‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

CIS Ubuntu Benchmark

קובצי האימג' של Ubuntu שבהם משתמשים ב-Google Distributed Cloud מוקשחים כדי לעמוד בדרישות של פרופיל Level 2 - Server של Center for Internet Security (CIS) Ubuntu Benchmark. ההקשחה הזו עוזרת לשמור על מצב אבטחה חזק של הצמתים באשכול ושל תחנת העבודה של האדמין. אתם יכולים לבדוק את סטטוס התאימות של כל גרסה, כולל המלצות שנכשלו והמלצות שהוחרגו. אתם יכולים גם להפעיל מחדש את בדיקת תקינות הקבצים של AIDE ולהריץ הערכה משלכם של Security Content Automation Protocol‏ (SCAP).

גישה לנקודת ההשוואה

ה-CIS Ubuntu Benchmark זמין באתר של CIS.

פרופיל להעלאת הגדרות

במסמך CIS Ubuntu Benchmark אפשר לקרוא על פרופילי הגדרות אישיות. תמונות Ubuntu שמשמשות את Google Distributed Cloud מוקשחות כדי לעמוד בדרישות של Level 2 - Server profile.

הערכה ב-Google Distributed Cloud

אנחנו משתמשים בערכים הבאים כדי לציין את הסטטוס של ההמלצות ל-Ubuntu ב-Google Distributed Cloud.

סטטוס	תיאור
לקבוע ערך (pass)	עומד בהמלצה של נקודת השוואה.
נכשל	חריגה מהמלצה להשוואה לשוק.
notapplicable	לא רלוונטי לבדיקה במערכת שנבדקת.

הסטטוס של Google Distributed Cloud

קובצי האימג' של Ubuntu שמשמשים ב-Google Distributed Cloud מוקשחים כדי לעמוד בדרישות של CIS Level 2 – Server profile. ההערכה מתבצעת באמצעות הפרופיל cis_level2_server_customized, שמתאים את הפרופיל CIS Level 2 - Server ל-Google Distributed Cloud. בטבלאות הבאות מפורטות ההמלצות שנבדקו בכל גרסה, ש-Google Distributed Cloud לא עומד בהן, וגם המכונות הווירטואליות שכל ממצא חל עליהן, ההמלצות שעוברות או לא רלוונטיות וההמלצות שהפרופיל המותאם אישית לא כולל בבדיקה.

הסורק בודק את ההמלצות לחומת האש של iptables רק אם החבילה nftables והחבילה ufw לא מותקנות. בגלל שהתמונות כוללות את אחת מהחבילות האלה, ההמלצות של iptables מדווחות כלא רלוונטיות, וזה לא משקף את מדיניות חומת האש של הצמתים.

החל מגרסה 1.35, ב-Google Distributed Cloud משתמשים בתמונות של Ubuntu 24.04 LTS, שנבדקות בהשוואה ל-CIS Ubuntu Linux 24.04 LTS Benchmark. מספרי ההמלצות וקבוצת ההמלצות שונים מההמלצות של CIS Ubuntu Linux 22.04 LTS Benchmark שמשמשות לגרסה 1.34.

‫1.36 ו-1.35

גרסאות

הקטע הזה מתייחס לגרסאות הבאות:

גרסת Google Distributed Cloud	גרסת Ubuntu	גרסת CIS Ubuntu Benchmark	רמת CIS
1.36	24.04 LTS	v1.0.0	שרת ברמה 2
1.35	24.04 LTS	v1.0.0	שרת ברמה 2

המלצות שנכשלו

בטבלה הבאה מפורטות ההמלצות של נקודת ההשוואה ש-Google Distributed Cloud לא עומד בהן, והמכונות הווירטואליות שכל ממצא רלוונטי להן. המכונות הווירטואליות הן הצמתים של מישור הבקרה של האשכול, הצמתים של ה-worker ותחנת העבודה של האדמין.

#	המלצה	חוּמרה	סטטוס	חל על
1.1.2.1.1	צריך לוודא ש-‎/tmp נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.1.2.3.1	צריך לוודא ש-‎/home נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.1.2.4.1	צריך לוודא ש-‎/var נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.1.2.5.1	מוודאים ש-‎/var/tmp נמצא במחיצה נפרדת	בינוני	נכשל	הכול
1.1.2.6.1	מוודאים ש-‎/var/log נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.1.2.7.1	צריך לוודא ש-‎/var/log/audit נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.4.1	הגדרת סיסמה למנהל האתחול ב-grub2	גבוה	נכשל	הכול
2.3.2.1	הגדרת שרתי Systemd Timesyncd	בינוני	נכשל	הכול
3.3.7	הפעלת פרמטר ליבה לשימוש בסינון נתיב הפוך בכל ממשקי IPv4	בינוני	נכשל	צמתים של מישור הבקרה, צמתים עובדים
5.1.4	הגבלת הגישה של המשתמשים ל-SSH	לא ידוע	נכשל	הכול
5.2.4	Ensure Users Re-Authenticate for Privilege Escalation - sudo	בינוני	נכשל	הכול
5.4.1.1	הגדרת משך הזמן המקסימלי לשימוש בסיסמה	בינוני	נכשל	הכול
6.1.3.3	מוודאים ש-journald מוגדר לשלוח יומנים אל rsyslog	בינוני	נכשל	צמתים של מישור הבקרה, צמתים עובדים
6.1.4.1	אימות הבעלות של הקבוצה על קובצי היומן	בינוני	נכשל	צמתים של מישור הבקרה
6.1.4.1	אימות הבעלות על קובצי היומן	בינוני	נכשל	צמתים של מישור הבקרה
6.1.4.1	אימות ההרשאות של קובצי היומן	בינוני	נכשל	צמתים של מישור הבקרה, צמתים עובדים
6.2.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות	בינוני	נכשל	הכול
7.1.12	מוודאים שכל הקבצים נמצאים בבעלות של משתמש	בינוני	נכשל	צמתים של מישור הבקרה

המלצות שעברו את הבדיקה

בטבלה הבאה מפורטות ההמלצות של נקודות ההשוואה ש-Google Distributed Cloud עומד בהן.

