Questo documento descrive il livello di conformità di Google Distributed Cloud con il benchmark CIS Ubuntu.
Accedi al benchmark
Il benchmark CIS Ubuntu è disponibile sul sito web CIS.
Profilo di configurazione
Nel documento CIS Ubuntu Benchmark, puoi leggere informazioni sui profili di configurazione. Le immagini Ubuntu utilizzate da Google Distributed Cloud sono sottoposte ad aumento della protezione per soddisfare il profilo Livello 2 - Server.
Valutazione su Google Distributed Cloud
Utilizziamo i seguenti valori per specificare lo stato dei suggerimenti di Ubuntu in Google Distributed Cloud.
| Stato | Descrizione |
|---|---|
| superata | Conforme a un suggerimento di benchmark. |
| non superata | Devia da un consiglio di benchmark. |
| notapplicable | Non è pertinente per essere testato sul sistema in fase di valutazione. |
Stato di Google Distributed Cloud
Le immagini Ubuntu utilizzate con Google Distributed Cloud sono sottoposte ad aumento della protezione per soddisfare il profilo CIS
Level 2 - Server. La valutazione utilizza il profilo cis_level2_server_customized, che personalizza il profilo CIS livello 2 - Server per Google Distributed Cloud.
Per ogni versione, le seguenti tabelle elencano i suggerimenti valutati che Google Distributed Cloud non rispetta, insieme alle VM a cui si applica ogni risultato, ai suggerimenti che vengono superati o non si applicano e ai suggerimenti che il profilo personalizzato esclude dalla valutazione.
Lo scanner valuta i suggerimenti del firewall iptables solo se non è installato né il pacchetto nftables né il pacchetto ufw. Poiché le immagini includono uno di questi pacchetti, i suggerimenti relativi a iptables vengono segnalati come non applicabili, il che non riflette la policy del firewall dei nodi.
A partire dalla versione 1.35, Google Distributed Cloud utilizza immagini Ubuntu 24.04 LTS, che vengono valutate in base al benchmark CIS Ubuntu Linux 24.04 LTS. I numeri dei suggerimenti e l'insieme di suggerimenti differiscono dal benchmark CIS Ubuntu Linux 22.04 LTS utilizzato per la versione 1.34.
1.36 e 1.35
Versioni
Questa sezione si riferisce alle seguenti versioni:
| Versione di Google Distributed Cloud | Versione di Ubuntu | Versione del benchmark CIS Ubuntu | Livello CIS |
|---|---|---|---|
| 1,36 | 24.04 LTS | v1.0.0 | Server di livello 2 |
| 1,35 | 24.04 LTS | v1.0.0 | Server di livello 2 |
Suggerimenti non riusciti
La tabella seguente elenca i suggerimenti del benchmark con cui Google Distributed Cloud non è conforme e le VM a cui si applica ogni risultato. Le VM sono i nodi del control plane del cluster, i nodi worker e la workstation di amministrazione.
| # | Suggerimento | Gravità | Stato | Applicabile a |
|---|---|---|---|---|
| 1.1.2.1.1 | Assicurati che /tmp si trovi su una partizione separata | low | non superata | Tutti |
| 1.1.2.3.1 | Assicurati che /home si trovi su una partizione separata | low | non superata | Tutti |
| 1.1.2.4.1 | Assicurati che /var si trovi su una partizione separata | low | non superata | Tutti |
| 1.1.2.5.1 | Assicurati che /var/tmp si trovi su una partizione separata | media | non superata | Tutti |
| 1.1.2.6.1 | Assicurati che /var/log si trovi su una partizione separata | low | non superata | Tutti |
| 1.1.2.7.1 | Assicurati che /var/log/audit si trovi su una partizione separata | low | non superata | Tutti |
| 1.4.1 | Imposta la password del bootloader in grub2 | high | non superata | Tutti |
| 2.3.2.1 | Configura i server Timesyncd di Systemd | media | non superata | Tutti |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 | media | non superata | Nodi del control plane, nodi worker |
| 5.1.4 | Limita l'accesso SSH degli utenti | sconosciuto | non superata | Tutti |
| 5.2.4 | Assicurati che gli utenti eseguano nuovamente l'autenticazione per l'escalation dei privilegi - sudo | media | non superata | Tutti |
| 5.4.1.1 | Imposta l'età massima della password | media | non superata | Tutti |
| 6.1.3.3 | Assicurati che journald sia configurato per inviare i log a rsyslog | media | non superata | Nodi del control plane, nodi worker |
| 6.1.4.1 | Verifica la proprietà del gruppo dei file di log | media | non superata | Nodi del control plane |
| 6.1.4.1 | Verifica la proprietà dei file di log | media | non superata | Nodi del control plane |
| 6.1.4.1 | Verifica le autorizzazioni dei file di log | media | non superata | Nodi del control plane, nodi worker |
| 6.2.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi | media | non superata | Tutti |
| 7.1.12 | Assicurati che tutti i file siano di proprietà di un utente | media | non superata | Nodi del control plane |
Suggerimenti superati
La tabella seguente elenca i suggerimenti di benchmark con cui Google Distributed Cloud è conforme.
| # | Suggerimento | Gravità | Stato |
|---|---|---|---|
| 1.1.1.1 | Disattiva il montaggio di cramfs | low | superata |
| 1.1.1.2 | Disattiva il montaggio di freevxfs | low | superata |
| 1.1.1.3 | Disabilita l'installazione di hfs | low | superata |
| 1.1.1.4 | Disabilita il montaggio di hfsplus | low | superata |
| 1.1.1.5 | Disattiva il montaggio di jffs2 | low | superata |
| 1.1.1.6 | Assicurati che il modulo kernel overlayfs non sia disponibile | low | superata |
| 1.1.1.8 | Disattiva l'installazione di udf | low | superata |
| 1.1.1.9 | Disattiva il caricamento modprobe del driver di archiviazione USB | media | superata |
| 1.1.2.2.1 | Assicurati che /dev/shm sia configurato | low | superata |
| 1.1.2.2.2 | Aggiungi l'opzione nodev a /dev/shm | media | superata |
| 1.1.2.2.3 | Aggiungi l'opzione nosuid a /dev/shm | media | superata |
| 1.1.2.2.4 | Aggiungi l'opzione noexec a /dev/shm | media | superata |
| 1.3.1.1 | Assicurati che AppArmor Utils sia installato | media | superata |
| 1.3.1.1 | Assicurati che AppArmor sia installato | media | superata |
| 1.3.1.2 | Assicurati che AppArmor sia abilitato nella configurazione del bootloader | media | superata |
| 1.4.2 | Verifica le autorizzazioni di /boot/grub/grub.cfg | media | superata |
| 1.5.1 | Abilita il layout randomizzato dello spazio degli indirizzi virtuali | media | superata |
| 1.5.2 | Limita l'utilizzo di ptrace ai processi discendenti | media | superata |
| 1.5.3 | Disattiva i core dump per tutti gli utenti | media | superata |
| 1.5.3 | Disabilita i core dump per i programmi SUID | media | superata |
| 1.5.4 | Il pacchetto "prelink" non deve essere installato | media | superata |
| 1.5.5 | Disattiva il servizio Apport | sconosciuto | superata |
| 1.6.1 | Assicurati che il messaggio del giorno sia configurato correttamente | media | superata |
| 1.6.2 | Assicurati che il banner di avviso di accesso locale sia configurato correttamente | media | superata |
| 1.6.3 | Assicurati che il banner di avviso di accesso remoto sia configurato correttamente | media | superata |
| 1.6.4 | Verifica la proprietà del gruppo del banner Messaggio del giorno | media | superata |
| 1.6.4 | Verifica la proprietà del banner Messaggio del giorno | media | superata |
| 1.6.4 | Verifica le autorizzazioni sul banner Messaggio del giorno | media | superata |
| 1.6.5 | Verifica la proprietà del gruppo del banner di accesso al sistema | media | superata |
| 1.6.5 | Verifica la proprietà del banner di accesso al sistema | media | superata |
| 1.6.5 | Verifica le autorizzazioni sul banner di accesso al sistema | media | superata |
| 1.6.6 | Verifica la proprietà del gruppo del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.6.6 | Verifica la proprietà del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.6.6 | Verifica le autorizzazioni sul banner di accesso al sistema per le connessioni remote | media | superata |
| 2.1.1 | Rimuovi il pacchetto autofs | low | superata |
| 2.1.2 | Disinstalla il pacchetto del server avahi | media | superata |
| 2.1.3 | Disabilita il servizio DHCP | media | superata |
| 2.1.3 | Disabilita il servizio DHCPD6 | media | superata |
| 2.1.3 | Disinstalla il pacchetto del server DHCP | media | superata |
| 2.1.4 | Disabilita il servizio denominato | media | superata |
| 2.1.4 | Disinstalla pacchetto di associazione | low | superata |
| 2.1.5 | Disattiva il servizio dnsmasq | media | superata |
| 2.1.5 | Disinstalla il pacchetto dnsmasq | low | superata |
| 2.1.6 | Disattiva il servizio vsftpd | media | superata |
| 2.1.6 | Disinstalla il pacchetto vsftpd | high | superata |
| 2.1.7 | Disabilita il server LDAP (slapd) | media | superata |
| 2.1.7 | Disinstalla il pacchetto openldap-servers | low | superata |
| 2.1.8 | Disattiva il servizio Dovecot | sconosciuto | superata |
| 2.1.8 | Disinstalla il pacchetto dovecot | sconosciuto | superata |
| 2.1.9 | Disabilita Network File System (NFS) | sconosciuto | superata |
| 2.1.9 | Disinstalla il pacchetto nfs-kernel-server | low | superata |
| 2.1.10 | Disattiva il servizio ypserv | media | superata |
| 2.1.10 | Disinstalla il pacchetto ypserv | high | superata |
| 2.1.11 | Disattiva il servizio CUPS | sconosciuto | superata |
| 2.1.11 | Disinstalla il pacchetto CUPS | sconosciuto | superata |
| 2.1.12 | Disattiva il servizio rpcbind | low | superata |
| 2.1.13 | Assicurati che il servizio rsyncd sia disabilitato | media | superata |
| 2.1.13 | Disinstalla il pacchetto rsync | media | superata |
| 2.1.14 | Disabilita Samba | low | superata |
| 2.1.14 | Disinstalla il pacchetto Samba | sconosciuto | superata |
| 2.1.15 | Disinstalla il pacchetto net-snmp | sconosciuto | superata |
| 2.1.16 | Disattiva il servizio tftpd-hpa | high | superata |
| 2.1.16 | Disinstalla il pacchetto tftpd-hpa | high | superata |
| 2.1.17 | Disinstalla il pacchetto squid | sconosciuto | superata |
| 2.1.18 | Disattiva il servizio apache2 | sconosciuto | superata |
| 2.1.18 | Disattiva il servizio nginx | sconosciuto | superata |
| 2.1.18 | Disinstalla il pacchetto apache2 | sconosciuto | superata |
| 2.1.18 | Disinstalla il pacchetto nginx | sconosciuto | superata |
| 2.1.19 | Disattiva il servizio xinetd | media | superata |
| 2.1.19 | Disinstalla il pacchetto xinetd | low | superata |
| 2.1.20 | Rimuovi il gruppo di pacchetti X Windows | media | superata |
| 2.1.21 | Assicurati che il Mail Transfer Agent non sia in ascolto su nessun indirizzo non di loopback | media | superata |
| 2.2.1 | Disinstalla il pacchetto nis | low | superata |
| 2.2.2 | Disinstalla il pacchetto rsh | sconosciuto | superata |
| 2.2.3 | Disinstalla il pacchetto di conversazione | media | superata |
| 2.2.4 | Rimuovi i client telnet (pacchetto inetutils-telnet) | low | superata |
| 2.2.4 | Rimuovi i client telnet (pacchetto telnet) | low | superata |
| 2.2.5 | Assicurati che il client LDAP non sia installato | low | superata |
| 2.2.6 | Rimuovi pacchetto FTP | low | superata |
| 2.2.6 | Rimuovi il pacchetto tnftp | low | superata |
| 2.3.1.1 | Attiva il servizio systemd_timesyncd | high | superata |
| 2.3.1.1 | Assicurati che sia in uso un unico servizio di sincronizzazione dell'ora | media | superata |
| 2.3.1.1 | Installa il servizio systemd_timesyncd | high | superata |
| 2.4.1.1 | Attiva il servizio cron | media | superata |
| 2.4.1.1 | Installa il servizio cron | media | superata |
| 2.4.1.2 | Assicurati che /etc/cron.allow esista | media | superata |
| 2.4.1.2 | Verifica il gruppo proprietario di crontab | media | superata |
| 2.4.1.2 | Verifica il proprietario su crontab | media | superata |
| 2.4.1.2 | Verifica le autorizzazioni su crontab | media | superata |
| 2.4.1.3 | Verifica il gruppo proprietario di cron.hourly | media | superata |
| 2.4.1.3 | Verifica il proprietario su cron.hourly | media | superata |
