Ce document décrit le niveau de conformité de Google Distributed Cloud avec le benchmark CIS d'Ubuntu.
Accéder au benchmark
Le benchmark CIS d'Ubuntu est disponible sur le site Web du CIS :
Profil de configuration
Dans le document Benchmark CIS d'Ubuntu, vous pouvez en savoir plus sur les profils de configuration. Les images Ubuntu utilisées par Google Distributed Cloud sont renforcées pour répondre aux exigences du profil de serveur de niveau 2.
Évaluation sur Google Distributed Cloud
Nous utilisons les valeurs suivantes pour spécifier l'état des recommandations Ubuntu dans Google Distributed Cloud :
| État | Description |
|---|---|
| réussite | Respecte une recommandation du benchmark. |
| échec | S'écarte d'une recommandation du benchmark. |
| notapplicable | N'est pas pertinent pour être testé sur le système en cours d'évaluation. |
État de Google Distributed Cloud
Les images Ubuntu utilisées avec Google Distributed Cloud sont renforcées pour répondre au profil de serveur de niveau 2 du CIS. Le tableau suivant explique pourquoi les composants Google Distributed Cloud n'ont pas transmis certaines recommandations.
Les benchmarks dont l'état est Passed ne sont pas inclus dans le tableau suivant.
1,32
Versions
Cette section fait référence aux versions suivantes :
| Version de Google Distributed Cloud | Version Ubuntu | Version du benchmark CIS d'Ubuntu | Niveau CIS |
|---|---|---|---|
| 1,32 | 22.04 LTS | v1.0.0 | Serveur de niveau 2 |
Recommandations ayant échoué
Le tableau suivant répertorie les recommandations pour lesquelles Google Distributed Cloud s'écarte des recommandations du benchmark. Ces conclusions s'appliquent aux nœuds de cluster et au poste de travail administrateur.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.2.1 | Assurez-vous que /tmp se trouve sur une partition distincte | faibles | échec |
| 1.1.3.1 | Assurez-vous que /var se trouve sur une partition distincte | faibles | échec |
| 1.1.4.1 | Assurez-vous que /var/tmp se trouve sur une partition distincte | modérés | échec |
| 1.1.5.1 | Assurez-vous que /var/log se trouve sur une partition distincte | faibles | échec |
| 1.1.6.1 | Assurez-vous que /var/log/audit se trouve sur une partition distincte | faibles | échec |
| 1.1.7.1 | Assurez-vous que /home se trouve sur une partition distincte | faibles | échec |
| 1.4.1 | Définir le mot de passe du bootloader dans grub2 | high | échec |
| 1.4.3 | Assurez-vous qu'une authentification est requise pour le mode mono-utilisateur | modérés | échec |
| 2.3.6 | Désinstaller le package rpcbind | faibles | échec |
| 3.2.2 | Désactiver le paramètre du noyau pour le transfert IP sur les interfaces IPv4 | modérés | échec |
| 3.3.7 | Activer le paramètre du noyau pour utiliser le filtrage du chemin inverse sur toutes les interfaces IPv4 par défaut | modérés | échec |
| 3.3.7 | Activer le paramètre du noyau pour utiliser le filtrage du chemin inverse sur toutes les interfaces IPv4 | modérés | échec |
| 3.5.2.8 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour nftables | modérés | échec |
| 3.5.2.10 | Vérifiez que les règles nftables sont permanentes | modérés | échec |
| 4.2.3 | Vérifier les autorisations des fichiers journaux | modérés | échec |
| 5.2.4 | Limiter l'accès SSH des utilisateurs | inconnu | échec |
| 5.3.4 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo) | modérés | échec |
| 5.5.1.2 | Définir la durée de vie maximale du mot de passe | modérés | échec |
Recommandations acceptées
Le tableau suivant liste les recommandations pour lesquelles Google Distributed Cloud est conforme aux recommandations du benchmark.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.1.1 | Désactiver le montage de cramfs | faibles | réussite |
| 1.1.1.2 | Désactiver le montage de squashfs | faibles | réussite |
| 1.1.1.3 | Désactiver le montage de udf | faibles | réussite |
| 1.1.8.1 | Ajouter l'option nodev à /dev/shm | modérés | réussite |
| 1.1.8.2 | Ajouter l'option noexec à /dev/shm | modérés | réussite |
| 1.1.8.3 | Ajouter l'option nosuid à /dev/shm | modérés | réussite |
| 1.1.9 | Désactiver l'automonteur | modérés | réussite |
| 1.1.10 | Désactiver le chargement Modprobe du pilote de stockage USB | modérés | réussite |
| 1.4.2 | Vérifier les autorisations de /boot/grub/grub.cfg | modérés | réussite |
| 1.5.1 | Activer la disposition aléatoire de l'espace d'adressage virtuel | modérés | réussite |
| 1.5.2 | Le package "prelink" ne doit pas être installé | modérés | réussite |
| 1.5.3 | Désactiver le service Apport | inconnu | réussite |
| 1.5.4 | Désactiver les vidages de mémoire pour tous les utilisateurs | modérés | réussite |
| 1.5.4 | Désactiver les vidages de mémoire pour les programmes SUID | modérés | réussite |
| 1.6.1.1 | Vérifiez qu'AppArmor est installé | modérés | réussite |
| 1.6.1.2 | Assurez-vous qu'AppArmor est activé dans la configuration du bootloader. | modérés | réussite |
| 1.6.1.4 | Appliquer tous les profils AppArmor | modérés | réussite |
| 1.7.1 | Modifier la bannière du message du jour du système | modérés | réussite |
| 1.7.2 | Modifier la bannière de connexion au système | modérés | réussite |
| 1.7.3 | Modifier la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 1.7.4 | Valider la propriété du groupe de la bannière "Message du jour" | modérés | réussite |
| 1.7.4 | Valider la propriété de la bannière Message du jour | modérés | réussite |
| 1.7.4 | Vérifier les autorisations sur la bannière Message du jour | modérés | réussite |
| 1.7.5 | Valider la propriété du groupe de la bannière de connexion système | modérés | réussite |
| 1.7.5 | Valider la propriété de la bannière de connexion système | modérés | réussite |
| 1.7.5 | Vérifier les autorisations sur la bannière de connexion système | modérés | réussite |
| 1.7.6 | Vérifier la propriété du groupe de la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 1.7.6 | Valider la propriété de la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 1.7.6 | Vérifier les autorisations sur la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 2.1.1.1 | Installer le service systemd_timesyncd | high | réussite |
| 2.1.3.2 | Activer le service systemd_timesyncd | high | réussite |
| 2.2.1 | Supprimer le groupe de packages X Windows | modérés | réussite |
| 2.2.2 | Désactiver le logiciel serveur Avahi | modérés | réussite |
| 2.2.2 | Désinstaller le package du serveur avahi | modérés | réussite |
| 2.2.3 | Désactiver le service CUPS | inconnu | réussite |
| 2.2.3 | Désinstaller le package CUPS | inconnu | réussite |
| 2.2.4 | Désinstaller le package du serveur DHCP | modérés | réussite |
| 2.2.5 | Désinstaller le package openldap-servers | faibles | réussite |
| 2.2.6 | Désinstaller le package nfs-kernel-server | faibles | réussite |
| 2.2.7 | Désinstaller le package bind | faibles | réussite |
| 2.2.8 | Désinstaller le package vsftpd | high | réussite |
| 2.2.9 | Désinstaller le package httpd | inconnu | réussite |
| 2.2.9 | Désinstaller le package nginx | inconnu | réussite |
| 2.2.10 | Désinstaller le package cyrus-imapd | inconnu | réussite |
| 2.2.10 | Désinstaller le package dovecot | inconnu | réussite |
| 2.2.11 | Désinstaller le package Samba | inconnu | réussite |
| 2.2.12 | Désinstaller le package Squid | inconnu | réussite |
| 2.2.13 | Désinstaller le package net-snmp | inconnu | réussite |
| 2.2.14 | Désinstaller le package NIS | faibles | réussite |
| 2.2.15 | Assurez-vous que l'agent de transfert de courrier n'écoute aucune adresse autre que l'adresse de bouclage | modérés | réussite |
| 2.2.16 | Désinstaller le package rsync | modérés | réussite |
| 2.3.2 | Désinstaller le package rsh | inconnu | réussite |
| 2.3.3 | Désinstaller le package Talk | modérés | réussite |
| 2.3.4 | Supprimer les clients telnet | faibles | réussite |
| 2.3.5 | Vérifiez que le client LDAP n'est pas installé | faibles | réussite |
| 3.1.2 | Désactiver les interfaces réseau sans fil | modérés | réussite |
| 3.2.1 | Désactiver le paramètre du noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 par défaut | modérés | réussite |
| 3.2.1 | Désactiver le paramètre du noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 | modérés | réussite |
| 3.2.2 | Désactiver le paramètre du noyau pour le transfert IPv6 | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur toutes les interfaces IPv4 | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur toutes les interfaces IPv6 | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur les interfaces IPv4 par défaut | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur les interfaces IPv6 par défaut | modérés | réussite |
| 3.3.2 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv4 | modérés | réussite |
| 3.3.2 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv6 | modérés | réussite |
| 3.3.2 | Désactiver le paramètre du noyau pour accepter les redirections ICMP par défaut sur les interfaces IPv4 | modérés | réussite |
| 3.3.2 | Désactiver le paramètre du noyau pour accepter les redirections ICMP par défaut sur les interfaces IPv6 | modérés | réussite |
| 3.3.3 | Configurer le paramètre du noyau pour accepter les redirections sécurisées par défaut | modérés | réussite |
| 3.3.3 | Désactiver le paramètre du noyau pour accepter les redirections ICMP sécurisées sur toutes les interfaces IPv4 | modérés | réussite |
| 3.3.4 | Activer le paramètre du noyau pour enregistrer les paquets martiens sur toutes les interfaces IPv4 | inconnu | réussite |
| 3.3.4 | Activer le paramètre du noyau pour enregistrer les paquets martiens sur toutes les interfaces IPv4 par défaut | inconnu | réussite |
| 3.3.5 | Activer le paramètre du noyau pour ignorer les demandes d'écho de diffusion ICMP sur les interfaces IPv4 | modérés | réussite |
| 3.3.6 | Activer le paramètre de kernel pour ignorer les fausses réponses d'erreur ICMP sur les interfaces IPv4 | inconnu | réussite |
| 3.3.8 | Activer le paramètre de noyau pour utiliser les syncookies TCP sur les interfaces réseau | modérés | réussite |
| 3.3.9 | Configurer l'acceptation des annonces de routeur sur toutes les interfaces IPv6 | modérés | réussite |
| 3.3.9 | Désactiver l'acceptation des annonces de routeur sur toutes les interfaces IPv6 par défaut | modérés | réussite |
| 3.4.1 | Désactiver la compatibilité avec DCCP | modérés | réussite |
| 3.4.2 | Désactiver la prise en charge de SCTP | modérés | réussite |
| 3.4.3 | Désactiver l'assistance RDS | faibles | réussite |
| 3.4.4 | Désactiver la prise en charge de TIPC | faibles | réussite |
| 3.5.1.2 | Supprimer le package iptables-persistent | modérés | réussite |
| 3.5.2.1 | Installer le package nftables | modérés | réussite |
| 3.5.2.4 | Vérifier qu'une table existe pour nftables | modérés | réussite |
| 3.5.2.5 | Assurez-vous que les chaînes de base existent pour nftables | modérés | réussite |
| 3.5.2.9 | Vérifier que le service nftables est activé | modérés | réussite |
| 3.5.3.1.1 | Installer le package iptables | modérés | réussite |
| 3.5.3.1.3 | Supprimer le package ufw | modérés | réussite |
| 4.1.1.1 | Vérifier que le sous-système d'audit est installé | modérés | réussite |
| 4.1.1.2 | Activer le service auditd | modérés | réussite |
| 4.1.1.4 | Étendre la limite du backlog d'audit pour le daemon d'audit | faibles | réussite |
| 4.1.2.1 | Configurer la taille maximale du fichier journal auditd | modérés | réussite |
| 4.1.2.2 | Configurer max_log_file_action d'auditd lorsque la taille maximale du fichier journal est atteinte | modérés | réussite |
| 4.1.2.3 | Configurer l'action "admin_space_left" d'auditd en cas d'espace disque faible | modérés | réussite |
| 4.1.2.3 | Configurer l'action mail_acct auditd en cas d'espace disque insuffisant | modérés | réussite |
| 4.1.2.3 | Configurer l'action "space_left" d'auditd en cas d'espace disque faible | modérés | réussite |
| 4.1.3.1 | S'assurer qu'auditd collecte les actions de l'administrateur système | modérés | réussite |
| 4.1.3.2 | Enregistrer les événements lorsque des exécutables privilégiés sont exécutés | modérés | réussite |
| 4.1.3.3 | Enregistrer les tentatives d'effectuer des activités de maintenance | modérés | réussite |
| 4.1.3.4 | Tentatives d'enregistrement pour modifier le fichier localtime | modérés | réussite |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via adjtimex | modérés | réussite |
| 4.1.3.4 | Enregistrement des tentatives de modification de l'heure via clock_settime | modérés | réussite |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via settimeofday | modérés | réussite |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via stime | modérés | réussite |