#	המלצה	חוּמרה	סטטוס
1.1.1.1	השבתת הטעינה של cramfs	נמוך	לקבוע ערך (pass)
1.1.1.2	השבתת הטעינה של freevxfs	נמוך	לקבוע ערך (pass)
1.1.1.3	השבתת הטעינה של hfs	נמוך	לקבוע ערך (pass)
1.1.1.4	השבתת הטעינה של hfsplus	נמוך	לקבוע ערך (pass)
1.1.1.5	השבתת ההרכבה של jffs2	נמוך	לקבוע ערך (pass)
1.1.1.6	מוודאים שמודול הליבה (kernel) של overlayfs לא זמין	נמוך	לקבוע ערך (pass)
1.1.1.8	השבתת הטעינה של udf	נמוך	לקבוע ערך (pass)
1.1.1.9	השבתת הטעינה של מנהל ההתקן של אחסון USB באמצעות Modprobe	בינוני	לקבוע ערך (pass)
1.1.2.2.1	מוודאים ש-‎/dev/shm מוגדר	נמוך	לקבוע ערך (pass)
1.1.2.2.2	הוספת האפשרות nodev ל-/dev/shm	בינוני	לקבוע ערך (pass)
1.1.2.2.3	הוספת האפשרות nosuid ל-‎/dev/shm	בינוני	לקבוע ערך (pass)
1.1.2.2.4	הוספת האפשרות noexec ל-‎/dev/shm	בינוני	לקבוע ערך (pass)
1.3.1.1	מוודאים ש-AppArmor Utils מותקן	בינוני	לקבוע ערך (pass)
1.3.1.1	מוודאים ש-AppArmor מותקן	בינוני	לקבוע ערך (pass)
1.3.1.2	מוודאים ש-AppArmor מופעל בהגדרות של מנהל האתחול (bootloader)	בינוני	לקבוע ערך (pass)
1.4.2	אימות ההרשאות של ‎/boot/grub/grub.cfg	בינוני	לקבוע ערך (pass)
1.5.1	הפעלת פריסה אקראית של מרחב הכתובות הווירטואליות	בינוני	לקבוע ערך (pass)
1.5.2	הגבלת השימוש ב-ptrace לתהליכים צאצאים	בינוני	לקבוע ערך (pass)
1.5.3	השבתת תמונות מצב בזמן שגיאה לכל המשתמשים	בינוני	לקבוע ערך (pass)
1.5.3	השבתת תמונות מצב בזמן שגיאה בתוכניות SUID	בינוני	לקבוע ערך (pass)
1.5.4	אסור להתקין את החבילה "prelink"	בינוני	לקבוע ערך (pass)
1.5.5	השבתת שירות Apport	לא ידוע	לקבוע ערך (pass)
1.6.1	צריך לוודא שההודעה היומית מוגדרת כמו שצריך	בינוני	לקבוע ערך (pass)
1.6.2	צריך לוודא שבאנר האזהרה של ההתחברות המקומית מוגדר כמו שצריך	בינוני	לקבוע ערך (pass)
1.6.3	צריך לוודא שבאנר האזהרה של ההתחברות מרחוק מוגדר כמו שצריך	בינוני	לקבוע ערך (pass)
1.6.4	אימות הבעלות של הקבוצה על באנר "הודעת היום"	בינוני	לקבוע ערך (pass)
1.6.4	אימות הבעלות על באנר "הודעת היום"	בינוני	לקבוע ערך (pass)
1.6.4	אימות ההרשאות בבאנר "הודעת היום"	בינוני	לקבוע ערך (pass)
1.6.5	אימות הבעלות של הקבוצה על באנר ההתחברות למערכת	בינוני	לקבוע ערך (pass)
1.6.5	אימות הבעלות על באנר ההתחברות למערכת	בינוני	לקבוע ערך (pass)
1.6.5	אימות ההרשאות בבאנר ההתחברות למערכת	בינוני	לקבוע ערך (pass)
1.6.6	אימות הבעלות של הקבוצה על באנר ההתחברות למערכת לחיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.6.6	אימות הבעלות על באנר ההתחברות למערכת לחיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.6.6	בדיקת ההרשאות ב-System Login Banner for Remote Connections	בינוני	לקבוע ערך (pass)
2.1.1	הסרת החבילה autofs	נמוך	לקבוע ערך (pass)
2.1.2	הסרת חבילת השרת של avahi	בינוני	לקבוע ערך (pass)
2.1.3	השבתת שירות DHCP	בינוני	לקבוע ערך (pass)
2.1.3	השבתת שירות DHCPD6	בינוני	לקבוע ערך (pass)
2.1.3	הסרת חבילת שרת DHCP	בינוני	לקבוע ערך (pass)
2.1.4	השבתת השירות שצוין	בינוני	לקבוע ערך (pass)
2.1.4	הסרת חבילת הקישור	נמוך	לקבוע ערך (pass)
2.1.5	השבתת השירות dnsmasq	בינוני	לקבוע ערך (pass)
2.1.5	הסרת החבילה dnsmasq	נמוך	לקבוע ערך (pass)
2.1.6	השבתת השירות vsftpd	בינוני	לקבוע ערך (pass)
2.1.6	הסרת החבילה vsftpd	גבוה	לקבוע ערך (pass)
2.1.7	השבתת שרת LDAP‏ (slapd)	בינוני	לקבוע ערך (pass)
2.1.7	הסרת ההתקנה של חבילת openldap-servers	נמוך	לקבוע ערך (pass)
2.1.8	השבתת שירות Dovecot	לא ידוע	לקבוע ערך (pass)
2.1.8	הסרת החבילה של dovecot	לא ידוע	לקבוע ערך (pass)
2.1.9	השבתה של מערכת קובצי רשת (NFS)	לא ידוע	לקבוע ערך (pass)
2.1.9	הסרת החבילה nfs-kernel-server	נמוך	לקבוע ערך (pass)
2.1.10	השבתת השירות ypserv	בינוני	לקבוע ערך (pass)
2.1.10	הסרת החבילה ypserv	גבוה	לקבוע ערך (pass)
2.1.11	השבתת שירות CUPS	לא ידוע	לקבוע ערך (pass)
2.1.11	הסרת חבילת CUPS	לא ידוע	לקבוע ערך (pass)
2.1.12	השבתת השירות rpcbind	נמוך	לקבוע ערך (pass)
2.1.13	צריך לוודא ששירות rsyncd מושבת	בינוני	לקבוע ערך (pass)
2.1.13	הסרת החבילה rsync	בינוני	לקבוע ערך (pass)
2.1.14	השבתת Samba	נמוך	לקבוע ערך (pass)
2.1.14	הסרת חבילת Samba	לא ידוע	לקבוע ערך (pass)
2.1.15	הסרת החבילה net-snmp	לא ידוע	לקבוע ערך (pass)
2.1.16	השבתת השירות tftpd-hpa	גבוה	לקבוע ערך (pass)
2.1.16	הסרת החבילה tftpd-hpa	גבוה	לקבוע ערך (pass)
2.1.17	הסרת חבילת Squid	לא ידוע	לקבוע ערך (pass)
2.1.18	השבתת השירות apache2	לא ידוע	לקבוע ערך (pass)
2.1.18	השבתת שירות nginx	לא ידוע	לקבוע ערך (pass)
2.1.18	הסרת החבילה apache2	לא ידוע	לקבוע ערך (pass)
2.1.18	הסרת החבילה של nginx	לא ידוע	לקבוע ערך (pass)
2.1.19	השבתת שירות xinetd	בינוני	לקבוע ערך (pass)
2.1.19	הסרת החבילה xinetd	נמוך	לקבוע ערך (pass)
2.1.20	הסרת קבוצת החבילות של X Windows	בינוני	לקבוע ערך (pass)
2.1.21	צריך לוודא שסוכן העברת הדואר (MTA) לא מאזין לכתובת שאינה כתובת לולאה חוזרת (loopback)	בינוני	לקבוע ערך (pass)
2.2.1	הסרת החבילה של nis	נמוך	לקבוע ערך (pass)
2.2.2	הסרת החבילה rsh	לא ידוע	לקבוע ערך (pass)
2.2.3	הסרת חבילת Talk	בינוני	לקבוע ערך (pass)
2.2.4	הסרת לקוחות telnet (חבילת inetutils-telnet)	נמוך	לקבוע ערך (pass)
2.2.4	הסרת לקוחות telnet (חבילת telnet)	נמוך	לקבוע ערך (pass)
2.2.5	מוודאים שלקוח LDAP לא מותקן	נמוך	לקבוע ערך (pass)
2.2.6	הסרת חבילת FTP	נמוך	לקבוע ערך (pass)
2.2.6	הסרת החבילה tnftp	נמוך	לקבוע ערך (pass)
2.3.1.1	הפעלת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.3.1.1	מוודאים שמשתמשים בשירות סנכרון זמן אחד	בינוני	לקבוע ערך (pass)
2.3.1.1	התקנת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.4.1.1	הפעלת שירות cron	בינוני	לקבוע ערך (pass)
2.4.1.1	התקנת שירות cron	בינוני	לקבוע ערך (pass)
2.4.1.2	מוודאים שהקובץ ‎/etc/cron.allow קיים	בינוני	לקבוע ערך (pass)
2.4.1.2	אימות הקבוצה שהיא הבעלים של Crontab	בינוני	לקבוע ערך (pass)
2.4.1.2	אימות הבעלים ב-crontab	בינוני	לקבוע ערך (pass)
2.4.1.2	אימות ההרשאות ב-crontab	בינוני	לקבוע ערך (pass)
2.4.1.3	אימות הקבוצה שהיא הבעלים של cron.hourly	בינוני	לקבוע ערך (pass)
2.4.1.3	אימות הבעלים ב-cron.hourly	בינוני	לקבוע ערך (pass)
2.4.1.3	אימות ההרשאות ב-cron.hourly	בינוני	לקבוע ערך (pass)
2.4.1.4	אימות הקבוצה שבבעלותה cron.daily	בינוני	לקבוע ערך (pass)
2.4.1.4	אימות הבעלים ב-cron.daily	בינוני	לקבוע ערך (pass)
2.4.1.4	אימות ההרשאות ב-cron.daily	בינוני	לקבוע ערך (pass)
2.4.1.5	אימות הקבוצה שבבעלותה cron.weekly	בינוני	לקבוע ערך (pass)
2.4.1.5	אימות הבעלים ב-cron.weekly	בינוני	לקבוע ערך (pass)
2.4.1.5	אימות ההרשאות ב-cron.weekly	בינוני	לקבוע ערך (pass)
2.4.1.6	אימות הקבוצה שבבעלותה cron.monthly	בינוני	לקבוע ערך (pass)
2.4.1.6	אימות הבעלים ב-cron.monthly	בינוני	לקבוע ערך (pass)
2.4.1.6	אימות ההרשאות ב-cron.monthly	בינוני	לקבוע ערך (pass)
2.4.1.7	אימות הקבוצה שהיא הבעלים של cron.d	בינוני	לקבוע ערך (pass)
2.4.1.7	אימות הבעלים ב-cron.d	בינוני	לקבוע ערך (pass)
2.4.1.7	אימות ההרשאות ב-cron.d	בינוני	לקבוע ערך (pass)
2.4.1.8	מוודאים שהקובץ ‎/etc/cron.deny לא קיים	בינוני	לקבוע ערך (pass)
2.4.1.8	אימות הקבוצה שהקובץ ‎/etc/cron.allow בבעלותה	בינוני	לקבוע ערך (pass)
2.4.1.8	אימות ההרשאות בקובץ ‎/etc/cron.allow	בינוני	לקבוע ערך (pass)
2.4.1.8	אימות המשתמש שהוא הבעלים של הקובץ ‎/etc/cron.allow	בינוני	לקבוע ערך (pass)
2.4.2.1	צריך לוודא ש-‎/etc/at.allow קיים	בינוני	לקבוע ערך (pass)
2.4.2.1	אימות הקבוצה שהקובץ ‎/etc/at.allow בבעלותה	בינוני	לקבוע ערך (pass)
2.4.2.1	אימות הקבוצה שהקובץ ‎/etc/at.deny בבעלותה	בינוני	לקבוע ערך (pass)
2.4.2.1	אימות ההרשאות בקובץ ‎/etc/at.allow	בינוני	לקבוע ערך (pass)
2.4.2.1	אימות ההרשאות בקובץ ‎/etc/at.deny	בינוני	לקבוע ערך (pass)
2.4.2.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/etc/at.allow	בינוני	לקבוע ערך (pass)
2.4.2.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/etc/at.deny	בינוני	לקבוע ערך (pass)
3.1.2	השבתת ממשקי הרשת האלחוטית	בינוני	לקבוע ערך (pass)
3.1.3	השבתת שירות Bluetooth	בינוני	לקבוע ערך (pass)
3.2.1	השבתת התמיכה ב-DCCP	בינוני	לקבוע ערך (pass)
3.2.2	השבתת התמיכה ב-TIPC	נמוך	לקבוע ערך (pass)
3.2.3	השבתת התמיכה ב-RDS	נמוך	לקבוע ערך (pass)
3.2.4	השבתת התמיכה ב-SCTP	בינוני	לקבוע ערך (pass)
3.3.2	השבתת הפרמטר של הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.2	השבתת הפרמטר של הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.3	הפעלת פרמטר הליבה להתעלמות מתגובות שגויות לשגיאות ICMP בממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.4	הפעלת פרמטר ליבה להתעלמות מבקשות הד של שידור ICMP בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.5	השבתת קבלת הפניות ICMP לכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.5	השבתת קבלת הפניות מחדש של ICMP לכל ממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.5	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.5	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.6	הגדרת פרמטר ליבה לקבלת הפניות מאובטחות כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.6	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות מאובטחות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.7	הפעלת פרמטר הליבה לשימוש בסינון נתיב הפוך בכל ממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.8	השבתת פרמטר הליבה לקבלת חבילות נתונים עם ניתוב מקור בממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.8	השבתת פרמטר הליבה לקבלת חבילות נתונים עם ניתוב מקור בממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.8	השבתת הפרמטר של הליבה לקבלת חבילות נתונים עם ניתוב מקור בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.8	השבתת פרמטר הליבה לקבלת חבילות נתונים עם ניתוב מקור בכל ממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.9	הפעלת פרמטר הליבה לרישום חבילות Martian ביומן בכל ממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.9	הפעלת פרמטר הליבה לרישום חבילות Martian ביומן בכל ממשקי IPv4 כברירת מחדל	לא ידוע	לקבוע ערך (pass)
3.3.10	הפעלת פרמטר הליבה לשימוש ב-TCP Syncookies בממשקי רשת	בינוני	לקבוע ערך (pass)
3.3.11	הגדרת קבלת פרסומות של נתבים בכל ממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.11	השבתת קבלת פרסומות של נתבים בכל ממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
4.1.1	מוודאים שרק שירות אחד של חומת אש פעיל	בינוני	לקבוע ערך (pass)
4.3.2, 4.4.1.3	הסרת חבילת ufw	בינוני	לקבוע ערך (pass)
4.4.1.1	התקנת חבילת iptables	בינוני	לקבוע ערך (pass)
4.4.1.1	התקנת החבילה iptables-persistent	בינוני	לקבוע ערך (pass)
4.4.1.2	אימות ששירות nftables מושבת	בינוני	לקבוע ערך (pass)
5.1.1	אימות הקבוצה שבבעלותה קובצי התצורה של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.1.1	אימות הקבוצה שהיא הבעלים של קובץ התצורה של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.1.1	אימות הבעלים בקובצי התצורה של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.1.1	אימות הבעלים בקובץ התצורה של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.1.1	אימות ההרשאות בקובץ התצורה של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.1.1	אימות ההרשאות בקובץ התצורה של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.1.2	אימות ההרשאות בקובצי המפתחות הפרטיים ‎ *_key של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.1.3	אימות ההרשאות בקובצי מפתח ציבורי ‎ *.pub של שרת SSH	בינוני	לקבוע ערך (pass)
