Les images Ubuntu utilisées par Google Distributed Cloud sont renforcées pour répondre au profil de serveur de niveau 2 du benchmark CIS d'Ubuntu. Ce renforcement vous aide à maintenir une stratégie de sécurité solide pour vos nœuds de cluster et votre poste de travail administrateur. Vous pouvez examiner l'état de conformité de chaque version, y compris les recommandations ayant échoué et celles exclues. Vous pouvez également réactiver la vérification de l'intégrité des fichiers AIDE et exécuter votre propre évaluation SCAP (Security Content Automation Protocol).
Accéder au benchmark
Le benchmark CIS d'Ubuntu est disponible sur le site Web du CIS :
Profil de configuration
Dans le document Benchmark CIS d'Ubuntu, vous pouvez en savoir plus sur les profils de configuration. Les images Ubuntu utilisées par Google Distributed Cloud sont renforcées pour répondre au profil de serveur de niveau 2.
Évaluation sur Google Distributed Cloud
Nous utilisons les valeurs suivantes pour spécifier l'état des recommandations Ubuntu dans Google Distributed Cloud :
| État | Description |
|---|---|
| pass | Respecte une recommandation du benchmark. |
| échec | S'écarte d'une recommandation de benchmark. |
| notapplicable | Il n'est pas pertinent de tester le système en cours d'évaluation. |
État de Google Distributed Cloud
Les images Ubuntu utilisées avec Google Distributed Cloud sont renforcées pour répondre au profil de serveur de niveau 2 du CIS. L'évaluation utilise le profil cis_level2_server_customized, qui adapte le profil de serveur de niveau 2 du CIS pour Google Distributed Cloud.
Pour chaque version, les tableaux suivants listent les recommandations évaluées auxquelles Google Distributed Cloud ne se conforme pas, ainsi que les VM auxquelles chaque résultat s'applique, les recommandations qui sont respectées ou ne s'appliquent pas, et les recommandations que le profil personnalisé exclut de l'évaluation.
L'outil d'analyse n'évalue les recommandations de pare-feu iptables que si ni le package nftables, ni le package ufw ne sont installés. Étant donné que les images incluent l'un de ces packages, les recommandations iptables sont signalées comme non applicables, ce qui ne reflète pas la stratégie de pare-feu des nœuds.
À partir de la version 1.35, Google Distributed Cloud utilise des images Ubuntu 24.04 LTS, qui sont évaluées par rapport au benchmark CIS Ubuntu Linux 24.04 LTS. Les numéros de recommandation et l'ensemble de recommandations diffèrent du benchmark CIS Ubuntu Linux 22.04 LTS utilisé pour la version 1.34.
1.36 et 1.35
Versions
Cette section fait référence aux versions suivantes :
| Version de Google Distributed Cloud | Version Ubuntu | Version du benchmark CIS d'Ubuntu | Niveau CIS |
|---|---|---|---|
| 1,36 | 24.04 LTS | v1.0.0 | Serveur de niveau 2 |
| 1,35 | 24.04 LTS | v1.0.0 | Serveur de niveau 2 |
Recommandations ayant échoué
Le tableau suivant répertorie les recommandations du benchmark auxquelles Google Distributed Cloud ne se conforme pas, ainsi que les VM auxquelles chaque résultat s'applique. Les VM sont les nœuds du plan de contrôle du cluster, les nœuds de calcul et le poste de travail administrateur.
| # | Recommandation | Gravité | État | Applicable à |
|---|---|---|---|---|
| 1.1.2.1.1 | S'assurer que /tmp se trouve sur une partition distincte | faibles | échec | Tous |
| 1.1.2.3.1 | S'assurer que /home se trouve sur une partition distincte | faibles | échec | Tous |
| 1.1.2.4.1 | S'assurer que /var se trouve sur une partition distincte | faibles | échec | Tous |
| 1.1.2.5.1 | S'assurer que /var/tmp se trouve sur une partition distincte | modérés | échec | Tous |
| 1.1.2.6.1 | S'assurer que /var/log se trouve sur une partition distincte | faibles | échec | Tous |
| 1.1.2.7.1 | S'assurer que /var/log/audit se trouve sur une partition distincte | faibles | échec | Tous |
| 1.4.1 | Définir le mot de passe du bootloader dans grub2 | high | échec | Tous |
| 2.3.2.1 | Configurer les serveurs Systemd Timesyncd | modérés | échec | Tous |
| 3.3.7 | Activer le paramètre de noyau pour utiliser le filtrage de chemin inverse sur toutes les interfaces IPv4 | modérés | échec | Nœuds du plan de contrôle, nœuds de calcul |
| 5.1.4 | Limiter l'accès SSH des utilisateurs | inconnu | échec | Tous |
| 5.2.4 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo) | modérés | échec | Tous |
| 5.4.1.1 | Définir la durée de validité maximale du mot de passe | modérés | échec | Tous |
| 6.1.3.3 | Assurez-vous que journald est configuré pour envoyer les journaux à rsyslog. | modérés | échec | Nœuds du plan de contrôle, nœuds de calcul |
| 6.1.4.1 | Vérifier la propriété des fichiers journaux par le groupe | modérés | échec | Nœuds du plan de contrôle |
| 6.1.4.1 | Vérifier la propriété des fichiers journaux | modérés | échec | Nœuds du plan de contrôle |
| 6.1.4.1 | Vérifier les autorisations des fichiers journaux | modérés | échec | Nœuds du plan de contrôle, nœuds de calcul |
| 6.2.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées | modérés | échec | Tous |
| 7.1.12 | S'assurer que tous les fichiers appartiennent à un utilisateur | modérés | échec | Nœuds du plan de contrôle |
Recommandations suivies
Le tableau suivant répertorie les recommandations du benchmark auxquelles Google Distributed Cloud se conforme.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.1.1 | Désactiver l'installation de cramfs | faibles | pass |
| 1.1.1.2 | Désactiver l'installation de freevxfs | faibles | pass |
| 1.1.1.3 | Désactiver l'installation de hfs | faibles | pass |
| 1.1.1.4 | Désactiver l'installation de hfsplus | faibles | pass |
| 1.1.1.5 | Désactiver l'installation de jffs2 | faibles | pass |
| 1.1.1.6 | S'assurer que le module de noyau overlayfs n'est pas disponible | faibles | pass |
| 1.1.1.8 | Désactiver l'installation de l'UDF | faibles | pass |
| 1.1.1.9 | Désactiver le chargement du pilote de stockage USB par Modprobe | modérés | pass |
| 1.1.2.2.1 | Assurez-vous que /dev/shm est configuré | faibles | pass |
| 1.1.2.2.2 | Ajouter l'option nodev à /dev/shm | modérés | pass |
| 1.1.2.2.3 | Ajouter l'option nosuid à /dev/shm | modérés | pass |
| 1.1.2.2.4 | Ajouter l'option noexec à /dev/shm | modérés | pass |
| 1.3.1.1 | Vérifier qu'AppArmor Utils est installé | modérés | pass |
| 1.3.1.1 | Vérifier qu'AppArmor est installé | modérés | pass |
| 1.3.1.2 | Assurez-vous qu'AppArmor est activé dans la configuration du bootloader | modérés | pass |
| 1.4.2 | Vérifier les autorisations de /boot/grub/grub.cfg | modérés | pass |
| 1.5.1 | Activer la disposition aléatoire de l'espace d'adressage virtuel | modérés | pass |
| 1.5.2 | Limiter l'utilisation de ptrace aux processus descendants | modérés | pass |
| 1.5.3 | Désactiver les vidages de mémoire pour tous les utilisateurs | modérés | pass |
| 1.5.3 | Désactiver les vidages de mémoire pour les programmes SUID | modérés | pass |
| 1.5.4 | Le package "prelink" ne doit pas être installé | modérés | pass |
| 1.5.5 | Désactiver le service Apport | inconnu | pass |
| 1.6.1 | S'assurer que le message du jour est correctement configuré | modérés | pass |
| 1.6.2 | S'assurer que la bannière d'avertissement de connexion locale est correctement configurée | modérés | pass |
| 1.6.3 | S'assurer que la bannière d'avertissement de connexion à distance est correctement configurée | modérés | pass |
| 1.6.4 | Vérifier la propriété du groupe de la bannière "Message du jour" | modérés | pass |
| 1.6.4 | Valider la propriété de la bannière "Message du jour" | modérés | pass |
| 1.6.4 | Vérifier les autorisations sur la bannière "Message du jour" | modérés | pass |
| 1.6.5 | Vérifier la propriété du groupe de la bannière de connexion au système | modérés | pass |
| 1.6.5 | Vérifier la propriété de la bannière de connexion au système | modérés | pass |
| 1.6.5 | Vérifier les autorisations sur la bannière de connexion au système | modérés | pass |
| 1.6.6 | Vérifier la propriété du groupe de la bannière de connexion au système pour les connexions à distance | modérés | pass |
| 1.6.6 | Vérifier la propriété de la bannière de connexion au système pour les connexions à distance | modérés | pass |
| 1.6.6 | Vérifier les autorisations sur la bannière de connexion système pour les connexions à distance | modérés | pass |
| 2.1.1 | Supprimer le package autofs | faibles | pass |
| 2.1.2 | Désinstaller le package du serveur avahi | modérés | pass |
| 2.1.3 | Désactiver le service DHCP | modérés | pass |
| 2.1.3 | Désactiver le service DHCPD6 | modérés | pass |
| 2.1.3 | Désinstaller le package du serveur DHCP | modérés | pass |
| 2.1.4 | Désactiver le service nommé | modérés | pass |
| 2.1.4 | Désinstaller le package bind | faibles | pass |
| 2.1.5 | Désactiver le service dnsmasq | modérés | pass |
| 2.1.5 | Désinstaller le package dnsmasq | faibles | pass |
| 2.1.6 | Désactiver le service vsftpd | modérés | pass |
| 2.1.6 | Désinstaller le package vsftpd | high | pass |
| 2.1.7 | Désactiver le serveur LDAP (slapd) | modérés | pass |
| 2.1.7 | Désinstaller le package openldap-servers | faibles | pass |
| 2.1.8 | Désactiver le service Dovecot | inconnu | pass |
| 2.1.8 | Désinstaller le package dovecot | inconnu | pass |
| 2.1.9 | Désactiver Network File System (nfs) | inconnu | pass |
| 2.1.9 | Désinstaller le package nfs-kernel-server | faibles | pass |
| 2.1.10 | Désactiver le service ypserv | modérés | pass |
| 2.1.10 | Désinstaller le package ypserv | high | pass |
| 2.1.11 | Désactiver le service CUPS | inconnu | pass |
| 2.1.11 | Désinstaller le package CUPS | inconnu | pass |
| 2.1.12 | Désactiver le service rpcbind | faibles | pass |
| 2.1.13 | Assurez-vous que le service rsyncd est désactivé | modérés | pass |
| 2.1.13 | Désinstaller le package rsync | modérés | pass |
| 2.1.14 | Désactiver Samba | faibles | pass |
| 2.1.14 | Désinstaller le package Samba | inconnu | pass |
| 2.1.15 | Désinstaller le package net-snmp | inconnu | pass |
| 2.1.16 | Désactiver le service tftpd-hpa | high | pass |
| 2.1.16 | Désinstaller le package tftpd-hpa | high | pass |
| 2.1.17 | Désinstaller le package Squid | inconnu | pass |
| 2.1.18 | Désactiver le service apache2 | inconnu | pass |
| 2.1.18 | Désactiver le service nginx | inconnu | pass |
| 2.1.18 | Désinstaller le package apache2 | inconnu | pass |
| 2.1.18 | Désinstaller le package nginx | inconnu | pass |
| 2.1.19 | Désactiver le service xinetd | modérés | pass |
| 2.1.19 | Désinstaller le package xinetd | faibles | pass |
| 2.1.20 | Supprimer le groupe de packages X Windows | modérés | pass |
| 2.1.21 | Assurez-vous que l'agent de transfert de messages n'écoute pas sur une adresse non loopback | modérés | pass |
| 2.2.1 | Désinstaller le package nis | faibles | pass |
| 2.2.2 | Désinstaller le package rsh | inconnu | pass |
| 2.2.3 | Désinstaller le package Talk | modérés | pass |
| 2.2.4 | Supprimer les clients telnet (package inetutils-telnet) | faibles | pass |
| 2.2.4 | Supprimer les clients telnet (package telnet) | faibles | pass |
| 2.2.5 | Vérifiez que le client LDAP n'est pas installé | faibles | pass |
| 2.2.6 | Supprimer le package ftp | faibles | pass |
| 2.2.6 | Supprimer le package tnftp | faibles | pass |
| 2.3.1.1 | Activer le service systemd_timesyncd | high | pass |
| 2.3.1.1 | Assurez-vous qu'un seul service de synchronisation de l'heure est utilisé | modérés | pass |
| 2.3.1.1 | Installer le service systemd_timesyncd | high | pass |
| 2.4.1.1 | Activer le service cron | modérés | pass |
| 2.4.1.1 | Installer le service cron | modérés | pass |
| 2.4.1.2 | S'assurer que /etc/cron.allow existe | modérés | pass |
| 2.4.1.2 | Vérifier le groupe propriétaire de crontab | modérés | pass |
| 2.4.1.2 | Vérifier le propriétaire sur crontab | modérés | pass |
