Dokumen ini menjelaskan tingkat kepatuhan Google Distributed Cloud terhadap CIS Ubuntu Benchmark.
Mengakses tolok ukur
CIS Ubuntu Benchmark tersedia di situs CIS.
Profil konfigurasi
Dalam dokumen CIS Ubuntu Benchmark, Anda dapat membaca tentang profil konfigurasi. Image Ubuntu yang digunakan oleh Google Distributed Cloud telah di-hardening untuk memenuhi profil Level 2 - Server.
Evaluasi di Google Distributed Cloud
Kami menggunakan nilai berikut untuk menentukan status rekomendasi Ubuntu di Google Distributed Cloud.
| Status | Deskripsi |
|---|---|
| lulus | Mematuhi rekomendasi tolok ukur. |
| gagal | Menyimpang dari rekomendasi tolok ukur. |
| tidak berlaku | Tidak relevan untuk diuji pada sistem yang sedang dievaluasi. |
Status Google Distributed Cloud
Image Ubuntu yang digunakan dengan Google Distributed Cloud telah di-harden untuk memenuhi profil CIS Level 2 - Server. Tabel berikut memberikan justifikasi mengapa komponen Google Distributed Cloud tidak lulus rekomendasi tertentu.
Tolok ukur yang memiliki status Passed tidak disertakan dalam tabel berikut.
1,32
Versi
Bagian ini merujuk pada versi berikut:
| Versi Google Distributed Cloud | Versi Ubuntu | Versi Tolok Ukur CIS Ubuntu | Tingkat CIS |
|---|---|---|---|
| 1,32 | 22.04 LTS | v1.0.0 | Server Level 2 |
Rekomendasi gagal
Tabel berikut mencantumkan rekomendasi yang membuat Google Distributed Cloud menyimpang dari rekomendasi tolok ukur. Temuan ini berlaku untuk node cluster dan workstation admin.
| # | Rekomendasi | Keparahan | Status |
|---|---|---|---|
| 1.1.2.1 | Memastikan /tmp Berada di Partisi Terpisah | rendah | gagal |
| 1.1.3.1 | Pastikan /var Berada di Partisi Terpisah | rendah | gagal |
| 1.1.4.1 | Pastikan /var/tmp Berada di Partisi Terpisah | sedang | gagal |
| 1.1.5.1 | Pastikan /var/log Berada di Partisi Terpisah | rendah | gagal |
| 1.1.6.1 | Memastikan /var/log/audit Berada di Partisi Terpisah | rendah | gagal |
| 1.1.7.1 | Memastikan /home Berada di Partisi Terpisah | rendah | gagal |
| 1.4.1 | Menetapkan Sandi Boot Loader di grub2 | tinggi | gagal |
| 1.4.3 | Memastikan Autentikasi Diperlukan untuk Mode Pengguna Tunggal | sedang | gagal |
| 2.3.6 | Meng-uninstal Paket rpcbind | rendah | gagal |
| 3.2.2 | Menonaktifkan Parameter Kernel untuk Penerusan IP di Antarmuka IPv4 | sedang | gagal |
| 3.3.7 | Mengaktifkan Parameter Kernel untuk Menggunakan Pemfilteran Jalur Balik di semua Antarmuka IPv4 secara Default | sedang | gagal |
| 3.3.7 | Mengaktifkan Parameter Kernel untuk Menggunakan Pemfilteran Jalur Balik di semua Antarmuka IPv4 | sedang | gagal |
| 3.5.2.8 | Memastikan kebijakan firewall penolakan default nftables | sedang | gagal |
| 3.5.2.10 | Memastikan aturan nftables bersifat permanen | sedang | gagal |
| 4.2.3 | Memverifikasi izin file log | sedang | gagal |
| 5.2.4 | Membatasi Akses SSH Pengguna | tidak diketahui | gagal |
| 5.3.4 | Memastikan Pengguna Melakukan Autentikasi Ulang untuk Eskalasi Hak Istimewa - sudo | sedang | gagal |
| 5.5.1.2 | Menetapkan Masa Aktif Maksimum Sandi | sedang | gagal |
Rekomendasi yang disetujui
Tabel berikut mencantumkan rekomendasi yang dipatuhi Google Distributed Cloud sesuai dengan rekomendasi tolok ukur.
| # | Rekomendasi | Keparahan | Status |
|---|---|---|---|
| 1.1.1.1 | Menonaktifkan Pemasangan cramfs | rendah | lulus |
| 1.1.1.2 | Menonaktifkan Pemasangan squashfs | rendah | lulus |
| 1.1.1.3 | Menonaktifkan Pemasangan udf | rendah | lulus |
| 1.1.8.1 | Menambahkan Opsi nodev ke /dev/shm | sedang | lulus |
| 1.1.8.2 | Menambahkan Opsi noexec ke /dev/shm | sedang | lulus |
| 1.1.8.3 | Menambahkan Opsi nosuid ke /dev/shm | sedang | lulus |
| 1.1.9 | Nonaktifkan Automounter | sedang | lulus |
| 1.1.10 | Menonaktifkan Pemuatan Modprobe Driver Penyimpanan USB | sedang | lulus |
| 1.4.2 | Verifikasi Izin /boot/grub/grub.cfg | sedang | lulus |
| 1.5.1 | Mengaktifkan Tata Letak Acak Ruang Alamat Virtual | sedang | lulus |
| 1.5.2 | Paket "prelink" Tidak Boleh Diinstal | sedang | lulus |
| 1.5.3 | Menonaktifkan Layanan Apport | tidak diketahui | lulus |
| 1.5.4 | Menonaktifkan Dump Inti untuk Semua Pengguna | sedang | lulus |
| 1.5.4 | Menonaktifkan Dump Inti untuk program SUID | sedang | lulus |
| 1.6.1.1 | Pastikan AppArmor telah diinstal | sedang | lulus |
| 1.6.1.2 | Pastikan AppArmor diaktifkan dalam konfigurasi bootloader | sedang | lulus |
| 1.6.1.4 | Menerapkan semua Profil AppArmor | sedang | lulus |
| 1.7.1 | Mengubah Banner Pesan Sistem Harian | sedang | lulus |
| 1.7.2 | Mengubah Banner Login Sistem | sedang | lulus |
| 1.7.3 | Mengubah Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 1.7.4 | Memverifikasi Kepemilikan Grup Banner Pesan Hari Ini | sedang | lulus |
| 1.7.4 | Memverifikasi kepemilikan Banner Pesan Harian | sedang | lulus |
| 1.7.4 | Memverifikasi izin pada Banner Pesan Harian | sedang | lulus |
| 1.7.5 | Memverifikasi Kepemilikan Grup Banner Login Sistem | sedang | lulus |
| 1.7.5 | Memverifikasi kepemilikan Banner Login Sistem | sedang | lulus |
| 1.7.5 | Memverifikasi izin pada Banner Login Sistem | sedang | lulus |
| 1.7.6 | Memverifikasi Kepemilikan Grup Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 1.7.6 | Memverifikasi kepemilikan Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 1.7.6 | Memverifikasi izin pada Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 2.1.1.1 | Menginstal Layanan systemd_timesyncd | tinggi | lulus |
| 2.1.3.2 | Aktifkan Layanan systemd_timesyncd | tinggi | lulus |
| 2.2.1 | Hapus X Windows Package Group | sedang | lulus |
| 2.2.2 | Menonaktifkan Software Server Avahi | sedang | lulus |
| 2.2.2 | Uninstal Paket Server avahi | sedang | lulus |
| 2.2.3 | Menonaktifkan Layanan CUPS | tidak diketahui | lulus |
| 2.2.3 | Meng-uninstal Paket CUPS | tidak diketahui | lulus |
| 2.2.4 | Meng-uninstal Paket Server DHCP | sedang | lulus |
| 2.2.5 | Meng-uninstal Paket openldap-servers | rendah | lulus |
| 2.2.6 | Meng-uninstal Paket nfs-kernel-server | rendah | lulus |
| 2.2.7 | Uninstal paket pengikatan | rendah | lulus |
| 2.2.8 | Meng-uninstal Paket vsftpd | tinggi | lulus |
| 2.2.9 | Uninstal Paket httpd | tidak diketahui | lulus |
| 2.2.9 | Uninstal Paket nginx | tidak diketahui | lulus |
| 2.2.10 | Uninstal Paket cyrus-imapd | tidak diketahui | lulus |
| 2.2.10 | Meng-uninstal Paket dovecot | tidak diketahui | lulus |
| 2.2.11 | Meng-uninstal Paket Samba | tidak diketahui | lulus |
| 2.2.12 | Meng-uninstal Paket squid | tidak diketahui | lulus |
| 2.2.13 | Meng-uninstal Paket net-snmp | tidak diketahui | lulus |
| 2.2.14 | Uninstal paket nis | rendah | lulus |
| 2.2.15 | Pastikan Mail Transfer Agent tidak Mendengarkan Alamat non-loopback | sedang | lulus |
| 2.2.16 | Meng-uninstal Paket rsync | sedang | lulus |
| 2.3.2 | Meng-uninstal Paket rsh | tidak diketahui | lulus |
| 2.3.3 | Meng-uninstal Paket bicara | sedang | lulus |
| 2.3.4 | Menghapus Klien telnet | rendah | lulus |
| 2.3.5 | Pastikan klien LDAP tidak diinstal | rendah | lulus |
| 3.1.2 | Menonaktifkan Antarmuka Jaringan Nirkabel | sedang | lulus |
| 3.2.1 | Menonaktifkan Parameter Kernel untuk Mengirim Pengalihan ICMP di semua Antarmuka IPv4 secara Default | sedang | lulus |
| 3.2.1 | Menonaktifkan Parameter Kernel untuk Mengirim Pengalihan ICMP di semua Antarmuka IPv4 | sedang | lulus |
| 3.2.2 | Menonaktifkan Parameter Kernel untuk Penerusan IPv6 | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Diarahkan Sumber di semua Antarmuka IPv4 | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Dirutekan Sumber di semua Antarmuka IPv6 | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Di-routing Sumber di Antarmuka IPv4 secara Default | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Dirutekan Sumber di Antarmuka IPv6 secara Default | sedang | lulus |
| 3.3.2 | Menonaktifkan Penerimaan Pengalihan ICMP untuk Semua Antarmuka IPv4 | sedang | lulus |
| 3.3.2 | Menonaktifkan Penerimaan Pengalihan ICMP untuk Semua Antarmuka IPv6 | sedang | lulus |
| 3.3.2 | Menonaktifkan Parameter Kernel untuk Menerima Pengalihan ICMP secara Default di Antarmuka IPv4 | sedang | lulus |
| 3.3.2 | Menonaktifkan Parameter Kernel untuk Menerima Pengalihan ICMP secara Default di Antarmuka IPv6 | sedang | lulus |
| 3.3.3 | Mengonfigurasi Parameter Kernel untuk Menerima Pengalihan Aman Secara Default | sedang | lulus |
| 3.3.3 | Menonaktifkan Parameter Kernel untuk Menerima Pengalihan ICMP Aman di semua Antarmuka IPv4 | sedang | lulus |
| 3.3.4 | Mengaktifkan Parameter Kernel untuk Mencatat Paket Martian di semua Antarmuka IPv4 | tidak diketahui | lulus |
| 3.3.4 | Mengaktifkan Parameter Kernel untuk Mencatat Paket Martian di semua Antarmuka IPv4 secara Default | tidak diketahui | lulus |
| 3.3.5 | Mengaktifkan Parameter Kernel untuk Mengabaikan Permintaan Echo Siaran ICMP di Antarmuka IPv4 | sedang | lulus |
| 3.3.6 | Mengaktifkan Parameter Kernel untuk Mengabaikan Respons Error ICMP Palsu pada Antarmuka IPv4 | tidak diketahui | lulus |
| 3.3.8 | Mengaktifkan Parameter Kernel untuk Menggunakan TCP Syncookies di Antarmuka Jaringan | sedang | lulus |
| 3.3.9 | Mengonfigurasi Penerimaan Iklan Router di Semua Antarmuka IPv6 | sedang | lulus |
| 3.3.9 | Menonaktifkan Penerimaan Iklan Router di semua Antarmuka IPv6 secara Default | sedang | lulus |
| 3.4.1 | Menonaktifkan Dukungan DCCP | sedang | lulus |
| 3.4.2 | Menonaktifkan Dukungan SCTP | sedang | lulus |
| 3.4.3 | Menonaktifkan Dukungan RDS | rendah | lulus |
| 3.4.4 | Menonaktifkan Dukungan TIPC | rendah | lulus |
| 3.5.1.2 | Menghapus Paket iptables-persistent | sedang | lulus |
| 3.5.2.1 | Instal Paket nftables | sedang | lulus |
| 3.5.2.4 | Memastikan Tabel Ada untuk Nftables | sedang | lulus |
| 3.5.2.5 | Memastikan Rantai Dasar Ada untuk Nftables | sedang | lulus |
| 3.5.2.9 | Memastikan Layanan nftables Diaktifkan | sedang | lulus |
| 3.5.3.1.1 | Instal Paket iptables | sedang | lulus |
| 3.5.3.1.3 | Menghapus Paket ufw | sedang | lulus |
| 4.1.1.1 | Memastikan Subsystem Audit Telah Diinstal | sedang | lulus |
| 4.1.1.2 | Aktifkan Layanan auditd | sedang | lulus |
| 4.1.1.4 | Memperluas Batas Backlog Audit untuk Daemon Audit | rendah | lulus |
| 4.1.2.1 | Mengonfigurasi Ukuran File Log Maksimum auditd | sedang | lulus |
| 4.1.2.2 | Mengonfigurasi max_log_file_action auditd Saat Mencapai Ukuran Log Maksimum | sedang | lulus |
| 4.1.2.3 | Mengonfigurasi Tindakan admin_space_left auditd pada Ruang Disk Hampir Penuh | sedang | lulus |
| 4.1.2.3 | Mengonfigurasi Tindakan mail_acct auditd saat Ruang Disk Hampir Penuh | sedang | lulus |
| 4.1.2.3 | Mengonfigurasi Tindakan space_left auditd saat Ruang Penyimpanan Disk Hampir Penuh | sedang | lulus |
| 4.1.3.1 | Memastikan auditd Mengumpulkan Tindakan Administrator Sistem | sedang | lulus |
| 4.1.3.2 | Merekam Peristiwa Saat File yang Dapat Dieksekusi dengan Hak Istimewa Dijalankan | sedang | lulus |
| 4.1.3.3 | Mencatat Upaya untuk melakukan aktivitas pemeliharaan | sedang | lulus |
| 4.1.3.4 | Mencatat Upaya Mengubah File localtime | sedang | lulus |
| 4.1.3.4 | Mencatat upaya untuk mengubah waktu melalui adjtimex | sedang | lulus |
| 4.1.3.4 | Upaya Perekaman untuk Mengubah Waktu Melalui clock_settime | sedang | lulus |
| 4.1.3.4 | Mencatat upaya untuk mengubah waktu melalui settimeofday | sedang | lulus |
| 4.1.3.4 | Mencatat Upaya Mengubah Waktu Melalui stime | sedang | lulus |
| 4.1.3.5 | Merekam Peristiwa yang Mengubah Lingkungan Jaringan Sistem | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - su | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - sudo | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - sudoedit | sedang | lulus |
| 4.1.3.6 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - umount | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - unix_chkpwd | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - creat | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - ftruncate | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - buka | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - openat | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - dipangkas | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/group | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/gshadow | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/passwd | sedang | lulus |
| 4.1.3.8 | Merekam Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/security/opasswd | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/shadow | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - chmod | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - chown | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchmod | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchmodat | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchown | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchownat | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fremovexattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fsetxattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - lchown | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - lremovexattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Discretionary Sistem - lsetxattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - removexattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Discretionary Sistem - setxattr | sedang | lulus |
| 4.1.3.10 | Memastikan auditd Mengumpulkan Informasi tentang Mengekspor ke Media (berhasil) | sedang | lulus |
