Questo documento descrive il livello di conformità di Google Distributed Cloud al benchmark CIS Ubuntu.
Accedere al benchmark
Il benchmark CIS Ubuntu è disponibile sul sito web del CIS.
Profilo di configurazione
Nel documento CIS Ubuntu Benchmark puoi leggere informazioni sui profili di configurazione. Le immagini Ubuntu utilizzate da Google Distributed Cloud sono protette per soddisfare il profilo del server di livello 2.
Valutazione su Google Distributed Cloud
Utilizziamo i seguenti valori per specificare lo stato dei consigli di Ubuntu in Google Distributed Cloud.
| Stato | Descrizione |
|---|---|
| superata | Rispetta un consiglio di benchmark. |
| non superata | Si discosta da un consiglio di benchmark. |
| nonapplicabile | Non è pertinente per i test sul sistema in fase di valutazione. |
Stato di Google Distributed Cloud
Le immagini Ubuntu utilizzate con Google Distributed Cloud sono sottoposte a stress test per soddisfare il profilo CIS
livello 2 - Server. La seguente tabella fornisce le motivazioni per cui i componenti di Google Distributed Cloud non hanno superato determinati consigli.
I benchmark con stato Passed non sono inclusi nella tabella seguente.
1.32
Versioni
Questa sezione si riferisce alle seguenti versioni:
| Versione di Google Distributed Cloud | Versione di Ubuntu | Versione del benchmark CIS Ubuntu | Livello CIS |
|---|---|---|---|
| 1.32 | 22.04 LTS | v1.0.0 | Server di livello 2 |
Consigli non riusciti
La seguente tabella elenca i suggerimenti per i quali Google Distributed Cloud si discosta dai suggerimenti del benchmark. Questi risultati si applicano ai nodi cluster e alla workstation di amministrazione.
| # | Consiglio | Gravità | Stato |
|---|---|---|---|
| 1.1.2.1 | Assicurati che /tmp si trovi su una partizione separata | basso | non superata |
| 1.1.3.1 | Assicurati che /var si trovi su una partizione separata | basso | non superata |
| 1.1.4.1 | Assicurati che /var/tmp si trovi su una partizione separata | media | non superata |
| 1.1.5.1 | Assicurati che /var/log si trovi su una partizione separata | basso | non superata |
| 1.1.6.1 | Assicurati che /var/log/audit si trovi su una partizione separata | basso | non superata |
| 1.1.7.1 | Assicurati che /home si trovi su una partizione separata | basso | non superata |
| 1.4.1 | Impostare la password del bootloader in grub2 | high | non superata |
| 1.4.3 | Assicurarsi che l'autenticazione sia richiesta per la modalità utente singolo | media | non superata |
| 2.3.6 | Disinstalla il pacchetto rpcbind | basso | non superata |
| 3.2.2 | Disabilita il parametro del kernel per l'IP forwarding sulle interfacce IPv4 | media | non superata |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 per impostazione predefinita | media | non superata |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 | media | non superata |
| 3.5.2.8 | Assicurati che il criterio firewall di rifiuto predefinito di nftables | media | non superata |
| 3.5.2.10 | Assicurarsi che le regole nftables siano permanenti | media | non superata |
| 4.2.3 | Verifica le autorizzazioni dei file di log | media | non superata |
| 5.2.4 | Limitare l'accesso SSH degli utenti | sconosciuto | non superata |
| 5.3.4 | Assicurati che gli utenti eseguano nuovamente l'autenticazione per l'escalation dei privilegi - sudo | media | non superata |
| 5.5.1.2 | Imposta età massima password | media | non superata |
Suggerimenti superati
La tabella seguente elenca i suggerimenti per i quali Google Distributed Cloud è conforme ai suggerimenti del benchmark.
| # | Consiglio | Gravità | Stato |
|---|---|---|---|
| 1.1.1.1 | Disattiva il montaggio di cramfs | basso | superata |
| 1.1.1.2 | Disattiva il montaggio di squashfs | basso | superata |
| 1.1.1.3 | Disabilita il montaggio di udf | basso | superata |
| 1.1.8.1 | Aggiungi l'opzione nodev a /dev/shm | media | superata |
| 1.1.8.2 | Aggiungere l'opzione noexec a /dev/shm | media | superata |
| 1.1.8.3 | Aggiungere l'opzione nosuid a /dev/shm | media | superata |
| 1.1.9 | Disattiva Automounter | media | superata |
| 1.1.10 | Disattiva il caricamento di Modprobe del driver di archiviazione USB | media | superata |
| 1.4.2 | Verifica le autorizzazioni di /boot/grub/grub.cfg | media | superata |
| 1.5.1 | Attiva il layout casuale dello spazio degli indirizzi virtuali | media | superata |
| 1.5.2 | Il pacchetto "prelink" non deve essere installato | media | superata |
| 1.5.3 | Disattiva il servizio Apport | sconosciuto | superata |
| 1.5.4 | Disattivare i dump principali per tutti gli utenti | media | superata |
| 1.5.4 | Disattivare i dump principali per i programmi SUID | media | superata |
| 1.6.1.1 | Assicurati che AppArmor sia installato | media | superata |
| 1.6.1.2 | Assicurati che AppArmor sia abilitato nella configurazione del bootloader | media | superata |
| 1.6.1.4 | Imponi tutti i profili AppArmor | media | superata |
| 1.7.1 | Modificare il banner del messaggio del giorno del sistema | media | superata |
| 1.7.2 | Modificare il banner di accesso al sistema | media | superata |
| 1.7.3 | Modificare il banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.4 | Verificare la proprietà del gruppo del banner del messaggio del giorno | media | superata |
| 1.7.4 | Verifica la proprietà del banner del messaggio del giorno | media | superata |
| 1.7.4 | Verificare le autorizzazioni nel banner Messaggio del giorno | media | superata |
| 1.7.5 | Verificare la proprietà del gruppo del banner di accesso al sistema | media | superata |
| 1.7.5 | Verifica la proprietà del banner di accesso al sistema | media | superata |
| 1.7.5 | Verificare le autorizzazioni nel banner di accesso al sistema | media | superata |
| 1.7.6 | Verifica la proprietà del gruppo del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.6 | Verifica la proprietà del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.6 | Verifica le autorizzazioni nel banner di accesso al sistema per le connessioni remote | media | superata |
| 2.1.1.1 | Installare il servizio systemd_timesyncd | high | superata |
| 2.1.3.2 | Attiva il servizio systemd_timesyncd | high | superata |
| 2.2.1 | Rimuovi il gruppo di pacchetti X Windows | media | superata |
| 2.2.2 | Disattiva il software del server Avahi | media | superata |
| 2.2.2 | Disinstalla il pacchetto del server avahi | media | superata |
| 2.2.3 | Disattivare il servizio CUPS | sconosciuto | superata |
| 2.2.3 | Disinstallare il pacchetto CUPS | sconosciuto | superata |
| 2.2.4 | Disinstalla il pacchetto del server DHCP | media | superata |
| 2.2.5 | Disinstalla il pacchetto openldap-servers | basso | superata |
| 2.2.6 | Disinstalla il pacchetto nfs-kernel-server | basso | superata |
| 2.2.7 | Disinstalla pacchetto di binding | basso | superata |
| 2.2.8 | Disinstalla il pacchetto vsftpd | high | superata |
| 2.2.9 | Disinstalla il pacchetto httpd | sconosciuto | superata |
| 2.2.9 | Disinstalla il pacchetto nginx | sconosciuto | superata |
| 2.2.10 | Disinstalla il pacchetto cyrus-imapd | sconosciuto | superata |
| 2.2.10 | Disinstalla il pacchetto Dovecot | sconosciuto | superata |
| 2.2.11 | Disinstallare il pacchetto Samba | sconosciuto | superata |
| 2.2.12 | Disinstalla il pacchetto squid | sconosciuto | superata |
| 2.2.13 | Disinstalla il pacchetto net-snmp | sconosciuto | superata |
| 2.2.14 | Disinstalla il pacchetto nis | basso | superata |
| 2.2.15 | Assicurati che l'agente di trasferimento della posta non sia in ascolto su alcun indirizzo non di loopback | media | superata |
| 2.2.16 | Disinstalla il pacchetto rsync | media | superata |
| 2.3.2 | Disinstallare il pacchetto rsh | sconosciuto | superata |
| 2.3.3 | Disinstalla pacchetto di sintesi vocale | media | superata |
| 2.3.4 | Rimuovere i client telnet | basso | superata |
| 2.3.5 | Assicurati che il client LDAP non sia installato | basso | superata |
| 3.1.2 | Disattivare le interfacce di rete wireless | media | superata |
| 3.2.1 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 per impostazione predefinita | media | superata |
| 3.2.1 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 | media | superata |
| 3.2.2 | Disabilita il parametro del kernel per l'inoltro IPv6 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing dall'origine su tutte le interfacce IPv4 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing dall'origine su tutte le interfacce IPv6 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione dei pacchetti con routing di origine sulle interfacce IPv4 per impostazione predefinita | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione dei pacchetti con routing dall'origine sulle interfacce IPv6 per impostazione predefinita | media | superata |
| 3.3.2 | Disattiva l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv4 | media | superata |
| 3.3.2 | Disattiva l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv6 | media | superata |
| 3.3.2 | Disattiva il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv4 | media | superata |
| 3.3.2 | Disattiva il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv6 | media | superata |
| 3.3.3 | Configurare il parametro del kernel per accettare i reindirizzamenti sicuri per impostazione predefinita | media | superata |
| 3.3.3 | Disattiva il parametro del kernel per l'accettazione di reindirizzamenti ICMP sicuri su tutte le interfacce IPv4 | media | superata |
| 3.3.4 | Abilita il parametro del kernel per registrare i pacchetti marziani su tutte le interfacce IPv4 | sconosciuto | superata |
| 3.3.4 | Abilita il parametro del kernel per registrare i pacchetti marziani su tutte le interfacce IPv4 per impostazione predefinita | sconosciuto | superata |
| 3.3.5 | Attiva il parametro del kernel per ignorare le richieste di echo di trasmissione ICMP sulle interfacce IPv4 | media | superata |
| 3.3.6 | Abilita il parametro del kernel per ignorare le risposte di errore ICMP false sulle interfacce IPv4 | sconosciuto | superata |
| 3.3.8 | Abilita il parametro del kernel per utilizzare i cookie di sincronizzazione TCP sulle interfacce di rete | media | superata |
| 3.3.9 | Configurare l'accettazione degli annunci del router su tutte le interfacce IPv6 | media | superata |
| 3.3.9 | Disattiva l'accettazione degli annunci del router su tutte le interfacce IPv6 per impostazione predefinita | media | superata |
| 3.4.1 | Disattiva il supporto DCCP | media | superata |
| 3.4.2 | Disabilita il supporto SCTP | media | superata |
| 3.4.3 | Disattiva il supporto di RDS | basso | superata |
| 3.4.4 | Disattiva il supporto TIPC | basso | superata |
| 3.5.1.2 | Rimuovi il pacchetto iptables-persistent | media | superata |
| 3.5.2.1 | Installa il pacchetto nftables | media | superata |
| 3.5.2.4 | Assicurati che esista una tabella per Nftables | media | superata |
| 3.5.2.5 | Assicurati che esistano catene di base per Nftables | media | superata |
| 3.5.2.9 | Verifica che il servizio nftables sia abilitato | media | superata |
| 3.5.3.1.1 | Installa il pacchetto iptables | media | superata |
| 3.5.3.1.3 | Rimuovi il pacchetto ufw | media | superata |
| 4.1.1.1 | Assicurati che il sottosistema di controllo sia installato | media | superata |
| 4.1.1.2 | Abilita il servizio auditd | media | superata |
| 4.1.1.4 | Estendi il limite del backlog di controllo per il daemon di controllo | basso | superata |
| 4.1.2.1 | Configurare le dimensioni massime del file di log di auditd | media | superata |
| 4.1.2.2 | Configura auditd max_log_file_action al raggiungimento della dimensione massima del log | media | superata |
| 4.1.2.3 | Configurare l'azione admin_space_left di auditd in caso di spazio su disco in esaurimento | media | superata |
| 4.1.2.3 | Configura l'azione mail_acct di auditd in caso di spazio su disco in esaurimento | media | superata |
| 4.1.2.3 | Configurare l'azione space_left di auditd in caso di spazio su disco in esaurimento | media | superata |
| 4.1.3.1 | Assicurarsi che auditd raccolga le azioni dell'amministratore di sistema | media | superata |
| 4.1.3.2 | Registra eventi quando vengono eseguiti file eseguibili privilegiati | media | superata |
| 4.1.3.3 | Registra i tentativi di esecuzione delle attività di manutenzione | media | superata |
| 4.1.3.4 | Registra i tentativi di modifica del file localtime | media | superata |
| 4.1.3.4 | Registra i tentativi di alterazione dell'ora tramite adjtimex | media | superata |
| 4.1.3.4 | Registra i tentativi di alterazione dell'ora tramite clock_settime | media | superata |
| 4.1.3.4 | Registra i tentativi di modificare l'ora tramite settimeofday | media | superata |
| 4.1.3.4 | Record Attempts to Alter Time Through stime | media | superata |
| 4.1.3.5 | Registrare eventi che modificano l'ambiente di rete del sistema | media | superata |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - su | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - sudo | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - sudoedit | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi privilegiati - umount | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - unix_chkpwd | media | superata |
| 4.1.3.7 | Registra tentativi di accesso ai file non riusciti - creat | media | superata |
| 4.1.3.7 | Registra tentativi di accesso non riusciti ai file - ftruncate | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso ai file non riusciti - aperto | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso ai file non riusciti - openat | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso ai file non riusciti - troncamento | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/group | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/gshadow | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/passwd | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/security/opasswd | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/shadow | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - chmod | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - chown | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - fchmod | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - fchmodat | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - fchown | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - fchownat | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionale del sistema - fremovexattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - fsetxattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - lchown | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - lremovexattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - lsetxattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - removexattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - setxattr | media | superata |
| 4.1.3.10 | Assicurati che auditd raccolga informazioni sull'esportazione su supporti (operazione riuscita) | media | superata |
| 4.1.3.11 | Registrare i tentativi di alterazione delle informazioni di processo e di avvio della sessione | media | superata |
| 4.1.3.12 | Registra i tentativi di alterazione degli eventi di accesso e disconnessione - faillog | media | superata |