| 2.4.1.2 | Vérifier les autorisations sur crontab | modérés | pass |
| 2.4.1.3 | Vérifier le groupe propriétaire de cron.hourly | modérés | pass |
| 2.4.1.3 | Vérifier le propriétaire sur cron.hourly | modérés | pass |
| 2.4.1.3 | Vérifier les autorisations sur cron.hourly | modérés | pass |
| 2.4.1.4 | Vérifier le groupe propriétaire de cron.daily | modérés | pass |
| 2.4.1.4 | Vérifier le propriétaire sur cron.daily | modérés | pass |
| 2.4.1.4 | Vérifier les autorisations sur cron.daily | modérés | pass |
| 2.4.1.5 | Vérifier le groupe propriétaire de cron.weekly | modérés | pass |
| 2.4.1.5 | Vérifier le propriétaire sur cron.weekly | modérés | pass |
| 2.4.1.5 | Vérifier les autorisations sur cron.weekly | modérés | pass |
| 2.4.1.6 | Vérifier le groupe propriétaire de cron.monthly | modérés | pass |
| 2.4.1.6 | Vérifier le propriétaire sur cron.monthly | modérés | pass |
| 2.4.1.6 | Vérifier les autorisations sur cron.monthly | modérés | pass |
| 2.4.1.7 | Vérifier le groupe propriétaire de cron.d | modérés | pass |
| 2.4.1.7 | Vérifier le propriétaire sur cron.d | modérés | pass |
| 2.4.1.7 | Vérifier les autorisations sur cron.d | modérés | pass |
| 2.4.1.8 | Vérifier que /etc/cron.deny n'existe pas | modérés | pass |
| 2.4.1.8 | Vérifier le groupe propriétaire du fichier /etc/cron.allow | modérés | pass |
| 2.4.1.8 | Vérifier les autorisations sur le fichier /etc/cron.allow | modérés | pass |
| 2.4.1.8 | Vérifier l'utilisateur propriétaire du fichier /etc/cron.allow | modérés | pass |
| 2.4.2.1 | S'assurer que /etc/at.allow existe | modérés | pass |
| 2.4.2.1 | Vérifier le groupe propriétaire du fichier /etc/at.allow | modérés | pass |
| 2.4.2.1 | Vérifier le groupe propriétaire du fichier /etc/at.deny | modérés | pass |
| 2.4.2.1 | Vérifier les autorisations sur le fichier /etc/at.allow | modérés | pass |
| 2.4.2.1 | Vérifier les autorisations sur le fichier /etc/at.deny | modérés | pass |
| 2.4.2.1 | Vérifier l'utilisateur propriétaire du fichier /etc/at.allow | modérés | pass |
| 2.4.2.1 | Vérifier l'utilisateur propriétaire du fichier /etc/at.deny | modérés | pass |
| 3.1.2 | Désactiver les interfaces réseau sans fil | modérés | pass |
| 3.1.3 | Désactiver le service Bluetooth | modérés | pass |
| 3.2.1 | Désactiver la compatibilité DCCP | modérés | pass |
| 3.2.2 | Désactiver la compatibilité avec TIPC | faibles | pass |
| 3.2.3 | Désactiver la prise en charge de RDS | faibles | pass |
| 3.2.4 | Désactiver la compatibilité SCTP | modérés | pass |
| 3.3.2 | Désactiver le paramètre de noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 | modérés | pass |
| 3.3.2 | Désactiver le paramètre de noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 par défaut | modérés | pass |
| 3.3.3 | Activer le paramètre de noyau pour ignorer les réponses d'erreur ICMP erronées sur les interfaces IPv4 | inconnu | pass |
| 3.3.4 | Activer le paramètre de noyau pour ignorer les requêtes d'écho de diffusion ICMP sur les interfaces IPv4 | modérés | pass |
| 3.3.5 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv4 | modérés | pass |
| 3.3.5 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv6 | modérés | pass |
| 3.3.5 | Désactiver le paramètre de noyau pour l'acceptation des redirections ICMP par défaut sur les interfaces IPv4 | modérés | pass |
| 3.3.5 | Désactiver le paramètre de noyau pour l'acceptation des redirections ICMP par défaut sur les interfaces IPv6 | modérés | pass |
| 3.3.6 | Configurer le paramètre de noyau pour accepter les redirections sécurisées par défaut | modérés | pass |
| 3.3.6 | Désactiver le paramètre de noyau pour accepter les redirections ICMP sécurisées sur toutes les interfaces IPv4 | modérés | pass |
| 3.3.7 | Activer le paramètre de noyau pour utiliser le filtrage de chemin inverse sur toutes les interfaces IPv4 par défaut | modérés | pass |
| 3.3.8 | Désactiver le paramètre de noyau pour l'acceptation des paquets routés par la source sur les interfaces IPv4 par défaut | modérés | pass |
| 3.3.8 | Désactiver le paramètre de noyau pour l'acceptation des paquets routés par la source sur les interfaces IPv6 par défaut | modérés | pass |
| 3.3.8 | Désactiver le paramètre de noyau pour l'acceptation des paquets routés par la source sur toutes les interfaces IPv4 | modérés | pass |
| 3.3.8 | Désactiver le paramètre de noyau pour l'acceptation des paquets routés par la source sur toutes les interfaces IPv6 | modérés | pass |
| 3.3.9 | Activer le paramètre de noyau pour consigner les paquets martiens sur toutes les interfaces IPv4 | inconnu | pass |
| 3.3.9 | Activer le paramètre de noyau pour consigner les paquets martiens sur toutes les interfaces IPv4 par défaut | inconnu | pass |
| 3.3.10 | Activer le paramètre de kernel pour utiliser les syncookies TCP sur les interfaces réseau | modérés | pass |
| 3.3.11 | Configurer l'acceptation des annonces de routeur sur toutes les interfaces IPv6 | modérés | pass |
| 3.3.11 | Désactiver l'acceptation des annonces de routeur sur toutes les interfaces IPv6 par défaut | modérés | pass |
| 4.1.1 | Assurez-vous qu'un seul service de pare-feu est actif | modérés | pass |
| 4.3.2, 4.4.1.3 | Supprimer le package ufw | modérés | pass |
| 4.4.1.1 | Installer le package iptables | modérés | pass |
| 4.4.1.1 | Installer le package iptables-persistent | modérés | pass |
| 4.4.1.2 | Vérifier que le service nftables est désactivé | modérés | pass |
| 5.1.1 | Vérifier le groupe propriétaire des fichiers de configuration du serveur SSH | modérés | pass |
| 5.1.1 | Vérifier le groupe propriétaire du fichier de configuration du serveur SSH | modérés | pass |
| 5.1.1 | Vérifier le propriétaire des fichiers de configuration du serveur SSH | modérés | pass |
| 5.1.1 | Vérifier le propriétaire du fichier de configuration du serveur SSH | modérés | pass |
| 5.1.1 | Vérifier les autorisations sur le fichier de configuration du serveur SSH | modérés | pass |
| 5.1.1 | Vérifier les autorisations sur le fichier de configuration du serveur SSH | modérés | pass |
| 5.1.2 | Vérifier les autorisations sur les fichiers de clé privée *_key du serveur SSH | modérés | pass |
| 5.1.3 | Vérifier les autorisations sur les fichiers de clé publique *.pub du serveur SSH | modérés | pass |
| 5.1.5 | Activer la bannière d'avertissement SSH | modérés | pass |
| 5.1.6 | Utiliser uniquement des algorithmes de chiffrement sécurisés | modérés | pass |
| 5.1.7 | Définir le nombre maximal de messages de maintien de connexion du client SSH | modérés | pass |
| 5.1.7 | Définir l'intervalle de maintien de la connexion du client SSH | modérés | pass |
| 5.1.8 | Désactiver le transfert SSH | modérés | pass |
| 5.1.9 | Désactiver l'authentification GSSAPI | modérés | pass |
| 5.1.10 | Désactiver l'authentification basée sur l'hôte | modérés | pass |
| 5.1.11 | Désactiver la compatibilité SSH pour les fichiers .rhosts | modérés | pass |
| 5.1.12 | Utiliser uniquement des algorithmes d'échange de clés forts | modérés | pass |
| 5.1.13 | Assurez-vous que SSH LoginGraceTime est configuré | modérés | pass |
| 5.1.14 | Définissez LogLevel sur INFO. | faibles | pass |
| 5.1.15 | Utiliser uniquement des MAC forts | modérés | pass |
| 5.1.16 | Définir la limite de tentatives d'authentification SSH | modérés | pass |
| 5.1.17 | Définir la limite MaxSessions SSH | modérés | pass |
| 5.1.18 | Assurez-vous que le protocole SSH MaxStartups est configuré | modérés | pass |
| 5.1.19 | Désactiver l'accès SSH via des mots de passe vides | high | pass |
| 5.1.20 | Désactiver la connexion SSH en tant qu'utilisateur racine | modérés | pass |
| 5.1.21 | Ne pas autoriser les options d'environnement SSH | modérés | pass |
| 5.1.22 | Activer le gestionnaire d'accès privilégié | modérés | pass |
| 5.2.1 | Installer le package sudo | modérés | pass |
| 5.2.2 | S'assurer que seuls les utilisateurs connectés à un vrai tty peuvent exécuter sudo (sudo use_pty) | modérés | pass |
| 5.2.3 | S'assurer que le fichier journal sudo existe (sudo logfile) | faibles | pass |
| 5.2.5 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo !authenticate) | modérés | pass |
| 5.2.6 | Exiger une nouvelle authentification lors de l'utilisation de la commande sudo | modérés | pass |
| 5.2.7 | Appliquer l'utilisation de pam_wheel avec le paramètre de groupe pour l'authentification su | modérés | pass |
| 5.2.7 | S'assurer que le groupe utilisé par le module pam_wheel.so existe sur le système et qu'il est vide | modérés | pass |
| 5.3.1.1 | Installer le package pam-runtime | modérés | pass |
| 5.3.1.2 | Installer le package pam-modules | modérés | pass |
| 5.3.1.3 | Installer le package pam_pwquality | modérés | pass |
| 5.3.2.1 | Vérifier que le module pam_unix est activé | modérés | pass |
| 5.3.2.2 | Vérifier que le module pam_faillock est activé | modérés | pass |
| 5.3.2.3 | Vérifier que le module pam_pwquality est activé | modérés | pass |
| 5.3.2.4 | Vérifier que le module pam_pwhistory est activé | modérés | pass |
| 5.3.3.1.1 | Verrouiller les comptes après des tentatives infructueuses de saisie du mot de passe | modérés | pass |
| 5.3.3.1.2 | Définir le délai de verrouillage après des tentatives infructueuses de saisie du mot de passe | modérés | pass |
| 5.3.3.1.3 | Définir le délai de verrouillage de l'accès racine en cas d'échec de saisie du mot de passe | modérés | pass |
| 5.3.3.2.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de caractères différents | modérés | pass |
| 5.3.3.2.2 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : longueur minimale | modérés | pass |
| 5.3.3.2.3 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de catégories différentes | modérés | pass |
| 5.3.3.2.3 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de chiffres | modérés | pass |
| 5.3.3.2.3 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de caractères minuscules | modérés | pass |
| 5.3.3.2.3 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de caractères spéciaux | modérés | pass |
| 5.3.3.2.3 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de caractères majuscules | modérés | pass |
| 5.3.3.2.4 | Définir le nombre maximal de caractères consécutifs répétés dans le mot de passe | modérés | pass |
| 5.3.3.2.5 | Limiter le nombre maximal de caractères consécutifs dans les mots de passe | modérés | pass |
| 5.3.3.2.6 | S'assurer que PAM applique les exigences relatives aux mots de passe : empêcher l'utilisation de mots du dictionnaire | modérés | pass |
| 5.3.3.2.7 | S'assurer que PAM applique les exigences relatives aux mots de passe - Application | modérés | pass |
| 5.3.3.2.8 | S'assurer que PAM applique les exigences de mot de passe : appliquer pour l'utilisateur racine | modérés | pass |
| 5.3.3.3.1 | Limiter la réutilisation des mots de passe | modérés | pass |
| 5.3.3.3.2 | Limiter la réutilisation des mots de passe | modérés | pass |
| 5.3.3.3.3 | Appliquer l'historique des mots de passe avec use_authtok | modérés | pass |
| 5.3.3.4.1 | Empêcher la connexion aux comptes sans mot de passe | high | pass |
| 5.3.3.4.2 | Éviter d'utiliser remember dans le module pam_unix | modérés | pass |
| 5.3.3.4.3 | Définir l'algorithme de hachage de mot de passe de PAM | modérés | pass |
| 5.3.3.4.4 | Exiger use_authtok pour pam_unix.so | modérés | pass |
| 5.4.1.1 | Définir l'âge maximal des mots de passe existants | modérés | pass |
| 5.4.1.2 | Définir l'âge minimal des mots de passe existants | modérés | pass |
| 5.4.1.2 | Définir l'âge minimal du mot de passe | modérés | pass |
| 5.4.1.3 | Définir l'âge d'avertissement du mot de passe | modérés | pass |
| 5.4.1.4 | Définir l'algorithme de hachage de mot de passe dans /etc/login.defs | modérés | pass |
| 5.4.1.5 | Définir l'expiration du compte après une période d'inactivité | modérés | pass |
