Este documento apresenta o CIS Benchmark do Kubernetes, explica como auditar seu compliance com o comparativo de mercado e o que os clusters do Anthos no VMware (GKE On-Prem) configuram onde você não consegue implementar uma recomendação por conta própria.
Como usar o CIS Benchmarks
O Center for Internet Security (CIS) lança comparativos de mercado para práticas recomendadas de segurança. O comparativo de mercado CIS do Kubernetes (em inglês) apresenta um conjunto de recomendações para configurar o Kubernetes para oferecer suporte a uma forte postura de segurança. O comparativo de mercado está vinculado a uma versão específica do Kubernetes. O CIS Benchmark do Kubernetes foi escrito para a distribuição de código aberto do Kubernetes e para ser aplicado universalmente a todas as distribuições possíveis.
Versões
Os números de versão para diferentes comparativos de mercado podem não ser os mesmos.
Este documento se refere a estas versões:
| Versão Anthos | Versão do Kubernetes | Versão do comparativo de mercado CIS do Kubernetes |
|---|---|---|
| 1.7.0 | 1.19.7 | 1.6 |
CIS Benchmark do Kubernetes
Como acessar o comparativo de mercado
O comparativo de mercado CIS do Kubernetes está disponível no site do CIS.
Níveis de recomendação
No comparativo de mercado CIS do Kubernetes
| Nível | Descrição |
|---|---|
| Nível 1 | A ideia é que as recomendações: |
| Nível 2 | Amplia o perfil de nível 1. As recomendações exibem uma ou mais das seguintes características: |
Status da avaliação
O status da avaliação será incluído em todas as recomendações. O status da avaliação indica se a recomendação pode ser automatizada ou requer etapas manuais para a implementação. Ambos os status são igualmente importantes, e são determinados e têm suporte conforme definido abaixo:
| Pontuação | Descrição |
|---|---|
| Automatizado | Representa recomendações para que avaliações de controle técnico possam ser totalmente automatizadas e validadas para um estado de aprovação/reprovação. As recomendações incluem as informações necessárias para implementar a automação. |
| Manual | Representa as recomendações para avaliações de controle técnico que não podem ser totalmente automatizadas e exige que todas ou algumas etapas manuais sejam feitas para confirmar se o estado configurado está definido como esperado. O estado esperado pode variar dependendo do ambiente. |
Avaliação em clusters do Anthos no VMware
Usamos os seguintes valores para especificar o status das recomendações do Kubernetes em clusters do Anthos no VMware:
| Status | Descrição |
|---|---|
| Aprovado | Está em conformidade com uma recomendação de comparativo de mercado. |
| Reprovado | Não está em conformidade com uma recomendação de comparativo de mercado. |
| Controle equivalente | Não está em conformidade com os termos exatos na recomendação de comparativo de mercado, mas há outros mecanismos nos clusters do Anthos no VMware que fornecem controles de segurança equivalentes. |
| Depende do ambiente | Os clusters do Anthos no VMware não configuram itens relacionados a esta recomendação. A configuração do usuário determina se o ambiente está em conformidade com uma recomendação de comparativo de mercado. |
Clusters do Anthos na arquitetura do VMware
Os clusters do Anthos no VMware usam um "cluster de administração" para gerenciar um ou mais "clusters do usuário", que executam cargas de trabalho reais do Kubernetes. Para mais informações sobre essa arquitetura, consulte a visão geral dos clusters do Anthos no VMware. A configuração de clusters de administradores e usuários é avaliada em relação ao comparativo de mercado abaixo.
Status em clusters do Anthos no VMware
Ao criar um novo cluster do Anthos no VMware com a versão especificada, veja o desempenho dele em relação ao comparativo de mercado CIS do Kubernetes.
Status dos clusters do Anthos no cluster de administrador do VMware:
| # | Recomendação | Nível | Status |
|---|---|---|---|
| 1 | Configuração de segurança do nó mestre | ||
| 1.1 | Arquivos de configuração do nó mestre | ||
| 1.1.1 | Verificar se as permissões do arquivo de especificação do pod do servidor de API estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.2 | Verificar se a propriedade do arquivo de especificação do pod do servidor de API está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.3 | Verificar se as permissões do arquivo de especificação do pod do gerenciador de controladores estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.4 | Verificar se a propriedade do arquivo de especificação do pod do gerenciador de controladores está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.5 | Verificar se as permissões do arquivo de especificação do pod do programador estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.6 | Verificar se a propriedade do arquivo de especificação do pod do programador está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.7 | Verificar se as permissões do arquivo de especificação do pod do etcd estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.8 | Verificar se a propriedade do arquivo de especificação do pod do etcd está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.9 | Verificar se as permissões do arquivo da interface de rede do contêiner estão definidas como 644 ou são mais restritivas (manual) |
N1 | Aprovado |
| 1.1.10 | Verificar se a propriedade do arquivo da interface de rede do contêiner está definida como root:root (manual) |
N1 | Aprovado |
| 1.1.11 | Verificar se as permissões do diretório de dados do etcd estão definidas como 700 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.12 | Verificar se a propriedade do diretório de dados do etcd está definida como etcd:etcd (automatizado) |
N1 | Controle equivalente |