| 4.1.3.5 | Enregistrer les événements qui modifient l'environnement réseau du système | modérés | réussite |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : su | modérés | réussite |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées (sudo) | modérés | réussite |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : sudoedit | modérés | réussite |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : umount | modérés | réussite |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : unix_chkpwd | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès aux fichiers qui ont échoué : creat | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès aux fichiers qui ont échoué : ftruncate | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : ouvert | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : openat | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers – tronquer | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/group | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/gshadow | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/passwd | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/security/opasswd | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/shadow | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chmod | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chown | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchmod | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchmodat | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchown | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchownat | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fremovexattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fsetxattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lchown | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lremovexattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lsetxattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : removexattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : setxattr | modérés | réussite |
| 4.1.3.10 | S'assurer qu'auditd collecte des informations sur l'exportation vers un support (réussie) | modérés | réussite |
| 4.1.3.11 | Enregistrement des tentatives de modification des informations sur le processus et l'initiation de session | modérés | réussite |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : faillog | modérés | réussite |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : lastlog | modérés | réussite |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : tallylog | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : renommer | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : renameat | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : unlink | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : unlinkat | modérés | réussite |
| 4.1.3.14 | Enregistrer les événements qui modifient les contrôles d'accès obligatoires du système | modérés | réussite |
| 4.1.3.15 | Enregistrer toute tentative d'exécution de chcon | modérés | réussite |
| 4.1.3.16 | Enregistrer toutes les tentatives d'exécution de setfacl | modérés | réussite |
| 4.1.3.17 | Enregistrer toutes les tentatives d'exécution de chacl | modérés | réussite |
| 4.1.3.18 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées – usermod | modérés | réussite |
| 4.1.3.19 | S'assurer qu'auditd collecte des informations sur le chargement du module de noyau : init_module | modérés | réussite |
| 4.1.3.19 | S'assurer qu'auditd collecte des informations sur le déchargement du module de noyau – delete_module | modérés | réussite |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : insmod | modérés | réussite |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : modprobe | modérés | réussite |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : rmmod | modérés | réussite |
| 4.1.3.20 | Rendre la configuration auditd immuable | modérés | réussite |
| 4.1.4.1 | Les journaux d'audit du système doivent avoir un mode 0640 ou moins permissif | modérés | réussite |
| 4.1.4.2 | Les journaux d'audit du système doivent appartenir à la racine | modérés | réussite |
| 4.1.4.3 | Les journaux d'audit du système doivent appartenir au groupe racine | modérés | réussite |
| 4.1.4.4 | Les journaux d'audit du système doivent avoir un mode 0750 ou moins permissif | modérés | réussite |
| 4.1.4.5 | Vérifier les autorisations sur /etc/audit/auditd.conf | modérés | réussite |
| 4.1.4.5 | Vérifier les autorisations sur /etc/audit/rules.d/*.rules | modérés | réussite |
| 4.1.4.6 | Les fichiers de configuration d'audit doivent appartenir à la racine | modérés | réussite |
| 4.1.4.7 | Les fichiers de configuration d'audit doivent appartenir au groupe racine | modérés | réussite |
| 4.1.4.8 | Vérifier que les outils d'audit ont le mode 0755 ou moins | modérés | réussite |
| 4.1.4.9 | Vérifier que les outils d'audit appartiennent à la racine | modérés | réussite |
| 4.1.4.10 | Vérifier que les outils d'audit appartiennent à la racine du groupe | modérés | réussite |
| 4.2.1.1.1 | Installer le package systemd-journal-remote | modérés | réussite |
| 4.2.1.1.4 | Désactiver le socket systemd-journal-remote | modérés | réussite |
| 4.2.1.2 | Activer le service systemd-journald | modérés | réussite |
| 4.2.1.3 | Assurez-vous que journald est configuré pour compresser les fichiers journaux volumineux | modérés | réussite |
| 4.2.1.4 | Assurez-vous que journald est configuré pour écrire les fichiers journaux sur un disque persistant | modérés | réussite |
| 4.2.2.1 | Vérifiez que rsyslog est installé | modérés | réussite |
| 4.2.2.2 | Activer le service rsyslog | modérés | réussite |
| 4.2.2.4 | Assurez-vous que les autorisations de fichier par défaut de rsyslog sont configurées | modérés | réussite |
| 4.2.2.7 | Assurez-vous que rsyslog n'accepte pas les messages à distance, sauf s'il fait office de serveur de journaux | modérés | réussite |
| 5.1.1 | Activer le service cron | modérés | réussite |
| 5.1.2 | Vérifier le groupe propriétaire de crontab | modérés | réussite |
| 5.1.2 | Valider le propriétaire sur crontab | modérés | réussite |
| 5.1.2 | Vérifier les autorisations sur crontab | modérés | réussite |
| 5.1.3 | Vérifier le groupe propriétaire de cron.hourly | modérés | réussite |
| 5.1.3 | Valider le propriétaire sur cron.hourly | modérés | réussite |
| 5.1.3 | Vérifier les autorisations sur cron.hourly | modérés | réussite |
| 5.1.4 | Vérifier le groupe propriétaire de cron.daily | modérés | réussite |
| 5.1.4 | Valider le propriétaire sur cron.daily | modérés | réussite |
| 5.1.4 | Vérifier les autorisations sur cron.daily | modérés | réussite |
| 5.1.5 | Vérifier le groupe propriétaire de cron.weekly | modérés | réussite |
| 5.1.5 | Valider le propriétaire sur cron.weekly | modérés | réussite |
| 5.1.5 | Vérifier les autorisations sur cron.weekly | modérés | réussite |
| 5.1.6 | Vérifier le groupe propriétaire de cron.monthly | modérés | réussite |
| 5.1.6 | Valider le propriétaire sur cron.monthly | modérés | réussite |
| 5.1.6 | Vérifier les autorisations sur cron.monthly | modérés | réussite |
| 5.1.7 | Vérifier le groupe propriétaire de cron.d | modérés | réussite |
| 5.1.7 | Valider le propriétaire sur cron.d | modérés | réussite |
| 5.1.7 | Vérifier les autorisations sur cron.d | modérés | réussite |
| 5.1.8 | Assurez-vous que /etc/cron.deny n'existe pas. | modérés | réussite |
| 5.1.8 | Vérifier le groupe propriétaire du fichier /etc/cron.allow | modérés | réussite |
| 5.1.8 | Vérifier les autorisations sur le fichier /etc/cron.allow | modérés | réussite |
| 5.1.8 | Vérifier l'utilisateur propriétaire du fichier /etc/cron.allow | modérés | réussite |
| 5.1.9 | Assurez-vous que /etc/at.deny n'existe pas. | modérés | réussite |
| 5.1.9 | Vérifier le groupe propriétaire du fichier /etc/at.allow | modérés | réussite |
| 5.1.9 | Vérifier les autorisations sur le fichier /etc/at.allow | modérés | réussite |
| 5.1.9 | Vérifier l'utilisateur propriétaire du fichier /etc/at.allow | modérés | réussite |
| 5.2.1 | Vérifier le groupe propriétaire du fichier de configuration du serveur SSH | modérés | réussite |
| 5.2.1 | Vérifier le propriétaire dans le fichier de configuration du serveur SSH | modérés | réussite |
| 5.2.1 | Vérifier les autorisations sur le fichier de configuration du serveur SSH | modérés | réussite |
| 5.2.2 | Vérifier les autorisations sur les fichiers de clé privée *_key du serveur SSH | modérés | réussite |
| 5.2.3 | Vérifier les autorisations sur les fichiers de clé publique *.pub du serveur SSH | modérés | réussite |
| 5.2.5 | Définissez LogLevel sur INFO. | faibles | réussite |
| 5.2.6 | Activer le gestionnaire d'accès privilégié | modérés | réussite |
| 5.2.7 | Désactiver la connexion racine SSH | modérés | réussite |
| 5.2.8 | Désactiver l'authentification basée sur l'hôte | modérés | réussite |
| 5.2.9 | Désactiver l'accès SSH via des mots de passe vides | high | réussite |
| 5.2.10 | Options d'environnement "Ne pas autoriser SSH" | modérés | réussite |
| 5.2.11 | Désactiver la prise en charge SSH pour les fichiers .rhosts | modérés | réussite |
| 5.2.12 | Désactiver le transfert X11 | modérés | réussite |
| 5.2.13 | N'utilisez que des algorithmes de chiffrement sécurisés | modérés | réussite |
| 5.2.14 | Utiliser uniquement des adresses MAC sécurisées | modérés | réussite |
| 5.2.15 | N'utiliser que des algorithmes d'échange de clés sécurisés | modérés | réussite |
| 5.2.16 | Désactiver le transfert TCP SSH | modérés | réussite |
| 5.2.17 | Activer la bannière d'avertissement SSH | modérés | réussite |
| 5.2.18 | Définir une limite de tentatives d'authentification SSH | modérés | réussite |
| 5.2.19 | Vérifiez que SSH MaxStartups est configuré | modérés | réussite |
| 5.2.20 | Définir la limite SSH MaxSessions | modérés | réussite |
| 5.2.21 | Vérifiez que SSH LoginGraceTime est configuré | modérés | réussite |
| 5.2.22 | Définir le nombre maximal de messages "SSH Client Alive" | modérés | réussite |
| 5.2.22 | Définir l'intervalle de vie du client SSH | modérés | réussite |
| 5.3.1 | Installer le package sudo | modérés | réussite |
| 5.3.2 | S'assurer que seuls les utilisateurs connectés à un véritable TTY peuvent exécuter sudo (sudo use_pty) | modérés | réussite |
| 5.3.3 | S'assurer que le fichier journal sudo existe (sudo logfile) | faibles | réussite |
| 5.3.5 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo !authenticate) | modérés | réussite |
| 5.3.6 | Exiger une nouvelle authentification lors de l'utilisation de la commande sudo | modérés | réussite |
| 5.3.7 | Appliquer l'utilisation de pam_wheel avec le paramètre de groupe pour l'authentification su | modérés | réussite |
| 5.3.7 | Assurez-vous que le groupe utilisé par le module pam_wheel existe sur le système et qu'il est vide | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : les invites de nouvelle tentative d'authentification sont autorisées par session | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (catégories différentes minimales) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de chiffres) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (longueur minimale) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de caractères minuscules) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de caractères spéciaux) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de caractères en majuscules) | modérés | réussite |
| 5.4.1 | Installer le package pam_pwquality | modérés | réussite |
| 5.4.2 | Verrouiller les comptes après des tentatives de saisie du mot de passe infructueuses | modérés | réussite |
| 5.4.2 | Définir l'intervalle pour comptabiliser les tentatives infructueuses de saisie du mot de passe | modérés | réussite |
| 5.4.2 | Définir le délai de verrouillage pour les tentatives infructueuses de saisie du mot de passe | modérés | réussite |
| 5.4.3 | Limiter la réutilisation des mots de passe | modérés | réussite |
| 5.4.4 | Définir l'algorithme de hachage de mot de passe dans /etc/login.defs | modérés | réussite |
| 5.5.1.1 | Définir la durée de vie minimale des mots de passe existants | modérés | réussite |
| 5.5.1.1 | Définir la durée de vie minimale du mot de passe | modérés | réussite |
| 5.5.1.2 | Définir la durée de vie maximale des mots de passe existants | modérés | réussite |
| 5.5.1.3 | Définir l'âge de l'avertissement de mot de passe | modérés | réussite |
| 5.5.1.4 | Définir l'expiration du compte en cas d'inactivité | modérés | réussite |
| 5.5.1.5 | Assurez-vous que la date de la dernière modification du mot de passe de tous les utilisateurs est passée. | modérés | réussite |
| 5.5.2 | S'assurer que les comptes système n'exécutent pas de shell lors de la connexion | modérés | réussite |
| 5.5.3 | Vérifier que la racine a un GID principal de 0 | high | réussite |
| 5.5.4 | Vérifier que le masque umask Bash par défaut est correctement défini | modérés | réussite |
| 5.5.4 | Assurez-vous que le masque Umask par défaut est correctement défini pour les utilisateurs interactifs | modérés | réussite |
| 5.5.4 | Assurez-vous que le masque umask par défaut est correctement défini dans /etc/profile | modérés | réussite |
| 5.5.4 | Vérifiez que le masque Umask par défaut est correctement défini dans login.defs | modérés | réussite |
| 5.5.5 | Définir le délai avant expiration d'une session interactive | modérés | réussite |
| 6.1.1 | Vérifier le groupe propriétaire du fichier passwd | modérés | réussite |