| 5.4.1.6 | Assurez-vous que la date de la dernière modification du mot de passe de tous les utilisateurs est antérieure à la date du jour | modérés | pass |
| 5.4.2.1 | Vérifier que seul l'utilisateur racine possède l'UID 0 | high | pass |
| 5.4.2.2 | Vérifier que la racine a un GID principal de 0 | high | pass |
| 5.4.2.3 | Vérifier que seul le groupe root possède le GID 0 | high | pass |
| 5.4.2.4 | Assurez-vous que l'accès au compte racine est contrôlé | modérés | pass |
| 5.4.2.5 | S'assurer que toutes les entrées du chemin d'accès de la racine sont des répertoires | modérés | pass |
| 5.4.2.5 | Assurez-vous que tous les répertoires du chemin d'accès racine appartiennent à l'utilisateur racine | modérés | pass |
| 5.4.2.5 | S'assurer que le chemin d'accès de la racine n'inclut pas de chemins relatifs ni de répertoires nuls | inconnu | pass |
| 5.4.2.5 | Assurez-vous que le chemin d'accès de la racine n'inclut pas de répertoires accessibles en écriture pour le groupe ou en écriture à l'échelle mondiale | modérés | pass |
| 5.4.2.6 | S'assurer que l'Umask Bash racine est correctement défini | modérés | pass |
| 5.4.2.7 | Vérifier que les comptes système n'exécutent pas de shell lors de la connexion | modérés | pass |
| 5.4.2.8 | Vérifier que les comptes non interactifs sont verrouillés | modérés | pass |
| 5.4.3.1 | S'assurer que le shell nologin n'est pas listé dans /etc/shells | modérés | pass |
| 5.4.3.2 | Définir le délai avant expiration de la session interactive | modérés | pass |
| 5.4.3.3 | Vérifier que l'Umask Bash par défaut est correctement défini | modérés | pass |
| 5.4.3.3 | S'assurer que l'Umask par défaut est correctement défini dans /etc/profile | modérés | pass |
| 5.4.3.3 | S'assurer que l'Umask par défaut est correctement défini dans login.defs | modérés | pass |
| 6.1.1.1 | Activer le service systemd-journald | modérés | pass |
| 6.1.1.4 | S'assurer qu'un seul service de journalisation est utilisé | modérés | pass |
| 6.1.2.1.4 | Désactiver le socket systemd-journal-remote | modérés | pass |
| 6.1.3.1 | Vérifier que rsyslog est installé | modérés | pass |
| 6.1.3.2 | Activer le service rsyslog | modérés | pass |
| 6.1.3.4 | Assurez-vous que les autorisations de fichiers par défaut de rsyslog sont configurées | modérés | pass |
| 6.1.3.7 | Assurez-vous que rsyslog n'accepte pas les messages distants, sauf s'il agit en tant que serveur de journaux | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier /var/log/(b|w)tmp(.*|-*) | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier /var/log/*.journal(~) | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier journal /var/log/auth.log | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier /var/log/cloud-init.log* | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier /var/log/lastlog | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier /var/log/localmessages* | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier /var/log/messages | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier /var/log/secure | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier /var/log/syslog | modérés | pass |
| 6.1.4.1 | Vérifier le groupe propriétaire du fichier /var/log/waagent.log | modérés | pass |
| 6.1.4.1 | Vérifier la propriété du groupe des fichiers dans /var/log/apt | modérés | pass |
| 6.1.4.1 | Vérifier la propriété du groupe des fichiers dans /var/log/gdm | modérés | pass |
| 6.1.4.1 | Vérifier la propriété du groupe des fichiers dans /var/log/gdm3 | modérés | pass |
| 6.1.4.1 | Vérifier la propriété du groupe des fichiers dans /var/log/landscape | modérés | pass |
| 6.1.4.1 | Vérifier la propriété du groupe des fichiers dans /var/log/sssd | modérés | pass |
| 6.1.4.1 | Vérifier la propriété des fichiers dans /var/log/apt | modérés | pass |
| 6.1.4.1 | Vérifier la propriété des fichiers dans /var/log/gdm | modérés | pass |
| 6.1.4.1 | Vérifier la propriété des fichiers dans /var/log/gdm3 | modérés | pass |
| 6.1.4.1 | Vérifier la propriété des fichiers dans /var/log/landscape | modérés | pass |
| 6.1.4.1 | Vérifier la propriété des fichiers dans /var/log/sssd | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations des fichiers dans /var/log/gdm | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations des fichiers dans /var/log/gdm3 | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations des fichiers dans /var/log/sssd | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur le fichier journal /var/log/auth.log | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur les fichiers /var/log/cloud-init.log(.*) | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur les fichiers /var/log/lastlog(.*) | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur les fichiers /var/log/localmessages(.*) | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur le fichier /var/log/messages | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur le fichier /var/log/secure | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur le fichier /var/log/syslog | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur les fichiers /var/log/waagent.log(.*) | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur les fichiers /var/log/wtmp(.*) | modérés | pass |
| 6.1.4.1 | Vérifier les autorisations sur les fichiers du répertoire /var/log/apt/.* | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire du fichier /var/log/(b|w)tmp(.*|-*) | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire des fichiers /var/log/*.journal(~) | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire du fichier journal /var/log/auth.log | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire du fichier /var/log/cloud-init.log | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire du fichier /var/log/lastlog | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire du fichier /var/log/localmessages | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire du fichier /var/log/messages | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire du fichier /var/log/secure | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire du fichier /var/log/syslog | modérés | pass |
| 6.1.4.1 | Vérifier l'utilisateur propriétaire du fichier /var/log/waagent.log | modérés | pass |
| 6.2.1.1 | S'assurer que le sous-système d'audit est installé | modérés | pass |
| 6.2.1.1 | Vérifier que les plug-ins par défaut du répartiteur d'audit sont installés | modérés | pass |
| 6.2.1.2 | Activer le service auditd | modérés | pass |
| 6.2.1.4 | Étendre la limite du backlog d'audit pour le daemon d'audit | faibles | pass |
| 6.2.2.1 | Configurer la taille maximale du fichier journal auditd | modérés | pass |
| 6.2.2.2 | Configurer l'action max_log_file_action d'auditd lorsque la taille maximale du fichier journal est atteinte | modérés | pass |
| 6.2.2.3 | Configurer l'action d'auditd en cas d'erreur de disque | modérés | pass |
| 6.2.2.3 | Configurer l'action auditd lorsque l'espace disque est plein | modérés | pass |
| 6.2.2.4 | Configurer l'action admin_space_left d'auditd en cas d'espace disque faible | modérés | pass |
| 6.2.2.4 | Configurer l'action mail_acct d'auditd en cas d'espace disque faible | modérés | pass |
| 6.2.2.4 | Configurer l'action space_left d'auditd en cas d'espace disque faible | modérés | pass |
| 6.2.3.1 | S'assurer qu'auditd collecte les actions des administrateurs système | modérés | pass |
| 6.2.3.2 | Enregistrer des événements lorsque des exécutables sont exécutés en tant qu'un autre utilisateur | modérés | pass |
| 6.2.3.2 | Enregistrer des événements lorsque des exécutables privilégiés sont exécutés | modérés | pass |
| 6.2.3.3 | Enregistrer les tentatives d'exécution d'activités de maintenance | modérés | pass |
| 6.2.3.4 | Enregistrer les tentatives de modification de l'heure via clock_settime | modérés | pass |
| 6.2.3.4 | Enregistrer les tentatives de modification du fichier localtime | modérés | pass |
| 6.2.3.4 | Enregistrer les tentatives de modification de l'heure via adjtimex | modérés | pass |
| 6.2.3.4 | Enregistrer les tentatives de modification de l'heure via settimeofday | modérés | pass |
| 6.2.3.5 | Enregistrer les événements qui modifient l'environnement réseau du système | modérés | pass |
| 6.2.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : creat | modérés | pass |
| 6.2.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : ftruncate | modérés | pass |
| 6.2.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : ouvrir | modérés | pass |
| 6.2.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : openat | modérés | pass |
| 6.2.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers – tronquer | modérés | pass |
| 6.2.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/group | modérés | pass |
| 6.2.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/gshadow | modérés | pass |
| 6.2.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/nsswitch.conf | modérés | pass |
| 6.2.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/pam.conf | modérés | pass |
| 6.2.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/pam.d/ | modérés | pass |
| 6.2.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/passwd | modérés | pass |
| 6.2.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/security/opasswd | modérés | pass |
| 6.2.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/shadow | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chmod | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chown | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchmod | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système - fchmodat | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchown | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système - fchownat | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fremovexattr | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fsetxattr | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lchown | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lremovexattr | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lsetxattr | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : removexattr | modérés | pass |
| 6.2.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : setxattr | modérés | pass |
| 6.2.3.10 | S'assurer qu'auditd collecte des informations sur l'exportation vers un support (réussie) | modérés | pass |
| 6.2.3.11 | Enregistrer les tentatives de modification des informations d'initialisation de processus et de session | modérés | pass |
| 6.2.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : faillock | modérés | pass |
| 6.2.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : lastlog | modérés | pass |
| 6.2.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur - rename | modérés | pass |
| 6.2.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par l'utilisateur - renameat | modérés | pass |
| 6.2.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par l'utilisateur - unlink | modérés | pass |
| 6.2.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur - unlinkat | modérés | pass |
| 6.2.3.14 | Enregistrer les événements qui modifient les contrôles d'accès obligatoires du système (/etc/apparmor) | modérés | pass |
| 6.2.3.14 | Enregistrer les événements qui modifient les contrôles d'accès obligatoires du système (/etc/apparmor.d) | modérés | pass |
| 6.2.3.15 | Enregistrer toutes les tentatives d'exécution de chcon | modérés | pass |
| 6.2.3.16 | Enregistrer toutes les tentatives d'exécution de setfacl | modérés | pass |
| 6.2.3.17 | Enregistrer toutes les tentatives d'exécution de chacl | modérés | pass |
| 6.2.3.18 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées – usermod | modérés | pass |
| 6.2.3.19 | S'assurer qu'auditd collecte des informations sur le chargement du module de noyau : init_module | modérés | pass |
