgeführt werden	mittel	pass
4.1.3.3	Versuche, Wartungsaktivitäten auszuführen, aufzeichnen	mittel	pass
4.1.3.4	Versuche, die Zeit über clock_settime zu ändern, aufzeichnen	mittel	pass
4.1.3.4	Versuche, die Zeit über stime zu ändern, aufzeichnen	mittel	pass
4.1.3.4	Versuche, die Datei „localtime“ zu ändern, aufzeichnen	mittel	pass
4.1.3.4	Versuche, die Zeit über adjtimex zu ändern, aufzeichnen	mittel	pass
4.1.3.4	Versuche, die Zeit über settimeofday zu ändern, aufzeichnen	mittel	pass
4.1.3.5	Ereignisse aufzeichnen, die die Netzwerkumgebung des Systems ändern	mittel	pass
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – su	mittel	pass
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – sudo	mittel	pass
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – sudoedit	mittel	pass
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – umount	mittel	pass
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – unix_chkpwd	mittel	pass
4.1.3.7	Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – creat	mittel	pass
4.1.3.7	Nicht erfolgreiche Zugriffsversuche auf Dateien aufzeichnen – ftruncate	mittel	pass
4.1.3.7	Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – geöffnet	mittel	pass
4.1.3.7	Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – openat	mittel	pass
4.1.3.7	Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – Kürzen	mittel	pass
4.1.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/group	mittel	pass
4.1.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/gshadow	mittel	pass
4.1.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/passwd	mittel	pass
4.1.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/security/opasswd	mittel	pass
4.1.3.8	Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/shadow	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – chmod	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – chown	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – fchmod	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die benutzerdefinierte Zugriffssteuerung des Systems ändern – fchmodat	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – fchown	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchownat	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die freiwilligen Zugriffssteuerungen des Systems ändern – fremovexattr	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die benutzerdefinierte Zugriffssteuerung des Systems ändern – fsetxattr	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die benutzerdefinierte Zugriffssteuerung des Systems ändern – lchown	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – lremovexattr	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – lsetxattr	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – removexattr	mittel	pass
4.1.3.9	Ereignisse aufzeichnen, die die frei wählbaren Zugriffssteuerungen des Systems ändern – setxattr	mittel	pass
4.1.3.10	Sicherstellen, dass auditd Informationen zum Exportieren auf Medien erfasst (erfolgreich)	mittel	pass
4.1.3.11	Versuche, Prozess- und Sitzungsinitiierungsinformationen zu ändern, aufzeichnen	mittel	pass
4.1.3.12	Versuche, An- und Abmeldeereignisse zu ändern, aufzeichnen – faillog	mittel	pass