| 4.1.3.11 | Mencatat Upaya untuk Mengubah Informasi Inisiasi Sesi dan Proses | sedang | lulus |
| 4.1.3.12 | Mencatat Upaya untuk Mengubah Peristiwa Login dan Logout - faillog | sedang | lulus |
| 4.1.3.12 | Mencatat Upaya untuk Mengubah Peristiwa Login dan Logout - lastlog | sedang | lulus |
| 4.1.3.12 | Mencatat Upaya untuk Mengubah Peristiwa Login dan Logout - tallylog | sedang | lulus |
| 4.1.3.13 | Memastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - ganti nama | sedang | lulus |
| 4.1.3.13 | Memastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - renameat | sedang | lulus |
| 4.1.3.13 | Pastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - batalkan tautan | sedang | lulus |
| 4.1.3.13 | Memastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - unlinkat | sedang | lulus |
| 4.1.3.14 | Mencatat Peristiwa yang Mengubah Kontrol Akses Wajib Sistem | sedang | lulus |
| 4.1.3.15 | Mencatat Semua Upaya untuk Menjalankan chcon | sedang | lulus |
| 4.1.3.16 | Mencatat Setiap Upaya untuk Menjalankan setfacl | sedang | lulus |
| 4.1.3.17 | Mencatat Setiap Upaya untuk Menjalankan chacl | sedang | lulus |
| 4.1.3.18 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - usermod | sedang | lulus |
| 4.1.3.19 | Memastikan auditd Mengumpulkan Informasi tentang Pemuatan Modul Kernel - init_module | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penghapusan Muatan Modul Kernel - delete_module | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - insmod | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - modprobe | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - rmmod | sedang | lulus |
| 4.1.3.20 | Membuat Konfigurasi auditd Tidak Dapat Diubah | sedang | lulus |
| 4.1.4.1 | Log Audit Sistem Harus Memiliki Mode 0640 atau Kurang Permisif | sedang | lulus |
| 4.1.4.2 | Log Audit Sistem Harus Dimiliki oleh Root | sedang | lulus |
| 4.1.4.3 | Log Audit Sistem Harus Dimiliki Grup oleh Root | sedang | lulus |
| 4.1.4.4 | Log Audit Sistem Harus Memiliki Mode 0750 atau Kurang Permisif | sedang | lulus |
| 4.1.4.5 | Verifikasi Izin di /etc/audit/auditd.conf | sedang | lulus |
| 4.1.4.5 | Verifikasi Izin di /etc/audit/rules.d/*.rules | sedang | lulus |
| 4.1.4.6 | File Konfigurasi Audit Harus Dimiliki oleh Root | sedang | lulus |
| 4.1.4.7 | File Konfigurasi Audit Harus Dimiliki oleh Grup root | sedang | lulus |
| 4.1.4.8 | Pastikan alat audit memiliki Mode 0755 atau kurang | sedang | lulus |
| 4.1.4.9 | Pastikan alat audit dimiliki oleh root | sedang | lulus |
| 4.1.4.10 | Pastikan alat audit dimiliki oleh root grup | sedang | lulus |
| 4.2.1.1.1 | Instal Paket systemd-journal-remote | sedang | lulus |
| 4.2.1.1.4 | Menonaktifkan Socket systemd-journal-remote | sedang | lulus |
| 4.2.1.2 | Aktifkan Layanan systemd-journald | sedang | lulus |
| 4.2.1.3 | Pastikan journald dikonfigurasi untuk mengompresi file log berukuran besar | sedang | lulus |
| 4.2.1.4 | Pastikan journald dikonfigurasi untuk menulis file log ke persistent disk | sedang | lulus |
| 4.2.2.1 | Pastikan rsyslog Terinstal | sedang | lulus |
| 4.2.2.2 | Mengaktifkan Layanan rsyslog | sedang | lulus |
| 4.2.2.4 | Memastikan Izin File Default rsyslog Dikonfigurasi | sedang | lulus |
| 4.2.2.7 | Pastikan rsyslog Tidak Menerima Pesan Jarak Jauh Kecuali Bertindak Sebagai Server Log | sedang | lulus |
| 5.1.1 | Mengaktifkan Layanan cron | sedang | lulus |
| 5.1.2 | Memverifikasi Grup yang Memiliki Crontab | sedang | lulus |
| 5.1.2 | Verifikasi Pemilik di crontab | sedang | lulus |
| 5.1.2 | Memverifikasi Izin di crontab | sedang | lulus |
| 5.1.3 | Memverifikasi Grup yang Memiliki cron.hourly | sedang | lulus |
| 5.1.3 | Verifikasi Pemilik di cron.hourly | sedang | lulus |
| 5.1.3 | Memverifikasi Izin di cron.hourly | sedang | lulus |
| 5.1.4 | Verifikasi Grup yang Memiliki cron.daily | sedang | lulus |
| 5.1.4 | Verifikasi Pemilik di cron.daily | sedang | lulus |
| 5.1.4 | Memverifikasi Izin di cron.daily | sedang | lulus |
| 5.1.5 | Verifikasi Grup yang Memiliki cron.weekly | sedang | lulus |
| 5.1.5 | Verifikasi Pemilik di cron.weekly | sedang | lulus |
| 5.1.5 | Verifikasi Izin di cron.weekly | sedang | lulus |
| 5.1.6 | Verifikasi Grup yang Memiliki cron.monthly | sedang | lulus |
| 5.1.6 | Verifikasi Pemilik di cron.monthly | sedang | lulus |
| 5.1.6 | Verifikasi Izin di cron.monthly | sedang | lulus |
| 5.1.7 | Memverifikasi Grup yang Memiliki cron.d | sedang | lulus |
| 5.1.7 | Verifikasi Pemilik di cron.d | sedang | lulus |
| 5.1.7 | Memverifikasi Izin di cron.d | sedang | lulus |
| 5.1.8 | Pastikan /etc/cron.deny tidak ada | sedang | lulus |
| 5.1.8 | Verifikasi Grup yang Memiliki file /etc/cron.allow | sedang | lulus |
| 5.1.8 | Verifikasi Izin pada file /etc/cron.allow | sedang | lulus |
| 5.1.8 | Verifikasi Pengguna yang Memiliki file /etc/cron.allow | sedang | lulus |
| 5.1.9 | Pastikan /etc/at.deny tidak ada | sedang | lulus |
| 5.1.9 | Verifikasi Grup yang Memiliki file /etc/at.allow | sedang | lulus |
| 5.1.9 | Verifikasi Izin pada file /etc/at.allow | sedang | lulus |
| 5.1.9 | Verifikasi Pengguna yang Memiliki file /etc/at.allow | sedang | lulus |
| 5.2.1 | Memverifikasi Grup yang Memiliki file konfigurasi Server SSH | sedang | lulus |
| 5.2.1 | Memverifikasi Pemilik di file konfigurasi Server SSH | sedang | lulus |
| 5.2.1 | Memverifikasi Izin pada file konfigurasi Server SSH | sedang | lulus |
| 5.2.2 | Memverifikasi Izin pada File Kunci *_key Pribadi Server SSH | sedang | lulus |
| 5.2.3 | Memverifikasi Izin pada File Kunci *.pub Publik Server SSH | sedang | lulus |
| 5.2.5 | Setel LogLevel ke INFO | rendah | lulus |
| 5.2.6 | Mengaktifkan PAM | sedang | lulus |
| 5.2.7 | Menonaktifkan Login Root SSH | sedang | lulus |
| 5.2.8 | Menonaktifkan Autentikasi Berbasis Host | sedang | lulus |
| 5.2.9 | Menonaktifkan Akses SSH melalui Sandi Kosong | tinggi | lulus |
| 5.2.10 | Opsi Lingkungan Jangan Izinkan SSH | sedang | lulus |
| 5.2.11 | Menonaktifkan Dukungan SSH untuk File .rhosts | sedang | lulus |
| 5.2.12 | Menonaktifkan Penerusan X11 | sedang | lulus |
| 5.2.13 | Hanya Menggunakan Cipher Kuat | sedang | lulus |
| 5.2.14 | Hanya Menggunakan MAC Kuat | sedang | lulus |
| 5.2.15 | Hanya Menggunakan algoritma Pertukaran Kunci yang Kuat | sedang | lulus |
| 5.2.16 | Menonaktifkan Penerusan TCP SSH | sedang | lulus |
| 5.2.17 | Mengaktifkan Banner Peringatan SSH | sedang | lulus |
| 5.2.18 | Menetapkan batas upaya autentikasi SSH | sedang | lulus |
| 5.2.19 | Pastikan SSH MaxStartups dikonfigurasi | sedang | lulus |
| 5.2.20 | Menetapkan batas MaxSessions SSH | sedang | lulus |
| 5.2.21 | Pastikan SSH LoginGraceTime dikonfigurasi | sedang | lulus |
| 5.2.22 | Menetapkan SSH Client Alive Count Max | sedang | lulus |
| 5.2.22 | Menetapkan Interval Aktif Klien SSH | sedang | lulus |
| 5.3.1 | Instal Paket sudo | sedang | lulus |
| 5.3.2 | Memastikan Hanya Pengguna yang Login ke tty Nyata yang Dapat Mengeksekusi Sudo - sudo use_pty | sedang | lulus |
| 5.3.3 | Pastikan File Log Sudo Ada - sudo logfile | rendah | lulus |
| 5.3.5 | Pastikan Pengguna Melakukan Autentikasi Ulang untuk Eskalasi Hak Istimewa - sudo !authenticate | sedang | lulus |
| 5.3.6 | Mewajibkan Autentikasi Ulang Saat Menggunakan Perintah sudo | sedang | lulus |
| 5.3.7 | Menerapkan Penggunaan pam_wheel dengan Parameter Grup untuk Autentikasi su | sedang | lulus |
| 5.3.7 | Pastikan Grup yang Digunakan oleh Modul pam_wheel Ada di Sistem dan Kosong | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Permintaan Coba Lagi Autentikasi Diizinkan Per Sesi | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Kategori Berbeda Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Digit Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Panjang Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Huruf Kecil Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Khusus Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Huruf Besar Minimum | sedang | lulus |
| 5.4.1 | Instal Paket pam_pwquality | sedang | lulus |
| 5.4.2 | Mengunci Akun Setelah Kesalahan Sandi | sedang | lulus |
| 5.4.2 | Menetapkan Interval Untuk Menghitung Kesalahan Sandi | sedang | lulus |
| 5.4.2 | Menetapkan Waktu Penguncian untuk Upaya Memasukkan Sandi yang Gagal | sedang | lulus |
| 5.4.3 | Membatasi Penggunaan Ulang Sandi | sedang | lulus |
| 5.4.4 | Menetapkan Algoritma Hashing Sandi di /etc/login.defs | sedang | lulus |
| 5.5.1.1 | Menetapkan Usia Minimum Sandi yang Ada | sedang | lulus |
| 5.5.1.1 | Menetapkan Usia Minimum Sandi | sedang | lulus |
| 5.5.1.2 | Menetapkan Usia Maksimum Sandi yang Ada | sedang | lulus |
| 5.5.1.3 | Menetapkan Usia Peringatan Sandi | sedang | lulus |
| 5.5.1.4 | Menetapkan Masa Berlaku Akun Setelah Tidak Aktif | sedang | lulus |
| 5.5.1.5 | Pastikan tanggal perubahan sandi terakhir semua pengguna sudah berlalu | sedang | lulus |
| 5.5.2 | Memastikan Akun Sistem Tidak Menjalankan Shell Saat Login | sedang | lulus |
| 5.5.3 | Memverifikasi Root Memiliki GID Primer 0 | tinggi | lulus |
| 5.5.4 | Memastikan Umask Bash Default Disetel dengan Benar | sedang | lulus |
| 5.5.4 | Memastikan Umask Default Disetel dengan Benar untuk Pengguna Interaktif | sedang | lulus |
| 5.5.4 | Memastikan Umask Default Disetel dengan Benar di /etc/profile | sedang | lulus |
| 5.5.4 | Pastikan Umask Default Disetel dengan Benar di login.defs | sedang | lulus |
| 5.5.5 | Menetapkan Waktu Tunggu Sesi Interaktif | sedang | lulus |
| 6.1.1 | Memverifikasi Grup yang Memiliki File passwd | sedang | lulus |
| 6.1.1 | Memverifikasi Izin pada File passwd | sedang | lulus |
| 6.1.1 | Memverifikasi Pengguna yang Memiliki File passwd | sedang | lulus |
| 6.1.2 | Verifikasi Grup yang Memiliki File passwd Cadangan | sedang | lulus |
| 6.1.2 | Memverifikasi Izin pada File passwd Cadangan | sedang | lulus |
| 6.1.2 | Memverifikasi Pengguna yang Memiliki File passwd Cadangan | sedang | lulus |
| 6.1.3 | Memverifikasi Grup yang Memiliki File grup | sedang | lulus |
| 6.1.3 | Memverifikasi Izin pada File grup | sedang | lulus |
| 6.1.3 | Memverifikasi Pengguna yang Memiliki File grup | sedang | lulus |
| 6.1.4 | Memverifikasi Grup yang Memiliki File grup Cadangan | sedang | lulus |
| 6.1.4 | Memverifikasi Izin pada File grup Cadangan | sedang | lulus |
| 6.1.4 | Memverifikasi Pengguna yang Memiliki File grup Cadangan | sedang | lulus |
| 6.1.5 | Memverifikasi Grup yang Memiliki File shadow | sedang | lulus |
| 6.1.5 | Memverifikasi Izin pada File bayangan | sedang | lulus |
| 6.1.5 | Memverifikasi Pengguna yang Memiliki File shadow | sedang | lulus |
| 6.1.6 | Memverifikasi Grup yang Memiliki File shadow Cadangan | sedang | lulus |
| 6.1.6 | Memverifikasi Izin pada File shadow Cadangan | sedang | lulus |
| 6.1.6 | Memverifikasi Pengguna yang Memiliki File shadow Cadangan | sedang | lulus |
| 6.1.7 | Memverifikasi Grup yang Memiliki File gshadow | sedang | lulus |
| 6.1.7 | Memverifikasi Izin pada File gshadow | sedang | lulus |
| 6.1.7 | Memverifikasi Pengguna yang Memiliki File gshadow | sedang | lulus |
| 6.1.8 | Memverifikasi Grup yang Memiliki File gshadow Cadangan | sedang | lulus |
| 6.1.8 | Memverifikasi Izin pada File gshadow Cadangan | sedang | lulus |
| 6.1.8 | Memverifikasi Pengguna yang Memiliki File gshadow Cadangan | sedang | lulus |
| 6.1.10 | Memastikan Semua File Dimiliki oleh Pengguna | sedang | lulus |
| 6.2.1 | Memverifikasi bahwa Semua Hash Sandi Akun di-Shadow | sedang | lulus |
| 6.2.2 | Pastikan Tidak Ada Akun dengan Sandi Kosong atau Null | tinggi | lulus |
| 6.2.3 | Semua GID yang dirujuk di /etc/passwd harus ditentukan di /etc/group | rendah | lulus |
| 6.2.4 | Pastikan grup bayangan kosong | sedang | lulus |
| 6.2.5 | Memastikan Semua Akun di Sistem Memiliki ID Pengguna yang Unik | sedang | lulus |
| 6.2.6 | Memastikan Semua Grup di Sistem Memiliki ID Grup yang Unik | sedang | lulus |
| 6.2.7 | Memastikan Semua Akun di Sistem Memiliki Nama yang Unik | sedang | lulus |
| 6.2.8 | Memastikan Semua Grup di Sistem Memiliki Nama Grup yang Unik | sedang | lulus |
| 6.2.9 | Pastikan Jalur Root Tidak Menyertakan Jalur Relatif atau Direktori Null | tidak diketahui | lulus |
| 6.2.9 | Pastikan Jalur Root Tidak Menyertakan Direktori yang Dapat Ditulis oleh Dunia atau Grup | sedang | lulus |
| 6.2.10 | Memverifikasi Hanya Root yang Memiliki UID 0 | tinggi | lulus |
| 6.2.11 | Semua Direktori Utama Pengguna Interaktif Harus Ada | sedang | lulus |
| 6.2.12 | Semua Direktori Beranda Pengguna Interaktif Harus Dimiliki Grup Oleh Grup Utama | sedang | lulus |
| 6.2.12 | Semua Direktori Utama Pengguna Interaktif Harus Dimiliki Oleh Pengguna Utama | sedang | lulus |
| 6.2.13 | Semua Direktori Beranda Pengguna Interaktif Harus Memiliki mode 0750 Atau Lebih Permisif | sedang | lulus |
| 6.2.14 | Memverifikasi Tidak Ada File netrc | sedang | lulus |
| 6.2.15 | Verifikasi Tidak Ada File .forward | sedang | lulus |
| 6.2.16 | Menghapus File Kepercayaan Rsh | tinggi | lulus |
| 6.2.17 | File Inisialisasi Pengguna Harus Dimiliki Grup Oleh Grup Utama | sedang | lulus |
| 6.2.17 | File Inisialisasi Pengguna Harus Dimiliki oleh Pengguna Utama | sedang | lulus |
| 6.2.17 | File Inisialisasi Pengguna Tidak Boleh Menjalankan Program yang Dapat Ditulis oleh Semua Pengguna | sedang | lulus |
Rekomendasi yang tidak berlaku
Tabel berikut mencantumkan rekomendasi yang tidak berlaku untuk Google Distributed Cloud.
