In diesem Dokument wird das Maß der Compliance beschrieben, das Google Distributed Cloud mit der CIS-Ubuntu-Benchmark hat.
Auf die Benchmark zugreifen
Die CIS-Ubuntu-Benchmark steht auf der CIS-Website zur Verfügung:
Konfigurationsprofil
Im Dokument zur CIS-Ubuntu-Benchmark finden Sie Informationen zu Konfigurationsprofilen. Die von Google Distributed Cloud verwendeten Ubuntu-Images sind gehärtet, um dem Level-2-Serverprofil zu genügen.
Bewertung in Google Distributed Cloud
Wir verwenden die folgenden Werte, um den Status von Ubuntu-Empfehlungen in Google Distributed Cloud anzugeben:
| Status | Beschreibung |
|---|---|
| pass | Entspricht einer Benchmarkempfehlung. |
| Nicht bestanden | Weicht von einer Benchmarkempfehlung ab. |
| notapplicable | Ist für das zu bewertende System nicht relevant. |
Status von Google Distributed Cloud
Die mit Google Distributed Cloud verwendeten Ubuntu-Images sind gehärtet, um dem Serverprofil CIS-Level 2 zu genügen. In der folgenden Tabelle sind die Begründungen aufgeführt, warum Google Distributed Cloud-Komponenten bestimmte Empfehlungen nicht erfüllt haben.
Benchmarks mit dem Status Passed sind in der folgenden Tabelle nicht enthalten.
1,32
Versionen
Dieser Abschnitt bezieht sich auf folgende Versionen:
| Google Distributed Cloud-Version | Ubuntu-Version | Version der CIS-Ubuntu-Benchmark | CIS-Level |
|---|---|---|---|
| 1,32 | 22.04 LTS | v1.0.0 | Level-2-Server |
Fehlerhafte Empfehlungen
In der folgenden Tabelle sind die Empfehlungen aufgeführt, bei denen Google Distributed Cloud von den Empfehlungen des Benchmarks abweicht. Diese Ergebnisse gelten für Clusterknoten und die Administrator-Workstation.
| # | Empfehlung | Schweregrad | Status |
|---|---|---|---|
| 1.1.2.1 | Achten Sie darauf, dass sich /tmp auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.3.1 | Achten Sie darauf, dass sich /var auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.4.1 | Achten Sie darauf, dass sich /var/tmp auf einer separaten Partition befindet | Mittel | Nicht bestanden |
| 1.1.5.1 | Achten Sie darauf, dass sich /var/log auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.6.1 | Achten Sie darauf, dass sich /var/log/audit auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.7.1 | Achten Sie darauf, dass sich /home auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.4.1 | Bootloader-Passwort in GRUB 2 festlegen | hoch | Nicht bestanden |
| 1.4.3 | Sicherstellen, dass für den Einzelnutzermodus eine Authentifizierung erforderlich ist | Mittel | Nicht bestanden |
| 2.3.6 | rpcbind-Paket deinstallieren | low | Nicht bestanden |
| 3.2.2 | Kernelparameter für die IP-Weiterleitung auf IPv4-Schnittstellen deaktivieren | Mittel | Nicht bestanden |
| 3.3.7 | Kernelparameter aktivieren, um standardmäßig Reverse Path Filtering für alle IPv4-Schnittstellen zu verwenden | Mittel | Nicht bestanden |
| 3.3.7 | Kernelparameter aktivieren, um die Filterung für umgekehrte Pfade auf allen IPv4-Schnittstellen zu verwenden | Mittel | Nicht bestanden |
| 3.5.2.8 | Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für nftables festgelegt ist | Mittel | Nicht bestanden |
| 3.5.2.10 | Sicherstellen, dass nftables-Regeln dauerhaft sind | Mittel | Nicht bestanden |
| 4.2.3 | Berechtigungen von Logdateien prüfen | Mittel | Nicht bestanden |
| 5.2.4 | SSH-Zugriff von Nutzern einschränken | unbekannt | Nicht bestanden |
| 5.3.4 | Nutzer müssen sich bei der Berechtigungseskalierung noch einmal authentifizieren – sudo | Mittel | Nicht bestanden |
| 5.5.1.2 | Maximales Passwortalter festlegen | Mittel | Nicht bestanden |
Bestandene Empfehlungen
In der folgenden Tabelle sind die Empfehlungen aufgeführt, für die Google Distributed Cloud den Empfehlungen des Benchmarks entspricht.
| # | Empfehlung | Schweregrad | Status |
|---|---|---|---|
| 1.1.1.1 | Bereitstellen von cramfs deaktivieren | low | pass |
| 1.1.1.2 | Bereitstellen von squashfs deaktivieren | low | pass |
| 1.1.1.3 | Bereitstellen von UDF deaktivieren | low | pass |
| 1.1.8.1 | Option „nodev“ zu „/dev/shm“ hinzufügen | Mittel | pass |
| 1.1.8.2 | „noexec“-Option zu „/dev/shm“ hinzufügen | Mittel | pass |
| 1.1.8.3 | Option „nosuid“ zu „/dev/shm“ hinzufügen | Mittel | pass |
| 1.1.9 | Automounter deaktivieren | Mittel | pass |
| 1.1.10 | Modprobe-Laden des USB-Speichertreibers deaktivieren | Mittel | pass |
| 1.4.2 | Berechtigungen für /boot/grub/grub.cfg prüfen | Mittel | pass |
| 1.5.1 | Zufällige Anordnung des virtuellen Adressraums aktivieren | Mittel | pass |
| 1.5.2 | Das Paket „prelink“ darf nicht installiert sein | Mittel | pass |
| 1.5.3 | Apport-Dienst deaktivieren | unbekannt | pass |
| 1.5.4 | Core-Dumps für alle Nutzer deaktivieren | Mittel | pass |
| 1.5.4 | Core Dumps für SUID-Programme deaktivieren | Mittel | pass |
| 1.6.1.1 | Prüfen, ob AppArmor installiert ist | Mittel | pass |
| 1.6.1.2 | Sicherstellen, dass AppArmor in der Bootloader-Konfiguration aktiviert ist | Mittel | pass |
| 1.6.1.4 | Alle AppArmor-Profile erzwingen | Mittel | pass |
| 1.7.1 | System-Banner für die Mitteilung des Tages ändern | Mittel | pass |
| 1.7.2 | Systemanmeldebanner ändern | Mittel | pass |
| 1.7.3 | Systemanmeldebanner für Remoteverbindungen ändern | Mittel | pass |
| 1.7.4 | Gruppeninhaberschaft des Banners „Mitteilung des Tages“ bestätigen | Mittel | pass |
| 1.7.4 | Inhaberschaft des Banners „Mitteilung des Tages“ bestätigen | Mittel | pass |
| 1.7.4 | Berechtigungen im Banner „Mitteilung des Tages“ prüfen | Mittel | pass |
| 1.7.5 | Gruppeninhaberschaft des Systemanmeldebanners bestätigen | Mittel | pass |
| 1.7.5 | Inhaberschaft des Systemanmeldebanners bestätigen | Mittel | pass |
| 1.7.5 | Berechtigungen im Systemanmeldebanner prüfen | Mittel | pass |
| 1.7.6 | Gruppeninhaberschaft des Systemanmeldebanners für Remoteverbindungen überprüfen | Mittel | pass |
| 1.7.6 | Inhaberschaft des Systemanmeldebanners für Remoteverbindungen bestätigen | Mittel | pass |
| 1.7.6 | Berechtigungen im Systemanmeldebanner für Remoteverbindungen prüfen | Mittel | pass |
| 2.1.1.1 | systemd_timesyncd-Dienst installieren | hoch | pass |
| 2.1.3.2 | systemd_timesyncd-Dienst aktivieren | hoch | pass |
| 2.2.1 | X Windows-Paketgruppe entfernen | Mittel | pass |
| 2.2.2 | Avahi-Serversoftware deaktivieren | Mittel | pass |
| 2.2.2 | Avahi-Serverpaket deinstallieren | Mittel | pass |
| 2.2.3 | CUPS-Dienst deaktivieren | unbekannt | pass |
| 2.2.3 | CUPS-Paket deinstallieren | unbekannt | pass |
| 2.2.4 | DHCP-Serverpaket deinstallieren | Mittel | pass |
| 2.2.5 | Paket „openldap-servers“ deinstallieren | low | pass |
| 2.2.6 | Paket „nfs-kernel-server“ deinstallieren | low | pass |
| 2.2.7 | Bind-Paket deinstallieren | low | pass |
| 2.2.8 | vsftpd-Paket deinstallieren | hoch | pass |
| 2.2.9 | httpd-Paket deinstallieren | unbekannt | pass |
| 2.2.9 | nginx-Paket deinstallieren | unbekannt | pass |
| 2.2.10 | cyrus-imapd-Paket deinstallieren | unbekannt | pass |
| 2.2.10 | dovecot-Paket deinstallieren | unbekannt | pass |
| 2.2.11 | Samba-Paket deinstallieren | unbekannt | pass |
| 2.2.12 | Squid-Paket deinstallieren | unbekannt | pass |
| 2.2.13 | net-snmp-Paket deinstallieren | unbekannt | pass |
| 2.2.14 | NIS-Paket deinstallieren | low | pass |
| 2.2.15 | Sicherstellen, dass der Mail Transfer Agent nicht auf einer Nicht-Loopback-Adresse überwacht wird | Mittel | pass |
| 2.2.16 | rsync-Paket deinstallieren | Mittel | pass |
| 2.3.2 | rsh-Paket deinstallieren | unbekannt | pass |
| 2.3.3 | Talk-Paket deinstallieren | Mittel | pass |
| 2.3.4 | Telnet-Clients entfernen | low | pass |
| 2.3.5 | Sicherstellen, dass der LDAP-Client nicht installiert ist | low | pass |
| 3.1.2 | Funknetzwerkschnittstellen deaktivieren | Mittel | pass |