4.1.3.12	Versuche, An- und Abmeldeereignisse zu ändern, aufzeichnen – lastlog	mittel	pass
4.1.3.12	Versuche, An- und Abmeldeereignisse zu ändern, aufzeichnen – tallylog	mittel	pass
4.1.3.13	Sicherstellen, dass auditd Ereignisse zum Löschen von Dateien durch Nutzer erfasst – rename	mittel	pass
4.1.3.13	Sicherstellen, dass auditd Ereignisse zum Löschen von Dateien durch Nutzer erfasst – renameat	mittel	pass
4.1.3.13	Sicherstellen, dass auditd Ereignisse zum Löschen von Dateien durch Nutzer erfasst – unlink	mittel	pass
4.1.3.13	Sicherstellen, dass auditd Ereignisse zum Löschen von Dateien durch Nutzer erfasst – unlinkat	mittel	pass
4.1.3.14	Ereignisse aufzeichnen, die die obligatorischen Zugriffssteuerungen des Systems ändern	mittel	pass
4.1.3.15	Alle Versuche, chcon auszuführen, aufzeichnen	mittel	pass
4.1.3.16	Alle Versuche, setfacl auszuführen, aufzeichnen	mittel	pass
4.1.3.17	Alle Versuche, chacl auszuführen, aufzeichnen	mittel	pass
4.1.3.18	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – usermod	mittel	pass
4.1.3.19	Sicherstellen, dass auditd Informationen zum Laden von Kernelmodulen erfasst – init_module	mittel	pass
4.1.3.19	Achten Sie darauf, dass auditd Informationen zum Entladen von Kernelmodulen erfasst – delete_module	mittel	pass
4.1.3.19	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – insmod	mittel	pass
4.1.3.19	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – modprobe	mittel	pass
4.1.3.19	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – rmmod	mittel	pass
4.1.3.20	Auditd-Konfiguration unveränderlich machen	mittel	pass
4.1.4.1	System-Audit-Logs müssen den Modus 0640 oder weniger restriktiv haben	mittel	pass
4.1.4.2	System-Audit-Logs müssen dem Root-Nutzer gehören	mittel	pass
4.1.4.3	System-Audit-Logs müssen der Gruppe „root“ gehören	mittel	pass
4.1.4.4	System-Audit-Logs müssen den Modus 0750 oder weniger restriktiv haben	mittel	pass
4.1.4.5	Berechtigungen für /etc/audit/auditd.conf prüfen	mittel	pass
4.1.4.5	Berechtigungen für /etc/audit/rules.d/*.rules prüfen	mittel	pass
4.1.4.6	Audit-Konfigurationsdateien müssen Root gehören	mittel	pass
4.1.4.7	Audit-Konfigurationsdateien müssen der Gruppe „root“ gehören	mittel	pass
4.1.4.8	Prüfen, ob Audit-Tools den Modus 0755 oder niedriger haben	mittel	pass
4.1.4.9	Prüfen, ob Audit-Tools dem Root-Nutzer gehören	mittel	pass
4.1.4.10	Prüfen, ob Audit-Tools der Gruppe „root“ gehören	mittel	pass
4.2.1.1.1	Paket „systemd-journal-remote“ installieren	mittel	pass
4.2.1.1.4	systemd-journal-remote-Socket deaktivieren	mittel	pass
4.2.1.2	systemd-journald-Dienst aktivieren	mittel	pass
4.2.1.3	Achten Sie darauf, dass journald so konfiguriert ist, dass große Logdateien komprimiert werden	mittel	pass
4.2.1.4	Achten Sie darauf, dass journald so konfiguriert ist, dass Logdateien auf einen nichtflüchtigen Speicher geschrieben werden	mittel	pass
4.2.2.1	Sicherstellen, dass rsyslog installiert ist	mittel	pass
4.2.2.2	rsyslog-Dienst aktivieren	mittel	pass
4.2.2.4	Sicherstellen, dass rsyslog-Standarddateiberechtigungen konfiguriert sind	mittel	pass
4.2.2.7	Achten Sie darauf, dass rsyslog keine Remote-Nachrichten akzeptiert, es sei denn, es fungiert als Logserver	mittel	pass
5.1.1	Cron-Dienst aktivieren	mittel	pass