5.1.5	הפעלת באנר אזהרה של SSH	בינוני	לקבוע ערך (pass)
5.1.6	שימוש בצפנים חזקים בלבד	בינוני	לקבוע ערך (pass)
5.1.7	הגדרת מספר הניסיונות המקסימלי לשליחת הודעות ClientAlive של לקוח SSH	בינוני	לקבוע ערך (pass)
5.1.7	הגדרת מרווח הזמן לשמירת החיבור של לקוח SSH	בינוני	לקבוע ערך (pass)
5.1.8	השבתת העברת SSH	בינוני	לקבוע ערך (pass)
5.1.9	השבתת אימות GSSAPI	בינוני	לקבוע ערך (pass)
5.1.10	השבתת אימות מבוסס-מארח	בינוני	לקבוע ערך (pass)
5.1.11	השבתת התמיכה ב-SSH לקובצי ‎ .rhosts	בינוני	לקבוע ערך (pass)
5.1.12	שימוש רק באלגוריתמים חזקים להחלפת מפתחות	בינוני	לקבוע ערך (pass)
5.1.13	מוודאים שהוגדר SSH LoginGraceTime	בינוני	לקבוע ערך (pass)
5.1.14	מגדירים את LogLevel ל-INFO	נמוך	לקבוע ערך (pass)
5.1.15	שימוש רק ב-MAC חזקים	בינוני	לקבוע ערך (pass)
5.1.16	הגדרת מגבלה על מספר ניסיונות האימות ב-SSH	בינוני	לקבוע ערך (pass)
5.1.17	הגדרת המגבלה של MaxSessions ב-SSH	בינוני	לקבוע ערך (pass)
5.1.18	מוודאים שהוגדר SSH MaxStartups	בינוני	לקבוע ערך (pass)
5.1.19	השבתת הגישה ל-SSH באמצעות סיסמאות ריקות	גבוה	לקבוע ערך (pass)
5.1.20	השבתת התחברות SSH Root	בינוני	לקבוע ערך (pass)
5.1.21	אין הרשאה לאפשרויות סביבת SSH	בינוני	לקבוע ערך (pass)
5.1.22	הפעלת PAM	בינוני	לקבוע ערך (pass)
5.2.1	התקנת חבילת sudo	בינוני	לקבוע ערך (pass)
5.2.2	Ensure Only Users Logged In To Real tty Can Execute Sudo - sudo use_pty	בינוני	לקבוע ערך (pass)
5.2.3	מוודאים שקיים קובץ יומן של Sudo – קובץ יומן של sudo	נמוך	לקבוע ערך (pass)
5.2.5	Ensure Users Re-Authenticate for Privilege Escalation - sudo !authenticate	בינוני	לקבוע ערך (pass)
5.2.6	דרישה לאימות מחדש כשמשתמשים בפקודת sudo	בינוני	לקבוע ערך (pass)
5.2.7	אכיפת השימוש ב-pam_wheel עם פרמטר קבוצה לאימות su	בינוני	לקבוע ערך (pass)
5.2.7	צריך לוודא שהקבוצה שמשמשת את המודול pam_wheel.so קיימת במערכת ושהיא ריקה	בינוני	לקבוע ערך (pass)
5.3.1.1	התקנת החבילה pam-runtime	בינוני	לקבוע ערך (pass)
5.3.1.2	התקנת החבילה pam-modules	בינוני	לקבוע ערך (pass)
5.3.1.3	התקנת החבילה pam_pwquality	בינוני	לקבוע ערך (pass)
5.3.2.1	אימות שמודול pam_unix מופעל	בינוני	לקבוע ערך (pass)
5.3.2.2	צריך לוודא שהמודול pam_faillock מופעל	בינוני	לקבוע ערך (pass)
5.3.2.3	מוודאים שהמודול pam_pwquality מופעל	בינוני	לקבוע ערך (pass)
5.3.2.4	מוודאים שהמודול pam_pwhistory מופעל	בינוני	לקבוע ערך (pass)
5.3.3.1.1	נעילת חשבונות אחרי ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.3.3.1.2	הגדרת משך הנעילה אחרי ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.3.3.1.3	הגדרת משך הזמן לנעילת משתמש בסיסי אחרי ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.3.3.2.1	צריך לוודא ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של תווים שונים	בינוני	לקבוע ערך (pass)
5.3.3.2.2	מוודאים ש-PAM אוכף את דרישות הסיסמה – אורך מינימלי	בינוני	לקבוע ערך (pass)
5.3.3.2.3	צריך לוודא ש-PAM אוכף את הדרישות לגבי סיסמאות – מספר מינימלי של קטגוריות שונות	בינוני	לקבוע ערך (pass)
5.3.3.2.3	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של תווים שהם ספרות	בינוני	לקבוע ערך (pass)
5.3.3.2.3	צריך לוודא ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות קטנות	בינוני	לקבוע ערך (pass)
5.3.3.2.3	מוודאים ש-PAM אוכף את הדרישות לגבי סיסמאות – מספר מינימלי של תווים מיוחדים	בינוני	לקבוע ערך (pass)
5.3.3.2.3	צריך לוודא ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות רישיות	בינוני	לקבוע ערך (pass)
5.3.3.2.4	הגדרת המספר המקסימלי של תווים חוזרים ברצף בסיסמה	בינוני	לקבוע ערך (pass)
5.3.3.2.5	הגבלת המספר המקסימלי של תווים עוקבים בסיסמאות	בינוני	לקבוע ערך (pass)
5.3.3.2.6	מוודאים ש-PAM אוכף את הדרישות לגבי סיסמאות – מניעת שימוש במילים מהמילון	בינוני	לקבוע ערך (pass)
5.3.3.2.7	Ensure PAM Enforces Password Requirements - Enforcing	בינוני	לקבוע ערך (pass)
5.3.3.2.8	מוודאים ש-PAM אוכף את דרישות הסיסמה – אכיפה למשתמש Root	בינוני	לקבוע ערך (pass)
5.3.3.3.1	הגבלת השימוש החוזר בסיסמאות	בינוני	לקבוע ערך (pass)
5.3.3.3.2	הגבלת השימוש החוזר בסיסמאות	בינוני	לקבוע ערך (pass)
5.3.3.3.3	אכיפת היסטוריית הסיסמאות באמצעות use_authtok	בינוני	לקבוע ערך (pass)
5.3.3.4.1	מניעת התחברות לחשבונות עם סיסמה ריקה	גבוה	לקבוע ערך (pass)
5.3.3.4.2	הימנעו משימוש ב-remember במודול pam_unix	בינוני	לקבוע ערך (pass)
5.3.3.4.3	הגדרת אלגוריתם הגיבוב של הסיסמה ב-PAM	בינוני	לקבוע ערך (pass)
5.3.3.4.4	דרישה ל-use_authtok עבור pam_unix.so	בינוני	לקבוע ערך (pass)
5.4.1.1	הגדרת הגיל המקסימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.4.1.2	הגדרת הגיל המינימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.4.1.2	הגדרת גיל מינימלי לסיסמה	בינוני	לקבוע ערך (pass)
5.4.1.3	הגדרת משך הזמן להצגת אזהרת הסיסמה	בינוני	לקבוע ערך (pass)
5.4.1.4	הגדרת אלגוריתם גיבוב (hashing) של סיסמאות ב-‎/etc/login.defs	בינוני	לקבוע ערך (pass)
5.4.1.5	הגדרת תפוגת תוקף של חשבון אחרי חוסר פעילות	בינוני	לקבוע ערך (pass)
5.4.1.6	לוודא שהתאריך של שינוי הסיסמה האחרון של כל המשתמשים הוא בעבר	בינוני	לקבוע ערך (pass)
5.4.2.1	אימות שרק לשורש יש UID 0	גבוה	לקבוע ערך (pass)
5.4.2.2	אימות של-Root יש GID ראשי 0	גבוה	לקבוע ערך (pass)
5.4.2.3	אימות שרק לקבוצת הבסיס יש GID 0	גבוה	לקבוע ערך (pass)
5.4.2.4	מוודאים שהגישה לחשבון הבסיס מבוקרת	בינוני	לקבוע ערך (pass)
5.4.2.5	מוודאים שכל הרשומות בנתיב של Root הן ספריות	בינוני	לקבוע ערך (pass)
5.4.2.5	מוודאים שכל ספריות הנתיבים של Root נמצאות בבעלות של Root	בינוני	לקבוע ערך (pass)
5.4.2.5	מוודאים שהנתיב של Root לא כולל נתיבים יחסיים או ספריות ריקות	לא ידוע	לקבוע ערך (pass)
5.4.2.5	מוודאים שהנתיב של Root לא כולל ספריות שניתנות לכתיבה על ידי קבוצה או על ידי כולם	בינוני	לקבוע ערך (pass)
5.4.2.6	מוודאים שה-Root Bash Umask מוגדר בצורה נכונה	בינוני	לקבוע ערך (pass)
5.4.2.7	מוודאים שחשבונות המערכת לא מריצים מעטפת (shell) בזמן ההתחברות	בינוני	לקבוע ערך (pass)
5.4.2.8	אימות שחשבונות לא אינטראקטיביים נעולים	בינוני	לקבוע ערך (pass)
5.4.3.1	צריך לוודא ש-nologin Shell לא מופיע ב-/etc/shells	בינוני	לקבוע ערך (pass)
5.4.3.2	הגדרת הזמן הקצוב לתפוגה של סשן אינטראקטיבי	בינוני	לקבוע ערך (pass)
5.4.3.3	מוודאים שברירת המחדל של Bash Umask מוגדרת בצורה נכונה	בינוני	לקבוע ערך (pass)
5.4.3.3	מוודאים שברירת המחדל של Umask מוגדרת בצורה נכונה ב-‎/etc/profile	בינוני	לקבוע ערך (pass)
5.4.3.3	צריך לוודא שברירת המחדל של Umask מוגדרת בצורה נכונה ב-login.defs	בינוני	לקבוע ערך (pass)
6.1.1.1	הפעלת השירות systemd-journald	בינוני	לקבוע ערך (pass)
6.1.1.4	מוודאים שמשתמשים בשירות רישום ביומן אחד	בינוני	לקבוע ערך (pass)
6.1.2.1.4	השבתת השקע של systemd-journal-remote	בינוני	לקבוע ערך (pass)
6.1.3.1	מוודאים ש-rsyslog מותקן	בינוני	לקבוע ערך (pass)
6.1.3.2	הפעלת שירות rsyslog	בינוני	לקבוע ערך (pass)
6.1.3.4	מוודאים שהוגדרו הרשאות ברירת המחדל לקבצים של rsyslog	בינוני	לקבוע ערך (pass)
6.1.3.7	צריך לוודא ש-rsyslog לא מקבל הודעות מרחוק, אלא אם הוא פועל כשרת יומנים	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהקובץ ‎/var/log/(b\|w)tmp(.\|-)‎ בבעלותה	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהיא הבעלים של הקובץ ‎/var/log/*.journal(~)‎	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהקובץ ‎/var/log/auth.log בבעלותה	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהקובץ ‎/var/log/cloud-init.log* ‎ בבעלותה	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהקובץ ‎/var/log/lastlog בבעלותה	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהקובץ ‎/var/log/localmessages* ‎ בבעלותה	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהקובץ var/log/messages/ בבעלותה	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהיא הבעלים של הקובץ ‎/var/log/secure	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהיא הבעלים של הקובץ ‎/var/log/syslog	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הקבוצה שהיא הבעלים של הקובץ ‎/var/log/waagent.log	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות של הקבוצה על קבצים ב-‎/var/log/apt	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות של הקבוצה על קבצים ב-‎/var/log/gdm	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות של הקבוצה על קבצים ב-‎/var/log/gdm3	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות של הקבוצה על קבצים ב-‎/var/log/landscape	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות של הקבוצה על קבצים ב-‎/var/log/sssd	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות על קבצים ב-‎/var/log/apt	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות על קבצים ב-‎/var/log/gdm	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות על קבצים ב-‎/var/log/gdm3	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות על קבצים ב-‎/var/log/landscape	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות הבעלות על קבצים ב-‎/var/log/sssd	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות של קבצים ב-‎/var/log/gdm	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות של הקבצים ב-‎/var/log/gdm3	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות של הקבצים ב-‎/var/log/sssd	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקובץ יומן ‎/var/log/auth.log	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקובצי ‎/var/log/cloud-init.log(.*)‎	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקובצי ‎/var/log/lastlog(.*)‎	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקובצי ‎/var/log/localmessages(.*)‎	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקובץ ‎/var/log/messages	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקובץ ‎/var/log/secure	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקובץ ‎/var/log/syslog	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקובצי ‎/var/log/waagent.log(.*)‎	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקובצי ‎/var/log/wtmp(.*)‎	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות ההרשאות בקבצים בספרייה ‎/var/log/apt/.* ‎	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/var/log/(b\|w)tmp(.\|-)‎	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של הקבצים ‎/var/log/*.journal(~)‎	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של קובץ היומן ‎/var/log/auth.log	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/var/log/cloud-init.log	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/var/log/lastlog	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/var/log/localmessages	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/var/log/messages	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/var/log/secure	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/var/log/syslog	בינוני	לקבוע ערך (pass)
6.1.4.1	אימות המשתמש שהוא הבעלים של הקובץ ‎/var/log/waagent.log	בינוני	לקבוע ערך (pass)
6.2.1.1	מוודאים שתת-המערכת לביקורת מותקנת	בינוני	לקבוע ערך (pass)
6.2.1.1	מוודאים שהפלאגינים שמוגדרים כברירת מחדל לניהול הביקורת מותקנים	בינוני	לקבוע ערך (pass)
6.2.1.2	הפעלת שירות auditd	בינוני	לקבוע ערך (pass)
6.2.1.4	הארכת מגבלת צבר המשימות של הביקורת עבור ה-Daemon של הביקורת	נמוך	לקבוע ערך (pass)