| 6.1.1 | Vérifier les autorisations sur le fichier passwd | modérés | réussite |
| 6.1.1 | Vérifier l'utilisateur propriétaire du fichier passwd | modérés | réussite |
| 6.1.2 | Vérifier le groupe propriétaire du fichier passwd de sauvegarde | modérés | réussite |
| 6.1.2 | Vérifier les autorisations sur le fichier passwd de sauvegarde | modérés | réussite |
| 6.1.2 | Vérifier l'utilisateur propriétaire du fichier passwd de sauvegarde | modérés | réussite |
| 6.1.3 | Vérifier le groupe propriétaire du fichier de groupe | modérés | réussite |
| 6.1.3 | Vérifier les autorisations sur le fichier de groupe | modérés | réussite |
| 6.1.3 | Vérifier l'utilisateur propriétaire du fichier de groupe | modérés | réussite |
| 6.1.4 | Vérifier le groupe propriétaire du fichier de sauvegarde | modérés | réussite |
| 6.1.4 | Vérifier les autorisations sur le fichier du groupe de sauvegarde | modérés | réussite |
| 6.1.4 | Vérifier l'utilisateur propriétaire du fichier de groupe de sauvegarde | modérés | réussite |
| 6.1.5 | Vérifier le groupe propriétaire du fichier fantôme | modérés | réussite |
| 6.1.5 | Vérifier les autorisations sur le fichier fantôme | modérés | réussite |
| 6.1.5 | Vérifier l'utilisateur propriétaire du fichier fantôme | modérés | réussite |
| 6.1.6 | Vérifier le groupe propriétaire du fichier fantôme de sauvegarde | modérés | réussite |
| 6.1.6 | Vérifier les autorisations sur le fichier fantôme de sauvegarde | modérés | réussite |
| 6.1.6 | Vérifier l'utilisateur propriétaire du fichier fantôme de sauvegarde | modérés | réussite |
| 6.1.7 | Vérifier le groupe propriétaire du fichier gshadow | modérés | réussite |
| 6.1.7 | Vérifier les autorisations sur le fichier gshadow | modérés | réussite |
| 6.1.7 | Vérifier l'utilisateur propriétaire du fichier gshadow | modérés | réussite |
| 6.1.8 | Vérifier le groupe propriétaire du fichier gshadow de sauvegarde | modérés | réussite |
| 6.1.8 | Vérifier les autorisations sur le fichier gshadow de sauvegarde | modérés | réussite |
| 6.1.8 | Vérifier l'utilisateur propriétaire du fichier gshadow de sauvegarde | modérés | réussite |
| 6.1.10 | S'assurer que tous les fichiers appartiennent à un utilisateur | modérés | réussite |
| 6.2.1 | Vérifier que tous les hachages de mot de passe de compte sont masqués | modérés | réussite |
| 6.2.2 | Assurez-vous qu'aucun compte n'a un mot de passe vide ou nul | high | réussite |
| 6.2.3 | Tous les GID référencés dans /etc/passwd doivent être définis dans /etc/group | faibles | réussite |
| 6.2.4 | Assurez-vous que le groupe fantôme est vide. | modérés | réussite |
| 6.2.5 | Assurez-vous que tous les comptes du système disposent d'ID utilisateur uniques. | modérés | réussite |
| 6.2.6 | Assurez-vous que tous les groupes du système ont un ID de groupe unique. | modérés | réussite |
| 6.2.7 | Assurez-vous que tous les comptes du système ont des noms uniques | modérés | réussite |
| 6.2.8 | S'assurer que tous les groupes du système ont des noms uniques | modérés | réussite |
| 6.2.9 | Assurez-vous que le chemin racine n'inclut pas de chemins relatifs ni de répertoires nuls | inconnu | réussite |
| 6.2.9 | Assurez-vous que le chemin d'accès racine n'inclut pas de répertoires accessibles en écriture par le groupe ou à l'échelle mondiale | modérés | réussite |
| 6.2.10 | Vérifier que seul le root a l'UID 0 | high | réussite |
| 6.2.11 | Tous les répertoires personnels des utilisateurs interactifs doivent exister | modérés | réussite |
| 6.2.12 | Tous les répertoires personnels des utilisateurs interactifs doivent appartenir au groupe principal | modérés | réussite |
| 6.2.12 | Tous les répertoires personnels interactifs doivent appartenir à l'utilisateur principal | modérés | réussite |
| 6.2.13 | Tous les répertoires personnels des utilisateurs interactifs doivent avoir un mode 0750 ou moins permissif | modérés | réussite |
| 6.2.14 | Vérifier qu'aucun fichier .netrc n'existe | modérés | réussite |
| 6.2.15 | Vérifier qu'aucun fichier .forward n'existe | modérés | réussite |
| 6.2.16 | Supprimer les fichiers Rsh Trust | high | réussite |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur doivent appartenir au groupe principal | modérés | réussite |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur doivent appartenir à l'utilisateur principal | modérés | réussite |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur ne doivent pas exécuter de programmes accessibles en écriture à l'échelle mondiale | modérés | réussite |
Recommandations non applicables
Le tableau suivant répertorie les recommandations qui ne s'appliquent pas à Google Distributed Cloud.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.2.2 | Ajouter l'option nodev à /tmp | modérés | notapplicable |
| 1.1.2.3 | Ajouter l'option noexec à /tmp | modérés | notapplicable |
| 1.1.2.4 | Ajouter l'option nosuid à /tmp | modérés | notapplicable |
| 1.1.3.2 | Ajouter l'option nodev à /var | modérés | notapplicable |
| 1.1.3.3 | Ajouter l'option "nosuid" à /var | modérés | notapplicable |
| 1.1.4.2 | Ajouter l'option noexec à /var/tmp | modérés | notapplicable |
| 1.1.4.3 | Ajouter l'option nosuid à /var/tmp | modérés | notapplicable |
| 1.1.4.4 | Ajouter l'option nodev à /var/tmp | modérés | notapplicable |
| 1.1.5.2 | Ajouter l'option nodev à /var/log | modérés | notapplicable |
| 1.1.5.3 | Ajouter l'option noexec à /var/log | modérés | notapplicable |
| 1.1.5.4 | Ajouter l'option nosuid à /var/log | modérés | notapplicable |
| 1.1.6.2 | Ajouter l'option noexec à /var/log/audit | modérés | notapplicable |
| 1.1.6.3 | Ajouter l'option nodev à /var/log/audit | modérés | notapplicable |
| 1.1.6.4 | Ajouter l'option nosuid à /var/log/audit | modérés | notapplicable |
| 1.1.7.2 | Ajouter l'option nodev à /home | inconnu | notapplicable |
| 1.1.7.3 | Ajouter l'option nosuid à /home | modérés | notapplicable |
| 1.10 | Configurer le profil utilisateur GNOME3 DConf | high | notapplicable |
| 1.4.1 | Définir le mot de passe du bootloader UEFI | high | notapplicable |
| 1.8.1 | Supprimer le groupe de packages GDM | modérés | notapplicable |
| 1.8.10 | Désactiver XDMCP dans GDM | high | notapplicable |
| 1.8.4 | Activer le verrouillage de l'économiseur d'écran GNOME3 après une période d'inactivité | modérés | notapplicable |
| 1.8.5 | Définir le délai de verrouillage de l'économiseur d'écran GNOME3 après la période d'activation | modérés | notapplicable |
| 1.8.6 | Désactiver l'ouverture de montage automatique GNOME3 | modérés | notapplicable |
| 1.8.6 | Désactiver le montage automatique GNOME3 | modérés | notapplicable |
| 1.8.8 | Désactiver l'exécution de GNOME3 Automount | faibles | notapplicable |
| 2.1.4.1 | Configurer les restrictions de serveur pour ntpd | modérés | notapplicable |
| 2.1.4.3 | Configurer ntpd pour qu'il s'exécute en tant qu'utilisateur ntp | modérés | notapplicable |
| 2.1.4.4 | Activer le démon NTP | high | notapplicable |
| 2.2.15 | Désactiver l'écoute réseau Postfix | modérés | notapplicable |
| 3.5.1.3 | Vérifier que ufw est activé | modérés | notapplicable |
| 3.5.1.4 | Définir le trafic de rebouclage UFW | modérés | notapplicable |
| 3.5.1.6 | Assurez-vous qu'il existe des règles de pare-feu ufw pour tous les ports ouverts | modérés | notapplicable |
| 3.5.1.7 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour ufw | modérés | notapplicable |
| 3.5.3.2.1 | Définir la règle iptables par défaut pour les paquets entrants | modérés | notapplicable |
| 3.5.3.2.2 | Définir la configuration pour le trafic de rebouclage | modérés | notapplicable |
| 3.5.3.2.4 | Assurez-vous qu'il existe des règles de pare-feu iptables pour tous les ports ouverts | modérés | notapplicable |
| 3.5.3.3.1 | Définir la règle ip6tables par défaut pour les paquets entrants | modérés | notapplicable |
| 3.5.3.3.4 | Assurez-vous qu'il existe des règles de pare-feu ip6tables pour tous les ports ouverts | modérés | notapplicable |
1.31
Versions
Cette section fait référence aux versions suivantes :
| Version de Google Distributed Cloud | Version Ubuntu | Version du benchmark CIS d'Ubuntu | Niveau CIS |
|---|---|---|---|
| 1.31 | 22.04 LTS | v1.0.0 | Serveur de niveau 2 |
Recommandations ayant échoué
Le tableau suivant répertorie les recommandations pour lesquelles Google Distributed Cloud s'écarte des recommandations du benchmark. Ces conclusions s'appliquent aux nœuds de cluster et au poste de travail administrateur.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.2.1 | Assurez-vous que /tmp se trouve sur une partition distincte | faibles | échec |
| 1.1.3.1 | Assurez-vous que /var se trouve sur une partition distincte | faibles | échec |
| 1.1.4.1 | Assurez-vous que /var/tmp se trouve sur une partition distincte | modérés | échec |
| 1.1.5.1 | Assurez-vous que /var/log se trouve sur une partition distincte | faibles | échec |
| 1.1.6.1 | Assurez-vous que /var/log/audit se trouve sur une partition distincte | faibles | échec |
| 1.1.7.1 | Assurez-vous que /home se trouve sur une partition distincte | faibles | échec |
| 1.4.1 | Définir le mot de passe du bootloader dans grub2 | high | échec |
| 1.4.3 | Assurez-vous qu'une authentification est requise pour le mode mono-utilisateur | modérés | échec |
| 2.3.6 | Désinstaller le package rpcbind | faibles | échec |
| 3.2.2 | Désactiver le paramètre du noyau pour le transfert IP sur les interfaces IPv4 | modérés | échec |
| 3.3.7 | Activer le paramètre du noyau pour utiliser le filtrage du chemin inverse sur toutes les interfaces IPv4 par défaut | modérés | échec |
| 3.3.7 | Activer le paramètre du noyau pour utiliser le filtrage du chemin inverse sur toutes les interfaces IPv4 | modérés | échec |
| 3.5.2.8 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour nftables | modérés | échec |
| 3.5.2.10 | Vérifiez que les règles nftables sont permanentes | modérés | échec |
| 4.2.3 | Vérifier les autorisations des fichiers journaux | modérés | échec |
| 5.2.4 | Limiter l'accès SSH des utilisateurs | inconnu | échec |
| 5.3.4 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo) | modérés | échec |
| 5.5.1.2 | Définir la durée de vie maximale du mot de passe | modérés | échec |
Recommandations acceptées
Le tableau suivant liste les recommandations pour lesquelles Google Distributed Cloud est conforme aux recommandations du benchmark.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.1.1 | Désactiver le montage de cramfs | faibles | réussite |
| 1.1.1.2 | Désactiver le montage de squashfs | faibles | réussite |
| 1.1.1.3 | Désactiver le montage de udf | faibles | réussite |
| 1.1.8.1 | Ajouter l'option nodev à /dev/shm | modérés | réussite |
| 1.1.8.2 | Ajouter l'option noexec à /dev/shm | modérés | réussite |
| 1.1.8.3 | Ajouter l'option nosuid à /dev/shm | modérés | réussite |
| 1.1.9 | Désactiver l'automonteur | modérés | réussite |
| 1.1.10 | Désactiver le chargement Modprobe du pilote de stockage USB | modérés | réussite |
| 1.4.2 | Vérifier les autorisations de /boot/grub/grub.cfg | modérés | réussite |
| 1.5.1 | Activer la disposition aléatoire de l'espace d'adressage virtuel | modérés | réussite |
| 1.5.2 | Le package "prelink" ne doit pas être installé | modérés | réussite |
| 1.5.3 | Désactiver le service Apport | inconnu | réussite |
| 1.5.4 | Désactiver les vidages de mémoire pour tous les utilisateurs | modérés | réussite |
| 1.5.4 | Désactiver les vidages de mémoire pour les programmes SUID | modérés | réussite |
| 1.6.1.1 | Vérifiez qu'AppArmor est installé | modérés | réussite |
| 1.6.1.2 | Assurez-vous qu'AppArmor est activé dans la configuration du bootloader. | modérés | réussite |
| 1.6.1.4 | Appliquer tous les profils AppArmor | modérés | réussite |
| 1.7.1 | Modifier la bannière du message du jour du système | modérés | réussite |
| 1.7.2 | Modifier la bannière de connexion au système | modérés | réussite |
| 1.7.3 | Modifier la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 1.7.4 | Valider la propriété du groupe de la bannière "Message du jour" | modérés | réussite |
| 1.7.4 | Valider la propriété de la bannière Message du jour | modérés | réussite |
| 1.7.4 | Vérifier les autorisations sur la bannière Message du jour | modérés | réussite |
| 1.7.5 | Valider la propriété du groupe de la bannière de connexion système | modérés | réussite |
| 1.7.5 | Valider la propriété de la bannière de connexion système | modérés | réussite |
| 1.7.5 | Vérifier les autorisations sur la bannière de connexion système | modérés | réussite |
| 1.7.6 | Vérifier la propriété du groupe de la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 1.7.6 | Valider la propriété de la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 1.7.6 | Vérifier les autorisations sur la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 2.1.1.1 | Installer le service systemd_timesyncd | high | réussite |
| 2.1.3.2 | Activer le service systemd_timesyncd | high | réussite |
| 2.2.1 | Supprimer le groupe de packages X Windows | modérés | réussite |