| 4.1.3.12 | Registra i tentativi di modifica degli eventi di accesso e disconnessione - lastlog | media | superata |
| 4.1.3.12 | Registra i tentativi di alterare gli eventi di accesso e disconnessione - tallylog | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file per utente - rinomina | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file per utente - renameat | media | superata |
| 4.1.3.13 | Assicurarsi che auditd raccolga gli eventi di eliminazione dei file per utente - scollegamento | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file per utente - unlinkat | media | superata |
| 4.1.3.14 | Registra eventi che modificano i controlli di accesso obbligatori del sistema | media | superata |
| 4.1.3.15 | Registra tutti i tentativi di esecuzione di chcon | media | superata |
| 4.1.3.16 | Registra tutti i tentativi di esecuzione di setfacl | media | superata |
| 4.1.3.17 | Record Any Attempts to Run chacl | media | superata |
| 4.1.3.18 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi privilegiati - usermod | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sul caricamento del modulo del kernel - init_module | media | superata |
| 4.1.3.19 | Assicurati che auditd raccolga informazioni sullo scaricamento del modulo del kernel - delete_module | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi privilegiati - insmod | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - modprobe | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - rmmod | media | superata |
| 4.1.3.20 | Rendere immutabile la configurazione di auditd | media | superata |
| 4.1.4.1 | I log di controllo del sistema devono avere la modalità 0640 o meno permissiva | media | superata |
| 4.1.4.2 | I log di controllo del sistema devono essere di proprietà di root | media | superata |
| 4.1.4.3 | I log di controllo del sistema devono essere di proprietà del gruppo root | media | superata |
| 4.1.4.4 | I log di controllo del sistema devono avere la modalità 0750 o meno permissiva | media | superata |
| 4.1.4.5 | Verifica delle autorizzazioni su /etc/audit/auditd.conf | media | superata |
| 4.1.4.5 | Verifica delle autorizzazioni su /etc/audit/rules.d/*.rules | media | superata |
| 4.1.4.6 | I file di configurazione di controllo devono essere di proprietà di root | media | superata |
| 4.1.4.7 | I file di configurazione del controllo devono essere di proprietà del gruppo root | media | superata |
| 4.1.4.8 | Verifica che gli strumenti di controllo abbiano la modalità 0755 o inferiore | media | superata |
| 4.1.4.9 | Verifica che gli strumenti di controllo siano di proprietà di root | media | superata |
| 4.1.4.10 | Verificare che gli strumenti di controllo siano di proprietà della radice del gruppo | media | superata |
| 4.2.1.1.1 | Installa il pacchetto systemd-journal-remote | media | superata |
| 4.2.1.1.4 | Disattiva il socket systemd-journal-remote | media | superata |
| 4.2.1.2 | Attiva il servizio systemd-journald | media | superata |
| 4.2.1.3 | Assicurati che journald sia configurato per comprimere i file di log di grandi dimensioni | media | superata |
| 4.2.1.4 | Assicurati che journald sia configurato per scrivere i file di log sul disco permanente | media | superata |
| 4.2.2.1 | Assicurati che rsyslog sia installato | media | superata |
| 4.2.2.2 | Attiva il servizio rsyslog | media | superata |
| 4.2.2.4 | Assicurati che le autorizzazioni predefinite dei file rsyslog siano configurate | media | superata |
| 4.2.2.7 | Assicurati che rsyslog non accetti messaggi remoti a meno che non funga da server di log | media | superata |
| 5.1.1 | Attiva il servizio cron | media | superata |
| 5.1.2 | Verifica del gruppo proprietario di Crontab | media | superata |
| 5.1.2 | Verifica del proprietario su crontab | media | superata |
| 5.1.2 | Verifica delle autorizzazioni su crontab | media | superata |
| 5.1.3 | Verifica del gruppo proprietario di cron.hourly | media | superata |
| 5.1.3 | Verifica il proprietario di cron.hourly | media | superata |
| 5.1.3 | Verifica le autorizzazioni su cron.hourly | media | superata |
| 5.1.4 | Verifica del gruppo proprietario di cron.daily | media | superata |
| 5.1.4 | Verifica del proprietario su cron.daily | media | superata |
| 5.1.4 | Verifica delle autorizzazioni su cron.daily | media | superata |
| 5.1.5 | Verifica del gruppo proprietario di cron.weekly | media | superata |
| 5.1.5 | Verifica il proprietario su cron.weekly | media | superata |
| 5.1.5 | Verifica le autorizzazioni su cron.weekly | media | superata |
| 5.1.6 | Verifica del gruppo proprietario di cron.monthly | media | superata |
| 5.1.6 | Verifica il proprietario di cron.monthly | media | superata |
| 5.1.6 | Verifica le autorizzazioni su cron.monthly | media | superata |
| 5.1.7 | Verifica del gruppo proprietario di cron.d | media | superata |
| 5.1.7 | Verifica il proprietario su cron.d | media | superata |
| 5.1.7 | Verifica delle autorizzazioni su cron.d | media | superata |
| 5.1.8 | Assicurati che /etc/cron.deny non esista | media | superata |
| 5.1.8 | Verifica del gruppo proprietario del file /etc/cron.allow | media | superata |
| 5.1.8 | Verifica le autorizzazioni nel file /etc/cron.allow | media | superata |
| 5.1.8 | Verifica l'utente proprietario del file /etc/cron.allow | media | superata |
| 5.1.9 | Assicurati che /etc/at.deny non esista | media | superata |
| 5.1.9 | Verifica del gruppo proprietario del file /etc/at.allow | media | superata |
| 5.1.9 | Verifica le autorizzazioni sul file /etc/at.allow | media | superata |
| 5.1.9 | Verifica dell'utente proprietario del file /etc/at.allow | media | superata |
| 5.2.1 | Verifica del file di configurazione del server SSH del gruppo proprietario | media | superata |
| 5.2.1 | Verifica del proprietario nel file di configurazione del server SSH | media | superata |
| 5.2.1 | Verifica le autorizzazioni nel file di configurazione del server SSH | media | superata |
| 5.2.2 | Verifica delle autorizzazioni sui file di chiavi private *_key del server SSH | media | superata |
| 5.2.3 | Verifica le autorizzazioni sui file delle chiavi pubbliche *.pub del server SSH | media | superata |
| 5.2.5 | Imposta LogLevel su INFO | basso | superata |
| 5.2.6 | Abilita PAM | media | superata |
| 5.2.7 | Disattivare l'accesso come utente root tramite SSH | media | superata |
| 5.2.8 | Disattivare l'autenticazione basata sull'host | media | superata |
| 5.2.9 | Disattivare l'accesso SSH tramite password vuote | high | superata |
| 5.2.10 | Non consentire le opzioni dell'ambiente SSH | media | superata |
| 5.2.11 | Disattivare il supporto SSH per i file .rhosts | media | superata |
| 5.2.12 | Disattiva l'inoltro X11 | media | superata |
| 5.2.13 | Utilizzare solo cifrari sicuri | media | superata |
| 5.2.14 | Usa solo MAC efficaci | media | superata |
| 5.2.15 | Utilizza solo algoritmi di scambio di chiavi sicuri | media | superata |
| 5.2.16 | Disattiva l'inoltro TCP SSH | media | superata |
| 5.2.17 | Attiva il banner di avviso SSH | media | superata |
| 5.2.18 | Imposta il limite di tentativi di autenticazione SSH | media | superata |
| 5.2.19 | Assicurati che SSH MaxStartups sia configurato | media | superata |
| 5.2.20 | Imposta il limite MaxSessions SSH | media | superata |
| 5.2.21 | Assicurati che SSH LoginGraceTime sia configurato | media | superata |
| 5.2.22 | Imposta SSH Client Alive Count Max | media | superata |
| 5.2.22 | Imposta l'intervallo di attività del client SSH | media | superata |
| 5.3.1 | Installa il pacchetto sudo | media | superata |
| 5.3.2 | Assicurati che solo gli utenti che hanno eseguito l'accesso a una tty reale possano eseguire sudo - sudo use_pty | media | superata |
| 5.3.3 | Assicurati che il file di log di Sudo esista - sudo logfile | basso | superata |
| 5.3.5 | Assicurati che gli utenti eseguano nuovamente l'autenticazione per l'escalation dei privilegi - sudo !authenticate | media | superata |
| 5.3.6 | Richiedere la riautenticazione quando si utilizza il comando sudo | media | superata |
| 5.3.7 | Forzare l'utilizzo di pam_wheel con il parametro di gruppo per l'autenticazione su | media | superata |
| 5.3.7 | Assicurati che il gruppo utilizzato dal modulo pam_wheel esista sul sistema e sia vuoto | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti della password. Sono consentiti prompt di nuovi tentativi di autenticazione per sessione | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: categorie diverse minime | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti della password: caratteri numerici minimi | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti della password: lunghezza minima | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: caratteri minuscoli minimi | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: caratteri speciali minimi | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: caratteri maiuscoli minimi | media | superata |
| 5.4.1 | Installa il pacchetto pam_pwquality | media | superata |
| 5.4.2 | Bloccare gli account dopo tentativi di inserimento della password non riusciti | media | superata |
| 5.4.2 | Imposta l'intervallo per il conteggio dei tentativi password non riusciti | media | superata |
| 5.4.2 | Impostare il tempo di blocco per i tentativi password non riusciti | media | superata |
| 5.4.3 | Limita il riutilizzo della password | media | superata |
| 5.4.4 | Imposta l'algoritmo di hashing della password in /etc/login.defs | media | superata |
| 5.5.1.1 | Impostare l'età minima delle password esistenti | media | superata |
| 5.5.1.1 | Impostare l'età minima per la password | media | superata |
| 5.5.1.2 | Imposta l'età massima delle password esistenti | media | superata |
| 5.5.1.3 | Imposta età avviso password | media | superata |
| 5.5.1.4 | Impostare la scadenza dell'account in seguito all'inattività | media | superata |
| 5.5.1.5 | Assicurati che la data dell'ultima modifica della password di tutti gli utenti sia nel passato | media | superata |
| 5.5.2 | Assicurati che gli account di sistema non eseguano una shell all'accesso | media | superata |
| 5.5.3 | Verifica che la radice abbia un GID principale 0 | high | superata |
| 5.5.4 | Assicurarsi che la maschera Bash predefinita sia impostata correttamente | media | superata |
| 5.5.4 | Assicurati che la maschera predefinita sia impostata correttamente per gli utenti interattivi | media | superata |
| 5.5.4 | Assicurarsi che la maschera predefinita sia impostata correttamente in /etc/profile | media | superata |
| 5.5.4 | Assicurati che la maschera predefinita sia impostata correttamente in login.defs | media | superata |
| 5.5.5 | Impostare il timeout della sessione interattiva | media | superata |
| 6.1.1 | Verifica del gruppo proprietario del file passwd | media | superata |
| 6.1.1 | Verifica delle autorizzazioni sul file passwd | media | superata |
| 6.1.1 | Verifica dell'utente proprietario del file passwd | media | superata |
| 6.1.2 | Verifica del gruppo proprietario del file passwd di backup | media | superata |
| 6.1.2 | Verificare le autorizzazioni sul file passwd di backup | media | superata |
| 6.1.2 | Verifica dell'utente proprietario del file passwd di backup | media | superata |
| 6.1.3 | Verificare il gruppo proprietario del file del gruppo | media | superata |
| 6.1.3 | Verificare le autorizzazioni sul file del gruppo | media | superata |
| 6.1.3 | Verifica dell'utente proprietario del file del gruppo | media | superata |
| 6.1.4 | Verifica del gruppo proprietario del file del gruppo di backup | media | superata |
| 6.1.4 | Verificare le autorizzazioni sul file del gruppo di backup | media | superata |
| 6.1.4 | Verifica dell'utente proprietario del file del gruppo di backup | media | superata |
| 6.1.5 | Verifica del gruppo proprietario del file ombra | media | superata |
| 6.1.5 | Verifica delle autorizzazioni sul file ombra | media | superata |
| 6.1.5 | Verifica dell'utente proprietario del file ombra | media | superata |
| 6.1.6 | Verifica del gruppo proprietario del file shadow di backup | media | superata |
| 6.1.6 | Verificare le autorizzazioni sul file shadow di backup | media | superata |
| 6.1.6 | Verifica dell'utente proprietario del file shadow di backup | media | superata |
| 6.1.7 | Verifica del gruppo proprietario del file gshadow | media | superata |
| 6.1.7 | Verificare le autorizzazioni sul file gshadow | media | superata |
| 6.1.7 | Verifica dell'utente proprietario del file gshadow | media | superata |
| 6.1.8 | Verifica del gruppo proprietario del file gshadow di backup | media | superata |
| 6.1.8 | Verifica le autorizzazioni sul file gshadow di backup | media | superata |
| 6.1.8 | Verifica dell'utente proprietario del file gshadow di backup | media | superata |
| 6.1.10 | Assicurarsi che tutti i file siano di proprietà di un utente | media | superata |
| 6.2.1 | Verifica che tutti gli hash delle password dell'account siano sottoposti a shadowing | media | superata |
| 6.2.2 | Assicurati che non ci siano account con password vuote o nulle | high | superata |
| 6.2.3 | Tutti i GID a cui viene fatto riferimento in /etc/passwd devono essere definiti in /etc/group | basso | superata |
| 6.2.4 | Assicurati che il gruppo shadow sia vuoto | media | superata |
| 6.2.5 | Assicurati che tutti gli account sul sistema abbiano ID utente univoci | media | superata |
| 6.2.6 | Assicurarsi che tutti i gruppi del sistema abbiano un ID gruppo univoco | media | superata |
| 6.2.7 | Assicurarsi che tutti gli account sul sistema abbiano nomi univoci | media | superata |
| 6.2.8 | Assicurati che tutti i gruppi del sistema abbiano nomi univoci | media | superata |
| 6.2.9 | Assicurati che il percorso della radice non includa percorsi relativi o directory nulli | sconosciuto | superata |
| 6.2.9 | Assicurati che il percorso della radice non includa directory scrivibili da gruppi o dal mondo | media | superata |
| 6.2.10 | Verifica che solo la radice abbia UID 0 | high | superata |
| 6.2.11 | Tutte le home directory degli utenti interattivi devono esistere | media | superata |
| 6.2.12 | Tutte le home directory degli utenti interattivi devono essere di proprietà del gruppo principale | media | superata |
| 6.2.12 | Tutte le home directory degli utenti interattivi devono essere di proprietà dell'utente principale | media | superata |
| 6.2.13 | Tutte le home directory degli utenti interattivi devono avere la modalità 0750 o meno permissiva | media | superata |
| 6.2.14 | Verifica che non esistano file netrc | media | superata |
| 6.2.15 | Verifica l'esistenza di file No .forward | media | superata |
| 6.2.16 | Rimuovere i file di attendibilità Rsh | high | superata |
| 6.2.17 | I file di inizializzazione utente devono essere di proprietà del gruppo principale | media | superata |
| 6.2.17 | I file di inizializzazione utente devono essere di proprietà dell'utente principale | media | superata |
| 6.2.17 | I file di inizializzazione utente non devono eseguire programmi con autorizzazione di scrittura globale | media | superata |
Suggerimenti non applicabili
La tabella seguente elenca i suggerimenti che non si applicano a Google Distributed Cloud.