| # | Rekomendasi | Keparahan | Status |
|---|---|---|---|
| 1.1.2.2 | Tambahkan Opsi nodev ke /tmp | sedang | tidak berlaku |
| 1.1.2.3 | Menambahkan Opsi noexec ke /tmp | sedang | tidak berlaku |
| 1.1.2.4 | Menambahkan Opsi nosuid ke /tmp | sedang | tidak berlaku |
| 1.1.3.2 | Menambahkan Opsi nodev ke /var | sedang | tidak berlaku |
| 1.1.3.3 | Menambahkan Opsi nosuid ke /var | sedang | tidak berlaku |
| 1.1.4.2 | Menambahkan Opsi noexec ke /var/tmp | sedang | tidak berlaku |
| 1.1.4.3 | Menambahkan Opsi nosuid ke /var/tmp | sedang | tidak berlaku |
| 1.1.4.4 | Menambahkan Opsi nodev ke /var/tmp | sedang | tidak berlaku |
| 1.1.5.2 | Menambahkan Opsi nodev ke /var/log | sedang | tidak berlaku |
| 1.1.5.3 | Menambahkan Opsi noexec ke /var/log | sedang | tidak berlaku |
| 1.1.5.4 | Menambahkan Opsi nosuid ke /var/log | sedang | tidak berlaku |
| 1.1.6.2 | Menambahkan Opsi noexec ke /var/log/audit | sedang | tidak berlaku |
| 1.1.6.3 | Menambahkan opsi nodev ke /var/log/audit | sedang | tidak berlaku |
| 1.1.6.4 | Menambahkan Opsi nosuid ke /var/log/audit | sedang | tidak berlaku |
| 1.1.7.2 | Menambahkan opsi nodev ke /home | tidak diketahui | tidak berlaku |
| 1.1.7.3 | Menambahkan Opsi nosuid ke /home | sedang | tidak berlaku |
| 1.10 | Mengonfigurasi Profil Pengguna DConf GNOME3 | tinggi | tidak berlaku |
| 1.4.1 | Menyetel Sandi Pemuat Boot UEFI | tinggi | tidak berlaku |
| 1.8.1 | Hapus Grup Paket GDM | sedang | tidak berlaku |
| 1.8.10 | Menonaktifkan XDMCP di GDM | tinggi | tidak berlaku |
| 1.8.4 | Mengaktifkan Kunci Screensaver GNOME3 Setelah Periode Tidak Ada Aktivitas | sedang | tidak berlaku |
| 1.8.5 | Menetapkan Penundaan Kunci Screensaver GNOME3 Setelah Periode Aktivasi | sedang | tidak berlaku |
| 1.8.6 | Menonaktifkan Pembukaan Pemasangan Otomatis GNOME3 | sedang | tidak berlaku |
| 1.8.6 | Menonaktifkan Pemasangan Otomatis GNOME3 | sedang | tidak berlaku |
| 1.8.8 | Menonaktifkan GNOME3 Automount yang sedang berjalan | rendah | tidak berlaku |
| 2.1.4.1 | Mengonfigurasi batasan server untuk ntpd | sedang | tidak berlaku |
| 2.1.4.3 | Mengonfigurasi ntpd Agar Berjalan Sebagai Pengguna ntp | sedang | tidak berlaku |
| 2.1.4.4 | Mengaktifkan Daemon NTP | tinggi | tidak berlaku |
| 2.2.15 | Menonaktifkan Pendengar Jaringan Postfix | sedang | tidak berlaku |
| 3.5.1.3 | Memverifikasi ufw Diaktifkan | sedang | tidak berlaku |
| 3.5.1.4 | Menetapkan Traffic Loopback UFW | sedang | tidak berlaku |
| 3.5.1.6 | Memastikan Aturan Firewall ufw Ada untuk Semua Port Terbuka | sedang | tidak berlaku |
| 3.5.1.7 | Memastikan Kebijakan Firewall Default Deny ufw | sedang | tidak berlaku |
| 3.5.3.2.1 | Menetapkan Kebijakan iptables Default untuk Paket Masuk | sedang | tidak berlaku |
| 3.5.3.2.2 | Menetapkan konfigurasi untuk traffic loopback | sedang | tidak berlaku |
| 3.5.3.2.4 | Pastikan Aturan Firewall iptables Ada untuk Semua Port Terbuka | sedang | tidak berlaku |
| 3.5.3.3.1 | Menetapkan Kebijakan ip6tables Default untuk Paket Masuk | sedang | tidak berlaku |
| 3.5.3.3.4 | Memastikan Aturan Firewall ip6tables Ada untuk Semua Port Terbuka | sedang | tidak berlaku |
1.31
Versi
Bagian ini merujuk pada versi berikut:
| Versi Google Distributed Cloud | Versi Ubuntu | Versi Tolok Ukur CIS Ubuntu | Tingkat CIS |
|---|---|---|---|
| 1.31 | 22.04 LTS | v1.0.0 | Server Level 2 |
Rekomendasi gagal
Tabel berikut mencantumkan rekomendasi yang membuat Google Distributed Cloud menyimpang dari rekomendasi tolok ukur. Temuan ini berlaku untuk node cluster dan workstation admin.
| # | Rekomendasi | Keparahan | Status |
|---|---|---|---|
| 1.1.2.1 | Memastikan /tmp Berada di Partisi Terpisah | rendah | gagal |
| 1.1.3.1 | Pastikan /var Berada di Partisi Terpisah | rendah | gagal |
| 1.1.4.1 | Pastikan /var/tmp Berada di Partisi Terpisah | sedang | gagal |
| 1.1.5.1 | Pastikan /var/log Berada di Partisi Terpisah | rendah | gagal |
| 1.1.6.1 | Memastikan /var/log/audit Berada di Partisi Terpisah | rendah | gagal |
| 1.1.7.1 | Memastikan /home Berada di Partisi Terpisah | rendah | gagal |
| 1.4.1 | Menetapkan Sandi Boot Loader di grub2 | tinggi | gagal |
| 1.4.3 | Memastikan Autentikasi Diperlukan untuk Mode Pengguna Tunggal | sedang | gagal |
| 2.3.6 | Meng-uninstal Paket rpcbind | rendah | gagal |
| 3.2.2 | Menonaktifkan Parameter Kernel untuk Penerusan IP di Antarmuka IPv4 | sedang | gagal |
| 3.3.7 | Mengaktifkan Parameter Kernel untuk Menggunakan Pemfilteran Jalur Balik di semua Antarmuka IPv4 secara Default | sedang | gagal |
| 3.3.7 | Mengaktifkan Parameter Kernel untuk Menggunakan Pemfilteran Jalur Balik di semua Antarmuka IPv4 | sedang | gagal |
| 3.5.2.8 | Memastikan kebijakan firewall penolakan default nftables | sedang | gagal |
| 3.5.2.10 | Memastikan aturan nftables bersifat permanen | sedang | gagal |
| 4.2.3 | Memverifikasi izin file log | sedang | gagal |
| 5.2.4 | Membatasi Akses SSH Pengguna | tidak diketahui | gagal |
| 5.3.4 | Memastikan Pengguna Melakukan Autentikasi Ulang untuk Eskalasi Hak Istimewa - sudo | sedang | gagal |
| 5.5.1.2 | Menetapkan Masa Aktif Maksimum Sandi | sedang | gagal |
Rekomendasi yang disetujui
Tabel berikut mencantumkan rekomendasi yang dipatuhi Google Distributed Cloud sesuai dengan rekomendasi tolok ukur.