| 2.4.1.3 | Verifica le autorizzazioni su cron.hourly | media | superata |
| 2.4.1.4 | Verifica il gruppo proprietario di cron.daily | media | superata |
| 2.4.1.4 | Verifica il proprietario su cron.daily | media | superata |
| 2.4.1.4 | Verifica le autorizzazioni su cron.daily | media | superata |
| 2.4.1.5 | Verifica il gruppo proprietario di cron.weekly | media | superata |
| 2.4.1.5 | Verifica proprietario verificato su cron.weekly | media | superata |
| 2.4.1.5 | Verifica le autorizzazioni su cron.weekly | media | superata |
| 2.4.1.6 | Verifica il gruppo proprietario di cron.monthly | media | superata |
| 2.4.1.6 | Verifica proprietario verificato su cron.monthly | media | superata |
| 2.4.1.6 | Verifica le autorizzazioni su cron.monthly | media | superata |
| 2.4.1.7 | Verifica il gruppo proprietario di cron.d | media | superata |
| 2.4.1.7 | Verifica il proprietario su cron.d | media | superata |
| 2.4.1.7 | Verifica le autorizzazioni su cron.d | media | superata |
| 2.4.1.8 | Assicurati che /etc/cron.deny non esista | media | superata |
| 2.4.1.8 | Verifica il gruppo proprietario del file /etc/cron.allow | media | superata |
| 2.4.1.8 | Verifica le autorizzazioni sul file /etc/cron.allow | media | superata |
| 2.4.1.8 | Verifica l'utente proprietario del file /etc/cron.allow | media | superata |
| 2.4.2.1 | Assicurati che /etc/at.allow esista | media | superata |
| 2.4.2.1 | Verifica il gruppo proprietario del file /etc/at.allow | media | superata |
| 2.4.2.1 | Verifica il gruppo proprietario del file /etc/at.deny | media | superata |
| 2.4.2.1 | Verifica le autorizzazioni sul file /etc/at.allow | media | superata |
| 2.4.2.1 | Verifica le autorizzazioni sul file /etc/at.deny | media | superata |
| 2.4.2.1 | Verifica l'utente proprietario del file /etc/at.allow | media | superata |
| 2.4.2.1 | Verifica l'utente proprietario del file /etc/at.deny | media | superata |
| 3.1.2 | Disattivazione delle interfacce di rete wireless | media | superata |
| 3.1.3 | Disattiva il servizio Bluetooth | media | superata |
| 3.2.1 | Disabilita il supporto DCCP | media | superata |
| 3.2.2 | Disattiva il supporto TIPC | low | superata |
| 3.2.3 | Disattiva il supporto RDS | low | superata |
| 3.2.4 | Disabilita il supporto SCTP | media | superata |
| 3.3.2 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 | media | superata |
| 3.3.2 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 per impostazione predefinita | media | superata |
| 3.3.3 | Abilita il parametro del kernel per ignorare le risposte di errore ICMP fittizie sulle interfacce IPv4 | sconosciuto | superata |
| 3.3.4 | Attiva il parametro del kernel per ignorare le richieste di echo di trasmissione ICMP sulle interfacce IPv4 | media | superata |
| 3.3.5 | Disattiva l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv4 | media | superata |
| 3.3.5 | Disabilita l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv6 | media | superata |
| 3.3.5 | Disabilita il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv4 | media | superata |
| 3.3.5 | Disabilita il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv6 | media | superata |
| 3.3.6 | Configura il parametro del kernel per accettare i reindirizzamenti sicuri per impostazione predefinita | media | superata |
| 3.3.6 | Disattiva il parametro del kernel per l'accettazione dei reindirizzamenti ICMP sicuri su tutte le interfacce IPv4 | media | superata |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 per impostazione predefinita | media | superata |
| 3.3.8 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing di origine sulle interfacce IPv4 per impostazione predefinita | media | superata |
| 3.3.8 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing di origine sulle interfacce IPv6 per impostazione predefinita | media | superata |
| 3.3.8 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing di origine su tutte le interfacce IPv4 | media | superata |
| 3.3.8 | Disattiva il parametro del kernel per l'accettazione di pacchetti con routing di origine su tutte le interfacce IPv6 | media | superata |
| 3.3.9 | Abilita il parametro del kernel per registrare i pacchetti Martian su tutte le interfacce IPv4 | sconosciuto | superata |
| 3.3.9 | Abilita il parametro del kernel per registrare i pacchetti Martian su tutte le interfacce IPv4 per impostazione predefinita | sconosciuto | superata |
| 3.3.10 | Abilita il parametro del kernel per utilizzare i syncookie TCP sulle interfacce di rete | media | superata |
| 3.3.11 | Configura l'accettazione degli annunci del router su tutte le interfacce IPv6 | media | superata |
| 3.3.11 | Disattiva l'accettazione degli annunci del router su tutte le interfacce IPv6 per impostazione predefinita | media | superata |
| 4.1.1 | Assicurati che sia attivo un solo servizio firewall | media | superata |
| 4.3.2, 4.4.1.3 | Rimuovi il pacchetto ufw | media | superata |
| 4.4.1.1 | Installa il pacchetto iptables | media | superata |
| 4.4.1.1 | Installa il pacchetto iptables-persistent | media | superata |
| 4.4.1.2 | Verifica che il servizio nftables sia disabilitato | media | superata |
| 5.1.1 | Verifica il gruppo proprietario dei file di configurazione del server SSH | media | superata |
| 5.1.1 | Verifica il gruppo proprietario del file di configurazione del server SSH | media | superata |
| 5.1.1 | Verifica il proprietario nei file di configurazione del server SSH | media | superata |
| 5.1.1 | Verifica il proprietario nel file di configurazione del server SSH | media | superata |
| 5.1.1 | Verifica le autorizzazioni sul file di configurazione del server SSH | media | superata |
| 5.1.1 | Verifica le autorizzazioni sul file di configurazione del server SSH | media | superata |
| 5.1.2 | Verifica le autorizzazioni sui file delle chiavi private *_key del server SSH | media | superata |
| 5.1.3 | Verifica le autorizzazioni per i file di chiavi pubbliche *.pub del server SSH | media | superata |
| 5.1.5 | Attiva il banner di avviso SSH | media | superata |
| 5.1.6 | Utilizza solo crittografie efficaci | media | superata |
| 5.1.7 | Imposta il numero massimo di messaggi alive del client SSH | media | superata |
| 5.1.7 | Imposta l'intervallo di attività del client SSH | media | superata |
| 5.1.8 | Disattiva l'inoltro SSH | media | superata |
| 5.1.9 | Disabilita l'autenticazione GSSAPI | media | superata |
| 5.1.10 | Disattiva l'autenticazione basata sull'host | media | superata |
| 5.1.11 | Disabilita il supporto SSH per i file .rhosts | media | superata |
| 5.1.12 | Utilizza solo algoritmi di scambio di chiavi efficaci | media | superata |
| 5.1.13 | Assicurati che LoginGraceTime SSH sia configurato | media | superata |
| 5.1.14 | Imposta LogLevel su INFO | low | superata |
| 5.1.15 | Utilizza solo MAC efficaci | media | superata |
| 5.1.16 | Imposta il limite di tentativi di autenticazione SSH | media | superata |
| 5.1.17 | Imposta il limite MaxSessions SSH | media | superata |
| 5.1.18 | Assicurati che MaxStartups SSH sia configurato | media | superata |
| 5.1.19 | Disattiva l'accesso SSH tramite password vuote | high | superata |
| 5.1.20 | Disattiva l'accesso SSH root | media | superata |
| 5.1.21 | Non consentire le opzioni dell'ambiente SSH | media | superata |
| 5.1.22 | Abilita PAM | media | superata |
| 5.2.1 | Installa il pacchetto sudo | media | superata |
| 5.2.2 | Assicurati che solo gli utenti che hanno eseguito l'accesso a un tty reale possano eseguire sudo - sudo use_pty | media | superata |
| 5.2.3 | Assicurati che il file di log di sudo esista - sudo logfile | low | superata |
| 5.2.5 | Ensure Users Re-Authenticate for Privilege Escalation - sudo !authenticate | media | superata |
| 5.2.6 | Richiedi la riautenticazione quando utilizzi il comando sudo | media | superata |
| 5.2.7 | Forza l'utilizzo di pam_wheel con il parametro Group per l'autenticazione su | media | superata |
| 5.2.7 | Assicurati che il gruppo utilizzato dal modulo pam_wheel.so esista nel sistema e sia vuoto | media | superata |
| 5.3.1.1 | Installa il pacchetto pam-runtime | media | superata |
| 5.3.1.2 | Installa il pacchetto pam-modules | media | superata |
| 5.3.1.3 | Installa il pacchetto pam_pwquality | media | superata |
| 5.3.2.1 | Verifica che il modulo pam_unix sia attivato | media | superata |
| 5.3.2.2 | Assicurati che il modulo pam_faillock sia abilitato | media | superata |
| 5.3.2.3 | Verifica che il modulo pam_pwquality sia attivato | media | superata |
| 5.3.2.4 | Verifica che il modulo pam_pwhistory sia attivato | media | superata |
| 5.3.3.1.1 | Blocca gli account dopo tentativi di inserimento della password non riusciti | media | superata |
| 5.3.3.1.2 | Imposta il tempo di blocco per i tentativi di inserimento della password non riusciti | media | superata |
| 5.3.3.1.3 | Imposta il tempo di blocco dell'utente root per i tentativi di password non riusciti | media | superata |
| 5.3.3.2.1 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di caratteri diversi | media | superata |
| 5.3.3.2.2 | Assicurati che PAM applichi i requisiti per le password - Lunghezza minima | media | superata |
| 5.3.3.2.3 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di categorie diverse | media | superata |
| 5.3.3.2.3 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di caratteri numerici | media | superata |
| 5.3.3.2.3 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di caratteri minuscoli | media | superata |
| 5.3.3.2.3 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di caratteri speciali | media | superata |
| 5.3.3.2.3 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di caratteri maiuscoli | media | superata |
| 5.3.3.2.4 | Imposta il numero massimo di caratteri ripetuti consecutivi della password | media | superata |
| 5.3.3.2.5 | Limita il numero massimo di caratteri sequenziali nelle password | media | superata |
| 5.3.3.2.6 | Assicurati che PAM applichi i requisiti per le password - Impedisci l'uso di parole del dizionario | media | superata |
| 5.3.3.2.7 | Assicurati che PAM applichi i requisiti per le password - Applicazione | media | superata |
| 5.3.3.2.8 | Assicurati che PAM applichi i requisiti per le password - Applica per l'utente root | media | superata |
| 5.3.3.3.1 | Limita il riutilizzo della password | media | superata |
| 5.3.3.3.2 | Limita il riutilizzo della password | media | superata |
| 5.3.3.3.3 | Applica la cronologia delle password con use_authtok | media | superata |
| 5.3.3.4.1 | Impedisci l'accesso agli account con password vuota | high | superata |
| 5.3.3.4.2 | Evita di utilizzare remember nel modulo pam_unix | media | superata |
| 5.3.3.4.3 | Imposta l'algoritmo di hashing delle password di PAM | media | superata |
| 5.3.3.4.4 | Richiedi use_authtok per pam_unix.so | media | superata |
| 5.4.1.1 | Imposta la durata massima delle password esistenti | media | superata |
| 5.4.1.2 | Imposta l'età minima delle password esistenti | media | superata |
| 5.4.1.2 | Imposta l'età minima della password | media | superata |
| 5.4.1.3 | Imposta l'età dell'avviso relativo alla password | media | superata |
| 5.4.1.4 | Imposta l'algoritmo di hashing delle password in /etc/login.defs | media | superata |
| 5.4.1.5 | Imposta la scadenza dell'account dopo un periodo di inattività | media | superata |
| 5.4.1.6 | Assicurati che la data dell'ultima modifica della password di tutti gli utenti sia nel passato | media | superata |
| 5.4.2.1 | Verifica che solo l'utente root abbia l'UID 0 | high | superata |