| 1.1.13 | Verificar se as permissões do arquivo admin.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.14 | Verificar se a propriedade do arquivo admin.conf está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.15 | Verificar se as permissões do arquivo scheduler.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.16 | Verificar se a propriedade do arquivo scheduler.conf está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.17 | Verificar se as permissões do arquivo controller-manager.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.18 | Verificar se a propriedade do arquivo controller-manager.conf está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.19 | Verificar se o diretório PKI do Kubernetes e a propriedade do arquivo estão definidos como root:root (automatizado) |
N1 | Aprovado |
| 1.1.20 | Verificar se as permissões do arquivo de certificado PKI do Kubernetes estão definidas como 644 ou são mais restritivas (manual) |
N1 | Aprovado |
| 1.1.21 | Verificar se as permissões do arquivo de chave PKI do Kubernetes estão definidas como 600 (manual) |
N1 | Aprovado |
| 1.2 | Servidor de API | ||
| 1.2.1 | Verificar se o argumento --anonymous-auth está definido como falso (manual) |
N1 | Reprovado |
| 1.2.2 | Verificar se o argumento --basic-auth-file não está definido (automatizado) |
N1 | Aprovado |
| 1.2.3 | Verificar se o parâmetro --token-auth-file não está definido (automatizado) |
N1 | Pass |
| 1.2.4 | Verificar se o argumento --kubelet-https está definido como verdadeiro (automatizado) |
N1 | Aprovado |
| 1.2.5 | Verificar se os argumentos --kubelet-client-certificate e --kubelet-client-key estão definidos conforme apropriado (automatizados) |
N1 | Aprovado |
| 1.2.6 | Verificar se o argumento --kubelet-certificate-authority está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.2.7 | Verificar se o argumento --authorization-mode não está definido como AlwaysAllow (automatizado) |
N1 | Aprovado |
| 1.2.8 | Verificar se o argumento --authorization-mode inclui o nó (automatizado) |
N1 | Aprovado |
| 1.2.9 | Verificar se o argumento --authorization-mode inclui o RBAC (automatizado) |
N1 | Aprovado |
| 1.2.10 | Verificar se o plug-in de controle de admissão EventRateLimit está definido (manual) | N1 | Reprovado |
| 1.2.11 | Verificar se o plug-in de controle de admissão AlwaysAdmit não está definido (automatizado) | N1 | Aprovado |
| 1.2.12 | Verificar se o plug-in de controle de admissão AlwaysPullImages está definido (manual) | N1 | Depende do ambiente |
| 1.2.13 | Verificar se o plug-in de controle de admissão SecurityContextDeny está definido, se PodSecurityPolicy não estiver sendo usado (manual) | N1 | Controle equivalente |
| 1.2.14 | Verificar se o plug-in de controle de admissão ServiceAccount está definido (automatizado) | N1 | Aprovado |
| 1.2.15 | Verificar se o plug-in de controle de admissão NamespaceLifecycle está definido (automatizado) | N1 | Aprovado |
| 1.2.16 | Verificar se o plug-in de controle de admissão PodSecurityPolicy está definido (automatizado) | N1 | Controle equivalente |
| 1.2.17 | Verificar se o plug-in de controle de admissão NodeRestriction está definido (automatizado) | N1 | Aprovado |
| 1.2.18 | Verificar se o argumento --insecure-bind-address não está definido (automatizado) |
N1 | Aprovado |
| 1.2.19 | Verificar se o argumento --insecure-port está definido como 0 (automatizado) |
N1 | Aprovado |
| 1.2.20 | Verificar se o argumento --secure-port não está definido como 0 (automatizado) |
N1 | Aprovado |
| 1.2.21 | Verificar se o argumento --profiling está definido como falso (automatizado) |
N1 | Pass |
| 1.2.22 | Verificar se o argumento --audit-log-path está definido (automatizado) |
N1 | Controle equivalente |
| 1.2.23 | Verificar se o argumento --audit-log-maxage está definido como 30 ou conforme apropriado (automatizado) |
N1 | Controle equivalente |
| 1.2.24 | Verificar se o argumento --audit-log-maxbackup está definido como 10 ou conforme apropriado (automatizado) |
N1 | Controle equivalente |
| 1.2.25 | Verificar se o argumento --audit-log-maxsize está definido como 100 ou conforme apropriado (automatizado) |
N1 | Controle equivalente |
| 1.2.26 | Verificar se o argumento --request-timeout está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.2.27 | Verificar se o argumento --service-account-lookup está definido como verdadeiro (automatizado) |
N1 | Aprovado |
| 1.2.28 | Verificar se o argumento --service-account-key-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.2.29 | Verificar se os argumentos --etcd-certfile e --etcd-keyfile estão definidos conforme apropriado (automatizados) |
N1 | Pass |
| 1.2.30 | Verificar se os argumentos --tls-cert-file e --tls-private-key-file estão definidos conforme apropriado (automatizados) |
N1 | Controle equivalente |
| 1.2.31 | Verificar se o argumento --client-ca-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.2.32 | Verificar se o argumento --etcd-cafile está definido conforme apropriado (automatizado) |
N1 | Pass |
| 1.2.33 | Verificar se o argumento --encryption-provider-config está definido conforme apropriado (manual) |
N1 | Fail |
| 1.2.34 | Verificar se os provedores de criptografia estão configurados corretamente (manual) | N1 | Reprovado |
| 1.2.35 | Verificar se o servidor de API usa apenas códigos criptográficos fortes (manual) | N1 | Aprovado |
| 1.3 | Controller Manager | ||
| 1.3.1 | Verificar se o argumento --terminated-pod-gc-threshold está definido conforme apropriado (manual) |
N1 | Aprovado |
| 1.3.2 | Verificar se o argumento --profiling está definido como falso (automatizado) |
N1 | Pass |
| 1.3.3 | Verificar se o argumento --use-service-account-credentials está definido como verdadeiro (automatizado) |
N1 | Pass |
| 1.3.4 | Verificar se o argumento --service-account-private-key-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.3.5 | Verificar se o argumento --root-ca-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.3.6 | Verificar se o argumento RotateKubeletServerCertificate está definido como verdadeiro (automatizado) | N2 | Controle equivalente |
| 1.3.7 | Verificar se o argumento --bind-address está definido como 127.0.0.1 (automatizado) |
N1 | Aprovado |
| 1.4 | Programador | ||
| 1.4.1 | Verificar se o argumento --profiling está definido como falso (automatizado) |
N1 | Pass |
| 1.4.2 | Verificar se o argumento --bind-address está definido como 127.0.0.1 (automatizado) |
N1 | Aprovado |