| 2.2.2 | Désactiver le logiciel serveur Avahi | modérés | réussite |
| 2.2.2 | Désinstaller le package du serveur avahi | modérés | réussite |
| 2.2.3 | Désactiver le service CUPS | inconnu | réussite |
| 2.2.3 | Désinstaller le package CUPS | inconnu | réussite |
| 2.2.4 | Désinstaller le package du serveur DHCP | modérés | réussite |
| 2.2.5 | Désinstaller le package openldap-servers | faibles | réussite |
| 2.2.6 | Désinstaller le package nfs-kernel-server | faibles | réussite |
| 2.2.7 | Désinstaller le package bind | faibles | réussite |
| 2.2.8 | Désinstaller le package vsftpd | high | réussite |
| 2.2.9 | Désinstaller le package httpd | inconnu | réussite |
| 2.2.9 | Désinstaller le package nginx | inconnu | réussite |
| 2.2.10 | Désinstaller le package cyrus-imapd | inconnu | réussite |
| 2.2.10 | Désinstaller le package dovecot | inconnu | réussite |
| 2.2.11 | Désinstaller le package Samba | inconnu | réussite |
| 2.2.12 | Désinstaller le package Squid | inconnu | réussite |
| 2.2.13 | Désinstaller le package net-snmp | inconnu | réussite |
| 2.2.14 | Désinstaller le package NIS | faibles | réussite |
| 2.2.15 | Assurez-vous que l'agent de transfert de courrier n'écoute aucune adresse autre que l'adresse de bouclage | modérés | réussite |
| 2.2.16 | Désinstaller le package rsync | modérés | réussite |
| 2.3.2 | Désinstaller le package rsh | inconnu | réussite |
| 2.3.3 | Désinstaller le package Talk | modérés | réussite |
| 2.3.4 | Supprimer les clients telnet | faibles | réussite |
| 2.3.5 | Vérifiez que le client LDAP n'est pas installé | faibles | réussite |
| 3.1.2 | Désactiver les interfaces réseau sans fil | modérés | réussite |
| 3.2.1 | Désactiver le paramètre du noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 par défaut | modérés | réussite |
| 3.2.1 | Désactiver le paramètre du noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 | modérés | réussite |
| 3.2.2 | Désactiver le paramètre du noyau pour le transfert IPv6 | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur toutes les interfaces IPv4 | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur toutes les interfaces IPv6 | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur les interfaces IPv4 par défaut | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur les interfaces IPv6 par défaut | modérés | réussite |
| 3.3.2 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv4 | modérés | réussite |
| 3.3.2 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv6 | modérés | réussite |
| 3.3.2 | Désactiver le paramètre du noyau pour accepter les redirections ICMP par défaut sur les interfaces IPv4 | modérés | réussite |
| 3.3.2 | Désactiver le paramètre du noyau pour accepter les redirections ICMP par défaut sur les interfaces IPv6 | modérés | réussite |
| 3.3.3 | Configurer le paramètre du noyau pour accepter les redirections sécurisées par défaut | modérés | réussite |
| 3.3.3 | Désactiver le paramètre du noyau pour accepter les redirections ICMP sécurisées sur toutes les interfaces IPv4 | modérés | réussite |
| 3.3.4 | Activer le paramètre du noyau pour enregistrer les paquets martiens sur toutes les interfaces IPv4 | inconnu | réussite |
| 3.3.4 | Activer le paramètre du noyau pour enregistrer les paquets martiens sur toutes les interfaces IPv4 par défaut | inconnu | réussite |
| 3.3.5 | Activer le paramètre du noyau pour ignorer les demandes d'écho de diffusion ICMP sur les interfaces IPv4 | modérés | réussite |
| 3.3.6 | Activer le paramètre de kernel pour ignorer les fausses réponses d'erreur ICMP sur les interfaces IPv4 | inconnu | réussite |
| 3.3.8 | Activer le paramètre de noyau pour utiliser les syncookies TCP sur les interfaces réseau | modérés | réussite |
| 3.3.9 | Configurer l'acceptation des annonces de routeur sur toutes les interfaces IPv6 | modérés | réussite |
| 3.3.9 | Désactiver l'acceptation des annonces de routeur sur toutes les interfaces IPv6 par défaut | modérés | réussite |
| 3.4.1 | Désactiver la compatibilité avec DCCP | modérés | réussite |
| 3.4.2 | Désactiver la prise en charge de SCTP | modérés | réussite |
| 3.4.3 | Désactiver l'assistance RDS | faibles | réussite |
| 3.4.4 | Désactiver la prise en charge de TIPC | faibles | réussite |
| 3.5.1.2 | Supprimer le package iptables-persistent | modérés | réussite |
| 3.5.2.1 | Installer le package nftables | modérés | réussite |
| 3.5.2.4 | Vérifier qu'une table existe pour nftables | modérés | réussite |
| 3.5.2.5 | Assurez-vous que les chaînes de base existent pour nftables | modérés | réussite |
| 3.5.2.9 | Vérifier que le service nftables est activé | modérés | réussite |
| 3.5.3.1.1 | Installer le package iptables | modérés | réussite |
| 3.5.3.1.3 | Supprimer le package ufw | modérés | réussite |
| 4.1.1.1 | Vérifier que le sous-système d'audit est installé | modérés | réussite |
| 4.1.1.2 | Activer le service auditd | modérés | réussite |
| 4.1.1.4 | Étendre la limite du backlog d'audit pour le daemon d'audit | faibles | réussite |
| 4.1.2.1 | Configurer la taille maximale du fichier journal auditd | modérés | réussite |
| 4.1.2.2 | Configurer max_log_file_action d'auditd lorsque la taille maximale du fichier journal est atteinte | modérés | réussite |
| 4.1.2.3 | Configurer l'action "admin_space_left" d'auditd en cas d'espace disque faible | modérés | réussite |
| 4.1.2.3 | Configurer l'action mail_acct auditd en cas d'espace disque insuffisant | modérés | réussite |
| 4.1.2.3 | Configurer l'action "space_left" d'auditd en cas d'espace disque faible | modérés | réussite |
| 4.1.3.1 | S'assurer qu'auditd collecte les actions de l'administrateur système | modérés | réussite |
| 4.1.3.2 | Enregistrer les événements lorsque des exécutables privilégiés sont exécutés | modérés | réussite |
| 4.1.3.3 | Enregistrer les tentatives d'effectuer des activités de maintenance | modérés | réussite |
| 4.1.3.4 | Tentatives d'enregistrement pour modifier le fichier localtime | modérés | réussite |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via adjtimex | modérés | réussite |
| 4.1.3.4 | Enregistrement des tentatives de modification de l'heure via clock_settime | modérés | réussite |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via settimeofday | modérés | réussite |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via stime | modérés | réussite |
| 4.1.3.5 | Enregistrer les événements qui modifient l'environnement réseau du système | modérés | réussite |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : su | modérés | réussite |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées (sudo) | modérés | réussite |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : sudoedit | modérés | réussite |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : umount | modérés | réussite |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : unix_chkpwd | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès aux fichiers qui ont échoué : creat | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès aux fichiers qui ont échoué : ftruncate | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : ouvert | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : openat | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers – tronquer | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/group | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/gshadow | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/passwd | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/security/opasswd | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/shadow | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chmod | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chown | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchmod | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchmodat | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchown | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchownat | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fremovexattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fsetxattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lchown | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lremovexattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lsetxattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : removexattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : setxattr | modérés | réussite |
| 4.1.3.10 | S'assurer qu'auditd collecte des informations sur l'exportation vers un support (réussie) | modérés | réussite |
| 4.1.3.11 | Enregistrement des tentatives de modification des informations sur le processus et l'initiation de session | modérés | réussite |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : faillog | modérés | réussite |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : lastlog | modérés | réussite |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : tallylog | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : renommer | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : renameat | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : unlink | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : unlinkat | modérés | réussite |
| 4.1.3.14 | Enregistrer les événements qui modifient les contrôles d'accès obligatoires du système | modérés | réussite |
| 4.1.3.15 | Enregistrer toute tentative d'exécution de chcon | modérés | réussite |
| 4.1.3.16 | Enregistrer toutes les tentatives d'exécution de setfacl | modérés | réussite |
| 4.1.3.17 | Enregistrer toutes les tentatives d'exécution de chacl | modérés | réussite |
| 4.1.3.18 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées – usermod | modérés | réussite |
| 4.1.3.19 | S'assurer qu'auditd collecte des informations sur le chargement du module de noyau : init_module | modérés | réussite |
| 4.1.3.19 | S'assurer qu'auditd collecte des informations sur le déchargement du module de noyau – delete_module | modérés | réussite |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : insmod | modérés | réussite |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : modprobe | modérés | réussite |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : rmmod | modérés | réussite |
| 4.1.3.20 | Rendre la configuration auditd immuable | modérés | réussite |
| 4.1.4.1 | Les journaux d'audit du système doivent avoir un mode 0640 ou moins permissif | modérés | réussite |
| 4.1.4.2 | Les journaux d'audit du système doivent appartenir à la racine | modérés | réussite |
| 4.1.4.3 | Les journaux d'audit du système doivent appartenir au groupe racine | modérés | réussite |
| 4.1.4.4 | Les journaux d'audit du système doivent avoir un mode 0750 ou moins permissif | modérés | réussite |
| 4.1.4.5 | Vérifier les autorisations sur /etc/audit/auditd.conf | modérés | réussite |
| 4.1.4.5 | Vérifier les autorisations sur /etc/audit/rules.d/*.rules | modérés | réussite |
| 4.1.4.6 | Les fichiers de configuration d'audit doivent appartenir à la racine | modérés | réussite |
| 4.1.4.7 | Les fichiers de configuration d'audit doivent appartenir au groupe racine | modérés | réussite |
| 4.1.4.8 | Vérifier que les outils d'audit ont le mode 0755 ou moins | modérés | réussite |
| 4.1.4.9 | Vérifier que les outils d'audit appartiennent à la racine | modérés | réussite |
| 4.1.4.10 | Vérifier que les outils d'audit appartiennent à la racine du groupe | modérés | réussite |
| 4.2.1.1.1 | Installer le package systemd-journal-remote | modérés | réussite |
| 4.2.1.1.4 | Désactiver le socket systemd-journal-remote | modérés | réussite |
| 4.2.1.2 | Activer le service systemd-journald | modérés | réussite |
| 4.2.1.3 | Assurez-vous que journald est configuré pour compresser les fichiers journaux volumineux | modérés | réussite |
| 4.2.1.4 | Assurez-vous que journald est configuré pour écrire les fichiers journaux sur un disque persistant | modérés | réussite |
| 4.2.2.1 | Vérifiez que rsyslog est installé | modérés | réussite |
| 4.2.2.2 | Activer le service rsyslog | modérés | réussite |
| 4.2.2.4 | Assurez-vous que les autorisations de fichier par défaut de rsyslog sont configurées | modérés | réussite |
| 4.2.2.7 | Assurez-vous que rsyslog n'accepte pas les messages à distance, sauf s'il fait office de serveur de journaux | modérés | réussite |
| 5.1.1 | Activer le service cron | modérés | réussite |
| 5.1.2 | Vérifier le groupe propriétaire de crontab | modérés | réussite |
| 5.1.2 | Valider le propriétaire sur crontab | modérés | réussite |
| 5.1.2 | Vérifier les autorisations sur crontab | modérés | réussite |
| 5.1.3 | Vérifier le groupe propriétaire de cron.hourly | modérés | réussite |
| 5.1.3 | Valider le propriétaire sur cron.hourly | modérés | réussite |
| 5.1.3 | Vérifier les autorisations sur cron.hourly | modérés | réussite |
| 5.1.4 | Vérifier le groupe propriétaire de cron.daily | modérés | réussite |
| 5.1.4 | Valider le propriétaire sur cron.daily | modérés | réussite |
| 5.1.4 | Vérifier les autorisations sur cron.daily | modérés | réussite |
| 5.1.5 | Vérifier le groupe propriétaire de cron.weekly | modérés | réussite |