| 3.2.1 | Kernelparameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.2.1 | Kernel-Parameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.2.2 | Kernelparameter für IPv6-Weiterleitung deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf allen IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf allen IPv6-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf IPv4-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf IPv6-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.3.2 | Annehmen von ICMP-Weiterleitungen für alle IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.2 | Annehmen von ICMP-Weiterleitungen für alle IPv6-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.2 | Kernelparameter zum standardmäßigen Annehmen von ICMP-Weiterleitungen auf IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.2 | Kernelparameter zum standardmäßigen Annehmen von ICMP-Weiterleitungen auf IPv6-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.3 | Kernelparameter zum standardmäßigen Akzeptieren sicherer Weiterleitungen konfigurieren | Mittel | pass |
| 3.3.3 | Kernelparameter zum Annehmen sicherer ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.4 | Kernelparameter aktivieren, um Martian-Pakete auf allen IPv4-Schnittstellen zu protokollieren | unbekannt | pass |
| 3.3.4 | Kernelparameter aktivieren, um Martian-Pakete standardmäßig auf allen IPv4-Schnittstellen zu protokollieren | unbekannt | pass |
| 3.3.5 | Kernelparameter aktivieren, um ICMP-Broadcast-Echoanfragen auf IPv4-Schnittstellen zu ignorieren | Mittel | pass |
| 3.3.6 | Kernelparameter aktivieren, um falsche ICMP-Fehlerantworten auf IPv4-Schnittstellen zu ignorieren | unbekannt | pass |
| 3.3.8 | Kernelparameter aktivieren, um TCP-Syncookies auf Netzwerkschnittstellen zu verwenden | Mittel | pass |
| 3.3.9 | Ankündigungen von Routern auf allen IPv6-Schnittstellen akzeptieren | Mittel | pass |
| 3.3.9 | Annehmen von Router-Advertisements auf allen IPv6-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.4.1 | DCCP-Unterstützung deaktivieren | Mittel | pass |
| 3.4.2 | SCTP-Unterstützung deaktivieren | Mittel | pass |
| 3.4.3 | RDS-Unterstützung deaktivieren | low | pass |
| 3.4.4 | TIPC-Unterstützung deaktivieren | low | pass |
| 3.5.1.2 | iptables-persistent-Paket entfernen | Mittel | pass |
| 3.5.2.1 | nftables-Paket installieren | Mittel | pass |
| 3.5.2.4 | Prüfen, ob eine Tabelle für Nftables vorhanden ist | Mittel | pass |
| 3.5.2.5 | Base-Chains für Nftables müssen vorhanden sein | Mittel | pass |
| 3.5.2.9 | Prüfen, ob der nftables-Dienst aktiviert ist | Mittel | pass |
| 3.5.3.1.1 | iptables-Paket installieren | Mittel | pass |
| 3.5.3.1.3 | ufw-Paket entfernen | Mittel | pass |
| 4.1.1.1 | Prüfen, ob das Audit-Subsystem installiert ist | Mittel | pass |
| 4.1.1.2 | auditd-Dienst aktivieren | Mittel | pass |
| 4.1.1.4 | Audit-Backlog-Limit für den Audit-Daemon erweitern | low | pass |
| 4.1.2.1 | Maximale Logdateigröße für „auditd“ konfigurieren | Mittel | pass |
| 4.1.2.2 | „auditd“-Aktion bei Erreichen der maximalen Protokollgröße konfigurieren | Mittel | pass |
| 4.1.2.3 | „auditd“-Aktion „admin_space_left“ bei wenig Speicherplatz konfigurieren | Mittel | pass |
| 4.1.2.3 | „mail_acct“-Aktion von „auditd“ bei wenig Speicherplatz konfigurieren | Mittel | pass |
| 4.1.2.3 | „space_left“-Aktion von „auditd“ bei wenig Speicherplatz konfigurieren | Mittel | pass |
| 4.1.3.1 | Sicherstellen, dass auditd Aktionen von Systemadministratoren erfasst | Mittel | pass |
| 4.1.3.2 | Ereignisse aufzeichnen, wenn privilegierte ausführbare Dateien ausgeführt werden | Mittel | pass |
| 4.1.3.3 | Versuche zur Durchführung von Wartungsaktivitäten aufzeichnen | Mittel | pass |
| 4.1.3.4 | Versuche, die Datei „localtime“ zu ändern, aufzeichnen | Mittel | pass |
| 4.1.3.4 | Versuche, die Zeit über „adjtimex“ zu ändern, aufzeichnen | Mittel | pass |
| 4.1.3.4 | Aufzeichnen von Versuchen, die Zeit über clock_settime zu ändern | Mittel | pass |
| 4.1.3.4 | Versuche aufzeichnen, die Zeit über „settimeofday“ zu ändern | Mittel | pass |
| 4.1.3.4 | Aufzeichnen von Versuchen, die Zeit über „stime“ zu ändern | Mittel | pass |
| 4.1.3.5 | Ereignisse aufzeichnen, die die Netzwerkumgebung des Systems ändern | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – su | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – sudo | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – sudoedit | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – umount | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – unix_chkpwd | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – creat | Mittel | pass |
| 4.1.3.7 | Erfolglosen Zugriffsversuch auf Dateien aufzeichnen – ftruncate | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – offen | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – openat | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – kürzen | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/group | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/gshadow | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/passwd | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/security/opasswd | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/shadow | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – chmod | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – chown | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchmod | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchmodat | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchown | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchownat | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fremovexattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fsetxattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – lchown | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – lremovexattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – lsetxattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – removexattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – setxattr | Mittel | pass |
| 4.1.3.10 | Prüfen, ob auditd Informationen zum Exportieren auf Medien (erfolgreich) erfasst | Mittel | pass |
| 4.1.3.11 | Versuche aufzeichnen, Prozess- und Sitzungsinitiierungsinformationen zu ändern | Mittel | pass |
| 4.1.3.12 | Versuche zum Ändern von An- und Abmeldeereignissen aufzeichnen – faillog | Mittel | pass |
| 4.1.3.12 | Versuche aufzeichnen, An- und Abmeldeereignisse zu ändern – lastlog | Mittel | pass |
| 4.1.3.12 | Versuche zum Ändern von An- und Abmeldeereignissen aufzeichnen – tallylog | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – umbenennen | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – „renameat“ | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – „unlink“ | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – „unlinkat“ | Mittel | pass |
| 4.1.3.14 | Ereignisse aufzeichnen, die die obligatorischen Zugriffssteuerungen des Systems ändern | Mittel | pass |
| 4.1.3.15 | Alle Versuche zum Ausführen von „chcon“ aufzeichnen | Mittel | pass |
| 4.1.3.16 | Alle Versuche zum Ausführen von setfacl aufzeichnen | Mittel | pass |
| 4.1.3.17 | Alle Versuche zum Ausführen von „chacl“ aufzeichnen | Mittel | pass |
| 4.1.3.18 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – usermod | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zum Laden von Kernelmodulen erfasst – init_module | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zum Entladen von Kernelmodulen erfasst – delete_module | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – insmod | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – modprobe | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – rmmod | Mittel | pass |
| 4.1.3.20 | auditd-Konfiguration unveränderlich machen | Mittel | pass |
| 4.1.4.1 | System-Audit-Logs müssen den Modus 0640 oder einen weniger permissiven Modus haben | Mittel | pass |
| 4.1.4.2 | System-Audit-Logs müssen dem Root-Nutzer gehören | Mittel | pass |
| 4.1.4.3 | System-Audit-Logs müssen der Root-Gruppe gehören | Mittel | pass |
| 4.1.4.4 | System-Audit-Logs müssen den Modus 0750 oder einen weniger permissiven Modus haben | Mittel | pass |
| 4.1.4.5 | Berechtigungen für /etc/audit/auditd.conf überprüfen | Mittel | pass |