| 2 | Configuração de nó do etct | ||
| 2 | Arquivos de configuração do nó do etct | ||
| 2.1 | Verificar se os argumentos --cert-file e --key-file estão definidos conforme apropriado (automatizados) |
N1 | Pass |
| 2.2 | Verificar se o argumento --client-cert-auth está definido como verdadeiro (automatizado) |
N1 | Pass |
| 2.3 | Verificar se o argumento --auto-tls não está definido como verdadeiro (automatizado) |
N1 | Aprovado |
| 2.4 | Verificar se os argumentos --peer-cert-file e --peer-key-file estão definidos conforme apropriado (automatizados) |
N1 | Pass |
| 2,5 | Verificar se o argumento --peer-client-cert-auth está definido como verdadeiro (automatizado) |
N1 | Pass |
| 2.6 | Verificar se o argumento --peer-auto-tls não está definido como verdadeiro (automatizado) |
N1 | Pass |
| 2.7 | Verificar se uma autoridade de certificação exclusiva é usada para o etcd (manual) | N2 | Aprovado |
| 3 | Configuração do plano de controle | ||
| 3.1 | Autenticação e autorização | ||
| 3.1.1 | Não é possível usar a autenticação de certificado do cliente para usuários (manual) | N2 | Aprovado |
| 3.2 | Logging | ||
| 3.2.1 | Verificar se uma política de auditoria mínima foi criada (manual) | N1 | Controle equivalente |
| 3.2.2 | Verificar se a política de auditoria abrange as principais preocupações de segurança (manual) | N2 | Controle equivalente |
| 4 | Configuração de segurança do nó de trabalho | ||
| 4.1 | Arquivos de configuração do nó de trabalho | ||
| 4.1.1 | Verificar se as permissões do arquivo de serviço do Kubelet estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Aprovado |
| 4.1.2 | Verificar se a propriedade do arquivo de serviço do Kubelet está definida como root:root (automatizado) |
N1 | Aprovado |
| 4.1.3 | Se houver um arquivo kubeconfig do proxy, verificar se as permissões estão definidas como 644 ou são mais restritivas (manual) |
N1 | Controle equivalente |
| 4.1.4 | Verificar se a propriedade do arquivo kubeconfig do proxy está definida como root:root (manual) |
N1 | Controle equivalente |
| 4.1.5 | Verificar se as permissões do arquivo kubelet.conf --kubeconfig estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 4.1.6 | Verificar se a propriedade do arquivo kubelet.conf --kubeconfig está definida como root:root (manual) |
N1 | Controle equivalente |
| 4.1.7 | Verificar se as permissões do arquivo de autoridades de certificação estão definidas como 644 ou são mais restritivas (manual) |
N1 | Aprovado |
| 4.1.8 | Verificar se a propriedade do arquivo de autoridades de certificação do cliente está definida como root:root (manual) |
N1 | Aprovado |
| 4.1.9 | Verificar se o arquivo de configuração do kubelet --config tem permissões definidas como 644 ou são mais restritivas (automatizado) |
N1 | Aprovado |
| 4.1.10 | Verificar se a propriedade do arquivo de configuração do kubelet --config está definida como root:root (automatizado) |
N1 | Aprovado |
| 4.2 | Kubelet | ||
| 4.2.1 | Verificar se o argumento anonymous-auth está definido como falso (automatizado) | N1 | Aprovado |
| 4.2.2 | Verificar se o argumento --authorization-mode não está definido como AlwaysAllow (automatizado) |
N1 | Aprovado |
| 4.2.3 | Verificar se o argumento --client-ca-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 4.2.4 | Verificar se o argumento --read-only-port está definido como 0 (manual) |
N1 | Reprovado |
| 4.2.5 | Verificar se o argumento --streaming-connection-idle-timeout não está definido como 0 (manual) |
N1 | Aprovado |
| 4.2.6 | Verificar se o argumento --protect-kernel-defaults está definido como verdadeiro (automatizado) |
N1 | Reprovado |
| 4.2.7 | Verificar se o argumento --make-iptables-util-chains está definido como verdadeiro (automatizado) |
N1 | Aprovado |
| 4.2.8 | Verificar se o argumento --hostname-override não está definido (manual) |
N1 | Aprovado |
| 4.2.9 | Verificar se o argumento --event-qps está definido como 0 ou em um nível que garanta a captura apropriada do evento (manual) |
N2 | Reprovado |
| 4.2.10 | Verificar se os argumentos --tls-cert-file e --tls-private-key-file estão definidos conforme apropriado (manual) |
N1 | Controle equivalente |
| 4.2.11 | Verificar se o argumento --rotate-certificates não está definido como falso (manual) |
N1 | Pass |
| 4.2.12 | Verificar se o argumento RotateKubeletServerCertificate está definido como verdadeiro (manual) | N1 | Controle equivalente |
| 4.2.13 | Verificar se o Kubelet usa somente códigos criptográficos fortes (manual) | N1 | Controle equivalente |
Descrições de falhas e controles equivalentes para clusters do Anthos no cluster de administrador do VMware:
| # | Recomendação | Nível | Status | Valor | Justificativa |
|---|---|---|---|---|---|
| 1.1.1 | Verificar se as permissões do arquivo de especificação do pod do servidor de API estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.2 | Verificar se a propriedade do arquivo de especificação do pod do servidor de API está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.3 | Verificar se as permissões do arquivo de especificação do pod do gerenciador de controladores estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.4 | Verificar se a propriedade do arquivo de especificação do pod do gerenciador de controladores está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.5 | Verificar se as permissões do arquivo de especificação do pod do programador estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.6 | Verificar se a propriedade do arquivo de especificação do pod do programador está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.7 | Verificar se as permissões do arquivo de especificação do pod do etcd estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.8 | Verificar se a propriedade do arquivo de especificação do pod do etcd está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.11 | Verificar se as permissões do diretório de dados do etcd estão definidas como 700 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | 755 |
O diretório de dados do etcd tem as permissões 755 padrão, mas os subdiretórios são 700. |