6.2.2.1	הגדרת הגודל המקסימלי של קובץ היומן ב-auditd	בינוני	לקבוע ערך (pass)
6.2.2.2	הגדרת max_log_file_action של auditd כשמגיעים לגודל המקסימלי של קובץ היומן	בינוני	לקבוע ערך (pass)
6.2.2.3	הגדרת הפעולה של auditd במקרה של שגיאה בדיסק	בינוני	לקבוע ערך (pass)
6.2.2.3	הגדרת הפעולה של auditd כשהדיסק מלא	בינוני	לקבוע ערך (pass)
6.2.2.4	הגדרת הפעולה admin_space_left של auditd כשאין מספיק מקום בכונן	בינוני	לקבוע ערך (pass)
6.2.2.4	הגדרת הפעולה mail_acct של auditd כשאין מספיק מקום בכונן	בינוני	לקבוע ערך (pass)
6.2.2.4	הגדרת הפעולה space_left של auditd במקרה של מחסור במקום בכונן	בינוני	לקבוע ערך (pass)
6.2.3.1	מוודאים ש-auditd אוסף פעולות של מנהלי מערכת	בינוני	לקבוע ערך (pass)
6.2.3.2	תיעוד אירועים כשקובצי הפעלה מופעלים כמשתמש אחר	בינוני	לקבוע ערך (pass)
6.2.3.2	תיעוד אירועים כשמופעלים קובצי הפעלה עם הרשאות	בינוני	לקבוע ערך (pass)
6.2.3.3	תיעוד ניסיונות לבצע פעולות תחזוקה	בינוני	לקבוע ערך (pass)
6.2.3.4	תיעוד ניסיונות לשנות את השעה באמצעות clock_settime	בינוני	לקבוע ערך (pass)
6.2.3.4	תיעוד ניסיונות לשנות את הקובץ localtime	בינוני	לקבוע ערך (pass)
6.2.3.4	תיעוד ניסיונות לשנות את השעה באמצעות adjtimex	בינוני	לקבוע ערך (pass)
6.2.3.4	תיעוד ניסיונות לשנות את השעה באמצעות settimeofday	בינוני	לקבוע ערך (pass)
6.2.3.5	תיעוד אירועים שמשנים את סביבת הרשת של המערכת	בינוני	לקבוע ערך (pass)
6.2.3.7	תיעוד ניסיונות גישה לא מוצלחים לקבצים – creat	בינוני	לקבוע ערך (pass)
6.2.3.7	תיעוד ניסיונות גישה כושלים לקבצים – ftruncate	בינוני	לקבוע ערך (pass)
6.2.3.7	תיעוד ניסיונות גישה לא מוצלחים לקבצים – פתוח	בינוני	לקבוע ערך (pass)
6.2.3.7	תיעוד ניסיונות גישה לא מוצלחים לקבצים – openat	בינוני	לקבוע ערך (pass)
6.2.3.7	תיעוד ניסיונות גישה כושלים לקבצים – חיתוך	בינוני	לקבוע ערך (pass)
6.2.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/group	בינוני	לקבוע ערך (pass)
6.2.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/gshadow	בינוני	לקבוע ערך (pass)
6.2.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/nsswitch.conf	בינוני	לקבוע ערך (pass)
6.2.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/pam.conf	בינוני	לקבוע ערך (pass)
6.2.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/pam.d/‎	בינוני	לקבוע ערך (pass)
6.2.3.8	תיעוד אירועים שמשנים מידע על משתמשים/קבוצות – ‎/etc/passwd	בינוני	לקבוע ערך (pass)
6.2.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/security/opasswd	בינוני	לקבוע ערך (pass)
6.2.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/shadow	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – chmod	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – chown	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fchmod	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fchmodat	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fchown	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fchownat	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fremovexattr	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fsetxattr	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – lchown	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – lremovexattr	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – lsetxattr	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – removexattr	בינוני	לקבוע ערך (pass)
6.2.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – setxattr	בינוני	לקבוע ערך (pass)
6.2.3.10	צריך לוודא ש-auditd אוסף מידע על ייצוא למדיה (הפעולה בוצעה בהצלחה)	בינוני	לקבוע ערך (pass)
6.2.3.11	תיעוד ניסיונות לשנות את פרטי התהליך וההפעלה של הסשן	בינוני	לקבוע ערך (pass)
6.2.3.12	תיעוד ניסיונות לשנות אירועי התחברות והתנתקות – faillock	בינוני	לקבוע ערך (pass)
6.2.3.12	תיעוד ניסיונות לשנות אירועי התחברות והתנתקות – lastlog	בינוני	לקבוע ערך (pass)
6.2.3.13	מוודאים ש-auditd אוסף אירועי מחיקת קבצים לפי משתמש – שינוי שם	בינוני	לקבוע ערך (pass)
6.2.3.13	Ensure auditd Collects File Deletion Events by User - renameat	בינוני	לקבוע ערך (pass)
6.2.3.13	Ensure auditd Collects File Deletion Events by User - unlink	בינוני	לקבוע ערך (pass)
6.2.3.13	צריך לוודא ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – unlinkat	בינוני	לקבוע ערך (pass)
6.2.3.14	תיעוד אירועים שמשנים את בקרות הגישה המנדטוריות של המערכת (‎/etc/apparmor)	בינוני	לקבוע ערך (pass)
6.2.3.14	תיעוד אירועים שמשנים את אמצעי בקרת הגישה שהמערכת מחייבת (‎/etc/apparmor.d)	בינוני	לקבוע ערך (pass)
6.2.3.15	תיעוד של כל הניסיונות להפעיל את chcon	בינוני	לקבוע ערך (pass)
6.2.3.16	תיעוד כל הניסיונות להפעיל את setfacl	בינוני	לקבוע ערך (pass)
6.2.3.17	תיעוד כל הניסיונות להפעיל את chacl	בינוני	לקבוע ערך (pass)
6.2.3.18	Ensure auditd Collects Information on the Use of Privileged Commands - usermod	בינוני	לקבוע ערך (pass)
6.2.3.19	Ensure auditd Collects Information on Kernel Module Loading - init_module	בינוני	לקבוע ערך (pass)
6.2.3.19	מוודאים ש-auditd אוסף מידע על טעינה ופריקה של מודול ליבה (kernel) – finit_module	בינוני	לקבוע ערך (pass)
6.2.3.19	Ensure auditd Collects Information on Kernel Module Loading and Unloading - query_module	בינוני	לקבוע ערך (pass)
6.2.3.19	Ensure auditd Collects Information on Kernel Module Unloading - create_module	בינוני	לקבוע ערך (pass)
6.2.3.19	Ensure auditd Collects Information on Kernel Module Unloading - delete_module	בינוני	לקבוע ערך (pass)
6.2.3.19	Ensure auditd Collects Information on the Use of Privileged Commands - kmod	בינוני	לקבוע ערך (pass)
6.2.3.20	הגדרת auditd כבלתי ניתנת לשינוי	בינוני	לקבוע ערך (pass)
6.2.4.1	יומני הביקורת של המערכת חייבים להיות במצב 0640 או פחות מתירני	בינוני	לקבוע ערך (pass)
6.2.4.2	יומני הביקורת של המערכת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
6.2.4.3	יומני הביקורת של המערכת חייבים להיות בבעלות קבוצתית של Root	בינוני	לקבוע ערך (pass)
6.2.4.4	יומני הביקורת של המערכת חייבים להיות במצב 0750 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
6.2.4.5	אימות ההרשאות ב-‎/etc/audit/audit.rules	בינוני	לקבוע ערך (pass)
6.2.4.5	אימות ההרשאות ב-‎/etc/audit/auditd.conf	בינוני	לקבוע ערך (pass)
6.2.4.5	אימות ההרשאות ב-‎/etc/audit/rules.d/*.rules	בינוני	לקבוע ערך (pass)
6.2.4.6	קובצי התצורה של הביקורת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
6.2.4.7	קבצי התצורה של הביקורת חייבים להיות בבעלות של קבוצת הבסיס (root)	בינוני	לקבוע ערך (pass)
6.2.4.8	מוודאים שכלי הביקורת הם במצב 0755 או פחות	בינוני	לקבוע ערך (pass)
6.2.4.9	מוודאים שכלי הביקורת נמצאים בבעלות של משתמש הבסיס (root)	בינוני	לקבוע ערך (pass)
6.2.4.10	אימות שכלי הביקורת נמצאים בבעלות של קבוצת הבסיס (root)	בינוני	לקבוע ערך (pass)
7.1.1	אימות הקבוצה שהיא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
7.1.1	אימות ההרשאות בקובץ passwd	בינוני	לקבוע ערך (pass)
7.1.1	אימות המשתמש שהוא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
7.1.2	אימות הקבוצה שבבעלותה קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
7.1.2	אימות ההרשאות בקובץ הגיבוי של passwd	בינוני	לקבוע ערך (pass)
7.1.2	אימות המשתמש שהוא הבעלים של קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
7.1.3	אימות הקבוצה שהיא הבעלים של קובץ הקבוצה	בינוני	לקבוע ערך (pass)
7.1.3	אימות ההרשאות בקובץ הקבוצה	בינוני	לקבוע ערך (pass)
7.1.3	אימות המשתמש שהוא הבעלים של קובץ הקבוצה	בינוני	לקבוע ערך (pass)
7.1.4	אימות הקבוצה שבבעלותה קובץ הגיבוי של הקבוצה	בינוני	לקבוע ערך (pass)
7.1.4	אימות ההרשאות בקובץ הגיבוי של הקבוצה	בינוני	לקבוע ערך (pass)
7.1.4	אימות המשתמש שהוא הבעלים של קובץ הגיבוי של הקבוצה	בינוני	לקבוע ערך (pass)
7.1.5	אימות הקבוצה שהיא הבעלים של קובץ shadow	בינוני	לקבוע ערך (pass)
7.1.5	אימות ההרשאות בקובץ shadow	בינוני	לקבוע ערך (pass)
7.1.5	אימות המשתמש שהוא הבעלים של קובץ shadow	בינוני	לקבוע ערך (pass)
7.1.6	אימות הקבוצה שבבעלותה קובץ ה-shadow של הגיבוי	בינוני	לקבוע ערך (pass)
7.1.6	אימות ההרשאות בקובץ הגיבוי של Shadow	בינוני	לקבוע ערך (pass)
7.1.6	אימות המשתמש שהוא הבעלים של קובץ הגיבוי של shadow	בינוני	לקבוע ערך (pass)
7.1.7	אימות הקבוצה שהיא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
7.1.7	אימות ההרשאות בקובץ gshadow	בינוני	לקבוע ערך (pass)
7.1.7	אימות המשתמש שהוא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
7.1.8	אימות הקבוצה שבבעלותה קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
7.1.8	אימות ההרשאות בקובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
7.1.8	אימות המשתמש שהוא הבעלים של קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
7.1.9	אימות הקבוצה שהקובץ ‎/etc/shells בבעלותה	בינוני	לקבוע ערך (pass)
7.1.9	אימות ההרשאות בקובץ ‎/etc/shells	בינוני	לקבוע ערך (pass)
7.1.9	אימות הבעלים של הקובץ ‎/etc/shells	בינוני	לקבוע ערך (pass)
7.1.10	אימות הקבוצה שבבעלותה הקובץ ‎/etc/security/opasswd	בינוני	לקבוע ערך (pass)
7.1.10	אימות הקבוצה שבבעלותה הקובץ ‎/etc/security/opasswd.old	בינוני	לקבוע ערך (pass)
7.1.10	אימות ההרשאות בקובץ ‎/etc/security/opasswd	בינוני	לקבוע ערך (pass)
7.1.10	אימות ההרשאות בקובץ ‎/etc/security/opasswd.old	בינוני	לקבוע ערך (pass)
7.1.10	אימות המשתמש שהוא הבעלים של הקובץ ‎/etc/security/opasswd	בינוני	לקבוע ערך (pass)
7.1.10	אימות המשתמש שהוא הבעלים של הקובץ ‎/etc/security/opasswd.old	בינוני	לקבוע ערך (pass)
7.2.1	אימות שכל ערכי הגיבוב של הסיסמאות לחשבונות מוסתרים	בינוני	לקבוע ערך (pass)
7.2.2	מוודאים שאין חשבונות עם סיסמאות ריקות או סיסמאות Null	גבוה	לקבוע ערך (pass)
7.2.3	כל מזהי ה-GID שמוזכרים ב-‎/etc/passwd חייבים להיות מוגדרים ב-‎/etc/group	נמוך	לקבוע ערך (pass)
7.2.4	מוודאים שקבוצת הצללים ריקה	בינוני	לקבוע ערך (pass)
7.2.5	מוודאים שלכל החשבונות במערכת יש מזהי משתמשים ייחודיים	בינוני	לקבוע ערך (pass)
7.2.6	צריך לוודא שלכל הקבוצות במערכת יש מזהה קבוצה ייחודי	בינוני	לקבוע ערך (pass)
7.2.7	מוודאים שלכל החשבונות במערכת יש שמות ייחודיים	בינוני	לקבוע ערך (pass)
7.2.8	צריך לוודא שלכל הקבוצות במערכת יש שמות ייחודיים	בינוני	לקבוע ערך (pass)
7.2.9	כל ספריות הבית של המשתמשים האינטראקטיביים חייבות להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
7.2.9	כל ספריות הבית של המשתמשים האינטראקטיביים חייבות להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
7.2.9	כל ספריות הבית של המשתמשים האינטראקטיביים חייבות להיות במצב 0750 או פחות מתירני	בינוני	לקבוע ערך (pass)
7.2.9	כל ספריות הבית של המשתמשים האינטראקטיביים חייבות להיות קיימות	בינוני	לקבוע ערך (pass)
7.2.10	צריך לוודא שלכל קובצי האתחול של המשתמשים יש הרשאה במצב 0740 או פחות	בינוני	לקבוע ערך (pass)
7.2.10	מוודאים שלקובץ היסטוריית Bash של המשתמש יש את ההרשאות הנכונות	בינוני	לקבוע ערך (pass)
7.2.10	קובצי האתחול של המשתמשים חייבים להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
7.2.10	קבצי האתחול של המשתמש חייבים להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
7.2.10	אימות שאין קובצי ‎ .forward	בינוני	לקבוע ערך (pass)
7.2.10	איך מוודאים שאין קובצי netrc	בינוני	לקבוע ערך (pass)