| 4.1.4.5 | Berechtigungen für /etc/audit/rules.d/*.rules prüfen | Mittel | pass |
| 4.1.4.6 | Konfigurationsdateien für die Überwachung müssen dem Root-Nutzer gehören | Mittel | pass |
| 4.1.4.7 | Audit-Konfigurationsdateien müssen der Gruppe „root“ gehören | Mittel | pass |
| 4.1.4.8 | Prüfen, ob die Audit-Tools den Modus 0755 oder weniger haben | Mittel | pass |
| 4.1.4.9 | Prüfen, ob die Audit-Tools dem Root-Nutzer gehören | Mittel | pass |
| 4.1.4.10 | Prüfen, ob die Audit-Tools dem Gruppen-Root gehören | Mittel | pass |
| 4.2.1.1.1 | Paket „systemd-journal-remote“ installieren | Mittel | pass |
| 4.2.1.1.4 | systemd-journal-remote-Socket deaktivieren | Mittel | pass |
| 4.2.1.2 | systemd-journald-Dienst aktivieren | Mittel | pass |
| 4.2.1.3 | Sicherstellen, dass journald so konfiguriert ist, dass große Logdateien komprimiert werden | Mittel | pass |
| 4.2.1.4 | Sicherstellen, dass journald so konfiguriert ist, dass Logdateien auf nichtflüchtigem Speicher geschrieben werden | Mittel | pass |
| 4.2.2.1 | Sicherstellen, dass rsyslog installiert ist | Mittel | pass |
| 4.2.2.2 | rsyslog-Dienst aktivieren | Mittel | pass |
| 4.2.2.4 | Sicherstellen, dass die Standarddateiberechtigungen für rsyslog konfiguriert sind | Mittel | pass |
| 4.2.2.7 | Sicherstellen, dass rsyslog keine Remotenachrichten akzeptiert, es sei denn, es fungiert als Logserver | Mittel | pass |
| 5.1.1 | Cron-Dienst aktivieren | Mittel | pass |
| 5.1.2 | Gruppe bestätigen, die Inhaber von Crontab ist | Mittel | pass |
| 5.1.2 | Inhaber in crontab bestätigen | Mittel | pass |
| 5.1.2 | Berechtigungen für crontab prüfen | Mittel | pass |
| 5.1.3 | Gruppe ermitteln, die Eigentümer von „cron.hourly“ ist | Mittel | pass |
| 5.1.3 | Inhaberschaft bei „cron.hourly“ bestätigen | Mittel | pass |
| 5.1.3 | Berechtigungen für „cron.hourly“ prüfen | Mittel | pass |
| 5.1.4 | Gruppe ermitteln, die Eigentümer von „cron.daily“ ist | Mittel | pass |
| 5.1.4 | Inhaber für cron.daily bestätigen | Mittel | pass |
| 5.1.4 | Berechtigungen für cron.daily prüfen | Mittel | pass |
| 5.1.5 | Gruppe ermitteln, die Eigentümer von „cron.weekly“ ist | Mittel | pass |
| 5.1.5 | Inhaber auf cron.weekly bestätigen | Mittel | pass |
| 5.1.5 | Berechtigungen für cron.weekly prüfen | Mittel | pass |
| 5.1.6 | Gruppe ermitteln, die Eigentümer von „cron.monthly“ ist | Mittel | pass |
| 5.1.6 | Inhaber für „cron.monthly“ bestätigen | Mittel | pass |
| 5.1.6 | Berechtigungen für „cron.monthly“ prüfen | Mittel | pass |
| 5.1.7 | Gruppe ermitteln, die Eigentümer von „cron.d“ ist | Mittel | pass |
| 5.1.7 | Inhaber in „cron.d“ bestätigen | Mittel | pass |
| 5.1.7 | Berechtigungen für cron.d prüfen | Mittel | pass |
| 5.1.8 | Prüfen Sie, ob /etc/cron.deny nicht vorhanden ist. | Mittel | pass |
| 5.1.8 | Prüfen, welche Gruppe die Datei „/etc/cron.allow“ besitzt | Mittel | pass |
| 5.1.8 | Berechtigungen für die Datei „/etc/cron.allow“ prüfen | Mittel | pass |
| 5.1.8 | Nutzer bestätigen, dem die Datei „/etc/cron.allow“ gehört | Mittel | pass |
| 5.1.9 | Prüfen Sie, ob /etc/at.deny nicht vorhanden ist. | Mittel | pass |
| 5.1.9 | Prüfen, welche Gruppe die Datei „/etc/at.allow“ besitzt | Mittel | pass |
| 5.1.9 | Berechtigungen für die Datei „/etc/at.allow“ prüfen | Mittel | pass |
| 5.1.9 | Prüfen, welcher Nutzer die Datei „/etc/at.allow“ besitzt | Mittel | pass |
| 5.2.1 | Prüfen, welche Gruppe die SSH-Serverkonfigurationsdatei besitzt | Mittel | pass |
| 5.2.1 | Eigentümer in der Konfigurationsdatei des SSH-Servers prüfen | Mittel | pass |
| 5.2.1 | Berechtigungen für die SSH-Serverkonfigurationsdatei prüfen | Mittel | pass |
| 5.2.2 | Berechtigungen für private *_key-Schlüsseldateien auf dem SSH-Server prüfen | Mittel | pass |
| 5.2.3 | Berechtigungen für öffentliche *.pub-Schlüsseldateien auf dem SSH-Server prüfen | Mittel | pass |
| 5.2.5 | LogLevel auf INFO setzen | low | pass |
| 5.2.6 | PAM aktivieren | Mittel | pass |
| 5.2.7 | SSH-Root-Login deaktivieren | Mittel | pass |
| 5.2.8 | Hostbasierte Authentifizierung deaktivieren | Mittel | pass |
| 5.2.9 | SSH-Zugriff über leere Passwörter deaktivieren | hoch | pass |
| 5.2.10 | SSH-Umgebungsoptionen nicht zulassen | Mittel | pass |
| 5.2.11 | SSH-Unterstützung für .rhosts-Dateien deaktivieren | Mittel | pass |
| 5.2.12 | X11-Weiterleitung deaktivieren | Mittel | pass |
| 5.2.13 | Nur starke Chiffren verwenden | Mittel | pass |
| 5.2.14 | Nur starke MACs verwenden | Mittel | pass |
| 5.2.15 | Nur starke Algorithmen zum Schlüsselaustausch verwenden | Mittel | pass |
| 5.2.16 | SSH-TCP-Weiterleitung deaktivieren | Mittel | pass |
| 5.2.17 | SSH-Warnbanner aktivieren | Mittel | pass |
| 5.2.18 | Limit für SSH-Authentifizierungsversuche festlegen | Mittel | pass |
| 5.2.19 | Sicherstellen, dass SSH MaxStartups konfiguriert ist | Mittel | pass |
| 5.2.20 | SSH-Limit für MaxSessions festlegen | Mittel | pass |
| 5.2.21 | Sicherstellen, dass SSH LoginGraceTime konfiguriert ist | Mittel | pass |
| 5.2.22 | „SSH Client Alive Count Max“ festlegen | Mittel | pass |
| 5.2.22 | SSH-Client-Alive-Intervall festlegen | Mittel | pass |
| 5.3.1 | sudo-Paket installieren | Mittel | pass |
| 5.3.2 | Sicherstellen, dass nur Nutzer, die an einem echten TTY angemeldet sind, „sudo“ ausführen können – sudo use_pty | Mittel | pass |
| 5.3.3 | Sudo-Logdatei muss vorhanden sein – sudo logfile | low | pass |
| 5.3.5 | Nutzer müssen sich bei der Berechtigungseskalierung noch einmal authentifizieren – sudo !authenticate | Mittel | pass |
| 5.3.6 | Erneute Authentifizierung bei Verwendung des sudo-Befehls erforderlich machen | Mittel | pass |
| 5.3.7 | Erzwingen der Verwendung von „pam_wheel“ mit dem Gruppenparameter für die „su“-Authentifizierung | Mittel | pass |
| 5.3.7 | Sicherstellen, dass die vom pam_wheel-Modul verwendete Gruppe auf dem System vorhanden und leer ist | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Aufforderungen zum Wiederholen der Authentifizierung pro Sitzung zulässig | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl verschiedener Kategorien | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl von Ziffern | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestlänge | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM die Passwortanforderungen erzwingt – Mindestanzahl an Kleinbuchstaben | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl von Sonderzeichen | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl an Großbuchstaben | Mittel | pass |
| 5.4.1 | pam_pwquality-Paket installieren | Mittel | pass |
| 5.4.2 | Konten nach fehlgeschlagenen Passworteingaben sperren | Mittel | pass |
| 5.4.2 | Intervall für die Zählung falscher Passworteingaben festlegen | Mittel | pass |
| 5.4.2 | Sperrzeit für falsche Passworteingaben festlegen | Mittel | pass |
| 5.4.3 | Wiederverwendung von Passwörtern einschränken | Mittel | pass |
| 5.4.4 | Passwort-Hashing-Algorithmus in /etc/login.defs festlegen | Mittel | pass |
| 5.5.1.1 | Mindestalter für vorhandene Passwörter festlegen | Mittel | pass |
| 5.5.1.1 | Mindestalter für Passwörter festlegen | Mittel | pass |
| 5.5.1.2 | Maximales Alter für vorhandene Passwörter festlegen | Mittel | pass |
| 5.5.1.3 | Alter für Passwortwarnung festlegen | Mittel | pass |
| 5.5.1.4 | Kontoablauf nach Inaktivität festlegen | Mittel | pass |
| 5.5.1.5 | Achten Sie darauf, dass das Datum der letzten Passwortänderung aller Nutzer in der Vergangenheit liegt. | Mittel | pass |
| 5.5.2 | Sicherstellen, dass Systemkonten bei der Anmeldung keine Shell ausführen | Mittel | pass |
| 5.5.3 | Prüfen, ob Root die primäre GID 0 hat | hoch | pass |
| 5.5.4 | Standard-Bash-Umask richtig festlegen | Mittel | pass |
| 5.5.4 | Standard-Umask für interaktive Nutzer richtig festlegen | Mittel | pass |
| 5.5.4 | Prüfen, ob die Standard-Umask in /etc/profile richtig festgelegt ist | Mittel | pass |
| 5.5.4 | Sicherstellen, dass die Standard-Umask in „login.defs“ richtig festgelegt ist | Mittel | pass |
| 5.5.5 | Zeitlimit für interaktive Sitzungen festlegen | Mittel | pass |