| 5.4.2.2 | Verifica che l'utente root abbia un GID principale pari a 0 | high | superata |
| 5.4.2.3 | Verifica che solo il gruppo root abbia GID 0 | high | superata |
| 5.4.2.4 | Assicurati che l'accesso all'account root sia controllato | media | superata |
| 5.4.2.5 | Assicurati che tutte le voci nel percorso della directory principale siano directory | media | superata |
| 5.4.2.5 | Assicurati che tutte le directory del percorso di root siano di proprietà di root | media | superata |
| 5.4.2.5 | Assicurati che il percorso della directory principale non includa percorsi relativi o directory null | sconosciuto | superata |
| 5.4.2.5 | Assicurati che il percorso di root non includa directory scrivibili da tutti o dal gruppo | media | superata |
| 5.4.2.6 | Assicurati che l'umask di Bash root sia impostato correttamente | media | superata |
| 5.4.2.7 | Assicurati che gli account di sistema non eseguano una shell al momento dell'accesso | media | superata |
| 5.4.2.8 | Verifica che gli account non interattivi siano bloccati | media | superata |
| 5.4.3.1 | Assicurati che la shell nologin non sia elencata in /etc/shells | media | superata |
| 5.4.3.2 | Imposta il timeout della sessione interattiva | media | superata |
| 5.4.3.3 | Assicurati che l'umask Bash predefinito sia impostato correttamente | media | superata |
| 5.4.3.3 | Assicurati che l'umask predefinito sia impostato correttamente in /etc/profile | media | superata |
| 5.4.3.3 | Assicurati che l'umask predefinito sia impostato correttamente in login.defs | media | superata |
| 6.1.1.1 | Attiva il servizio systemd-journald | media | superata |
| 6.1.1.4 | Assicurati che sia in uso un servizio di logging | media | superata |
| 6.1.2.1.4 | Disattiva il socket systemd-journal-remote | media | superata |
| 6.1.3.1 | Assicurati che rsyslog sia installato | media | superata |
| 6.1.3.2 | Abilita il servizio rsyslog | media | superata |
| 6.1.3.4 | Assicurati che siano configurate le autorizzazioni predefinite dei file rsyslog | media | superata |
| 6.1.3.7 | Assicurati che rsyslog non accetti messaggi remoti, a meno che non agisca come server di log | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file /var/log/(b|w)tmp(.*|-*) | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file /var/log/*.journal(~) | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file di log /var/log/auth.log | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file /var/log/cloud-init.log* | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file /var/log/lastlog | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file /var/log/localmessages* | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file /var/log/messages | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file /var/log/secure | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file /var/log/syslog | media | superata |
| 6.1.4.1 | Verifica il gruppo proprietario del file /var/log/waagent.log | media | superata |
| 6.1.4.1 | Verifica la proprietà del gruppo dei file in /var/log/apt | media | superata |
| 6.1.4.1 | Verifica la proprietà del gruppo dei file in /var/log/gdm | media | superata |
| 6.1.4.1 | Verifica la proprietà di gruppo dei file in /var/log/gdm3 | media | superata |
| 6.1.4.1 | Verifica la proprietà del gruppo dei file in /var/log/landscape | media | superata |
| 6.1.4.1 | Verifica la proprietà del gruppo dei file in /var/log/sssd | media | superata |
| 6.1.4.1 | Verifica la proprietà dei file in /var/log/apt | media | superata |
| 6.1.4.1 | Verifica la proprietà dei file in /var/log/gdm | media | superata |
| 6.1.4.1 | Verifica la proprietà dei file in /var/log/gdm3 | media | superata |
| 6.1.4.1 | Verifica la proprietà dei file in /var/log/landscape | media | superata |
| 6.1.4.1 | Verifica la proprietà dei file in /var/log/sssd | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni dei file in /var/log/gdm | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni dei file in /var/log/gdm3 | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni dei file in /var/log/sssd | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni per il file di log /var/log/auth.log | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni sui file /var/log/cloud-init.log(.*) | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni sui file /var/log/lastlog(.*) | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni sui file /var/log/localmessages(.*) | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni per il file /var/log/messages | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni sul file /var/log/secure | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni per il file /var/log/syslog | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni sui file /var/log/waagent.log(.*) | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni sui file /var/log/wtmp(.*) | media | superata |
| 6.1.4.1 | Verifica le autorizzazioni per i file nella directory /var/log/apt/.* | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario del file /var/log/(b|w)tmp(.*|-*) | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario dei file /var/log/*.journal(~) | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario del file di log /var/log/auth.log | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario del file /var/log/cloud-init.log | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario del file /var/log/lastlog | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario del file /var/log/localmessages | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario del file /var/log/messages | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario del file /var/log/secure | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario del file /var/log/syslog | media | superata |
| 6.1.4.1 | Verifica l'utente proprietario del file /var/log/waagent.log | media | superata |
| 6.2.1.1 | Assicurati che il sottosistema di controllo sia installato | media | superata |
| 6.2.1.1 | Assicurati che i plug-in predefiniti per il dispatcher di controllo siano installati | media | superata |
| 6.2.1.2 | Abilita il servizio auditd | media | superata |
| 6.2.1.4 | Estendi il limite del backlog di controllo per il daemon di controllo | low | superata |
| 6.2.2.1 | Configura la dimensione massima del file di log di auditd | media | superata |
| 6.2.2.2 | Configura max_log_file_action di auditd al raggiungimento della dimensione massima del file di log | media | superata |
| 6.2.2.3 | Configura l'azione di auditd in caso di errore del disco | media | superata |
| 6.2.2.3 | Configura l'azione auditd Disk Full quando lo spazio su disco è esaurito | media | superata |
| 6.2.2.4 | Configura l'azione admin_space_left di auditd in caso di spazio su disco ridotto | media | superata |
| 6.2.2.4 | Configura l'azione mail_acct di auditd per lo spazio su disco in esaurimento | media | superata |
| 6.2.2.4 | Configura l'azione space_left di auditd per lo spazio su disco in esaurimento | media | superata |
| 6.2.3.1 | Assicurati che auditd raccolga le azioni dell'amministratore di sistema | media | superata |
| 6.2.3.2 | Registra gli eventi quando gli eseguibili vengono eseguiti come un altro utente | media | superata |
| 6.2.3.2 | Registra gli eventi quando vengono eseguiti file eseguibili con privilegi | media | superata |
| 6.2.3.3 | Registra i tentativi di eseguire attività di manutenzione | media | superata |
| 6.2.3.4 | Registra i tentativi di alterare l'ora tramite clock_settime | media | superata |
| 6.2.3.4 | Registra i tentativi di modifica del file localtime | media | superata |
| 6.2.3.4 | Registra i tentativi di modifica dell'ora tramite adjtimex | media | superata |
| 6.2.3.4 | Registra i tentativi di modificare l'ora tramite settimeofday | media | superata |
| 6.2.3.5 | Registra gli eventi che modificano l'ambiente di rete del sistema | media | superata |
| 6.2.3.7 | Registra i tentativi di accesso non riusciti ai file - creat | media | superata |
| 6.2.3.7 | Registra i tentativi di accesso non riusciti ai file - ftruncate | media | superata |
| 6.2.3.7 | Registra i tentativi di accesso non riusciti ai file - Apri | media | superata |
| 6.2.3.7 | Registra i tentativi di accesso non riusciti ai file - openat | media | superata |
| 6.2.3.7 | Registra i tentativi di accesso non riusciti ai file - troncamento | media | superata |
| 6.2.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/group | media | superata |
| 6.2.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/gshadow | media | superata |
| 6.2.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/nsswitch.conf | media | superata |
| 6.2.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/pam.conf | media | superata |
| 6.2.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/pam.d/ | media | superata |
| 6.2.3.8 | Registra gli eventi che modificano le informazioni di utenti/gruppi - /etc/passwd | media | superata |
| 6.2.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/security/opasswd | media | superata |
| 6.2.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/shadow | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - chmod | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - chown | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fchmod | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fchmodat | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fchown | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fchownat | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fremovexattr | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fsetxattr | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - lchown | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - lremovexattr | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - lsetxattr | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionale del sistema - removexattr | media | superata |
| 6.2.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - setxattr | media | superata |
| 6.2.3.10 | Assicurati che auditd raccolga informazioni sull'esportazione su supporti (esito positivo) | media | superata |
| 6.2.3.11 | Registra i tentativi di alterare le informazioni di avvio di processi e sessioni | media | superata |
| 6.2.3.12 | Registra i tentativi di alterare gli eventi di accesso e disconnessione - faillock | media | superata |
| 6.2.3.12 | Registra i tentativi di alterare gli eventi di accesso e disconnessione - lastlog | media | superata |
| 6.2.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file da parte dell'utente - ridenominazione | media | superata |
| 6.2.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file da parte dell'utente - renameat | media | superata |
| 6.2.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file da parte dell'utente - unlink | media | superata |
| 6.2.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file da parte dell'utente - unlinkat | media | superata |
| 6.2.3.14 | Registra gli eventi che modificano i controlli di accesso obbligatori del sistema (/etc/apparmor) | media | superata |
| 6.2.3.14 | Registra gli eventi che modificano i controlli di accesso obbligatori del sistema (/etc/apparmor.d) | media | superata |
| 6.2.3.15 | Registra tutti i tentativi di esecuzione di chcon | media | superata |
| 6.2.3.16 | Registra tutti i tentativi di esecuzione di setfacl | media | superata |
| 6.2.3.17 | Registra tutti i tentativi di esecuzione di chacl | media | superata |
| 6.2.3.18 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - usermod | media | superata |