| # | Rekomendasi | Keparahan | Status |
|---|---|---|---|
| 1.1.1.1 | Menonaktifkan Pemasangan cramfs | rendah | lulus |
| 1.1.1.2 | Menonaktifkan Pemasangan squashfs | rendah | lulus |
| 1.1.1.3 | Menonaktifkan Pemasangan udf | rendah | lulus |
| 1.1.8.1 | Menambahkan Opsi nodev ke /dev/shm | sedang | lulus |
| 1.1.8.2 | Menambahkan Opsi noexec ke /dev/shm | sedang | lulus |
| 1.1.8.3 | Menambahkan Opsi nosuid ke /dev/shm | sedang | lulus |
| 1.1.9 | Nonaktifkan Automounter | sedang | lulus |
| 1.1.10 | Menonaktifkan Pemuatan Modprobe Driver Penyimpanan USB | sedang | lulus |
| 1.4.2 | Verifikasi Izin /boot/grub/grub.cfg | sedang | lulus |
| 1.5.1 | Mengaktifkan Tata Letak Acak Ruang Alamat Virtual | sedang | lulus |
| 1.5.2 | Paket "prelink" Tidak Boleh Diinstal | sedang | lulus |
| 1.5.3 | Menonaktifkan Layanan Apport | tidak diketahui | lulus |
| 1.5.4 | Menonaktifkan Dump Inti untuk Semua Pengguna | sedang | lulus |
| 1.5.4 | Menonaktifkan Dump Inti untuk program SUID | sedang | lulus |
| 1.6.1.1 | Pastikan AppArmor telah diinstal | sedang | lulus |
| 1.6.1.2 | Pastikan AppArmor diaktifkan dalam konfigurasi bootloader | sedang | lulus |
| 1.6.1.4 | Menerapkan semua Profil AppArmor | sedang | lulus |
| 1.7.1 | Mengubah Banner Pesan Sistem Harian | sedang | lulus |
| 1.7.2 | Mengubah Banner Login Sistem | sedang | lulus |
| 1.7.3 | Mengubah Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 1.7.4 | Memverifikasi Kepemilikan Grup Banner Pesan Hari Ini | sedang | lulus |
| 1.7.4 | Memverifikasi kepemilikan Banner Pesan Harian | sedang | lulus |
| 1.7.4 | Memverifikasi izin pada Banner Pesan Harian | sedang | lulus |
| 1.7.5 | Memverifikasi Kepemilikan Grup Banner Login Sistem | sedang | lulus |
| 1.7.5 | Memverifikasi kepemilikan Banner Login Sistem | sedang | lulus |
| 1.7.5 | Memverifikasi izin pada Banner Login Sistem | sedang | lulus |
| 1.7.6 | Memverifikasi Kepemilikan Grup Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 1.7.6 | Memverifikasi kepemilikan Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 1.7.6 | Memverifikasi izin pada Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 2.1.1.1 | Menginstal Layanan systemd_timesyncd | tinggi | lulus |
| 2.1.3.2 | Aktifkan Layanan systemd_timesyncd | tinggi | lulus |
| 2.2.1 | Hapus X Windows Package Group | sedang | lulus |
| 2.2.2 | Menonaktifkan Software Server Avahi | sedang | lulus |
| 2.2.2 | Uninstal Paket Server avahi | sedang | lulus |
| 2.2.3 | Menonaktifkan Layanan CUPS | tidak diketahui | lulus |
| 2.2.3 | Meng-uninstal Paket CUPS | tidak diketahui | lulus |
| 2.2.4 | Meng-uninstal Paket Server DHCP | sedang | lulus |
| 2.2.5 | Meng-uninstal Paket openldap-servers | rendah | lulus |
| 2.2.6 | Meng-uninstal Paket nfs-kernel-server | rendah | lulus |
| 2.2.7 | Uninstal paket pengikatan | rendah | lulus |
| 2.2.8 | Meng-uninstal Paket vsftpd | tinggi | lulus |
| 2.2.9 | Uninstal Paket httpd | tidak diketahui | lulus |
| 2.2.9 | Uninstal Paket nginx | tidak diketahui | lulus |
| 2.2.10 | Uninstal Paket cyrus-imapd | tidak diketahui | lulus |
| 2.2.10 | Meng-uninstal Paket dovecot | tidak diketahui | lulus |
| 2.2.11 | Meng-uninstal Paket Samba | tidak diketahui | lulus |
| 2.2.12 | Meng-uninstal Paket squid | tidak diketahui | lulus |
| 2.2.13 | Meng-uninstal Paket net-snmp | tidak diketahui | lulus |
| 2.2.14 | Uninstal paket nis | rendah | lulus |
| 2.2.15 | Pastikan Mail Transfer Agent tidak Mendengarkan Alamat non-loopback | sedang | lulus |
| 2.2.16 | Meng-uninstal Paket rsync | sedang | lulus |
| 2.3.2 | Meng-uninstal Paket rsh | tidak diketahui | lulus |
| 2.3.3 | Meng-uninstal Paket bicara | sedang | lulus |
| 2.3.4 | Menghapus Klien telnet | rendah | lulus |
| 2.3.5 | Pastikan klien LDAP tidak diinstal | rendah | lulus |
| 3.1.2 | Menonaktifkan Antarmuka Jaringan Nirkabel | sedang | lulus |
| 3.2.1 | Menonaktifkan Parameter Kernel untuk Mengirim Pengalihan ICMP di semua Antarmuka IPv4 secara Default | sedang | lulus |
| 3.2.1 | Menonaktifkan Parameter Kernel untuk Mengirim Pengalihan ICMP di semua Antarmuka IPv4 | sedang | lulus |
| 3.2.2 | Menonaktifkan Parameter Kernel untuk Penerusan IPv6 | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Diarahkan Sumber di semua Antarmuka IPv4 | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Dirutekan Sumber di semua Antarmuka IPv6 | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Di-routing Sumber di Antarmuka IPv4 secara Default | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Dirutekan Sumber di Antarmuka IPv6 secara Default | sedang | lulus |
| 3.3.2 | Menonaktifkan Penerimaan Pengalihan ICMP untuk Semua Antarmuka IPv4 | sedang | lulus |
| 3.3.2 | Menonaktifkan Penerimaan Pengalihan ICMP untuk Semua Antarmuka IPv6 | sedang | lulus |
| 3.3.2 | Menonaktifkan Parameter Kernel untuk Menerima Pengalihan ICMP secara Default di Antarmuka IPv4 | sedang | lulus |
| 3.3.2 | Menonaktifkan Parameter Kernel untuk Menerima Pengalihan ICMP secara Default di Antarmuka IPv6 | sedang | lulus |
| 3.3.3 | Mengonfigurasi Parameter Kernel untuk Menerima Pengalihan Aman Secara Default | sedang | lulus |
| 3.3.3 | Menonaktifkan Parameter Kernel untuk Menerima Pengalihan ICMP Aman di semua Antarmuka IPv4 | sedang | lulus |
| 3.3.4 | Mengaktifkan Parameter Kernel untuk Mencatat Paket Martian di semua Antarmuka IPv4 | tidak diketahui | lulus |
| 3.3.4 | Mengaktifkan Parameter Kernel untuk Mencatat Paket Martian di semua Antarmuka IPv4 secara Default | tidak diketahui | lulus |
| 3.3.5 | Mengaktifkan Parameter Kernel untuk Mengabaikan Permintaan Echo Siaran ICMP di Antarmuka IPv4 | sedang | lulus |
| 3.3.6 | Mengaktifkan Parameter Kernel untuk Mengabaikan Respons Error ICMP Palsu pada Antarmuka IPv4 | tidak diketahui | lulus |
| 3.3.8 | Mengaktifkan Parameter Kernel untuk Menggunakan TCP Syncookies di Antarmuka Jaringan | sedang | lulus |
| 3.3.9 | Mengonfigurasi Penerimaan Iklan Router di Semua Antarmuka IPv6 | sedang | lulus |
| 3.3.9 | Menonaktifkan Penerimaan Iklan Router di semua Antarmuka IPv6 secara Default | sedang | lulus |
| 3.4.1 | Menonaktifkan Dukungan DCCP | sedang | lulus |
| 3.4.2 | Menonaktifkan Dukungan SCTP | sedang | lulus |
| 3.4.3 | Menonaktifkan Dukungan RDS | rendah | lulus |
| 3.4.4 | Menonaktifkan Dukungan TIPC | rendah | lulus |
| 3.5.1.2 | Menghapus Paket iptables-persistent | sedang | lulus |
| 3.5.2.1 | Instal Paket nftables | sedang | lulus |
| 3.5.2.4 | Memastikan Tabel Ada untuk Nftables | sedang | lulus |
| 3.5.2.5 | Memastikan Rantai Dasar Ada untuk Nftables | sedang | lulus |
| 3.5.2.9 | Memastikan Layanan nftables Diaktifkan | sedang | lulus |
| 3.5.3.1.1 | Instal Paket iptables | sedang | lulus |
| 3.5.3.1.3 | Menghapus Paket ufw | sedang | lulus |
| 4.1.1.1 | Memastikan Subsystem Audit Telah Diinstal | sedang | lulus |
| 4.1.1.2 | Aktifkan Layanan auditd | sedang | lulus |
| 4.1.1.4 | Memperluas Batas Backlog Audit untuk Daemon Audit | rendah | lulus |
| 4.1.2.1 | Mengonfigurasi Ukuran File Log Maksimum auditd | sedang | lulus |
| 4.1.2.2 | Mengonfigurasi max_log_file_action auditd Saat Mencapai Ukuran Log Maksimum | sedang | lulus |
| 4.1.2.3 | Mengonfigurasi Tindakan admin_space_left auditd pada Ruang Disk Hampir Penuh | sedang | lulus |
| 4.1.2.3 | Mengonfigurasi Tindakan mail_acct auditd saat Ruang Disk Hampir Penuh | sedang | lulus |
| 4.1.2.3 | Mengonfigurasi Tindakan space_left auditd saat Ruang Penyimpanan Disk Hampir Penuh | sedang | lulus |
| 4.1.3.1 | Memastikan auditd Mengumpulkan Tindakan Administrator Sistem | sedang | lulus |
| 4.1.3.2 | Merekam Peristiwa Saat File yang Dapat Dieksekusi dengan Hak Istimewa Dijalankan | sedang | lulus |
| 4.1.3.3 | Mencatat Upaya untuk melakukan aktivitas pemeliharaan | sedang | lulus |
| 4.1.3.4 | Mencatat Upaya Mengubah File localtime | sedang | lulus |
| 4.1.3.4 | Mencatat upaya untuk mengubah waktu melalui adjtimex | sedang | lulus |
| 4.1.3.4 | Upaya Perekaman untuk Mengubah Waktu Melalui clock_settime | sedang | lulus |
| 4.1.3.4 | Mencatat upaya untuk mengubah waktu melalui settimeofday | sedang | lulus |
| 4.1.3.4 | Mencatat Upaya Mengubah Waktu Melalui stime | sedang | lulus |
| 4.1.3.5 | Merekam Peristiwa yang Mengubah Lingkungan Jaringan Sistem | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - su | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - sudo | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - sudoedit | sedang | lulus |
| 4.1.3.6 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - umount | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - unix_chkpwd | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - creat | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - ftruncate | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - buka | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - openat | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - dipangkas | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/group | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/gshadow | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/passwd | sedang | lulus |
| 4.1.3.8 | Merekam Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/security/opasswd | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/shadow | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - chmod | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - chown | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchmod | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchmodat | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchown | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchownat | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fremovexattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fsetxattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - lchown | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - lremovexattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Discretionary Sistem - lsetxattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - removexattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Discretionary Sistem - setxattr | sedang | lulus |
| 4.1.3.10 | Memastikan auditd Mengumpulkan Informasi tentang Mengekspor ke Media (berhasil) | sedang | lulus |
| 4.1.3.11 | Mencatat Upaya untuk Mengubah Informasi Inisiasi Sesi dan Proses | sedang | lulus |
| 4.1.3.12 | Mencatat Upaya untuk Mengubah Peristiwa Login dan Logout - faillog | sedang | lulus |
| 4.1.3.12 | Mencatat Upaya untuk Mengubah Peristiwa Login dan Logout - lastlog | sedang | lulus |
| 4.1.3.12 | Mencatat Upaya untuk Mengubah Peristiwa Login dan Logout - tallylog | sedang | lulus |
| 4.1.3.13 | Memastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - ganti nama | sedang | lulus |
| 4.1.3.13 | Memastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - renameat | sedang | lulus |
| 4.1.3.13 | Pastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - batalkan tautan | sedang | lulus |
| 4.1.3.13 | Memastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - unlinkat | sedang | lulus |
| 4.1.3.14 | Mencatat Peristiwa yang Mengubah Kontrol Akses Wajib Sistem | sedang | lulus |
| 4.1.3.15 | Mencatat Semua Upaya untuk Menjalankan chcon | sedang | lulus |
| 4.1.3.16 | Mencatat Setiap Upaya untuk Menjalankan setfacl | sedang | lulus |
| 4.1.3.17 | Mencatat Setiap Upaya untuk Menjalankan chacl | sedang | lulus |
| 4.1.3.18 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - usermod | sedang | lulus |
| 4.1.3.19 | Memastikan auditd Mengumpulkan Informasi tentang Pemuatan Modul Kernel - init_module | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penghapusan Muatan Modul Kernel - delete_module | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - insmod | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - modprobe | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - rmmod | sedang | lulus |
| 4.1.3.20 | Membuat Konfigurasi auditd Tidak Dapat Diubah | sedang | lulus |
| 4.1.4.1 | Log Audit Sistem Harus Memiliki Mode 0640 atau Kurang Permisif | sedang | lulus |
| 4.1.4.2 | Log Audit Sistem Harus Dimiliki oleh Root | sedang | lulus |
| 4.1.4.3 | Log Audit Sistem Harus Dimiliki Grup oleh Root | sedang | lulus |
| 4.1.4.4 | Log Audit Sistem Harus Memiliki Mode 0750 atau Kurang Permisif | sedang | lulus |
| 4.1.4.5 | Verifikasi Izin di /etc/audit/auditd.conf | sedang | lulus |
| 4.1.4.5 | Verifikasi Izin di /etc/audit/rules.d/*.rules | sedang | lulus |
| 4.1.4.6 | File Konfigurasi Audit Harus Dimiliki oleh Root | sedang | lulus |
| 4.1.4.7 | File Konfigurasi Audit Harus Dimiliki oleh Grup root | sedang | lulus |
| 4.1.4.8 | Pastikan alat audit memiliki Mode 0755 atau kurang | sedang | lulus |
| 4.1.4.9 | Pastikan alat audit dimiliki oleh root | sedang | lulus |
| 4.1.4.10 | Pastikan alat audit dimiliki oleh root grup | sedang | lulus |
| 4.2.1.1.1 | Instal Paket systemd-journal-remote | sedang | lulus |
| 4.2.1.1.4 | Menonaktifkan Socket systemd-journal-remote | sedang | lulus |
| 4.2.1.2 | Aktifkan Layanan systemd-journald | sedang | lulus |
| 4.2.1.3 | Pastikan journald dikonfigurasi untuk mengompresi file log berukuran besar | sedang | lulus |
| 4.2.1.4 | Pastikan journald dikonfigurasi untuk menulis file log ke persistent disk | sedang | lulus |
| 4.2.2.1 | Pastikan rsyslog Terinstal | sedang | lulus |
| 4.2.2.2 | Mengaktifkan Layanan rsyslog | sedang | lulus |
| 4.2.2.4 | Memastikan Izin File Default rsyslog Dikonfigurasi | sedang | lulus |
| 4.2.2.7 | Pastikan rsyslog Tidak Menerima Pesan Jarak Jauh Kecuali Bertindak Sebagai Server Log | sedang | lulus |