| 1.1.12 | Verificar se a propriedade do diretório de dados do etcd está definida como etcd:etcd (automatizado) |
N1 | Controle equivalente | root:root |
O contêiner do etcd é executado como root, e o diretório de dados do etcd pertence a root:root. |
| 1.1.13 | Verificar se as permissões do arquivo admin.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.14 | Verificar se a propriedade do arquivo admin.conf está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.15 | Verificar se as permissões do arquivo scheduler.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.16 | Verificar se a propriedade do arquivo scheduler.conf está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.17 | Verificar se as permissões do arquivo controller-manager.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.18 | Verificar se a propriedade do arquivo controller-manager.conf está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.2.1 | Verificar se o argumento --anonymous-auth está definido como falso (manual) |
N1 | Fail | não definido | Alguns clusters do Anthos em componentes de monitoramento do VMware usam autenticação anônima para executar verificações de integridade. |
| 1.2.10 | Verificar se o plug-in de controle de admissão EventRateLimit está definido (manual) | N1 | Fail | não definido | Os clusters do Anthos no VMware não são compatíveis com o controlador de admissão da limitação de taxa de eventos, já que eles são um recurso Alfa do Kubernetes. |
| 1.2.12 | Verificar se o plug-in de controle de admissão AlwaysPullImages está definido (manual) | N1 | Depende do ambiente | não definido | O controlador de admissão AlwaysPullImages oferece alguma proteção para imagens de registros particulares em clusters multilocatários não cooperativos. Mas isso faz com que os registros do contêiner se tornem um único ponto de falha para criar novos pods em todo o cluster. Os clusters do Anthos no VMware não ativam o controlador de admissão AlwaysPullImages, o que permite aos administradores do cluster implementar a política de admissão para fazer essa operação por conta própria. |
| 1.2.13 | Verificar se o plug-in de controle de admissão SecurityContextDeny está definido, se PodSecurityPolicy não estiver sendo usado (manual) | N1 | Controle equivalente | não definido | As políticas de configurações de segurança em pods são gerenciadas pelo Policy Controller e o Anthos Config Management. |
| 1.2.16 | Verificar se o plug-in de controle de admissão PodSecurityPolicy está definido (automatizado) | N1 | Controle equivalente | não definido | As políticas de configurações de segurança em pods são gerenciadas pelo Policy Controller e o Anthos Config Management. |
| 1.2.22 | Verificar se o argumento --audit-log-path está definido (automatizado) |
N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 1.2.23 | Verificar se o argumento --audit-log-maxage está definido como 30 ou conforme apropriado (automatizado) |
N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 1.2.24 | Verificar se o argumento --audit-log-maxbackup está definido como 10 ou conforme apropriado (automatizado) |
N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 1.2.25 | Verificar se o argumento --audit-log-maxsize está definido como 100 ou conforme apropriado (automatizado) |
N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 1.2.30 | Verificar se os argumentos --tls-cert-file e --tls-private-key-file estão definidos conforme apropriado (automatizados) |
N1 | Controle equivalente | não definido | Os clusters do Anthos no VMware gerenciam o TLS do servidor kubelet usando a sinalização --rotate-server-certificates. |
| 1.2.33 | Verificar se o argumento --encryption-provider-config está definido conforme apropriado (manual) |
N1 | Fail | não definido | Os clusters do Anthos no VMware ainda não são compatíveis com a criptografia de camada de aplicativo dos secrets. |
| 1.2.34 | Verificar se os provedores de criptografia estão configurados corretamente (manual) | N1 | Fail | não definido | Os clusters do Anthos no VMware ainda não são compatíveis com a criptografia de camada de aplicativo dos secrets. |
| 1.3.6 | Verificar se o argumento RotateKubeletServerCertificate está definido como verdadeiro (automatizado) | N2 | Controle equivalente | não definido | Os clusters do Anthos no VMware ativam a rotação de certificados do Kubelet definindo --rotate-server-certificates=true nos kubelets. |
| 3.2.1 | Verificar se uma política de auditoria mínima foi criada (manual) | N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 3.2.2 | Verificar se a política de auditoria abrange as principais preocupações de segurança (manual) | N2 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 4.1.3 | Se houver um arquivo kubeconfig do proxy, verificar se as permissões estão definidas como 644 ou são mais restritivas (manual) |
N1 | Controle equivalente | não definido | O kube-proxy é executado como um daemonset nos clusters do Anthos no VMware, e as permissões são gerenciadas por meio do RBAC. |
| 4.1.4 | Verificar se a propriedade do arquivo kubeconfig do proxy está definida como root:root (manual) |
N1 | Controle equivalente | não definido | O kube-proxy é executado como um daemonset nos clusters do Anthos no VMware, e as permissões são gerenciadas por meio do RBAC. |
| 4.1.5 | Verificar se as permissões do arquivo kubelet.conf --kubeconfig estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 4.1.6 | Verificar se a propriedade do arquivo kubelet.conf --kubeconfig está definida como root:root (manual) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 4.2.4 | Verificar se o argumento --read-only-port está definido como 0 (manual) |
N1 | Reprovado | 10255 |
Alguns clusters do Anthos em componentes de monitoramento do VMware usam a porta somente leitura do Kubelet para conseguir as métricas. |
| 4.2.6 | Verificar se o argumento --protect-kernel-defaults está definido como verdadeiro (automatizado) |
N1 | Reprovado | false |
Os clusters do Anthos no VMware permitem que o Kubelet defina as configurações do kernel necessárias. |