| 5.1.5 | Valider le propriétaire sur cron.weekly | modérés | réussite |
| 5.1.5 | Vérifier les autorisations sur cron.weekly | modérés | réussite |
| 5.1.6 | Vérifier le groupe propriétaire de cron.monthly | modérés | réussite |
| 5.1.6 | Valider le propriétaire sur cron.monthly | modérés | réussite |
| 5.1.6 | Vérifier les autorisations sur cron.monthly | modérés | réussite |
| 5.1.7 | Vérifier le groupe propriétaire de cron.d | modérés | réussite |
| 5.1.7 | Valider le propriétaire sur cron.d | modérés | réussite |
| 5.1.7 | Vérifier les autorisations sur cron.d | modérés | réussite |
| 5.1.8 | Assurez-vous que /etc/cron.deny n'existe pas. | modérés | réussite |
| 5.1.8 | Vérifier le groupe propriétaire du fichier /etc/cron.allow | modérés | réussite |
| 5.1.8 | Vérifier les autorisations sur le fichier /etc/cron.allow | modérés | réussite |
| 5.1.8 | Vérifier l'utilisateur propriétaire du fichier /etc/cron.allow | modérés | réussite |
| 5.1.9 | Assurez-vous que /etc/at.deny n'existe pas. | modérés | réussite |
| 5.1.9 | Vérifier le groupe propriétaire du fichier /etc/at.allow | modérés | réussite |
| 5.1.9 | Vérifier les autorisations sur le fichier /etc/at.allow | modérés | réussite |
| 5.1.9 | Vérifier l'utilisateur propriétaire du fichier /etc/at.allow | modérés | réussite |
| 5.2.1 | Vérifier le groupe propriétaire du fichier de configuration du serveur SSH | modérés | réussite |
| 5.2.1 | Vérifier le propriétaire dans le fichier de configuration du serveur SSH | modérés | réussite |
| 5.2.1 | Vérifier les autorisations sur le fichier de configuration du serveur SSH | modérés | réussite |
| 5.2.2 | Vérifier les autorisations sur les fichiers de clé privée *_key du serveur SSH | modérés | réussite |
| 5.2.3 | Vérifier les autorisations sur les fichiers de clé publique *.pub du serveur SSH | modérés | réussite |
| 5.2.5 | Définissez LogLevel sur INFO. | faibles | réussite |
| 5.2.6 | Activer le gestionnaire d'accès privilégié | modérés | réussite |
| 5.2.7 | Désactiver la connexion racine SSH | modérés | réussite |
| 5.2.8 | Désactiver l'authentification basée sur l'hôte | modérés | réussite |
| 5.2.9 | Désactiver l'accès SSH via des mots de passe vides | high | réussite |
| 5.2.10 | Options d'environnement "Ne pas autoriser SSH" | modérés | réussite |
| 5.2.11 | Désactiver la prise en charge SSH pour les fichiers .rhosts | modérés | réussite |
| 5.2.12 | Désactiver le transfert X11 | modérés | réussite |
| 5.2.13 | N'utilisez que des algorithmes de chiffrement sécurisés | modérés | réussite |
| 5.2.14 | Utiliser uniquement des adresses MAC sécurisées | modérés | réussite |
| 5.2.15 | N'utiliser que des algorithmes d'échange de clés sécurisés | modérés | réussite |
| 5.2.16 | Désactiver le transfert TCP SSH | modérés | réussite |
| 5.2.17 | Activer la bannière d'avertissement SSH | modérés | réussite |
| 5.2.18 | Définir une limite de tentatives d'authentification SSH | modérés | réussite |
| 5.2.19 | Vérifiez que SSH MaxStartups est configuré | modérés | réussite |
| 5.2.20 | Définir la limite SSH MaxSessions | modérés | réussite |
| 5.2.21 | Vérifiez que SSH LoginGraceTime est configuré | modérés | réussite |
| 5.2.22 | Définir le nombre maximal de messages "SSH Client Alive" | modérés | réussite |
| 5.2.22 | Définir l'intervalle de vie du client SSH | modérés | réussite |
| 5.3.1 | Installer le package sudo | modérés | réussite |
| 5.3.2 | S'assurer que seuls les utilisateurs connectés à un véritable TTY peuvent exécuter sudo (sudo use_pty) | modérés | réussite |
| 5.3.3 | S'assurer que le fichier journal sudo existe (sudo logfile) | faibles | réussite |
| 5.3.5 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo !authenticate) | modérés | réussite |
| 5.3.6 | Exiger une nouvelle authentification lors de l'utilisation de la commande sudo | modérés | réussite |
| 5.3.7 | Appliquer l'utilisation de pam_wheel avec le paramètre de groupe pour l'authentification su | modérés | réussite |
| 5.3.7 | Assurez-vous que le groupe utilisé par le module pam_wheel existe sur le système et qu'il est vide | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : les invites de nouvelle tentative d'authentification sont autorisées par session | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (catégories différentes minimales) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de chiffres) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (longueur minimale) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de caractères minuscules) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de caractères spéciaux) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de caractères en majuscules) | modérés | réussite |
| 5.4.1 | Installer le package pam_pwquality | modérés | réussite |
| 5.4.2 | Verrouiller les comptes après des tentatives de saisie du mot de passe infructueuses | modérés | réussite |
| 5.4.2 | Définir l'intervalle pour comptabiliser les tentatives infructueuses de saisie du mot de passe | modérés | réussite |
| 5.4.2 | Définir le délai de verrouillage pour les tentatives infructueuses de saisie du mot de passe | modérés | réussite |
| 5.4.3 | Limiter la réutilisation des mots de passe | modérés | réussite |
| 5.4.4 | Définir l'algorithme de hachage de mot de passe dans /etc/login.defs | modérés | réussite |
| 5.5.1.1 | Définir la durée de vie minimale des mots de passe existants | modérés | réussite |
| 5.5.1.1 | Définir la durée de vie minimale du mot de passe | modérés | réussite |
| 5.5.1.2 | Définir la durée de vie maximale des mots de passe existants | modérés | réussite |
| 5.5.1.3 | Définir l'âge de l'avertissement de mot de passe | modérés | réussite |
| 5.5.1.4 | Définir l'expiration du compte en cas d'inactivité | modérés | réussite |
| 5.5.1.5 | Assurez-vous que la date de la dernière modification du mot de passe de tous les utilisateurs est passée. | modérés | réussite |
| 5.5.2 | S'assurer que les comptes système n'exécutent pas de shell lors de la connexion | modérés | réussite |
| 5.5.3 | Vérifier que la racine a un GID principal de 0 | high | réussite |
| 5.5.4 | Vérifier que le masque umask Bash par défaut est correctement défini | modérés | réussite |
| 5.5.4 | Assurez-vous que le masque Umask par défaut est correctement défini pour les utilisateurs interactifs | modérés | réussite |
| 5.5.4 | Assurez-vous que le masque umask par défaut est correctement défini dans /etc/profile | modérés | réussite |
| 5.5.4 | Vérifiez que le masque Umask par défaut est correctement défini dans login.defs | modérés | réussite |
| 5.5.5 | Définir le délai avant expiration d'une session interactive | modérés | réussite |
| 6.1.1 | Vérifier le groupe propriétaire du fichier passwd | modérés | réussite |
| 6.1.1 | Vérifier les autorisations sur le fichier passwd | modérés | réussite |
| 6.1.1 | Vérifier l'utilisateur propriétaire du fichier passwd | modérés | réussite |
| 6.1.2 | Vérifier le groupe propriétaire du fichier passwd de sauvegarde | modérés | réussite |
| 6.1.2 | Vérifier les autorisations sur le fichier passwd de sauvegarde | modérés | réussite |
| 6.1.2 | Vérifier l'utilisateur propriétaire du fichier passwd de sauvegarde | modérés | réussite |
| 6.1.3 | Vérifier le groupe propriétaire du fichier de groupe | modérés | réussite |
| 6.1.3 | Vérifier les autorisations sur le fichier de groupe | modérés | réussite |
| 6.1.3 | Vérifier l'utilisateur propriétaire du fichier de groupe | modérés | réussite |
| 6.1.4 | Vérifier le groupe propriétaire du fichier de sauvegarde | modérés | réussite |
| 6.1.4 | Vérifier les autorisations sur le fichier du groupe de sauvegarde | modérés | réussite |
| 6.1.4 | Vérifier l'utilisateur propriétaire du fichier de groupe de sauvegarde | modérés | réussite |
| 6.1.5 | Vérifier le groupe propriétaire du fichier fantôme | modérés | réussite |
| 6.1.5 | Vérifier les autorisations sur le fichier fantôme | modérés | réussite |
| 6.1.5 | Vérifier l'utilisateur propriétaire du fichier fantôme | modérés | réussite |
| 6.1.6 | Vérifier le groupe propriétaire du fichier fantôme de sauvegarde | modérés | réussite |
| 6.1.6 | Vérifier les autorisations sur le fichier fantôme de sauvegarde | modérés | réussite |
| 6.1.6 | Vérifier l'utilisateur propriétaire du fichier fantôme de sauvegarde | modérés | réussite |
| 6.1.7 | Vérifier le groupe propriétaire du fichier gshadow | modérés | réussite |
| 6.1.7 | Vérifier les autorisations sur le fichier gshadow | modérés | réussite |
| 6.1.7 | Vérifier l'utilisateur propriétaire du fichier gshadow | modérés | réussite |
| 6.1.8 | Vérifier le groupe propriétaire du fichier gshadow de sauvegarde | modérés | réussite |
| 6.1.8 | Vérifier les autorisations sur le fichier gshadow de sauvegarde | modérés | réussite |
| 6.1.8 | Vérifier l'utilisateur propriétaire du fichier gshadow de sauvegarde | modérés | réussite |
| 6.1.10 | S'assurer que tous les fichiers appartiennent à un utilisateur | modérés | réussite |
| 6.2.1 | Vérifier que tous les hachages de mot de passe de compte sont masqués | modérés | réussite |
| 6.2.2 | Assurez-vous qu'aucun compte n'a un mot de passe vide ou nul | high | réussite |
| 6.2.3 | Tous les GID référencés dans /etc/passwd doivent être définis dans /etc/group | faibles | réussite |
| 6.2.4 | Assurez-vous que le groupe fantôme est vide. | modérés | réussite |
| 6.2.5 | Assurez-vous que tous les comptes du système disposent d'ID utilisateur uniques. | modérés | réussite |
| 6.2.6 | Assurez-vous que tous les groupes du système ont un ID de groupe unique. | modérés | réussite |
| 6.2.7 | Assurez-vous que tous les comptes du système ont des noms uniques | modérés | réussite |
| 6.2.8 | S'assurer que tous les groupes du système ont des noms uniques | modérés | réussite |
| 6.2.9 | Assurez-vous que le chemin racine n'inclut pas de chemins relatifs ni de répertoires nuls | inconnu | réussite |
| 6.2.9 | Assurez-vous que le chemin d'accès racine n'inclut pas de répertoires accessibles en écriture par le groupe ou à l'échelle mondiale | modérés | réussite |
| 6.2.10 | Vérifier que seul le root a l'UID 0 | high | réussite |
| 6.2.11 | Tous les répertoires personnels des utilisateurs interactifs doivent exister | modérés | réussite |
| 6.2.12 | Tous les répertoires personnels des utilisateurs interactifs doivent appartenir au groupe principal | modérés | réussite |
| 6.2.12 | Tous les répertoires personnels interactifs doivent appartenir à l'utilisateur principal | modérés | réussite |
| 6.2.13 | Tous les répertoires personnels des utilisateurs interactifs doivent avoir un mode 0750 ou moins permissif | modérés | réussite |
| 6.2.14 | Vérifier qu'aucun fichier .netrc n'existe | modérés | réussite |
| 6.2.15 | Vérifier qu'aucun fichier .forward n'existe | modérés | réussite |
| 6.2.16 | Supprimer les fichiers Rsh Trust | high | réussite |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur doivent appartenir au groupe principal | modérés | réussite |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur doivent appartenir à l'utilisateur principal | modérés | réussite |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur ne doivent pas exécuter de programmes accessibles en écriture à l'échelle mondiale | modérés | réussite |
Recommandations non applicables
Le tableau suivant répertorie les recommandations qui ne s'appliquent pas à Google Distributed Cloud.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.2.2 | Ajouter l'option nodev à /tmp | modérés | notapplicable |
| 1.1.2.3 | Ajouter l'option noexec à /tmp | modérés | notapplicable |
| 1.1.2.4 | Ajouter l'option nosuid à /tmp | modérés | notapplicable |
| 1.1.3.2 | Ajouter l'option nodev à /var | modérés | notapplicable |
| 1.1.3.3 | Ajouter l'option "nosuid" à /var | modérés | notapplicable |
| 1.1.4.2 | Ajouter l'option noexec à /var/tmp | modérés | notapplicable |
| 1.1.4.3 | Ajouter l'option nosuid à /var/tmp | modérés | notapplicable |
| 1.1.4.4 | Ajouter l'option nodev à /var/tmp | modérés | notapplicable |
| 1.1.5.2 | Ajouter l'option nodev à /var/log | modérés | notapplicable |
| 1.1.5.3 | Ajouter l'option noexec à /var/log | modérés | notapplicable |
| 1.1.5.4 | Ajouter l'option nosuid à /var/log | modérés | notapplicable |
| 1.1.6.2 | Ajouter l'option noexec à /var/log/audit | modérés | notapplicable |
| 1.1.6.3 | Ajouter l'option nodev à /var/log/audit | modérés | notapplicable |
| 1.1.6.4 | Ajouter l'option nosuid à /var/log/audit | modérés | notapplicable |
| 1.1.7.2 | Ajouter l'option nodev à /home | inconnu | notapplicable |
| 1.1.7.3 | Ajouter l'option nosuid à /home | modérés | notapplicable |
| 1.4.1 | Définir le mot de passe du bootloader UEFI | high | notapplicable |
| 1.8.1 | Supprimer le groupe de packages GDM | modérés | notapplicable |
| 1.8.4 | Activer le verrouillage de l'économiseur d'écran GNOME3 après une période d'inactivité | modérés | notapplicable |
| 1.8.5 | Définir le délai de verrouillage de l'économiseur d'écran GNOME3 après la période d'activation | modérés | notapplicable |