5.1.2	Gruppe prüfen, die Inhaber der Crontab ist	mittel	pass
5.1.2	Bestätigter Inhaber in Crontab	mittel	pass
5.1.2	Berechtigungen für crontab prüfen	mittel	pass
5.1.3	Gruppe prüfen, die Inhaber von cron.hourly ist	mittel	pass
5.1.3	Bestätigten Inhaber von cron.hourly prüfen	mittel	pass
5.1.3	Berechtigungen für cron.hourly prüfen	mittel	pass
5.1.4	Gruppe prüfen, die Inhaber von cron.daily ist	mittel	pass
5.1.4	Bestätigter Inhaber von cron.daily	mittel	pass
5.1.4	Berechtigungen für cron.daily prüfen	mittel	pass
5.1.5	Gruppe prüfen, die Inhaber von cron.weekly ist	mittel	pass
5.1.5	Bestätigter Inhaber auf cron.weekly	mittel	pass
5.1.5	Berechtigungen für cron.weekly prüfen	mittel	pass
5.1.6	Gruppe prüfen, die Inhaber von cron.monthly ist	mittel	pass
5.1.6	Bestätigter Inhaber von cron.monthly prüfen	mittel	pass
5.1.6	Berechtigungen für cron.monthly prüfen	mittel	pass
5.1.7	Gruppe prüfen, die Inhaber von cron.d ist	mittel	pass
5.1.7	Bestätigter Inhaber von cron.d	mittel	pass
5.1.7	Berechtigungen für cron.d prüfen	mittel	pass
5.1.8	Sicherstellen, dass /etc/cron.deny nicht vorhanden ist	mittel	pass
5.1.8	Gruppe prüfen, die Inhaber der Datei „/etc/cron.allow“ ist	mittel	pass
5.1.8	Berechtigungen für die Datei „/etc/cron.allow“ prüfen	mittel	pass
5.1.8	Nutzer überprüfen, der Inhaber der Datei „/etc/cron.allow“ ist	mittel	pass
5.1.9	Achten Sie darauf, dass „/etc/at.deny“ nicht vorhanden ist	mittel	pass
5.1.9	Gruppe prüfen, die Inhaber der Datei „/etc/at.allow“ ist	mittel	pass
5.1.9	Berechtigungen für die Datei „/etc/at.allow“ prüfen	mittel	pass
5.1.9	Nutzer prüfen, der Inhaber der Datei „/etc/at.allow“ ist	mittel	pass
5.2.1	Gruppe prüfen, die Inhaber der SSH-Server-Konfigurationsdatei ist	mittel	pass
5.2.1	Bestätigten Inhaber in der Konfigurationsdatei des SSH-Servers prüfen	mittel	pass
5.2.1	Berechtigungen für die SSH-Server-Konfigurationsdatei prüfen	mittel	pass
5.2.2	Berechtigungen für private *_key-Schlüsseldateien des SSH-Servers prüfen	mittel	pass
5.2.3	Berechtigungen für öffentliche *.pub-Schlüsseldateien des SSH-Servers prüfen	mittel	pass
5.2.5	LogLevel auf INFO festlegen	niedrig	pass
5.2.6	PAM aktivieren	mittel	pass
5.2.7	SSH-Root-Anmeldung deaktivieren	mittel	pass
5.2.8	Hostbasierte Authentifizierung deaktivieren	mittel	pass
5.2.9	SSH-Zugriff über leere Passwörter deaktivieren	hoch	pass
5.2.10	SSH-Umgebungsoptionen nicht zulassen	mittel	pass
5.2.11	SSH-Unterstützung für .rhosts-Dateien deaktivieren	mittel	pass
5.2.12	X11-Weiterleitung deaktivieren	mittel	pass
5.2.13	Nur starke Chiffren verwenden	mittel	pass
5.2.14	Nur starke MACs verwenden	mittel	pass
5.2.15	Nur starke Algorithmen für den Schlüsselaustausch verwenden	mittel	pass
5.2.16	SSH-TCP-Weiterleitung deaktivieren	mittel	pass
5.2.17	SSH-Warnbanner aktivieren	mittel	pass
5.2.18	Limit für SSH-Authentifizierungsversuche festlegen	mittel	pass
5.2.19	Sicherstellen, dass SSH MaxStartups konfiguriert ist	mittel	pass
5.2.20	SSH-Limit für MaxSessions festlegen	mittel	pass
5.2.21	Sicherstellen, dass SSH LoginGraceTime konfiguriert ist	mittel	pass
5.2.22	Maximale Anzahl von SSH-Client-Alive-Nachrichten festlegen	mittel	pass
5.2.22	SSH-Client-Alive-Intervall festlegen	mittel	pass