| 6.2.3.19 | Assicurati che auditd raccolga informazioni sul caricamento dei moduli kernel - init_module | media | superata |
| 6.2.3.19 | Assicurati che auditd raccolga informazioni sul caricamento e lo scaricamento dei moduli kernel - finit_module | media | superata |
| 6.2.3.19 | Assicurati che auditd raccolga informazioni sul caricamento e lo scaricamento dei moduli kernel - query_module | media | superata |
| 6.2.3.19 | Assicurati che auditd raccolga informazioni sull'unload dei moduli kernel - create_module | media | superata |
| 6.2.3.19 | Assicurati che auditd raccolga informazioni sull'unload dei moduli kernel - delete_module | media | superata |
| 6.2.3.19 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - kmod | media | superata |
| 6.2.3.20 | Rendi immutabile la configurazione di auditd | media | superata |
| 6.2.4.1 | Gli audit log di sistema devono avere la modalità 0640 o meno permissiva | media | superata |
| 6.2.4.2 | Gli audit log di sistema devono essere di proprietà di root | media | superata |
| 6.2.4.3 | Gli audit log di sistema devono essere di proprietà del gruppo root | media | superata |
| 6.2.4.4 | Gli audit log di sistema devono avere la modalità 0750 o meno permissiva | media | superata |
| 6.2.4.5 | Verifica le autorizzazioni su /etc/audit/audit.rules | media | superata |
| 6.2.4.5 | Verifica le autorizzazioni su /etc/audit/auditd.conf | media | superata |
| 6.2.4.5 | Verifica le autorizzazioni su /etc/audit/rules.d/*.rules | media | superata |
| 6.2.4.6 | I file di configurazione di controllo devono essere di proprietà di root | media | superata |
| 6.2.4.7 | I file di configurazione di controllo devono essere di proprietà del gruppo root | media | superata |
| 6.2.4.8 | Verifica che gli strumenti di controllo abbiano la modalità 0755 o inferiore | media | superata |
| 6.2.4.9 | Verifica che gli strumenti di controllo siano di proprietà di root | media | superata |
| 6.2.4.10 | Verifica che gli strumenti di controllo siano di proprietà del gruppo root | media | superata |
| 7.1.1 | Verifica il gruppo proprietario del file passwd | media | superata |
| 7.1.1 | Verifica le autorizzazioni sul file passwd | media | superata |
| 7.1.1 | Verifica l'utente proprietario del file passwd | media | superata |
| 7.1.2 | Verifica il gruppo proprietario del file passwd di backup | media | superata |
| 7.1.2 | Verifica le autorizzazioni sul file passwd di backup | media | superata |
| 7.1.2 | Verifica l'utente proprietario del file passwd di backup | media | superata |
| 7.1.3 | Verifica il gruppo proprietario del file del gruppo | media | superata |
| 7.1.3 | Verifica le autorizzazioni sul file del gruppo | media | superata |
| 7.1.3 | Verifica l'utente proprietario del file del gruppo | media | superata |
| 7.1.4 | Verifica il gruppo proprietario del file del gruppo di backup | media | superata |
| 7.1.4 | Verifica le autorizzazioni sul file del gruppo di backup | media | superata |
| 7.1.4 | Verifica l'utente proprietario del file del gruppo di backup | media | superata |
| 7.1.5 | Verifica il gruppo proprietario del file shadow | media | superata |
| 7.1.5 | Verifica le autorizzazioni sul file shadow | media | superata |
| 7.1.5 | Verifica l'utente proprietario del file shadow | media | superata |
| 7.1.6 | Verifica il gruppo proprietario del file shadow di backup | media | superata |
| 7.1.6 | Verifica le autorizzazioni sul file shadow di backup | media | superata |
| 7.1.6 | Verifica l'utente proprietario del file shadow di backup | media | superata |
| 7.1.7 | Verifica il gruppo proprietario del file gshadow | media | superata |
| 7.1.7 | Verifica le autorizzazioni sul file gshadow | media | superata |
| 7.1.7 | Verifica l'utente proprietario del file gshadow | media | superata |
| 7.1.8 | Verifica il gruppo proprietario del file gshadow di backup | media | superata |
| 7.1.8 | Verifica le autorizzazioni sul file gshadow di backup | media | superata |
| 7.1.8 | Verifica l'utente proprietario del file gshadow di backup | media | superata |
| 7.1.9 | Verifica il gruppo proprietario del file /etc/shells | media | superata |
| 7.1.9 | Verifica le autorizzazioni sul file /etc/shells | media | superata |
| 7.1.9 | Verifica chi è il proprietario del file /etc/shells | media | superata |
| 7.1.10 | Verifica il gruppo proprietario del file /etc/security/opasswd | media | superata |
| 7.1.10 | Verifica il gruppo proprietario del file /etc/security/opasswd.old | media | superata |
| 7.1.10 | Verifica le autorizzazioni sul file /etc/security/opasswd | media | superata |
| 7.1.10 | Verifica le autorizzazioni sul file /etc/security/opasswd.old | media | superata |
| 7.1.10 | Verifica l'utente proprietario del file /etc/security/opasswd | media | superata |
| 7.1.10 | Verifica l'utente proprietario del file /etc/security/opasswd.old | media | superata |
| 7.2.1 | Verifica che tutti gli hash delle password degli account siano nascosti | media | superata |
| 7.2.2 | Assicurati che non esistano account con password vuote o nulle | high | superata |
| 7.2.3 | Tutti i GID a cui viene fatto riferimento in /etc/passwd devono essere definiti in /etc/group | low | superata |
| 7.2.4 | Assicurati che il gruppo shadow sia vuoto | media | superata |
| 7.2.5 | Assicurati che tutti gli account sul sistema abbiano ID utente univoci | media | superata |
| 7.2.6 | Assicurati che tutti i gruppi nel sistema abbiano un ID gruppo univoco | media | superata |
| 7.2.7 | Assicurati che tutti gli account sul sistema abbiano nomi univoci | media | superata |
| 7.2.8 | Assicurati che tutti i gruppi nel sistema abbiano nomi univoci | media | superata |
| 7.2.9 | Tutte le home directory degli utenti interattivi devono essere di proprietà del gruppo principale | media | superata |
| 7.2.9 | Tutte le directory home degli utenti interattivi devono essere di proprietà dell'utente principale | media | superata |
| 7.2.9 | Tutte le home directory degli utenti interattivi devono avere la modalità 0750 o meno permissiva | media | superata |
| 7.2.9 | Devono esistere le home directory di tutti gli utenti interattivi | media | superata |
| 7.2.10 | Assicurati che tutti i file di inizializzazione dell'utente abbiano la modalità 0740 o meno permissiva | media | superata |
| 7.2.10 | Assicurati che il file della cronologia Bash dell'utente disponga delle autorizzazioni corrette | media | superata |
| 7.2.10 | I file di inizializzazione dell'utente devono essere di proprietà del gruppo principale | media | superata |
| 7.2.10 | I file di inizializzazione dell'utente devono essere di proprietà dell'utente principale | media | superata |
| 7.2.10 | Verifica che non esistano file .forward | media | superata |
| 7.2.10 | Verifica che non esistano file netrc | media | superata |
Suggerimenti non applicabili
La tabella seguente elenca i suggerimenti che non si applicano a Google Distributed Cloud.
| # | Suggerimento | Gravità | Stato |
|---|---|---|---|
| 1.1.2.1.2 | Aggiungi l'opzione nodev a /tmp | media | notapplicable |
| 1.1.2.1.3 | Aggiungi l'opzione nosuid a /tmp | media | notapplicable |
| 1.1.2.1.4 | Aggiungi l'opzione noexec a /tmp | media | notapplicable |
| 1.1.2.3.2 | Aggiungi l'opzione nodev a /home | sconosciuto | notapplicable |
| 1.1.2.3.3 | Aggiungi l'opzione nosuid a /home | media | notapplicable |
| 1.1.2.4.2 | Aggiungi l'opzione nodev a /var | media | notapplicable |
| 1.1.2.4.3 | Aggiungi l'opzione nosuid a /var | media | notapplicable |
| 1.1.2.5.2 | Aggiungi l'opzione nodev a /var/tmp | media | notapplicable |
| 1.1.2.5.3 | Aggiungi l'opzione nosuid a /var/tmp | media | notapplicable |
| 1.1.2.5.4 | Aggiungi l'opzione noexec a /var/tmp | media | notapplicable |
| 1.1.2.6.2 | Aggiungi l'opzione nodev a /var/log | media | notapplicable |
| 1.1.2.6.3 | Aggiungi l'opzione nosuid a /var/log | media | notapplicable |
| 1.1.2.6.4 | Aggiungi l'opzione noexec a /var/log | media | notapplicable |
| 1.1.2.7.2 | Aggiungi l'opzione nodev a /var/log/audit | media | notapplicable |
| 1.1.2.7.3 | Aggiungi l'opzione nosuid a /var/log/audit | media | notapplicable |
| 1.1.2.7.4 | Aggiungi l'opzione noexec a /var/log/audit | media | notapplicable |
| 1.4.1 | Imposta la password del bootloader UEFI | high | notapplicable |
| 1.7.1 | Rimuovi il gruppo di pacchetti GDM | media | notapplicable |
| 1.7.4, 1.7.5 | Attiva il blocco del salvaschermo GNOME3 dopo un periodo di inattività | media | notapplicable |
| 1.7.4, 1.7.5 | Imposta il timeout di inattività del salvaschermo GNOME3 | media | notapplicable |
| 1.7.4, 1.7.5 | Imposta il ritardo di blocco del salvaschermo GNOME3 dopo il periodo di attivazione | media | notapplicable |
| 1.7.6, 1.7.7 | Disattiva l'apertura del montaggio automatico di GNOME3 | media | notapplicable |
| 1.7.6, 1.7.7 | Disabilita il montaggio automatico di GNOME3 | media | notapplicable |
| 1.7.8, 1.7.9 | Disattiva l'esecuzione del montaggio automatico di GNOME3 | low | notapplicable |
| 1.7.10 | Disattiva XDMCP in GDM | high | notapplicable |
| 2.1.1 | Disattiva l'automounter | media | notapplicable |
| 2.1.2 | Disabilita il software server Avahi | media | notapplicable |
| 2.1.15 | Disabilita il servizio snmpd | low | notapplicable |
| 2.1.17 | Disabilita Squid | sconosciuto | notapplicable |
| 2.1.21 | Disabilita l'ascolto di rete Postfix | media | notapplicable |
| 2.3.1.1 | Il servizio Chronyd è disattivato | media | notapplicable |
| 4.2.3 | Verifica che ufw sia attivo | media | notapplicable |
| 4.2.3 | Verifica che ufw sia abilitato | media | notapplicable |
| 4.2.4 | Imposta il traffico di loopback UFW | media | notapplicable |
| 4.2.6 | Assicurati che esistano regole firewall ufw per tutte le porte aperte | media | notapplicable |
| 4.2.7 | Assicurati che la policy del firewall di rifiuto predefinita di ufw sia configurata | media | notapplicable |
| 4.4.2.1 | Imposta la policy iptables predefinita per i pacchetti in entrata | media | notapplicable |
| 4.4.2.2 | Imposta la configurazione per il traffico di loopback | media | notapplicable |
| 4.4.2.4 | Assicurati che esistano regole firewall iptables per tutte le porte aperte | media | notapplicable |
| 4.4.3.1 | Imposta la policy ip6tables predefinita per i pacchetti in entrata | media | notapplicable |
| 4.4.3.4 | Assicurati che esistano regole firewall ip6tables per tutte le porte aperte | media | notapplicable |
| 6.1.2.1.1 | Installa il pacchetto systemd-journal-remote | media | notapplicable |
| 6.1.2.1.2 | Configura i parametri TLS di systemd-journal-upload: ServerKeyFile, ServerCertificateFile e TrustedCertificateFile | media | notapplicable |
| 6.1.2.1.2 | Configura l'URL systemd-journal-upload | media | notapplicable |
| 6.1.2.1.3 | Attiva il servizio systemd-journal-upload | media | notapplicable |
| 6.1.2.2 | Assicurati che ForwardToSyslog di journald sia disabilitato | media | notapplicable |
| 6.1.2.3 | Assicurati che journald sia configurato per comprimere i file di log di grandi dimensioni | media | notapplicable |
| 6.1.2.4 | Assicurati che journald sia configurato per scrivere i file di log su un disco permanente | media | notapplicable |
| 6.3.2 | Configura l'esecuzione del timer Systemd di AIDE | media | notapplicable |
| 7.2.10 | Rimuovi i file di attendibilità Rsh | high | notapplicable |
Suggerimenti esclusi dalla valutazione
La valutazione utilizza il profilo cis_level2_server_customized, personalizzato per Google Distributed Cloud. La tabella seguente elenca i suggerimenti del profilo CIS Level 2 - Server che il profilo personalizzato esclude dalla valutazione, pertanto non vengono visualizzati nelle tabelle precedenti.