| 1.8.6 | Désactiver l'ouverture de montage automatique GNOME3 | modérés | notapplicable |
| 1.8.6 | Désactiver le montage automatique GNOME3 | modérés | notapplicable |
| 1.8.8 | Désactiver l'exécution de GNOME3 Automount | faibles | notapplicable |
| 1.8.10 | Désactiver XDMCP dans GDM | high | notapplicable |
| 1.10 | Configurer le profil utilisateur GNOME3 DConf | high | notapplicable |
| 2.1.4.1 | Configurer les restrictions de serveur pour ntpd | modérés | notapplicable |
| 2.1.4.3 | Configurer ntpd pour qu'il s'exécute en tant qu'utilisateur ntp | modérés | notapplicable |
| 2.1.4.4 | Activer le démon NTP | high | notapplicable |
| 2.2.15 | Désactiver l'écoute réseau Postfix | modérés | notapplicable |
| 3.5.1.3 | Vérifier que ufw est activé | modérés | notapplicable |
| 3.5.1.4 | Définir le trafic de rebouclage UFW | modérés | notapplicable |
| 3.5.1.6 | Assurez-vous qu'il existe des règles de pare-feu ufw pour tous les ports ouverts | modérés | notapplicable |
| 3.5.1.7 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour ufw | modérés | notapplicable |
| 3.5.3.2.1 | Définir la règle iptables par défaut pour les paquets entrants | modérés | notapplicable |
| 3.5.3.2.2 | Définir la configuration pour le trafic de rebouclage | modérés | notapplicable |
| 3.5.3.2.4 | Assurez-vous qu'il existe des règles de pare-feu iptables pour tous les ports ouverts | modérés | notapplicable |
| 3.5.3.3.1 | Définir la règle ip6tables par défaut pour les paquets entrants | modérés | notapplicable |
| 3.5.3.3.4 | Assurez-vous qu'il existe des règles de pare-feu ip6tables pour tous les ports ouverts | modérés | notapplicable |
1,30
Versions
Cette section fait référence aux versions suivantes :
| Version de Google Distributed Cloud | Version Ubuntu | Version du benchmark CIS d'Ubuntu | Niveau CIS |
|---|---|---|---|
| 1,30 | 22.04 LTS | v1.0.0 | Serveur de niveau 2 |
Recommandations ayant échoué
Le tableau suivant répertorie les recommandations pour lesquelles Google Distributed Cloud s'écarte des recommandations du benchmark. Ces conclusions s'appliquent aux nœuds de cluster et au poste de travail administrateur.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.2.1 | Assurez-vous que /tmp se trouve sur une partition distincte | faibles | échec |
| 1.1.3.1 | Assurez-vous que /var se trouve sur une partition distincte | faibles | échec |
| 1.1.4.1 | Assurez-vous que /var/tmp se trouve sur une partition distincte | modérés | échec |
| 1.1.5.1 | Assurez-vous que /var/log se trouve sur une partition distincte | faibles | échec |
| 1.1.6.1 | Assurez-vous que /var/log/audit se trouve sur une partition distincte | faibles | échec |
| 1.1.7.1 | Assurez-vous que /home se trouve sur une partition distincte | faibles | échec |
| 1.4.1 | Définir le mot de passe du bootloader dans grub2 | high | échec |
| 1.4.3 | Assurez-vous qu'une authentification est requise pour le mode mono-utilisateur | modérés | échec |
| 2.3.6 | Désinstaller le package rpcbind | faibles | échec |
| 3.2.2 | Désactiver le paramètre du noyau pour le transfert IP sur les interfaces IPv4 | modérés | échec |
| 3.3.7 | Activer le paramètre du noyau pour utiliser le filtrage du chemin inverse sur toutes les interfaces IPv4 par défaut | modérés | échec |
| 3.3.7 | Activer le paramètre du noyau pour utiliser le filtrage du chemin inverse sur toutes les interfaces IPv4 | modérés | échec |
| 3.5.2.8 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour nftables | modérés | échec |
| 3.5.2.10 | Vérifiez que les règles nftables sont permanentes | modérés | échec |
| 4.2.3 | Vérifier les autorisations des fichiers journaux | modérés | échec |
| 5.2.4 | Limiter l'accès SSH des utilisateurs | inconnu | échec |
| 5.3.4 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo) | modérés | échec |
| 5.5.1.2 | Définir la durée de vie maximale du mot de passe | modérés | échec |
Recommandations acceptées
Le tableau suivant liste les recommandations pour lesquelles Google Distributed Cloud est conforme aux recommandations du benchmark.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.1.1 | Désactiver le montage de cramfs | faibles | réussite |
| 1.1.1.2 | Désactiver le montage de squashfs | faibles | réussite |
| 1.1.1.3 | Désactiver le montage de udf | faibles | réussite |
| 1.1.8.1 | Ajouter l'option nodev à /dev/shm | modérés | réussite |
| 1.1.8.2 | Ajouter l'option noexec à /dev/shm | modérés | réussite |
| 1.1.8.3 | Ajouter l'option nosuid à /dev/shm | modérés | réussite |
| 1.1.9 | Désactiver l'automonteur | modérés | réussite |
| 1.1.10 | Désactiver le chargement Modprobe du pilote de stockage USB | modérés | réussite |
| 1.4.2 | Vérifier les autorisations de /boot/grub/grub.cfg | modérés | réussite |
| 1.5.1 | Activer la disposition aléatoire de l'espace d'adressage virtuel | modérés | réussite |
| 1.5.2 | Le package "prelink" ne doit pas être installé | modérés | réussite |
| 1.5.3 | Désactiver le service Apport | inconnu | réussite |
| 1.5.4 | Désactiver les vidages de mémoire pour tous les utilisateurs | modérés | réussite |
| 1.5.4 | Désactiver les vidages de mémoire pour les programmes SUID | modérés | réussite |
| 1.6.1.1 | Vérifiez qu'AppArmor est installé | modérés | réussite |
| 1.6.1.2 | Assurez-vous qu'AppArmor est activé dans la configuration du bootloader. | modérés | réussite |
| 1.6.1.4 | Appliquer tous les profils AppArmor | modérés | réussite |
| 1.7.1 | Modifier la bannière du message du jour du système | modérés | réussite |
| 1.7.2 | Modifier la bannière de connexion au système | modérés | réussite |
| 1.7.3 | Modifier la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 1.7.4 | Valider la propriété du groupe de la bannière "Message du jour" | modérés | réussite |
| 1.7.4 | Valider la propriété de la bannière Message du jour | modérés | réussite |
| 1.7.4 | Vérifier les autorisations sur la bannière Message du jour | modérés | réussite |
| 1.7.5 | Valider la propriété du groupe de la bannière de connexion système | modérés | réussite |
| 1.7.5 | Valider la propriété de la bannière de connexion système | modérés | réussite |
| 1.7.5 | Vérifier les autorisations sur la bannière de connexion système | modérés | réussite |
| 1.7.6 | Vérifier la propriété du groupe de la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 1.7.6 | Valider la propriété de la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 1.7.6 | Vérifier les autorisations sur la bannière de connexion système pour les connexions à distance | modérés | réussite |
| 2.1.1.1 | Installer le service systemd_timesyncd | high | réussite |
| 2.1.3.2 | Activer le service systemd_timesyncd | high | réussite |
| 2.2.1 | Supprimer le groupe de packages X Windows | modérés | réussite |
| 2.2.2 | Désactiver le logiciel serveur Avahi | modérés | réussite |
| 2.2.2 | Désinstaller le package du serveur avahi | modérés | réussite |
| 2.2.3 | Désactiver le service CUPS | inconnu | réussite |
| 2.2.3 | Désinstaller le package CUPS | inconnu | réussite |
| 2.2.4 | Désinstaller le package du serveur DHCP | modérés | réussite |
| 2.2.5 | Désinstaller le package openldap-servers | faibles | réussite |
| 2.2.6 | Désinstaller le package nfs-kernel-server | faibles | réussite |
| 2.2.7 | Désinstaller le package bind | faibles | réussite |
| 2.2.8 | Désinstaller le package vsftpd | high | réussite |
| 2.2.9 | Désinstaller le package httpd | inconnu | réussite |
| 2.2.9 | Désinstaller le package nginx | inconnu | réussite |
| 2.2.10 | Désinstaller le package cyrus-imapd | inconnu | réussite |
| 2.2.10 | Désinstaller le package dovecot | inconnu | réussite |
| 2.2.11 | Désinstaller le package Samba | inconnu | réussite |
| 2.2.12 | Désinstaller le package Squid | inconnu | réussite |
| 2.2.13 | Désinstaller le package net-snmp | inconnu | réussite |
| 2.2.14 | Désinstaller le package NIS | faibles | réussite |
| 2.2.15 | Assurez-vous que l'agent de transfert de courrier n'écoute aucune adresse autre que l'adresse de bouclage | modérés | réussite |
| 2.2.16 | Désinstaller le package rsync | modérés | réussite |
| 2.3.2 | Désinstaller le package rsh | inconnu | réussite |
| 2.3.3 | Désinstaller le package Talk | modérés | réussite |
| 2.3.4 | Supprimer les clients telnet | faibles | réussite |
| 2.3.5 | Vérifiez que le client LDAP n'est pas installé | faibles | réussite |
| 3.1.2 | Désactiver les interfaces réseau sans fil | modérés | réussite |
| 3.2.1 | Désactiver le paramètre du noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 par défaut | modérés | réussite |
| 3.2.1 | Désactiver le paramètre du noyau pour l'envoi de redirections ICMP sur toutes les interfaces IPv4 | modérés | réussite |
| 3.2.2 | Désactiver le paramètre du noyau pour le transfert IPv6 | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur toutes les interfaces IPv4 | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur toutes les interfaces IPv6 | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur les interfaces IPv4 par défaut | modérés | réussite |
| 3.3.1 | Désactiver le paramètre du noyau pour accepter les paquets routés par la source sur les interfaces IPv6 par défaut | modérés | réussite |
| 3.3.2 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv4 | modérés | réussite |
| 3.3.2 | Désactiver l'acceptation des redirections ICMP pour toutes les interfaces IPv6 | modérés | réussite |
| 3.3.2 | Désactiver le paramètre du noyau pour accepter les redirections ICMP par défaut sur les interfaces IPv4 | modérés | réussite |
| 3.3.2 | Désactiver le paramètre du noyau pour accepter les redirections ICMP par défaut sur les interfaces IPv6 | modérés | réussite |
| 3.3.3 | Configurer le paramètre du noyau pour accepter les redirections sécurisées par défaut | modérés | réussite |
| 3.3.3 | Désactiver le paramètre du noyau pour accepter les redirections ICMP sécurisées sur toutes les interfaces IPv4 | modérés | réussite |
| 3.3.4 | Activer le paramètre du noyau pour enregistrer les paquets martiens sur toutes les interfaces IPv4 | inconnu | réussite |
| 3.3.4 | Activer le paramètre du noyau pour enregistrer les paquets martiens sur toutes les interfaces IPv4 par défaut | inconnu | réussite |
| 3.3.5 | Activer le paramètre du noyau pour ignorer les demandes d'écho de diffusion ICMP sur les interfaces IPv4 | modérés | réussite |
| 3.3.6 | Activer le paramètre de kernel pour ignorer les fausses réponses d'erreur ICMP sur les interfaces IPv4 | inconnu | réussite |
| 3.3.8 | Activer le paramètre de noyau pour utiliser les syncookies TCP sur les interfaces réseau | modérés | réussite |
| 3.3.9 | Configurer l'acceptation des annonces de routeur sur toutes les interfaces IPv6 | modérés | réussite |
| 3.3.9 | Désactiver l'acceptation des annonces de routeur sur toutes les interfaces IPv6 par défaut | modérés | réussite |
| 3.4.1 | Désactiver la compatibilité avec DCCP | modérés | réussite |
| 3.4.2 | Désactiver la prise en charge de SCTP | modérés | réussite |
| 3.4.3 | Désactiver l'assistance RDS | faibles | réussite |
| 3.4.4 | Désactiver la prise en charge de TIPC | faibles | réussite |
| 3.5.1.2 | Supprimer le package iptables-persistent | modérés | réussite |
| 3.5.2.1 | Installer le package nftables | modérés | réussite |
| 3.5.2.4 | Vérifier qu'une table existe pour nftables | modérés | réussite |
| 3.5.2.5 | Assurez-vous que les chaînes de base existent pour nftables | modérés | réussite |
| 3.5.2.9 | Vérifier que le service nftables est activé | modérés | réussite |
| 3.5.3.1.1 | Installer le package iptables | modérés | réussite |
| 3.5.3.1.3 | Supprimer le package ufw | modérés | réussite |
| 4.1.1.1 | Vérifier que le sous-système d'audit est installé | modérés | réussite |
| 4.1.1.2 | Activer le service auditd | modérés | réussite |
| 4.1.1.4 | Étendre la limite du backlog d'audit pour le daemon d'audit | faibles | réussite |
| 4.1.2.1 | Configurer la taille maximale du fichier journal auditd | modérés | réussite |
| 4.1.2.2 | Configurer max_log_file_action d'auditd lorsque la taille maximale du fichier journal est atteinte | modérés | réussite |
| 4.1.2.3 | Configurer l'action "admin_space_left" d'auditd en cas d'espace disque faible | modérés | réussite |
| 4.1.2.3 | Configurer l'action mail_acct auditd en cas d'espace disque insuffisant | modérés | réussite |
| 4.1.2.3 | Configurer l'action "space_left" d'auditd en cas d'espace disque faible | modérés | réussite |
| 4.1.3.1 | S'assurer qu'auditd collecte les actions de l'administrateur système | modérés | réussite |
| 4.1.3.2 | Enregistrer les événements lorsque des exécutables privilégiés sont exécutés | modérés | réussite |
| 4.1.3.3 | Enregistrer les tentatives d'effectuer des activités de maintenance | modérés | réussite |
| 4.1.3.4 | Tentatives d'enregistrement pour modifier le fichier localtime | modérés | réussite |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via adjtimex | modérés | réussite |
| 4.1.3.4 | Enregistrement des tentatives de modification de l'heure via clock_settime | modérés | réussite |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via settimeofday | modérés | réussite |