המלצות לא רלוונטיות

בטבלה הבאה מפורטות ההמלצות שלא רלוונטיות ל-Google Distributed Cloud.

#	המלצה	חוּמרה	סטטוס
1.1.2.1.2	הוספת האפשרות nodev ל-/tmp	בינוני	notapplicable
1.1.2.1.3	הוספת האפשרות nosuid ל-‎/tmp	בינוני	notapplicable
1.1.2.1.4	הוספת האפשרות noexec ל-‎/tmp	בינוני	notapplicable
1.1.2.3.2	הוספת האפשרות nodev ל-‎/home	לא ידוע	notapplicable
1.1.2.3.3	הוספת האפשרות nosuid ל-‎/home	בינוני	notapplicable
1.1.2.4.2	הוספת האפשרות nodev ל-/var	בינוני	notapplicable
1.1.2.4.3	הוספת האפשרות nosuid ל-‎/var	בינוני	notapplicable
1.1.2.5.2	הוספת האפשרות nodev ל-‎/var/tmp	בינוני	notapplicable
1.1.2.5.3	הוספת האפשרות nosuid ל-‎/var/tmp	בינוני	notapplicable
1.1.2.5.4	הוספת האפשרות noexec ל-‎/var/tmp	בינוני	notapplicable
1.1.2.6.2	הוספת האפשרות nodev ל-‎/var/log	בינוני	notapplicable
1.1.2.6.3	הוספת האפשרות nosuid ל-‎/var/log	בינוני	notapplicable
1.1.2.6.4	הוספת האפשרות noexec ל-‎/var/log	בינוני	notapplicable
1.1.2.7.2	הוספת האפשרות nodev ל-‎/var/log/audit	בינוני	notapplicable
1.1.2.7.3	הוספת האפשרות nosuid ל-‎/var/log/audit	בינוני	notapplicable
1.1.2.7.4	הוספת האפשרות noexec ל-‎/var/log/audit	בינוני	notapplicable
1.4.1	הגדרת הסיסמה של מנהל האתחול של UEFI	גבוה	notapplicable
1.7.1	הסרת קבוצת החבילות של GDM	בינוני	notapplicable
‫1.7.4, ‏ 1.7.5	הפעלת נעילת שומר המסך של GNOME3 אחרי פרק זמן ללא פעילות	בינוני	notapplicable
‫1.7.4, ‏ 1.7.5	הגדרת זמן קצוב לתפוגה של חוסר פעילות בשומר המסך של GNOME3	בינוני	notapplicable
‫1.7.4, ‏ 1.7.5	הגדרת משך הזמן עד לנעילת שומר המסך של GNOME3 לאחר תקופת ההפעלה	בינוני	notapplicable
1.7.6, 1.7.7	השבתת הפתיחה של טעינה אוטומטית ב-GNOME3	בינוני	notapplicable
1.7.6, 1.7.7	השבתת הטעינה האוטומטית של GNOME3	בינוני	notapplicable
1.7.8, 1.7.9	השבתת ההפעלה של GNOME3 Automount	נמוך	notapplicable
1.7.10	השבתת XDMCP ב-GDM	גבוה	notapplicable
2.1.1	השבתת ה-Automounter	בינוני	notapplicable
2.1.2	השבתת תוכנת השרת Avahi	בינוני	notapplicable
2.1.15	השבתת השירות snmpd	נמוך	notapplicable
2.1.17	השבתת Squid	לא ידוע	notapplicable
2.1.21	השבתת האזנה לרשת של Postfix	בינוני	notapplicable
2.3.1.1	שירות Chronyd מושבת	בינוני	notapplicable
4.2.3	אימות ש-ufw פעיל	בינוני	notapplicable
4.2.3	אימות ש-ufw מופעל	בינוני	notapplicable
4.2.4	הגדרת תנועת לולאה חוזרת (loopback) ב-UFW	בינוני	notapplicable
4.2.6	מוודאים שקיימים כללי חומת אש של ufw לכל היציאות הפתוחות	בינוני	notapplicable
4.2.7	Ensure ufw Default Deny Firewall Policy	בינוני	notapplicable
4.4.2.1	הגדרת מדיניות ברירת מחדל של iptables לחבילות נכנסות	בינוני	notapplicable
4.4.2.2	הגדרת תצורה לתעבורת נתונים של לולאה חוזרת (loopback)	בינוני	notapplicable
4.4.2.4	מוודאים שקיימים כללי חומת אש של iptables לכל היציאות הפתוחות	בינוני	notapplicable
4.4.3.1	הגדרת מדיניות ברירת מחדל של ip6tables לחבילות נכנסות	בינוני	notapplicable
4.4.3.4	צריך לוודא שקיימים כללים של חומת האש ip6tables לכל היציאות הפתוחות	בינוני	notapplicable
6.1.2.1.1	התקנת החבילה systemd-journal-remote	בינוני	notapplicable
6.1.2.1.2	מגדירים את הפרמטרים של TLS ב-systemd-journal-upload: ‏ ServerKeyFile, ‏ ServerCertificateFile ו-TrustedCertificateFile.	בינוני	notapplicable
6.1.2.1.2	הגדרת כתובת ה-URL של systemd-journal-upload	בינוני	notapplicable
6.1.2.1.3	הפעלת השירות systemd-journal-upload	בינוני	notapplicable
6.1.2.2	מוודאים שהאפשרות ForwardToSyslog של journald מושבתת	בינוני	notapplicable
6.1.2.3	מוודאים ש-journald מוגדר לדחוס קובצי יומן גדולים	בינוני	notapplicable
6.1.2.4	צריך לוודא ש-journald מוגדר לכתוב קובצי יומן לדיסק אחסון מתמיד (persistent disk)	בינוני	notapplicable
6.3.2	הגדרת הפעלה של AIDE באמצעות טיימר של Systemd	בינוני	notapplicable
7.2.10	הסרת קובצי Rsh Trust	גבוה	notapplicable

המלצות שלא נכללות בהערכה

ההערכה מתבצעת באמצעות הפרופיל cis_level2_server_customized, שמותאם ל-Google Distributed Cloud. בטבלה הבאה מפורטות ההמלצות של פרופיל CIS Level 2 - Server, שהפרופיל המותאם אישית לא כולל בהערכה, ולכן הן לא מופיעות בטבלאות הקודמות. חלק מההמלצות האלה הן חלופות להגדרות אישיות שמשמשות את Google Distributed Cloud, כמו chrony במקום systemd-timesyncd, או הגדרות GNOME שלא חלות על שרתים ללא מחשב.

#	המלצה	חוּמרה	סטטוס
1.3.1.3	כל הפרופילים של AppArmor נמצאים במצב אכיפה או במצב תלונה	בינוני	לא נבדק
1.3.1.4	אכיפה של כל הפרופילים של AppArmor	בינוני	לא נבדק
1.4.2	אימות בעלות המשתמש על ‎/boot/grub/grub.cfg	בינוני	לא נבדק
1.7.2	הפעלת באנר אזהרה בכניסה ל-GNOME3	בינוני	לא נבדק
1.7.2	הגדרת הטקסט של באנר האזהרה בכניסה ל-GNOME3	בינוני	לא נבדק
1.7.3	השבתת רשימת המשתמשים להתחברות ב-GNOME3	בינוני	לא נבדק
2.1.12	הסרת החבילה rpcbind	נמוך	לא נבדק
2.3.1.1	השבתת השירות systemd_timesyncd	בינוני	לא נבדק
2.3.1.1	חבילת Chrony מותקנת	בינוני	לא נבדק
2.3.1.1	השירות Chronyd מופעל	בינוני	לא נבדק
2.3.3.1	הגדרת מאגר ושרת ב-Chrony	בינוני	לא נבדק
2.3.3.2	צריך לוודא ש-chronyd פועל בחשבון המשתמש של chrony	בינוני	לא נבדק
3.3.1	השבתת הפרמטר של הליבה להעברת IP בממשקי IPv4	בינוני	לא נבדק
3.3.1	השבתת פרמטר הליבה להעברת IPv6	בינוני	לא נבדק
4.2.1	התקנת חבילת ufw	בינוני	לא נבדק
4.2.2	הסרת החבילה iptables-persistent	בינוני	לא נבדק
4.3.1	התקנת חבילת nftables	בינוני	לא נבדק
4.3.4	מוודאים שקיימת טבלה ל-Nftables	בינוני	לא נבדק
4.3.5	צריך לוודא שקיימות שרשראות בסיס ל-Nftables	בינוני	לא נבדק
4.3.6	הגדרת nftables לתעבורת נתונים בלולאה חוזרת (loopback)	בינוני	לא נבדק
4.3.8	Ensure nftables Default Deny Firewall Policy	בינוני	לא נבדק
4.3.9	אימות ששירות nftables מופעל	בינוני	לא נבדק
4.3.10	מוודאים שכללי nftables הם קבועים	בינוני	לא נבדק
4.4.3.2	הגדרת תצורה לתעבורת נתונים של לולאה חוזרת (loopback) ב-IPv6	בינוני	לא נבדק
6.2.1.3	הפעלת ביקורת לתהליכים שמתחילים לפני ה-daemon של הביקורת	נמוך	לא נבדק
6.3.1	פיתוח ובדיקה של מסד נתונים של AIDE	בינוני	לא נבדק
6.3.1	התקנת AIDE	בינוני	לא נבדק
6.3.3	הגדרת AIDE לאימות כלי הביקורת	בינוני	לא נבדק
7.1.11	מוודאים שאין קבצים שניתנים לכתיבה על ידי כל המשתמשים	בינוני	לא נבדק
7.1.12	מוודאים שכל הקבצים נמצאים בבעלות של קבוצה	בינוני	לא נבדק

1.34 גרסאות

הקטע הזה מתייחס לגרסאות הבאות:

גרסת Google Distributed Cloud	גרסת Ubuntu	גרסת CIS Ubuntu Benchmark	רמת CIS
1.34	22.04 LTS	v1.0.0	שרת ברמה 2

המלצות שנכשלו

#	המלצה	חוּמרה	סטטוס	חל על
1.1.2.1	צריך לוודא ש-‎/tmp נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.1.3.1	צריך לוודא ש-‎/var נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.1.4.1	מוודאים ש-‎/var/tmp נמצא במחיצה נפרדת	בינוני	נכשל	הכול
1.1.5.1	מוודאים ש-‎/var/log נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.1.6.1	צריך לוודא ש-‎/var/log/audit נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.1.7.1	צריך לוודא ש-‎/home נמצא במחיצה נפרדת	נמוך	נכשל	הכול
1.4.1	הגדרת סיסמה למנהל האתחול ב-grub2	גבוה	נכשל	הכול
1.4.3	צריך לוודא שנדרש אימות במצב משתמש יחיד	בינוני	נכשל	הכול
2.3.6	הסרת החבילה rpcbind	נמוך	נכשל	הכול
3.2.2	השבתת הפרמטר של הליבה להעברת IP בממשקי IPv4	בינוני	נכשל	הכול
3.3.7	הפעלת פרמטר ליבה לשימוש בסינון נתיב הפוך בכל ממשקי IPv4	בינוני	נכשל	צמתים של מישור הבקרה, צמתים עובדים
3.5.2.8	מוודאים שמוגדרת מדיניות דחייה כברירת מחדל של חומת האש ב-nftables	בינוני	נכשל	הכול
3.5.2.10	מוודאים שכללי nftables הם קבועים	בינוני	נכשל	הכול
4.2.3	אימות ההרשאות של קובצי היומן	בינוני	נכשל	הכול
5.2.4	הגבלת הגישה של המשתמשים ל-SSH	לא ידוע	נכשל	הכול
5.3.4	Ensure Users Re-Authenticate for Privilege Escalation - sudo	בינוני	נכשל	הכול
5.5.1.2	הגדרת משך הזמן המקסימלי לשימוש בסיסמה	בינוני	נכשל	הכול
6.1.10	מוודאים שכל הקבצים נמצאים בבעלות של משתמש	בינוני	נכשל	צמתים של מישור הבקרה, צמתים עובדים

המלצות שעברו את הבדיקה

בטבלה הבאה מפורטות ההמלצות של נקודות ההשוואה ש-Google Distributed Cloud עומד בהן.