| # | Consiglio | Gravità | Stato |
|---|---|---|---|
| 1.1.2.2 | Aggiungi l'opzione nodev a /tmp | media | nonapplicabile |
| 1.1.2.3 | Aggiungere l'opzione noexec a /tmp | media | nonapplicabile |
| 1.1.2.4 | Aggiungere l'opzione nosuid a /tmp | media | nonapplicabile |
| 1.1.3.2 | Aggiungi l'opzione nodev a /var | media | nonapplicabile |
| 1.1.3.3 | Aggiungere l'opzione nosuid a /var | media | nonapplicabile |
| 1.1.4.2 | Aggiungere l'opzione noexec a /var/tmp | media | nonapplicabile |
| 1.1.4.3 | Aggiungi l'opzione nosuid a /var/tmp | media | nonapplicabile |
| 1.1.4.4 | Aggiungi l'opzione nodev a /var/tmp | media | nonapplicabile |
| 1.1.5.2 | Aggiungi l'opzione nodev a /var/log | media | nonapplicabile |
| 1.1.5.3 | Aggiungi l'opzione noexec a /var/log | media | nonapplicabile |
| 1.1.5.4 | Aggiungere l'opzione nosuid a /var/log | media | nonapplicabile |
| 1.1.6.2 | Aggiungere l'opzione noexec a /var/log/audit | media | nonapplicabile |
| 1.1.6.3 | Aggiungi l'opzione nodev a /var/log/audit | media | nonapplicabile |
| 1.1.6.4 | Aggiungi l'opzione nosuid a /var/log/audit | media | nonapplicabile |
| 1.1.7.2 | Aggiungi l'opzione nodev a /home | sconosciuto | nonapplicabile |
| 1.1.7.3 | Aggiungere l'opzione nosuid a /home | media | nonapplicabile |
| 1,10 | Configurare il profilo utente GNOME3 DConf | high | nonapplicabile |
| 1.4.1 | Imposta la password del bootloader UEFI | high | nonapplicabile |
| 1.8.1 | Rimuovere il gruppo di pacchetti GDM | media | nonapplicabile |
| 1.8.10 | Disattivare XDMCP in GDM | high | nonapplicabile |
| 1.8.4 | Attivare il blocco del salvaschermo GNOME3 dopo il periodo di inattività | media | nonapplicabile |
| 1.8.5 | Impostare il ritardo del blocco del salvaschermo GNOME3 dopo il periodo di attivazione | media | nonapplicabile |
| 1.8.6 | Disattiva l'apertura del montaggio automatico di GNOME3 | media | nonapplicabile |
| 1.8.6 | Disattivare il montaggio automatico di GNOME3 | media | nonapplicabile |
| 1.8.8 | Disattiva l'esecuzione di GNOME3 Automount | basso | nonapplicabile |
| 2.1.4.1 | Configura le limitazioni del server per ntpd | media | nonapplicabile |
| 2.1.4.3 | Configurare ntpd per l'esecuzione come utente ntp | media | nonapplicabile |
| 2.1.4.4 | Attivare il daemon NTP | high | nonapplicabile |
| 2.2.15 | Disattiva l'ascolto di rete di Postfix | media | nonapplicabile |
| 3.5.1.3 | Verifica che ufw sia abilitato | media | nonapplicabile |
| 3.5.1.4 | Imposta il traffico di loopback UFW | media | nonapplicabile |
| 3.5.1.6 | Assicurati che esistano regole firewall ufw per tutte le porte aperte | media | nonapplicabile |
| 3.5.1.7 | Assicurati che la policy firewall predefinita di ufw sia impostata su Negazione predefinita | media | nonapplicabile |
| 3.5.3.2.1 | Impostare la policy iptables predefinita per i pacchetti in entrata | media | nonapplicabile |
| 3.5.3.2.2 | Imposta la configurazione per il traffico di loopback | media | nonapplicabile |
| 3.5.3.2.4 | Assicurati che esistano regole firewall iptables per tutte le porte aperte | media | nonapplicabile |
| 3.5.3.3.1 | Impostare il criterio ip6tables predefinito per i pacchetti in entrata | media | nonapplicabile |
| 3.5.3.3.4 | Assicurati che esistano regole firewall ip6tables per tutte le porte aperte | media | nonapplicabile |
1,31
Versioni
Questa sezione si riferisce alle seguenti versioni:
| Versione di Google Distributed Cloud | Versione di Ubuntu | Versione del benchmark CIS Ubuntu | Livello CIS |
|---|---|---|---|
| 1,31 | 22.04 LTS | v1.0.0 | Server di livello 2 |
Consigli non riusciti
La seguente tabella elenca i suggerimenti per i quali Google Distributed Cloud si discosta dai suggerimenti del benchmark. Questi risultati si applicano ai nodi cluster e alla workstation di amministrazione.
| # | Consiglio | Gravità | Stato |
|---|---|---|---|
| 1.1.2.1 | Assicurati che /tmp si trovi su una partizione separata | basso | non superata |
| 1.1.3.1 | Assicurati che /var si trovi su una partizione separata | basso | non superata |
| 1.1.4.1 | Assicurati che /var/tmp si trovi su una partizione separata | media | non superata |
| 1.1.5.1 | Assicurati che /var/log si trovi su una partizione separata | basso | non superata |
| 1.1.6.1 | Assicurati che /var/log/audit si trovi su una partizione separata | basso | non superata |
| 1.1.7.1 | Assicurati che /home si trovi su una partizione separata | basso | non superata |
| 1.4.1 | Impostare la password del bootloader in grub2 | high | non superata |
| 1.4.3 | Assicurarsi che l'autenticazione sia richiesta per la modalità utente singolo | media | non superata |
| 2.3.6 | Disinstalla il pacchetto rpcbind | basso | non superata |
| 3.2.2 | Disabilita il parametro del kernel per l'IP forwarding sulle interfacce IPv4 | media | non superata |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 per impostazione predefinita | media | non superata |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 | media | non superata |
| 3.5.2.8 | Assicurati che il criterio firewall di rifiuto predefinito di nftables | media | non superata |
| 3.5.2.10 | Assicurarsi che le regole nftables siano permanenti | media | non superata |
| 4.2.3 | Verifica le autorizzazioni dei file di log | media | non superata |
| 5.2.4 | Limitare l'accesso SSH degli utenti | sconosciuto | non superata |
| 5.3.4 | Assicurati che gli utenti eseguano nuovamente l'autenticazione per l'escalation dei privilegi - sudo | media | non superata |
| 5.5.1.2 | Imposta età massima password | media | non superata |
Suggerimenti superati
La tabella seguente elenca i suggerimenti per i quali Google Distributed Cloud è conforme ai suggerimenti del benchmark.