| 4.1.3.4 | Enregistrer les tentatives de modification de l'heure via stime | modérés | réussite |
| 4.1.3.5 | Enregistrer les événements qui modifient l'environnement réseau du système | modérés | réussite |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : su | modérés | réussite |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées (sudo) | modérés | réussite |
| 4.1.3.6 | Vérifier qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : sudoedit | modérés | réussite |
| 4.1.3.6 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : umount | modérés | réussite |
| 4.1.3.6 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : unix_chkpwd | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès aux fichiers qui ont échoué : creat | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès aux fichiers qui ont échoué : ftruncate | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : ouvert | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers : openat | modérés | réussite |
| 4.1.3.7 | Enregistrer les tentatives d'accès infructueuses aux fichiers – tronquer | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/group | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/gshadow | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/passwd | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/security/opasswd | modérés | réussite |
| 4.1.3.8 | Enregistrer les événements qui modifient les informations sur les utilisateurs/groupes : /etc/shadow | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chmod | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : chown | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchmod | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchmodat | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchown | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fchownat | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fremovexattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : fsetxattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lchown | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lremovexattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : lsetxattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : removexattr | modérés | réussite |
| 4.1.3.9 | Enregistrer les événements qui modifient les contrôles d'accès discrétionnaires du système : setxattr | modérés | réussite |
| 4.1.3.10 | S'assurer qu'auditd collecte des informations sur l'exportation vers un support (réussie) | modérés | réussite |
| 4.1.3.11 | Enregistrement des tentatives de modification des informations sur le processus et l'initiation de session | modérés | réussite |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : faillog | modérés | réussite |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : lastlog | modérés | réussite |
| 4.1.3.12 | Enregistrer les tentatives de modification des événements de connexion et de déconnexion : tallylog | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : renommer | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : renameat | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : unlink | modérés | réussite |
| 4.1.3.13 | S'assurer qu'auditd collecte les événements de suppression de fichiers par utilisateur : unlinkat | modérés | réussite |
| 4.1.3.14 | Enregistrer les événements qui modifient les contrôles d'accès obligatoires du système | modérés | réussite |
| 4.1.3.15 | Enregistrer toute tentative d'exécution de chcon | modérés | réussite |
| 4.1.3.16 | Enregistrer toutes les tentatives d'exécution de setfacl | modérés | réussite |
| 4.1.3.17 | Enregistrer toutes les tentatives d'exécution de chacl | modérés | réussite |
| 4.1.3.18 | S'assurer qu'auditd collecte des informations sur l'utilisation des commandes privilégiées – usermod | modérés | réussite |
| 4.1.3.19 | S'assurer qu'auditd collecte des informations sur le chargement du module de noyau : init_module | modérés | réussite |
| 4.1.3.19 | S'assurer qu'auditd collecte des informations sur le déchargement du module de noyau – delete_module | modérés | réussite |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : insmod | modérés | réussite |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : modprobe | modérés | réussite |
| 4.1.3.19 | Vérifiez qu'auditd collecte des informations sur l'utilisation des commandes privilégiées : rmmod | modérés | réussite |
| 4.1.3.20 | Rendre la configuration auditd immuable | modérés | réussite |
| 4.1.4.1 | Les journaux d'audit du système doivent avoir un mode 0640 ou moins permissif | modérés | réussite |
| 4.1.4.2 | Les journaux d'audit du système doivent appartenir à la racine | modérés | réussite |
| 4.1.4.3 | Les journaux d'audit du système doivent appartenir au groupe racine | modérés | réussite |
| 4.1.4.4 | Les journaux d'audit du système doivent avoir un mode 0750 ou moins permissif | modérés | réussite |
| 4.1.4.5 | Vérifier les autorisations sur /etc/audit/auditd.conf | modérés | réussite |
| 4.1.4.5 | Vérifier les autorisations sur /etc/audit/rules.d/*.rules | modérés | réussite |
| 4.1.4.6 | Les fichiers de configuration d'audit doivent appartenir à la racine | modérés | réussite |
| 4.1.4.7 | Les fichiers de configuration d'audit doivent appartenir au groupe racine | modérés | réussite |
| 4.1.4.8 | Vérifier que les outils d'audit ont le mode 0755 ou moins | modérés | réussite |
| 4.1.4.9 | Vérifier que les outils d'audit appartiennent à la racine | modérés | réussite |
| 4.1.4.10 | Vérifier que les outils d'audit appartiennent à la racine du groupe | modérés | réussite |
| 4.2.1.1.1 | Installer le package systemd-journal-remote | modérés | réussite |
| 4.2.1.1.4 | Désactiver le socket systemd-journal-remote | modérés | réussite |
| 4.2.1.2 | Activer le service systemd-journald | modérés | réussite |
| 4.2.1.3 | Assurez-vous que journald est configuré pour compresser les fichiers journaux volumineux | modérés | réussite |
| 4.2.1.4 | Assurez-vous que journald est configuré pour écrire les fichiers journaux sur un disque persistant | modérés | réussite |
| 4.2.2.1 | Vérifiez que rsyslog est installé | modérés | réussite |
| 4.2.2.2 | Activer le service rsyslog | modérés | réussite |
| 4.2.2.4 | Assurez-vous que les autorisations de fichier par défaut de rsyslog sont configurées | modérés | réussite |
| 4.2.2.7 | Assurez-vous que rsyslog n'accepte pas les messages à distance, sauf s'il fait office de serveur de journaux | modérés | réussite |
| 5.1.1 | Activer le service cron | modérés | réussite |
| 5.1.2 | Vérifier le groupe propriétaire de crontab | modérés | réussite |
| 5.1.2 | Valider le propriétaire sur crontab | modérés | réussite |
| 5.1.2 | Vérifier les autorisations sur crontab | modérés | réussite |
| 5.1.3 | Vérifier le groupe propriétaire de cron.hourly | modérés | réussite |
| 5.1.3 | Valider le propriétaire sur cron.hourly | modérés | réussite |
| 5.1.3 | Vérifier les autorisations sur cron.hourly | modérés | réussite |
| 5.1.4 | Vérifier le groupe propriétaire de cron.daily | modérés | réussite |
| 5.1.4 | Valider le propriétaire sur cron.daily | modérés | réussite |
| 5.1.4 | Vérifier les autorisations sur cron.daily | modérés | réussite |
| 5.1.5 | Vérifier le groupe propriétaire de cron.weekly | modérés | réussite |
| 5.1.5 | Valider le propriétaire sur cron.weekly | modérés | réussite |
| 5.1.5 | Vérifier les autorisations sur cron.weekly | modérés | réussite |
| 5.1.6 | Vérifier le groupe propriétaire de cron.monthly | modérés | réussite |
| 5.1.6 | Valider le propriétaire sur cron.monthly | modérés | réussite |
| 5.1.6 | Vérifier les autorisations sur cron.monthly | modérés | réussite |
| 5.1.7 | Vérifier le groupe propriétaire de cron.d | modérés | réussite |
| 5.1.7 | Valider le propriétaire sur cron.d | modérés | réussite |
| 5.1.7 | Vérifier les autorisations sur cron.d | modérés | réussite |
| 5.1.8 | Assurez-vous que /etc/cron.deny n'existe pas. | modérés | réussite |
| 5.1.8 | Vérifier le groupe propriétaire du fichier /etc/cron.allow | modérés | réussite |
| 5.1.8 | Vérifier les autorisations sur le fichier /etc/cron.allow | modérés | réussite |
| 5.1.8 | Vérifier l'utilisateur propriétaire du fichier /etc/cron.allow | modérés | réussite |
| 5.1.9 | Assurez-vous que /etc/at.deny n'existe pas. | modérés | réussite |
| 5.1.9 | Vérifier le groupe propriétaire du fichier /etc/at.allow | modérés | réussite |
| 5.1.9 | Vérifier les autorisations sur le fichier /etc/at.allow | modérés | réussite |
| 5.1.9 | Vérifier l'utilisateur propriétaire du fichier /etc/at.allow | modérés | réussite |
| 5.2.1 | Vérifier le groupe propriétaire du fichier de configuration du serveur SSH | modérés | réussite |
| 5.2.1 | Vérifier le propriétaire dans le fichier de configuration du serveur SSH | modérés | réussite |
| 5.2.1 | Vérifier les autorisations sur le fichier de configuration du serveur SSH | modérés | réussite |
| 5.2.2 | Vérifier les autorisations sur les fichiers de clé privée *_key du serveur SSH | modérés | réussite |
| 5.2.3 | Vérifier les autorisations sur les fichiers de clé publique *.pub du serveur SSH | modérés | réussite |
| 5.2.5 | Définissez LogLevel sur INFO. | faibles | réussite |
| 5.2.6 | Activer le gestionnaire d'accès privilégié | modérés | réussite |
| 5.2.7 | Désactiver la connexion racine SSH | modérés | réussite |
| 5.2.8 | Désactiver l'authentification basée sur l'hôte | modérés | réussite |
| 5.2.9 | Désactiver l'accès SSH via des mots de passe vides | high | réussite |
| 5.2.10 | Options d'environnement "Ne pas autoriser SSH" | modérés | réussite |
| 5.2.11 | Désactiver la prise en charge SSH pour les fichiers .rhosts | modérés | réussite |
| 5.2.12 | Désactiver le transfert X11 | modérés | réussite |
| 5.2.13 | N'utilisez que des algorithmes de chiffrement sécurisés | modérés | réussite |
| 5.2.14 | Utiliser uniquement des adresses MAC sécurisées | modérés | réussite |
| 5.2.15 | N'utiliser que des algorithmes d'échange de clés sécurisés | modérés | réussite |
| 5.2.16 | Désactiver le transfert TCP SSH | modérés | réussite |
| 5.2.17 | Activer la bannière d'avertissement SSH | modérés | réussite |
| 5.2.18 | Définir une limite de tentatives d'authentification SSH | modérés | réussite |
| 5.2.19 | Vérifiez que SSH MaxStartups est configuré | modérés | réussite |
| 5.2.20 | Définir la limite SSH MaxSessions | modérés | réussite |
| 5.2.21 | Vérifiez que SSH LoginGraceTime est configuré | modérés | réussite |
| 5.2.22 | Définir le nombre maximal de messages "SSH Client Alive" | modérés | réussite |
| 5.2.22 | Définir l'intervalle de vie du client SSH | modérés | réussite |
| 5.3.1 | Installer le package sudo | modérés | réussite |
| 5.3.2 | S'assurer que seuls les utilisateurs connectés à un véritable TTY peuvent exécuter sudo (sudo use_pty) | modérés | réussite |
| 5.3.3 | S'assurer que le fichier journal sudo existe (sudo logfile) | faibles | réussite |
| 5.3.5 | S'assurer que les utilisateurs s'authentifient à nouveau pour l'élévation des privilèges (sudo !authenticate) | modérés | réussite |
| 5.3.6 | Exiger une nouvelle authentification lors de l'utilisation de la commande sudo | modérés | réussite |
| 5.3.7 | Appliquer l'utilisation de pam_wheel avec le paramètre de groupe pour l'authentification su | modérés | réussite |
| 5.3.7 | Assurez-vous que le groupe utilisé par le module pam_wheel existe sur le système et qu'il est vide | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe : les invites de nouvelle tentative d'authentification sont autorisées par session | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (catégories différentes minimales) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de chiffres) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (longueur minimale) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de caractères minuscules) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de caractères spéciaux) | modérés | réussite |
| 5.4.1 | Assurez-vous que PAM applique les exigences relatives aux mots de passe (nombre minimal de caractères en majuscules) | modérés | réussite |
| 5.4.1 | Installer le package pam_pwquality | modérés | réussite |
| 5.4.2 | Verrouiller les comptes après des tentatives de saisie du mot de passe infructueuses | modérés | réussite |
| 5.4.2 | Définir l'intervalle pour comptabiliser les tentatives infructueuses de saisie du mot de passe | modérés | réussite |
| 5.4.2 | Définir le délai de verrouillage pour les tentatives infructueuses de saisie du mot de passe | modérés | réussite |
| 5.4.3 | Limiter la réutilisation des mots de passe | modérés | réussite |
| 5.4.4 | Définir l'algorithme de hachage de mot de passe dans /etc/login.defs | modérés | réussite |
| 5.5.1.1 | Définir la durée de vie minimale des mots de passe existants | modérés | réussite |
| 5.5.1.1 | Définir la durée de vie minimale du mot de passe | modérés | réussite |