5.3.1	sudo-Paket installieren	mittel	pass
5.3.2	Nur Nutzer, die in einem echten tty angemeldet sind, dürfen sudo ausführen – sudo use_pty	mittel	pass
5.3.3	Sudo-Logdatei muss vorhanden sein – sudo logfile	niedrig	pass
5.3.5	Nutzer müssen sich bei der Rechteausweitung noch einmal authentifizieren – sudo !authenticate	mittel	pass
5.3.6	Erneute Authentifizierung bei Verwendung des sudo-Befehls anfordern	mittel	pass
5.3.7	Verwendung von pam_wheel mit Gruppenparameter für su-Authentifizierung erzwingen	mittel	pass
5.3.7	Achten Sie darauf, dass die vom pam_wheel-Modul verwendete Gruppe im System vorhanden und leer ist	mittel	pass
5.4.1	Sicherstellen, dass PAM Passwortanforderungen erzwingt – Aufforderungen zur Wiederholung der Authentifizierung pro Sitzung zulässig	mittel	pass
5.4.1	Achten Sie darauf, dass PAM Passwortanforderungen erzwingt – Mindestanzahl verschiedener Kategorien	mittel	pass
5.4.1	Achten Sie darauf, dass PAM die Passwortanforderungen erzwingt – Mindestanzahl an Ziffern	mittel	pass
5.4.1	Achten Sie darauf, dass PAM die Passwortanforderungen erzwingt – Mindestlänge	mittel	pass
5.4.1	Achten Sie darauf, dass PAM Passwortanforderungen erzwingt – Mindestanzahl von Kleinbuchstaben	mittel	pass
5.4.1	Achten Sie darauf, dass PAM die Passwortanforderungen erzwingt – Mindestanzahl an Sonderzeichen	mittel	pass
5.4.1	Achten Sie darauf, dass PAM die Passwortanforderungen erzwingt – Mindestanzahl an Großbuchstaben	mittel	pass
5.4.1	Paket „pam_pwquality“ installieren	mittel	pass
5.4.2	Konten nach fehlgeschlagenen Passworteingaben sperren	mittel	pass
5.4.2	Intervall für das Zählen fehlgeschlagener Passworteingaben festlegen	mittel	pass
5.4.2	Sperrzeit für falsche Passworteingaben festlegen	mittel	pass
5.4.3	Wiederverwendung von Passwörtern einschränken	mittel	pass
5.4.4	Passwort-Hashing-Algorithmus in /etc/login.defs festlegen	mittel	pass
5.5.1.1	Mindestalter für vorhandene Passwörter festlegen	mittel	pass
5.5.1.1	Mindestalter für Passwort festlegen	mittel	pass
5.5.1.2	Maximales Alter für vorhandene Passwörter festlegen	mittel	pass
5.5.1.3	Alter für Passwortwarnung festlegen	mittel	pass
5.5.1.4	Kontoablauf nach Inaktivität festlegen	mittel	pass
5.5.1.5	Sicherstellen, dass das Datum der letzten Passwortänderung aller Nutzer in der Vergangenheit liegt	mittel	pass
5.5.2	Achten Sie darauf, dass Systemkonten bei der Anmeldung keine Shell ausführen	mittel	pass
5.5.3	Prüfen, ob Root eine primäre GID 0 hat	hoch	pass
5.5.4	Achten Sie darauf, dass die Standard-Bash-Umask korrekt festgelegt ist	mittel	pass
5.5.4	Achten Sie darauf, dass die Standard-Umask für interaktive Nutzer korrekt festgelegt ist	mittel	pass
5.5.4	Sicherstellen, dass die Standard-Umask in /etc/profile korrekt festgelegt ist	mittel	pass
5.5.4	Sicherstellen, dass die Standard-Umask in login.defs korrekt festgelegt ist	mittel	pass
5.5.5	Zeitlimit für interaktive Sitzungen festlegen	mittel	pass
6.1.1	Gruppe prüfen, die Inhaber der passwd-Datei ist	mittel	pass
6.1.1	Berechtigungen für die passwd-Datei prüfen	mittel	pass
6.1.1	Nutzer prüfen, dem die passwd-Datei gehört	mittel	pass
6.1.2	Gruppe prüfen, die Eigentümer der Sicherungsdatei „passwd“ ist	mittel	pass
6.1.2	Berechtigungen für die Sicherungsdatei „passwd“ prüfen	mittel	pass