| 6.2.3.19 | S'assurer qu'auditd collecte des informations sur le chargement et le déchargement des modules du noyau : finit_module | modérés | pass |
| 6.2.3.19 | S'assurer qu'auditd collecte des informations sur le chargement et le déchargement des modules du noyau : query_module | modérés | pass |
| 6.2.3.19 | S'assurer qu'auditd collecte des informations sur le déchargement des modules du noyau : create_module | modérés | pass |
| 6.2.3.19 | Assurez-vous qu'auditd collecte des informations sur le déchargement du module de noyau – delete_module | modérés | pass |
| 6.2.3.19 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : kmod | modérés | pass |
| 6.2.3.20 | Rendre la configuration auditd immuable | modérés | pass |
| 6.2.4.1 | Les journaux d'audit du système doivent avoir le mode 0640 ou un mode moins permissif | modérés | pass |
| 6.2.4.2 | Les journaux d'audit du système doivent appartenir à l'utilisateur racine | modérés | pass |
| 6.2.4.3 | Les journaux d'audit du système doivent appartenir au groupe racine | modérés | pass |
| 6.2.4.4 | Les journaux d'audit du système doivent avoir le mode 0750 ou un mode moins permissif | modérés | pass |
| 6.2.4.5 | Vérifier les autorisations sur /etc/audit/audit.rules | modérés | pass |
| 6.2.4.5 | Vérifier les autorisations sur /etc/audit/auditd.conf | modérés | pass |
| 6.2.4.5 | Vérifier les autorisations sur /etc/audit/rules.d/*.rules | modérés | pass |
| 6.2.4.6 | Les fichiers de configuration d'audit doivent appartenir à l'utilisateur racine | modérés | pass |
| 6.2.4.7 | Les fichiers de configuration d'audit doivent appartenir au groupe root | modérés | pass |
| 6.2.4.8 | Vérifier que les outils d'audit ont le mode 0755 ou une valeur inférieure | modérés | pass |
| 6.2.4.9 | Vérifier que les outils d'audit appartiennent à l'utilisateur racine | modérés | pass |
| 6.2.4.10 | Vérifier que les outils d'audit appartiennent au groupe root | modérés | pass |
| 7.1.1 | Vérifier le groupe propriétaire du fichier passwd | modérés | pass |
| 7.1.1 | Vérifier les autorisations sur le fichier passwd | modérés | pass |
| 7.1.1 | Vérifier l'utilisateur propriétaire du fichier passwd | modérés | pass |
| 7.1.2 | Vérifier le groupe propriétaire du fichier passwd de sauvegarde | modérés | pass |
| 7.1.2 | Vérifier les autorisations sur le fichier passwd de sauvegarde | modérés | pass |
| 7.1.2 | Vérifier l'utilisateur propriétaire du fichier passwd de sauvegarde | modérés | pass |
| 7.1.3 | Vérifier le groupe propriétaire du fichier de groupe | modérés | pass |
| 7.1.3 | Vérifier les autorisations sur le fichier de groupe | modérés | pass |
| 7.1.3 | Vérifier l'utilisateur propriétaire du fichier de groupe | modérés | pass |
| 7.1.4 | Vérifier le groupe propriétaire du fichier de groupe de sauvegarde | modérés | pass |
| 7.1.4 | Vérifier les autorisations sur le fichier du groupe de sauvegarde | modérés | pass |
| 7.1.4 | Vérifier l'utilisateur propriétaire du fichier de groupe de sauvegarde | modérés | pass |
| 7.1.5 | Vérifier le groupe propriétaire du fichier shadow | modérés | pass |
| 7.1.5 | Vérifier les autorisations sur le fichier shadow | modérés | pass |
| 7.1.5 | Vérifier l'utilisateur propriétaire du fichier shadow | modérés | pass |
| 7.1.6 | Vérifier le groupe propriétaire du fichier shadow de sauvegarde | modérés | pass |
| 7.1.6 | Vérifier les autorisations sur le fichier shadow de sauvegarde | modérés | pass |
| 7.1.6 | Vérifier l'utilisateur propriétaire du fichier shadow de sauvegarde | modérés | pass |
| 7.1.7 | Vérifier le groupe propriétaire du fichier gshadow | modérés | pass |
| 7.1.7 | Vérifier les autorisations sur le fichier gshadow | modérés | pass |
| 7.1.7 | Vérifier l'utilisateur propriétaire du fichier gshadow | modérés | pass |
| 7.1.8 | Vérifier le groupe propriétaire du fichier gshadow de sauvegarde | modérés | pass |
| 7.1.8 | Vérifier les autorisations sur le fichier gshadow de sauvegarde | modérés | pass |
| 7.1.8 | Vérifier l'utilisateur propriétaire du fichier gshadow de sauvegarde | modérés | pass |
| 7.1.9 | Vérifier le groupe propriétaire du fichier /etc/shells | modérés | pass |
| 7.1.9 | Vérifier les autorisations sur le fichier /etc/shells | modérés | pass |
| 7.1.9 | Vérifier qui est propriétaire du fichier /etc/shells | modérés | pass |
| 7.1.10 | Vérifier le groupe propriétaire du fichier /etc/security/opasswd | modérés | pass |
| 7.1.10 | Vérifier le groupe propriétaire du fichier /etc/security/opasswd.old | modérés | pass |
| 7.1.10 | Vérifier les autorisations sur le fichier /etc/security/opasswd | modérés | pass |
| 7.1.10 | Vérifier les autorisations sur le fichier /etc/security/opasswd.old | modérés | pass |
| 7.1.10 | Vérifier l'utilisateur propriétaire du fichier /etc/security/opasswd | modérés | pass |
| 7.1.10 | Vérifier l'utilisateur propriétaire du fichier /etc/security/opasswd.old | modérés | pass |
| 7.2.1 | Vérifier que tous les hachages de mots de passe de compte sont masqués | modérés | pass |
| 7.2.2 | Assurez-vous qu'il n'existe aucun compte avec un mot de passe vide ou nul | high | pass |
| 7.2.3 | Tous les GID référencés dans /etc/passwd doivent être définis dans /etc/group | faibles | pass |
| 7.2.4 | Assurez-vous que le groupe fantôme est vide | modérés | pass |
| 7.2.5 | S'assurer que tous les comptes du système disposent d'ID utilisateur uniques | modérés | pass |
| 7.2.6 | S'assurer que tous les groupes du système ont un ID de groupe unique | modérés | pass |
| 7.2.7 | S'assurer que tous les comptes du système ont des noms uniques | modérés | pass |
| 7.2.8 | S'assurer que tous les groupes du système ont des noms uniques | modérés | pass |
| 7.2.9 | Tous les répertoires d'accueil des utilisateurs interactifs doivent appartenir au groupe principal | modérés | pass |
| 7.2.9 | Tous les répertoires d'accueil des utilisateurs interactifs doivent appartenir à l'utilisateur principal | modérés | pass |
| 7.2.9 | Tous les répertoires d'accueil des utilisateurs interactifs doivent avoir le mode 0750 ou un mode moins permissif | modérés | pass |
| 7.2.9 | Tous les répertoires d'accueil des utilisateurs interactifs doivent exister | modérés | pass |
| 7.2.10 | S'assurer que tous les fichiers d'initialisation utilisateur ont le mode 0740 ou un mode moins permissif | modérés | pass |
| 7.2.10 | S'assurer que le fichier d'historique Bash de l'utilisateur dispose des autorisations appropriées | modérés | pass |
| 7.2.10 | Les fichiers d'initialisation de l'utilisateur doivent appartenir au groupe principal | modérés | pass |
| 7.2.10 | Les fichiers d'initialisation de l'utilisateur doivent appartenir à l'utilisateur principal | modérés | pass |
| 7.2.10 | Vérifier qu'aucun fichier .forward n'existe | modérés | pass |
| 7.2.10 | Vérifier qu'aucun fichier netrc n'existe | modérés | pass |
Recommandations non applicables
Le tableau suivant répertorie les recommandations qui ne s'appliquent pas à Google Distributed Cloud.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.2.1.2 | Ajouter l'option nodev à /tmp | modérés | notapplicable |
| 1.1.2.1.3 | Ajouter l'option nosuid à /tmp | modérés | notapplicable |
| 1.1.2.1.4 | Ajouter l'option noexec à /tmp | modérés | notapplicable |
| 1.1.2.3.2 | Ajouter l'option nodev à /home | inconnu | notapplicable |
| 1.1.2.3.3 | Ajouter l'option nosuid à /home | modérés | notapplicable |
| 1.1.2.4.2 | Ajouter l'option nodev à /var | modérés | notapplicable |
| 1.1.2.4.3 | Ajouter l'option nosuid à /var | modérés | notapplicable |
| 1.1.2.5.2 | Ajouter l'option nodev à /var/tmp | modérés | notapplicable |
| 1.1.2.5.3 | Ajouter l'option nosuid à /var/tmp | modérés | notapplicable |
| 1.1.2.5.4 | Ajouter l'option noexec à /var/tmp | modérés | notapplicable |
| 1.1.2.6.2 | Ajouter l'option nodev à /var/log | modérés | notapplicable |
| 1.1.2.6.3 | Ajouter l'option nosuid à /var/log | modérés | notapplicable |
| 1.1.2.6.4 | Ajouter l'option noexec à /var/log | modérés | notapplicable |
| 1.1.2.7.2 | Ajouter l'option nodev à /var/log/audit | modérés | notapplicable |
| 1.1.2.7.3 | Ajouter l'option nosuid à /var/log/audit | modérés | notapplicable |
| 1.1.2.7.4 | Ajouter l'option noexec à /var/log/audit | modérés | notapplicable |
| 1.4.1 | Définir le mot de passe du chargeur d'amorçage UEFI | high | notapplicable |
| 1.7.1 | Supprimer le groupe de packages GDM | modérés | notapplicable |
| 1.7.4, 1.7.5 | Activer le verrouillage de l'économiseur d'écran GNOME3 après une période d'inactivité | modérés | notapplicable |
| 1.7.4, 1.7.5 | Définir le délai d'inactivité de l'économiseur d'écran GNOME3 | modérés | notapplicable |
| 1.7.4, 1.7.5 | Définir le délai de verrouillage de l'économiseur d'écran GNOME3 après la période d'activation | modérés | notapplicable |
| 1.7.6, 1.7.7 | Désactiver l'ouverture automatique de GNOME3 | modérés | notapplicable |
| 1.7.6, 1.7.7 | Désactiver l'installation automatique de GNOME3 | modérés | notapplicable |
| 1.7.8, 1.7.9 | Désactiver le montage automatique GNOME3 en cours d'exécution | faibles | notapplicable |
| 1.7.10 | Désactiver XDMCP dans GDM | high | notapplicable |
| 2.1.1 | Désactiver l'outil de montage automatique | modérés | notapplicable |
| 2.1.2 | Désactiver le logiciel serveur Avahi | modérés | notapplicable |
| 2.1.15 | Désactiver le service snmpd | faibles | notapplicable |
| 2.1.17 | Désactiver Squid | inconnu | notapplicable |
| 2.1.21 | Désactiver l'écoute réseau Postfix | modérés | notapplicable |
| 2.3.1.1 | Le service Chronyd est désactivé | modérés | notapplicable |
| 4.2.3 | Vérifier qu'ufw est actif | modérés | notapplicable |
| 4.2.3 | Vérifier que ufw est activé | modérés | notapplicable |
| 4.2.4 | Définir le trafic de rebouclage UFW | modérés | notapplicable |
| 4.2.6 | Assurez-vous qu'il existe des règles de pare-feu ufw pour tous les ports ouverts | modérés | notapplicable |
| 4.2.7 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour ufw | modérés | notapplicable |
| 4.4.2.1 | Définir la règle iptables par défaut pour les paquets entrants | modérés | notapplicable |
| 4.4.2.2 | Définir la configuration pour le trafic de rebouclage | modérés | notapplicable |
| 4.4.2.4 | Assurez-vous qu'il existe des règles de pare-feu iptables pour tous les ports ouverts | modérés | notapplicable |
| 4.4.3.1 | Définir la règle ip6tables par défaut pour les paquets entrants | modérés | notapplicable |
| 4.4.3.4 | Assurez-vous qu'il existe des règles de pare-feu ip6tables pour tous les ports ouverts | modérés | notapplicable |
| 6.1.2.1.1 | Installer le package systemd-journal-remote | modérés | notapplicable |
| 6.1.2.1.2 | Configurez les paramètres TLS de systemd-journal-upload : ServerKeyFile, ServerCertificateFile et TrustedCertificateFile. | modérés | notapplicable |
| 6.1.2.1.2 | Configurer l'URL systemd-journal-upload | modérés | notapplicable |
| 6.1.2.1.3 | Activer le service systemd-journal-upload | modérés | notapplicable |
| 6.1.2.2 | Assurez-vous que ForwardToSyslog de journald est désactivé | modérés | notapplicable |
| 6.1.2.3 | Assurez-vous que journald est configuré pour compresser les fichiers journaux volumineux | modérés | notapplicable |
| 6.1.2.4 | Assurez-vous que journald est configuré pour écrire les fichiers journaux sur un disque persistant | modérés | notapplicable |
| 6.3.2 | Configurer l'exécution d'AIDE par un minuteur Systemd | modérés | notapplicable |
| 7.2.10 | Supprimer les fichiers d'approbation Rsh | high | notapplicable |
Recommandations exclues de l'évaluation
L'évaluation utilise le profil cis_level2_server_customized, qui est adapté à Google Distributed Cloud. Le tableau suivant liste les recommandations du profil CIS de niveau 2 - Serveur que le profil personnalisé exclut de l'évaluation. Elles n'apparaissent donc pas dans les tableaux précédents.