| 4.2.9 | Verificar se o argumento --event-qps está definido como 0 ou em um nível que garanta a captura apropriada do evento (manual) |
N2 | Fail | não definido | Os eventos são objetos do Kubernetes armazenados no etcd. Para evitar sobrecarregar o etcd, eles são mantidos por apenas uma hora e não são um mecanismo de auditoria de segurança adequado. Permitir eventos ilimitados, conforme sugerido neste controle, expõe o cluster a riscos desnecessários de negação de serviço (DoS) e contradiz a recomendação de usar EventRateLimits de admissão. Os eventos relevantes de segurança que precisam de armazenamento permanente podem ser enviados aos registros. |
| 4.2.10 | Verificar se os argumentos --tls-cert-file e --tls-private-key-file estão definidos conforme apropriado (manual) |
N1 | Controle equivalente | não definido | Os clusters do Anthos no VMware gerenciam o TLS do servidor kubelet usando a sinalização --rotate-server-certificates. |
| 4.2.12 | Verificar se o argumento RotateKubeletServerCertificate está definido como verdadeiro (manual) | N1 | Controle equivalente | não definido | Os clusters do Anthos no VMware ativam a rotação de certificados do Kubelet definindo --rotate-server-certificates=true nos kubelets. |
| 4.2.13 | Verificar se o Kubelet usa somente códigos criptográficos fortes (manual) | N1 | Controle equivalente | Kubelet usa o conjunto padrão de códigos criptográficos. |
Status dos clusters do Anthos no cluster do usuário do VMware:
| # | Recomendação | Nível | Status |
|---|---|---|---|
| 1 | Configuração de segurança do nó mestre | ||
| 1.1 | Arquivos de configuração do nó mestre | ||
| 1.1.1 | Verificar se as permissões do arquivo de especificação do pod do servidor de API estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.2 | Verificar se a propriedade do arquivo de especificação do pod do servidor de API está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.3 | Verificar se as permissões do arquivo de especificação do pod do gerenciador de controladores estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.4 | Verificar se a propriedade do arquivo de especificação do pod do gerenciador de controladores está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.5 | Verificar se as permissões do arquivo de especificação do pod do programador estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.6 | Verificar se a propriedade do arquivo de especificação do pod do programador está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.7 | Verificar se as permissões do arquivo de especificação do pod do etcd estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.8 | Verificar se a propriedade do arquivo de especificação do pod do etcd está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.9 | Verificar se as permissões do arquivo da interface de rede do contêiner estão definidas como 644 ou são mais restritivas (manual) |
N1 | Aprovado |
| 1.1.10 | Verificar se a propriedade do arquivo da interface de rede do contêiner está definida como root:root (manual) |
N1 | Aprovado |
| 1.1.11 | Verificar se as permissões do diretório de dados do etcd estão definidas como 700 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.12 | Verificar se a propriedade do diretório de dados do etcd está definida como etcd:etcd (automatizado) |
N1 | Controle equivalente |
| 1.1.13 | Verificar se as permissões do arquivo admin.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.14 | Verificar se a propriedade do arquivo admin.conf está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.15 | Verificar se as permissões do arquivo scheduler.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.16 | Verificar se a propriedade do arquivo scheduler.conf está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.17 | Verificar se as permissões do arquivo controller-manager.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 1.1.18 | Verificar se a propriedade do arquivo controller-manager.conf está definida como root:root (automatizado) |
N1 | Controle equivalente |
| 1.1.19 | Verificar se o diretório PKI do Kubernetes e a propriedade do arquivo estão definidos como root:root (automatizado) |
N1 | Aprovado |
| 1.1.20 | Verificar se as permissões do arquivo de certificado PKI do Kubernetes estão definidas como 644 ou são mais restritivas (manual) |
N1 | Aprovado |
| 1.1.21 | Verificar se as permissões do arquivo de chave PKI do Kubernetes estão definidas como 600 (manual) |
N1 | Aprovado |
| 1.2 | Servidor de API | ||
| 1.2.1 | Verificar se o argumento --anonymous-auth está definido como falso (manual) |
N1 | Reprovado |
| 1.2.2 | Verificar se o argumento --basic-auth-file não está definido (automatizado) |
N1 | Aprovado |
| 1.2.3 | Verificar se o parâmetro --token-auth-file não está definido (automatizado) |
N1 | Pass |
| 1.2.4 | Verificar se o argumento --kubelet-https está definido como verdadeiro (automatizado) |
N1 | Aprovado |
| 1.2.5 | Verificar se os argumentos --kubelet-client-certificate e --kubelet-client-key estão definidos conforme apropriado (automatizados) |
N1 | Aprovado |
| 1.2.6 | Verificar se o argumento --kubelet-certificate-authority está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.2.7 | Verificar se o argumento --authorization-mode não está definido como AlwaysAllow (automatizado) |
N1 | Aprovado |
| 1.2.8 | Verificar se o argumento --authorization-mode inclui o nó (automatizado) |
N1 | Aprovado |
| 1.2.9 | Verificar se o argumento --authorization-mode inclui o RBAC (automatizado) |
N1 | Aprovado |
| 1.2.10 | Verificar se o plug-in de controle de admissão EventRateLimit está definido (manual) | N1 | Reprovado |
| 1.2.11 | Verificar se o plug-in de controle de admissão AlwaysAdmit não está definido (automatizado) | N1 | Aprovado |
| 1.2.12 | Verificar se o plug-in de controle de admissão AlwaysPullImages está definido (manual) | N1 | Depende do ambiente |
| 1.2.13 | Verificar se o plug-in de controle de admissão SecurityContextDeny está definido, se PodSecurityPolicy não estiver sendo usado (manual) | N1 | Controle equivalente |
| 1.2.14 | Verificar se o plug-in de controle de admissão ServiceAccount está definido (automatizado) | N1 | Aprovado |