6.1.2	Nutzer prüfen, dem die Sicherungsdatei „passwd“ gehört	mittel	pass
6.1.3	Gruppe prüfen, die Inhaber der Gruppendatei ist	mittel	pass
6.1.3	Berechtigungen für die Gruppendatei prüfen	mittel	pass
6.1.3	Nutzer überprüfen, dem die Gruppendatei gehört	mittel	pass
6.1.4	Gruppe prüfen, die Inhaber der Sicherungsdatei ist	mittel	pass
6.1.4	Berechtigungen für die Datei der Sicherungsgruppe prüfen	mittel	pass
6.1.4	Nutzer überprüfen, dem die Datei der Sicherungsgruppe gehört	mittel	pass
6.1.5	Gruppe prüfen, die Inhaber der Datei „shadow“ ist	mittel	pass
6.1.5	Berechtigungen für die Schattendatei prüfen	mittel	pass
6.1.5	Nutzer prüfen, dem die Datei „shadow“ gehört	mittel	pass
6.1.6	Gruppe prüfen, die Inhaber der Backup-Shadow-Datei ist	mittel	pass
6.1.6	Berechtigungen für die Schattenkopie der Sicherungsdatei prüfen	mittel	pass
6.1.6	Nutzer überprüfen, dem die Schatten-Sicherungsdatei gehört	mittel	pass
6.1.7	Gruppe prüfen, die Inhaber der gshadow-Datei ist	mittel	pass
6.1.7	Berechtigungen für die gshadow-Datei prüfen	mittel	pass
6.1.7	Nutzer prüfen, dem die gshadow-Datei gehört	mittel	pass
6.1.8	Gruppe prüfen, die Inhaber der gshadow-Sicherungsdatei ist	mittel	pass
6.1.8	Berechtigungen für die gshadow-Sicherungsdatei prüfen	mittel	pass
6.1.8	Nutzer überprüfen, dem die gshadow-Sicherungsdatei gehört	mittel	pass
6.2.1	Prüfen, ob alle Kontopasswort-Hashes verborgen sind	mittel	pass
6.2.2	Es dürfen keine Konten mit leeren oder Null-Passwörtern vorhanden sein	hoch	pass
6.2.3	Alle in /etc/passwd referenzierten GIDs müssen in /etc/group definiert sein	niedrig	pass
6.2.4	Sicherstellen, dass die Schattengruppe leer ist	mittel	pass
6.2.5	Sicherstellen, dass alle Konten im System eindeutige Nutzer-IDs haben	mittel	pass
6.2.6	Sicherstellen, dass alle Gruppen im System eine eindeutige Gruppen-ID haben	mittel	pass
6.2.7	Sicherstellen, dass alle Konten im System eindeutige Namen haben	mittel	pass
6.2.8	Sicherstellen, dass alle Gruppen im System eindeutige Gruppennamen haben	mittel	pass
6.2.9	Achten Sie darauf, dass der Pfad des Stammverzeichnisses keine relativen Pfade oder Nullverzeichnisse enthält	unbekannt	pass
6.2.9	Sicherstellen, dass der Pfad des Root-Nutzers keine für alle oder für Gruppen beschreibbaren Verzeichnisse enthält	mittel	pass
6.2.10	Prüfen, ob nur Root die UID 0 hat	hoch	pass
6.2.11	Alle Basisverzeichnisse interaktiver Nutzer müssen vorhanden sein	mittel	pass
6.2.12	Alle interaktiven Nutzer-Basisverzeichnisse müssen der primären Gruppe gehören	mittel	pass
6.2.12	Alle interaktiven Nutzer-Basisverzeichnisse müssen dem primären Nutzer gehören	mittel	pass
6.2.13	Alle interaktiven Nutzer-Home-Verzeichnisse müssen den Modus 0750 oder weniger restriktiv haben	mittel	pass
6.2.14	Prüfen, ob keine netrc-Dateien vorhanden sind	mittel	pass
6.2.15	Prüfen, ob .forward-Dateien vorhanden sind	mittel	pass
6.2.16	Rsh-Vertrauensdateien entfernen	hoch	pass
6.2.17	Nutzerinitialisierungsdateien müssen der primären Gruppe gehören	mittel	pass
6.2.17	Nutzerinitialisierungsdateien müssen dem primären Nutzer gehören	mittel	pass
6.2.17	In Nutzerinitialisierungsdateien dürfen keine für jeden beschreibbaren Programme ausgeführt werden	mittel	pass