Alcuni di questi suggerimenti sono alternative alle configurazioni utilizzate da Google Distributed Cloud, come chrony anziché systemd-timesyncd, o impostazioni GNOME che non si applicano ai server senza un desktop.
| # | Suggerimento | Gravità | Stato |
|---|---|---|---|
| 1.3.1.3 | Tutti i profili AppArmor sono in modalità di applicazione o di reclamo | media | not evaluated |
| 1.3.1.4 | Applica tutti i profili AppArmor | media | not evaluated |
| 1.4.2 | Verifica la proprietà dell'utente di /boot/grub/grub.cfg | media | not evaluated |
| 1.7.2 | Attiva il banner di avviso di accesso GNOME3 | media | not evaluated |
| 1.7.2 | Imposta il testo del banner di avviso di accesso di GNOME3 | media | not evaluated |
| 1.7.3 | Disabilita l'elenco degli utenti di accesso di GNOME3 | media | not evaluated |
| 2.1.12 | Disinstalla il pacchetto rpcbind | low | not evaluated |
| 2.3.1.1 | Disattiva il servizio systemd_timesyncd | media | not evaluated |
| 2.3.1.1 | Il pacchetto Chrony è installato | media | not evaluated |
| 2.3.1.1 | Il servizio Chronyd è abilitato | media | not evaluated |
| 2.3.3.1 | Configura pool e server Chrony | media | not evaluated |
| 2.3.3.2 | Assicurati che chronyd sia in esecuzione con l'account utente chrony | media | not evaluated |
| 3.3.1 | Disabilita il parametro del kernel per l'IP forwarding sulle interfacce IPv4 | media | not evaluated |
| 3.3.1 | Disabilita il parametro del kernel per l'inoltro IPv6 | media | not evaluated |
| 4.2.1 | Installa il pacchetto ufw | media | not evaluated |
| 4.2.2 | Rimuovi il pacchetto iptables-persistent | media | not evaluated |
| 4.3.1 | Installa il pacchetto nftables | media | not evaluated |
| 4.3.4 | Assicurati che esista una tabella per Nftables | media | not evaluated |
| 4.3.5 | Assicurati che esistano catene di base per Nftables | media | not evaluated |
| 4.3.6 | Imposta la configurazione di nftables per il traffico di loopback | media | not evaluated |
| 4.3.8 | Assicurati che la policy del firewall di negazione predefinita di nftables sia attiva | media | not evaluated |
| 4.3.9 | Verifica che il servizio nftables sia abilitato | media | not evaluated |
| 4.3.10 | Assicurati che le regole nftables siano permanenti | media | not evaluated |
| 4.4.3.2 | Imposta la configurazione per il traffico di loopback IPv6 | media | not evaluated |
| 6.2.1.3 | Enable Auditing for Processes Which Start Prior to the Audit Daemon | low | not evaluated |
| 6.3.1 | Crea e testa il database AIDE | media | not evaluated |
| 6.3.1 | Installa AIDE | media | not evaluated |
| 6.3.3 | Configura AIDE per verificare gli strumenti di controllo | media | not evaluated |
| 7.1.11 | Assicurati che non esistano file scrivibili pubblicamente | media | not evaluated |
| 7.1.12 | Ensure All Files Are Owned by a Group | media | not evaluated |
1,34
Versioni
Questa sezione si riferisce alle seguenti versioni:
| Versione di Google Distributed Cloud | Versione di Ubuntu | Versione del benchmark CIS Ubuntu | Livello CIS |
|---|---|---|---|
| 1,34 | 22.04 LTS | v1.0.0 | Server di livello 2 |
Suggerimenti non riusciti
La tabella seguente elenca i suggerimenti del benchmark con cui Google Distributed Cloud non è conforme e le VM a cui si applica ogni risultato. Le VM sono i nodi del control plane del cluster, i nodi worker e la workstation di amministrazione.
| # | Suggerimento | Gravità | Stato | Applicabile a |
|---|---|---|---|---|
| 1.1.2.1 | Assicurati che /tmp si trovi su una partizione separata | low | non superata | Tutti |
| 1.1.3.1 | Assicurati che /var si trovi su una partizione separata | low | non superata | Tutti |
| 1.1.4.1 | Assicurati che /var/tmp si trovi su una partizione separata | media | non superata | Tutti |
| 1.1.5.1 | Assicurati che /var/log si trovi su una partizione separata | low | non superata | Tutti |
| 1.1.6.1 | Assicurati che /var/log/audit si trovi su una partizione separata | low | non superata | Tutti |
| 1.1.7.1 | Assicurati che /home si trovi su una partizione separata | low | non superata | Tutti |
| 1.4.1 | Imposta la password del bootloader in grub2 | high | non superata | Tutti |
| 1.4.3 | Assicurati che l'autenticazione sia richiesta per la modalità utente singolo | media | non superata | Tutti |
| 2.3.6 | Disinstalla il pacchetto rpcbind | low | non superata | Tutti |
| 3.2.2 | Disabilita il parametro del kernel per l'IP forwarding sulle interfacce IPv4 | media | non superata | Tutti |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 | media | non superata | Nodi del control plane, nodi worker |
| 3.5.2.8 | Assicurati che la policy del firewall nftables sia impostata su Nega per impostazione predefinita | media | non superata | Tutti |
| 3.5.2.10 | Assicurati che le regole nftables siano permanenti | media | non superata | Tutti |
| 4.2.3 | Verifica le autorizzazioni dei file di log | media | non superata | Tutti |
| 5.2.4 | Limita l'accesso SSH degli utenti | sconosciuto | non superata | Tutti |
| 5.3.4 | Assicurati che gli utenti eseguano nuovamente l'autenticazione per l'escalation dei privilegi - sudo | media | non superata | Tutti |
| 5.5.1.2 | Imposta l'età massima della password | media | non superata | Tutti |
| 6.1.10 | Assicurati che tutti i file siano di proprietà di un utente | media | non superata | Nodi del control plane, nodi worker |
Suggerimenti superati
La tabella seguente elenca i suggerimenti di benchmark con cui Google Distributed Cloud è conforme.