| 5.1.1 | Mengaktifkan Layanan cron | sedang | lulus |
| 5.1.2 | Memverifikasi Grup yang Memiliki Crontab | sedang | lulus |
| 5.1.2 | Verifikasi Pemilik di crontab | sedang | lulus |
| 5.1.2 | Memverifikasi Izin di crontab | sedang | lulus |
| 5.1.3 | Memverifikasi Grup yang Memiliki cron.hourly | sedang | lulus |
| 5.1.3 | Verifikasi Pemilik di cron.hourly | sedang | lulus |
| 5.1.3 | Memverifikasi Izin di cron.hourly | sedang | lulus |
| 5.1.4 | Verifikasi Grup yang Memiliki cron.daily | sedang | lulus |
| 5.1.4 | Verifikasi Pemilik di cron.daily | sedang | lulus |
| 5.1.4 | Memverifikasi Izin di cron.daily | sedang | lulus |
| 5.1.5 | Verifikasi Grup yang Memiliki cron.weekly | sedang | lulus |
| 5.1.5 | Verifikasi Pemilik di cron.weekly | sedang | lulus |
| 5.1.5 | Verifikasi Izin di cron.weekly | sedang | lulus |
| 5.1.6 | Verifikasi Grup yang Memiliki cron.monthly | sedang | lulus |
| 5.1.6 | Verifikasi Pemilik di cron.monthly | sedang | lulus |
| 5.1.6 | Verifikasi Izin di cron.monthly | sedang | lulus |
| 5.1.7 | Memverifikasi Grup yang Memiliki cron.d | sedang | lulus |
| 5.1.7 | Verifikasi Pemilik di cron.d | sedang | lulus |
| 5.1.7 | Memverifikasi Izin di cron.d | sedang | lulus |
| 5.1.8 | Pastikan /etc/cron.deny tidak ada | sedang | lulus |
| 5.1.8 | Verifikasi Grup yang Memiliki file /etc/cron.allow | sedang | lulus |
| 5.1.8 | Verifikasi Izin pada file /etc/cron.allow | sedang | lulus |
| 5.1.8 | Verifikasi Pengguna yang Memiliki file /etc/cron.allow | sedang | lulus |
| 5.1.9 | Pastikan /etc/at.deny tidak ada | sedang | lulus |
| 5.1.9 | Verifikasi Grup yang Memiliki file /etc/at.allow | sedang | lulus |
| 5.1.9 | Verifikasi Izin pada file /etc/at.allow | sedang | lulus |
| 5.1.9 | Verifikasi Pengguna yang Memiliki file /etc/at.allow | sedang | lulus |
| 5.2.1 | Memverifikasi Grup yang Memiliki file konfigurasi Server SSH | sedang | lulus |
| 5.2.1 | Memverifikasi Pemilik di file konfigurasi Server SSH | sedang | lulus |
| 5.2.1 | Memverifikasi Izin pada file konfigurasi Server SSH | sedang | lulus |
| 5.2.2 | Memverifikasi Izin pada File Kunci *_key Pribadi Server SSH | sedang | lulus |
| 5.2.3 | Memverifikasi Izin pada File Kunci *.pub Publik Server SSH | sedang | lulus |
| 5.2.5 | Setel LogLevel ke INFO | rendah | lulus |
| 5.2.6 | Mengaktifkan PAM | sedang | lulus |
| 5.2.7 | Menonaktifkan Login Root SSH | sedang | lulus |
| 5.2.8 | Menonaktifkan Autentikasi Berbasis Host | sedang | lulus |
| 5.2.9 | Menonaktifkan Akses SSH melalui Sandi Kosong | tinggi | lulus |
| 5.2.10 | Opsi Lingkungan Jangan Izinkan SSH | sedang | lulus |
| 5.2.11 | Menonaktifkan Dukungan SSH untuk File .rhosts | sedang | lulus |
| 5.2.12 | Menonaktifkan Penerusan X11 | sedang | lulus |
| 5.2.13 | Hanya Menggunakan Cipher Kuat | sedang | lulus |
| 5.2.14 | Hanya Menggunakan MAC Kuat | sedang | lulus |
| 5.2.15 | Hanya Menggunakan algoritma Pertukaran Kunci yang Kuat | sedang | lulus |
| 5.2.16 | Menonaktifkan Penerusan TCP SSH | sedang | lulus |
| 5.2.17 | Mengaktifkan Banner Peringatan SSH | sedang | lulus |
| 5.2.18 | Menetapkan batas upaya autentikasi SSH | sedang | lulus |
| 5.2.19 | Pastikan SSH MaxStartups dikonfigurasi | sedang | lulus |
| 5.2.20 | Menetapkan batas MaxSessions SSH | sedang | lulus |
| 5.2.21 | Pastikan SSH LoginGraceTime dikonfigurasi | sedang | lulus |
| 5.2.22 | Menetapkan SSH Client Alive Count Max | sedang | lulus |
| 5.2.22 | Menetapkan Interval Aktif Klien SSH | sedang | lulus |
| 5.3.1 | Instal Paket sudo | sedang | lulus |
| 5.3.2 | Memastikan Hanya Pengguna yang Login ke tty Nyata yang Dapat Mengeksekusi Sudo - sudo use_pty | sedang | lulus |
| 5.3.3 | Pastikan File Log Sudo Ada - sudo logfile | rendah | lulus |
| 5.3.5 | Pastikan Pengguna Melakukan Autentikasi Ulang untuk Eskalasi Hak Istimewa - sudo !authenticate | sedang | lulus |
| 5.3.6 | Mewajibkan Autentikasi Ulang Saat Menggunakan Perintah sudo | sedang | lulus |
| 5.3.7 | Menerapkan Penggunaan pam_wheel dengan Parameter Grup untuk Autentikasi su | sedang | lulus |
| 5.3.7 | Pastikan Grup yang Digunakan oleh Modul pam_wheel Ada di Sistem dan Kosong | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Permintaan Coba Lagi Autentikasi Diizinkan Per Sesi | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Kategori Berbeda Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Digit Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Panjang Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Huruf Kecil Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Khusus Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Huruf Besar Minimum | sedang | lulus |
| 5.4.1 | Instal Paket pam_pwquality | sedang | lulus |
| 5.4.2 | Mengunci Akun Setelah Kesalahan Sandi | sedang | lulus |
| 5.4.2 | Menetapkan Interval Untuk Menghitung Kesalahan Sandi | sedang | lulus |
| 5.4.2 | Menetapkan Waktu Penguncian untuk Upaya Memasukkan Sandi yang Gagal | sedang | lulus |
| 5.4.3 | Membatasi Penggunaan Ulang Sandi | sedang | lulus |
| 5.4.4 | Menetapkan Algoritma Hashing Sandi di /etc/login.defs | sedang | lulus |
| 5.5.1.1 | Menetapkan Usia Minimum Sandi yang Ada | sedang | lulus |
| 5.5.1.1 | Menetapkan Usia Minimum Sandi | sedang | lulus |
| 5.5.1.2 | Menetapkan Usia Maksimum Sandi yang Ada | sedang | lulus |
| 5.5.1.3 | Menetapkan Usia Peringatan Sandi | sedang | lulus |
| 5.5.1.4 | Menetapkan Masa Berlaku Akun Setelah Tidak Aktif | sedang | lulus |
| 5.5.1.5 | Pastikan tanggal perubahan sandi terakhir semua pengguna sudah berlalu | sedang | lulus |
| 5.5.2 | Memastikan Akun Sistem Tidak Menjalankan Shell Saat Login | sedang | lulus |
| 5.5.3 | Memverifikasi Root Memiliki GID Primer 0 | tinggi | lulus |
| 5.5.4 | Memastikan Umask Bash Default Disetel dengan Benar | sedang | lulus |
| 5.5.4 | Memastikan Umask Default Disetel dengan Benar untuk Pengguna Interaktif | sedang | lulus |
| 5.5.4 | Memastikan Umask Default Disetel dengan Benar di /etc/profile | sedang | lulus |
| 5.5.4 | Pastikan Umask Default Disetel dengan Benar di login.defs | sedang | lulus |
| 5.5.5 | Menetapkan Waktu Tunggu Sesi Interaktif | sedang | lulus |
| 6.1.1 | Memverifikasi Grup yang Memiliki File passwd | sedang | lulus |
| 6.1.1 | Memverifikasi Izin pada File passwd | sedang | lulus |
| 6.1.1 | Memverifikasi Pengguna yang Memiliki File passwd | sedang | lulus |
| 6.1.2 | Verifikasi Grup yang Memiliki File passwd Cadangan | sedang | lulus |
| 6.1.2 | Memverifikasi Izin pada File passwd Cadangan | sedang | lulus |
| 6.1.2 | Memverifikasi Pengguna yang Memiliki File passwd Cadangan | sedang | lulus |
| 6.1.3 | Memverifikasi Grup yang Memiliki File grup | sedang | lulus |
| 6.1.3 | Memverifikasi Izin pada File grup | sedang | lulus |
| 6.1.3 | Memverifikasi Pengguna yang Memiliki File grup | sedang | lulus |
| 6.1.4 | Memverifikasi Grup yang Memiliki File grup Cadangan | sedang | lulus |
| 6.1.4 | Memverifikasi Izin pada File grup Cadangan | sedang | lulus |
| 6.1.4 | Memverifikasi Pengguna yang Memiliki File grup Cadangan | sedang | lulus |
| 6.1.5 | Memverifikasi Grup yang Memiliki File shadow | sedang | lulus |
| 6.1.5 | Memverifikasi Izin pada File bayangan | sedang | lulus |
| 6.1.5 | Memverifikasi Pengguna yang Memiliki File shadow | sedang | lulus |
| 6.1.6 | Memverifikasi Grup yang Memiliki File shadow Cadangan | sedang | lulus |
| 6.1.6 | Memverifikasi Izin pada File shadow Cadangan | sedang | lulus |
| 6.1.6 | Memverifikasi Pengguna yang Memiliki File shadow Cadangan | sedang | lulus |
| 6.1.7 | Memverifikasi Grup yang Memiliki File gshadow | sedang | lulus |
| 6.1.7 | Memverifikasi Izin pada File gshadow | sedang | lulus |
| 6.1.7 | Memverifikasi Pengguna yang Memiliki File gshadow | sedang | lulus |
| 6.1.8 | Memverifikasi Grup yang Memiliki File gshadow Cadangan | sedang | lulus |
| 6.1.8 | Memverifikasi Izin pada File gshadow Cadangan | sedang | lulus |
| 6.1.8 | Memverifikasi Pengguna yang Memiliki File gshadow Cadangan | sedang | lulus |
| 6.1.10 | Memastikan Semua File Dimiliki oleh Pengguna | sedang | lulus |
| 6.2.1 | Memverifikasi bahwa Semua Hash Sandi Akun di-Shadow | sedang | lulus |
| 6.2.2 | Pastikan Tidak Ada Akun dengan Sandi Kosong atau Null | tinggi | lulus |
| 6.2.3 | Semua GID yang dirujuk di /etc/passwd harus ditentukan di /etc/group | rendah | lulus |
| 6.2.4 | Pastikan grup bayangan kosong | sedang | lulus |
| 6.2.5 | Memastikan Semua Akun di Sistem Memiliki ID Pengguna yang Unik | sedang | lulus |
| 6.2.6 | Memastikan Semua Grup di Sistem Memiliki ID Grup yang Unik | sedang | lulus |
| 6.2.7 | Memastikan Semua Akun di Sistem Memiliki Nama yang Unik | sedang | lulus |
| 6.2.8 | Memastikan Semua Grup di Sistem Memiliki Nama Grup yang Unik | sedang | lulus |
| 6.2.9 | Pastikan Jalur Root Tidak Menyertakan Jalur Relatif atau Direktori Null | tidak diketahui | lulus |
| 6.2.9 | Pastikan Jalur Root Tidak Menyertakan Direktori yang Dapat Ditulis oleh Dunia atau Grup | sedang | lulus |
| 6.2.10 | Memverifikasi Hanya Root yang Memiliki UID 0 | tinggi | lulus |
| 6.2.11 | Semua Direktori Utama Pengguna Interaktif Harus Ada | sedang | lulus |
| 6.2.12 | Semua Direktori Beranda Pengguna Interaktif Harus Dimiliki Grup Oleh Grup Utama | sedang | lulus |
| 6.2.12 | Semua Direktori Utama Pengguna Interaktif Harus Dimiliki Oleh Pengguna Utama | sedang | lulus |
| 6.2.13 | Semua Direktori Beranda Pengguna Interaktif Harus Memiliki mode 0750 Atau Lebih Permisif | sedang | lulus |
| 6.2.14 | Memverifikasi Tidak Ada File netrc | sedang | lulus |
| 6.2.15 | Verifikasi Tidak Ada File .forward | sedang | lulus |
| 6.2.16 | Menghapus File Kepercayaan Rsh | tinggi | lulus |
| 6.2.17 | File Inisialisasi Pengguna Harus Dimiliki Grup Oleh Grup Utama | sedang | lulus |
| 6.2.17 | File Inisialisasi Pengguna Harus Dimiliki oleh Pengguna Utama | sedang | lulus |
| 6.2.17 | File Inisialisasi Pengguna Tidak Boleh Menjalankan Program yang Dapat Ditulis oleh Semua Pengguna | sedang | lulus |
Rekomendasi yang tidak berlaku
Tabel berikut mencantumkan rekomendasi yang tidak berlaku untuk Google Distributed Cloud.
| # | Rekomendasi | Keparahan | Status |
|---|---|---|---|
| 1.1.2.2 | Tambahkan Opsi nodev ke /tmp | sedang | tidak berlaku |
| 1.1.2.3 | Menambahkan Opsi noexec ke /tmp | sedang | tidak berlaku |
| 1.1.2.4 | Menambahkan Opsi nosuid ke /tmp | sedang | tidak berlaku |
| 1.1.3.2 | Menambahkan Opsi nodev ke /var | sedang | tidak berlaku |
| 1.1.3.3 | Menambahkan Opsi nosuid ke /var | sedang | tidak berlaku |
| 1.1.4.2 | Menambahkan Opsi noexec ke /var/tmp | sedang | tidak berlaku |
| 1.1.4.3 | Menambahkan Opsi nosuid ke /var/tmp | sedang | tidak berlaku |
| 1.1.4.4 | Menambahkan Opsi nodev ke /var/tmp | sedang | tidak berlaku |
| 1.1.5.2 | Menambahkan Opsi nodev ke /var/log | sedang | tidak berlaku |
| 1.1.5.3 | Menambahkan Opsi noexec ke /var/log | sedang | tidak berlaku |
| 1.1.5.4 | Menambahkan Opsi nosuid ke /var/log | sedang | tidak berlaku |
| 1.1.6.2 | Menambahkan Opsi noexec ke /var/log/audit | sedang | tidak berlaku |
| 1.1.6.3 | Menambahkan opsi nodev ke /var/log/audit | sedang | tidak berlaku |
| 1.1.6.4 | Menambahkan Opsi nosuid ke /var/log/audit | sedang | tidak berlaku |
| 1.1.7.2 | Menambahkan opsi nodev ke /home | tidak diketahui | tidak berlaku |
| 1.1.7.3 | Menambahkan Opsi nosuid ke /home | sedang | tidak berlaku |
| 1.4.1 | Menyetel Sandi Pemuat Boot UEFI | tinggi | tidak berlaku |
| 1.8.1 | Hapus Grup Paket GDM | sedang | tidak berlaku |
| 1.8.4 | Mengaktifkan Kunci Screensaver GNOME3 Setelah Periode Tidak Ada Aktivitas | sedang | tidak berlaku |
| 1.8.5 | Menetapkan Penundaan Kunci Screensaver GNOME3 Setelah Periode Aktivasi | sedang | tidak berlaku |
| 1.8.6 | Menonaktifkan Pembukaan Pemasangan Otomatis GNOME3 | sedang | tidak berlaku |
| 1.8.6 | Menonaktifkan Pemasangan Otomatis GNOME3 | sedang | tidak berlaku |
| 1.8.8 | Menonaktifkan GNOME3 Automount yang sedang berjalan | rendah | tidak berlaku |
| 1.8.10 | Menonaktifkan XDMCP di GDM | tinggi | tidak berlaku |
| 1.10 | Mengonfigurasi Profil Pengguna DConf GNOME3 | tinggi | tidak berlaku |
| 2.1.4.1 | Mengonfigurasi batasan server untuk ntpd | sedang | tidak berlaku |
| 2.1.4.3 | Mengonfigurasi ntpd Agar Berjalan Sebagai Pengguna ntp | sedang | tidak berlaku |
| 2.1.4.4 | Mengaktifkan Daemon NTP | tinggi | tidak berlaku |
| 2.2.15 | Menonaktifkan Pendengar Jaringan Postfix | sedang | tidak berlaku |
| 3.5.1.3 | Memverifikasi ufw Diaktifkan | sedang | tidak berlaku |
| 3.5.1.4 | Menetapkan Traffic Loopback UFW | sedang | tidak berlaku |
| 3.5.1.6 | Memastikan Aturan Firewall ufw Ada untuk Semua Port Terbuka | sedang | tidak berlaku |
| 3.5.1.7 | Memastikan Kebijakan Firewall Default Deny ufw | sedang | tidak berlaku |
| 3.5.3.2.1 | Menetapkan Kebijakan iptables Default untuk Paket Masuk | sedang | tidak berlaku |
| 3.5.3.2.2 | Menetapkan konfigurasi untuk traffic loopback | sedang | tidak berlaku |
| 3.5.3.2.4 | Pastikan Aturan Firewall iptables Ada untuk Semua Port Terbuka | sedang | tidak berlaku |
| 3.5.3.3.1 | Menetapkan Kebijakan ip6tables Default untuk Paket Masuk | sedang | tidak berlaku |
| 3.5.3.3.4 | Memastikan Aturan Firewall ip6tables Ada untuk Semua Port Terbuka | sedang | tidak berlaku |
1,30
Versi
Bagian ini merujuk pada versi berikut:
| Versi Google Distributed Cloud | Versi Ubuntu | Versi Tolok Ukur CIS Ubuntu | Tingkat CIS |
|---|---|---|---|
| 1,30 | 22.04 LTS | v1.0.0 | Server Level 2 |
Rekomendasi gagal
Tabel berikut mencantumkan rekomendasi yang membuat Google Distributed Cloud menyimpang dari rekomendasi tolok ukur. Temuan ini berlaku untuk node cluster dan workstation admin.