Nicht zutreffende Empfehlungen

In der folgenden Tabelle sind die Empfehlungen aufgeführt, die nicht für Google Distributed Cloud gelten.

#	Empfehlung	Schweregrad	Status
1.1.2.2	Option „nodev“ zu „/tmp“ hinzufügen	mittel	notapplicable
1.1.2.3	Option „noexec“ zu „/tmp“ hinzufügen	mittel	notapplicable
1.1.2.4	Option „nosuid“ zu /tmp hinzufügen	mittel	notapplicable
1.1.3.2	Option „nodev“ zu „/var“ hinzufügen	mittel	notapplicable
1.1.3.3	Option „nosuid“ zu „/var“ hinzufügen	mittel	notapplicable
1.1.4.2	Option „noexec“ zu /var/tmp hinzufügen	mittel	notapplicable
1.1.4.3	Option „nosuid“ zu /var/tmp hinzufügen	mittel	notapplicable
1.1.4.4	Option „nodev“ zu „/var/tmp“ hinzufügen	mittel	notapplicable
1.1.5.2	Option „nodev“ zu /var/log hinzufügen	mittel	notapplicable
1.1.5.3	Option „noexec“ zu „/var/log“ hinzufügen	mittel	notapplicable
1.1.5.4	Option „nosuid“ zu „/var/log“ hinzufügen	mittel	notapplicable
1.1.6.2	Option „noexec“ zu /var/log/audit hinzufügen	mittel	notapplicable
1.1.6.3	Option „nodev“ zu /var/log/audit hinzufügen	mittel	notapplicable
1.1.6.4	Option „nosuid“ zu /var/log/audit hinzufügen	mittel	notapplicable
1.1.7.2	Option „nodev“ zu „/home“ hinzufügen	unbekannt	notapplicable
1.1.7.3	Option „nosuid“ zu /home hinzufügen	mittel	notapplicable
1.4.1	UEFI-Bootloader-Passwort festlegen	hoch	notapplicable
1.8.1	GDM-Paketgruppe entfernen	mittel	notapplicable
1.8.4	GNOME3-Bildschirmschonersperre nach Inaktivität aktivieren	mittel	notapplicable
1.8.5	Verzögerung für die Sperre des GNOME3-Bildschirmschoners nach Aktivierungszeitraum festlegen	mittel	notapplicable
1.8.6	Öffnen von GNOME3-Automount deaktivieren	mittel	notapplicable
1.8.6	Automatisches GNOME3-Mounting deaktivieren	mittel	notapplicable
1.8.8	Automatische Bereitstellung von GNOME3 deaktivieren	niedrig	notapplicable
1.8.10	XDMCP in GDM deaktivieren	hoch	notapplicable
1.10	GNOME3-DConf-Nutzerprofil konfigurieren	hoch	notapplicable
2.1.4.1	Serverbeschränkungen für ntpd konfigurieren	mittel	notapplicable
2.1.4.3	ntpd für die Ausführung als ntp-Nutzer konfigurieren	mittel	notapplicable
2.1.4.4	NTP-Daemon aktivieren	hoch	notapplicable
2.2.15	Postfix-Netzwerküberwachung deaktivieren	mittel	notapplicable
3.5.1.3	Prüfen, ob ufw aktiviert ist	mittel	notapplicable
3.5.1.4	UFW-Loopback-Traffic festlegen	mittel	notapplicable
3.5.1.6	Sicherstellen, dass ufw-Firewallregeln für alle offenen Ports vorhanden sind	mittel	notapplicable
3.5.1.7	Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für ufw festgelegt ist	mittel	notapplicable
3.5.3.2.1	Standardmäßige iptables-Richtlinie für eingehende Pakete festlegen	mittel	notapplicable
3.5.3.2.2	Konfiguration für Loopback-Traffic festlegen	mittel	notapplicable
3.5.3.2.4	Sicherstellen, dass iptables-Firewallregeln für alle offenen Ports vorhanden sind	mittel	notapplicable
3.5.3.3.1	Standard-ip6tables-Richtlinie für eingehende Pakete festlegen	mittel	notapplicable
3.5.3.3.4	Sicherstellen, dass ip6tables-Firewallregeln für alle offenen Ports vorhanden sind	mittel	notapplicable