| # | Suggerimento | Gravità | Stato |
|---|---|---|---|
| 1.1.1.1 | Disattiva il montaggio di cramfs | low | superata |
| 1.1.1.2 | Disattiva l'installazione di squashfs | low | superata |
| 1.1.1.3 | Disattiva l'installazione di udf | low | superata |
| 1.1.8.1 | Aggiungi l'opzione nodev a /dev/shm | media | superata |
| 1.1.8.2 | Aggiungi l'opzione noexec a /dev/shm | media | superata |
| 1.1.8.3 | Aggiungi l'opzione nosuid a /dev/shm | media | superata |
| 1.1.9 | Disattiva l'automounter | media | superata |
| 1.1.10 | Disattiva il caricamento modprobe del driver di archiviazione USB | media | superata |
| 1.4.2 | Verifica le autorizzazioni di /boot/grub/grub.cfg | media | superata |
| 1.5.1 | Abilita il layout randomizzato dello spazio degli indirizzi virtuali | media | superata |
| 1.5.2 | Il pacchetto "prelink" non deve essere installato | media | superata |
| 1.5.3 | Disattiva il servizio Apport | sconosciuto | superata |
| 1.5.4 | Disattiva i core dump per tutti gli utenti | media | superata |
| 1.5.4 | Disabilita i core dump per i programmi SUID | media | superata |
| 1.6.1.1 | Assicurati che AppArmor sia installato | media | superata |
| 1.6.1.2 | Assicurati che AppArmor sia abilitato nella configurazione del bootloader | media | superata |
| 1.6.1.4 | Applica tutti i profili AppArmor | media | superata |
| 1.7.1 | Modifica il banner del messaggio del giorno del sistema | media | superata |
| 1.7.2 | Modifica il banner di accesso al sistema | media | superata |
| 1.7.3 | Modifica il banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.4 | Verifica la proprietà del gruppo del banner Messaggio del giorno | media | superata |
| 1.7.4 | Verifica la proprietà del banner Messaggio del giorno | media | superata |
| 1.7.4 | Verifica le autorizzazioni sul banner Messaggio del giorno | media | superata |
| 1.7.5 | Verifica la proprietà del gruppo del banner di accesso al sistema | media | superata |
| 1.7.5 | Verifica la proprietà del banner di accesso al sistema | media | superata |
| 1.7.5 | Verifica le autorizzazioni sul banner di accesso al sistema | media | superata |
| 1.7.6 | Verifica la proprietà del gruppo del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.6 | Verifica la proprietà del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.6 | Verifica le autorizzazioni sul banner di accesso al sistema per le connessioni remote | media | superata |
| 2.1.1.1 | Installa il servizio systemd_timesyncd | high | superata |
| 2.1.3.2 | Attiva il servizio systemd_timesyncd | high | superata |
| 2.2.1 | Rimuovi il gruppo di pacchetti X Windows | media | superata |
| 2.2.2 | Disabilita il software server Avahi | media | superata |
| 2.2.2 | Disinstalla il pacchetto del server avahi | media | superata |
| 2.2.3 | Disattiva il servizio CUPS | sconosciuto | superata |
| 2.2.3 | Disinstalla il pacchetto CUPS | sconosciuto | superata |
| 2.2.4 | Disinstalla il pacchetto del server DHCP | media | superata |
| 2.2.5 | Disinstalla il pacchetto openldap-servers | low | superata |
| 2.2.6 | Disinstalla il pacchetto nfs-kernel-server | low | superata |
| 2.2.7 | Disinstalla pacchetto di associazione | low | superata |
| 2.2.8 | Disinstalla il pacchetto vsftpd | high | superata |
| 2.2.9 | Disinstalla il pacchetto httpd | sconosciuto | superata |
| 2.2.9 | Disinstalla il pacchetto nginx | sconosciuto | superata |
| 2.2.10 | Disinstalla il pacchetto cyrus-imapd | sconosciuto | superata |
| 2.2.10 | Disinstalla il pacchetto dovecot | sconosciuto | superata |
| 2.2.11 | Disinstalla il pacchetto Samba | sconosciuto | superata |
| 2.2.12 | Disinstalla il pacchetto squid | sconosciuto | superata |
| 2.2.13 | Disinstalla il pacchetto net-snmp | sconosciuto | superata |
| 2.2.14 | Disinstalla il pacchetto nis | low | superata |
| 2.2.15 | Assicurati che il Mail Transfer Agent non sia in ascolto su nessun indirizzo non di loopback | media | superata |
| 2.2.16 | Disinstalla il pacchetto rsync | media | superata |
| 2.3.2 | Disinstalla il pacchetto rsh | sconosciuto | superata |
| 2.3.3 | Disinstalla il pacchetto di conversazione | media | superata |
| 2.3.4 | Rimuovi i client telnet (pacchetto telnet) | low | superata |
| 2.3.5 | Assicurati che il client LDAP non sia installato | low | superata |
| 3.1.2 | Disattivazione delle interfacce di rete wireless | media | superata |
| 3.2.1 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 | media | superata |
| 3.2.1 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 per impostazione predefinita | media | superata |
| 3.2.2 | Disabilita il parametro del kernel per l'inoltro IPv6 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing di origine sulle interfacce IPv4 per impostazione predefinita | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing di origine sulle interfacce IPv6 per impostazione predefinita | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing di origine su tutte le interfacce IPv4 | media | superata |
| 3.3.1 | Disattiva il parametro del kernel per l'accettazione di pacchetti con routing di origine su tutte le interfacce IPv6 | media | superata |
| 3.3.2 | Disattiva l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv4 | media | superata |
| 3.3.2 | Disabilita l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv6 | media | superata |
| 3.3.2 | Disabilita il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv4 | media | superata |
| 3.3.2 | Disabilita il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv6 | media | superata |
| 3.3.3 | Configura il parametro del kernel per accettare i reindirizzamenti sicuri per impostazione predefinita | media | superata |
| 3.3.3 | Disattiva il parametro del kernel per l'accettazione dei reindirizzamenti ICMP sicuri su tutte le interfacce IPv4 | media | superata |
| 3.3.4 | Abilita il parametro del kernel per registrare i pacchetti Martian su tutte le interfacce IPv4 | sconosciuto | superata |
| 3.3.4 | Abilita il parametro del kernel per registrare i pacchetti Martian su tutte le interfacce IPv4 per impostazione predefinita | sconosciuto | superata |
| 3.3.5 | Attiva il parametro del kernel per ignorare le richieste di echo di trasmissione ICMP sulle interfacce IPv4 | media | superata |
| 3.3.6 | Abilita il parametro del kernel per ignorare le risposte di errore ICMP fittizie sulle interfacce IPv4 | sconosciuto | superata |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 per impostazione predefinita | media | superata |
| 3.3.8 | Abilita il parametro del kernel per utilizzare i syncookie TCP sulle interfacce di rete | media | superata |
| 3.3.9 | Configura l'accettazione degli annunci del router su tutte le interfacce IPv6 | media | superata |
| 3.3.9 | Disattiva l'accettazione degli annunci del router su tutte le interfacce IPv6 per impostazione predefinita | media | superata |
| 3.4.1 | Disabilita il supporto DCCP | media | superata |
| 3.4.2 | Disabilita il supporto SCTP | media | superata |
| 3.4.3 | Disattiva il supporto RDS | low | superata |
| 3.4.4 | Disattiva il supporto TIPC | low | superata |
| 3.5.2.1 | Installa il pacchetto nftables | media | superata |
| 3.5.2.4 | Assicurati che esista una tabella per Nftables | media | superata |
| 3.5.2.5 | Assicurati che esistano catene di base per Nftables | media | superata |
| 3.5.2.9 | Verifica che il servizio nftables sia abilitato | media | superata |
| 3.5.3.1.1 | Installa il pacchetto iptables | media | superata |
| 3.5.3.1.3 | Rimuovi il pacchetto ufw | media | superata |
| 4.1.1.1 | Assicurati che il sottosistema di controllo sia installato | media | superata |
| 4.1.1.2 | Abilita il servizio auditd | media | superata |
| 4.1.1.4 | Estendi il limite del backlog di controllo per il daemon di controllo | low | superata |
| 4.1.2.1 | Configura la dimensione massima del file di log di auditd | media | superata |
| 4.1.2.2 | Configura max_log_file_action di auditd al raggiungimento della dimensione massima del file di log | media | superata |
| 4.1.2.3 | Configura l'azione admin_space_left di auditd in caso di spazio su disco ridotto | media | superata |
| 4.1.2.3 | Configura l'azione mail_acct di auditd per lo spazio su disco in esaurimento | media | superata |
| 4.1.2.3 | Configura l'azione space_left di auditd per lo spazio su disco in esaurimento | media | superata |
| 4.1.3.1 | Assicurati che auditd raccolga le azioni dell'amministratore di sistema | media | superata |
| 4.1.3.2 | Registra gli eventi quando vengono eseguiti file eseguibili con privilegi | media | superata |
| 4.1.3.3 | Registra i tentativi di eseguire attività di manutenzione | media | superata |
| 4.1.3.4 | Registra i tentativi di alterare l'ora tramite clock_settime | media | superata |
| 4.1.3.4 | Registra i tentativi di alterare l'ora tramite stime | media | superata |
| 4.1.3.4 | Registra i tentativi di modifica del file localtime | media | superata |
| 4.1.3.4 | Registra i tentativi di modifica dell'ora tramite adjtimex | media | superata |
| 4.1.3.4 | Registra i tentativi di modificare l'ora tramite settimeofday | media | superata |
| 4.1.3.5 | Registra gli eventi che modificano l'ambiente di rete del sistema | media | superata |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - su | media | superata |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - sudo | media | superata |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - sudoedit | media | superata |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - umount | media | superata |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - unix_chkpwd | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso non riusciti ai file - creat | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso non riusciti ai file - ftruncate | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso non riusciti ai file - Apri | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso non riusciti ai file - openat | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso non riusciti ai file - troncamento | media | superata |
| 4.1.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/group | media | superata |
| 4.1.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/gshadow | media | superata |
| 4.1.3.8 | Registra gli eventi che modificano le informazioni di utenti/gruppi - /etc/passwd | media | superata |
| 4.1.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/security/opasswd | media | superata |
| 4.1.3.8 | Registra gli eventi che modificano le informazioni su utenti/gruppi - /etc/shadow | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - chmod | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - chown | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fchmod | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fchmodat | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fchown | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fchownat | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fremovexattr | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - fsetxattr | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - lchown | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - lremovexattr | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - lsetxattr | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionale del sistema - removexattr | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionali del sistema - setxattr | media | superata |
| 4.1.3.10 | Assicurati che auditd raccolga informazioni sull'esportazione su supporti (esito positivo) | media | superata |
| 4.1.3.11 | Registra i tentativi di alterare le informazioni di avvio di processi e sessioni | media | superata |
| 4.1.3.12 | Registra i tentativi di alterare gli eventi di accesso e disconnessione - faillog | media | superata |
| 4.1.3.12 | Registra i tentativi di alterare gli eventi di accesso e disconnessione - lastlog | media | superata |
| 4.1.3.12 | Registra i tentativi di alterare gli eventi di accesso e disconnessione - tallylog | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file da parte dell'utente - ridenominazione | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file da parte dell'utente - renameat | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file da parte dell'utente - unlink | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file da parte dell'utente - unlinkat | media | superata |
| 4.1.3.14 | Registra gli eventi che modificano i controlli di accesso obbligatori del sistema | media | superata |
| 4.1.3.15 | Registra tutti i tentativi di esecuzione di chcon | media | superata |
| 4.1.3.16 | Registra tutti i tentativi di esecuzione di setfacl | media | superata |
| 4.1.3.17 | Registra tutti i tentativi di esecuzione di chacl | media | superata |
| 4.1.3.18 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - usermod | media | superata |
| 4.1.3.19 | Assicurati che auditd raccolga informazioni sul caricamento dei moduli kernel - init_module | media | superata |
| 4.1.3.19 | Assicurati che auditd raccolga informazioni sull'unload dei moduli kernel - delete_module | media | superata |
| 4.1.3.19 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - insmod | media | superata |
| 4.1.3.19 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - modprobe | media | superata |
| 4.1.3.19 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - rmmod | media | superata |