| # | Consiglio | Gravità | Stato |
|---|---|---|---|
| 1.1.1.1 | Disattiva il montaggio di cramfs | basso | superata |
| 1.1.1.2 | Disattiva il montaggio di squashfs | basso | superata |
| 1.1.1.3 | Disabilita il montaggio di udf | basso | superata |
| 1.1.8.1 | Aggiungi l'opzione nodev a /dev/shm | media | superata |
| 1.1.8.2 | Aggiungere l'opzione noexec a /dev/shm | media | superata |
| 1.1.8.3 | Aggiungere l'opzione nosuid a /dev/shm | media | superata |
| 1.1.9 | Disattiva Automounter | media | superata |
| 1.1.10 | Disattiva il caricamento di Modprobe del driver di archiviazione USB | media | superata |
| 1.4.2 | Verifica le autorizzazioni di /boot/grub/grub.cfg | media | superata |
| 1.5.1 | Attiva il layout casuale dello spazio degli indirizzi virtuali | media | superata |
| 1.5.2 | Il pacchetto "prelink" non deve essere installato | media | superata |
| 1.5.3 | Disattiva il servizio Apport | sconosciuto | superata |
| 1.5.4 | Disattivare i dump principali per tutti gli utenti | media | superata |
| 1.5.4 | Disattivare i dump principali per i programmi SUID | media | superata |
| 1.6.1.1 | Assicurati che AppArmor sia installato | media | superata |
| 1.6.1.2 | Assicurati che AppArmor sia abilitato nella configurazione del bootloader | media | superata |
| 1.6.1.4 | Imponi tutti i profili AppArmor | media | superata |
| 1.7.1 | Modificare il banner del messaggio del giorno del sistema | media | superata |
| 1.7.2 | Modificare il banner di accesso al sistema | media | superata |
| 1.7.3 | Modificare il banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.4 | Verificare la proprietà del gruppo del banner del messaggio del giorno | media | superata |
| 1.7.4 | Verifica la proprietà del banner del messaggio del giorno | media | superata |
| 1.7.4 | Verificare le autorizzazioni nel banner Messaggio del giorno | media | superata |
| 1.7.5 | Verificare la proprietà del gruppo del banner di accesso al sistema | media | superata |
| 1.7.5 | Verifica la proprietà del banner di accesso al sistema | media | superata |
| 1.7.5 | Verificare le autorizzazioni nel banner di accesso al sistema | media | superata |
| 1.7.6 | Verifica la proprietà del gruppo del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.6 | Verifica la proprietà del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.6 | Verifica le autorizzazioni nel banner di accesso al sistema per le connessioni remote | media | superata |
| 2.1.1.1 | Installare il servizio systemd_timesyncd | high | superata |
| 2.1.3.2 | Attiva il servizio systemd_timesyncd | high | superata |
| 2.2.1 | Rimuovi il gruppo di pacchetti X Windows | media | superata |
| 2.2.2 | Disattiva il software del server Avahi | media | superata |
| 2.2.2 | Disinstalla il pacchetto del server avahi | media | superata |
| 2.2.3 | Disattivare il servizio CUPS | sconosciuto | superata |
| 2.2.3 | Disinstallare il pacchetto CUPS | sconosciuto | superata |
| 2.2.4 | Disinstalla il pacchetto del server DHCP | media | superata |
| 2.2.5 | Disinstalla il pacchetto openldap-servers | basso | superata |
| 2.2.6 | Disinstalla il pacchetto nfs-kernel-server | basso | superata |
| 2.2.7 | Disinstalla pacchetto di binding | basso | superata |
| 2.2.8 | Disinstalla il pacchetto vsftpd | high | superata |
| 2.2.9 | Disinstalla il pacchetto httpd | sconosciuto | superata |
| 2.2.9 | Disinstalla il pacchetto nginx | sconosciuto | superata |
| 2.2.10 | Disinstalla il pacchetto cyrus-imapd | sconosciuto | superata |
| 2.2.10 | Disinstalla il pacchetto Dovecot | sconosciuto | superata |
| 2.2.11 | Disinstallare il pacchetto Samba | sconosciuto | superata |
| 2.2.12 | Disinstalla il pacchetto squid | sconosciuto | superata |
| 2.2.13 | Disinstalla il pacchetto net-snmp | sconosciuto | superata |
| 2.2.14 | Disinstalla il pacchetto nis | basso | superata |
| 2.2.15 | Assicurati che l'agente di trasferimento della posta non sia in ascolto su alcun indirizzo non di loopback | media | superata |
| 2.2.16 | Disinstalla il pacchetto rsync | media | superata |
| 2.3.2 | Disinstallare il pacchetto rsh | sconosciuto | superata |
| 2.3.3 | Disinstalla pacchetto di sintesi vocale | media | superata |
| 2.3.4 | Rimuovere i client telnet | basso | superata |
| 2.3.5 | Assicurati che il client LDAP non sia installato | basso | superata |
| 3.1.2 | Disattivare le interfacce di rete wireless | media | superata |
| 3.2.1 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 per impostazione predefinita | media | superata |
| 3.2.1 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 | media | superata |
| 3.2.2 | Disabilita il parametro del kernel per l'inoltro IPv6 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing dall'origine su tutte le interfacce IPv4 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing dall'origine su tutte le interfacce IPv6 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione dei pacchetti con routing di origine sulle interfacce IPv4 per impostazione predefinita | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione dei pacchetti con routing dall'origine sulle interfacce IPv6 per impostazione predefinita | media | superata |
| 3.3.2 | Disattiva l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv4 | media | superata |
| 3.3.2 | Disattiva l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv6 | media | superata |
| 3.3.2 | Disattiva il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv4 | media | superata |
| 3.3.2 | Disattiva il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv6 | media | superata |
| 3.3.3 | Configurare il parametro del kernel per accettare i reindirizzamenti sicuri per impostazione predefinita | media | superata |
| 3.3.3 | Disattiva il parametro del kernel per l'accettazione di reindirizzamenti ICMP sicuri su tutte le interfacce IPv4 | media | superata |
| 3.3.4 | Abilita il parametro del kernel per registrare i pacchetti marziani su tutte le interfacce IPv4 | sconosciuto | superata |
| 3.3.4 | Abilita il parametro del kernel per registrare i pacchetti marziani su tutte le interfacce IPv4 per impostazione predefinita | sconosciuto | superata |
| 3.3.5 | Attiva il parametro del kernel per ignorare le richieste di echo di trasmissione ICMP sulle interfacce IPv4 | media | superata |
| 3.3.6 | Abilita il parametro del kernel per ignorare le risposte di errore ICMP false sulle interfacce IPv4 | sconosciuto | superata |
| 3.3.8 | Abilita il parametro del kernel per utilizzare i cookie di sincronizzazione TCP sulle interfacce di rete | media | superata |
| 3.3.9 | Configurare l'accettazione degli annunci del router su tutte le interfacce IPv6 | media | superata |
| 3.3.9 | Disattiva l'accettazione degli annunci del router su tutte le interfacce IPv6 per impostazione predefinita | media | superata |
| 3.4.1 | Disattiva il supporto DCCP | media | superata |
| 3.4.2 | Disabilita il supporto SCTP | media | superata |
| 3.4.3 | Disattiva il supporto di RDS | basso | superata |
| 3.4.4 | Disattiva il supporto TIPC | basso | superata |
| 3.5.1.2 | Rimuovi il pacchetto iptables-persistent | media | superata |
| 3.5.2.1 | Installa il pacchetto nftables | media | superata |
| 3.5.2.4 | Assicurati che esista una tabella per Nftables | media | superata |
| 3.5.2.5 | Assicurati che esistano catene di base per Nftables | media | superata |
| 3.5.2.9 | Verifica che il servizio nftables sia abilitato | media | superata |
| 3.5.3.1.1 | Installa il pacchetto iptables | media | superata |
| 3.5.3.1.3 | Rimuovi il pacchetto ufw | media | superata |
| 4.1.1.1 | Assicurati che il sottosistema di controllo sia installato | media | superata |
| 4.1.1.2 | Abilita il servizio auditd | media | superata |
| 4.1.1.4 | Estendi il limite del backlog di controllo per il daemon di controllo | basso | superata |
| 4.1.2.1 | Configurare le dimensioni massime del file di log di auditd | media | superata |
| 4.1.2.2 | Configura auditd max_log_file_action al raggiungimento della dimensione massima del log | media | superata |
| 4.1.2.3 | Configurare l'azione admin_space_left di auditd in caso di spazio su disco in esaurimento | media | superata |
| 4.1.2.3 | Configura l'azione mail_acct di auditd in caso di spazio su disco in esaurimento | media | superata |
| 4.1.2.3 | Configurare l'azione space_left di auditd in caso di spazio su disco in esaurimento | media | superata |
| 4.1.3.1 | Assicurarsi che auditd raccolga le azioni dell'amministratore di sistema | media | superata |
| 4.1.3.2 | Registra eventi quando vengono eseguiti file eseguibili privilegiati | media | superata |
| 4.1.3.3 | Registra i tentativi di esecuzione delle attività di manutenzione | media | superata |
| 4.1.3.4 | Registra i tentativi di modifica del file localtime | media | superata |
| 4.1.3.4 | Registra i tentativi di alterazione dell'ora tramite adjtimex | media | superata |
| 4.1.3.4 | Registra i tentativi di alterazione dell'ora tramite clock_settime | media | superata |
| 4.1.3.4 | Registra i tentativi di modificare l'ora tramite settimeofday | media | superata |
| 4.1.3.4 | Record Attempts to Alter Time Through stime | media | superata |
| 4.1.3.5 | Registrare eventi che modificano l'ambiente di rete del sistema | media | superata |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - su | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - sudo | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - sudoedit | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi privilegiati - umount | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - unix_chkpwd | media | superata |
| 4.1.3.7 | Registra tentativi di accesso ai file non riusciti - creat | media | superata |
| 4.1.3.7 | Registra tentativi di accesso non riusciti ai file - ftruncate | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso ai file non riusciti - aperto | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso ai file non riusciti - openat | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso ai file non riusciti - troncamento | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/group | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/gshadow | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/passwd | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/security/opasswd | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/shadow | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - chmod | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - chown | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - fchmod | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - fchmodat | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - fchown | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - fchownat | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionale del sistema - fremovexattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - fsetxattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - lchown | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - lremovexattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - lsetxattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - removexattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - setxattr | media | superata |
| 4.1.3.10 | Assicurati che auditd raccolga informazioni sull'esportazione su supporti (operazione riuscita) | media | superata |
| 4.1.3.11 | Registrare i tentativi di alterazione delle informazioni di processo e di avvio della sessione | media | superata |
| 4.1.3.12 | Registra i tentativi di alterazione degli eventi di accesso e disconnessione - faillog | media | superata |
| 4.1.3.12 | Registra i tentativi di modifica degli eventi di accesso e disconnessione - lastlog | media | superata |
| 4.1.3.12 | Registra i tentativi di alterare gli eventi di accesso e disconnessione - tallylog | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file per utente - rinomina | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file per utente - renameat | media | superata |
| 4.1.3.13 | Assicurarsi che auditd raccolga gli eventi di eliminazione dei file per utente - scollegamento | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file per utente - unlinkat | media | superata |
| 4.1.3.14 | Registra eventi che modificano i controlli di accesso obbligatori del sistema | media | superata |
| 4.1.3.15 | Registra tutti i tentativi di esecuzione di chcon | media | superata |
| 4.1.3.16 | Registra tutti i tentativi di esecuzione di setfacl | media | superata |
| 4.1.3.17 | Record Any Attempts to Run chacl | media | superata |
| 4.1.3.18 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi privilegiati - usermod | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sul caricamento del modulo del kernel - init_module | media | superata |
| 4.1.3.19 | Assicurati che auditd raccolga informazioni sullo scaricamento del modulo del kernel - delete_module | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi privilegiati - insmod | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - modprobe | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - rmmod | media | superata |
| 4.1.3.20 | Rendere immutabile la configurazione di auditd | media | superata |
| 4.1.4.1 | I log di controllo del sistema devono avere la modalità 0640 o meno permissiva | media | superata |
| 4.1.4.2 | I log di controllo del sistema devono essere di proprietà di root | media | superata |
| 4.1.4.3 | I log di controllo del sistema devono essere di proprietà del gruppo root | media | superata |
| 4.1.4.4 | I log di controllo del sistema devono avere la modalità 0750 o meno permissiva | media | superata |
| 4.1.4.5 | Verifica delle autorizzazioni su /etc/audit/auditd.conf | media | superata |
| 4.1.4.5 | Verifica delle autorizzazioni su /etc/audit/rules.d/*.rules | media | superata |
| 4.1.4.6 | I file di configurazione di controllo devono essere di proprietà di root | media | superata |
| 4.1.4.7 | I file di configurazione del controllo devono essere di proprietà del gruppo root | media | superata |
| 4.1.4.8 | Verifica che gli strumenti di controllo abbiano la modalità 0755 o inferiore | media | superata |
| 4.1.4.9 | Verifica che gli strumenti di controllo siano di proprietà di root | media | superata |
| 4.1.4.10 | Verificare che gli strumenti di controllo siano di proprietà della radice del gruppo | media | superata |
| 4.2.1.1.1 | Installa il pacchetto systemd-journal-remote | media | superata |
| 4.2.1.1.4 | Disattiva il socket systemd-journal-remote | media | superata |
| 4.2.1.2 | Attiva il servizio systemd-journald | media | superata |
| 4.2.1.3 | Assicurati che journald sia configurato per comprimere i file di log di grandi dimensioni | media | superata |
| 4.2.1.4 | Assicurati che journald sia configurato per scrivere i file di log sul disco permanente | media | superata |
| 4.2.2.1 | Assicurati che rsyslog sia installato | media | superata |
| 4.2.2.2 | Attiva il servizio rsyslog | media | superata |
| 4.2.2.4 | Assicurati che le autorizzazioni predefinite dei file rsyslog siano configurate | media | superata |
| 4.2.2.7 | Assicurati che rsyslog non accetti messaggi remoti a meno che non funga da server di log | media | superata |
| 5.1.1 | Attiva il servizio cron | media | superata |