| 6.1.1 | Gruppe prüfen, der die Datei „passwd“ gehört | Mittel | pass |
| 6.1.1 | Berechtigungen für die Datei „passwd“ prüfen | Mittel | pass |
| 6.1.1 | Nutzer bestätigen, dem die passwd-Datei gehört | Mittel | pass |
| 6.1.2 | Gruppe überprüfen, der die Sicherungsdatei „passwd“ gehört | Mittel | pass |
| 6.1.2 | Berechtigungen für die Sicherungsdatei „passwd“ prüfen | Mittel | pass |
| 6.1.2 | Nutzer überprüfen, dem die Sicherungsdatei „passwd“ gehört | Mittel | pass |
| 6.1.3 | Prüfen, wem die Gruppendatei gehört | Mittel | pass |
| 6.1.3 | Berechtigungen für Gruppendatei prüfen | Mittel | pass |
| 6.1.3 | Nutzer bestätigen, dem die Gruppendatei gehört | Mittel | pass |
| 6.1.4 | Gruppe überprüfen, der die Sicherungsgruppendatei gehört | Mittel | pass |
| 6.1.4 | Berechtigungen für die Datei der Sicherungsgruppe prüfen | Mittel | pass |
| 6.1.4 | Nutzer überprüfen, dem die Datei der Sicherungsgruppe gehört | Mittel | pass |
| 6.1.5 | Gruppe ermitteln, die die Schattenkopie besitzt | Mittel | pass |
| 6.1.5 | Berechtigungen für Schattenkopie überprüfen | Mittel | pass |
| 6.1.5 | Nutzer bestätigen, dem die Schattenkopie gehört | Mittel | pass |
| 6.1.6 | Gruppe prüfen, der die Schattenkopie der Sicherungsdatei gehört | Mittel | pass |
| 6.1.6 | Berechtigungen für die Schattenkopie der Sicherung prüfen | Mittel | pass |
| 6.1.6 | Nutzer bestätigen, dem die Schattenkopie der Sicherung gehört | Mittel | pass |
| 6.1.7 | Überprüfen, wem die Datei „gshadow“ gehört | Mittel | pass |
| 6.1.7 | Berechtigungen für die Datei „gshadow“ prüfen | Mittel | pass |
| 6.1.7 | Nutzer überprüfen, dem die Datei „gshadow“ gehört | Mittel | pass |
| 6.1.8 | Gruppe überprüfen, die die gshadow-Datei für die Sicherung besitzt | Mittel | pass |
| 6.1.8 | Berechtigungen für die gshadow-Sicherungsdatei prüfen | Mittel | pass |
| 6.1.8 | Nutzer überprüfen, dem die gshadow-Datei für die Sicherung gehört | Mittel | pass |
| 6.1.10 | Sicherstellen, dass alle Dateien einem Nutzer gehören | Mittel | pass |
| 6.2.1 | Prüfen, ob alle Passwort-Hashes des Kontos verschlüsselt sind | Mittel | pass |
| 6.2.2 | Sicherstellen, dass keine Konten mit leeren oder Null-Passwörtern vorhanden sind | hoch | pass |
| 6.2.3 | Alle in /etc/passwd referenzierten GIDs müssen in /etc/group definiert sein. | low | pass |
| 6.2.4 | Schattenkopie-Gruppe muss leer sein | Mittel | pass |
| 6.2.5 | Achten Sie darauf, dass alle Konten im System eindeutige Nutzer-IDs haben. | Mittel | pass |
| 6.2.6 | Sicherstellen, dass alle Gruppen im System eine eindeutige Gruppen-ID haben | Mittel | pass |
| 6.2.7 | Achten Sie darauf, dass alle Konten im System eindeutige Namen haben. | Mittel | pass |
| 6.2.8 | Sicherstellen, dass alle Gruppen im System eindeutige Gruppennamen haben | Mittel | pass |
| 6.2.9 | Achten Sie darauf, dass der Pfad des Stammelements keine relativen Pfade oder Nullverzeichnisse enthält. | unbekannt | pass |
| 6.2.9 | Sicherstellen, dass der Pfad des Root-Verzeichnisses keine für alle oder für Gruppen beschreibbaren Verzeichnisse enthält | Mittel | pass |
| 6.2.10 | Prüfen, ob nur Root die UID 0 hat | hoch | pass |
| 6.2.11 | Alle Basisverzeichnisse interaktiver Nutzer müssen vorhanden sein | Mittel | pass |
| 6.2.12 | Alle Home-Verzeichnisse interaktiver Nutzer müssen der primären Gruppe gehören. | Mittel | pass |
| 6.2.12 | Alle interaktiven Nutzerbasisverzeichnisse müssen dem primären Nutzer gehören | Mittel | pass |
| 6.2.13 | Alle interaktiven Nutzer-Home-Verzeichnisse müssen den Modus 0750 oder weniger permissive Berechtigungen haben | Mittel | pass |
| 6.2.14 | Prüfen, ob keine .netrc-Dateien vorhanden sind | Mittel | pass |
| 6.2.15 | Prüfen, ob keine .forward-Dateien vorhanden sind | Mittel | pass |
| 6.2.16 | Rsh-Vertrauensdateien entfernen | hoch | pass |
| 6.2.17 | Nutzerinitialisierungsdateien müssen der primären Gruppe gehören. | Mittel | pass |
| 6.2.17 | Dateien zur Nutzerinitialisierung müssen dem Primärnutzer gehören | Mittel | pass |
| 6.2.17 | Nutzerinitialisierungsdateien dürfen keine Programme ausführen, die für alle beschreibbar sind | Mittel | pass |
Nicht anwendbare Empfehlungen
In der folgenden Tabelle sind die Empfehlungen aufgeführt, die nicht für Google Distributed Cloud gelten.
| # | Empfehlung | Schweregrad | Status |
|---|---|---|---|
| 1.1.2.2 | Option „nodev“ zu „/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.2.3 | Option „noexec“ zu „/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.2.4 | Option „nosuid“ zu „/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.3.2 | Option „nodev“ zu „/var“ hinzufügen | Mittel | notapplicable |
| 1.1.3.3 | Option „nosuid“ zu „/var“ hinzufügen | Mittel | notapplicable |
| 1.1.4.2 | „noexec“-Option zu /var/tmp hinzufügen | Mittel | notapplicable |
| 1.1.4.3 | Option „nosuid“ zu „/var/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.4.4 | Option „nodev“ zu „/var/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.5.2 | Option „nodev“ zu „/var/log“ hinzufügen | Mittel | notapplicable |
| 1.1.5.3 | Option „noexec“ zu „/var/log“ hinzufügen | Mittel | notapplicable |
| 1.1.5.4 | Option „nosuid“ zu „/var/log“ hinzufügen | Mittel | notapplicable |
| 1.1.6.2 | Option „noexec“ zu /var/log/audit hinzufügen | Mittel | notapplicable |
| 1.1.6.3 | Option „nodev“ zu /var/log/audit hinzufügen | Mittel | notapplicable |
| 1.1.6.4 | Option „nosuid“ zu /var/log/audit hinzufügen | Mittel | notapplicable |
| 1.1.7.2 | Option „nodev“ zu „/home“ hinzufügen | unbekannt | notapplicable |
| 1.1.7.3 | Option „nosuid“ zu „/home“ hinzufügen | Mittel | notapplicable |
| 1.10 | GNOME3-DConf-Nutzerprofil konfigurieren | hoch | notapplicable |
| 1.4.1 | UEFI-Bootloader-Passwort festlegen | hoch | notapplicable |
| 1.8.1 | GDM-Paketgruppe entfernen | Mittel | notapplicable |
| 1.8.10 | XDMCP in GDM deaktivieren | hoch | notapplicable |
| 1.8.4 | GNOME3-Bildschirmschoner-Sperre nach Inaktivitätszeitraum aktivieren | Mittel | notapplicable |
| 1.8.5 | Verzögerung für die GNOME3-Bildschirmschoner-Sperre nach dem Aktivierungszeitraum festlegen | Mittel | notapplicable |
| 1.8.6 | Automatisches Öffnen von GNOME3 deaktivieren | Mittel | notapplicable |
| 1.8.6 | Automounting in GNOME3 deaktivieren | Mittel | notapplicable |
| 1.8.8 | GNOME3-Automount deaktivieren | low | notapplicable |
| 2.1.4.1 | Serverbeschränkungen für ntpd konfigurieren | Mittel | notapplicable |
| 2.1.4.3 | ntpd so konfigurieren, dass es als ntp-Nutzer ausgeführt wird | Mittel | notapplicable |
| 2.1.4.4 | NTP-Daemon aktivieren | hoch | notapplicable |
| 2.2.15 | Postfix-Netzwerk-Listening deaktivieren | Mittel | notapplicable |
| 3.5.1.3 | Prüfen, ob ufw aktiviert ist | Mittel | notapplicable |
| 3.5.1.4 | UFW-Loopback-Traffic einrichten | Mittel | notapplicable |
| 3.5.1.6 | Sicherstellen, dass ufw-Firewallregeln für alle offenen Ports vorhanden sind | Mittel | notapplicable |
| 3.5.1.7 | Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für ufw festgelegt ist | Mittel | notapplicable |
| 3.5.3.2.1 | Standard-iptables-Richtlinie für eingehende Pakete festlegen | Mittel | notapplicable |
| 3.5.3.2.2 | Konfiguration für Loopback-Traffic festlegen | Mittel | notapplicable |
| 3.5.3.2.4 | Sicherstellen, dass iptables-Firewallregeln für alle offenen Ports vorhanden sind | Mittel | notapplicable |
| 3.5.3.3.1 | Standardrichtlinie für eingehende Pakete in ip6tables festlegen | Mittel | notapplicable |
| 3.5.3.3.4 | Sicherstellen, dass ip6tables-Firewallregeln für alle offenen Ports vorhanden sind | Mittel | notapplicable |
1,31
Versionen
Dieser Abschnitt bezieht sich auf folgende Versionen:
| Google Distributed Cloud-Version | Ubuntu-Version | Version der CIS-Ubuntu-Benchmark | CIS-Level |
|---|---|---|---|
| 1,31 | 22.04 LTS | v1.0.0 | Level-2-Server |
Fehlerhafte Empfehlungen
In der folgenden Tabelle sind die Empfehlungen aufgeführt, bei denen Google Distributed Cloud von den Empfehlungen des Benchmarks abweicht. Diese Ergebnisse gelten für Clusterknoten und die Administrator-Workstation.