| 4.1.3.20 | Rendi immutabile la configurazione di auditd | media | superata |
| 4.1.4.1 | Gli audit log di sistema devono avere la modalità 0640 o meno permissiva | media | superata |
| 4.1.4.2 | Gli audit log di sistema devono essere di proprietà di root | media | superata |
| 4.1.4.3 | Gli audit log di sistema devono essere di proprietà del gruppo root | media | superata |
| 4.1.4.4 | Gli audit log di sistema devono avere la modalità 0750 o meno permissiva | media | superata |
| 4.1.4.5 | Verifica le autorizzazioni su /etc/audit/auditd.conf | media | superata |
| 4.1.4.5 | Verifica le autorizzazioni su /etc/audit/rules.d/*.rules | media | superata |
| 4.1.4.6 | I file di configurazione di controllo devono essere di proprietà di root | media | superata |
| 4.1.4.7 | I file di configurazione di controllo devono essere di proprietà del gruppo root | media | superata |
| 4.1.4.8 | Verifica che gli strumenti di controllo abbiano la modalità 0755 o inferiore | media | superata |
| 4.1.4.9 | Verifica che gli strumenti di controllo siano di proprietà di root | media | superata |
| 4.1.4.10 | Verifica che gli strumenti di controllo siano di proprietà del gruppo root | media | superata |
| 4.2.1.1.1 | Installa il pacchetto systemd-journal-remote | media | superata |
| 4.2.1.1.4 | Disattiva il socket systemd-journal-remote | media | superata |
| 4.2.1.2 | Attiva il servizio systemd-journald | media | superata |
| 4.2.1.3 | Assicurati che journald sia configurato per comprimere i file di log di grandi dimensioni | media | superata |
| 4.2.1.4 | Assicurati che journald sia configurato per scrivere i file di log su un disco permanente | media | superata |
| 4.2.2.1 | Assicurati che rsyslog sia installato | media | superata |
| 4.2.2.2 | Abilita il servizio rsyslog | media | superata |
| 4.2.2.4 | Assicurati che siano configurate le autorizzazioni predefinite dei file rsyslog | media | superata |
| 4.2.2.7 | Assicurati che rsyslog non accetti messaggi remoti, a meno che non agisca come server di log | media | superata |
| 5.1.1 | Attiva il servizio cron | media | superata |
| 5.1.2 | Verifica il gruppo proprietario di crontab | media | superata |
| 5.1.2 | Verifica il proprietario su crontab | media | superata |
| 5.1.2 | Verifica le autorizzazioni su crontab | media | superata |
| 5.1.3 | Verifica il gruppo proprietario di cron.hourly | media | superata |
| 5.1.3 | Verifica il proprietario su cron.hourly | media | superata |
| 5.1.3 | Verifica le autorizzazioni su cron.hourly | media | superata |
| 5.1.4 | Verifica il gruppo proprietario di cron.daily | media | superata |
| 5.1.4 | Verifica il proprietario su cron.daily | media | superata |
| 5.1.4 | Verifica le autorizzazioni su cron.daily | media | superata |
| 5.1.5 | Verifica il gruppo proprietario di cron.weekly | media | superata |
| 5.1.5 | Verifica proprietario verificato su cron.weekly | media | superata |
| 5.1.5 | Verifica le autorizzazioni su cron.weekly | media | superata |
| 5.1.6 | Verifica il gruppo proprietario di cron.monthly | media | superata |
| 5.1.6 | Verifica proprietario verificato su cron.monthly | media | superata |
| 5.1.6 | Verifica le autorizzazioni su cron.monthly | media | superata |
| 5.1.7 | Verifica il gruppo proprietario di cron.d | media | superata |
| 5.1.7 | Verifica il proprietario su cron.d | media | superata |
| 5.1.7 | Verifica le autorizzazioni su cron.d | media | superata |
| 5.1.8 | Assicurati che /etc/cron.deny non esista | media | superata |
| 5.1.8 | Verifica il gruppo proprietario del file /etc/cron.allow | media | superata |
| 5.1.8 | Verifica le autorizzazioni sul file /etc/cron.allow | media | superata |
| 5.1.8 | Verifica l'utente proprietario del file /etc/cron.allow | media | superata |
| 5.1.9 | Assicurati che /etc/at.deny non esista | media | superata |
| 5.1.9 | Verifica il gruppo proprietario del file /etc/at.allow | media | superata |
| 5.1.9 | Verifica le autorizzazioni sul file /etc/at.allow | media | superata |
| 5.1.9 | Verifica l'utente proprietario del file /etc/at.allow | media | superata |
| 5.2.1 | Verifica il gruppo proprietario del file di configurazione del server SSH | media | superata |
| 5.2.1 | Verifica il proprietario nel file di configurazione del server SSH | media | superata |
| 5.2.1 | Verifica le autorizzazioni sul file di configurazione del server SSH | media | superata |
| 5.2.2 | Verifica le autorizzazioni sui file delle chiavi private *_key del server SSH | media | superata |
| 5.2.3 | Verifica le autorizzazioni per i file di chiavi pubbliche *.pub del server SSH | media | superata |
| 5.2.5 | Imposta LogLevel su INFO | low | superata |
| 5.2.6 | Abilita PAM | media | superata |
| 5.2.7 | Disattiva l'accesso SSH root | media | superata |
| 5.2.8 | Disattiva l'autenticazione basata sull'host | media | superata |
| 5.2.9 | Disattiva l'accesso SSH tramite password vuote | high | superata |
| 5.2.10 | Non consentire le opzioni dell'ambiente SSH | media | superata |
| 5.2.11 | Disabilita il supporto SSH per i file .rhosts | media | superata |
| 5.2.12 | Disattiva l'inoltro X11 | media | superata |
| 5.2.13 | Utilizza solo crittografie efficaci | media | superata |
| 5.2.14 | Utilizza solo MAC efficaci | media | superata |
| 5.2.15 | Utilizza solo algoritmi di scambio di chiavi efficaci | media | superata |
| 5.2.16 | Disattiva l'inoltro TCP SSH | media | superata |
| 5.2.17 | Attiva il banner di avviso SSH | media | superata |
| 5.2.18 | Imposta il limite di tentativi di autenticazione SSH | media | superata |
| 5.2.19 | Assicurati che MaxStartups SSH sia configurato | media | superata |
| 5.2.20 | Imposta il limite MaxSessions SSH | media | superata |
| 5.2.21 | Assicurati che LoginGraceTime SSH sia configurato | media | superata |
| 5.2.22 | Imposta il numero massimo di messaggi alive del client SSH | media | superata |
| 5.2.22 | Imposta l'intervallo di attività del client SSH | media | superata |
| 5.3.1 | Installa il pacchetto sudo | media | superata |
| 5.3.2 | Assicurati che solo gli utenti che hanno eseguito l'accesso a un tty reale possano eseguire sudo - sudo use_pty | media | superata |
| 5.3.3 | Assicurati che il file di log di sudo esista - sudo logfile | low | superata |
| 5.3.5 | Ensure Users Re-Authenticate for Privilege Escalation - sudo !authenticate | media | superata |
| 5.3.6 | Richiedi la riautenticazione quando utilizzi il comando sudo | media | superata |
| 5.3.7 | Forza l'utilizzo di pam_wheel con il parametro Group per l'autenticazione su | media | superata |
| 5.3.7 | Assicurati che il gruppo utilizzato dal modulo pam_wheel esista nel sistema e sia vuoto | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password - Richieste di nuovo tentativo di autenticazione consentite per sessione | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di categorie diverse | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di caratteri numerici | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password - Lunghezza minima | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di caratteri minuscoli | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di caratteri speciali | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password - Numero minimo di caratteri maiuscoli | media | superata |
| 5.4.1 | Installa il pacchetto pam_pwquality | media | superata |
| 5.4.2 | Blocca gli account dopo tentativi di inserimento della password non riusciti | media | superata |
| 5.4.2 | Imposta l'intervallo per il conteggio dei tentativi di inserimento della password non riusciti | media | superata |
| 5.4.2 | Imposta il tempo di blocco per i tentativi di inserimento della password non riusciti | media | superata |
| 5.4.3 | Limita il riutilizzo della password | media | superata |
| 5.4.4 | Imposta l'algoritmo di hashing delle password in /etc/login.defs | media | superata |
| 5.5.1.1 | Imposta l'età minima delle password esistenti | media | superata |
| 5.5.1.1 | Imposta l'età minima della password | media | superata |
| 5.5.1.2 | Imposta la durata massima delle password esistenti | media | superata |
| 5.5.1.3 | Imposta l'età dell'avviso relativo alla password | media | superata |
| 5.5.1.4 | Imposta la scadenza dell'account dopo un periodo di inattività | media | superata |
| 5.5.1.5 | Assicurati che la data dell'ultima modifica della password di tutti gli utenti sia nel passato | media | superata |
| 5.5.2 | Assicurati che gli account di sistema non eseguano una shell al momento dell'accesso | media | superata |
| 5.5.3 | Verifica che l'utente root abbia un GID principale pari a 0 | high | superata |
| 5.5.4 | Assicurati che l'umask Bash predefinito sia impostato correttamente | media | superata |
| 5.5.4 | Assicurati che l'umask predefinito sia impostato correttamente per gli utenti interattivi | media | superata |
| 5.5.4 | Assicurati che l'umask predefinito sia impostato correttamente in /etc/profile | media | superata |
| 5.5.4 | Assicurati che l'umask predefinito sia impostato correttamente in login.defs | media | superata |
| 5.5.5 | Imposta il timeout della sessione interattiva | media | superata |
| 6.1.1 | Verifica il gruppo proprietario del file passwd | media | superata |
| 6.1.1 | Verifica le autorizzazioni sul file passwd | media | superata |
| 6.1.1 | Verifica l'utente proprietario del file passwd | media | superata |
| 6.1.2 | Verifica il gruppo proprietario del file passwd di backup | media | superata |
| 6.1.2 | Verifica le autorizzazioni sul file passwd di backup | media | superata |
| 6.1.2 | Verifica l'utente proprietario del file passwd di backup | media | superata |
| 6.1.3 | Verifica il gruppo proprietario del file del gruppo | media | superata |
| 6.1.3 | Verifica le autorizzazioni sul file del gruppo | media | superata |
| 6.1.3 | Verifica l'utente proprietario del file del gruppo | media | superata |
| 6.1.4 | Verifica il gruppo proprietario del file del gruppo di backup | media | superata |
| 6.1.4 | Verifica le autorizzazioni sul file del gruppo di backup | media | superata |
| 6.1.4 | Verifica l'utente proprietario del file del gruppo di backup | media | superata |
| 6.1.5 | Verifica il gruppo proprietario del file shadow | media | superata |
| 6.1.5 | Verifica le autorizzazioni sul file shadow | media | superata |
| 6.1.5 | Verifica l'utente proprietario del file shadow | media | superata |
| 6.1.6 | Verifica il gruppo proprietario del file shadow di backup | media | superata |
| 6.1.6 | Verifica le autorizzazioni sul file shadow di backup | media | superata |
| 6.1.6 | Verifica l'utente proprietario del file shadow di backup | media | superata |
| 6.1.7 | Verifica il gruppo proprietario del file gshadow | media | superata |
| 6.1.7 | Verifica le autorizzazioni sul file gshadow | media | superata |
| 6.1.7 | Verifica l'utente proprietario del file gshadow | media | superata |
| 6.1.8 | Verifica il gruppo proprietario del file gshadow di backup | media | superata |
| 6.1.8 | Verifica le autorizzazioni sul file gshadow di backup | media | superata |
| 6.1.8 | Verifica l'utente proprietario del file gshadow di backup | media | superata |
| 6.2.1 | Verifica che tutti gli hash delle password degli account siano nascosti | media | superata |
| 6.2.2 | Assicurati che non esistano account con password vuote o nulle | high | superata |
| 6.2.3 | Tutti i GID a cui viene fatto riferimento in /etc/passwd devono essere definiti in /etc/group | low | superata |
| 6.2.4 | Assicurati che il gruppo shadow sia vuoto | media | superata |
| 6.2.5 | Assicurati che tutti gli account sul sistema abbiano ID utente univoci | media | superata |
| 6.2.6 | Assicurati che tutti i gruppi nel sistema abbiano un ID gruppo univoco | media | superata |
| 6.2.7 | Assicurati che tutti gli account sul sistema abbiano nomi univoci | media | superata |
| 6.2.8 | Assicurati che tutti i gruppi nel sistema abbiano nomi univoci | media | superata |
| 6.2.9 | Assicurati che il percorso della directory principale non includa percorsi relativi o directory null | sconosciuto | superata |
| 6.2.9 | Assicurati che il percorso di root non includa directory scrivibili da tutti o dal gruppo | media | superata |
| 6.2.10 | Verifica che solo l'utente root abbia l'UID 0 | high | superata |
| 6.2.11 | Devono esistere le home directory di tutti gli utenti interattivi | media | superata |
| 6.2.12 | Tutte le home directory degli utenti interattivi devono essere di proprietà del gruppo principale | media | superata |
| 6.2.12 | Tutte le directory home degli utenti interattivi devono essere di proprietà dell'utente principale | media | superata |
| 6.2.13 | Tutte le home directory degli utenti interattivi devono avere la modalità 0750 o meno permissiva | media | superata |
| 6.2.14 | Verifica che non esistano file netrc | media | superata |
| 6.2.15 | Verifica che non esistano file .forward | media | superata |
| 6.2.16 | Rimuovi i file di attendibilità Rsh | high | superata |
| 6.2.17 | I file di inizializzazione dell'utente devono essere di proprietà del gruppo principale | media | superata |
| 6.2.17 | I file di inizializzazione dell'utente devono essere di proprietà dell'utente principale | media | superata |
| 6.2.17 | I file di inizializzazione dell'utente non devono eseguire programmi scrivibili da tutti | media | superata |
Suggerimenti non applicabili
La tabella seguente elenca i suggerimenti che non si applicano a Google Distributed Cloud.