Certaines de ces recommandations sont des alternatives aux configurations utilisées par Google Distributed Cloud, telles que chrony au lieu de systemd-timesyncd, ou des paramètres GNOME qui ne s'appliquent pas aux serveurs sans bureau.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.3.1.3 | Tous les profils AppArmor sont en mode d'application ou de réclamation | modérés | non évalué |
| 1.3.1.4 | Appliquer tous les profils AppArmor | modérés | non évalué |
| 1.4.2 | Vérifier la propriété de l'utilisateur de /boot/grub/grub.cfg | modérés | non évalué |
| 1.7.2 | Activer la bannière d'avertissement de connexion GNOME3 | modérés | non évalué |
| 1.7.2 | Définir le texte de la bannière d'avertissement de connexion GNOME3 | modérés | non évalué |
| 1.7.3 | Désactiver la liste des utilisateurs de connexion GNOME3 | modérés | non évalué |
| 2.1.12 | Désinstaller le package rpcbind | faibles | non évalué |
| 2.3.1.1 | Désactiver le service systemd_timesyncd | modérés | non évalué |
| 2.3.1.1 | Le package Chrony est installé. | modérés | non évalué |
| 2.3.1.1 | Le service Chronyd est activé | modérés | non évalué |
| 2.3.3.1 | Configurer le pool et le serveur Chrony | modérés | non évalué |
| 2.3.3.2 | Assurez-vous que chronyd s'exécute sous le compte utilisateur chrony | modérés | non évalué |
| 3.3.1 | Désactiver le paramètre de noyau pour le transfert IP sur les interfaces IPv4 | modérés | non évalué |
| 3.3.1 | Désactiver le paramètre de noyau pour le transfert IPv6 | modérés | non évalué |
| 4.2.1 | Installer le package ufw | modérés | non évalué |
| 4.2.2 | Supprimer le package iptables-persistent | modérés | non évalué |
| 4.3.1 | Installer le package nftables | modérés | non évalué |
| 4.3.4 | Vérifiez qu'une table existe pour nftables | modérés | non évalué |
| 4.3.5 | Vérifiez que les chaînes de base existent pour nftables | modérés | non évalué |
| 4.3.6 | Définir la configuration nftables pour le trafic de rebouclage | modérés | non évalué |
| 4.3.8 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour nftables | modérés | non évalué |
| 4.3.9 | Vérifier que le service nftables est activé | modérés | non évalué |
| 4.3.10 | Vérifiez que les règles nftables sont permanentes | modérés | non évalué |
| 4.4.3.2 | Définir la configuration pour le trafic de bouclage IPv6 | modérés | non évalué |
| 6.2.1.3 | Activer l'audit pour les processus qui démarrent avant le daemon d'audit | faibles | non évalué |
| 6.3.1 | Créer et tester une base de données AIDE | modérés | non évalué |
| 6.3.1 | Installer AIDE | modérés | non évalué |
| 6.3.3 | Configurer AIDE pour vérifier les outils d'audit | modérés | non évalué |
| 7.1.11 | S'assurer qu'il n'existe aucun fichier accessible en écriture à l'échelle mondiale | modérés | non évalué |
| 7.1.12 | S'assurer que tous les fichiers appartiennent à un groupe | modérés | non évalué |
1,34
Versions
Cette section fait référence aux versions suivantes :
| Version de Google Distributed Cloud | Version Ubuntu | Version du benchmark CIS d'Ubuntu | Niveau CIS |
|---|---|---|---|
| 1,34 | 22.04 LTS | v1.0.0 | Serveur de niveau 2 |
Recommandations ayant échoué
Le tableau suivant répertorie les recommandations du benchmark auxquelles Google Distributed Cloud ne se conforme pas, ainsi que les VM auxquelles chaque résultat s'applique. Les VM sont les nœuds du plan de contrôle du cluster, les nœuds de calcul et le poste de travail administrateur.
| # | Recommandation | Gravité | État | Applicable à |
|---|---|---|---|---|
| 1.1.2.1 | S'assurer que /tmp se trouve sur une partition distincte | faibles | échec | Tous |
| 1.1.3.1 | S'assurer que /var se trouve sur une partition distincte | faibles | échec | Tous |
| 1.1.4.1 | S'assurer que /var/tmp se trouve sur une partition distincte | modérés | échec | Tous |
| 1.1.5.1 | S'assurer que /var/log se trouve sur une partition distincte | faibles | échec | Tous |
| 1.1.6.1 | S'assurer que /var/log/audit se trouve sur une partition distincte | faibles | échec | Tous |
| 1.1.7.1 | S'assurer que /home se trouve sur une partition distincte | faibles | échec | Tous |
| 1.4.1 | Définir le mot de passe du bootloader dans grub2 | high | échec | Tous |
| 1.4.3 | Assurez-vous qu'une authentification est requise pour le mode mono-utilisateur | modérés | échec | Tous |
| 2.3.6 | Désinstaller le package rpcbind | faibles | échec | Tous |
| 3.2.2 | Désactiver le paramètre de noyau pour le transfert IP sur les interfaces IPv4 | modérés | échec | Tous |
| 3.3.7 | Activer le paramètre de noyau pour utiliser le filtrage de chemin inverse sur toutes les interfaces IPv4 | modérés | échec | Nœuds du plan de contrôle, nœuds de calcul |
| 3.5.2.8 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour nftables | modérés | échec | Tous |
| 3.5.2.10 | Vérifiez que les règles nftables sont permanentes | modérés | échec | Tous |
| 4.2.3 | Vérifier les autorisations des fichiers journaux | modérés | échec | Tous |
| 5.2.4 | Limiter l'accès SSH des utilisateurs | inconnu | échec | Tous |
| 5.3.4 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo) | modérés | échec | Tous |
| 5.5.1.2 | Définir la durée de validité maximale du mot de passe | modérés | échec | Tous |
| 6.1.10 | S'assurer que tous les fichiers appartiennent à un utilisateur | modérés | échec | Nœuds du plan de contrôle, nœuds de calcul |
Recommandations suivies
Le tableau suivant répertorie les recommandations du benchmark auxquelles Google Distributed Cloud se conforme.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.1.1 | Désactiver l'installation de cramfs | faibles | pass |
| 1.1.1.2 | Désactiver l'installation de squashfs | faibles | pass |
| 1.1.1.3 | Désactiver l'installation de l'UDF | faibles | pass |
| 1.1.8.1 | Ajouter l'option nodev à /dev/shm | modérés | pass |
| 1.1.8.2 | Ajouter l'option noexec à /dev/shm | modérés | pass |
| 1.1.8.3 | Ajouter l'option nosuid à /dev/shm | modérés | pass |
| 1.1.9 | Désactiver l'outil de montage automatique | modérés | pass |
| 1.1.10 | Désactiver le chargement du pilote de stockage USB par Modprobe | modérés | pass |
| 1.4.2 | Vérifier les autorisations de /boot/grub/grub.cfg | modérés | pass |
| 1.5.1 | Activer la disposition aléatoire de l'espace d'adressage virtuel | modérés | pass |
| 1.5.2 | Le package "prelink" ne doit pas être installé | modérés | pass |
| 1.5.3 | Désactiver le service Apport | inconnu | pass |
| 1.5.4 | Désactiver les vidages de mémoire pour tous les utilisateurs | modérés | pass |
| 1.5.4 | Désactiver les vidages de mémoire pour les programmes SUID | modérés | pass |
| 1.6.1.1 | Vérifier qu'AppArmor est installé | modérés | pass |
| 1.6.1.2 | Assurez-vous qu'AppArmor est activé dans la configuration du bootloader | modérés | pass |
| 1.6.1.4 | Appliquer tous les profils AppArmor | modérés | pass |
| 1.7.1 | Modifier la bannière du message système du jour | modérés | pass |
| 1.7.2 | Modifier la bannière de connexion au système | modérés | pass |
| 1.7.3 | Modifier la bannière de connexion au système pour les connexions à distance | modérés | pass |
| 1.7.4 | Vérifier la propriété du groupe de la bannière "Message du jour" | modérés | pass |
| 1.7.4 | Valider la propriété de la bannière "Message du jour" | modérés | pass |
| 1.7.4 | Vérifier les autorisations sur la bannière "Message du jour" | modérés | pass |
| 1.7.5 | Vérifier la propriété du groupe de la bannière de connexion au système | modérés | pass |
| 1.7.5 | Vérifier la propriété de la bannière de connexion au système | modérés | pass |
| 1.7.5 | Vérifier les autorisations sur la bannière de connexion au système | modérés | pass |
| 1.7.6 | Vérifier la propriété du groupe de la bannière de connexion au système pour les connexions à distance | modérés | pass |
| 1.7.6 | Vérifier la propriété de la bannière de connexion au système pour les connexions à distance | modérés | pass |
| 1.7.6 | Vérifier les autorisations sur la bannière de connexion système pour les connexions à distance | modérés | pass |
| 2.1.1.1 | Installer le service systemd_timesyncd | high | pass |
| 2.1.3.2 | Activer le service systemd_timesyncd | high | pass |
| 2.2.1 | Supprimer le groupe de packages X Windows | modérés | pass |
| 2.2.2 | Désactiver le logiciel serveur Avahi | modérés | pass |
| 2.2.2 | Désinstaller le package du serveur avahi | modérés | pass |
| 2.2.3 | Désactiver le service CUPS | inconnu | pass |
| 2.2.3 | Désinstaller le package CUPS | inconnu | pass |
| 2.2.4 | Désinstaller le package du serveur DHCP | modérés | pass |
| 2.2.5 | Désinstaller le package openldap-servers | faibles | pass |
| 2.2.6 | Désinstaller le package nfs-kernel-server | faibles | pass |
| 2.2.7 | Désinstaller le package bind | faibles | pass |
| 2.2.8 | Désinstaller le package vsftpd | high | pass |
| 2.2.9 | Désinstaller le package httpd | inconnu | pass |
| 2.2.9 | Désinstaller le package nginx | inconnu | pass |
| 2.2.10 | Désinstaller le package cyrus-imapd | inconnu | pass |
| 2.2.10 | Désinstaller le package dovecot | inconnu | pass |
| 2.2.11 | Désinstaller le package Samba | inconnu | pass |
| 2.2.12 | Désinstaller le package Squid | inconnu | pass |
| 2.2.13 | Désinstaller le package net-snmp | inconnu | pass |
| 2.2.14 | Désinstaller le package nis | faibles | pass |
| 2.2.15 | Assurez-vous que l'agent de transfert de messages n'écoute pas sur une adresse non loopback | modérés | pass |
| 2.2.16 | Désinstaller le package rsync | modérés | pass |
| 2.3.2 | Désinstaller le package rsh | inconnu | pass |
| 2.3.3 | Désinstaller le package Talk | modérés | pass |
| 2.3.4 | Supprimer les clients telnet (package telnet) | faibles | pass |
| 2.3.5 | Vérifiez que le client LDAP n'est pas installé | faibles | pass |
| 3.1.2 | Désactiver les interfaces réseau sans fil | modérés | pass |
| 3.2.1 | Désactiver le paramètre de noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 | modérés | pass |
| 3.2.1 | Désactiver le paramètre de noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 par défaut | modérés | pass |
| 3.2.2 | Désactiver le paramètre de noyau pour le transfert IPv6 | modérés | pass |
| 3.3.1 | Désactiver le paramètre de noyau pour l'acceptation des paquets routés par la source sur les interfaces IPv4 par défaut | modérés | pass |
| 3.3.1 | Désactiver le paramètre de noyau pour l'acceptation des paquets routés par la source sur les interfaces IPv6 par défaut | modérés | pass |
| 3.3.1 | Désactiver le paramètre de noyau pour l'acceptation des paquets routés par la source sur toutes les interfaces IPv4 | modérés | pass |
| 3.3.1 | Désactiver le paramètre de noyau pour l'acceptation des paquets routés par la source sur toutes les interfaces IPv6 | modérés | pass |
| 3.3.2 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv4 | modérés | pass |
| 3.3.2 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv6 | modérés | pass |