Von der Bewertung ausgeschlossene Empfehlungen

#	Empfehlung	Schweregrad	Status
1.3.1	AIDE-Datenbank erstellen und testen	mittel	nicht bewertet
1.3.1	AIDE installieren	mittel	nicht bewertet
1.3.2	Regelmäßige Ausführung von AIDE konfigurieren	mittel	nicht bewertet
1.4.2	Inhaberschaft von /boot/grub/grub.cfg prüfen	mittel	nicht bewertet
1.6.1.3	Alle AppArmor-Profile befinden sich im Erzwingungs- oder Beschwerdemodus	mittel	nicht bewertet
1.8.2	GNOME3-Anmelde-Warnbanner aktivieren	mittel	nicht bewertet
1.8.2	Text des GNOME3-Anmeldewarnbanners festlegen	mittel	nicht bewertet
1.8.3	GNOME3-Anmeldenutzerliste deaktivieren	mittel	nicht bewertet
2.1.2.2	Achten Sie darauf, dass chronyd unter dem chrony-Nutzerkonto ausgeführt wird	mittel	nicht bewertet
2.1.2.3	Der Chronyd-Dienst ist aktiviert	mittel	nicht bewertet
3.5.1.2	iptables-persistent-Paket entfernen	mittel	nicht bewertet
3.5.2.6	nftables-Konfiguration für Loopback-Traffic festlegen	mittel	nicht bewertet
3.5.3.3.2	Konfiguration für IPv6-Loopback-Traffic festlegen	mittel	nicht bewertet
4.1.1.3	Prüfung für Prozesse aktivieren, die vor dem Audit-Daemon gestartet werden	niedrig	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – at	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – chage	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – chfn	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – chsh	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – crontab	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – gpasswd	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – mount	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – newgidmap	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – newgrp	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – newuidmap	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – postdrop	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – postqueue	mittel	nicht bewertet
4.1.3.6	Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – ssh-keysign	mittel	nicht bewertet
4.1.3.6	Alle Versuche, ssh-agent auszuführen, aufzeichnen	mittel	nicht bewertet
4.1.4.11	AIDE für die Überprüfung der Audit-Tools konfigurieren	mittel	nicht bewertet
4.2.2.6	Logs an Remote-Host senden	mittel	nicht bewertet
6.1.9	Sicherstellen, dass keine Dateien mit Schreibzugriff für alle Nutzer vorhanden sind	mittel	nicht bewertet
6.1.11	Sicherstellen, dass alle Dateien einer Gruppe gehören	mittel	nicht bewertet

AIDE-Cronjob konfigurieren

AIDE ist ein Tool zur Dateiintegritätsprüfung, das die Einhaltung der CIS-Empfehlungen zur Integritätsprüfung von Dateisystemen auf Level 1 überprüft (Abschnitt 6.3 in Ubuntu 24.04 und Abschnitt 1.3 in Ubuntu 22.04). In Google Distributed Cloud kann der AIDE-Prozess zu einer hohen Ressourcennutzung führen.

Der AIDE-Prozess auf Knoten ist standardmäßig deaktiviert, um Ressourcenprobleme zu vermeiden. Wenn Sie diesen Prozess deaktivieren, wirkt sich das auf die Einhaltung der Empfehlung aus, die Dateisystemintegrität regelmäßig zu prüfen (6.3.2 in Ubuntu 24.04 und 1.3.2 in Ubuntu 22.04).

Wenn Sie die Ausführung des AIDE-Cronjobs aktivieren möchten, führen Sie die folgenden Schritte aus, um AIDE wieder zu aktivieren:

Erstellen Sie ein DaemonSet.

Dies ist ein Manifest für ein DaemonSet:

apiVersion: apps/v1
kind: DaemonSet
metadata:
name: enable-aide-pool1
spec:
selector:
  matchLabels:
    app: enable-aide-pool1
template:
  metadata:
    labels:
      app: enable-aide-pool1
  spec:
    hostIPC: true
    hostPID: true
    nodeSelector:
      cloud.google.com/gke-nodepool: pool-1
    containers:
    - name: update-audit-rule
      image: ubuntu
      command: ["chroot", "/host", "bash", "-c"]
      args:
      - |
        set -x
        while true; do
          # change daily cronjob schedule
          minute=30;hour=5
          sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab

          # enable aide
          chmod 755 /etc/cron.daily/aide

          sleep 3600
        done
      volumeMounts:
      - name: host
        mountPath: /host
      securityContext:
        privileged: true
    volumes:
    - name: host
      hostPath:
        path: /