| # | Suggerimento | Gravità | Stato |
|---|---|---|---|
| 1.1.2.2 | Aggiungi l'opzione nodev a /tmp | media | notapplicable |
| 1.1.2.3 | Aggiungi l'opzione noexec a /tmp | media | notapplicable |
| 1.1.2.4 | Aggiungi l'opzione nosuid a /tmp | media | notapplicable |
| 1.1.3.2 | Aggiungi l'opzione nodev a /var | media | notapplicable |
| 1.1.3.3 | Aggiungi l'opzione nosuid a /var | media | notapplicable |
| 1.1.4.2 | Aggiungi l'opzione noexec a /var/tmp | media | notapplicable |
| 1.1.4.3 | Aggiungi l'opzione nosuid a /var/tmp | media | notapplicable |
| 1.1.4.4 | Aggiungi l'opzione nodev a /var/tmp | media | notapplicable |
| 1.1.5.2 | Aggiungi l'opzione nodev a /var/log | media | notapplicable |
| 1.1.5.3 | Aggiungi l'opzione noexec a /var/log | media | notapplicable |
| 1.1.5.4 | Aggiungi l'opzione nosuid a /var/log | media | notapplicable |
| 1.1.6.2 | Aggiungi l'opzione noexec a /var/log/audit | media | notapplicable |
| 1.1.6.3 | Aggiungi l'opzione nodev a /var/log/audit | media | notapplicable |
| 1.1.6.4 | Aggiungi l'opzione nosuid a /var/log/audit | media | notapplicable |
| 1.1.7.2 | Aggiungi l'opzione nodev a /home | sconosciuto | notapplicable |
| 1.1.7.3 | Aggiungi l'opzione nosuid a /home | media | notapplicable |
| 1.4.1 | Imposta la password del bootloader UEFI | high | notapplicable |
| 1.8.1 | Rimuovi il gruppo di pacchetti GDM | media | notapplicable |
| 1.8.4 | Attiva il blocco del salvaschermo GNOME3 dopo un periodo di inattività | media | notapplicable |
| 1.8.5 | Imposta il ritardo di blocco del salvaschermo GNOME3 dopo il periodo di attivazione | media | notapplicable |
| 1.8.6 | Disattiva l'apertura del montaggio automatico di GNOME3 | media | notapplicable |
| 1.8.6 | Disabilita il montaggio automatico di GNOME3 | media | notapplicable |
| 1.8.8 | Disattiva l'esecuzione del montaggio automatico di GNOME3 | low | notapplicable |
| 1.8.10 | Disattiva XDMCP in GDM | high | notapplicable |
| 1,10 | Configura il profilo utente GNOME3 DConf | high | notapplicable |
| 2.1.4.1 | Configura le limitazioni del server per ntpd | media | notapplicable |
| 2.1.4.3 | Configura ntpd per l'esecuzione come utente ntp | media | notapplicable |
| 2.1.4.4 | Attiva il daemon NTP | high | notapplicable |
| 2.2.15 | Disabilita l'ascolto di rete Postfix | media | notapplicable |
| 3.5.1.3 | Verifica che ufw sia abilitato | media | notapplicable |
| 3.5.1.4 | Imposta il traffico di loopback UFW | media | notapplicable |
| 3.5.1.6 | Assicurati che esistano regole firewall ufw per tutte le porte aperte | media | notapplicable |
| 3.5.1.7 | Assicurati che la policy del firewall di rifiuto predefinita di ufw sia configurata | media | notapplicable |
| 3.5.3.2.1 | Imposta la policy iptables predefinita per i pacchetti in entrata | media | notapplicable |
| 3.5.3.2.2 | Imposta la configurazione per il traffico di loopback | media | notapplicable |
| 3.5.3.2.4 | Assicurati che esistano regole firewall iptables per tutte le porte aperte | media | notapplicable |
| 3.5.3.3.1 | Imposta la policy ip6tables predefinita per i pacchetti in entrata | media | notapplicable |
| 3.5.3.3.4 | Assicurati che esistano regole firewall ip6tables per tutte le porte aperte | media | notapplicable |
Suggerimenti esclusi dalla valutazione
La valutazione utilizza il profilo cis_level2_server_customized, personalizzato per Google Distributed Cloud. La tabella seguente elenca i suggerimenti del profilo CIS Level 2 - Server che il profilo personalizzato esclude dalla valutazione, pertanto non vengono visualizzati nelle tabelle precedenti.
Alcuni di questi suggerimenti sono alternative alle configurazioni utilizzate da Google Distributed Cloud, come chrony anziché systemd-timesyncd, o impostazioni GNOME che non si applicano ai server senza un desktop.
| # | Suggerimento | Gravità | Stato |
|---|---|---|---|
| 1.3.1 | Crea e testa il database AIDE | media | not evaluated |
| 1.3.1 | Installa AIDE | media | not evaluated |
| 1.3.2 | Configura l'esecuzione periodica di AIDE | media | not evaluated |
| 1.4.2 | Verifica la proprietà dell'utente di /boot/grub/grub.cfg | media | not evaluated |
| 1.6.1.3 | Tutti i profili AppArmor sono in modalità di applicazione o di reclamo | media | not evaluated |
| 1.8.2 | Attiva il banner di avviso di accesso GNOME3 | media | not evaluated |
| 1.8.2 | Imposta il testo del banner di avviso di accesso di GNOME3 | media | not evaluated |
| 1.8.3 | Disabilita l'elenco degli utenti di accesso di GNOME3 | media | not evaluated |
| 2.1.2.2 | Assicurati che chronyd sia in esecuzione con l'account utente chrony | media | not evaluated |
| 2.1.2.3 | Il servizio Chronyd è abilitato | media | not evaluated |
| 3.5.1.2 | Rimuovi il pacchetto iptables-persistent | media | not evaluated |
| 3.5.2.6 | Imposta la configurazione di nftables per il traffico di loopback | media | not evaluated |
| 3.5.3.3.2 | Imposta la configurazione per il traffico di loopback IPv6 | media | not evaluated |
| 4.1.1.3 | Enable Auditing for Processes Which Start Prior to the Audit Daemon | low | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - at | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - chage | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - chfn | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - chsh | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - crontab | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - gpasswd | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - mount | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - newgidmap | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - newgrp | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - newuidmap | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - postdrop | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - postqueue | media | not evaluated |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - ssh-keysign | media | not evaluated |
| 4.1.3.6 | Registra tutti i tentativi di esecuzione di ssh-agent | media | not evaluated |
| 4.1.4.11 | Configura AIDE per verificare gli strumenti di controllo | media | not evaluated |
| 4.2.2.6 | Assicurati che i log vengano inviati all'host remoto | media | not evaluated |
| 6.1.9 | Assicurati che non esistano file scrivibili pubblicamente | media | not evaluated |
| 6.1.11 | Ensure All Files Are Owned by a Group | media | not evaluated |
Configura il cron job AIDE
AIDE è uno strumento di controllo dell'integrità dei file che verifica la conformità ai suggerimenti per il controllo dell'integrità del file system di CIS Level 1 Server (sezione 6.3 in Ubuntu 24.04 e sezione 1.3 in Ubuntu 22.04). In Google Distributed Cloud, il processo AIDE può causare un utilizzo elevato delle risorse.
Il processo AIDE sui nodi è disattivato per impostazione predefinita per evitare problemi di risorse. La disattivazione di questo processo influisce sulla conformità con il suggerimento di controllare regolarmente l'integrità del file system (6.3.2 in Ubuntu 24.04 e 1.3.2 in Ubuntu 22.04).
Se vuoi attivare l'esecuzione del cron job AIDE, completa i seguenti passaggi per riattivare AIDE:
Crea un DaemonSet.
Ecco un manifest per un DaemonSet:
apiVersion: apps/v1 kind: DaemonSet metadata: name: enable-aide-pool1 spec: selector: matchLabels: app: enable-aide-pool1 template: metadata: labels: app: enable-aide-pool1 spec: hostIPC: true hostPID: true nodeSelector: cloud.google.com/gke-nodepool: pool-1 containers: - name: update-audit-rule image: ubuntu command: ["chroot", "/host", "bash", "-c"] args: - | set -x while true; do # change daily cronjob schedule minute=30;hour=5 sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab # enable aide chmod 755 /etc/cron.daily/aide sleep 3600 done volumeMounts: - name: host mountPath: /host securityContext: privileged: true volumes: - name: host hostPath: path: /Nel manifest precedente:
Il cron job AIDE verrà eseguito solo sul pool di nodi
pool-1, come specificato dal nodeSelectorcloud.google.com/gke-nodepool: pool-1. Puoi configurare il processo AIDE in modo che venga eseguito su tutti i node pool che vuoi specificandoli nel camponodeSelector. Per eseguire la stessa pianificazione del cron job in diversi node pool, rimuovi il camponodeSelector. Tuttavia, per evitare congestioni delle risorse host, ti consigliamo di mantenere pianificazioni separate.Il cron job è pianificato per essere eseguito ogni giorno alle 05:30, come specificato dalla configurazione
minute=30;hour=5. Puoi configurare pianificazioni diverse per il cron job AIDE in base alle tue esigenze.
Copia il manifest in un file denominato
enable-aide.yamle crea il DaemonSet:kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
dove USER_CLUSTER_KUBECONFIG è il percorso del file kubeconfig per il tuo cluster utente.
Utilizza la valutazione SCAP (Security Content Automation Protocol)
Ti consigliamo di eseguire autonomamente la scansione dell'installazione per valutare la conformità di livello 2 al benchmark CIS di Ubuntu Linux. Sono disponibili vari strumenti per analizzare i cluster e la workstation di amministrazione. Puoi seguire questi passaggi per installare ed eseguire il set di strumenti open source OpenSCAP per eseguire una valutazione della sicurezza di livello 2:
Copia il seguente script in un file denominato
cis-benchmark.sh. Questo script è per le versioni 1.35 e successive, che utilizzano Ubuntu 24.04. Per la versione 1.34, che utilizza Ubuntu 22.04, sostituisciopenscap-utils openscap-commonconlibopenscap8e sostituiscissg-ubuntu2404-ds.xmlconssg-ubuntu2204-ds-1.2.xml:#!/bin/bash set -x REPORTS_DIR="$1" mkdir -p "${REPORTS_DIR}" echo "Start CIS L2 benchmark evaluation..." sudo apt update sudo apt install -y openscap-utils openscap-common sudo oscap xccdf eval \ --profile cis_level2_server_customized \ --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \ --results "${REPORTS_DIR}"/cis-results.xml \ --report "${REPORTS_DIR}"/cis-report.html \ /etc/cloud/usg/ssg-ubuntu2404-ds.xml > "${REPORTS_DIR}"/cis-output.log 2>&1 chmod -R 755 "${REPORTS_DIR}/.." echo "Done CIS L2 benchmark evaluation"Rendi eseguibile lo script:
chmod +x cis-benchmark.shEsegui lo script:
./cis-benchmark.sh REPORTS_DIRSostituisci
REPORTS_DIRcon il percorso di una directory esistente in cui vuoi salvare il report di valutazione generato.Al termine dello script, la directory
REPORTS_DIRcontiene il filecis-report.htmlgenerato.