#	המלצה	חוּמרה	סטטוס
1.1.1.1	השבתת הטעינה של cramfs	נמוך	לקבוע ערך (pass)
1.1.1.2	השבתת ההרכבה של squashfs	נמוך	לקבוע ערך (pass)
1.1.1.3	השבתת הטעינה של udf	נמוך	לקבוע ערך (pass)
1.1.8.1	הוספת האפשרות nodev ל-/dev/shm	בינוני	לקבוע ערך (pass)
1.1.8.2	הוספת האפשרות noexec ל-‎/dev/shm	בינוני	לקבוע ערך (pass)
1.1.8.3	הוספת האפשרות nosuid ל-‎/dev/shm	בינוני	לקבוע ערך (pass)
1.1.9	השבתת ה-Automounter	בינוני	לקבוע ערך (pass)
1.1.10	השבתת הטעינה של מנהל ההתקן של אחסון USB באמצעות Modprobe	בינוני	לקבוע ערך (pass)
1.4.2	אימות ההרשאות של ‎/boot/grub/grub.cfg	בינוני	לקבוע ערך (pass)
1.5.1	הפעלת פריסה אקראית של מרחב הכתובות הווירטואליות	בינוני	לקבוע ערך (pass)
1.5.2	אסור להתקין את החבילה "prelink"	בינוני	לקבוע ערך (pass)
1.5.3	השבתת שירות Apport	לא ידוע	לקבוע ערך (pass)
1.5.4	השבתת תמונות מצב בזמן שגיאה לכל המשתמשים	בינוני	לקבוע ערך (pass)
1.5.4	השבתת תמונות מצב בזמן שגיאה בתוכניות SUID	בינוני	לקבוע ערך (pass)
1.6.1.1	מוודאים ש-AppArmor מותקן	בינוני	לקבוע ערך (pass)
1.6.1.2	מוודאים ש-AppArmor מופעל בהגדרות של מנהל האתחול (bootloader)	בינוני	לקבוע ערך (pass)
1.6.1.4	אכיפה של כל הפרופילים של AppArmor	בינוני	לקבוע ערך (pass)
1.7.1	שינוי הבאנר של הודעת היום במערכת	בינוני	לקבוע ערך (pass)
1.7.2	שינוי הבאנר של ההתחברות למערכת	בינוני	לקבוע ערך (pass)
1.7.3	שינוי של באנר ההתחברות למערכת לחיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.4	אימות הבעלות של הקבוצה על באנר "הודעת היום"	בינוני	לקבוע ערך (pass)
1.7.4	אימות הבעלות על באנר "הודעת היום"	בינוני	לקבוע ערך (pass)
1.7.4	אימות ההרשאות בבאנר "הודעת היום"	בינוני	לקבוע ערך (pass)
1.7.5	אימות הבעלות של הקבוצה על באנר ההתחברות למערכת	בינוני	לקבוע ערך (pass)
1.7.5	אימות הבעלות על באנר ההתחברות למערכת	בינוני	לקבוע ערך (pass)
1.7.5	אימות ההרשאות בבאנר ההתחברות למערכת	בינוני	לקבוע ערך (pass)
1.7.6	אימות הבעלות של הקבוצה על באנר ההתחברות למערכת לחיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.6	אימות הבעלות על באנר ההתחברות למערכת לחיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.6	בדיקת ההרשאות ב-System Login Banner for Remote Connections	בינוני	לקבוע ערך (pass)
2.1.1.1	התקנת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.1.3.2	הפעלת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.2.1	הסרת קבוצת החבילות של X Windows	בינוני	לקבוע ערך (pass)
2.2.2	השבתת תוכנת השרת Avahi	בינוני	לקבוע ערך (pass)
2.2.2	הסרת חבילת השרת של avahi	בינוני	לקבוע ערך (pass)
2.2.3	השבתת שירות CUPS	לא ידוע	לקבוע ערך (pass)
2.2.3	הסרת חבילת CUPS	לא ידוע	לקבוע ערך (pass)
2.2.4	הסרת חבילת שרת DHCP	בינוני	לקבוע ערך (pass)
2.2.5	הסרת ההתקנה של חבילת openldap-servers	נמוך	לקבוע ערך (pass)
2.2.6	הסרת החבילה nfs-kernel-server	נמוך	לקבוע ערך (pass)
2.2.7	הסרת חבילת הקישור	נמוך	לקבוע ערך (pass)
2.2.8	הסרת החבילה vsftpd	גבוה	לקבוע ערך (pass)
2.2.9	הסרת החבילה httpd	לא ידוע	לקבוע ערך (pass)
2.2.9	הסרת החבילה של nginx	לא ידוע	לקבוע ערך (pass)
2.2.10	הסרת החבילה cyrus-imapd	לא ידוע	לקבוע ערך (pass)
2.2.10	הסרת החבילה של dovecot	לא ידוע	לקבוע ערך (pass)
2.2.11	הסרת חבילת Samba	לא ידוע	לקבוע ערך (pass)
2.2.12	הסרת חבילת Squid	לא ידוע	לקבוע ערך (pass)
2.2.13	הסרת החבילה net-snmp	לא ידוע	לקבוע ערך (pass)
2.2.14	הסרת החבילה של nis	נמוך	לקבוע ערך (pass)
2.2.15	צריך לוודא שסוכן העברת הדואר (MTA) לא מאזין לכתובת שאינה כתובת לולאה חוזרת (loopback)	בינוני	לקבוע ערך (pass)
2.2.16	הסרת החבילה rsync	בינוני	לקבוע ערך (pass)
2.3.2	הסרת החבילה rsh	לא ידוע	לקבוע ערך (pass)
2.3.3	הסרת חבילת Talk	בינוני	לקבוע ערך (pass)
2.3.4	הסרת לקוחות telnet (חבילת telnet)	נמוך	לקבוע ערך (pass)
2.3.5	מוודאים שלקוח LDAP לא מותקן	נמוך	לקבוע ערך (pass)
3.1.2	השבתת ממשקי הרשת האלחוטית	בינוני	לקבוע ערך (pass)
3.2.1	השבתת הפרמטר של הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.2.1	השבתת הפרמטר של הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.2.2	השבתת פרמטר הליבה להעברת IPv6	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות נתונים עם ניתוב מקור בממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות נתונים עם ניתוב מקור בממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.1	השבתת הפרמטר של הליבה לקבלת חבילות נתונים עם ניתוב מקור בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות נתונים עם ניתוב מקור בכל ממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.2	השבתת קבלת הפניות ICMP לכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.2	השבתת קבלת הפניות מחדש של ICMP לכל ממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.2	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.2	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.3	הגדרת פרמטר ליבה לקבלת הפניות מאובטחות כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.3	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות מאובטחות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.4	הפעלת פרמטר הליבה לרישום חבילות Martian ביומן בכל ממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.4	הפעלת פרמטר הליבה לרישום חבילות Martian ביומן בכל ממשקי IPv4 כברירת מחדל	לא ידוע	לקבוע ערך (pass)
3.3.5	הפעלת פרמטר ליבה להתעלמות מבקשות הד של שידור ICMP בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.6	הפעלת פרמטר הליבה להתעלמות מתגובות שגויות לשגיאות ICMP בממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.7	הפעלת פרמטר הליבה לשימוש בסינון נתיב הפוך בכל ממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.8	הפעלת פרמטר הליבה לשימוש ב-TCP Syncookies בממשקי רשת	בינוני	לקבוע ערך (pass)
3.3.9	הגדרת קבלת פרסומות של נתבים בכל ממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.9	השבתת קבלת פרסומות של נתבים בכל ממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.4.1	השבתת התמיכה ב-DCCP	בינוני	לקבוע ערך (pass)
3.4.2	השבתת התמיכה ב-SCTP	בינוני	לקבוע ערך (pass)
3.4.3	השבתת התמיכה ב-RDS	נמוך	לקבוע ערך (pass)
3.4.4	השבתת התמיכה ב-TIPC	נמוך	לקבוע ערך (pass)
3.5.2.1	התקנת חבילת nftables	בינוני	לקבוע ערך (pass)
3.5.2.4	מוודאים שקיימת טבלה ל-Nftables	בינוני	לקבוע ערך (pass)
3.5.2.5	צריך לוודא שקיימות שרשראות בסיס ל-Nftables	בינוני	לקבוע ערך (pass)
3.5.2.9	אימות ששירות nftables מופעל	בינוני	לקבוע ערך (pass)
3.5.3.1.1	התקנת חבילת iptables	בינוני	לקבוע ערך (pass)
3.5.3.1.3	הסרת חבילת ufw	בינוני	לקבוע ערך (pass)
4.1.1.1	מוודאים שתת-המערכת לביקורת מותקנת	בינוני	לקבוע ערך (pass)
4.1.1.2	הפעלת שירות auditd	בינוני	לקבוע ערך (pass)
4.1.1.4	הארכת מגבלת צבר המשימות של הביקורת עבור ה-Daemon של הביקורת	נמוך	לקבוע ערך (pass)
4.1.2.1	הגדרת הגודל המקסימלי של קובץ היומן ב-auditd	בינוני	לקבוע ערך (pass)
4.1.2.2	הגדרת max_log_file_action של auditd כשמגיעים לגודל המקסימלי של קובץ היומן	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת הפעולה admin_space_left של auditd כשאין מספיק מקום בכונן	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת הפעולה mail_acct של auditd כשאין מספיק מקום בכונן	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת הפעולה space_left של auditd במקרה של מחסור במקום בכונן	בינוני	לקבוע ערך (pass)
4.1.3.1	מוודאים ש-auditd אוסף פעולות של מנהלי מערכת	בינוני	לקבוע ערך (pass)
4.1.3.2	תיעוד אירועים כשמופעלים קובצי הפעלה עם הרשאות	בינוני	לקבוע ערך (pass)
4.1.3.3	תיעוד ניסיונות לבצע פעולות תחזוקה	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשנות את השעה באמצעות clock_settime	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשנות את השעה באמצעות stime	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשנות את הקובץ localtime	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשנות את השעה באמצעות adjtimex	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשנות את השעה באמצעות settimeofday	בינוני	לקבוע ערך (pass)
4.1.3.5	תיעוד אירועים שמשנים את סביבת הרשת של המערכת	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – su	בינוני	לקבוע ערך (pass)
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - sudo	בינוני	לקבוע ערך (pass)
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - sudoedit	בינוני	לקבוע ערך (pass)
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - umount	בינוני	לקבוע ערך (pass)
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - unix_chkpwd	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לא מוצלחים לקבצים – creat	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה כושלים לקבצים – ftruncate	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לא מוצלחים לקבצים – פתוח	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לא מוצלחים לקבצים – openat	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה כושלים לקבצים – חיתוך	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/group	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/gshadow	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים/קבוצות – ‎/etc/passwd	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/security/opasswd	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים את פרטי המשתמש/הקבוצה – ‎/etc/shadow	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – chmod	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – chown	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fchmod	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fchmodat	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fchown	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fchownat	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fremovexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – fsetxattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – lchown	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – lremovexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – lsetxattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – removexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את בקרות הגישה לפי שיקול דעת של המערכת – setxattr	בינוני	לקבוע ערך (pass)
4.1.3.10	צריך לוודא ש-auditd אוסף מידע על ייצוא למדיה (הפעולה בוצעה בהצלחה)	בינוני	לקבוע ערך (pass)
4.1.3.11	תיעוד ניסיונות לשנות את פרטי התהליך וההפעלה של הסשן	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשנות אירועי התחברות והתנתקות – faillog	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשנות אירועי התחברות והתנתקות – lastlog	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשנות אירועי התחברות והתנתקות – tallylog	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועי מחיקת קבצים לפי משתמש – שינוי שם	בינוני	לקבוע ערך (pass)
4.1.3.13	Ensure auditd Collects File Deletion Events by User - renameat	בינוני	לקבוע ערך (pass)
4.1.3.13	Ensure auditd Collects File Deletion Events by User - unlink	בינוני	לקבוע ערך (pass)
4.1.3.13	צריך לוודא ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – unlinkat	בינוני	לקבוע ערך (pass)
4.1.3.14	תיעוד אירועים שמשנים את בקרות הגישה המנדטוריות של המערכת	בינוני	לקבוע ערך (pass)
4.1.3.15	תיעוד של כל הניסיונות להפעיל את chcon	בינוני	לקבוע ערך (pass)
4.1.3.16	תיעוד כל הניסיונות להפעיל את setfacl	בינוני	לקבוע ערך (pass)
4.1.3.17	תיעוד כל הניסיונות להפעיל את chacl	בינוני	לקבוע ערך (pass)
4.1.3.18	Ensure auditd Collects Information on the Use of Privileged Commands - usermod	בינוני	לקבוע ערך (pass)
4.1.3.19	Ensure auditd Collects Information on Kernel Module Loading - init_module	בינוני	לקבוע ערך (pass)
4.1.3.19	Ensure auditd Collects Information on Kernel Module Unloading - delete_module	בינוני	לקבוע ערך (pass)
4.1.3.19	Ensure auditd Collects Information on the Use of Privileged Commands - insmod	בינוני	לקבוע ערך (pass)
4.1.3.19	Ensure auditd Collects Information on the Use of Privileged Commands - modprobe	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – rmmod	בינוני	לקבוע ערך (pass)
4.1.3.20	הגדרת auditd כבלתי ניתנת לשינוי	בינוני	לקבוע ערך (pass)