| 5.1.2 | Verifica del gruppo proprietario di Crontab | media | superata |
| 5.1.2 | Verifica del proprietario su crontab | media | superata |
| 5.1.2 | Verifica delle autorizzazioni su crontab | media | superata |
| 5.1.3 | Verifica del gruppo proprietario di cron.hourly | media | superata |
| 5.1.3 | Verifica il proprietario di cron.hourly | media | superata |
| 5.1.3 | Verifica le autorizzazioni su cron.hourly | media | superata |
| 5.1.4 | Verifica del gruppo proprietario di cron.daily | media | superata |
| 5.1.4 | Verifica del proprietario su cron.daily | media | superata |
| 5.1.4 | Verifica delle autorizzazioni su cron.daily | media | superata |
| 5.1.5 | Verifica del gruppo proprietario di cron.weekly | media | superata |
| 5.1.5 | Verifica il proprietario su cron.weekly | media | superata |
| 5.1.5 | Verifica le autorizzazioni su cron.weekly | media | superata |
| 5.1.6 | Verifica del gruppo proprietario di cron.monthly | media | superata |
| 5.1.6 | Verifica il proprietario di cron.monthly | media | superata |
| 5.1.6 | Verifica le autorizzazioni su cron.monthly | media | superata |
| 5.1.7 | Verifica del gruppo proprietario di cron.d | media | superata |
| 5.1.7 | Verifica il proprietario su cron.d | media | superata |
| 5.1.7 | Verifica delle autorizzazioni su cron.d | media | superata |
| 5.1.8 | Assicurati che /etc/cron.deny non esista | media | superata |
| 5.1.8 | Verifica del gruppo proprietario del file /etc/cron.allow | media | superata |
| 5.1.8 | Verifica le autorizzazioni nel file /etc/cron.allow | media | superata |
| 5.1.8 | Verifica l'utente proprietario del file /etc/cron.allow | media | superata |
| 5.1.9 | Assicurati che /etc/at.deny non esista | media | superata |
| 5.1.9 | Verifica del gruppo proprietario del file /etc/at.allow | media | superata |
| 5.1.9 | Verifica le autorizzazioni sul file /etc/at.allow | media | superata |
| 5.1.9 | Verifica dell'utente proprietario del file /etc/at.allow | media | superata |
| 5.2.1 | Verifica del file di configurazione del server SSH del gruppo proprietario | media | superata |
| 5.2.1 | Verifica del proprietario nel file di configurazione del server SSH | media | superata |
| 5.2.1 | Verifica le autorizzazioni nel file di configurazione del server SSH | media | superata |
| 5.2.2 | Verifica delle autorizzazioni sui file di chiavi private *_key del server SSH | media | superata |
| 5.2.3 | Verifica le autorizzazioni sui file delle chiavi pubbliche *.pub del server SSH | media | superata |
| 5.2.5 | Imposta LogLevel su INFO | basso | superata |
| 5.2.6 | Abilita PAM | media | superata |
| 5.2.7 | Disattivare l'accesso come utente root tramite SSH | media | superata |
| 5.2.8 | Disattivare l'autenticazione basata sull'host | media | superata |
| 5.2.9 | Disattivare l'accesso SSH tramite password vuote | high | superata |
| 5.2.10 | Non consentire le opzioni dell'ambiente SSH | media | superata |
| 5.2.11 | Disattivare il supporto SSH per i file .rhosts | media | superata |
| 5.2.12 | Disattiva l'inoltro X11 | media | superata |
| 5.2.13 | Utilizzare solo cifrari sicuri | media | superata |
| 5.2.14 | Usa solo MAC efficaci | media | superata |
| 5.2.15 | Utilizza solo algoritmi di scambio di chiavi sicuri | media | superata |
| 5.2.16 | Disattiva l'inoltro TCP SSH | media | superata |
| 5.2.17 | Attiva il banner di avviso SSH | media | superata |
| 5.2.18 | Imposta il limite di tentativi di autenticazione SSH | media | superata |
| 5.2.19 | Assicurati che SSH MaxStartups sia configurato | media | superata |
| 5.2.20 | Imposta il limite MaxSessions SSH | media | superata |
| 5.2.21 | Assicurati che SSH LoginGraceTime sia configurato | media | superata |
| 5.2.22 | Imposta SSH Client Alive Count Max | media | superata |
| 5.2.22 | Imposta l'intervallo di attività del client SSH | media | superata |
| 5.3.1 | Installa il pacchetto sudo | media | superata |
| 5.3.2 | Assicurati che solo gli utenti che hanno eseguito l'accesso a una tty reale possano eseguire sudo - sudo use_pty | media | superata |
| 5.3.3 | Assicurati che il file di log di Sudo esista - sudo logfile | basso | superata |
| 5.3.5 | Assicurati che gli utenti eseguano nuovamente l'autenticazione per l'escalation dei privilegi - sudo !authenticate | media | superata |
| 5.3.6 | Richiedere la riautenticazione quando si utilizza il comando sudo | media | superata |
| 5.3.7 | Forzare l'utilizzo di pam_wheel con il parametro di gruppo per l'autenticazione su | media | superata |
| 5.3.7 | Assicurati che il gruppo utilizzato dal modulo pam_wheel esista sul sistema e sia vuoto | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti della password. Sono consentiti prompt di nuovi tentativi di autenticazione per sessione | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: categorie diverse minime | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti della password: caratteri numerici minimi | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti della password: lunghezza minima | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: caratteri minuscoli minimi | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: caratteri speciali minimi | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: caratteri maiuscoli minimi | media | superata |
| 5.4.1 | Installa il pacchetto pam_pwquality | media | superata |
| 5.4.2 | Bloccare gli account dopo tentativi di inserimento della password non riusciti | media | superata |
| 5.4.2 | Imposta l'intervallo per il conteggio dei tentativi password non riusciti | media | superata |
| 5.4.2 | Impostare il tempo di blocco per i tentativi password non riusciti | media | superata |
| 5.4.3 | Limita il riutilizzo della password | media | superata |
| 5.4.4 | Imposta l'algoritmo di hashing della password in /etc/login.defs | media | superata |
| 5.5.1.1 | Impostare l'età minima delle password esistenti | media | superata |
| 5.5.1.1 | Impostare l'età minima per la password | media | superata |
| 5.5.1.2 | Imposta l'età massima delle password esistenti | media | superata |
| 5.5.1.3 | Imposta età avviso password | media | superata |
| 5.5.1.4 | Impostare la scadenza dell'account in seguito all'inattività | media | superata |
| 5.5.1.5 | Assicurati che la data dell'ultima modifica della password di tutti gli utenti sia nel passato | media | superata |
| 5.5.2 | Assicurati che gli account di sistema non eseguano una shell all'accesso | media | superata |
| 5.5.3 | Verifica che la radice abbia un GID principale 0 | high | superata |
| 5.5.4 | Assicurarsi che la maschera Bash predefinita sia impostata correttamente | media | superata |
| 5.5.4 | Assicurati che la maschera predefinita sia impostata correttamente per gli utenti interattivi | media | superata |
| 5.5.4 | Assicurarsi che la maschera predefinita sia impostata correttamente in /etc/profile | media | superata |
| 5.5.4 | Assicurati che la maschera predefinita sia impostata correttamente in login.defs | media | superata |
| 5.5.5 | Impostare il timeout della sessione interattiva | media | superata |
| 6.1.1 | Verifica del gruppo proprietario del file passwd | media | superata |
| 6.1.1 | Verifica delle autorizzazioni sul file passwd | media | superata |
| 6.1.1 | Verifica dell'utente proprietario del file passwd | media | superata |
| 6.1.2 | Verifica del gruppo proprietario del file passwd di backup | media | superata |
| 6.1.2 | Verificare le autorizzazioni sul file passwd di backup | media | superata |
| 6.1.2 | Verifica dell'utente proprietario del file passwd di backup | media | superata |
| 6.1.3 | Verificare il gruppo proprietario del file del gruppo | media | superata |
| 6.1.3 | Verificare le autorizzazioni sul file del gruppo | media | superata |
| 6.1.3 | Verifica dell'utente proprietario del file del gruppo | media | superata |
| 6.1.4 | Verifica del gruppo proprietario del file del gruppo di backup | media | superata |
| 6.1.4 | Verificare le autorizzazioni sul file del gruppo di backup | media | superata |
| 6.1.4 | Verifica dell'utente proprietario del file del gruppo di backup | media | superata |
| 6.1.5 | Verifica del gruppo proprietario del file ombra | media | superata |
| 6.1.5 | Verifica delle autorizzazioni sul file ombra | media | superata |
| 6.1.5 | Verifica dell'utente proprietario del file ombra | media | superata |
| 6.1.6 | Verifica del gruppo proprietario del file shadow di backup | media | superata |
| 6.1.6 | Verificare le autorizzazioni sul file shadow di backup | media | superata |
| 6.1.6 | Verifica dell'utente proprietario del file shadow di backup | media | superata |
| 6.1.7 | Verifica del gruppo proprietario del file gshadow | media | superata |
| 6.1.7 | Verificare le autorizzazioni sul file gshadow | media | superata |
| 6.1.7 | Verifica dell'utente proprietario del file gshadow | media | superata |
| 6.1.8 | Verifica del gruppo proprietario del file gshadow di backup | media | superata |
| 6.1.8 | Verifica le autorizzazioni sul file gshadow di backup | media | superata |
| 6.1.8 | Verifica dell'utente proprietario del file gshadow di backup | media | superata |
| 6.1.10 | Assicurarsi che tutti i file siano di proprietà di un utente | media | superata |
| 6.2.1 | Verifica che tutti gli hash delle password dell'account siano sottoposti a shadowing | media | superata |
| 6.2.2 | Assicurati che non ci siano account con password vuote o nulle | high | superata |
| 6.2.3 | Tutti i GID a cui viene fatto riferimento in /etc/passwd devono essere definiti in /etc/group | basso | superata |
| 6.2.4 | Assicurati che il gruppo shadow sia vuoto | media | superata |
| 6.2.5 | Assicurati che tutti gli account sul sistema abbiano ID utente univoci | media | superata |
| 6.2.6 | Assicurarsi che tutti i gruppi del sistema abbiano un ID gruppo univoco | media | superata |
| 6.2.7 | Assicurarsi che tutti gli account sul sistema abbiano nomi univoci | media | superata |
| 6.2.8 | Assicurati che tutti i gruppi del sistema abbiano nomi univoci | media | superata |
| 6.2.9 | Assicurati che il percorso della radice non includa percorsi relativi o directory nulli | sconosciuto | superata |
| 6.2.9 | Assicurati che il percorso della radice non includa directory scrivibili da gruppi o dal mondo | media | superata |
| 6.2.10 | Verifica che solo la radice abbia UID 0 | high | superata |
| 6.2.11 | Tutte le home directory degli utenti interattivi devono esistere | media | superata |
| 6.2.12 | Tutte le home directory degli utenti interattivi devono essere di proprietà del gruppo principale | media | superata |
| 6.2.12 | Tutte le home directory degli utenti interattivi devono essere di proprietà dell'utente principale | media | superata |
| 6.2.13 | Tutte le home directory degli utenti interattivi devono avere la modalità 0750 o meno permissiva | media | superata |
| 6.2.14 | Verifica che non esistano file netrc | media | superata |
| 6.2.15 | Verifica l'esistenza di file No .forward | media | superata |
| 6.2.16 | Rimuovere i file di attendibilità Rsh | high | superata |
| 6.2.17 | I file di inizializzazione utente devono essere di proprietà del gruppo principale | media | superata |
| 6.2.17 | I file di inizializzazione utente devono essere di proprietà dell'utente principale | media | superata |
| 6.2.17 | I file di inizializzazione utente non devono eseguire programmi con autorizzazione di scrittura globale | media | superata |
Suggerimenti non applicabili
La tabella seguente elenca i suggerimenti che non si applicano a Google Distributed Cloud.
| # | Consiglio | Gravità | Stato |
|---|---|---|---|
| 1.1.2.2 | Aggiungi l'opzione nodev a /tmp | media | nonapplicabile |
| 1.1.2.3 | Aggiungere l'opzione noexec a /tmp | media | nonapplicabile |
| 1.1.2.4 | Aggiungere l'opzione nosuid a /tmp | media | nonapplicabile |
| 1.1.3.2 | Aggiungi l'opzione nodev a /var | media | nonapplicabile |
| 1.1.3.3 | Aggiungere l'opzione nosuid a /var | media | nonapplicabile |
| 1.1.4.2 | Aggiungere l'opzione noexec a /var/tmp | media | nonapplicabile |
| 1.1.4.3 | Aggiungi l'opzione nosuid a /var/tmp | media | nonapplicabile |
| 1.1.4.4 | Aggiungi l'opzione nodev a /var/tmp | media | nonapplicabile |
| 1.1.5.2 | Aggiungi l'opzione nodev a /var/log | media | nonapplicabile |
| 1.1.5.3 | Aggiungi l'opzione noexec a /var/log | media | nonapplicabile |
| 1.1.5.4 | Aggiungere l'opzione nosuid a /var/log | media | nonapplicabile |
| 1.1.6.2 | Aggiungere l'opzione noexec a /var/log/audit | media | nonapplicabile |
| 1.1.6.3 | Aggiungi l'opzione nodev a /var/log/audit | media | nonapplicabile |
| 1.1.6.4 | Aggiungi l'opzione nosuid a /var/log/audit | media | nonapplicabile |
| 1.1.7.2 | Aggiungi l'opzione nodev a /home | sconosciuto | nonapplicabile |
| 1.1.7.3 | Aggiungere l'opzione nosuid a /home | media | nonapplicabile |
| 1.4.1 | Imposta la password del bootloader UEFI | high | nonapplicabile |
| 1.8.1 | Rimuovere il gruppo di pacchetti GDM | media | nonapplicabile |
| 1.8.4 | Attivare il blocco del salvaschermo GNOME3 dopo il periodo di inattività | media | nonapplicabile |
| 1.8.5 | Impostare il ritardo del blocco del salvaschermo GNOME3 dopo il periodo di attivazione | media | nonapplicabile |
| 1.8.6 | Disattiva l'apertura del montaggio automatico di GNOME3 | media | nonapplicabile |
| 1.8.6 | Disattivare il montaggio automatico di GNOME3 | media | nonapplicabile |
| 1.8.8 | Disattiva l'esecuzione di GNOME3 Automount | basso | nonapplicabile |
| 1.8.10 | Disattivare XDMCP in GDM | high | nonapplicabile |
| 1,10 | Configurare il profilo utente GNOME3 DConf | high | nonapplicabile |
| 2.1.4.1 | Configura le limitazioni del server per ntpd | media | nonapplicabile |
| 2.1.4.3 | Configurare ntpd per l'esecuzione come utente ntp | media | nonapplicabile |
| 2.1.4.4 | Attivare il daemon NTP | high | nonapplicabile |
| 2.2.15 | Disattiva l'ascolto di rete di Postfix | media | nonapplicabile |
| 3.5.1.3 | Verifica che ufw sia abilitato | media | nonapplicabile |
| 3.5.1.4 | Imposta il traffico di loopback UFW | media | nonapplicabile |
| 3.5.1.6 | Assicurati che esistano regole firewall ufw per tutte le porte aperte | media | nonapplicabile |
| 3.5.1.7 | Assicurati che la policy firewall predefinita di ufw sia impostata su Negazione predefinita | media | nonapplicabile |
| 3.5.3.2.1 | Impostare la policy iptables predefinita per i pacchetti in entrata | media | nonapplicabile |
| 3.5.3.2.2 | Imposta la configurazione per il traffico di loopback | media | nonapplicabile |
| 3.5.3.2.4 | Assicurati che esistano regole firewall iptables per tutte le porte aperte | media | nonapplicabile |
| 3.5.3.3.1 | Impostare il criterio ip6tables predefinito per i pacchetti in entrata | media | nonapplicabile |
| 3.5.3.3.4 | Assicurati che esistano regole firewall ip6tables per tutte le porte aperte | media | nonapplicabile |
1,30
Versioni
Questa sezione si riferisce alle seguenti versioni:
| Versione di Google Distributed Cloud | Versione di Ubuntu | Versione del benchmark CIS Ubuntu | Livello CIS |
|---|---|---|---|
| 1,30 | 22.04 LTS | v1.0.0 | Server di livello 2 |
Consigli non riusciti
La seguente tabella elenca i suggerimenti per i quali Google Distributed Cloud si discosta dai suggerimenti del benchmark. Questi risultati si applicano ai nodi cluster e alla workstation di amministrazione.
