このドキュメントでは、CIS Ubuntu Benchmark のレベルについて説明します。Anthos clusters on VMware(GKE On-Prem)がこのベンチマークをどの程度遵守して設定されているか確認できます。
バージョン
このドキュメントでは、次のバージョンを参照しています。
Anthos のバージョン | Ubuntu のバージョン | CIS Ubuntu Benchmark のバージョン | CIS レベル |
---|---|---|---|
1.8.0 | 18.04 LTS | v2.0.1 | Level 2 Server |
ベンチマークにアクセスする
CIS Ubuntu Benchmark は CIS ウェブサイトで入手できます。
構成プロファイル
CIS Ubuntu Benchmark のドキュメントでは、構成プロファイルについて確認できます。Anthos clusters on VMware で使用される Ubuntu イメージは、Level 2 - Server のプロファイルを満たすように強化されています。
Anthos clusters on VMware の評価
次の値を使用して、Anthos clusters on VMware の Ubuntu 推奨事項のステータスを表します。
ステータス | 説明 |
---|---|
Pass | ベンチマークの推奨事項を遵守している。 |
失敗 | ベンチマークの推奨事項を遵守していない。 |
同等の統制 | ベンチマークの推奨事項を完全には遵守していないが、Anthos clusters on VMware の他のメカニズムによって同等のセキュリティ コントロールが可能である。 |
環境に依存 | Anthos clusters on VMware では、ベンチマークの推奨事項に関連する項目は構成されていない。ご利用の構成により、環境が推奨事項を遵守しているかどうかが決まる。 |
Anthos clusters on VMware のステータス
Anthos clusters on VMware で使用される Ubuntu イメージは、CIS Level 2 - Server のプロファイルを満たすように強化されています。次の表は、Anthos clusters on VMware のコンポーネントが特定の推奨事項に合格しなかった理由を示しています。
# | 推奨事項 | スコア付き / スコアなし | ステータス | 理由 | 影響を受けるコンポーネント |
---|---|---|---|---|---|
1.1.2 | /tmp が構成されていることを確認する | スコア付き | 失敗 | 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
1.1.6 | /var 用の別のパーティションが存在することを確認する | スコア付き | 修正しない | 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
1.1.7 | /var/tmp 用の別のパーティションが存在することを確認する | スコア付き | 修正しない | 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
1.1.11 | /var/log 用の別のパーティションが存在することを確認する | スコア付き | 修正しない | 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
1.1.12 | /var/log/audit 用の別のパーティションが存在することを確認する | スコア付き | 修正しない | 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
1.1.13 | /home 用の別のパーティションが存在することを確認する | スコア付き | 修正しない | 現時点では、Canonical によりクラウド イメージ パーティションが変更される予定はありません。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
1.1.21 | すべてのグローバルに書き込み可能なディレクトリにスティッキー ビットが設定されていることを確認する | スコア付き | 失敗 | これにより、Anthos の機能やそのサービスが中断される可能性があり、デフォルトでは有効になっていません。 | すべてのクラスタノード、管理ワークステーション |
1.5.1 | ブートローダー構成の権限が構成されていることを確認する | スコア付き | 失敗 | 権限がデフォルトのままになっています。 | すべてのクラスタノード |
1.5.2 | ブートローダーのパスワードが設定されていることを確認する | スコア付き | 環境に依存 | Ubuntu クラウド イメージには root パスワードが設定されていません。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
1.5.3 | シングル ユーザー モードで認証が必要であることを確認する | スコア付き | 環境に依存 | Ubuntu クラウド イメージには root パスワードが設定されていません。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
1.8.1.2 | ローカル ログインの警告バナーが正しく構成されていることを確認する | スコア付き | 同等の統制 | Anthos もノードに DISA-STIG の強化を適用し、それに応じて警告バナーを更新します。 | すべてのクラスタノード |
3.1.2 | IP 転送が無効になっていることを確認する | スコア付き | 失敗 | Kubernetes(GKE)がトラフィックを正しく動作させ、ルーティングするために、IP 転送は必須です。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