| 3.3.2 | Désactiver le paramètre de noyau pour l'acceptation des redirections ICMP par défaut sur les interfaces IPv4 | modérés | pass |
| 3.3.2 | Désactiver le paramètre de noyau pour l'acceptation des redirections ICMP par défaut sur les interfaces IPv6 | modérés | pass |
| 3.3.3 | Configurer le paramètre de noyau pour accepter les redirections sécurisées par défaut | modérés | pass |
| 3.3.3 | Désactiver le paramètre de noyau pour accepter les redirections ICMP sécurisées sur toutes les interfaces IPv4 | modérés | pass |
| 3.3.4 | Activer le paramètre de noyau pour consigner les paquets martiens sur toutes les interfaces IPv4 | inconnu | pass |
| 3.3.4 | Activer le paramètre de noyau pour consigner les paquets martiens sur toutes les interfaces IPv4 par défaut | inconnu | pass |
| 3.3.5 | Activer le paramètre de noyau pour ignorer les requêtes d'écho de diffusion ICMP sur les interfaces IPv4 | modérés | pass |
| 3.3.6 | Activer le paramètre de noyau pour ignorer les réponses d'erreur ICMP erronées sur les interfaces IPv4 | inconnu | pass |
| 3.3.7 | Activer le paramètre de noyau pour utiliser le filtrage de chemin inverse sur toutes les interfaces IPv4 par défaut | modérés | pass |
| 3.3.8 | Activer le paramètre de kernel pour utiliser les syncookies TCP sur les interfaces réseau | modérés | pass |
| 3.3.9 | Configurer l'acceptation des annonces de routeur sur toutes les interfaces IPv6 | modérés | pass |
| 3.3.9 | Désactiver l'acceptation des annonces de routeur sur toutes les interfaces IPv6 par défaut | modérés | pass |
| 3.4.1 | Désactiver la compatibilité DCCP | modérés | pass |
| 3.4.2 | Désactiver la compatibilité SCTP | modérés | pass |
| 3.4.3 | Désactiver la prise en charge de RDS | faibles | pass |
| 3.4.4 | Désactiver la compatibilité avec TIPC | faibles | pass |
| 3.5.2.1 | Installer le package nftables | modérés | pass |
| 3.5.2.4 | Vérifiez qu'une table existe pour nftables | modérés | pass |
| 3.5.2.5 | Vérifiez que les chaînes de base existent pour nftables | modérés | pass |
| 3.5.2.9 | Vérifier que le service nftables est activé | modérés | pass |
| 3.5.3.1.1 | Installer le package iptables | modérés | pass |
| 3.5.3.1.3 | Supprimer le package ufw | modérés | pass |
| 4.1.1.1 | S'assurer que le sous-système d'audit est installé | modérés | pass |
| 4.1.1.2 | Activer le service auditd | modérés | pass |
| 4.1.1.4 | Étendre la limite du backlog d'audit pour le daemon d'audit | faibles | pass |
| 4.1.2.1 | Configurer la taille maximale du fichier journal auditd | modérés | pass |
| 4.1.2.2 | Configurer l'action max_log_file_action d'auditd lorsque la taille maximale du fichier journal est atteinte | modérés | pass |
| 4.1.2.3 | Configurer l'action admin_space_left d'auditd en cas d'espace disque faible | modérés | pass |
| 4.1.2.3 | Configurer l'action mail_acct d'auditd en cas d'espace disque faible | modérés | pass |
| 4.1.2.3 | Configurer l'action space_left d'auditd en cas d'espace disque faible | modérés | pass |
| 4.1.3.1 | S'assurer qu'auditd collecte les actions des administrateurs système | modérés | pass |
| 4.1.3.2 | Enregistrer des événements lorsque des exécutables privilégiés sont exécutés | modérés | pass |
| 4.1.3.3 | Enregistrer les tentatives d'exécution d'activités de maintenance | modérés | pass |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via clock_settime | modérés | pass |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via stime | modérés | pass |
| 4.1.3.4 | Enregistrer les tentatives de modification du fichier localtime | modérés | pass |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via adjtimex | modérés | pass |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via settimeofday | modérés | pass |
| 4.1.3.5 | Enregistrer les événements qui modifient l'environnement réseau du système | modérés | pass |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : su | modérés | pass |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées (sudo) | modérés | pass |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : sudoedit | modérés | pass |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : umount | modérés | pass |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : unix_chkpwd | modérés | pass |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : creat | modérés | pass |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : ftruncate | modérés | pass |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : ouvrir | modérés | pass |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : openat | modérés | pass |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers – tronquer | modérés | pass |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/group | modérés | pass |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/gshadow | modérés | pass |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/passwd | modérés | pass |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/security/opasswd | modérés | pass |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/shadow | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chmod | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chown | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchmod | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système - fchmodat | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchown | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système - fchownat | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fremovexattr | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fsetxattr | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lchown | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lremovexattr | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lsetxattr | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : removexattr | modérés | pass |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : setxattr | modérés | pass |
| 4.1.3.10 | S'assurer qu'auditd collecte des informations sur l'exportation vers un support (réussie) | modérés | pass |
| 4.1.3.11 | Enregistrer les tentatives de modification des informations d'initialisation de processus et de session | modérés | pass |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : faillog | modérés | pass |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : lastlog | modérés | pass |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : tallylog | modérés | pass |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur - rename | modérés | pass |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par l'utilisateur - renameat | modérés | pass |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par l'utilisateur - unlink | modérés | pass |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur - unlinkat | modérés | pass |
| 4.1.3.14 | Enregistrer les événements qui modifient les contrôles d'accès obligatoires du système | modérés | pass |
| 4.1.3.15 | Enregistrer toutes les tentatives d'exécution de chcon | modérés | pass |
| 4.1.3.16 | Enregistrer toutes les tentatives d'exécution de setfacl | modérés | pass |
| 4.1.3.17 | Enregistrer toutes les tentatives d'exécution de chacl | modérés | pass |
| 4.1.3.18 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées – usermod | modérés | pass |
| 4.1.3.19 | S'assurer qu'auditd collecte des informations sur le chargement du module de noyau : init_module | modérés | pass |
| 4.1.3.19 | Assurez-vous qu'auditd collecte des informations sur le déchargement du module de noyau – delete_module | modérés | pass |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : insmod | modérés | pass |
| 4.1.3.19 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées – modprobe | modérés | pass |
| 4.1.3.19 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : rmmod | modérés | pass |
| 4.1.3.20 | Rendre la configuration auditd immuable | modérés | pass |
| 4.1.4.1 | Les journaux d'audit du système doivent avoir le mode 0640 ou un mode moins permissif | modérés | pass |
| 4.1.4.2 | Les journaux d'audit du système doivent appartenir à l'utilisateur racine | modérés | pass |
| 4.1.4.3 | Les journaux d'audit du système doivent appartenir au groupe racine | modérés | pass |
| 4.1.4.4 | Les journaux d'audit du système doivent avoir le mode 0750 ou un mode moins permissif | modérés | pass |
| 4.1.4.5 | Vérifier les autorisations sur /etc/audit/auditd.conf | modérés | pass |
| 4.1.4.5 | Vérifier les autorisations sur /etc/audit/rules.d/*.rules | modérés | pass |
| 4.1.4.6 | Les fichiers de configuration d'audit doivent appartenir à l'utilisateur racine | modérés | pass |
| 4.1.4.7 | Les fichiers de configuration d'audit doivent appartenir au groupe root | modérés | pass |
| 4.1.4.8 | Vérifier que les outils d'audit ont le mode 0755 ou une valeur inférieure | modérés | pass |
| 4.1.4.9 | Vérifier que les outils d'audit appartiennent à l'utilisateur racine | modérés | pass |
| 4.1.4.10 | Vérifier que les outils d'audit appartiennent au groupe root | modérés | pass |
| 4.2.1.1.1 | Installer le package systemd-journal-remote | modérés | pass |
| 4.2.1.1.4 | Désactiver le socket systemd-journal-remote | modérés | pass |
| 4.2.1.2 | Activer le service systemd-journald | modérés | pass |
| 4.2.1.3 | Assurez-vous que journald est configuré pour compresser les fichiers journaux volumineux | modérés | pass |
| 4.2.1.4 | Assurez-vous que journald est configuré pour écrire les fichiers journaux sur un disque persistant | modérés | pass |
| 4.2.2.1 | Vérifier que rsyslog est installé | modérés | pass |
| 4.2.2.2 | Activer le service rsyslog | modérés | pass |
| 4.2.2.4 | Assurez-vous que les autorisations de fichiers par défaut de rsyslog sont configurées | modérés | pass |
| 4.2.2.7 | Assurez-vous que rsyslog n'accepte pas les messages distants, sauf s'il agit en tant que serveur de journaux | modérés | pass |
| 5.1.1 | Activer le service cron | modérés | pass |
| 5.1.2 | Vérifier le groupe propriétaire de crontab | modérés | pass |
| 5.1.2 | Vérifier le propriétaire sur crontab | modérés | pass |
| 5.1.2 | Vérifier les autorisations sur crontab | modérés | pass |
| 5.1.3 | Vérifier le groupe propriétaire de cron.hourly | modérés | pass |
| 5.1.3 | Vérifier le propriétaire sur cron.hourly | modérés | pass |
| 5.1.3 | Vérifier les autorisations sur cron.hourly | modérés | pass |
| 5.1.4 | Vérifier le groupe propriétaire de cron.daily | modérés | pass |
| 5.1.4 | Vérifier le propriétaire sur cron.daily | modérés | pass |
| 5.1.4 | Vérifier les autorisations sur cron.daily | modérés | pass |
| 5.1.5 | Vérifier le groupe propriétaire de cron.weekly | modérés | pass |
| 5.1.5 | Vérifier le propriétaire sur cron.weekly | modérés | pass |
| 5.1.5 | Vérifier les autorisations sur cron.weekly | modérés | pass |
| 5.1.6 | Vérifier le groupe propriétaire de cron.monthly | modérés | pass |
| 5.1.6 | Vérifier le propriétaire sur cron.monthly | modérés | pass |