| 1.2.15 | Verificar se o plug-in de controle de admissão NamespaceLifecycle está definido (automatizado) | N1 | Aprovado |
| 1.2.16 | Verificar se o plug-in de controle de admissão PodSecurityPolicy está definido (automatizado) | N1 | Controle equivalente |
| 1.2.17 | Verificar se o plug-in de controle de admissão NodeRestriction está definido (automatizado) | N1 | Aprovado |
| 1.2.18 | Verificar se o argumento --insecure-bind-address não está definido (automatizado) |
N1 | Aprovado |
| 1.2.19 | Verificar se o argumento --insecure-port está definido como 0 (automatizado) |
N1 | Aprovado |
| 1.2.20 | Verificar se o argumento --secure-port não está definido como 0 (automatizado) |
N1 | Aprovado |
| 1.2.21 | Verificar se o argumento --profiling está definido como falso (automatizado) |
N1 | Pass |
| 1.2.22 | Verificar se o argumento --audit-log-path está definido (automatizado) |
N1 | Controle equivalente |
| 1.2.23 | Verificar se o argumento --audit-log-maxage está definido como 30 ou conforme apropriado (automatizado) |
N1 | Controle equivalente |
| 1.2.24 | Verificar se o argumento --audit-log-maxbackup está definido como 10 ou conforme apropriado (automatizado) |
N1 | Controle equivalente |
| 1.2.25 | Verificar se o argumento --audit-log-maxsize está definido como 100 ou conforme apropriado (automatizado) |
N1 | Controle equivalente |
| 1.2.26 | Verificar se o argumento --request-timeout está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.2.27 | Verificar se o argumento --service-account-lookup está definido como verdadeiro (automatizado) |
N1 | Aprovado |
| 1.2.28 | Verificar se o argumento --service-account-key-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.2.29 | Verificar se os argumentos --etcd-certfile e --etcd-keyfile estão definidos conforme apropriado (automatizados) |
N1 | Pass |
| 1.2.30 | Verificar se os argumentos --tls-cert-file e --tls-private-key-file estão definidos conforme apropriado (automatizados) |
N1 | Controle equivalente |
| 1.2.31 | Verificar se o argumento --client-ca-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.2.32 | Verificar se o argumento --etcd-cafile está definido conforme apropriado (automatizado) |
N1 | Pass |
| 1.2.33 | Verificar se o argumento --encryption-provider-config está definido conforme apropriado (manual) |
N1 | Fail |
| 1.2.34 | Verificar se os provedores de criptografia estão configurados corretamente (manual) | N1 | Reprovado |
| 1.2.35 | Verificar se o servidor de API usa apenas códigos criptográficos fortes (manual) | N1 | Aprovado |
| 1.3 | Controller Manager | ||
| 1.3.1 | Verificar se o argumento --terminated-pod-gc-threshold está definido conforme apropriado (manual) |
N1 | Aprovado |
| 1.3.2 | Verificar se o argumento --profiling está definido como falso (automatizado) |
N1 | Pass |
| 1.3.3 | Verificar se o argumento --use-service-account-credentials está definido como verdadeiro (automatizado) |
N1 | Pass |
| 1.3.4 | Verificar se o argumento --service-account-private-key-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.3.5 | Verificar se o argumento --root-ca-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 1.3.6 | Verificar se o argumento RotateKubeletServerCertificate está definido como verdadeiro (automatizado) | N2 | Controle equivalente |
| 1.3.7 | Verificar se o argumento --bind-address está definido como 127.0.0.1 (automatizado) |
N1 | Aprovado |
| 1.4 | Programador | ||
| 1.4.1 | Verificar se o argumento --profiling está definido como falso (automatizado) |
N1 | Pass |
| 1.4.2 | Verificar se o argumento --bind-address está definido como 127.0.0.1 (automatizado) |
N1 | Aprovado |
| 2 | Configuração de nó do etct | ||
| 2 | Arquivos de configuração do nó do etct | ||
| 2.1 | Verificar se os argumentos --cert-file e --key-file estão definidos conforme apropriado (automatizados) |
N1 | Pass |
| 2.2 | Verificar se o argumento --client-cert-auth está definido como verdadeiro (automatizado) |
N1 | Pass |
| 2.3 | Verificar se o argumento --auto-tls não está definido como verdadeiro (automatizado) |
N1 | Aprovado |
| 2.4 | Verificar se os argumentos --peer-cert-file e --peer-key-file estão definidos conforme apropriado (automatizados) |
N1 | Pass |
| 2,5 | Verificar se o argumento --peer-client-cert-auth está definido como verdadeiro (automatizado) |
N1 | Pass |
| 2.6 | Verificar se o argumento --peer-auto-tls não está definido como verdadeiro (automatizado) |
N1 | Pass |
| 2.7 | Verificar se uma autoridade de certificação exclusiva é usada para o etcd (manual) | N2 | Aprovado |
| 3 | Configuração do plano de controle | ||
| 3.1 | Autenticação e autorização | ||
| 3.1.1 | Não é possível usar a autenticação de certificado do cliente para usuários (manual) | N2 | Aprovado |
| 3.2 | Logging | ||
| 3.2.1 | Verificar se uma política de auditoria mínima foi criada (manual) | N1 | Controle equivalente |
| 3.2.2 | Verificar se a política de auditoria abrange as principais preocupações de segurança (manual) | N2 | Controle equivalente |
| 4 | Configuração de segurança do nó de trabalho | ||
| 4.1 | Arquivos de configuração do nó de trabalho | ||
| 4.1.1 | Verificar se as permissões do arquivo de serviço do Kubelet estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Aprovado |
| 4.1.2 | Verificar se a propriedade do arquivo de serviço do Kubelet está definida como root:root (automatizado) |
N1 | Aprovado |
| 4.1.3 | Se houver um arquivo kubeconfig do proxy, verificar se as permissões estão definidas como 644 ou são mais restritivas (manual) |
N1 | Controle equivalente |
| 4.1.4 | Verificar se a propriedade do arquivo kubeconfig do proxy está definida como root:root (manual) |
N1 | Controle equivalente |
| 4.1.5 | Verificar se as permissões do arquivo kubelet.conf --kubeconfig estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente |
| 4.1.6 | Verificar se a propriedade do arquivo kubelet.conf --kubeconfig está definida como root:root (manual) |
N1 | Controle equivalente |
| 4.1.7 | Verificar se as permissões do arquivo de autoridades de certificação estão definidas como 644 ou são mais restritivas (manual) |