4.1.4.1	יומני הביקורת של המערכת חייבים להיות במצב 0640 או פחות מתירני	בינוני	לקבוע ערך (pass)
4.1.4.2	יומני הביקורת של המערכת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
4.1.4.3	יומני הביקורת של המערכת חייבים להיות בבעלות קבוצתית של Root	בינוני	לקבוע ערך (pass)
4.1.4.4	יומני הביקורת של המערכת חייבים להיות במצב 0750 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
4.1.4.5	אימות ההרשאות ב-‎/etc/audit/auditd.conf	בינוני	לקבוע ערך (pass)
4.1.4.5	אימות ההרשאות ב-‎/etc/audit/rules.d/*.rules	בינוני	לקבוע ערך (pass)
4.1.4.6	קובצי התצורה של הביקורת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
4.1.4.7	קבצי התצורה של הביקורת חייבים להיות בבעלות של קבוצת הבסיס (root)	בינוני	לקבוע ערך (pass)
4.1.4.8	מוודאים שכלי הביקורת הם במצב 0755 או פחות	בינוני	לקבוע ערך (pass)
4.1.4.9	מוודאים שכלי הביקורת נמצאים בבעלות של משתמש הבסיס (root)	בינוני	לקבוע ערך (pass)
4.1.4.10	אימות שכלי הביקורת נמצאים בבעלות של קבוצת הבסיס (root)	בינוני	לקבוע ערך (pass)
4.2.1.1.1	התקנת החבילה systemd-journal-remote	בינוני	לקבוע ערך (pass)
4.2.1.1.4	השבתת השקע של systemd-journal-remote	בינוני	לקבוע ערך (pass)
4.2.1.2	הפעלת השירות systemd-journald	בינוני	לקבוע ערך (pass)
4.2.1.3	מוודאים ש-journald מוגדר לדחוס קובצי יומן גדולים	בינוני	לקבוע ערך (pass)
4.2.1.4	צריך לוודא ש-journald מוגדר לכתוב קובצי יומן לדיסק אחסון מתמיד (persistent disk)	בינוני	לקבוע ערך (pass)
4.2.2.1	מוודאים ש-rsyslog מותקן	בינוני	לקבוע ערך (pass)
4.2.2.2	הפעלת שירות rsyslog	בינוני	לקבוע ערך (pass)
4.2.2.4	מוודאים שהוגדרו הרשאות ברירת המחדל לקבצים של rsyslog	בינוני	לקבוע ערך (pass)
4.2.2.7	צריך לוודא ש-rsyslog לא מקבל הודעות מרחוק, אלא אם הוא פועל כשרת יומנים	בינוני	לקבוע ערך (pass)
5.1.1	הפעלת שירות cron	בינוני	לקבוע ערך (pass)
5.1.2	אימות הקבוצה שהיא הבעלים של Crontab	בינוני	לקבוע ערך (pass)
5.1.2	אימות הבעלים ב-crontab	בינוני	לקבוע ערך (pass)
5.1.2	אימות ההרשאות ב-crontab	בינוני	לקבוע ערך (pass)
5.1.3	אימות הקבוצה שהיא הבעלים של cron.hourly	בינוני	לקבוע ערך (pass)
5.1.3	אימות הבעלים ב-cron.hourly	בינוני	לקבוע ערך (pass)
5.1.3	אימות ההרשאות ב-cron.hourly	בינוני	לקבוע ערך (pass)
5.1.4	אימות הקבוצה שבבעלותה cron.daily	בינוני	לקבוע ערך (pass)
5.1.4	אימות הבעלים ב-cron.daily	בינוני	לקבוע ערך (pass)
5.1.4	אימות ההרשאות ב-cron.daily	בינוני	לקבוע ערך (pass)
5.1.5	אימות הקבוצה שבבעלותה cron.weekly	בינוני	לקבוע ערך (pass)
5.1.5	אימות הבעלים ב-cron.weekly	בינוני	לקבוע ערך (pass)
5.1.5	אימות ההרשאות ב-cron.weekly	בינוני	לקבוע ערך (pass)
5.1.6	אימות הקבוצה שבבעלותה cron.monthly	בינוני	לקבוע ערך (pass)
5.1.6	אימות הבעלים ב-cron.monthly	בינוני	לקבוע ערך (pass)
5.1.6	אימות ההרשאות ב-cron.monthly	בינוני	לקבוע ערך (pass)
5.1.7	אימות הקבוצה שהיא הבעלים של cron.d	בינוני	לקבוע ערך (pass)
5.1.7	אימות הבעלים ב-cron.d	בינוני	לקבוע ערך (pass)
5.1.7	אימות ההרשאות ב-cron.d	בינוני	לקבוע ערך (pass)
5.1.8	מוודאים שהקובץ ‎/etc/cron.deny לא קיים	בינוני	לקבוע ערך (pass)
5.1.8	אימות הקבוצה שהקובץ ‎/etc/cron.allow בבעלותה	בינוני	לקבוע ערך (pass)
5.1.8	אימות ההרשאות בקובץ ‎/etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.8	אימות המשתמש שהוא הבעלים של הקובץ ‎/etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.9	מוודאים שהקובץ ‎/etc/at.deny לא קיים	בינוני	לקבוע ערך (pass)
5.1.9	אימות הקבוצה שהקובץ ‎/etc/at.allow בבעלותה	בינוני	לקבוע ערך (pass)
5.1.9	אימות ההרשאות בקובץ ‎/etc/at.allow	בינוני	לקבוע ערך (pass)
5.1.9	אימות המשתמש שהוא הבעלים של הקובץ ‎/etc/at.allow	בינוני	לקבוע ערך (pass)
5.2.1	אימות הקבוצה שהיא הבעלים של קובץ התצורה של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.2.1	אימות הבעלים בקובץ התצורה של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.2.1	אימות ההרשאות בקובץ התצורה של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.2.2	אימות ההרשאות בקובצי המפתחות הפרטיים ‎ *_key של שרת ה-SSH	בינוני	לקבוע ערך (pass)
5.2.3	אימות ההרשאות בקובצי מפתח ציבורי ‎ *.pub של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.5	מגדירים את LogLevel ל-INFO	נמוך	לקבוע ערך (pass)
5.2.6	הפעלת PAM	בינוני	לקבוע ערך (pass)
5.2.7	השבתת התחברות SSH Root	בינוני	לקבוע ערך (pass)
5.2.8	השבתת אימות מבוסס-מארח	בינוני	לקבוע ערך (pass)
5.2.9	השבתת הגישה ל-SSH באמצעות סיסמאות ריקות	גבוה	לקבוע ערך (pass)
5.2.10	אין הרשאה לאפשרויות סביבת SSH	בינוני	לקבוע ערך (pass)
5.2.11	השבתת התמיכה ב-SSH לקובצי ‎ .rhosts	בינוני	לקבוע ערך (pass)
5.2.12	השבתת העברת X11	בינוני	לקבוע ערך (pass)
5.2.13	שימוש בצפנים חזקים בלבד	בינוני	לקבוע ערך (pass)
5.2.14	שימוש רק ב-MAC חזקים	בינוני	לקבוע ערך (pass)
5.2.15	שימוש רק באלגוריתמים חזקים להחלפת מפתחות	בינוני	לקבוע ערך (pass)
5.2.16	השבתת העברת SSH TCP	בינוני	לקבוע ערך (pass)
5.2.17	הפעלת באנר אזהרה של SSH	בינוני	לקבוע ערך (pass)
5.2.18	הגדרת מגבלה על מספר ניסיונות האימות ב-SSH	בינוני	לקבוע ערך (pass)
5.2.19	מוודאים שהוגדר SSH MaxStartups	בינוני	לקבוע ערך (pass)
5.2.20	הגדרת המגבלה של MaxSessions ב-SSH	בינוני	לקבוע ערך (pass)
5.2.21	מוודאים שהוגדר SSH LoginGraceTime	בינוני	לקבוע ערך (pass)
5.2.22	הגדרת מספר הניסיונות המקסימלי לשליחת הודעות ClientAlive של לקוח SSH	בינוני	לקבוע ערך (pass)
5.2.22	הגדרת מרווח הזמן לשמירת החיבור של לקוח SSH	בינוני	לקבוע ערך (pass)
5.3.1	התקנת חבילת sudo	בינוני	לקבוע ערך (pass)
5.3.2	Ensure Only Users Logged In To Real tty Can Execute Sudo - sudo use_pty	בינוני	לקבוע ערך (pass)
5.3.3	מוודאים שקיים קובץ יומן של Sudo – קובץ יומן של sudo	נמוך	לקבוע ערך (pass)
5.3.5	Ensure Users Re-Authenticate for Privilege Escalation - sudo !authenticate	בינוני	לקבוע ערך (pass)
5.3.6	דרישה לאימות מחדש כשמשתמשים בפקודת sudo	בינוני	לקבוע ערך (pass)
5.3.7	אכיפת השימוש ב-pam_wheel עם פרמטר קבוצה לאימות su	בינוני	לקבוע ערך (pass)
5.3.7	צריך לוודא שהקבוצה שמשמשת את המודול pam_wheel קיימת במערכת ושהיא ריקה	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר הניסיונות המותרים לאימות בכל סשן	בינוני	לקבוע ערך (pass)
5.4.1	צריך לוודא ש-PAM אוכף את הדרישות לגבי סיסמאות – מספר מינימלי של קטגוריות שונות	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של תווים שהם ספרות	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – אורך מינימלי	בינוני	לקבוע ערך (pass)
5.4.1	צריך לוודא ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות קטנות	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את הדרישות לגבי סיסמאות – מספר מינימלי של תווים מיוחדים	בינוני	לקבוע ערך (pass)
5.4.1	צריך לוודא ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות רישיות	בינוני	לקבוע ערך (pass)
5.4.1	התקנת החבילה pam_pwquality	בינוני	לקבוע ערך (pass)
5.4.2	נעילת חשבונות אחרי ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.2	הגדרת מרווח הזמן לספירת ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.2	הגדרת משך הנעילה אחרי ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.3	הגבלת השימוש החוזר בסיסמאות	בינוני	לקבוע ערך (pass)
5.4.4	הגדרת אלגוריתם גיבוב (hashing) של סיסמאות ב-‎/etc/login.defs	בינוני	לקבוע ערך (pass)
5.5.1.1	הגדרת הגיל המינימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.5.1.1	הגדרת גיל מינימלי לסיסמה	בינוני	לקבוע ערך (pass)
5.5.1.2	הגדרת הגיל המקסימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.5.1.3	הגדרת משך הזמן להצגת אזהרת הסיסמה	בינוני	לקבוע ערך (pass)
5.5.1.4	הגדרת תפוגת תוקף של חשבון אחרי חוסר פעילות	בינוני	לקבוע ערך (pass)
5.5.1.5	לוודא שהתאריך של שינוי הסיסמה האחרון של כל המשתמשים הוא בעבר	בינוני	לקבוע ערך (pass)
5.5.2	מוודאים שחשבונות המערכת לא מריצים מעטפת (shell) בזמן ההתחברות	בינוני	לקבוע ערך (pass)
5.5.3	אימות של-Root יש GID ראשי 0	גבוה	לקבוע ערך (pass)
5.5.4	מוודאים שברירת המחדל של Bash Umask מוגדרת בצורה נכונה	בינוני	לקבוע ערך (pass)
5.5.4	צריך לוודא שברירת המחדל של מסכת ההרשאות (umask) מוגדרת בצורה נכונה למשתמשים אינטראקטיביים	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שברירת המחדל של Umask מוגדרת בצורה נכונה ב-‎/etc/profile	בינוני	לקבוע ערך (pass)
5.5.4	צריך לוודא שברירת המחדל של Umask מוגדרת בצורה נכונה ב-login.defs	בינוני	לקבוע ערך (pass)
5.5.5	הגדרת הזמן הקצוב לתפוגה של סשן אינטראקטיבי	בינוני	לקבוע ערך (pass)
6.1.1	אימות הקבוצה שהיא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
6.1.1	אימות ההרשאות בקובץ passwd	בינוני	לקבוע ערך (pass)
6.1.1	אימות המשתמש שהוא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות הקבוצה שבבעלותה קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות ההרשאות בקובץ הגיבוי של passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות המשתמש שהוא הבעלים של קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.3	אימות הקבוצה שהיא הבעלים של קובץ הקבוצה	בינוני	לקבוע ערך (pass)
6.1.3	אימות ההרשאות בקובץ הקבוצה	בינוני	לקבוע ערך (pass)
6.1.3	אימות המשתמש שהוא הבעלים של קובץ הקבוצה	בינוני	לקבוע ערך (pass)
6.1.4	אימות הקבוצה שבבעלותה קובץ הגיבוי של הקבוצה	בינוני	לקבוע ערך (pass)
6.1.4	אימות ההרשאות בקובץ הגיבוי של הקבוצה	בינוני	לקבוע ערך (pass)
6.1.4	אימות המשתמש שהוא הבעלים של קובץ הגיבוי של הקבוצה	בינוני	לקבוע ערך (pass)
6.1.5	אימות הקבוצה שהיא הבעלים של קובץ shadow	בינוני	לקבוע ערך (pass)
6.1.5	אימות ההרשאות בקובץ shadow	בינוני	לקבוע ערך (pass)
6.1.5	אימות המשתמש שהוא הבעלים של קובץ shadow	בינוני	לקבוע ערך (pass)
6.1.6	אימות הקבוצה שבבעלותה קובץ ה-shadow של הגיבוי	בינוני	לקבוע ערך (pass)
6.1.6	אימות ההרשאות בקובץ הגיבוי של Shadow	בינוני	לקבוע ערך (pass)
6.1.6	אימות המשתמש שהוא הבעלים של קובץ הגיבוי של shadow	בינוני	לקבוע ערך (pass)
6.1.7	אימות הקבוצה שהיא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.7	אימות ההרשאות בקובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.7	אימות המשתמש שהוא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות הקבוצה שבבעלותה קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות ההרשאות בקובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות המשתמש שהוא הבעלים של קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.2.1	אימות שכל ערכי הגיבוב של הסיסמאות לחשבונות מוסתרים	בינוני	לקבוע ערך (pass)
6.2.2	מוודאים שאין חשבונות עם סיסמאות ריקות או סיסמאות Null	גבוה	לקבוע ערך (pass)
6.2.3	כל מזהי ה-GID שמוזכרים ב-‎/etc/passwd חייבים להיות מוגדרים ב-‎/etc/group	נמוך	לקבוע ערך (pass)
6.2.4	מוודאים שקבוצת הצללים ריקה	בינוני	לקבוע ערך (pass)
6.2.5	מוודאים שלכל החשבונות במערכת יש מזהי משתמשים ייחודיים	בינוני	לקבוע ערך (pass)
6.2.6	צריך לוודא שלכל הקבוצות במערכת יש מזהה קבוצה ייחודי	בינוני	לקבוע ערך (pass)
6.2.7	מוודאים שלכל החשבונות במערכת יש שמות ייחודיים	בינוני	לקבוע ערך (pass)
6.2.8	צריך לוודא שלכל הקבוצות במערכת יש שמות ייחודיים	בינוני	לקבוע ערך (pass)
6.2.9	מוודאים שהנתיב של Root לא כולל נתיבים יחסיים או ספריות ריקות	לא ידוע	לקבוע ערך (pass)
6.2.9	מוודאים שהנתיב של Root לא כולל ספריות שניתנות לכתיבה על ידי קבוצה או על ידי כולם	בינוני	לקבוע ערך (pass)
6.2.10	אימות שרק לשורש יש UID 0	גבוה	לקבוע ערך (pass)
6.2.11	כל ספריות הבית של המשתמשים האינטראקטיביים חייבות להיות קיימות	בינוני	לקבוע ערך (pass)
6.2.12	כל ספריות הבית של המשתמשים האינטראקטיביים חייבות להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
6.2.12	כל ספריות הבית של המשתמשים האינטראקטיביים חייבות להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
6.2.13	כל ספריות הבית של המשתמשים האינטראקטיביים חייבות להיות במצב 0750 או פחות מתירני	בינוני	לקבוע ערך (pass)
6.2.14	איך מוודאים שאין קובצי netrc	בינוני	לקבוע ערך (pass)
6.2.15	אימות שאין קובצי ‎ .forward	בינוני	לקבוע ערך (pass)
6.2.16	הסרת קובצי Rsh Trust	גבוה	לקבוע ערך (pass)
6.2.17	קובצי האתחול של המשתמשים חייבים להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
6.2.17	קבצי האתחול של המשתמש חייבים להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
6.2.17	קובצי אתחול של משתמשים לא יכולים להריץ תוכניות שניתנות לכתיבה על ידי כולם	בינוני	לקבוע ערך (pass)