| 5.1.6 | Vérifier les autorisations sur cron.monthly | modérés | pass |
| 5.1.7 | Vérifier le groupe propriétaire de cron.d | modérés | pass |
| 5.1.7 | Vérifier le propriétaire sur cron.d | modérés | pass |
| 5.1.7 | Vérifier les autorisations sur cron.d | modérés | pass |
| 5.1.8 | Vérifier que /etc/cron.deny n'existe pas | modérés | pass |
| 5.1.8 | Vérifier le groupe propriétaire du fichier /etc/cron.allow | modérés | pass |
| 5.1.8 | Vérifier les autorisations sur le fichier /etc/cron.allow | modérés | pass |
| 5.1.8 | Vérifier l'utilisateur propriétaire du fichier /etc/cron.allow | modérés | pass |
| 5.1.9 | Vérifiez que /etc/at.deny n'existe pas | modérés | pass |
| 5.1.9 | Vérifier le groupe propriétaire du fichier /etc/at.allow | modérés | pass |
| 5.1.9 | Vérifier les autorisations sur le fichier /etc/at.allow | modérés | pass |
| 5.1.9 | Vérifier l'utilisateur propriétaire du fichier /etc/at.allow | modérés | pass |
| 5.2.1 | Vérifier le groupe propriétaire du fichier de configuration du serveur SSH | modérés | pass |
| 5.2.1 | Vérifier le propriétaire du fichier de configuration du serveur SSH | modérés | pass |
| 5.2.1 | Vérifier les autorisations sur le fichier de configuration du serveur SSH | modérés | pass |
| 5.2.2 | Vérifier les autorisations sur les fichiers de clé privée *_key du serveur SSH | modérés | pass |
| 5.2.3 | Vérifier les autorisations sur les fichiers de clé publique *.pub du serveur SSH | modérés | pass |
| 5.2.5 | Définissez LogLevel sur INFO. | faibles | pass |
| 5.2.6 | Activer le gestionnaire d'accès privilégié | modérés | pass |
| 5.2.7 | Désactiver la connexion SSH en tant qu'utilisateur racine | modérés | pass |
| 5.2.8 | Désactiver l'authentification basée sur l'hôte | modérés | pass |
| 5.2.9 | Désactiver l'accès SSH via des mots de passe vides | high | pass |
| 5.2.10 | Ne pas autoriser les options d'environnement SSH | modérés | pass |
| 5.2.11 | Désactiver la compatibilité SSH pour les fichiers .rhosts | modérés | pass |
| 5.2.12 | Désactiver le transfert X11 | modérés | pass |
| 5.2.13 | Utiliser uniquement des algorithmes de chiffrement sécurisés | modérés | pass |
| 5.2.14 | Utiliser uniquement des MAC forts | modérés | pass |
| 5.2.15 | Utiliser uniquement des algorithmes d'échange de clés forts | modérés | pass |
| 5.2.16 | Désactiver le transfert TCP SSH | modérés | pass |
| 5.2.17 | Activer la bannière d'avertissement SSH | modérés | pass |
| 5.2.18 | Définir la limite de tentatives d'authentification SSH | modérés | pass |
| 5.2.19 | Assurez-vous que le protocole SSH MaxStartups est configuré | modérés | pass |
| 5.2.20 | Définir la limite MaxSessions SSH | modérés | pass |
| 5.2.21 | Assurez-vous que SSH LoginGraceTime est configuré | modérés | pass |
| 5.2.22 | Définir le nombre maximal de messages de maintien de connexion du client SSH | modérés | pass |
| 5.2.22 | Définir l'intervalle de maintien de la connexion du client SSH | modérés | pass |
| 5.3.1 | Installer le package sudo | modérés | pass |
| 5.3.2 | S'assurer que seuls les utilisateurs connectés à un vrai tty peuvent exécuter sudo (sudo use_pty) | modérés | pass |
| 5.3.3 | S'assurer que le fichier journal sudo existe (sudo logfile) | faibles | pass |
| 5.3.5 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo !authenticate) | modérés | pass |
| 5.3.6 | Exiger une nouvelle authentification lors de l'utilisation de la commande sudo | modérés | pass |
| 5.3.7 | Appliquer l'utilisation de pam_wheel avec le paramètre de groupe pour l'authentification su | modérés | pass |
| 5.3.7 | Assurez-vous que le groupe utilisé par le module pam_wheel existe sur le système et qu'il est vide | modérés | pass |
| 5.4.1 | S'assurer que PAM applique les exigences relatives aux mots de passe : invites de nouvelle tentative d'authentification autorisées par session | modérés | pass |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de catégories différentes | modérés | pass |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de chiffres | modérés | pass |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : longueur minimale | modérés | pass |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de caractères minuscules | modérés | pass |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de caractères spéciaux | modérés | pass |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : nombre minimal de caractères majuscules | modérés | pass |
| 5.4.1 | Installer le package pam_pwquality | modérés | pass |
| 5.4.2 | Verrouiller les comptes après des tentatives infructueuses de saisie du mot de passe | modérés | pass |
| 5.4.2 | Définir l'intervalle de comptabilisation des tentatives infructueuses de saisie du mot de passe | modérés | pass |
| 5.4.2 | Définir le délai de verrouillage après des tentatives infructueuses de saisie du mot de passe | modérés | pass |
| 5.4.3 | Limiter la réutilisation des mots de passe | modérés | pass |
| 5.4.4 | Définir l'algorithme de hachage de mot de passe dans /etc/login.defs | modérés | pass |
| 5.5.1.1 | Définir l'âge minimal des mots de passe existants | modérés | pass |
| 5.5.1.1 | Définir l'âge minimal du mot de passe | modérés | pass |
| 5.5.1.2 | Définir l'âge maximal des mots de passe existants | modérés | pass |
| 5.5.1.3 | Définir l'âge d'avertissement du mot de passe | modérés | pass |
| 5.5.1.4 | Définir l'expiration du compte après une période d'inactivité | modérés | pass |
| 5.5.1.5 | Assurez-vous que la date de la dernière modification du mot de passe de tous les utilisateurs est antérieure à la date du jour | modérés | pass |
| 5.5.2 | Vérifier que les comptes système n'exécutent pas de shell lors de la connexion | modérés | pass |
| 5.5.3 | Vérifier que la racine a un GID principal de 0 | high | pass |
| 5.5.4 | Vérifier que l'Umask Bash par défaut est correctement défini | modérés | pass |
| 5.5.4 | S'assurer que l'umask par défaut est correctement défini pour les utilisateurs interactifs | modérés | pass |
| 5.5.4 | S'assurer que l'Umask par défaut est correctement défini dans /etc/profile | modérés | pass |
| 5.5.4 | S'assurer que l'Umask par défaut est correctement défini dans login.defs | modérés | pass |
| 5.5.5 | Définir le délai avant expiration de la session interactive | modérés | pass |
| 6.1.1 | Vérifier le groupe propriétaire du fichier passwd | modérés | pass |
| 6.1.1 | Vérifier les autorisations sur le fichier passwd | modérés | pass |
| 6.1.1 | Vérifier l'utilisateur propriétaire du fichier passwd | modérés | pass |
| 6.1.2 | Vérifier le groupe propriétaire du fichier passwd de sauvegarde | modérés | pass |
| 6.1.2 | Vérifier les autorisations sur le fichier passwd de sauvegarde | modérés | pass |
| 6.1.2 | Vérifier l'utilisateur propriétaire du fichier passwd de sauvegarde | modérés | pass |
| 6.1.3 | Vérifier le groupe propriétaire du fichier de groupe | modérés | pass |
| 6.1.3 | Vérifier les autorisations sur le fichier de groupe | modérés | pass |
| 6.1.3 | Vérifier l'utilisateur propriétaire du fichier de groupe | modérés | pass |
| 6.1.4 | Vérifier le groupe propriétaire du fichier de groupe de sauvegarde | modérés | pass |
| 6.1.4 | Vérifier les autorisations sur le fichier du groupe de sauvegarde | modérés | pass |
| 6.1.4 | Vérifier l'utilisateur propriétaire du fichier de groupe de sauvegarde | modérés | pass |
| 6.1.5 | Vérifier le groupe propriétaire du fichier shadow | modérés | pass |
| 6.1.5 | Vérifier les autorisations sur le fichier shadow | modérés | pass |
| 6.1.5 | Vérifier l'utilisateur propriétaire du fichier shadow | modérés | pass |
| 6.1.6 | Vérifier le groupe propriétaire du fichier shadow de sauvegarde | modérés | pass |
| 6.1.6 | Vérifier les autorisations sur le fichier shadow de sauvegarde | modérés | pass |
| 6.1.6 | Vérifier l'utilisateur propriétaire du fichier shadow de sauvegarde | modérés | pass |
| 6.1.7 | Vérifier le groupe propriétaire du fichier gshadow | modérés | pass |
| 6.1.7 | Vérifier les autorisations sur le fichier gshadow | modérés | pass |
| 6.1.7 | Vérifier l'utilisateur propriétaire du fichier gshadow | modérés | pass |
| 6.1.8 | Vérifier le groupe propriétaire du fichier gshadow de sauvegarde | modérés | pass |
| 6.1.8 | Vérifier les autorisations sur le fichier gshadow de sauvegarde | modérés | pass |
| 6.1.8 | Vérifier l'utilisateur propriétaire du fichier gshadow de sauvegarde | modérés | pass |
| 6.2.1 | Vérifier que tous les hachages de mots de passe de compte sont masqués | modérés | pass |
| 6.2.2 | Assurez-vous qu'il n'existe aucun compte avec un mot de passe vide ou nul | high | pass |
| 6.2.3 | Tous les GID référencés dans /etc/passwd doivent être définis dans /etc/group | faibles | pass |
| 6.2.4 | S'assurer que le groupe fantôme est vide | modérés | pass |
| 6.2.5 | S'assurer que tous les comptes du système disposent d'ID utilisateur uniques | modérés | pass |
| 6.2.6 | S'assurer que tous les groupes du système ont un ID de groupe unique | modérés | pass |
| 6.2.7 | S'assurer que tous les comptes du système ont des noms uniques | modérés | pass |
| 6.2.8 | S'assurer que tous les groupes du système ont des noms uniques | modérés | pass |
| 6.2.9 | S'assurer que le chemin d'accès de la racine n'inclut pas de chemins relatifs ni de répertoires nuls | inconnu | pass |
| 6.2.9 | Assurez-vous que le chemin d'accès de la racine n'inclut pas de répertoires accessibles en écriture pour le groupe ou en écriture à l'échelle mondiale | modérés | pass |
| 6.2.10 | Vérifier que seul l'utilisateur racine possède l'UID 0 | high | pass |
| 6.2.11 | Tous les répertoires d'accueil des utilisateurs interactifs doivent exister | modérés | pass |
| 6.2.12 | Tous les répertoires d'accueil des utilisateurs interactifs doivent appartenir au groupe principal | modérés | pass |
| 6.2.12 | Tous les répertoires d'accueil des utilisateurs interactifs doivent appartenir à l'utilisateur principal | modérés | pass |
| 6.2.13 | Tous les répertoires d'accueil des utilisateurs interactifs doivent avoir le mode 0750 ou un mode moins permissif | modérés | pass |
| 6.2.14 | Vérifier qu'aucun fichier netrc n'existe | modérés | pass |
| 6.2.15 | Vérifier qu'aucun fichier .forward n'existe | modérés | pass |
| 6.2.16 | Supprimer les fichiers d'approbation Rsh | high | pass |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur doivent appartenir au groupe principal | modérés | pass |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur doivent appartenir à l'utilisateur principal | modérés | pass |
| 6.2.17 | Les fichiers d'initialisation utilisateur ne doivent pas exécuter de programmes accessibles en écriture à l'échelle mondiale | modérés | pass |
Recommandations non applicables
Le tableau suivant répertorie les recommandations qui ne s'appliquent pas à Google Distributed Cloud.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.2.2 | Ajouter l'option nodev à /tmp | modérés | notapplicable |