N1 | Aprovado |
| 4.1.8 | Verificar se a propriedade do arquivo de autoridades de certificação do cliente está definida como root:root (manual) |
N1 | Aprovado |
| 4.1.9 | Verificar se o arquivo de configuração do kubelet --config tem permissões definidas como 644 ou são mais restritivas (automatizado) |
N1 | Aprovado |
| 4.1.10 | Verificar se a propriedade do arquivo de configuração do kubelet --config está definida como root:root (automatizado) |
N1 | Aprovado |
| 4.2 | Kubelet | ||
| 4.2.1 | Verificar se o argumento anonymous-auth está definido como falso (automatizado) | N1 | Aprovado |
| 4.2.2 | Verificar se o argumento --authorization-mode não está definido como AlwaysAllow (automatizado) |
N1 | Aprovado |
| 4.2.3 | Verificar se o argumento --client-ca-file está definido conforme apropriado (automatizado) |
N1 | Aprovado |
| 4.2.4 | Verificar se o argumento --read-only-port está definido como 0 (manual) |
N1 | Reprovado |
| 4.2.5 | Verificar se o argumento --streaming-connection-idle-timeout não está definido como 0 (manual) |
N1 | Aprovado |
| 4.2.6 | Verificar se o argumento --protect-kernel-defaults está definido como verdadeiro (automatizado) |
N1 | Reprovado |
| 4.2.7 | Verificar se o argumento --make-iptables-util-chains está definido como verdadeiro (automatizado) |
N1 | Aprovado |
| 4.2.8 | Verificar se o argumento --hostname-override não está definido (manual) |
N1 | Aprovado |
| 4.2.9 | Verificar se o argumento --event-qps está definido como 0 ou em um nível que garanta a captura apropriada do evento (manual) |
N2 | Reprovado |
| 4.2.10 | Verificar se os argumentos --tls-cert-file e --tls-private-key-file estão definidos conforme apropriado (manual) |
N1 | Controle equivalente |
| 4.2.11 | Verificar se o argumento --rotate-certificates não está definido como falso (manual) |
N1 | Pass |
| 4.2.12 | Verificar se o argumento RotateKubeletServerCertificate está definido como verdadeiro (manual) | N1 | Controle equivalente |
| 4.2.13 | Verificar se o Kubelet usa somente códigos criptográficos fortes (manual) | N1 | Controle equivalente |
Descrições de falhas e controles equivalentes para clusters do Anthos no cluster do usuário do VMware:
| # | Recomendação | Nível | Status | Valor | Justificativa |
|---|---|---|---|---|---|
| 1.1.1 | Verificar se as permissões do arquivo de especificação do pod do servidor de API estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.2 | Verificar se a propriedade do arquivo de especificação do pod do servidor de API está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.3 | Verificar se as permissões do arquivo de especificação do pod do gerenciador de controladores estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.4 | Verificar se a propriedade do arquivo de especificação do pod do gerenciador de controladores está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.5 | Verificar se as permissões do arquivo de especificação do pod do programador estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.6 | Verificar se a propriedade do arquivo de especificação do pod do programador está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.7 | Verificar se as permissões do arquivo de especificação do pod do etcd estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.8 | Verificar se a propriedade do arquivo de especificação do pod do etcd está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.11 | Verificar se as permissões do diretório de dados do etcd estão definidas como 700 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | 755 |
O diretório de dados do etcd tem as permissões 755 padrão, mas os subdiretórios são 700. |
| 1.1.12 | Verificar se a propriedade do diretório de dados do etcd está definida como etcd:etcd (automatizado) |
N1 | Controle equivalente | root:root |
O contêiner do etcd é executado como root, e o diretório de dados do etcd pertence a root:root. |
| 1.1.13 | Verificar se as permissões do arquivo admin.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.14 | Verificar se a propriedade do arquivo admin.conf está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.15 | Verificar se as permissões do arquivo scheduler.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.16 | Verificar se a propriedade do arquivo scheduler.conf está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.17 | Verificar se as permissões do arquivo controller-manager.conf estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.1.18 | Verificar se a propriedade do arquivo controller-manager.conf está definida como root:root (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 1.2.1 | Verificar se o argumento --anonymous-auth está definido como falso (manual) |
N1 | Fail | não definido | Alguns clusters do Anthos em componentes de monitoramento do VMware usam autenticação anônima para executar verificações de integridade. |
| 1.2.10 | Verificar se o plug-in de controle de admissão EventRateLimit está definido (manual) | N1 | Fail | não definido | Os clusters do Anthos no VMware não são compatíveis com o controlador de admissão da limitação de taxa de eventos, já que eles são um recurso Alfa do Kubernetes. |
| 1.2.12 | Verificar se o plug-in de controle de admissão AlwaysPullImages está definido (manual) | N1 | Depende do ambiente | não definido | O controlador de admissão AlwaysPullImages oferece alguma proteção para imagens de registros particulares em clusters multilocatários não cooperativos. Mas isso faz com que os registros do contêiner se tornem um único ponto de falha para criar novos pods em todo o cluster. Os clusters do Anthos no VMware não ativam o controlador de admissão AlwaysPullImages, o que permite aos administradores do cluster implementar a política de admissão para fazer essa operação por conta própria. |
| 1.2.13 | Verificar se o plug-in de controle de admissão SecurityContextDeny está definido, se PodSecurityPolicy não estiver sendo usado (manual) | N1 | Controle equivalente | não definido | As políticas de configurações de segurança em pods são gerenciadas pelo Policy Controller e o Anthos Config Management. |