| # | Empfehlung | Schweregrad | Status |
|---|---|---|---|
| 1.1.2.1 | Achten Sie darauf, dass sich /tmp auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.3.1 | Achten Sie darauf, dass sich /var auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.4.1 | Achten Sie darauf, dass sich /var/tmp auf einer separaten Partition befindet | Mittel | Nicht bestanden |
| 1.1.5.1 | Achten Sie darauf, dass sich /var/log auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.6.1 | Achten Sie darauf, dass sich /var/log/audit auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.7.1 | Achten Sie darauf, dass sich /home auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.4.1 | Bootloader-Passwort in GRUB 2 festlegen | hoch | Nicht bestanden |
| 1.4.3 | Sicherstellen, dass für den Einzelnutzermodus eine Authentifizierung erforderlich ist | Mittel | Nicht bestanden |
| 2.3.6 | rpcbind-Paket deinstallieren | low | Nicht bestanden |
| 3.2.2 | Kernelparameter für die IP-Weiterleitung auf IPv4-Schnittstellen deaktivieren | Mittel | Nicht bestanden |
| 3.3.7 | Kernelparameter aktivieren, um standardmäßig Reverse Path Filtering für alle IPv4-Schnittstellen zu verwenden | Mittel | Nicht bestanden |
| 3.3.7 | Kernelparameter aktivieren, um die Filterung für umgekehrte Pfade auf allen IPv4-Schnittstellen zu verwenden | Mittel | Nicht bestanden |
| 3.5.2.8 | Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für nftables festgelegt ist | Mittel | Nicht bestanden |
| 3.5.2.10 | Sicherstellen, dass nftables-Regeln dauerhaft sind | Mittel | Nicht bestanden |
| 4.2.3 | Berechtigungen von Logdateien prüfen | Mittel | Nicht bestanden |
| 5.2.4 | SSH-Zugriff von Nutzern einschränken | unbekannt | Nicht bestanden |
| 5.3.4 | Nutzer müssen sich bei der Berechtigungseskalierung noch einmal authentifizieren – sudo | Mittel | Nicht bestanden |
| 5.5.1.2 | Maximales Passwortalter festlegen | Mittel | Nicht bestanden |
Bestandene Empfehlungen
In der folgenden Tabelle sind die Empfehlungen aufgeführt, für die Google Distributed Cloud den Empfehlungen des Benchmarks entspricht.
| # | Empfehlung | Schweregrad | Status |
|---|---|---|---|
| 1.1.1.1 | Bereitstellen von cramfs deaktivieren | low | pass |
| 1.1.1.2 | Bereitstellen von squashfs deaktivieren | low | pass |
| 1.1.1.3 | Bereitstellen von UDF deaktivieren | low | pass |
| 1.1.8.1 | Option „nodev“ zu „/dev/shm“ hinzufügen | Mittel | pass |
| 1.1.8.2 | „noexec“-Option zu „/dev/shm“ hinzufügen | Mittel | pass |
| 1.1.8.3 | Option „nosuid“ zu „/dev/shm“ hinzufügen | Mittel | pass |
| 1.1.9 | Automounter deaktivieren | Mittel | pass |
| 1.1.10 | Modprobe-Laden des USB-Speichertreibers deaktivieren | Mittel | pass |
| 1.4.2 | Berechtigungen für /boot/grub/grub.cfg prüfen | Mittel | pass |
| 1.5.1 | Zufällige Anordnung des virtuellen Adressraums aktivieren | Mittel | pass |
| 1.5.2 | Das Paket „prelink“ darf nicht installiert sein | Mittel | pass |
| 1.5.3 | Apport-Dienst deaktivieren | unbekannt | pass |
| 1.5.4 | Core-Dumps für alle Nutzer deaktivieren | Mittel | pass |
| 1.5.4 | Core Dumps für SUID-Programme deaktivieren | Mittel | pass |
| 1.6.1.1 | Prüfen, ob AppArmor installiert ist | Mittel | pass |
| 1.6.1.2 | Sicherstellen, dass AppArmor in der Bootloader-Konfiguration aktiviert ist | Mittel | pass |
| 1.6.1.4 | Alle AppArmor-Profile erzwingen | Mittel | pass |
| 1.7.1 | System-Banner für die Mitteilung des Tages ändern | Mittel | pass |
| 1.7.2 | Systemanmeldebanner ändern | Mittel | pass |
| 1.7.3 | Systemanmeldebanner für Remoteverbindungen ändern | Mittel | pass |
| 1.7.4 | Gruppeninhaberschaft des Banners „Mitteilung des Tages“ bestätigen | Mittel | pass |
| 1.7.4 | Inhaberschaft des Banners „Mitteilung des Tages“ bestätigen | Mittel | pass |
| 1.7.4 | Berechtigungen im Banner „Mitteilung des Tages“ prüfen | Mittel | pass |
| 1.7.5 | Gruppeninhaberschaft des Systemanmeldebanners bestätigen | Mittel | pass |
| 1.7.5 | Inhaberschaft des Systemanmeldebanners bestätigen | Mittel | pass |
| 1.7.5 | Berechtigungen im Systemanmeldebanner prüfen | Mittel | pass |
| 1.7.6 | Gruppeninhaberschaft des Systemanmeldebanners für Remoteverbindungen überprüfen | Mittel | pass |
| 1.7.6 | Inhaberschaft des Systemanmeldebanners für Remoteverbindungen bestätigen | Mittel | pass |
| 1.7.6 | Berechtigungen im Systemanmeldebanner für Remoteverbindungen prüfen | Mittel | pass |
| 2.1.1.1 | systemd_timesyncd-Dienst installieren | hoch | pass |
| 2.1.3.2 | systemd_timesyncd-Dienst aktivieren | hoch | pass |
| 2.2.1 | X Windows-Paketgruppe entfernen | Mittel | pass |
| 2.2.2 | Avahi-Serversoftware deaktivieren | Mittel | pass |
| 2.2.2 | Avahi-Serverpaket deinstallieren | Mittel | pass |
| 2.2.3 | CUPS-Dienst deaktivieren | unbekannt | pass |
| 2.2.3 | CUPS-Paket deinstallieren | unbekannt | pass |
| 2.2.4 | DHCP-Serverpaket deinstallieren | Mittel | pass |
| 2.2.5 | Paket „openldap-servers“ deinstallieren | low | pass |
| 2.2.6 | Paket „nfs-kernel-server“ deinstallieren | low | pass |
| 2.2.7 | Bind-Paket deinstallieren | low | pass |
| 2.2.8 | vsftpd-Paket deinstallieren | hoch | pass |
| 2.2.9 | httpd-Paket deinstallieren | unbekannt | pass |
| 2.2.9 | nginx-Paket deinstallieren | unbekannt | pass |
| 2.2.10 | cyrus-imapd-Paket deinstallieren | unbekannt | pass |
| 2.2.10 | dovecot-Paket deinstallieren | unbekannt | pass |
| 2.2.11 | Samba-Paket deinstallieren | unbekannt | pass |
| 2.2.12 | Squid-Paket deinstallieren | unbekannt | pass |
| 2.2.13 | net-snmp-Paket deinstallieren | unbekannt | pass |
| 2.2.14 | NIS-Paket deinstallieren | low | pass |
| 2.2.15 | Sicherstellen, dass der Mail Transfer Agent nicht auf einer Nicht-Loopback-Adresse überwacht wird | Mittel | pass |
| 2.2.16 | rsync-Paket deinstallieren | Mittel | pass |
| 2.3.2 | rsh-Paket deinstallieren | unbekannt | pass |
| 2.3.3 | Talk-Paket deinstallieren | Mittel | pass |
| 2.3.4 | Telnet-Clients entfernen | low | pass |
| 2.3.5 | Sicherstellen, dass der LDAP-Client nicht installiert ist | low | pass |
| 3.1.2 | Funknetzwerkschnittstellen deaktivieren | Mittel | pass |
| 3.2.1 | Kernelparameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.2.1 | Kernel-Parameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.2.2 | Kernelparameter für IPv6-Weiterleitung deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf allen IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf allen IPv6-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf IPv4-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf IPv6-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.3.2 | Annehmen von ICMP-Weiterleitungen für alle IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.2 | Annehmen von ICMP-Weiterleitungen für alle IPv6-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.2 | Kernelparameter zum standardmäßigen Annehmen von ICMP-Weiterleitungen auf IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.2 | Kernelparameter zum standardmäßigen Annehmen von ICMP-Weiterleitungen auf IPv6-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.3 | Kernelparameter zum standardmäßigen Akzeptieren sicherer Weiterleitungen konfigurieren | Mittel | pass |
| 3.3.3 | Kernelparameter zum Annehmen sicherer ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.4 | Kernelparameter aktivieren, um Martian-Pakete auf allen IPv4-Schnittstellen zu protokollieren | unbekannt | pass |
| 3.3.4 | Kernelparameter aktivieren, um Martian-Pakete standardmäßig auf allen IPv4-Schnittstellen zu protokollieren | unbekannt | pass |
| 3.3.5 | Kernelparameter aktivieren, um ICMP-Broadcast-Echoanfragen auf IPv4-Schnittstellen zu ignorieren | Mittel | pass |
| 3.3.6 | Kernelparameter aktivieren, um falsche ICMP-Fehlerantworten auf IPv4-Schnittstellen zu ignorieren | unbekannt | pass |
| 3.3.8 | Kernelparameter aktivieren, um TCP-Syncookies auf Netzwerkschnittstellen zu verwenden | Mittel | pass |
| 3.3.9 | Ankündigungen von Routern auf allen IPv6-Schnittstellen akzeptieren | Mittel | pass |
| 3.3.9 | Annehmen von Router-Advertisements auf allen IPv6-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.4.1 | DCCP-Unterstützung deaktivieren | Mittel | pass |
| 3.4.2 | SCTP-Unterstützung deaktivieren | Mittel | pass |
| 3.4.3 | RDS-Unterstützung deaktivieren | low | pass |
| 3.4.4 | TIPC-Unterstützung deaktivieren | low | pass |
| 3.5.1.2 | iptables-persistent-Paket entfernen | Mittel | pass |
| 3.5.2.1 | nftables-Paket installieren | Mittel | pass |
| 3.5.2.4 | Prüfen, ob eine Tabelle für Nftables vorhanden ist | Mittel | pass |
| 3.5.2.5 | Base-Chains für Nftables müssen vorhanden sein | Mittel | pass |
| 3.5.2.9 | Prüfen, ob der nftables-Dienst aktiviert ist | Mittel | pass |
| 3.5.3.1.1 | iptables-Paket installieren | Mittel | pass |
| 3.5.3.1.3 | ufw-Paket entfernen | Mittel | pass |
| 4.1.1.1 | Prüfen, ob das Audit-Subsystem installiert ist | Mittel | pass |