| 1.1.2.3 | Ajouter l'option noexec à /tmp | modérés | notapplicable |
| 1.1.2.4 | Ajouter l'option nosuid à /tmp | modérés | notapplicable |
| 1.1.3.2 | Ajouter l'option nodev à /var | modérés | notapplicable |
| 1.1.3.3 | Ajouter l'option nosuid à /var | modérés | notapplicable |
| 1.1.4.2 | Ajouter l'option noexec à /var/tmp | modérés | notapplicable |
| 1.1.4.3 | Ajouter l'option nosuid à /var/tmp | modérés | notapplicable |
| 1.1.4.4 | Ajouter l'option nodev à /var/tmp | modérés | notapplicable |
| 1.1.5.2 | Ajouter l'option nodev à /var/log | modérés | notapplicable |
| 1.1.5.3 | Ajouter l'option noexec à /var/log | modérés | notapplicable |
| 1.1.5.4 | Ajouter l'option nosuid à /var/log | modérés | notapplicable |
| 1.1.6.2 | Ajouter l'option noexec à /var/log/audit | modérés | notapplicable |
| 1.1.6.3 | Ajouter l'option nodev à /var/log/audit | modérés | notapplicable |
| 1.1.6.4 | Ajouter l'option nosuid à /var/log/audit | modérés | notapplicable |
| 1.1.7.2 | Ajouter l'option nodev à /home | inconnu | notapplicable |
| 1.1.7.3 | Ajouter l'option nosuid à /home | modérés | notapplicable |
| 1.4.1 | Définir le mot de passe du chargeur d'amorçage UEFI | high | notapplicable |
| 1.8.1 | Supprimer le groupe de packages GDM | modérés | notapplicable |
| 1.8.4 | Activer le verrouillage de l'économiseur d'écran GNOME3 après une période d'inactivité | modérés | notapplicable |
| 1.8.5 | Définir le délai de verrouillage de l'économiseur d'écran GNOME3 après la période d'activation | modérés | notapplicable |
| 1.8.6 | Désactiver l'ouverture automatique de GNOME3 | modérés | notapplicable |
| 1.8.6 | Désactiver l'installation automatique de GNOME3 | modérés | notapplicable |
| 1.8.8 | Désactiver le montage automatique GNOME3 en cours d'exécution | faibles | notapplicable |
| 1.8.10 | Désactiver XDMCP dans GDM | high | notapplicable |
| 1.10 | Configurer le profil utilisateur GNOME3 DConf | high | notapplicable |
| 2.1.4.1 | Configurer des restrictions de serveur pour ntpd | modérés | notapplicable |
| 2.1.4.3 | Configurer ntpd pour qu'il s'exécute en tant qu'utilisateur ntp | modérés | notapplicable |
| 2.1.4.4 | Activer le daemon NTP | high | notapplicable |
| 2.2.15 | Désactiver l'écoute réseau Postfix | modérés | notapplicable |
| 3.5.1.3 | Vérifier que ufw est activé | modérés | notapplicable |
| 3.5.1.4 | Définir le trafic de rebouclage UFW | modérés | notapplicable |
| 3.5.1.6 | Assurez-vous qu'il existe des règles de pare-feu ufw pour tous les ports ouverts | modérés | notapplicable |
| 3.5.1.7 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour ufw | modérés | notapplicable |
| 3.5.3.2.1 | Définir la règle iptables par défaut pour les paquets entrants | modérés | notapplicable |
| 3.5.3.2.2 | Définir la configuration pour le trafic de rebouclage | modérés | notapplicable |
| 3.5.3.2.4 | Assurez-vous qu'il existe des règles de pare-feu iptables pour tous les ports ouverts | modérés | notapplicable |
| 3.5.3.3.1 | Définir la règle ip6tables par défaut pour les paquets entrants | modérés | notapplicable |
| 3.5.3.3.4 | Assurez-vous qu'il existe des règles de pare-feu ip6tables pour tous les ports ouverts | modérés | notapplicable |
Recommandations exclues de l'évaluation
L'évaluation utilise le profil cis_level2_server_customized, qui est adapté à Google Distributed Cloud. Le tableau suivant liste les recommandations du profil CIS de niveau 2 - Serveur que le profil personnalisé exclut de l'évaluation. Elles n'apparaissent donc pas dans les tableaux précédents.
Certaines de ces recommandations sont des alternatives aux configurations utilisées par Google Distributed Cloud, telles que chrony au lieu de systemd-timesyncd, ou des paramètres GNOME qui ne s'appliquent pas aux serveurs sans bureau.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.3.1 | Créer et tester une base de données AIDE | modérés | non évalué |
| 1.3.1 | Installer AIDE | modérés | non évalué |
| 1.3.2 | Configurer l'exécution périodique d'AIDE | modérés | non évalué |
| 1.4.2 | Vérifier la propriété de l'utilisateur de /boot/grub/grub.cfg | modérés | non évalué |
| 1.6.1.3 | Tous les profils AppArmor sont en mode d'application ou de réclamation | modérés | non évalué |
| 1.8.2 | Activer la bannière d'avertissement de connexion GNOME3 | modérés | non évalué |
| 1.8.2 | Définir le texte de la bannière d'avertissement de connexion GNOME3 | modérés | non évalué |
| 1.8.3 | Désactiver la liste des utilisateurs de connexion GNOME3 | modérés | non évalué |
| 2.1.2.2 | Assurez-vous que chronyd s'exécute sous le compte utilisateur chrony | modérés | non évalué |
| 2.1.2.3 | Le service Chronyd est activé | modérés | non évalué |
| 3.5.1.2 | Supprimer le package iptables-persistent | modérés | non évalué |
| 3.5.2.6 | Définir la configuration nftables pour le trafic de rebouclage | modérés | non évalué |
| 3.5.3.3.2 | Définir la configuration pour le trafic de bouclage IPv6 | modérés | non évalué |
| 4.1.1.3 | Activer l'audit pour les processus qui démarrent avant le daemon d'audit | faibles | non évalué |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées – at | modérés | non évalué |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : chage | modérés | non évalué |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : chfn | modérés | non évalué |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : chsh | modérés | non évalué |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : crontab | modérés | non évalué |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : gpasswd | modérés | non évalué |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : mount | modérés | non évalué |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : newgidmap | modérés | non évalué |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : newgrp | modérés | non évalué |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : newuidmap | modérés | non évalué |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : postdrop | modérés | non évalué |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : postqueue | modérés | non évalué |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : ssh-keysign | modérés | non évalué |
| 4.1.3.6 | Enregistrer toutes les tentatives d'exécution de ssh-agent | modérés | non évalué |
| 4.1.4.11 | Configurer AIDE pour vérifier les outils d'audit | modérés | non évalué |
| 4.2.2.6 | S'assurer que les journaux sont envoyés à l'hôte distant | modérés | non évalué |
| 6.1.9 | S'assurer qu'il n'existe aucun fichier accessible en écriture à l'échelle mondiale | modérés | non évalué |
| 6.1.11 | S'assurer que tous les fichiers appartiennent à un groupe | modérés | non évalué |
Configurer le job Cron AIDE
AIDE est un outil de vérification de l'intégrité des fichiers qui garantit la conformité avec les recommandations de vérification de l'intégrité du système de fichiers du serveur CIS de niveau 1 (section 6.3 dans Ubuntu 24.04 et section 1.3 dans Ubuntu 22.04). Dans Google Distributed Cloud, le processus AIDE peut entraîner une utilisation élevée des ressources.
Le processus AIDE sur les nœuds est désactivé par défaut pour éviter les problèmes de ressources. La désactivation de ce processus affecte la conformité avec la recommandation de vérifier régulièrement l'intégrité du système de fichiers (6.3.2 dans Ubuntu 24.04 et 1.3.2 dans Ubuntu 22.04).
Si vous souhaitez activer l'exécution du job Cron AIDE, procédez comme suit pour réactiver AIDE :
Créer un DaemonSet.
Voici un fichier manifeste de DaemonSet.
apiVersion: apps/v1 kind: DaemonSet metadata: name: enable-aide-pool1 spec: selector: matchLabels: app: enable-aide-pool1 template: metadata: labels: app: enable-aide-pool1 spec: hostIPC: true hostPID: true nodeSelector: cloud.google.com/gke-nodepool: pool-1 containers: - name: update-audit-rule image: ubuntu command: ["chroot", "/host", "bash", "-c"] args: - | set -x while true; do # change daily cronjob schedule minute=30;hour=5 sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab # enable aide chmod 755 /etc/cron.daily/aide sleep 3600 done volumeMounts: - name: host mountPath: /host securityContext: privileged: true volumes: - name: host hostPath: path: /Dans le fichier manifeste précédent :
Le job Cron AIDE ne s'exécute que sur le pool de nœuds
pool-1, comme spécifié par le nodeSelectorcloud.google.com/gke-nodepool: pool-1. Vous pouvez configurer le processus AIDE pour qu'il s'exécute sur autant de pools de nœuds que vous le souhaitez en spécifiant les pools dans le champnodeSelector. Pour exécuter la même planification de jobs Cron sur différents pools de nœuds, supprimez le champnodeSelector. Toutefois, pour éviter toute congestion des ressources hôtes, nous vous recommandons de conserver des planifications distinctes.Le job Cron est planifié pour s'exécuter tous les jours à 5h30 comme spécifié par la configuration
minute=30;hour=5. Vous pouvez configurer différentes planifications pour le job Cron AIDE selon vos besoins.
Copiez le fichier manifeste dans un fichier nommé
enable-aide.yamlet créez le DaemonSet :kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
où USER_CLUSTER_KUBECONFIG représente le chemin d'accès au fichier kubeconfig de votre cluster d'utilisateur.
Utiliser l'évaluation SCAP (Security Content Automation Protocol)
Nous vous recommandons d'analyser vous-même votre installation pour évaluer sa conformité de niveau 2 avec le benchmark CIS Ubuntu Linux. Il existe différents outils pour analyser vos clusters et votre poste de travail administrateur. Pour installer et exécuter l'ensemble d'outils Open Source OpenSCAP afin d'effectuer une évaluation de sécurité de niveau 2, procédez comme suit :
Copiez le script suivant dans un fichier nommé
cis-benchmark.sh. Ce script est destiné aux versions 1.35 et ultérieures, qui utilisent Ubuntu 24.04. Pour la version 1.34, qui utilise Ubuntu 22.04, remplacezopenscap-utils openscap-commonparlibopenscap8etssg-ubuntu2404-ds.xmlparssg-ubuntu2204-ds-1.2.xml:#!/bin/bash set -x REPORTS_DIR="$1" mkdir -p "${REPORTS_DIR}" echo "Start CIS L2 benchmark evaluation..." sudo apt update sudo apt install -y openscap-utils openscap-common sudo oscap xccdf eval \ --profile cis_level2_server_customized \ --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \ --results "${REPORTS_DIR}"/cis-results.xml \ --report "${REPORTS_DIR}"/cis-report.html \ /etc/cloud/usg/ssg-ubuntu2404-ds.xml > "${REPORTS_DIR}"/cis-output.log 2>&1 chmod -R 755 "${REPORTS_DIR}/.." echo "Done CIS L2 benchmark evaluation"Rendez le script exécutable :
chmod +x cis-benchmark.shExécutez le script :
./cis-benchmark.sh REPORTS_DIRRemplacez
REPORTS_DIRpar le chemin d'accès d'un répertoire existant dans lequel vous souhaitez enregistrer le rapport d'évaluation généré.Une fois l'exécution du script terminée, le répertoire
REPORTS_DIRcontient le fichiercis-report.htmlgénéré.