| # | Rekomendasi | Keparahan | Status |
|---|---|---|---|
| 1.1.2.1 | Memastikan /tmp Berada di Partisi Terpisah | rendah | gagal |
| 1.1.3.1 | Pastikan /var Berada di Partisi Terpisah | rendah | gagal |
| 1.1.4.1 | Pastikan /var/tmp Berada di Partisi Terpisah | sedang | gagal |
| 1.1.5.1 | Pastikan /var/log Berada di Partisi Terpisah | rendah | gagal |
| 1.1.6.1 | Memastikan /var/log/audit Berada di Partisi Terpisah | rendah | gagal |
| 1.1.7.1 | Memastikan /home Berada di Partisi Terpisah | rendah | gagal |
| 1.4.1 | Menetapkan Sandi Boot Loader di grub2 | tinggi | gagal |
| 1.4.3 | Memastikan Autentikasi Diperlukan untuk Mode Pengguna Tunggal | sedang | gagal |
| 2.3.6 | Meng-uninstal Paket rpcbind | rendah | gagal |
| 3.2.2 | Menonaktifkan Parameter Kernel untuk Penerusan IP di Antarmuka IPv4 | sedang | gagal |
| 3.3.7 | Mengaktifkan Parameter Kernel untuk Menggunakan Pemfilteran Jalur Balik di semua Antarmuka IPv4 secara Default | sedang | gagal |
| 3.3.7 | Mengaktifkan Parameter Kernel untuk Menggunakan Pemfilteran Jalur Balik di semua Antarmuka IPv4 | sedang | gagal |
| 3.5.2.8 | Memastikan kebijakan firewall penolakan default nftables | sedang | gagal |
| 3.5.2.10 | Memastikan aturan nftables bersifat permanen | sedang | gagal |
| 4.2.3 | Memverifikasi izin file log | sedang | gagal |
| 5.2.4 | Membatasi Akses SSH Pengguna | tidak diketahui | gagal |
| 5.3.4 | Memastikan Pengguna Melakukan Autentikasi Ulang untuk Eskalasi Hak Istimewa - sudo | sedang | gagal |
| 5.5.1.2 | Menetapkan Masa Aktif Maksimum Sandi | sedang | gagal |
Rekomendasi yang disetujui
Tabel berikut mencantumkan rekomendasi yang dipatuhi Google Distributed Cloud sesuai dengan rekomendasi tolok ukur.
| # | Rekomendasi | Keparahan | Status |
|---|---|---|---|
| 1.1.1.1 | Menonaktifkan Pemasangan cramfs | rendah | lulus |
| 1.1.1.2 | Menonaktifkan Pemasangan squashfs | rendah | lulus |
| 1.1.1.3 | Menonaktifkan Pemasangan udf | rendah | lulus |
| 1.1.8.1 | Menambahkan Opsi nodev ke /dev/shm | sedang | lulus |
| 1.1.8.2 | Menambahkan Opsi noexec ke /dev/shm | sedang | lulus |
| 1.1.8.3 | Menambahkan Opsi nosuid ke /dev/shm | sedang | lulus |
| 1.1.9 | Nonaktifkan Automounter | sedang | lulus |
| 1.1.10 | Menonaktifkan Pemuatan Modprobe Driver Penyimpanan USB | sedang | lulus |
| 1.4.2 | Verifikasi Izin /boot/grub/grub.cfg | sedang | lulus |
| 1.5.1 | Mengaktifkan Tata Letak Acak Ruang Alamat Virtual | sedang | lulus |
| 1.5.2 | Paket "prelink" Tidak Boleh Diinstal | sedang | lulus |
| 1.5.3 | Menonaktifkan Layanan Apport | tidak diketahui | lulus |
| 1.5.4 | Menonaktifkan Dump Inti untuk Semua Pengguna | sedang | lulus |
| 1.5.4 | Menonaktifkan Dump Inti untuk program SUID | sedang | lulus |
| 1.6.1.1 | Pastikan AppArmor telah diinstal | sedang | lulus |
| 1.6.1.2 | Pastikan AppArmor diaktifkan dalam konfigurasi bootloader | sedang | lulus |
| 1.6.1.4 | Menerapkan semua Profil AppArmor | sedang | lulus |
| 1.7.1 | Mengubah Banner Pesan Sistem Harian | sedang | lulus |
| 1.7.2 | Mengubah Banner Login Sistem | sedang | lulus |
| 1.7.3 | Mengubah Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 1.7.4 | Memverifikasi Kepemilikan Grup Banner Pesan Hari Ini | sedang | lulus |
| 1.7.4 | Memverifikasi kepemilikan Banner Pesan Harian | sedang | lulus |
| 1.7.4 | Memverifikasi izin pada Banner Pesan Harian | sedang | lulus |
| 1.7.5 | Memverifikasi Kepemilikan Grup Banner Login Sistem | sedang | lulus |
| 1.7.5 | Memverifikasi kepemilikan Banner Login Sistem | sedang | lulus |
| 1.7.5 | Memverifikasi izin pada Banner Login Sistem | sedang | lulus |
| 1.7.6 | Memverifikasi Kepemilikan Grup Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 1.7.6 | Memverifikasi kepemilikan Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 1.7.6 | Memverifikasi izin pada Banner Login Sistem untuk Koneksi Jarak Jauh | sedang | lulus |
| 2.1.1.1 | Menginstal Layanan systemd_timesyncd | tinggi | lulus |
| 2.1.3.2 | Aktifkan Layanan systemd_timesyncd | tinggi | lulus |
| 2.2.1 | Hapus X Windows Package Group | sedang | lulus |
| 2.2.2 | Menonaktifkan Software Server Avahi | sedang | lulus |
| 2.2.2 | Uninstal Paket Server avahi | sedang | lulus |
| 2.2.3 | Menonaktifkan Layanan CUPS | tidak diketahui | lulus |
| 2.2.3 | Meng-uninstal Paket CUPS | tidak diketahui | lulus |
| 2.2.4 | Meng-uninstal Paket Server DHCP | sedang | lulus |
| 2.2.5 | Meng-uninstal Paket openldap-servers | rendah | lulus |
| 2.2.6 | Meng-uninstal Paket nfs-kernel-server | rendah | lulus |
| 2.2.7 | Uninstal paket pengikatan | rendah | lulus |
| 2.2.8 | Meng-uninstal Paket vsftpd | tinggi | lulus |
| 2.2.9 | Uninstal Paket httpd | tidak diketahui | lulus |
| 2.2.9 | Uninstal Paket nginx | tidak diketahui | lulus |
| 2.2.10 | Uninstal Paket cyrus-imapd | tidak diketahui | lulus |
| 2.2.10 | Meng-uninstal Paket dovecot | tidak diketahui | lulus |
| 2.2.11 | Meng-uninstal Paket Samba | tidak diketahui | lulus |
| 2.2.12 | Meng-uninstal Paket squid | tidak diketahui | lulus |
| 2.2.13 | Meng-uninstal Paket net-snmp | tidak diketahui | lulus |
| 2.2.14 | Uninstal paket nis | rendah | lulus |
| 2.2.15 | Pastikan Mail Transfer Agent tidak Mendengarkan Alamat non-loopback | sedang | lulus |
| 2.2.16 | Meng-uninstal Paket rsync | sedang | lulus |
| 2.3.2 | Meng-uninstal Paket rsh | tidak diketahui | lulus |
| 2.3.3 | Meng-uninstal Paket bicara | sedang | lulus |
| 2.3.4 | Menghapus Klien telnet | rendah | lulus |
| 2.3.5 | Pastikan klien LDAP tidak diinstal | rendah | lulus |
| 3.1.2 | Menonaktifkan Antarmuka Jaringan Nirkabel | sedang | lulus |
| 3.2.1 | Menonaktifkan Parameter Kernel untuk Mengirim Pengalihan ICMP di semua Antarmuka IPv4 secara Default | sedang | lulus |
| 3.2.1 | Menonaktifkan Parameter Kernel untuk Mengirim Pengalihan ICMP di semua Antarmuka IPv4 | sedang | lulus |
| 3.2.2 | Menonaktifkan Parameter Kernel untuk Penerusan IPv6 | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Diarahkan Sumber di semua Antarmuka IPv4 | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Dirutekan Sumber di semua Antarmuka IPv6 | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Di-routing Sumber di Antarmuka IPv4 secara Default | sedang | lulus |
| 3.3.1 | Menonaktifkan Parameter Kernel untuk Menerima Paket yang Dirutekan Sumber di Antarmuka IPv6 secara Default | sedang | lulus |
| 3.3.2 | Menonaktifkan Penerimaan Pengalihan ICMP untuk Semua Antarmuka IPv4 | sedang | lulus |
| 3.3.2 | Menonaktifkan Penerimaan Pengalihan ICMP untuk Semua Antarmuka IPv6 | sedang | lulus |
| 3.3.2 | Menonaktifkan Parameter Kernel untuk Menerima Pengalihan ICMP secara Default di Antarmuka IPv4 | sedang | lulus |
| 3.3.2 | Menonaktifkan Parameter Kernel untuk Menerima Pengalihan ICMP secara Default di Antarmuka IPv6 | sedang | lulus |
| 3.3.3 | Mengonfigurasi Parameter Kernel untuk Menerima Pengalihan Aman Secara Default | sedang | lulus |
| 3.3.3 | Menonaktifkan Parameter Kernel untuk Menerima Pengalihan ICMP Aman di semua Antarmuka IPv4 | sedang | lulus |
| 3.3.4 | Mengaktifkan Parameter Kernel untuk Mencatat Paket Martian di semua Antarmuka IPv4 | tidak diketahui | lulus |
| 3.3.4 | Mengaktifkan Parameter Kernel untuk Mencatat Paket Martian di semua Antarmuka IPv4 secara Default | tidak diketahui | lulus |
| 3.3.5 | Mengaktifkan Parameter Kernel untuk Mengabaikan Permintaan Echo Siaran ICMP di Antarmuka IPv4 | sedang | lulus |
| 3.3.6 | Mengaktifkan Parameter Kernel untuk Mengabaikan Respons Error ICMP Palsu pada Antarmuka IPv4 | tidak diketahui | lulus |
| 3.3.8 | Mengaktifkan Parameter Kernel untuk Menggunakan TCP Syncookies di Antarmuka Jaringan | sedang | lulus |
| 3.3.9 | Mengonfigurasi Penerimaan Iklan Router di Semua Antarmuka IPv6 | sedang | lulus |
| 3.3.9 | Menonaktifkan Penerimaan Iklan Router di semua Antarmuka IPv6 secara Default | sedang | lulus |
| 3.4.1 | Menonaktifkan Dukungan DCCP | sedang | lulus |
| 3.4.2 | Menonaktifkan Dukungan SCTP | sedang | lulus |
| 3.4.3 | Menonaktifkan Dukungan RDS | rendah | lulus |
| 3.4.4 | Menonaktifkan Dukungan TIPC | rendah | lulus |
| 3.5.1.2 | Menghapus Paket iptables-persistent | sedang | lulus |
| 3.5.2.1 | Instal Paket nftables | sedang | lulus |
| 3.5.2.4 | Memastikan Tabel Ada untuk Nftables | sedang | lulus |
| 3.5.2.5 | Memastikan Rantai Dasar Ada untuk Nftables | sedang | lulus |
| 3.5.2.9 | Memastikan Layanan nftables Diaktifkan | sedang | lulus |
| 3.5.3.1.1 | Instal Paket iptables | sedang | lulus |
| 3.5.3.1.3 | Menghapus Paket ufw | sedang | lulus |
| 4.1.1.1 | Memastikan Subsystem Audit Telah Diinstal | sedang | lulus |
| 4.1.1.2 | Aktifkan Layanan auditd | sedang | lulus |
| 4.1.1.4 | Memperluas Batas Backlog Audit untuk Daemon Audit | rendah | lulus |
| 4.1.2.1 | Mengonfigurasi Ukuran File Log Maksimum auditd | sedang | lulus |
| 4.1.2.2 | Mengonfigurasi max_log_file_action auditd Saat Mencapai Ukuran Log Maksimum | sedang | lulus |
| 4.1.2.3 | Mengonfigurasi Tindakan admin_space_left auditd pada Ruang Disk Hampir Penuh | sedang | lulus |
| 4.1.2.3 | Mengonfigurasi Tindakan mail_acct auditd saat Ruang Disk Hampir Penuh | sedang | lulus |
| 4.1.2.3 | Mengonfigurasi Tindakan space_left auditd saat Ruang Penyimpanan Disk Hampir Penuh | sedang | lulus |
| 4.1.3.1 | Memastikan auditd Mengumpulkan Tindakan Administrator Sistem | sedang | lulus |
| 4.1.3.2 | Merekam Peristiwa Saat File yang Dapat Dieksekusi dengan Hak Istimewa Dijalankan | sedang | lulus |
| 4.1.3.3 | Mencatat Upaya untuk melakukan aktivitas pemeliharaan | sedang | lulus |
| 4.1.3.4 | Mencatat Upaya Mengubah File localtime | sedang | lulus |
| 4.1.3.4 | Mencatat upaya untuk mengubah waktu melalui adjtimex | sedang | lulus |
| 4.1.3.4 | Upaya Perekaman untuk Mengubah Waktu Melalui clock_settime | sedang | lulus |
| 4.1.3.4 | Mencatat upaya untuk mengubah waktu melalui settimeofday | sedang | lulus |
| 4.1.3.4 | Mencatat Upaya Mengubah Waktu Melalui stime | sedang | lulus |
| 4.1.3.5 | Merekam Peristiwa yang Mengubah Lingkungan Jaringan Sistem | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - su | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - sudo | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - sudoedit | sedang | lulus |
| 4.1.3.6 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - umount | sedang | lulus |
| 4.1.3.6 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - unix_chkpwd | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - creat | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - ftruncate | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - buka | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - openat | sedang | lulus |
| 4.1.3.7 | Mencatat Upaya Akses yang Gagal ke File - dipangkas | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/group | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/gshadow | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/passwd | sedang | lulus |