המלצות לא רלוונטיות

בטבלה הבאה מפורטות ההמלצות שלא רלוונטיות ל-Google Distributed Cloud.

#	המלצה	חוּמרה	סטטוס
1.1.2.2	הוספת האפשרות nodev ל-/tmp	בינוני	notapplicable
1.1.2.3	הוספת האפשרות noexec ל-‎/tmp	בינוני	notapplicable
1.1.2.4	הוספת האפשרות nosuid ל-‎/tmp	בינוני	notapplicable
1.1.3.2	הוספת האפשרות nodev ל-/var	בינוני	notapplicable
1.1.3.3	הוספת האפשרות nosuid ל-‎/var	בינוני	notapplicable
1.1.4.2	הוספת האפשרות noexec ל-‎/var/tmp	בינוני	notapplicable
1.1.4.3	הוספת האפשרות nosuid ל-‎/var/tmp	בינוני	notapplicable
1.1.4.4	הוספת האפשרות nodev ל-‎/var/tmp	בינוני	notapplicable
1.1.5.2	הוספת האפשרות nodev ל-‎/var/log	בינוני	notapplicable
1.1.5.3	הוספת האפשרות noexec ל-‎/var/log	בינוני	notapplicable
1.1.5.4	הוספת האפשרות nosuid ל-‎/var/log	בינוני	notapplicable
1.1.6.2	הוספת האפשרות noexec ל-‎/var/log/audit	בינוני	notapplicable
1.1.6.3	הוספת האפשרות nodev ל-‎/var/log/audit	בינוני	notapplicable
1.1.6.4	הוספת האפשרות nosuid ל-‎/var/log/audit	בינוני	notapplicable
1.1.7.2	הוספת האפשרות nodev ל-‎/home	לא ידוע	notapplicable
1.1.7.3	הוספת האפשרות nosuid ל-‎/home	בינוני	notapplicable
1.4.1	הגדרת הסיסמה של מנהל האתחול של UEFI	גבוה	notapplicable
1.8.1	הסרת קבוצת החבילות של GDM	בינוני	notapplicable
1.8.4	הפעלת נעילת שומר המסך של GNOME3 אחרי פרק זמן ללא פעילות	בינוני	notapplicable
1.8.5	הגדרת משך הזמן עד לנעילת שומר המסך של GNOME3 לאחר תקופת ההפעלה	בינוני	notapplicable
1.8.6	השבתת הפתיחה של טעינה אוטומטית ב-GNOME3	בינוני	notapplicable
1.8.6	השבתת הטעינה האוטומטית של GNOME3	בינוני	notapplicable
1.8.8	השבתת ההפעלה של GNOME3 Automount	נמוך	notapplicable
1.8.10	השבתת XDMCP ב-GDM	גבוה	notapplicable
1.10	הגדרת פרופיל משתמש GNOME3 DConf	גבוה	notapplicable
2.1.4.1	הגדרת הגבלות על השרת ל-ntpd	בינוני	notapplicable
2.1.4.3	הגדרת ntpd להפעלה כמשתמש ntp	בינוני	notapplicable
2.1.4.4	הפעלת ה-daemon של NTP	גבוה	notapplicable
2.2.15	השבתת האזנה לרשת של Postfix	בינוני	notapplicable
3.5.1.3	אימות ש-ufw מופעל	בינוני	notapplicable
3.5.1.4	הגדרת תנועת לולאה חוזרת (loopback) ב-UFW	בינוני	notapplicable
3.5.1.6	מוודאים שקיימים כללי חומת אש של ufw לכל היציאות הפתוחות	בינוני	notapplicable
3.5.1.7	Ensure ufw Default Deny Firewall Policy	בינוני	notapplicable
3.5.3.2.1	הגדרת מדיניות ברירת מחדל של iptables לחבילות נכנסות	בינוני	notapplicable
3.5.3.2.2	הגדרת תצורה לתעבורת נתונים של לולאה חוזרת (loopback)	בינוני	notapplicable
3.5.3.2.4	מוודאים שקיימים כללי חומת אש של iptables לכל היציאות הפתוחות	בינוני	notapplicable
3.5.3.3.1	הגדרת מדיניות ברירת מחדל של ip6tables לחבילות נכנסות	בינוני	notapplicable
3.5.3.3.4	צריך לוודא שקיימים כללים של חומת האש ip6tables לכל היציאות הפתוחות	בינוני	notapplicable

המלצות שלא נכללות בהערכה

#	המלצה	חוּמרה	סטטוס
1.3.1	פיתוח ובדיקה של מסד נתונים של AIDE	בינוני	לא נבדק
1.3.1	התקנת AIDE	בינוני	לא נבדק
1.3.2	הגדרת הפעלה תקופתית של AIDE	בינוני	לא נבדק
1.4.2	אימות בעלות המשתמש על ‎/boot/grub/grub.cfg	בינוני	לא נבדק
1.6.1.3	כל הפרופילים של AppArmor נמצאים במצב אכיפה או במצב תלונה	בינוני	לא נבדק
1.8.2	הפעלת באנר אזהרה בכניסה ל-GNOME3	בינוני	לא נבדק
1.8.2	הגדרת הטקסט של באנר האזהרה בכניסה ל-GNOME3	בינוני	לא נבדק
1.8.3	השבתת רשימת המשתמשים להתחברות ב-GNOME3	בינוני	לא נבדק
2.1.2.2	צריך לוודא ש-chronyd פועל בחשבון המשתמש של chrony	בינוני	לא נבדק
2.1.2.3	השירות Chronyd מופעל	בינוני	לא נבדק
3.5.1.2	הסרת החבילה iptables-persistent	בינוני	לא נבדק
3.5.2.6	הגדרת nftables לתעבורת נתונים של לולאה חוזרת (loopback)	בינוני	לא נבדק
3.5.3.3.2	הגדרת תצורה לתעבורת נתונים של לולאה חוזרת (loopback) ב-IPv6	בינוני	לא נבדק
4.1.1.3	הפעלת ביקורת לתהליכים שמתחילים לפני ה-daemon של הביקורת	נמוך	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - at	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - chage	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - chfn	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - chsh	בינוני	לא נבדק
4.1.3.6	צריך לוודא ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – crontab	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - gpasswd	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - mount	בינוני	לא נבדק
4.1.3.6	צריך לוודא ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – newgidmap	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - newgrp	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - newuidmap	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - postdrop	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - postqueue	בינוני	לא נבדק
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - ssh-keysign	בינוני	לא נבדק
4.1.3.6	תיעוד כל הניסיונות להפעיל את ssh-agent	בינוני	לא נבדק
4.1.4.11	הגדרת AIDE לאימות כלי הביקורת	בינוני	לא נבדק
4.2.2.6	מוודאים שהיומנים נשלחים למארח מרוחק	בינוני	לא נבדק
6.1.9	מוודאים שאין קבצים שניתנים לכתיבה על ידי כל המשתמשים	בינוני	לא נבדק
6.1.11	מוודאים שכל הקבצים נמצאים בבעלות של קבוצה	בינוני	לא נבדק

הגדרת משימת cron של AIDE

‫AIDE הוא כלי לבדיקת תקינות של קבצים, שמאמת את התאימות להמלצות של CIS Level 1 Server לבדיקת תקינות של מערכת הקבצים (סעיף 6.3 ב-Ubuntu 24.04 וסעיף 1.3 ב-Ubuntu 22.04). ב-Google Distributed Cloud, תהליך ה-AIDE יכול לגרום לשימוש גבוה במשאבים.

תהליך ה-AIDE בצמתים מושבת כברירת מחדל כדי למנוע בעיות במשאבים. השבתת התהליך הזה משפיעה על התאימות להמלצה לבדוק באופן קבוע את תקינות מערכת הקבצים (6.3.2 ב-Ubuntu 24.04 ו-1.3.2 ב-Ubuntu 22.04).

אם ברצונך להצטרף להפעלת משימת ה-cron של AIDE, השלם את השלבים הבאים כדי להפעיל מחדש את AIDE:

יוצרים DaemonSet.

הנה מניפסט של DaemonSet:

apiVersion: apps/v1
kind: DaemonSet
metadata:
name: enable-aide-pool1
spec:
selector:
  matchLabels:
    app: enable-aide-pool1
template:
  metadata:
    labels:
      app: enable-aide-pool1
  spec:
    hostIPC: true
    hostPID: true
    nodeSelector:
      cloud.google.com/gke-nodepool: pool-1
    containers:
    - name: update-audit-rule
      image: ubuntu
      command: ["chroot", "/host", "bash", "-c"]
      args:
      - |
        set -x
        while true; do
          # change daily cronjob schedule
          minute=30;hour=5
          sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab

          # enable aide
          chmod 755 /etc/cron.daily/aide

          sleep 3600
        done
      volumeMounts:
      - name: host
        mountPath: /host
      securityContext:
        privileged: true
    volumes:
    - name: host
      hostPath:
        path: /

במניפסט שלמעלה:

משימת ה-cron של AIDE תפעל רק במאגר הצמתים pool-1, כפי שצוין על ידי nodeSelector cloud.google.com/gke-nodepool: pool-1. כדי להגדיר את תהליך ה-AIDE כך שיפעל על כמה מאגרי צמתים שרוצים, מציינים את המאגרים בשדה nodeSelector. כדי להריץ את אותו לוח זמנים של משימות cron במאגרי צמתים שונים, צריך להסיר את השדה nodeSelector. עם זאת, כדי למנוע עומס על משאבי המארח, מומלץ להגדיר לוחות זמנים נפרדים.
משימת ה-cron מתוזמנת לפעול מדי יום בשעה 5:30 בבוקר, כפי שצוין בהגדרה minute=30;hour=5. אפשר להגדיר לוחות זמנים שונים למשימת ה-cron של AIDE, לפי הצורך.

מעתיקים את המניפסט לקובץ בשם enable-aide.yaml ויוצרים את ה-DaemonSet:
```
kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
```
כאשר USER_CLUSTER_KUBECONFIG הוא הנתיב של קובץ kubeconfig של אשכול המשתמש.

שימוש בהערכה של Security Content Automation Protocol‏ (SCAP)

מומלץ לסרוק את ההתקנה בעצמכם כדי להעריך את התאימות שלה לרמה 2 של מדד ה-CIS של Ubuntu Linux. יש מגוון כלים לסריקת האשכולות ותחנת העבודה של האדמין. כדי לבצע הערכת אבטחה ברמה 2, אפשר להתקין ולהריץ את ערכת הכלים בקוד פתוח OpenSCAP:

מעתיקים את הסקריפט הבא לקובץ בשם cis-benchmark.sh. הסקריפט הזה מיועד לגרסאות 1.35 ואילך, שמשתמשות ב-Ubuntu 24.04. בגרסה 1.34, שמשתמשת ב-Ubuntu 22.04, מחליפים את openscap-utils openscap-common ב-libopenscap8 ואת ssg-ubuntu2404-ds.xml ב-ssg-ubuntu2204-ds-1.2.xml:

#!/bin/bash

set -x

REPORTS_DIR="$1"

mkdir -p "${REPORTS_DIR}"

echo "Start CIS L2 benchmark evaluation..."
sudo apt update
sudo apt install -y openscap-utils openscap-common
sudo oscap xccdf eval \
    --profile cis_level2_server_customized \
    --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \
    --results "${REPORTS_DIR}"/cis-results.xml \
    --report "${REPORTS_DIR}"/cis-report.html \
    /etc/cloud/usg/ssg-ubuntu2404-ds.xml > "${REPORTS_DIR}"/cis-output.log 2>&1
chmod -R 755 "${REPORTS_DIR}/.."
echo "Done CIS L2 benchmark evaluation"

הופכים את הסקריפט לניתן להפעלה:
```
chmod +x cis-benchmark.sh
```
מריצים את הסקריפט:
```
./cis-benchmark.sh REPORTS_DIR
```
מחליפים את REPORTS_DIR בנתיב של ספרייה קיימת שבה רוצים לשמור את דוח ההערכה שנוצר.

כשהסקריפט מסתיים, הספרייה REPORTS_DIR מכילה את הקובץ cis-report.html שנוצר.

CIS Ubuntu Benchmark קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

גישה לנקודת ההשוואה

פרופיל להעלאת הגדרות

הערכה ב-Google Distributed Cloud

הסטטוס של Google Distributed Cloud

‫1.36 ו-1.35

גרסאות

המלצות שנכשלו

המלצות שעברו את הבדיקה

המלצות לא רלוונטיות

המלצות שלא נכללות בהערכה

1.34

גרסאות

המלצות שנכשלו

המלצות שעברו את הבדיקה

המלצות לא רלוונטיות

המלצות שלא נכללות בהערכה

הגדרת משימת cron של AIDE

שימוש בהערכה של Security Content Automation Protocol‏ (SCAP)

CIS Ubuntu Benchmark