| # | Consiglio | Gravità | Stato |
|---|---|---|---|
| 1.1.2.1 | Assicurati che /tmp si trovi su una partizione separata | basso | non superata |
| 1.1.3.1 | Assicurati che /var si trovi su una partizione separata | basso | non superata |
| 1.1.4.1 | Assicurati che /var/tmp si trovi su una partizione separata | media | non superata |
| 1.1.5.1 | Assicurati che /var/log si trovi su una partizione separata | basso | non superata |
| 1.1.6.1 | Assicurati che /var/log/audit si trovi su una partizione separata | basso | non superata |
| 1.1.7.1 | Assicurati che /home si trovi su una partizione separata | basso | non superata |
| 1.4.1 | Impostare la password del bootloader in grub2 | high | non superata |
| 1.4.3 | Assicurarsi che l'autenticazione sia richiesta per la modalità utente singolo | media | non superata |
| 2.3.6 | Disinstalla il pacchetto rpcbind | basso | non superata |
| 3.2.2 | Disabilita il parametro del kernel per l'IP forwarding sulle interfacce IPv4 | media | non superata |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 per impostazione predefinita | media | non superata |
| 3.3.7 | Attiva il parametro del kernel per utilizzare il filtro del percorso inverso su tutte le interfacce IPv4 | media | non superata |
| 3.5.2.8 | Assicurati che il criterio firewall di rifiuto predefinito di nftables | media | non superata |
| 3.5.2.10 | Assicurarsi che le regole nftables siano permanenti | media | non superata |
| 4.2.3 | Verifica le autorizzazioni dei file di log | media | non superata |
| 5.2.4 | Limitare l'accesso SSH degli utenti | sconosciuto | non superata |
| 5.3.4 | Assicurati che gli utenti eseguano nuovamente l'autenticazione per l'escalation dei privilegi - sudo | media | non superata |
| 5.5.1.2 | Imposta età massima password | media | non superata |
Suggerimenti superati
La tabella seguente elenca i suggerimenti per i quali Google Distributed Cloud è conforme ai suggerimenti del benchmark.
| # | Consiglio | Gravità | Stato |
|---|---|---|---|
| 1.1.1.1 | Disattiva il montaggio di cramfs | basso | superata |
| 1.1.1.2 | Disattiva il montaggio di squashfs | basso | superata |
| 1.1.1.3 | Disabilita il montaggio di udf | basso | superata |
| 1.1.8.1 | Aggiungi l'opzione nodev a /dev/shm | media | superata |
| 1.1.8.2 | Aggiungere l'opzione noexec a /dev/shm | media | superata |
| 1.1.8.3 | Aggiungere l'opzione nosuid a /dev/shm | media | superata |
| 1.1.9 | Disattiva Automounter | media | superata |
| 1.1.10 | Disattiva il caricamento di Modprobe del driver di archiviazione USB | media | superata |
| 1.4.2 | Verifica le autorizzazioni di /boot/grub/grub.cfg | media | superata |
| 1.5.1 | Attiva il layout casuale dello spazio degli indirizzi virtuali | media | superata |
| 1.5.2 | Il pacchetto "prelink" non deve essere installato | media | superata |
| 1.5.3 | Disattiva il servizio Apport | sconosciuto | superata |
| 1.5.4 | Disattivare i dump principali per tutti gli utenti | media | superata |
| 1.5.4 | Disattivare i dump principali per i programmi SUID | media | superata |
| 1.6.1.1 | Assicurati che AppArmor sia installato | media | superata |
| 1.6.1.2 | Assicurati che AppArmor sia abilitato nella configurazione del bootloader | media | superata |
| 1.6.1.4 | Imponi tutti i profili AppArmor | media | superata |
| 1.7.1 | Modificare il banner del messaggio del giorno del sistema | media | superata |
| 1.7.2 | Modificare il banner di accesso al sistema | media | superata |
| 1.7.3 | Modificare il banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.4 | Verificare la proprietà del gruppo del banner del messaggio del giorno | media | superata |
| 1.7.4 | Verifica la proprietà del banner del messaggio del giorno | media | superata |
| 1.7.4 | Verificare le autorizzazioni nel banner Messaggio del giorno | media | superata |
| 1.7.5 | Verificare la proprietà del gruppo del banner di accesso al sistema | media | superata |
| 1.7.5 | Verifica la proprietà del banner di accesso al sistema | media | superata |
| 1.7.5 | Verificare le autorizzazioni nel banner di accesso al sistema | media | superata |
| 1.7.6 | Verifica la proprietà del gruppo del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.6 | Verifica la proprietà del banner di accesso al sistema per le connessioni remote | media | superata |
| 1.7.6 | Verifica le autorizzazioni nel banner di accesso al sistema per le connessioni remote | media | superata |
| 2.1.1.1 | Installare il servizio systemd_timesyncd | high | superata |
| 2.1.3.2 | Attiva il servizio systemd_timesyncd | high | superata |
| 2.2.1 | Rimuovi il gruppo di pacchetti X Windows | media | superata |
| 2.2.2 | Disattiva il software del server Avahi | media | superata |
| 2.2.2 | Disinstalla il pacchetto del server avahi | media | superata |
| 2.2.3 | Disattivare il servizio CUPS | sconosciuto | superata |
| 2.2.3 | Disinstallare il pacchetto CUPS | sconosciuto | superata |
| 2.2.4 | Disinstalla il pacchetto del server DHCP | media | superata |
| 2.2.5 | Disinstalla il pacchetto openldap-servers | basso | superata |
| 2.2.6 | Disinstalla il pacchetto nfs-kernel-server | basso | superata |
| 2.2.7 | Disinstalla pacchetto di binding | basso | superata |
| 2.2.8 | Disinstalla il pacchetto vsftpd | high | superata |
| 2.2.9 | Disinstalla il pacchetto httpd | sconosciuto | superata |
| 2.2.9 | Disinstalla il pacchetto nginx | sconosciuto | superata |
| 2.2.10 | Disinstalla il pacchetto cyrus-imapd | sconosciuto | superata |
| 2.2.10 | Disinstalla il pacchetto Dovecot | sconosciuto | superata |
| 2.2.11 | Disinstallare il pacchetto Samba | sconosciuto | superata |
| 2.2.12 | Disinstalla il pacchetto squid | sconosciuto | superata |
| 2.2.13 | Disinstalla il pacchetto net-snmp | sconosciuto | superata |
| 2.2.14 | Disinstalla il pacchetto nis | basso | superata |
| 2.2.15 | Assicurati che l'agente di trasferimento della posta non sia in ascolto su alcun indirizzo non di loopback | media | superata |
| 2.2.16 | Disinstalla il pacchetto rsync | media | superata |
| 2.3.2 | Disinstallare il pacchetto rsh | sconosciuto | superata |
| 2.3.3 | Disinstalla pacchetto di sintesi vocale | media | superata |
| 2.3.4 | Rimuovere i client telnet | basso | superata |
| 2.3.5 | Assicurati che il client LDAP non sia installato | basso | superata |
| 3.1.2 | Disattivare le interfacce di rete wireless | media | superata |
| 3.2.1 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 per impostazione predefinita | media | superata |
| 3.2.1 | Disattiva il parametro del kernel per l'invio di reindirizzamenti ICMP su tutte le interfacce IPv4 | media | superata |
| 3.2.2 | Disabilita il parametro del kernel per l'inoltro IPv6 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing dall'origine su tutte le interfacce IPv4 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione di pacchetti con routing dall'origine su tutte le interfacce IPv6 | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione dei pacchetti con routing di origine sulle interfacce IPv4 per impostazione predefinita | media | superata |
| 3.3.1 | Disabilita il parametro del kernel per l'accettazione dei pacchetti con routing dall'origine sulle interfacce IPv6 per impostazione predefinita | media | superata |
| 3.3.2 | Disattiva l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv4 | media | superata |
| 3.3.2 | Disattiva l'accettazione dei reindirizzamenti ICMP per tutte le interfacce IPv6 | media | superata |
| 3.3.2 | Disattiva il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv4 | media | superata |
| 3.3.2 | Disattiva il parametro del kernel per l'accettazione dei reindirizzamenti ICMP per impostazione predefinita sulle interfacce IPv6 | media | superata |
| 3.3.3 | Configurare il parametro del kernel per accettare i reindirizzamenti sicuri per impostazione predefinita | media | superata |
| 3.3.3 | Disattiva il parametro del kernel per l'accettazione di reindirizzamenti ICMP sicuri su tutte le interfacce IPv4 | media | superata |
| 3.3.4 | Abilita il parametro del kernel per registrare i pacchetti marziani su tutte le interfacce IPv4 | sconosciuto | superata |
| 3.3.4 | Abilita il parametro del kernel per registrare i pacchetti marziani su tutte le interfacce IPv4 per impostazione predefinita | sconosciuto | superata |
| 3.3.5 | Attiva il parametro del kernel per ignorare le richieste di echo di trasmissione ICMP sulle interfacce IPv4 | media | superata |
| 3.3.6 | Abilita il parametro del kernel per ignorare le risposte di errore ICMP false sulle interfacce IPv4 | sconosciuto | superata |
| 3.3.8 | Abilita il parametro del kernel per utilizzare i cookie di sincronizzazione TCP sulle interfacce di rete | media | superata |
| 3.3.9 | Configurare l'accettazione degli annunci del router su tutte le interfacce IPv6 | media | superata |
| 3.3.9 | Disattiva l'accettazione degli annunci del router su tutte le interfacce IPv6 per impostazione predefinita | media | superata |
| 3.4.1 | Disattiva il supporto DCCP | media | superata |
| 3.4.2 | Disabilita il supporto SCTP | media | superata |
| 3.4.3 | Disattiva il supporto di RDS | basso | superata |
| 3.4.4 | Disattiva il supporto TIPC | basso | superata |
| 3.5.1.2 | Rimuovi il pacchetto iptables-persistent | media | superata |
| 3.5.2.1 | Installa il pacchetto nftables | media | superata |
| 3.5.2.4 | Assicurati che esista una tabella per Nftables | media | superata |
| 3.5.2.5 | Assicurati che esistano catene di base per Nftables | media | superata |
| 3.5.2.9 | Verifica che il servizio nftables sia abilitato | media | superata |
| 3.5.3.1.1 | Installa il pacchetto iptables | media | superata |
| 3.5.3.1.3 | Rimuovi il pacchetto ufw | media | superata |
| 4.1.1.1 | Assicurati che il sottosistema di controllo sia installato | media | superata |
| 4.1.1.2 | Abilita il servizio auditd | media | superata |
| 4.1.1.4 | Estendi il limite del backlog di controllo per il daemon di controllo | basso | superata |
| 4.1.2.1 | Configurare le dimensioni massime del file di log di auditd | media | superata |
| 4.1.2.2 | Configura auditd max_log_file_action al raggiungimento della dimensione massima del log | media | superata |
| 4.1.2.3 | Configurare l'azione admin_space_left di auditd in caso di spazio su disco in esaurimento | media | superata |
| 4.1.2.3 | Configura l'azione mail_acct di auditd in caso di spazio su disco in esaurimento | media | superata |
| 4.1.2.3 | Configurare l'azione space_left di auditd in caso di spazio su disco in esaurimento | media | superata |
| 4.1.3.1 | Assicurarsi che auditd raccolga le azioni dell'amministratore di sistema | media | superata |
| 4.1.3.2 | Registra eventi quando vengono eseguiti file eseguibili privilegiati | media | superata |
| 4.1.3.3 | Registra i tentativi di esecuzione delle attività di manutenzione | media | superata |
| 4.1.3.4 | Registra i tentativi di modifica del file localtime | media | superata |
| 4.1.3.4 | Registra i tentativi di alterazione dell'ora tramite adjtimex | media | superata |
| 4.1.3.4 | Registra i tentativi di alterazione dell'ora tramite clock_settime | media | superata |
| 4.1.3.4 | Registra i tentativi di modificare l'ora tramite settimeofday | media | superata |
| 4.1.3.4 | Record Attempts to Alter Time Through stime | media | superata |
| 4.1.3.5 | Registrare eventi che modificano l'ambiente di rete del sistema | media | superata |
| 4.1.3.6 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - su | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - sudo | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - sudoedit | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi privilegiati - umount | media | superata |
| 4.1.3.6 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - unix_chkpwd | media | superata |
| 4.1.3.7 | Registra tentativi di accesso ai file non riusciti - creat | media | superata |
| 4.1.3.7 | Registra tentativi di accesso non riusciti ai file - ftruncate | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso ai file non riusciti - aperto | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso ai file non riusciti - openat | media | superata |