3.2.7 | リバースパス フィルタリングが有効になっていることを確認する | スコア付き | 環境に依存 | 非同期ルーティングとリバースパス開始は、クラスタの負荷分散を提供するための要件です。 | Seesaw |
3.5.2.5 | 開放しているポートすべてにファイアウォール ルールが存在することを確認する | スコアなし | 環境に依存 | Anthos on VMware は、適切なファイアウォール保護を使用してプライベート ネットワークにデプロイすることをおすすめします。必要なファイアウォール ルールについてはこちらをご覧ください。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
3.5.4.1.1 | デフォルトの拒否ファイアウォール ポリシーを確認する | スコア付き | 環境に依存 | Anthos on VMware は、適切なファイアウォール保護を使用してプライベート ネットワークにデプロイすることをおすすめします。必要なファイアウォール ルールについてはこちらをご覧ください。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
3.5.4.1.2 | ループバック トラフィックが構成されていることを確認する | スコア付き | 環境に依存 | ループバック インターフェースの用途は、使用される特定の負荷分散機能に制限されます。 | Seesaw |
3.5.4.2.1 | IPv6 のデフォルトの拒否ファイアウォール ポリシーを確認する | スコア付き | 環境に依存 | Anthos on VMware は、適切なファイアウォール保護を使用してプライベート ネットワークにデプロイすることをおすすめします。必要なファイアウォール ルールについてはこちらをご覧ください。 また、Anthos は、GA サポートにおいて IPv6 の要件を満たしていません。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
3.5.4.2.2 | IPv6 のループバック トラフィックが構成されていることを確認する | スコア付き | 環境に依存 | Anthos は、GA サポートにおいて IPv6 の要件を満たしていません。 | 管理コントロール プレーン、Seesaw |
4.1.1.3 | auditd よりも前に開始されるプロセスの監査が有効になっていることを確認する | スコア付き | 失敗 | ビルドプロセスに関する既知の問題により失敗と報告されますが、これは誤ったアラームと見なされます。この問題は今後修正される予定です。 | すべてのクラスタノード、Seesaw |
4.1.1.11 | 特権コマンドの使用が収集されることを確認する | スコア付き | 失敗 | 一部のバイナリはランタイムにインストールされるため、ランタイムの修正が必要です。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
4.2.1.5 | リモートログのホストにログを送信するように rsyslog が構成されていることを確認する | スコア付き | 環境に依存 | 現在、Anthos on VMWare はすべての journald ログをシステムサービスから収集します。これらのログは「k8s_node」下で確認できます。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
4.2.3 | すべてのログファイルの権限が構成されていることを確認する | スコア付き | 失敗 | 多くのサービスでは、ログファイルを書き込むためのグループが必要になることがあるため、この特定のテストは制限が多すぎ、また非現実的です。この項目は今後のベンチマークで削除される可能性があります。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
5.2.12 | SSH PermitUserEnvironment が無効になっていることを確認する | スコア付き | 失敗 | この設定は、DISA-STIG の強化設定と競合します。 | すべてのクラスタノード |
5.2.13 | 強力な暗号のみが使用されていることを確認する | スコア付き | 同等の統制 | DISA-STIG の適用では、このベンチマークで使用されるものと 1 対 1 で対応しないサポートされた暗号の代替リストが使用されます。 | すべてのクラスタノード |
5.2.18 | SSH アクセスが制限されていることを確認する | スコア付き | 環境に依存 | デフォルトでは構成されていません。特定の要件に合わせて構成できます。 | すべてのクラスタノード、管理ワークステーション、Seesaw |
5.2.19 | SSH 警告バナーが構成されていることを確認する | スコア付き | 同等の統制 | DIST-STIG の強化構成の適用により SSH 警告バナーが変更されます。 | すべてのクラスタノード |
6.1.6 | /etc/passwd の権限が構成されていることを確認する | スコア付き | 失敗 | この特定のテストは制限が多すぎ、Canonical によって更新されています(リンク) | すべてのクラスタノード、管理ワークステーション、Seesaw |
6.1.10 | グローバルに書き込み可能なファイルがないことを確認する | スコア付き | 失敗 | 権限がデフォルトのままになっています。 | すべてのクラスタノード |
6.1.11 | 未所有ファイルやディレクトリが存在しないことを確認する | スコア付き | 失敗 | 権限がデフォルトのままになっています。 | すべてのクラスタノード |
6.1.12 | グループ化されていないファイルやディレクトリが存在しないことを確認する | スコア付き | 失敗 | 権限がデフォルトのままになっています。 | すべてのクラスタノード |
6.2.10 | ユーザーのドットファイルがグループまたはグローバルに書き込み可能ではないことを確認する | スコア付き | 失敗 | Ubuntu のデフォルト設定では、互換性のためにドットファイルのグループ権限が許可されています。 | 管理ワークステーション |