| 4.1.1.2 | auditd-Dienst aktivieren | Mittel | pass |
| 4.1.1.4 | Audit-Backlog-Limit für den Audit-Daemon erweitern | low | pass |
| 4.1.2.1 | Maximale Logdateigröße für „auditd“ konfigurieren | Mittel | pass |
| 4.1.2.2 | „auditd“-Aktion bei Erreichen der maximalen Protokollgröße konfigurieren | Mittel | pass |
| 4.1.2.3 | „auditd“-Aktion „admin_space_left“ bei wenig Speicherplatz konfigurieren | Mittel | pass |
| 4.1.2.3 | „mail_acct“-Aktion von „auditd“ bei wenig Speicherplatz konfigurieren | Mittel | pass |
| 4.1.2.3 | „space_left“-Aktion von „auditd“ bei wenig Speicherplatz konfigurieren | Mittel | pass |
| 4.1.3.1 | Sicherstellen, dass auditd Aktionen von Systemadministratoren erfasst | Mittel | pass |
| 4.1.3.2 | Ereignisse aufzeichnen, wenn privilegierte ausführbare Dateien ausgeführt werden | Mittel | pass |
| 4.1.3.3 | Versuche zur Durchführung von Wartungsaktivitäten aufzeichnen | Mittel | pass |
| 4.1.3.4 | Versuche, die Datei „localtime“ zu ändern, aufzeichnen | Mittel | pass |
| 4.1.3.4 | Versuche, die Zeit über „adjtimex“ zu ändern, aufzeichnen | Mittel | pass |
| 4.1.3.4 | Aufzeichnen von Versuchen, die Zeit über clock_settime zu ändern | Mittel | pass |
| 4.1.3.4 | Versuche aufzeichnen, die Zeit über „settimeofday“ zu ändern | Mittel | pass |
| 4.1.3.4 | Aufzeichnen von Versuchen, die Zeit über „stime“ zu ändern | Mittel | pass |
| 4.1.3.5 | Ereignisse aufzeichnen, die die Netzwerkumgebung des Systems ändern | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – su | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – sudo | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – sudoedit | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – umount | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – unix_chkpwd | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – creat | Mittel | pass |
| 4.1.3.7 | Erfolglosen Zugriffsversuch auf Dateien aufzeichnen – ftruncate | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – offen | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – openat | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – kürzen | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/group | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/gshadow | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/passwd | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/security/opasswd | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/shadow | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – chmod | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – chown | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchmod | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchmodat | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchown | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchownat | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fremovexattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fsetxattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – lchown | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – lremovexattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – lsetxattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – removexattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – setxattr | Mittel | pass |
| 4.1.3.10 | Prüfen, ob auditd Informationen zum Exportieren auf Medien (erfolgreich) erfasst | Mittel | pass |
| 4.1.3.11 | Versuche aufzeichnen, Prozess- und Sitzungsinitiierungsinformationen zu ändern | Mittel | pass |
| 4.1.3.12 | Versuche zum Ändern von An- und Abmeldeereignissen aufzeichnen – faillog | Mittel | pass |
| 4.1.3.12 | Versuche aufzeichnen, An- und Abmeldeereignisse zu ändern – lastlog | Mittel | pass |
| 4.1.3.12 | Versuche zum Ändern von An- und Abmeldeereignissen aufzeichnen – tallylog | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – umbenennen | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – „renameat“ | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – „unlink“ | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – „unlinkat“ | Mittel | pass |
| 4.1.3.14 | Ereignisse aufzeichnen, die die obligatorischen Zugriffssteuerungen des Systems ändern | Mittel | pass |
| 4.1.3.15 | Alle Versuche zum Ausführen von „chcon“ aufzeichnen | Mittel | pass |
| 4.1.3.16 | Alle Versuche zum Ausführen von setfacl aufzeichnen | Mittel | pass |
| 4.1.3.17 | Alle Versuche zum Ausführen von „chacl“ aufzeichnen | Mittel | pass |
| 4.1.3.18 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – usermod | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zum Laden von Kernelmodulen erfasst – init_module | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zum Entladen von Kernelmodulen erfasst – delete_module | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – insmod | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – modprobe | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – rmmod | Mittel | pass |
| 4.1.3.20 | auditd-Konfiguration unveränderlich machen | Mittel | pass |
| 4.1.4.1 | System-Audit-Logs müssen den Modus 0640 oder einen weniger permissiven Modus haben | Mittel | pass |
| 4.1.4.2 | System-Audit-Logs müssen dem Root-Nutzer gehören | Mittel | pass |
| 4.1.4.3 | System-Audit-Logs müssen der Root-Gruppe gehören | Mittel | pass |
| 4.1.4.4 | System-Audit-Logs müssen den Modus 0750 oder einen weniger permissiven Modus haben | Mittel | pass |
| 4.1.4.5 | Berechtigungen für /etc/audit/auditd.conf überprüfen | Mittel | pass |
| 4.1.4.5 | Berechtigungen für /etc/audit/rules.d/*.rules prüfen | Mittel | pass |
| 4.1.4.6 | Konfigurationsdateien für die Überwachung müssen dem Root-Nutzer gehören | Mittel | pass |
| 4.1.4.7 | Audit-Konfigurationsdateien müssen der Gruppe „root“ gehören | Mittel | pass |
| 4.1.4.8 | Prüfen, ob die Audit-Tools den Modus 0755 oder weniger haben | Mittel | pass |
| 4.1.4.9 | Prüfen, ob die Audit-Tools dem Root-Nutzer gehören | Mittel | pass |
| 4.1.4.10 | Prüfen, ob die Audit-Tools dem Gruppen-Root gehören | Mittel | pass |
| 4.2.1.1.1 | Paket „systemd-journal-remote“ installieren | Mittel | pass |
| 4.2.1.1.4 | systemd-journal-remote-Socket deaktivieren | Mittel | pass |
| 4.2.1.2 | systemd-journald-Dienst aktivieren | Mittel | pass |
| 4.2.1.3 | Sicherstellen, dass journald so konfiguriert ist, dass große Logdateien komprimiert werden | Mittel | pass |
| 4.2.1.4 | Sicherstellen, dass journald so konfiguriert ist, dass Logdateien auf nichtflüchtigem Speicher geschrieben werden | Mittel | pass |
| 4.2.2.1 | Sicherstellen, dass rsyslog installiert ist | Mittel | pass |
| 4.2.2.2 | rsyslog-Dienst aktivieren | Mittel | pass |
| 4.2.2.4 | Sicherstellen, dass die Standarddateiberechtigungen für rsyslog konfiguriert sind | Mittel | pass |
| 4.2.2.7 | Sicherstellen, dass rsyslog keine Remotenachrichten akzeptiert, es sei denn, es fungiert als Logserver | Mittel | pass |
| 5.1.1 | Cron-Dienst aktivieren | Mittel | pass |
| 5.1.2 | Gruppe bestätigen, die Inhaber von Crontab ist | Mittel | pass |
| 5.1.2 | Inhaber in crontab bestätigen | Mittel | pass |
| 5.1.2 | Berechtigungen für crontab prüfen | Mittel | pass |
| 5.1.3 | Gruppe ermitteln, die Eigentümer von „cron.hourly“ ist | Mittel | pass |
| 5.1.3 | Inhaberschaft bei „cron.hourly“ bestätigen | Mittel | pass |
| 5.1.3 | Berechtigungen für „cron.hourly“ prüfen | Mittel | pass |
| 5.1.4 | Gruppe ermitteln, die Eigentümer von „cron.daily“ ist | Mittel | pass |
| 5.1.4 | Inhaber für cron.daily bestätigen | Mittel | pass |
| 5.1.4 | Berechtigungen für cron.daily prüfen | Mittel | pass |
| 5.1.5 | Gruppe ermitteln, die Eigentümer von „cron.weekly“ ist | Mittel | pass |
| 5.1.5 | Inhaber auf cron.weekly bestätigen | Mittel | pass |
| 5.1.5 | Berechtigungen für cron.weekly prüfen | Mittel | pass |
| 5.1.6 | Gruppe ermitteln, die Eigentümer von „cron.monthly“ ist | Mittel | pass |
| 5.1.6 | Inhaber für „cron.monthly“ bestätigen | Mittel | pass |
| 5.1.6 | Berechtigungen für „cron.monthly“ prüfen | Mittel | pass |
| 5.1.7 | Gruppe ermitteln, die Eigentümer von „cron.d“ ist | Mittel | pass |
| 5.1.7 | Inhaber in „cron.d“ bestätigen | Mittel | pass |
| 5.1.7 | Berechtigungen für cron.d prüfen | Mittel | pass |
| 5.1.8 | Prüfen Sie, ob /etc/cron.deny nicht vorhanden ist. | Mittel | pass |
| 5.1.8 | Prüfen, welche Gruppe die Datei „/etc/cron.allow“ besitzt | Mittel | pass |
| 5.1.8 | Berechtigungen für die Datei „/etc/cron.allow“ prüfen | Mittel | pass |
| 5.1.8 | Nutzer bestätigen, dem die Datei „/etc/cron.allow“ gehört | Mittel | pass |
| 5.1.9 | Prüfen Sie, ob /etc/at.deny nicht vorhanden ist. | Mittel | pass |
| 5.1.9 | Prüfen, welche Gruppe die Datei „/etc/at.allow“ besitzt | Mittel | pass |
| 5.1.9 | Berechtigungen für die Datei „/etc/at.allow“ prüfen | Mittel | pass |
| 5.1.9 | Prüfen, welcher Nutzer die Datei „/etc/at.allow“ besitzt | Mittel | pass |
| 5.2.1 | Prüfen, welche Gruppe die SSH-Serverkonfigurationsdatei besitzt | Mittel | pass |