Das vorherige Manifest bewirkt Folgendes:

Der AIDE-Cronjob wird nur im Knotenpool pool-1 ausgeführt, wie durch den nodeSelector cloud.google.com/gke-nodepool: pool-1 angegeben. Sie können den AIDE-Prozess so konfigurieren, dass er auf beliebig vielen Knotenpools ausgeführt wird. Geben Sie dazu die Pools unter dem Feld nodeSelector an. Entfernen Sie das Feld nodeSelector, um denselben Cronjob-Zeitplan für verschiedene Knotenpools auszuführen. Um Host-Ressourcen-Überlastungen zu vermeiden, empfehlen wir jedoch, separate Zeitpläne zu pflegen.
Der Cronjob wird gemäß der Konfiguration minute=30;hour=5 täglich um 5:30 Uhr ausgeführt. Sie können unterschiedliche Zeitpläne für den AIDE-Cronjob nach Bedarf konfigurieren.

Kopieren Sie das Manifest in eine Datei mit dem Namen enable-aide.yaml und erstellen Sie das DaemonSet:
```
kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
```
Dabei ist USER_CLUSTER_KUBECONFIG der Pfad der kubeconfig-Datei für Ihren Nutzercluster.

SCAP-Bewertung (Security Content Automation Protocol) verwenden

Wir empfehlen, Ihre Installation selbst zu scannen, um die Level-2-Konformität mit dem Ubuntu Linux CIS-Benchmark zu bewerten. Es gibt eine Vielzahl von Tools, mit denen Sie Ihre Cluster und die Administrator-Workstation scannen können. Mit den folgenden Schritten können Sie das Open-Source-Toolset OpenSCAP installieren und ausführen, um eine Sicherheitsbewertung der Stufe 2 durchzuführen:

Kopieren Sie das folgende Script in eine Datei mit dem Namen cis-benchmark.sh. Dieses Skript ist für die Versionen 1.35 und höher vorgesehen, die Ubuntu 24.04 verwenden. Ersetzen Sie für Version 1.34, die Ubuntu 22.04 verwendet, openscap-utils openscap-common durch libopenscap8 und ssg-ubuntu2404-ds.xml durch ssg-ubuntu2204-ds-1.2.xml:

#!/bin/bash

set -x

REPORTS_DIR="$1"

mkdir -p "${REPORTS_DIR}"

echo "Start CIS L2 benchmark evaluation..."
sudo apt update
sudo apt install -y openscap-utils openscap-common
sudo oscap xccdf eval \
    --profile cis_level2_server_customized \
    --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \
    --results "${REPORTS_DIR}"/cis-results.xml \
    --report "${REPORTS_DIR}"/cis-report.html \
    /etc/cloud/usg/ssg-ubuntu2404-ds.xml > "${REPORTS_DIR}"/cis-output.log 2>&1
chmod -R 755 "${REPORTS_DIR}/.."
echo "Done CIS L2 benchmark evaluation"

Machen Sie das Skript ausführbar:
```
chmod +x cis-benchmark.sh
```
Führen Sie das Script aus:
```
./cis-benchmark.sh REPORTS_DIR
```
Ersetzen Sie REPORTS_DIR durch den Pfad eines vorhandenen Verzeichnisses, in dem Sie den generierten Bewertungsbericht speichern möchten.

Wenn das Script erfolgreich abgeschlossen wurde, enthält das Verzeichnis REPORTS_DIR die generierte Datei cis-report.html.

CIS-Ubuntu-Benchmark Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Auf die Benchmark zugreifen

Konfigurationsprofil

Bewertung in Google Distributed Cloud

Status von Google Distributed Cloud

1.36 und 1.35

Versionen

Fehlgeschlagene Empfehlungen

Bestandene Empfehlungen

Nicht zutreffende Empfehlungen

Von der Bewertung ausgeschlossene Empfehlungen

1,34

Versionen

Fehlgeschlagene Empfehlungen

Bestandene Empfehlungen

Nicht zutreffende Empfehlungen

Von der Bewertung ausgeschlossene Empfehlungen

AIDE-Cronjob konfigurieren

SCAP-Bewertung (Security Content Automation Protocol) verwenden

CIS-Ubuntu-Benchmark