| 5.5.1.2 | Définir la durée de vie maximale des mots de passe existants | modérés | réussite |
| 5.5.1.3 | Définir l'âge de l'avertissement de mot de passe | modérés | réussite |
| 5.5.1.4 | Définir l'expiration du compte en cas d'inactivité | modérés | réussite |
| 5.5.1.5 | Assurez-vous que la date de la dernière modification du mot de passe de tous les utilisateurs est passée. | modérés | réussite |
| 5.5.2 | S'assurer que les comptes système n'exécutent pas de shell lors de la connexion | modérés | réussite |
| 5.5.3 | Vérifier que la racine a un GID principal de 0 | high | réussite |
| 5.5.4 | Vérifier que le masque umask Bash par défaut est correctement défini | modérés | réussite |
| 5.5.4 | Assurez-vous que le masque Umask par défaut est correctement défini pour les utilisateurs interactifs | modérés | réussite |
| 5.5.4 | Assurez-vous que le masque umask par défaut est correctement défini dans /etc/profile | modérés | réussite |
| 5.5.4 | Vérifiez que le masque Umask par défaut est correctement défini dans login.defs | modérés | réussite |
| 5.5.5 | Définir le délai avant expiration d'une session interactive | modérés | réussite |
| 6.1.1 | Vérifier le groupe propriétaire du fichier passwd | modérés | réussite |
| 6.1.1 | Vérifier les autorisations sur le fichier passwd | modérés | réussite |
| 6.1.1 | Vérifier l'utilisateur propriétaire du fichier passwd | modérés | réussite |
| 6.1.2 | Vérifier le groupe propriétaire du fichier passwd de sauvegarde | modérés | réussite |
| 6.1.2 | Vérifier les autorisations sur le fichier passwd de sauvegarde | modérés | réussite |
| 6.1.2 | Vérifier l'utilisateur propriétaire du fichier passwd de sauvegarde | modérés | réussite |
| 6.1.3 | Vérifier le groupe propriétaire du fichier de groupe | modérés | réussite |
| 6.1.3 | Vérifier les autorisations sur le fichier de groupe | modérés | réussite |
| 6.1.3 | Vérifier l'utilisateur propriétaire du fichier de groupe | modérés | réussite |
| 6.1.4 | Vérifier le groupe propriétaire du fichier de sauvegarde | modérés | réussite |
| 6.1.4 | Vérifier les autorisations sur le fichier du groupe de sauvegarde | modérés | réussite |
| 6.1.4 | Vérifier l'utilisateur propriétaire du fichier de groupe de sauvegarde | modérés | réussite |
| 6.1.5 | Vérifier le groupe propriétaire du fichier fantôme | modérés | réussite |
| 6.1.5 | Vérifier les autorisations sur le fichier fantôme | modérés | réussite |
| 6.1.5 | Vérifier l'utilisateur propriétaire du fichier fantôme | modérés | réussite |
| 6.1.6 | Vérifier le groupe propriétaire du fichier fantôme de sauvegarde | modérés | réussite |
| 6.1.6 | Vérifier les autorisations sur le fichier fantôme de sauvegarde | modérés | réussite |
| 6.1.6 | Vérifier l'utilisateur propriétaire du fichier fantôme de sauvegarde | modérés | réussite |
| 6.1.7 | Vérifier le groupe propriétaire du fichier gshadow | modérés | réussite |
| 6.1.7 | Vérifier les autorisations sur le fichier gshadow | modérés | réussite |
| 6.1.7 | Vérifier l'utilisateur propriétaire du fichier gshadow | modérés | réussite |
| 6.1.8 | Vérifier le groupe propriétaire du fichier gshadow de sauvegarde | modérés | réussite |
| 6.1.8 | Vérifier les autorisations sur le fichier gshadow de sauvegarde | modérés | réussite |
| 6.1.8 | Vérifier l'utilisateur propriétaire du fichier gshadow de sauvegarde | modérés | réussite |
| 6.1.10 | S'assurer que tous les fichiers appartiennent à un utilisateur | modérés | réussite |
| 6.2.1 | Vérifier que tous les hachages de mot de passe de compte sont masqués | modérés | réussite |
| 6.2.2 | Assurez-vous qu'aucun compte n'a un mot de passe vide ou nul | high | réussite |
| 6.2.3 | Tous les GID référencés dans /etc/passwd doivent être définis dans /etc/group | faibles | réussite |
| 6.2.4 | Assurez-vous que le groupe fantôme est vide. | modérés | réussite |
| 6.2.5 | Assurez-vous que tous les comptes du système disposent d'ID utilisateur uniques. | modérés | réussite |
| 6.2.6 | Assurez-vous que tous les groupes du système ont un ID de groupe unique. | modérés | réussite |
| 6.2.7 | Assurez-vous que tous les comptes du système ont des noms uniques | modérés | réussite |
| 6.2.8 | S'assurer que tous les groupes du système ont des noms uniques | modérés | réussite |
| 6.2.9 | Assurez-vous que le chemin racine n'inclut pas de chemins relatifs ni de répertoires nuls | inconnu | réussite |
| 6.2.9 | Assurez-vous que le chemin d'accès racine n'inclut pas de répertoires accessibles en écriture par le groupe ou à l'échelle mondiale | modérés | réussite |
| 6.2.10 | Vérifier que seul le root a l'UID 0 | high | réussite |
| 6.2.11 | Tous les répertoires personnels des utilisateurs interactifs doivent exister | modérés | réussite |
| 6.2.12 | Tous les répertoires personnels des utilisateurs interactifs doivent appartenir au groupe principal | modérés | réussite |
| 6.2.12 | Tous les répertoires personnels interactifs doivent appartenir à l'utilisateur principal | modérés | réussite |
| 6.2.13 | Tous les répertoires personnels des utilisateurs interactifs doivent avoir un mode 0750 ou moins permissif | modérés | réussite |
| 6.2.14 | Vérifier qu'aucun fichier .netrc n'existe | modérés | réussite |
| 6.2.15 | Vérifier qu'aucun fichier .forward n'existe | modérés | réussite |
| 6.2.16 | Supprimer les fichiers Rsh Trust | high | réussite |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur doivent appartenir au groupe principal | modérés | réussite |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur doivent appartenir à l'utilisateur principal | modérés | réussite |
| 6.2.17 | Les fichiers d'initialisation de l'utilisateur ne doivent pas exécuter de programmes accessibles en écriture à l'échelle mondiale | modérés | réussite |
Recommandations non applicables
Le tableau suivant répertorie les recommandations qui ne s'appliquent pas à Google Distributed Cloud.
| # | Recommandation | Gravité | État |
|---|---|---|---|
| 1.1.2.2 | Ajouter l'option nodev à /tmp | modérés | notapplicable |
| 1.1.2.3 | Ajouter l'option noexec à /tmp | modérés | notapplicable |
| 1.1.2.4 | Ajouter l'option nosuid à /tmp | modérés | notapplicable |
| 1.1.3.2 | Ajouter l'option nodev à /var | modérés | notapplicable |
| 1.1.3.3 | Ajouter l'option "nosuid" à /var | modérés | notapplicable |
| 1.1.4.2 | Ajouter l'option noexec à /var/tmp | modérés | notapplicable |
| 1.1.4.3 | Ajouter l'option nosuid à /var/tmp | modérés | notapplicable |
| 1.1.4.4 | Ajouter l'option nodev à /var/tmp | modérés | notapplicable |
| 1.1.5.2 | Ajouter l'option nodev à /var/log | modérés | notapplicable |
| 1.1.5.3 | Ajouter l'option noexec à /var/log | modérés | notapplicable |
| 1.1.5.4 | Ajouter l'option nosuid à /var/log | modérés | notapplicable |
| 1.1.6.2 | Ajouter l'option noexec à /var/log/audit | modérés | notapplicable |
| 1.1.6.3 | Ajouter l'option nodev à /var/log/audit | modérés | notapplicable |
| 1.1.6.4 | Ajouter l'option nosuid à /var/log/audit | modérés | notapplicable |
| 1.1.7.2 | Ajouter l'option nodev à /home | inconnu | notapplicable |
| 1.1.7.3 | Ajouter l'option nosuid à /home | modérés | notapplicable |
| 1.4.1 | Définir le mot de passe du bootloader UEFI | high | notapplicable |
| 1.8.1 | Supprimer le groupe de packages GDM | modérés | notapplicable |
| 1.8.4 | Activer le verrouillage de l'économiseur d'écran GNOME3 après une période d'inactivité | modérés | notapplicable |
| 1.8.5 | Définir le délai de verrouillage de l'économiseur d'écran GNOME3 après la période d'activation | modérés | notapplicable |
| 1.8.6 | Désactiver l'ouverture de montage automatique GNOME3 | modérés | notapplicable |
| 1.8.6 | Désactiver le montage automatique GNOME3 | modérés | notapplicable |
| 1.8.8 | Désactiver l'exécution de GNOME3 Automount | faibles | notapplicable |
| 1.8.10 | Désactiver XDMCP dans GDM | high | notapplicable |
| 1.10 | Configurer le profil utilisateur GNOME3 DConf | high | notapplicable |
| 2.1.4.1 | Configurer les restrictions de serveur pour ntpd | modérés | notapplicable |
| 2.1.4.3 | Configurer ntpd pour qu'il s'exécute en tant qu'utilisateur ntp | modérés | notapplicable |
| 2.1.4.4 | Activer le démon NTP | high | notapplicable |
| 2.2.15 | Désactiver l'écoute réseau Postfix | modérés | notapplicable |
| 3.5.1.3 | Vérifier que ufw est activé | modérés | notapplicable |
| 3.5.1.4 | Définir le trafic de rebouclage UFW | modérés | notapplicable |
| 3.5.1.6 | Assurez-vous qu'il existe des règles de pare-feu ufw pour tous les ports ouverts | modérés | notapplicable |
| 3.5.1.7 | Vérifiez que la stratégie de pare-feu de refus est définie par défaut pour ufw | modérés | notapplicable |
| 3.5.3.2.1 | Définir la règle iptables par défaut pour les paquets entrants | modérés | notapplicable |
| 3.5.3.2.2 | Définir la configuration pour le trafic de rebouclage | modérés | notapplicable |
| 3.5.3.2.4 | Assurez-vous qu'il existe des règles de pare-feu iptables pour tous les ports ouverts | modérés | notapplicable |
| 3.5.3.3.1 | Définir la règle ip6tables par défaut pour les paquets entrants | modérés | notapplicable |
| 3.5.3.3.4 | Assurez-vous qu'il existe des règles de pare-feu ip6tables pour tous les ports ouverts | modérés | notapplicable |
Configurer le job Cron AIDE
AIDE est un outil de vérification de l'intégrité des fichiers qui garantit la conformité avec le benchmark de serveur CIS L1 de 1.4 Filesystem Integrity Checking. Dans Google Distributed Cloud, le processus AIDE a entraîné des problèmes importants d'utilisation des ressources.
Le processus AIDE sur les nœuds est désactivé par défaut pour éviter les problèmes de ressources. Cela aura une incidence sur la conformité avec le benchmark de serveur CIS L1 1.4.2 : Ensure
filesystem integrity is regularly checked..
Si vous souhaitez activer l'exécution du job Cron AIDE, procédez comme suit pour réactiver AIDE :
Créer un DaemonSet.
Voici un fichier manifeste de DaemonSet.
apiVersion: apps/v1 kind: DaemonSet metadata: name: enable-aide-pool1 spec: selector: matchLabels: app: enable-aide-pool1 template: metadata: labels: app: enable-aide-pool1 spec: hostIPC: true hostPID: true nodeSelector: cloud.google.com/gke-nodepool: pool-1 containers: - name: update-audit-rule image: ubuntu command: ["chroot", "/host", "bash", "-c"] args: - | set -x while true; do # change daily cronjob schedule minute=30;hour=5 sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab # enable aide chmod 755 /etc/cron.daily/aide sleep 3600 done volumeMounts: - name: host mountPath: /host securityContext: privileged: true volumes: - name: host hostPath: path: /Dans le fichier manifeste précédent :
Le job Cron AIDE ne s'exécute que sur le pool de nœuds
pool-1, comme spécifié par le nodeSelectorcloud.google.com/gke-nodepool: pool-1. Vous pouvez configurer le processus AIDE pour qu'il s'exécute sur autant de pools de nœuds que vous le souhaitez en spécifiant les pools dans le champnodeSelector. Pour exécuter la même planification de jobs Cron sur différents pools de nœuds, supprimez le champnodeSelector. Toutefois, pour éviter toute congestion des ressources hôtes, nous vous recommandons de conserver des planifications distinctes.Le job Cron est planifié pour s'exécuter tous les jours à 5h30 comme spécifié par la configuration
minute=30;hour=5. Vous pouvez configurer différentes planifications pour le job Cron AIDE selon vos besoins.
Copiez le fichier manifeste dans un fichier nommé
enable-aide.yamlet créez le DaemonSet :kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
où USER_CLUSTER_KUBECONFIG représente le chemin d'accès au fichier kubeconfig de votre cluster d'utilisateur.
Utiliser l'évaluation SCAP (Security Content Automation Protocol)
Nous vous recommandons d'analyser vous-même votre installation pour évaluer sa conformité de niveau 2 avec le benchmark CIS pour Ubuntu Linux. Divers outils sont disponibles pour analyser vos clusters et votre poste de travail administrateur. Vous pouvez suivre les étapes ci-dessous pour installer et exécuter l'ensemble d'outils OpenSCAP Open Source afin d'effectuer une évaluation de sécurité de niveau 2 :
Copiez le script suivant dans un fichier nommé
cis-benchmark.sh:#!/bin/bash set -x REPORTS_DIR="$1" mkdir -p "${REPORTS_DIR}" echo "Start CIS L2 benchmark evaluation..." apt update apt install libopenscap8 sudo oscap xccdf eval \ --profile cis_level2_server_customized \ --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \ --results "${REPORTS_DIR}"/cis-results.xml \ --report "${REPORTS_DIR}"/cis-report.html \ --verbose INFO \ --verbose-log-file "${REPORTS_DIR}/cis-output-verbose.log" \ /etc/cloud/usg/ssg-ubuntu2204-ds-1.2.xml > "${REPORTS_DIR}"/cis-output.log 2>&1 chmod -R 755 "${REPORTS_DIR}/.." echo "Done CIS L2 benchmark evaluation"Rendez le script exécutable :
chmod +x cis-benchmark.shExécutez le script :
./cis-benchmark.sh REPORTS_DIRRemplacez
REPORTS_DIRpar le chemin d'accès à un répertoire existant dans lequel vous souhaitez enregistrer le rapport d'évaluation généré.Une fois le script exécuté, le répertoire
REPORTS_DIRcontient le fichiercis-report.htmlgénéré.