| 4.1.3.8 | Merekam Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/security/opasswd | sedang | lulus |
| 4.1.3.8 | Mencatat Peristiwa yang Mengubah Informasi Pengguna/Grup - /etc/shadow | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - chmod | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - chown | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchmod | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchmodat | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchown | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fchownat | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fremovexattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - fsetxattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - lchown | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - lremovexattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Discretionary Sistem - lsetxattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Diskresioner Sistem - removexattr | sedang | lulus |
| 4.1.3.9 | Mencatat Peristiwa yang Mengubah Kontrol Akses Discretionary Sistem - setxattr | sedang | lulus |
| 4.1.3.10 | Memastikan auditd Mengumpulkan Informasi tentang Mengekspor ke Media (berhasil) | sedang | lulus |
| 4.1.3.11 | Mencatat Upaya untuk Mengubah Informasi Inisiasi Sesi dan Proses | sedang | lulus |
| 4.1.3.12 | Mencatat Upaya untuk Mengubah Peristiwa Login dan Logout - faillog | sedang | lulus |
| 4.1.3.12 | Mencatat Upaya untuk Mengubah Peristiwa Login dan Logout - lastlog | sedang | lulus |
| 4.1.3.12 | Mencatat Upaya untuk Mengubah Peristiwa Login dan Logout - tallylog | sedang | lulus |
| 4.1.3.13 | Memastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - ganti nama | sedang | lulus |
| 4.1.3.13 | Memastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - renameat | sedang | lulus |
| 4.1.3.13 | Pastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - batalkan tautan | sedang | lulus |
| 4.1.3.13 | Memastikan auditd Mengumpulkan Peristiwa Penghapusan File oleh Pengguna - unlinkat | sedang | lulus |
| 4.1.3.14 | Mencatat Peristiwa yang Mengubah Kontrol Akses Wajib Sistem | sedang | lulus |
| 4.1.3.15 | Mencatat Semua Upaya untuk Menjalankan chcon | sedang | lulus |
| 4.1.3.16 | Mencatat Setiap Upaya untuk Menjalankan setfacl | sedang | lulus |
| 4.1.3.17 | Mencatat Setiap Upaya untuk Menjalankan chacl | sedang | lulus |
| 4.1.3.18 | Memastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - usermod | sedang | lulus |
| 4.1.3.19 | Memastikan auditd Mengumpulkan Informasi tentang Pemuatan Modul Kernel - init_module | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penghapusan Muatan Modul Kernel - delete_module | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - insmod | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - modprobe | sedang | lulus |
| 4.1.3.19 | Pastikan auditd Mengumpulkan Informasi tentang Penggunaan Perintah Istimewa - rmmod | sedang | lulus |
| 4.1.3.20 | Membuat Konfigurasi auditd Tidak Dapat Diubah | sedang | lulus |
| 4.1.4.1 | Log Audit Sistem Harus Memiliki Mode 0640 atau Kurang Permisif | sedang | lulus |
| 4.1.4.2 | Log Audit Sistem Harus Dimiliki oleh Root | sedang | lulus |
| 4.1.4.3 | Log Audit Sistem Harus Dimiliki Grup oleh Root | sedang | lulus |
| 4.1.4.4 | Log Audit Sistem Harus Memiliki Mode 0750 atau Kurang Permisif | sedang | lulus |
| 4.1.4.5 | Verifikasi Izin di /etc/audit/auditd.conf | sedang | lulus |
| 4.1.4.5 | Verifikasi Izin di /etc/audit/rules.d/*.rules | sedang | lulus |
| 4.1.4.6 | File Konfigurasi Audit Harus Dimiliki oleh Root | sedang | lulus |
| 4.1.4.7 | File Konfigurasi Audit Harus Dimiliki oleh Grup root | sedang | lulus |
| 4.1.4.8 | Pastikan alat audit memiliki Mode 0755 atau kurang | sedang | lulus |
| 4.1.4.9 | Pastikan alat audit dimiliki oleh root | sedang | lulus |
| 4.1.4.10 | Pastikan alat audit dimiliki oleh root grup | sedang | lulus |
| 4.2.1.1.1 | Instal Paket systemd-journal-remote | sedang | lulus |
| 4.2.1.1.4 | Menonaktifkan Socket systemd-journal-remote | sedang | lulus |
| 4.2.1.2 | Aktifkan Layanan systemd-journald | sedang | lulus |
| 4.2.1.3 | Pastikan journald dikonfigurasi untuk mengompresi file log berukuran besar | sedang | lulus |
| 4.2.1.4 | Pastikan journald dikonfigurasi untuk menulis file log ke persistent disk | sedang | lulus |
| 4.2.2.1 | Pastikan rsyslog Terinstal | sedang | lulus |
| 4.2.2.2 | Mengaktifkan Layanan rsyslog | sedang | lulus |
| 4.2.2.4 | Memastikan Izin File Default rsyslog Dikonfigurasi | sedang | lulus |
| 4.2.2.7 | Pastikan rsyslog Tidak Menerima Pesan Jarak Jauh Kecuali Bertindak Sebagai Server Log | sedang | lulus |
| 5.1.1 | Mengaktifkan Layanan cron | sedang | lulus |
| 5.1.2 | Memverifikasi Grup yang Memiliki Crontab | sedang | lulus |
| 5.1.2 | Verifikasi Pemilik di crontab | sedang | lulus |
| 5.1.2 | Memverifikasi Izin di crontab | sedang | lulus |
| 5.1.3 | Memverifikasi Grup yang Memiliki cron.hourly | sedang | lulus |
| 5.1.3 | Verifikasi Pemilik di cron.hourly | sedang | lulus |
| 5.1.3 | Memverifikasi Izin di cron.hourly | sedang | lulus |
| 5.1.4 | Verifikasi Grup yang Memiliki cron.daily | sedang | lulus |
| 5.1.4 | Verifikasi Pemilik di cron.daily | sedang | lulus |
| 5.1.4 | Memverifikasi Izin di cron.daily | sedang | lulus |
| 5.1.5 | Verifikasi Grup yang Memiliki cron.weekly | sedang | lulus |
| 5.1.5 | Verifikasi Pemilik di cron.weekly | sedang | lulus |
| 5.1.5 | Verifikasi Izin di cron.weekly | sedang | lulus |
| 5.1.6 | Verifikasi Grup yang Memiliki cron.monthly | sedang | lulus |
| 5.1.6 | Verifikasi Pemilik di cron.monthly | sedang | lulus |
| 5.1.6 | Verifikasi Izin di cron.monthly | sedang | lulus |
| 5.1.7 | Memverifikasi Grup yang Memiliki cron.d | sedang | lulus |
| 5.1.7 | Verifikasi Pemilik di cron.d | sedang | lulus |
| 5.1.7 | Memverifikasi Izin di cron.d | sedang | lulus |
| 5.1.8 | Pastikan /etc/cron.deny tidak ada | sedang | lulus |
| 5.1.8 | Verifikasi Grup yang Memiliki file /etc/cron.allow | sedang | lulus |
| 5.1.8 | Verifikasi Izin pada file /etc/cron.allow | sedang | lulus |
| 5.1.8 | Verifikasi Pengguna yang Memiliki file /etc/cron.allow | sedang | lulus |
| 5.1.9 | Pastikan /etc/at.deny tidak ada | sedang | lulus |
| 5.1.9 | Verifikasi Grup yang Memiliki file /etc/at.allow | sedang | lulus |
| 5.1.9 | Verifikasi Izin pada file /etc/at.allow | sedang | lulus |
| 5.1.9 | Verifikasi Pengguna yang Memiliki file /etc/at.allow | sedang | lulus |
| 5.2.1 | Memverifikasi Grup yang Memiliki file konfigurasi Server SSH | sedang | lulus |
| 5.2.1 | Memverifikasi Pemilik di file konfigurasi Server SSH | sedang | lulus |
| 5.2.1 | Memverifikasi Izin pada file konfigurasi Server SSH | sedang | lulus |
| 5.2.2 | Memverifikasi Izin pada File Kunci *_key Pribadi Server SSH | sedang | lulus |
| 5.2.3 | Memverifikasi Izin pada File Kunci *.pub Publik Server SSH | sedang | lulus |
| 5.2.5 | Setel LogLevel ke INFO | rendah | lulus |
| 5.2.6 | Mengaktifkan PAM | sedang | lulus |
| 5.2.7 | Menonaktifkan Login Root SSH | sedang | lulus |
| 5.2.8 | Menonaktifkan Autentikasi Berbasis Host | sedang | lulus |
| 5.2.9 | Menonaktifkan Akses SSH melalui Sandi Kosong | tinggi | lulus |
| 5.2.10 | Opsi Lingkungan Jangan Izinkan SSH | sedang | lulus |
| 5.2.11 | Menonaktifkan Dukungan SSH untuk File .rhosts | sedang | lulus |
| 5.2.12 | Menonaktifkan Penerusan X11 | sedang | lulus |
| 5.2.13 | Hanya Menggunakan Cipher Kuat | sedang | lulus |
| 5.2.14 | Hanya Menggunakan MAC Kuat | sedang | lulus |
| 5.2.15 | Hanya Menggunakan algoritma Pertukaran Kunci yang Kuat | sedang | lulus |
| 5.2.16 | Menonaktifkan Penerusan TCP SSH | sedang | lulus |
| 5.2.17 | Mengaktifkan Banner Peringatan SSH | sedang | lulus |
| 5.2.18 | Menetapkan batas upaya autentikasi SSH | sedang | lulus |
| 5.2.19 | Pastikan SSH MaxStartups dikonfigurasi | sedang | lulus |
| 5.2.20 | Menetapkan batas MaxSessions SSH | sedang | lulus |
| 5.2.21 | Pastikan SSH LoginGraceTime dikonfigurasi | sedang | lulus |
| 5.2.22 | Menetapkan SSH Client Alive Count Max | sedang | lulus |
| 5.2.22 | Menetapkan Interval Aktif Klien SSH | sedang | lulus |
| 5.3.1 | Instal Paket sudo | sedang | lulus |
| 5.3.2 | Memastikan Hanya Pengguna yang Login ke tty Nyata yang Dapat Mengeksekusi Sudo - sudo use_pty | sedang | lulus |
| 5.3.3 | Pastikan File Log Sudo Ada - sudo logfile | rendah | lulus |
| 5.3.5 | Pastikan Pengguna Melakukan Autentikasi Ulang untuk Eskalasi Hak Istimewa - sudo !authenticate | sedang | lulus |
| 5.3.6 | Mewajibkan Autentikasi Ulang Saat Menggunakan Perintah sudo | sedang | lulus |
| 5.3.7 | Menerapkan Penggunaan pam_wheel dengan Parameter Grup untuk Autentikasi su | sedang | lulus |
| 5.3.7 | Pastikan Grup yang Digunakan oleh Modul pam_wheel Ada di Sistem dan Kosong | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Permintaan Coba Lagi Autentikasi Diizinkan Per Sesi | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Kategori Berbeda Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Digit Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Panjang Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Huruf Kecil Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Khusus Minimum | sedang | lulus |
| 5.4.1 | Pastikan PAM Menerapkan Persyaratan Sandi - Karakter Huruf Besar Minimum | sedang | lulus |
| 5.4.1 | Instal Paket pam_pwquality | sedang | lulus |
| 5.4.2 | Mengunci Akun Setelah Kesalahan Sandi | sedang | lulus |
| 5.4.2 | Menetapkan Interval Untuk Menghitung Kesalahan Sandi | sedang | lulus |
| 5.4.2 | Menetapkan Waktu Penguncian untuk Upaya Memasukkan Sandi yang Gagal | sedang | lulus |
| 5.4.3 | Membatasi Penggunaan Ulang Sandi | sedang | lulus |
| 5.4.4 | Menetapkan Algoritma Hashing Sandi di /etc/login.defs | sedang | lulus |
| 5.5.1.1 | Menetapkan Usia Minimum Sandi yang Ada | sedang | lulus |
| 5.5.1.1 | Menetapkan Usia Minimum Sandi | sedang | lulus |
| 5.5.1.2 | Menetapkan Usia Maksimum Sandi yang Ada | sedang | lulus |
| 5.5.1.3 | Menetapkan Usia Peringatan Sandi | sedang | lulus |
| 5.5.1.4 | Menetapkan Masa Berlaku Akun Setelah Tidak Aktif | sedang | lulus |
| 5.5.1.5 | Pastikan tanggal perubahan sandi terakhir semua pengguna sudah berlalu | sedang | lulus |
| 5.5.2 | Memastikan Akun Sistem Tidak Menjalankan Shell Saat Login | sedang | lulus |
| 5.5.3 | Memverifikasi Root Memiliki GID Primer 0 | tinggi | lulus |
| 5.5.4 | Memastikan Umask Bash Default Disetel dengan Benar | sedang | lulus |
| 5.5.4 | Memastikan Umask Default Disetel dengan Benar untuk Pengguna Interaktif | sedang | lulus |
| 5.5.4 | Memastikan Umask Default Disetel dengan Benar di /etc/profile | sedang | lulus |
| 5.5.4 | Pastikan Umask Default Disetel dengan Benar di login.defs | sedang | lulus |