| 5.2.1 | Eigentümer in der Konfigurationsdatei des SSH-Servers prüfen | Mittel | pass |
| 5.2.1 | Berechtigungen für die SSH-Serverkonfigurationsdatei prüfen | Mittel | pass |
| 5.2.2 | Berechtigungen für private *_key-Schlüsseldateien auf dem SSH-Server prüfen | Mittel | pass |
| 5.2.3 | Berechtigungen für öffentliche *.pub-Schlüsseldateien auf dem SSH-Server prüfen | Mittel | pass |
| 5.2.5 | LogLevel auf INFO setzen | low | pass |
| 5.2.6 | PAM aktivieren | Mittel | pass |
| 5.2.7 | SSH-Root-Login deaktivieren | Mittel | pass |
| 5.2.8 | Hostbasierte Authentifizierung deaktivieren | Mittel | pass |
| 5.2.9 | SSH-Zugriff über leere Passwörter deaktivieren | hoch | pass |
| 5.2.10 | SSH-Umgebungsoptionen nicht zulassen | Mittel | pass |
| 5.2.11 | SSH-Unterstützung für .rhosts-Dateien deaktivieren | Mittel | pass |
| 5.2.12 | X11-Weiterleitung deaktivieren | Mittel | pass |
| 5.2.13 | Nur starke Chiffren verwenden | Mittel | pass |
| 5.2.14 | Nur starke MACs verwenden | Mittel | pass |
| 5.2.15 | Nur starke Algorithmen zum Schlüsselaustausch verwenden | Mittel | pass |
| 5.2.16 | SSH-TCP-Weiterleitung deaktivieren | Mittel | pass |
| 5.2.17 | SSH-Warnbanner aktivieren | Mittel | pass |
| 5.2.18 | Limit für SSH-Authentifizierungsversuche festlegen | Mittel | pass |
| 5.2.19 | Sicherstellen, dass SSH MaxStartups konfiguriert ist | Mittel | pass |
| 5.2.20 | SSH-Limit für MaxSessions festlegen | Mittel | pass |
| 5.2.21 | Sicherstellen, dass SSH LoginGraceTime konfiguriert ist | Mittel | pass |
| 5.2.22 | „SSH Client Alive Count Max“ festlegen | Mittel | pass |
| 5.2.22 | SSH-Client-Alive-Intervall festlegen | Mittel | pass |
| 5.3.1 | sudo-Paket installieren | Mittel | pass |
| 5.3.2 | Sicherstellen, dass nur Nutzer, die an einem echten TTY angemeldet sind, „sudo“ ausführen können – sudo use_pty | Mittel | pass |
| 5.3.3 | Sudo-Logdatei muss vorhanden sein – sudo logfile | low | pass |
| 5.3.5 | Nutzer müssen sich bei der Berechtigungseskalierung noch einmal authentifizieren – sudo !authenticate | Mittel | pass |
| 5.3.6 | Erneute Authentifizierung bei Verwendung des sudo-Befehls erforderlich machen | Mittel | pass |
| 5.3.7 | Erzwingen der Verwendung von „pam_wheel“ mit dem Gruppenparameter für die „su“-Authentifizierung | Mittel | pass |
| 5.3.7 | Sicherstellen, dass die vom pam_wheel-Modul verwendete Gruppe auf dem System vorhanden und leer ist | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Aufforderungen zum Wiederholen der Authentifizierung pro Sitzung zulässig | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl verschiedener Kategorien | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl von Ziffern | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestlänge | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM die Passwortanforderungen erzwingt – Mindestanzahl an Kleinbuchstaben | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl von Sonderzeichen | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl an Großbuchstaben | Mittel | pass |
| 5.4.1 | pam_pwquality-Paket installieren | Mittel | pass |
| 5.4.2 | Konten nach fehlgeschlagenen Passworteingaben sperren | Mittel | pass |
| 5.4.2 | Intervall für die Zählung falscher Passworteingaben festlegen | Mittel | pass |
| 5.4.2 | Sperrzeit für falsche Passworteingaben festlegen | Mittel | pass |
| 5.4.3 | Wiederverwendung von Passwörtern einschränken | Mittel | pass |
| 5.4.4 | Passwort-Hashing-Algorithmus in /etc/login.defs festlegen | Mittel | pass |
| 5.5.1.1 | Mindestalter für vorhandene Passwörter festlegen | Mittel | pass |
| 5.5.1.1 | Mindestalter für Passwörter festlegen | Mittel | pass |
| 5.5.1.2 | Maximales Alter für vorhandene Passwörter festlegen | Mittel | pass |
| 5.5.1.3 | Alter für Passwortwarnung festlegen | Mittel | pass |
| 5.5.1.4 | Kontoablauf nach Inaktivität festlegen | Mittel | pass |
| 5.5.1.5 | Achten Sie darauf, dass das Datum der letzten Passwortänderung aller Nutzer in der Vergangenheit liegt. | Mittel | pass |
| 5.5.2 | Sicherstellen, dass Systemkonten bei der Anmeldung keine Shell ausführen | Mittel | pass |
| 5.5.3 | Prüfen, ob Root die primäre GID 0 hat | hoch | pass |
| 5.5.4 | Standard-Bash-Umask richtig festlegen | Mittel | pass |
| 5.5.4 | Standard-Umask für interaktive Nutzer richtig festlegen | Mittel | pass |
| 5.5.4 | Prüfen, ob die Standard-Umask in /etc/profile richtig festgelegt ist | Mittel | pass |
| 5.5.4 | Sicherstellen, dass die Standard-Umask in „login.defs“ richtig festgelegt ist | Mittel | pass |
| 5.5.5 | Zeitlimit für interaktive Sitzungen festlegen | Mittel | pass |
| 6.1.1 | Gruppe prüfen, der die Datei „passwd“ gehört | Mittel | pass |
| 6.1.1 | Berechtigungen für die Datei „passwd“ prüfen | Mittel | pass |
| 6.1.1 | Nutzer bestätigen, dem die passwd-Datei gehört | Mittel | pass |
| 6.1.2 | Gruppe überprüfen, der die Sicherungsdatei „passwd“ gehört | Mittel | pass |
| 6.1.2 | Berechtigungen für die Sicherungsdatei „passwd“ prüfen | Mittel | pass |
| 6.1.2 | Nutzer überprüfen, dem die Sicherungsdatei „passwd“ gehört | Mittel | pass |
| 6.1.3 | Prüfen, wem die Gruppendatei gehört | Mittel | pass |
| 6.1.3 | Berechtigungen für Gruppendatei prüfen | Mittel | pass |
| 6.1.3 | Nutzer bestätigen, dem die Gruppendatei gehört | Mittel | pass |
| 6.1.4 | Gruppe überprüfen, der die Sicherungsgruppendatei gehört | Mittel | pass |
| 6.1.4 | Berechtigungen für die Datei der Sicherungsgruppe prüfen | Mittel | pass |
| 6.1.4 | Nutzer überprüfen, dem die Datei der Sicherungsgruppe gehört | Mittel | pass |
| 6.1.5 | Gruppe ermitteln, die die Schattenkopie besitzt | Mittel | pass |
| 6.1.5 | Berechtigungen für Schattenkopie überprüfen | Mittel | pass |
| 6.1.5 | Nutzer bestätigen, dem die Schattenkopie gehört | Mittel | pass |
| 6.1.6 | Gruppe prüfen, der die Schattenkopie der Sicherungsdatei gehört | Mittel | pass |
| 6.1.6 | Berechtigungen für die Schattenkopie der Sicherung prüfen | Mittel | pass |
| 6.1.6 | Nutzer bestätigen, dem die Schattenkopie der Sicherung gehört | Mittel | pass |
| 6.1.7 | Überprüfen, wem die Datei „gshadow“ gehört | Mittel | pass |
| 6.1.7 | Berechtigungen für die Datei „gshadow“ prüfen | Mittel | pass |
| 6.1.7 | Nutzer überprüfen, dem die Datei „gshadow“ gehört | Mittel | pass |
| 6.1.8 | Gruppe überprüfen, die die gshadow-Datei für die Sicherung besitzt | Mittel | pass |
| 6.1.8 | Berechtigungen für die gshadow-Sicherungsdatei prüfen | Mittel | pass |
| 6.1.8 | Nutzer überprüfen, dem die gshadow-Datei für die Sicherung gehört | Mittel | pass |
| 6.1.10 | Sicherstellen, dass alle Dateien einem Nutzer gehören | Mittel | pass |
| 6.2.1 | Prüfen, ob alle Passwort-Hashes des Kontos verschlüsselt sind | Mittel | pass |
| 6.2.2 | Sicherstellen, dass keine Konten mit leeren oder Null-Passwörtern vorhanden sind | hoch | pass |
| 6.2.3 | Alle in /etc/passwd referenzierten GIDs müssen in /etc/group definiert sein. | low | pass |
| 6.2.4 | Schattenkopie-Gruppe muss leer sein | Mittel | pass |
| 6.2.5 | Achten Sie darauf, dass alle Konten im System eindeutige Nutzer-IDs haben. | Mittel | pass |
| 6.2.6 | Sicherstellen, dass alle Gruppen im System eine eindeutige Gruppen-ID haben | Mittel | pass |
| 6.2.7 | Achten Sie darauf, dass alle Konten im System eindeutige Namen haben. | Mittel | pass |
| 6.2.8 | Sicherstellen, dass alle Gruppen im System eindeutige Gruppennamen haben | Mittel | pass |
| 6.2.9 | Achten Sie darauf, dass der Pfad des Stammelements keine relativen Pfade oder Nullverzeichnisse enthält. | unbekannt | pass |
| 6.2.9 | Sicherstellen, dass der Pfad des Root-Verzeichnisses keine für alle oder für Gruppen beschreibbaren Verzeichnisse enthält | Mittel | pass |
| 6.2.10 | Prüfen, ob nur Root die UID 0 hat | hoch | pass |
| 6.2.11 | Alle Basisverzeichnisse interaktiver Nutzer müssen vorhanden sein | Mittel | pass |
| 6.2.12 | Alle Home-Verzeichnisse interaktiver Nutzer müssen der primären Gruppe gehören. | Mittel | pass |
| 6.2.12 | Alle interaktiven Nutzerbasisverzeichnisse müssen dem primären Nutzer gehören | Mittel | pass |
| 6.2.13 | Alle interaktiven Nutzer-Home-Verzeichnisse müssen den Modus 0750 oder weniger permissive Berechtigungen haben | Mittel | pass |
| 6.2.14 | Prüfen, ob keine .netrc-Dateien vorhanden sind | Mittel | pass |
| 6.2.15 | Prüfen, ob keine .forward-Dateien vorhanden sind | Mittel | pass |
| 6.2.16 | Rsh-Vertrauensdateien entfernen | hoch | pass |
| 6.2.17 | Nutzerinitialisierungsdateien müssen der primären Gruppe gehören. | Mittel | pass |
| 6.2.17 | Dateien zur Nutzerinitialisierung müssen dem Primärnutzer gehören | Mittel | pass |
| 6.2.17 | Nutzerinitialisierungsdateien dürfen keine Programme ausführen, die für alle beschreibbar sind | Mittel | pass |
Nicht anwendbare Empfehlungen
In der folgenden Tabelle sind die Empfehlungen aufgeführt, die nicht für Google Distributed Cloud gelten.