| 4.1.3.7 | Registra i tentativi di accesso ai file non riusciti - troncamento | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/group | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/gshadow | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/passwd | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/security/opasswd | media | superata |
| 4.1.3.8 | Registra eventi che modificano le informazioni di utenti/gruppi - /etc/shadow | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - chmod | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - chown | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - fchmod | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - fchmodat | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - fchown | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - fchownat | media | superata |
| 4.1.3.9 | Registra gli eventi che modificano i controlli di accesso discrezionale del sistema - fremovexattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - fsetxattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - lchown | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - lremovexattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionali del sistema - lsetxattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - removexattr | media | superata |
| 4.1.3.9 | Registra eventi che modificano i controlli di accesso discrezionale del sistema - setxattr | media | superata |
| 4.1.3.10 | Assicurati che auditd raccolga informazioni sull'esportazione su supporti (operazione riuscita) | media | superata |
| 4.1.3.11 | Registrare i tentativi di alterazione delle informazioni di processo e di avvio della sessione | media | superata |
| 4.1.3.12 | Registra i tentativi di alterazione degli eventi di accesso e disconnessione - faillog | media | superata |
| 4.1.3.12 | Registra i tentativi di modifica degli eventi di accesso e disconnessione - lastlog | media | superata |
| 4.1.3.12 | Registra i tentativi di alterare gli eventi di accesso e disconnessione - tallylog | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file per utente - rinomina | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file per utente - renameat | media | superata |
| 4.1.3.13 | Assicurarsi che auditd raccolga gli eventi di eliminazione dei file per utente - scollegamento | media | superata |
| 4.1.3.13 | Assicurati che auditd raccolga gli eventi di eliminazione dei file per utente - unlinkat | media | superata |
| 4.1.3.14 | Registra eventi che modificano i controlli di accesso obbligatori del sistema | media | superata |
| 4.1.3.15 | Registra tutti i tentativi di esecuzione di chcon | media | superata |
| 4.1.3.16 | Registra tutti i tentativi di esecuzione di setfacl | media | superata |
| 4.1.3.17 | Record Any Attempts to Run chacl | media | superata |
| 4.1.3.18 | Assicurati che auditd raccolga informazioni sull'utilizzo dei comandi privilegiati - usermod | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sul caricamento del modulo del kernel - init_module | media | superata |
| 4.1.3.19 | Assicurati che auditd raccolga informazioni sullo scaricamento del modulo del kernel - delete_module | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi privilegiati - insmod | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - modprobe | media | superata |
| 4.1.3.19 | Assicurarsi che auditd raccolga informazioni sull'utilizzo dei comandi con privilegi - rmmod | media | superata |
| 4.1.3.20 | Rendere immutabile la configurazione di auditd | media | superata |
| 4.1.4.1 | I log di controllo del sistema devono avere la modalità 0640 o meno permissiva | media | superata |
| 4.1.4.2 | I log di controllo del sistema devono essere di proprietà di root | media | superata |
| 4.1.4.3 | I log di controllo del sistema devono essere di proprietà del gruppo root | media | superata |
| 4.1.4.4 | I log di controllo del sistema devono avere la modalità 0750 o meno permissiva | media | superata |
| 4.1.4.5 | Verifica delle autorizzazioni su /etc/audit/auditd.conf | media | superata |
| 4.1.4.5 | Verifica delle autorizzazioni su /etc/audit/rules.d/*.rules | media | superata |
| 4.1.4.6 | I file di configurazione di controllo devono essere di proprietà di root | media | superata |
| 4.1.4.7 | I file di configurazione del controllo devono essere di proprietà del gruppo root | media | superata |
| 4.1.4.8 | Verifica che gli strumenti di controllo abbiano la modalità 0755 o inferiore | media | superata |
| 4.1.4.9 | Verifica che gli strumenti di controllo siano di proprietà di root | media | superata |
| 4.1.4.10 | Verificare che gli strumenti di controllo siano di proprietà della radice del gruppo | media | superata |
| 4.2.1.1.1 | Installa il pacchetto systemd-journal-remote | media | superata |
| 4.2.1.1.4 | Disattiva il socket systemd-journal-remote | media | superata |
| 4.2.1.2 | Attiva il servizio systemd-journald | media | superata |
| 4.2.1.3 | Assicurati che journald sia configurato per comprimere i file di log di grandi dimensioni | media | superata |
| 4.2.1.4 | Assicurati che journald sia configurato per scrivere i file di log sul disco permanente | media | superata |
| 4.2.2.1 | Assicurati che rsyslog sia installato | media | superata |
| 4.2.2.2 | Attiva il servizio rsyslog | media | superata |
| 4.2.2.4 | Assicurati che le autorizzazioni predefinite dei file rsyslog siano configurate | media | superata |
| 4.2.2.7 | Assicurati che rsyslog non accetti messaggi remoti a meno che non funga da server di log | media | superata |
| 5.1.1 | Attiva il servizio cron | media | superata |
| 5.1.2 | Verifica del gruppo proprietario di Crontab | media | superata |
| 5.1.2 | Verifica del proprietario su crontab | media | superata |
| 5.1.2 | Verifica delle autorizzazioni su crontab | media | superata |
| 5.1.3 | Verifica del gruppo proprietario di cron.hourly | media | superata |
| 5.1.3 | Verifica il proprietario di cron.hourly | media | superata |
| 5.1.3 | Verifica le autorizzazioni su cron.hourly | media | superata |
| 5.1.4 | Verifica del gruppo proprietario di cron.daily | media | superata |
| 5.1.4 | Verifica del proprietario su cron.daily | media | superata |
| 5.1.4 | Verifica delle autorizzazioni su cron.daily | media | superata |
| 5.1.5 | Verifica del gruppo proprietario di cron.weekly | media | superata |
| 5.1.5 | Verifica il proprietario su cron.weekly | media | superata |
| 5.1.5 | Verifica le autorizzazioni su cron.weekly | media | superata |
| 5.1.6 | Verifica del gruppo proprietario di cron.monthly | media | superata |
| 5.1.6 | Verifica il proprietario di cron.monthly | media | superata |
| 5.1.6 | Verifica le autorizzazioni su cron.monthly | media | superata |
| 5.1.7 | Verifica del gruppo proprietario di cron.d | media | superata |
| 5.1.7 | Verifica il proprietario su cron.d | media | superata |
| 5.1.7 | Verifica delle autorizzazioni su cron.d | media | superata |
| 5.1.8 | Assicurati che /etc/cron.deny non esista | media | superata |
| 5.1.8 | Verifica del gruppo proprietario del file /etc/cron.allow | media | superata |
| 5.1.8 | Verifica le autorizzazioni nel file /etc/cron.allow | media | superata |
| 5.1.8 | Verifica l'utente proprietario del file /etc/cron.allow | media | superata |
| 5.1.9 | Assicurati che /etc/at.deny non esista | media | superata |
| 5.1.9 | Verifica del gruppo proprietario del file /etc/at.allow | media | superata |
| 5.1.9 | Verifica le autorizzazioni sul file /etc/at.allow | media | superata |
| 5.1.9 | Verifica dell'utente proprietario del file /etc/at.allow | media | superata |
| 5.2.1 | Verifica del file di configurazione del server SSH del gruppo proprietario | media | superata |
| 5.2.1 | Verifica del proprietario nel file di configurazione del server SSH | media | superata |
| 5.2.1 | Verifica le autorizzazioni nel file di configurazione del server SSH | media | superata |
| 5.2.2 | Verifica delle autorizzazioni sui file di chiavi private *_key del server SSH | media | superata |
| 5.2.3 | Verifica le autorizzazioni sui file delle chiavi pubbliche *.pub del server SSH | media | superata |
| 5.2.5 | Imposta LogLevel su INFO | basso | superata |
| 5.2.6 | Abilita PAM | media | superata |
| 5.2.7 | Disattivare l'accesso come utente root tramite SSH | media | superata |
| 5.2.8 | Disattivare l'autenticazione basata sull'host | media | superata |
| 5.2.9 | Disattivare l'accesso SSH tramite password vuote | high | superata |
| 5.2.10 | Non consentire le opzioni dell'ambiente SSH | media | superata |
| 5.2.11 | Disattivare il supporto SSH per i file .rhosts | media | superata |
| 5.2.12 | Disattiva l'inoltro X11 | media | superata |
| 5.2.13 | Utilizzare solo cifrari sicuri | media | superata |
| 5.2.14 | Usa solo MAC efficaci | media | superata |
| 5.2.15 | Utilizza solo algoritmi di scambio di chiavi sicuri | media | superata |
| 5.2.16 | Disattiva l'inoltro TCP SSH | media | superata |
| 5.2.17 | Attiva il banner di avviso SSH | media | superata |
| 5.2.18 | Imposta il limite di tentativi di autenticazione SSH | media | superata |
| 5.2.19 | Assicurati che SSH MaxStartups sia configurato | media | superata |
| 5.2.20 | Imposta il limite MaxSessions SSH | media | superata |
| 5.2.21 | Assicurati che SSH LoginGraceTime sia configurato | media | superata |
| 5.2.22 | Imposta SSH Client Alive Count Max | media | superata |
| 5.2.22 | Imposta l'intervallo di attività del client SSH | media | superata |
| 5.3.1 | Installa il pacchetto sudo | media | superata |
| 5.3.2 | Assicurati che solo gli utenti che hanno eseguito l'accesso a una tty reale possano eseguire sudo - sudo use_pty | media | superata |
| 5.3.3 | Assicurati che il file di log di Sudo esista - sudo logfile | basso | superata |
| 5.3.5 | Assicurati che gli utenti eseguano nuovamente l'autenticazione per l'escalation dei privilegi - sudo !authenticate | media | superata |
| 5.3.6 | Richiedere la riautenticazione quando si utilizza il comando sudo | media | superata |
| 5.3.7 | Forzare l'utilizzo di pam_wheel con il parametro di gruppo per l'autenticazione su | media | superata |
| 5.3.7 | Assicurati che il gruppo utilizzato dal modulo pam_wheel esista sul sistema e sia vuoto | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti della password. Sono consentiti prompt di nuovi tentativi di autenticazione per sessione | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: categorie diverse minime | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti della password: caratteri numerici minimi | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti della password: lunghezza minima | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: caratteri minuscoli minimi | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: caratteri speciali minimi | media | superata |
| 5.4.1 | Assicurati che PAM applichi i requisiti per le password: caratteri maiuscoli minimi | media | superata |
| 5.4.1 | Installa il pacchetto pam_pwquality | media | superata |
| 5.4.2 | Bloccare gli account dopo tentativi di inserimento della password non riusciti | media | superata |
| 5.4.2 | Imposta l'intervallo per il conteggio dei tentativi password non riusciti | media | superata |
| 5.4.2 | Impostare il tempo di blocco per i tentativi password non riusciti | media | superata |
| 5.4.3 | Limita il riutilizzo della password | media | superata |
| 5.4.4 | Imposta l'algoritmo di hashing della password in /etc/login.defs | media | superata |
| 5.5.1.1 | Impostare l'età minima delle password esistenti | media | superata |
| 5.5.1.1 | Impostare l'età minima per la password | media | superata |
| 5.5.1.2 | Imposta l'età massima delle password esistenti | media | superata |
| 5.5.1.3 | Imposta età avviso password | media | superata |
| 5.5.1.4 | Impostare la scadenza dell'account in seguito all'inattività | media | superata |
| 5.5.1.5 | Assicurati che la data dell'ultima modifica della password di tutti gli utenti sia nel passato | media | superata |
| 5.5.2 | Assicurati che gli account di sistema non eseguano una shell all'accesso | media | superata |