| 1.2.16 | Verificar se o plug-in de controle de admissão PodSecurityPolicy está definido (automatizado) | N1 | Controle equivalente | não definido | As políticas de configurações de segurança em pods são gerenciadas pelo Policy Controller e o Anthos Config Management. |
| 1.2.22 | Verificar se o argumento --audit-log-path está definido (automatizado) |
N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 1.2.23 | Verificar se o argumento --audit-log-maxage está definido como 30 ou conforme apropriado (automatizado) |
N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 1.2.24 | Verificar se o argumento --audit-log-maxbackup está definido como 10 ou conforme apropriado (automatizado) |
N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 1.2.25 | Verificar se o argumento --audit-log-maxsize está definido como 100 ou conforme apropriado (automatizado) |
N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 1.2.30 | Verificar se os argumentos --tls-cert-file e --tls-private-key-file estão definidos conforme apropriado (automatizados) |
N1 | Controle equivalente | não definido | Os clusters do Anthos no VMware gerenciam o TLS do servidor kubelet usando a sinalização --rotate-server-certificates. |
| 1.2.33 | Verificar se o argumento --encryption-provider-config está definido conforme apropriado (manual) |
N1 | Fail | não definido | Os clusters do Anthos no VMware ainda não são compatíveis com a criptografia de camada de aplicativo dos secrets. |
| 1.2.34 | Verificar se os provedores de criptografia estão configurados corretamente (manual) | N1 | Fail | não definido | Os clusters do Anthos no VMware ainda não são compatíveis com a criptografia de camada de aplicativo dos secrets. |
| 1.3.6 | Verificar se o argumento RotateKubeletServerCertificate está definido como verdadeiro (automatizado) | N2 | Controle equivalente | não definido | Os clusters do Anthos no VMware ativam a rotação de certificados do Kubelet definindo --rotate-server-certificates=true nos kubelets. |
| 3.2.1 | Verificar se uma política de auditoria mínima foi criada (manual) | N1 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 3.2.2 | Verificar se a política de auditoria abrange as principais preocupações de segurança (manual) | N2 | Controle equivalente | não definido | O GKE captura registros de auditoria, mas não usa essas sinalizações para auditoria. Consulte os clusters do Anthos na política de auditoria do VMware para mais detalhes. |
| 4.1.3 | Se houver um arquivo kubeconfig do proxy, verificar se as permissões estão definidas como 644 ou são mais restritivas (manual) |
N1 | Controle equivalente | não definido | O kube-proxy é executado como um daemonset nos clusters do Anthos no VMware, e as permissões são gerenciadas por meio do RBAC. |
| 4.1.4 | Verificar se a propriedade do arquivo kubeconfig do proxy está definida como root:root (manual) |
N1 | Controle equivalente | não definido | O kube-proxy é executado como um daemonset nos clusters do Anthos no VMware, e as permissões são gerenciadas por meio do RBAC. |
| 4.1.5 | Verificar se as permissões do arquivo kubelet.conf --kubeconfig estão definidas como 644 ou são mais restritivas (automatizado) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 4.1.6 | Verificar se a propriedade do arquivo kubelet.conf --kubeconfig está definida como root:root (manual) |
N1 | Controle equivalente | As especificações do pod do plano de controle são protegidas por uma política de autorização RBAC igualmente restritiva no cluster de administrador e não estão presentes como arquivos no disco. | |
| 4.2.4 | Verificar se o argumento --read-only-port está definido como 0 (manual) |
N1 | Reprovado | 10255 |
Alguns clusters do Anthos em componentes de monitoramento do VMware usam a porta somente leitura do Kubelet para conseguir as métricas. |
| 4.2.6 | Verificar se o argumento --protect-kernel-defaults está definido como verdadeiro (automatizado) |
N1 | Reprovado | false |
Os clusters do Anthos no VMware permitem que o Kubelet defina as configurações do kernel necessárias. |
| 4.2.9 | Verificar se o argumento --event-qps está definido como 0 ou em um nível que garanta a captura apropriada do evento (manual) |
N2 | Fail | não definido | Os eventos são objetos do Kubernetes armazenados no etcd. Para evitar sobrecarregar o etcd, eles são mantidos por apenas uma hora e não são um mecanismo de auditoria de segurança adequado. Permitir eventos ilimitados, conforme sugerido neste controle, expõe o cluster a riscos desnecessários de negação de serviço (DoS) e contradiz a recomendação de usar EventRateLimits de admissão. Os eventos relevantes de segurança que precisam de armazenamento permanente podem ser enviados aos registros. |
| 4.2.10 | Verificar se os argumentos --tls-cert-file e --tls-private-key-file estão definidos conforme apropriado (manual) |
N1 | Controle equivalente | não definido | Os clusters do Anthos no VMware gerenciam o TLS do servidor kubelet usando a sinalização --rotate-server-certificates. |
| 4.2.12 | Verificar se o argumento RotateKubeletServerCertificate está definido como verdadeiro (manual) | N1 | Controle equivalente | não definido | Os clusters do Anthos no VMware ativam a rotação de certificados do Kubelet definindo --rotate-server-certificates=true nos kubelets. |
| 4.2.13 | Verificar se o Kubelet usa somente códigos criptográficos fortes (manual) | N1 | Controle equivalente | Kubelet usa o conjunto padrão de códigos criptográficos. |
Como auditar os comparativos de mercado
Instruções específicas para a auditoria de cada recomendação estão disponíveis como parte do CIS Benchmark. No entanto, convém automatizar algumas dessas verificações para simplificar a verificação desses controles no seu ambiente. As ferramentas listadas abaixo podem ajudar com isso.
Auditoria automatizada do CIS Benchmark do Kubernetes
É possível usar uma ferramenta de código aberto kube-bench para testar a configuração do cluster em relação ao CIS Benchmark do Kubernetes.
Especifique a versão apropriada, por exemplo
kube-bench node --benchmark cis-1.6