| 5.5.5 | Menetapkan Waktu Tunggu Sesi Interaktif | sedang | lulus |
| 6.1.1 | Memverifikasi Grup yang Memiliki File passwd | sedang | lulus |
| 6.1.1 | Memverifikasi Izin pada File passwd | sedang | lulus |
| 6.1.1 | Memverifikasi Pengguna yang Memiliki File passwd | sedang | lulus |
| 6.1.2 | Verifikasi Grup yang Memiliki File passwd Cadangan | sedang | lulus |
| 6.1.2 | Memverifikasi Izin pada File passwd Cadangan | sedang | lulus |
| 6.1.2 | Memverifikasi Pengguna yang Memiliki File passwd Cadangan | sedang | lulus |
| 6.1.3 | Memverifikasi Grup yang Memiliki File grup | sedang | lulus |
| 6.1.3 | Memverifikasi Izin pada File grup | sedang | lulus |
| 6.1.3 | Memverifikasi Pengguna yang Memiliki File grup | sedang | lulus |
| 6.1.4 | Memverifikasi Grup yang Memiliki File grup Cadangan | sedang | lulus |
| 6.1.4 | Memverifikasi Izin pada File grup Cadangan | sedang | lulus |
| 6.1.4 | Memverifikasi Pengguna yang Memiliki File grup Cadangan | sedang | lulus |
| 6.1.5 | Memverifikasi Grup yang Memiliki File shadow | sedang | lulus |
| 6.1.5 | Memverifikasi Izin pada File bayangan | sedang | lulus |
| 6.1.5 | Memverifikasi Pengguna yang Memiliki File shadow | sedang | lulus |
| 6.1.6 | Memverifikasi Grup yang Memiliki File shadow Cadangan | sedang | lulus |
| 6.1.6 | Memverifikasi Izin pada File shadow Cadangan | sedang | lulus |
| 6.1.6 | Memverifikasi Pengguna yang Memiliki File shadow Cadangan | sedang | lulus |
| 6.1.7 | Memverifikasi Grup yang Memiliki File gshadow | sedang | lulus |
| 6.1.7 | Memverifikasi Izin pada File gshadow | sedang | lulus |
| 6.1.7 | Memverifikasi Pengguna yang Memiliki File gshadow | sedang | lulus |
| 6.1.8 | Memverifikasi Grup yang Memiliki File gshadow Cadangan | sedang | lulus |
| 6.1.8 | Memverifikasi Izin pada File gshadow Cadangan | sedang | lulus |
| 6.1.8 | Memverifikasi Pengguna yang Memiliki File gshadow Cadangan | sedang | lulus |
| 6.1.10 | Memastikan Semua File Dimiliki oleh Pengguna | sedang | lulus |
| 6.2.1 | Memverifikasi bahwa Semua Hash Sandi Akun di-Shadow | sedang | lulus |
| 6.2.2 | Pastikan Tidak Ada Akun dengan Sandi Kosong atau Null | tinggi | lulus |
| 6.2.3 | Semua GID yang dirujuk di /etc/passwd harus ditentukan di /etc/group | rendah | lulus |
| 6.2.4 | Pastikan grup bayangan kosong | sedang | lulus |
| 6.2.5 | Memastikan Semua Akun di Sistem Memiliki ID Pengguna yang Unik | sedang | lulus |
| 6.2.6 | Memastikan Semua Grup di Sistem Memiliki ID Grup yang Unik | sedang | lulus |
| 6.2.7 | Memastikan Semua Akun di Sistem Memiliki Nama yang Unik | sedang | lulus |
| 6.2.8 | Memastikan Semua Grup di Sistem Memiliki Nama Grup yang Unik | sedang | lulus |
| 6.2.9 | Pastikan Jalur Root Tidak Menyertakan Jalur Relatif atau Direktori Null | tidak diketahui | lulus |
| 6.2.9 | Pastikan Jalur Root Tidak Menyertakan Direktori yang Dapat Ditulis oleh Dunia atau Grup | sedang | lulus |
| 6.2.10 | Memverifikasi Hanya Root yang Memiliki UID 0 | tinggi | lulus |
| 6.2.11 | Semua Direktori Utama Pengguna Interaktif Harus Ada | sedang | lulus |
| 6.2.12 | Semua Direktori Beranda Pengguna Interaktif Harus Dimiliki Grup Oleh Grup Utama | sedang | lulus |
| 6.2.12 | Semua Direktori Utama Pengguna Interaktif Harus Dimiliki Oleh Pengguna Utama | sedang | lulus |
| 6.2.13 | Semua Direktori Beranda Pengguna Interaktif Harus Memiliki mode 0750 Atau Lebih Permisif | sedang | lulus |
| 6.2.14 | Memverifikasi Tidak Ada File netrc | sedang | lulus |
| 6.2.15 | Verifikasi Tidak Ada File .forward | sedang | lulus |
| 6.2.16 | Menghapus File Kepercayaan Rsh | tinggi | lulus |
| 6.2.17 | File Inisialisasi Pengguna Harus Dimiliki Grup Oleh Grup Utama | sedang | lulus |
| 6.2.17 | File Inisialisasi Pengguna Harus Dimiliki oleh Pengguna Utama | sedang | lulus |
| 6.2.17 | File Inisialisasi Pengguna Tidak Boleh Menjalankan Program yang Dapat Ditulis oleh Semua Pengguna | sedang | lulus |
Rekomendasi yang tidak berlaku
Tabel berikut mencantumkan rekomendasi yang tidak berlaku untuk Google Distributed Cloud.
| # | Rekomendasi | Keparahan | Status |
|---|---|---|---|
| 1.1.2.2 | Tambahkan Opsi nodev ke /tmp | sedang | tidak berlaku |
| 1.1.2.3 | Menambahkan Opsi noexec ke /tmp | sedang | tidak berlaku |
| 1.1.2.4 | Menambahkan Opsi nosuid ke /tmp | sedang | tidak berlaku |
| 1.1.3.2 | Menambahkan Opsi nodev ke /var | sedang | tidak berlaku |
| 1.1.3.3 | Menambahkan Opsi nosuid ke /var | sedang | tidak berlaku |
| 1.1.4.2 | Menambahkan Opsi noexec ke /var/tmp | sedang | tidak berlaku |
| 1.1.4.3 | Menambahkan Opsi nosuid ke /var/tmp | sedang | tidak berlaku |
| 1.1.4.4 | Menambahkan Opsi nodev ke /var/tmp | sedang | tidak berlaku |
| 1.1.5.2 | Menambahkan Opsi nodev ke /var/log | sedang | tidak berlaku |
| 1.1.5.3 | Menambahkan Opsi noexec ke /var/log | sedang | tidak berlaku |
| 1.1.5.4 | Menambahkan Opsi nosuid ke /var/log | sedang | tidak berlaku |
| 1.1.6.2 | Menambahkan Opsi noexec ke /var/log/audit | sedang | tidak berlaku |
| 1.1.6.3 | Menambahkan opsi nodev ke /var/log/audit | sedang | tidak berlaku |
| 1.1.6.4 | Menambahkan Opsi nosuid ke /var/log/audit | sedang | tidak berlaku |
| 1.1.7.2 | Menambahkan opsi nodev ke /home | tidak diketahui | tidak berlaku |
| 1.1.7.3 | Menambahkan Opsi nosuid ke /home | sedang | tidak berlaku |
| 1.4.1 | Menyetel Sandi Pemuat Boot UEFI | tinggi | tidak berlaku |
| 1.8.1 | Hapus Grup Paket GDM | sedang | tidak berlaku |
| 1.8.4 | Mengaktifkan Kunci Screensaver GNOME3 Setelah Periode Tidak Ada Aktivitas | sedang | tidak berlaku |
| 1.8.5 | Menetapkan Penundaan Kunci Screensaver GNOME3 Setelah Periode Aktivasi | sedang | tidak berlaku |
| 1.8.6 | Menonaktifkan Pembukaan Pemasangan Otomatis GNOME3 | sedang | tidak berlaku |
| 1.8.6 | Menonaktifkan Pemasangan Otomatis GNOME3 | sedang | tidak berlaku |
| 1.8.8 | Menonaktifkan GNOME3 Automount yang sedang berjalan | rendah | tidak berlaku |
| 1.8.10 | Menonaktifkan XDMCP di GDM | tinggi | tidak berlaku |
| 1.10 | Mengonfigurasi Profil Pengguna DConf GNOME3 | tinggi | tidak berlaku |
| 2.1.4.1 | Mengonfigurasi batasan server untuk ntpd | sedang | tidak berlaku |
| 2.1.4.3 | Mengonfigurasi ntpd Agar Berjalan Sebagai Pengguna ntp | sedang | tidak berlaku |
| 2.1.4.4 | Mengaktifkan Daemon NTP | tinggi | tidak berlaku |
| 2.2.15 | Menonaktifkan Pendengar Jaringan Postfix | sedang | tidak berlaku |
| 3.5.1.3 | Memverifikasi ufw Diaktifkan | sedang | tidak berlaku |
| 3.5.1.4 | Menetapkan Traffic Loopback UFW | sedang | tidak berlaku |
| 3.5.1.6 | Memastikan Aturan Firewall ufw Ada untuk Semua Port Terbuka | sedang | tidak berlaku |
| 3.5.1.7 | Memastikan Kebijakan Firewall Default Deny ufw | sedang | tidak berlaku |
| 3.5.3.2.1 | Menetapkan Kebijakan iptables Default untuk Paket Masuk | sedang | tidak berlaku |
| 3.5.3.2.2 | Menetapkan konfigurasi untuk traffic loopback | sedang | tidak berlaku |
| 3.5.3.2.4 | Pastikan Aturan Firewall iptables Ada untuk Semua Port Terbuka | sedang | tidak berlaku |
| 3.5.3.3.1 | Menetapkan Kebijakan ip6tables Default untuk Paket Masuk | sedang | tidak berlaku |
| 3.5.3.3.4 | Memastikan Aturan Firewall ip6tables Ada untuk Semua Port Terbuka | sedang | tidak berlaku |
Mengonfigurasi cron job AIDE
AIDE adalah alat pemeriksaan integritas file yang memverifikasi kepatuhan terhadap tolok ukur Server CIS L1 1.4 Filesystem Integrity Checking. Di Google Distributed Cloud, proses AIDE telah menyebabkan masalah penggunaan resource yang tinggi.
Proses AIDE pada node dinonaktifkan secara default untuk mencegah masalah resource. Hal ini akan memengaruhi kepatuhan terhadap tolok ukur Server L1 CIS 1.4.2: Ensure
filesystem integrity is regularly checked.
Jika Anda ingin ikut serta untuk menjalankan tugas cron AIDE, selesaikan langkah-langkah berikut untuk mengaktifkan kembali AIDE:
Buat DaemonSet.
Berikut adalah manifes untuk DaemonSet:
apiVersion: apps/v1 kind: DaemonSet metadata: name: enable-aide-pool1 spec: selector: matchLabels: app: enable-aide-pool1 template: metadata: labels: app: enable-aide-pool1 spec: hostIPC: true hostPID: true nodeSelector: cloud.google.com/gke-nodepool: pool-1 containers: - name: update-audit-rule image: ubuntu command: ["chroot", "/host", "bash", "-c"] args: - | set -x while true; do # change daily cronjob schedule minute=30;hour=5 sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab # enable aide chmod 755 /etc/cron.daily/aide sleep 3600 done volumeMounts: - name: host mountPath: /host securityContext: privileged: true volumes: - name: host hostPath: path: /Dalam manifes sebelumnya:
Cron job AIDE hanya akan berjalan di node pool
pool-1seperti yang ditentukan oleh nodeSelectorcloud.google.com/gke-nodepool: pool-1. Anda dapat mengonfigurasi proses AIDE agar berjalan di sebanyak mungkin node pool yang Anda inginkan dengan menentukan pool di kolomnodeSelector. Untuk menjalankan jadwal cron job yang sama di berbagai node pool, hapus kolomnodeSelector. Namun, untuk menghindari kemacetan resource host, sebaiknya Anda mempertahankan jadwal terpisah.Cron job dijadwalkan untuk berjalan setiap hari pada pukul 05.30 seperti yang ditentukan oleh konfigurasi
minute=30;hour=5. Anda dapat mengonfigurasi jadwal yang berbeda untuk tugas cron AIDE sesuai kebutuhan.
Salin manifes ke file bernama
enable-aide.yaml, lalu buat DaemonSet:kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
dengan USER_CLUSTER_KUBECONFIG adalah jalur file kubeconfig untuk cluster pengguna Anda.
Menggunakan evaluasi Security Content Automation Protocol (SCAP)
Sebaiknya Anda memindai penginstalan sendiri untuk mengevaluasi kepatuhan Level 2-nya terhadap tolok ukur CIS Ubuntu Linux. Ada berbagai alat yang tersedia untuk memindai cluster dan workstation admin Anda. Anda dapat menggunakan langkah-langkah berikut untuk menginstal dan menjalankan toolset open source OpenSCAP guna melakukan penilaian keamanan Level 2:
Salin skrip berikut ke file bernama
cis-benchmark.sh:#!/bin/bash set -x REPORTS_DIR="$1" mkdir -p "${REPORTS_DIR}" echo "Start CIS L2 benchmark evaluation..." apt update apt install libopenscap8 sudo oscap xccdf eval \ --profile cis_level2_server_customized \ --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \ --results "${REPORTS_DIR}"/cis-results.xml \ --report "${REPORTS_DIR}"/cis-report.html \ --verbose INFO \ --verbose-log-file "${REPORTS_DIR}/cis-output-verbose.log" \ /etc/cloud/usg/ssg-ubuntu2204-ds-1.2.xml > "${REPORTS_DIR}"/cis-output.log 2>&1 chmod -R 755 "${REPORTS_DIR}/.." echo "Done CIS L2 benchmark evaluation"Setel agar skrip dapat dieksekusi:
chmod +x cis-benchmark.shJalankan skrip:
./cis-benchmark.sh REPORTS_DIRGanti
REPORTS_DIRdengan jalur direktori yang ada tempat Anda ingin menyimpan laporan evaluasi yang dihasilkan.Setelah skrip berhasil diselesaikan, direktori
REPORTS_DIRakan berisi filecis-report.htmlyang dihasilkan.