| 5.5.3 | Verifica che la radice abbia un GID principale 0 | high | superata |
| 5.5.4 | Assicurarsi che la maschera Bash predefinita sia impostata correttamente | media | superata |
| 5.5.4 | Assicurati che la maschera predefinita sia impostata correttamente per gli utenti interattivi | media | superata |
| 5.5.4 | Assicurarsi che la maschera predefinita sia impostata correttamente in /etc/profile | media | superata |
| 5.5.4 | Assicurati che la maschera predefinita sia impostata correttamente in login.defs | media | superata |
| 5.5.5 | Impostare il timeout della sessione interattiva | media | superata |
| 6.1.1 | Verifica del gruppo proprietario del file passwd | media | superata |
| 6.1.1 | Verifica delle autorizzazioni sul file passwd | media | superata |
| 6.1.1 | Verifica dell'utente proprietario del file passwd | media | superata |
| 6.1.2 | Verifica del gruppo proprietario del file passwd di backup | media | superata |
| 6.1.2 | Verificare le autorizzazioni sul file passwd di backup | media | superata |
| 6.1.2 | Verifica dell'utente proprietario del file passwd di backup | media | superata |
| 6.1.3 | Verificare il gruppo proprietario del file del gruppo | media | superata |
| 6.1.3 | Verificare le autorizzazioni sul file del gruppo | media | superata |
| 6.1.3 | Verifica dell'utente proprietario del file del gruppo | media | superata |
| 6.1.4 | Verifica del gruppo proprietario del file del gruppo di backup | media | superata |
| 6.1.4 | Verificare le autorizzazioni sul file del gruppo di backup | media | superata |
| 6.1.4 | Verifica dell'utente proprietario del file del gruppo di backup | media | superata |
| 6.1.5 | Verifica del gruppo proprietario del file ombra | media | superata |
| 6.1.5 | Verifica delle autorizzazioni sul file ombra | media | superata |
| 6.1.5 | Verifica dell'utente proprietario del file ombra | media | superata |
| 6.1.6 | Verifica del gruppo proprietario del file shadow di backup | media | superata |
| 6.1.6 | Verificare le autorizzazioni sul file shadow di backup | media | superata |
| 6.1.6 | Verifica dell'utente proprietario del file shadow di backup | media | superata |
| 6.1.7 | Verifica del gruppo proprietario del file gshadow | media | superata |
| 6.1.7 | Verificare le autorizzazioni sul file gshadow | media | superata |
| 6.1.7 | Verifica dell'utente proprietario del file gshadow | media | superata |
| 6.1.8 | Verifica del gruppo proprietario del file gshadow di backup | media | superata |
| 6.1.8 | Verifica le autorizzazioni sul file gshadow di backup | media | superata |
| 6.1.8 | Verifica dell'utente proprietario del file gshadow di backup | media | superata |
| 6.1.10 | Assicurarsi che tutti i file siano di proprietà di un utente | media | superata |
| 6.2.1 | Verifica che tutti gli hash delle password dell'account siano sottoposti a shadowing | media | superata |
| 6.2.2 | Assicurati che non ci siano account con password vuote o nulle | high | superata |
| 6.2.3 | Tutti i GID a cui viene fatto riferimento in /etc/passwd devono essere definiti in /etc/group | basso | superata |
| 6.2.4 | Assicurati che il gruppo shadow sia vuoto | media | superata |
| 6.2.5 | Assicurati che tutti gli account sul sistema abbiano ID utente univoci | media | superata |
| 6.2.6 | Assicurarsi che tutti i gruppi del sistema abbiano un ID gruppo univoco | media | superata |
| 6.2.7 | Assicurarsi che tutti gli account sul sistema abbiano nomi univoci | media | superata |
| 6.2.8 | Assicurati che tutti i gruppi del sistema abbiano nomi univoci | media | superata |
| 6.2.9 | Assicurati che il percorso della radice non includa percorsi relativi o directory nulli | sconosciuto | superata |
| 6.2.9 | Assicurati che il percorso della radice non includa directory scrivibili da gruppi o dal mondo | media | superata |
| 6.2.10 | Verifica che solo la radice abbia UID 0 | high | superata |
| 6.2.11 | Tutte le home directory degli utenti interattivi devono esistere | media | superata |
| 6.2.12 | Tutte le home directory degli utenti interattivi devono essere di proprietà del gruppo principale | media | superata |
| 6.2.12 | Tutte le home directory degli utenti interattivi devono essere di proprietà dell'utente principale | media | superata |
| 6.2.13 | Tutte le home directory degli utenti interattivi devono avere la modalità 0750 o meno permissiva | media | superata |
| 6.2.14 | Verifica che non esistano file netrc | media | superata |
| 6.2.15 | Verifica l'esistenza di file No .forward | media | superata |
| 6.2.16 | Rimuovere i file di attendibilità Rsh | high | superata |
| 6.2.17 | I file di inizializzazione utente devono essere di proprietà del gruppo principale | media | superata |
| 6.2.17 | I file di inizializzazione utente devono essere di proprietà dell'utente principale | media | superata |
| 6.2.17 | I file di inizializzazione utente non devono eseguire programmi con autorizzazione di scrittura globale | media | superata |
Suggerimenti non applicabili
La tabella seguente elenca i suggerimenti che non si applicano a Google Distributed Cloud.
| # | Consiglio | Gravità | Stato |
|---|---|---|---|
| 1.1.2.2 | Aggiungi l'opzione nodev a /tmp | media | nonapplicabile |
| 1.1.2.3 | Aggiungere l'opzione noexec a /tmp | media | nonapplicabile |
| 1.1.2.4 | Aggiungere l'opzione nosuid a /tmp | media | nonapplicabile |
| 1.1.3.2 | Aggiungi l'opzione nodev a /var | media | nonapplicabile |
| 1.1.3.3 | Aggiungere l'opzione nosuid a /var | media | nonapplicabile |
| 1.1.4.2 | Aggiungere l'opzione noexec a /var/tmp | media | nonapplicabile |
| 1.1.4.3 | Aggiungi l'opzione nosuid a /var/tmp | media | nonapplicabile |
| 1.1.4.4 | Aggiungi l'opzione nodev a /var/tmp | media | nonapplicabile |
| 1.1.5.2 | Aggiungi l'opzione nodev a /var/log | media | nonapplicabile |
| 1.1.5.3 | Aggiungi l'opzione noexec a /var/log | media | nonapplicabile |
| 1.1.5.4 | Aggiungere l'opzione nosuid a /var/log | media | nonapplicabile |
| 1.1.6.2 | Aggiungere l'opzione noexec a /var/log/audit | media | nonapplicabile |
| 1.1.6.3 | Aggiungi l'opzione nodev a /var/log/audit | media | nonapplicabile |
| 1.1.6.4 | Aggiungi l'opzione nosuid a /var/log/audit | media | nonapplicabile |
| 1.1.7.2 | Aggiungi l'opzione nodev a /home | sconosciuto | nonapplicabile |
| 1.1.7.3 | Aggiungere l'opzione nosuid a /home | media | nonapplicabile |
| 1.4.1 | Imposta la password del bootloader UEFI | high | nonapplicabile |
| 1.8.1 | Rimuovere il gruppo di pacchetti GDM | media | nonapplicabile |
| 1.8.4 | Attivare il blocco del salvaschermo GNOME3 dopo il periodo di inattività | media | nonapplicabile |
| 1.8.5 | Impostare il ritardo del blocco del salvaschermo GNOME3 dopo il periodo di attivazione | media | nonapplicabile |
| 1.8.6 | Disattiva l'apertura del montaggio automatico di GNOME3 | media | nonapplicabile |
| 1.8.6 | Disattivare il montaggio automatico di GNOME3 | media | nonapplicabile |
| 1.8.8 | Disattiva l'esecuzione di GNOME3 Automount | basso | nonapplicabile |
| 1.8.10 | Disattivare XDMCP in GDM | high | nonapplicabile |
| 1,10 | Configurare il profilo utente GNOME3 DConf | high | nonapplicabile |
| 2.1.4.1 | Configura le limitazioni del server per ntpd | media | nonapplicabile |
| 2.1.4.3 | Configurare ntpd per l'esecuzione come utente ntp | media | nonapplicabile |
| 2.1.4.4 | Attivare il daemon NTP | high | nonapplicabile |
| 2.2.15 | Disattiva l'ascolto di rete di Postfix | media | nonapplicabile |
| 3.5.1.3 | Verifica che ufw sia abilitato | media | nonapplicabile |
| 3.5.1.4 | Imposta il traffico di loopback UFW | media | nonapplicabile |
| 3.5.1.6 | Assicurati che esistano regole firewall ufw per tutte le porte aperte | media | nonapplicabile |
| 3.5.1.7 | Assicurati che la policy firewall predefinita di ufw sia impostata su Negazione predefinita | media | nonapplicabile |
| 3.5.3.2.1 | Impostare la policy iptables predefinita per i pacchetti in entrata | media | nonapplicabile |
| 3.5.3.2.2 | Imposta la configurazione per il traffico di loopback | media | nonapplicabile |
| 3.5.3.2.4 | Assicurati che esistano regole firewall iptables per tutte le porte aperte | media | nonapplicabile |
| 3.5.3.3.1 | Impostare il criterio ip6tables predefinito per i pacchetti in entrata | media | nonapplicabile |
| 3.5.3.3.4 | Assicurati che esistano regole firewall ip6tables per tutte le porte aperte | media | nonapplicabile |
Configura il cron job AIDE
AIDE è uno strumento di controllo dell'integrità dei file che verifica la conformità al benchmark del server CIS L1
1.4 Filesystem Integrity Checking. In Google Distributed Cloud,
il processo AIDE ha causato problemi di utilizzo elevato delle risorse.
Il processo AIDE sui nodi è disattivato per impostazione predefinita per evitare problemi
di risorse. Ciò influirà sulla conformità al benchmark CIS L1 Server 1.4.2: Ensure
filesystem integrity is regularly checked.
Se vuoi attivare l'esecuzione del cron job AIDE, completa i seguenti passaggi per riattivare AIDE:
Crea un DaemonSet.
Ecco un manifest per un DaemonSet:
apiVersion: apps/v1 kind: DaemonSet metadata: name: enable-aide-pool1 spec: selector: matchLabels: app: enable-aide-pool1 template: metadata: labels: app: enable-aide-pool1 spec: hostIPC: true hostPID: true nodeSelector: cloud.google.com/gke-nodepool: pool-1 containers: - name: update-audit-rule image: ubuntu command: ["chroot", "/host", "bash", "-c"] args: - | set -x while true; do # change daily cronjob schedule minute=30;hour=5 sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab # enable aide chmod 755 /etc/cron.daily/aide sleep 3600 done volumeMounts: - name: host mountPath: /host securityContext: privileged: true volumes: - name: host hostPath: path: /Nel manifest precedente:
Il cron job AIDE viene eseguito solo sul pool di nodi
pool-1come specificato da nodeSelectorcloud.google.com/gke-nodepool: pool-1. Puoi configurare il processo AIDE in modo che venga eseguito su tutti i pool di nodi che vuoi specificando i pool nel camponodeSelector. Per eseguire la stessa pianificazione del cron job in diversi pool di nodi, rimuovi il camponodeSelector. Tuttavia, per evitare congestioni delle risorse host, ti consigliamo di mantenere pianificazioni separate.Il cron job è pianificato per essere eseguito ogni giorno alle 5:30 come specificato dalla configurazione
minute=30;hour=5. Puoi configurare pianificazioni diverse per il cron job AIDE in base alle esigenze.
Copia il manifest in un file denominato
enable-aide.yamle crea il DaemonSet:kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
dove USER_CLUSTER_KUBECONFIG è il percorso del file kubeconfig per il cluster utente.
Utilizzare la valutazione Security Content Automation Protocol (SCAP)
Ti consigliamo di eseguire personalmente la scansione dell'installazione per valutare la conformità di livello 2 con il benchmark CIS di Ubuntu Linux. Esistono vari strumenti disponibili per la scansione dei cluster e della workstation di amministrazione. Puoi utilizzare i seguenti passaggi per installare ed eseguire il set di strumenti open source OpenSCAP per eseguire una valutazione della sicurezza di livello 2:
Copia il seguente script in un file denominato
cis-benchmark.sh:#!/bin/bash set -x REPORTS_DIR="$1" mkdir -p "${REPORTS_DIR}" echo "Start CIS L2 benchmark evaluation..." apt update apt install libopenscap8 sudo oscap xccdf eval \ --profile cis_level2_server_customized \ --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \ --results "${REPORTS_DIR}"/cis-results.xml \ --report "${REPORTS_DIR}"/cis-report.html \ --verbose INFO \ --verbose-log-file "${REPORTS_DIR}/cis-output-verbose.log" \ /etc/cloud/usg/ssg-ubuntu2204-ds-1.2.xml > "${REPORTS_DIR}"/cis-output.log 2>&1 chmod -R 755 "${REPORTS_DIR}/.." echo "Done CIS L2 benchmark evaluation"Rendi eseguibile lo script:
chmod +x cis-benchmark.shEsegui lo script:
./cis-benchmark.sh REPORTS_DIRSostituisci
REPORTS_DIRcon il percorso di una directory esistente in cui vuoi salvare il report di valutazione generato.Al termine dello script, la directory
REPORTS_DIRcontiene il filecis-report.htmlgenerato.