| # | Empfehlung | Schweregrad | Status |
|---|---|---|---|
| 1.1.2.2 | Option „nodev“ zu „/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.2.3 | Option „noexec“ zu „/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.2.4 | Option „nosuid“ zu „/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.3.2 | Option „nodev“ zu „/var“ hinzufügen | Mittel | notapplicable |
| 1.1.3.3 | Option „nosuid“ zu „/var“ hinzufügen | Mittel | notapplicable |
| 1.1.4.2 | „noexec“-Option zu /var/tmp hinzufügen | Mittel | notapplicable |
| 1.1.4.3 | Option „nosuid“ zu „/var/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.4.4 | Option „nodev“ zu „/var/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.5.2 | Option „nodev“ zu „/var/log“ hinzufügen | Mittel | notapplicable |
| 1.1.5.3 | Option „noexec“ zu „/var/log“ hinzufügen | Mittel | notapplicable |
| 1.1.5.4 | Option „nosuid“ zu „/var/log“ hinzufügen | Mittel | notapplicable |
| 1.1.6.2 | Option „noexec“ zu /var/log/audit hinzufügen | Mittel | notapplicable |
| 1.1.6.3 | Option „nodev“ zu /var/log/audit hinzufügen | Mittel | notapplicable |
| 1.1.6.4 | Option „nosuid“ zu /var/log/audit hinzufügen | Mittel | notapplicable |
| 1.1.7.2 | Option „nodev“ zu „/home“ hinzufügen | unbekannt | notapplicable |
| 1.1.7.3 | Option „nosuid“ zu „/home“ hinzufügen | Mittel | notapplicable |
| 1.4.1 | UEFI-Bootloader-Passwort festlegen | hoch | notapplicable |
| 1.8.1 | GDM-Paketgruppe entfernen | Mittel | notapplicable |
| 1.8.4 | GNOME3-Bildschirmschoner-Sperre nach Inaktivitätszeitraum aktivieren | Mittel | notapplicable |
| 1.8.5 | Verzögerung für die GNOME3-Bildschirmschoner-Sperre nach dem Aktivierungszeitraum festlegen | Mittel | notapplicable |
| 1.8.6 | Automatisches Öffnen von GNOME3 deaktivieren | Mittel | notapplicable |
| 1.8.6 | Automounting in GNOME3 deaktivieren | Mittel | notapplicable |
| 1.8.8 | GNOME3-Automount deaktivieren | low | notapplicable |
| 1.8.10 | XDMCP in GDM deaktivieren | hoch | notapplicable |
| 1.10 | GNOME3-DConf-Nutzerprofil konfigurieren | hoch | notapplicable |
| 2.1.4.1 | Serverbeschränkungen für ntpd konfigurieren | Mittel | notapplicable |
| 2.1.4.3 | ntpd so konfigurieren, dass es als ntp-Nutzer ausgeführt wird | Mittel | notapplicable |
| 2.1.4.4 | NTP-Daemon aktivieren | hoch | notapplicable |
| 2.2.15 | Postfix-Netzwerk-Listening deaktivieren | Mittel | notapplicable |
| 3.5.1.3 | Prüfen, ob ufw aktiviert ist | Mittel | notapplicable |
| 3.5.1.4 | UFW-Loopback-Traffic einrichten | Mittel | notapplicable |
| 3.5.1.6 | Sicherstellen, dass ufw-Firewallregeln für alle offenen Ports vorhanden sind | Mittel | notapplicable |
| 3.5.1.7 | Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für ufw festgelegt ist | Mittel | notapplicable |
| 3.5.3.2.1 | Standard-iptables-Richtlinie für eingehende Pakete festlegen | Mittel | notapplicable |
| 3.5.3.2.2 | Konfiguration für Loopback-Traffic festlegen | Mittel | notapplicable |
| 3.5.3.2.4 | Sicherstellen, dass iptables-Firewallregeln für alle offenen Ports vorhanden sind | Mittel | notapplicable |
| 3.5.3.3.1 | Standardrichtlinie für eingehende Pakete in ip6tables festlegen | Mittel | notapplicable |
| 3.5.3.3.4 | Sicherstellen, dass ip6tables-Firewallregeln für alle offenen Ports vorhanden sind | Mittel | notapplicable |
1,30
Versionen
Dieser Abschnitt bezieht sich auf folgende Versionen:
| Google Distributed Cloud-Version | Ubuntu-Version | Version der CIS-Ubuntu-Benchmark | CIS-Level |
|---|---|---|---|
| 1,30 | 22.04 LTS | v1.0.0 | Level-2-Server |
Fehlerhafte Empfehlungen
In der folgenden Tabelle sind die Empfehlungen aufgeführt, bei denen Google Distributed Cloud von den Empfehlungen des Benchmarks abweicht. Diese Ergebnisse gelten für Clusterknoten und die Administrator-Workstation.
| # | Empfehlung | Schweregrad | Status |
|---|---|---|---|
| 1.1.2.1 | Achten Sie darauf, dass sich /tmp auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.3.1 | Achten Sie darauf, dass sich /var auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.4.1 | Achten Sie darauf, dass sich /var/tmp auf einer separaten Partition befindet | Mittel | Nicht bestanden |
| 1.1.5.1 | Achten Sie darauf, dass sich /var/log auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.6.1 | Achten Sie darauf, dass sich /var/log/audit auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.1.7.1 | Achten Sie darauf, dass sich /home auf einer separaten Partition befindet | low | Nicht bestanden |
| 1.4.1 | Bootloader-Passwort in GRUB 2 festlegen | hoch | Nicht bestanden |
| 1.4.3 | Sicherstellen, dass für den Einzelnutzermodus eine Authentifizierung erforderlich ist | Mittel | Nicht bestanden |
| 2.3.6 | rpcbind-Paket deinstallieren | low | Nicht bestanden |
| 3.2.2 | Kernelparameter für die IP-Weiterleitung auf IPv4-Schnittstellen deaktivieren | Mittel | Nicht bestanden |
| 3.3.7 | Kernelparameter aktivieren, um standardmäßig Reverse Path Filtering für alle IPv4-Schnittstellen zu verwenden | Mittel | Nicht bestanden |
| 3.3.7 | Kernelparameter aktivieren, um die Filterung für umgekehrte Pfade auf allen IPv4-Schnittstellen zu verwenden | Mittel | Nicht bestanden |
| 3.5.2.8 | Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für nftables festgelegt ist | Mittel | Nicht bestanden |
| 3.5.2.10 | Sicherstellen, dass nftables-Regeln dauerhaft sind | Mittel | Nicht bestanden |
| 4.2.3 | Berechtigungen von Logdateien prüfen | Mittel | Nicht bestanden |
| 5.2.4 | SSH-Zugriff von Nutzern einschränken | unbekannt | Nicht bestanden |
| 5.3.4 | Nutzer müssen sich bei der Berechtigungseskalierung noch einmal authentifizieren – sudo | Mittel | Nicht bestanden |
| 5.5.1.2 | Maximales Passwortalter festlegen | Mittel | Nicht bestanden |
Bestandene Empfehlungen
In der folgenden Tabelle sind die Empfehlungen aufgeführt, für die Google Distributed Cloud den Empfehlungen des Benchmarks entspricht.
| # | Empfehlung | Schweregrad | Status |
|---|---|---|---|
| 1.1.1.1 | Bereitstellen von cramfs deaktivieren | low | pass |
| 1.1.1.2 | Bereitstellen von squashfs deaktivieren | low | pass |
| 1.1.1.3 | Bereitstellen von UDF deaktivieren | low | pass |
| 1.1.8.1 | Option „nodev“ zu „/dev/shm“ hinzufügen | Mittel | pass |
| 1.1.8.2 | „noexec“-Option zu „/dev/shm“ hinzufügen | Mittel | pass |
| 1.1.8.3 | Option „nosuid“ zu „/dev/shm“ hinzufügen | Mittel | pass |
| 1.1.9 | Automounter deaktivieren | Mittel | pass |
| 1.1.10 | Modprobe-Laden des USB-Speichertreibers deaktivieren | Mittel | pass |
| 1.4.2 | Berechtigungen für /boot/grub/grub.cfg prüfen | Mittel | pass |
| 1.5.1 | Zufällige Anordnung des virtuellen Adressraums aktivieren | Mittel | pass |
| 1.5.2 | Das Paket „prelink“ darf nicht installiert sein | Mittel | pass |
| 1.5.3 | Apport-Dienst deaktivieren | unbekannt | pass |
| 1.5.4 | Core-Dumps für alle Nutzer deaktivieren | Mittel | pass |
| 1.5.4 | Core Dumps für SUID-Programme deaktivieren | Mittel | pass |
| 1.6.1.1 | Prüfen, ob AppArmor installiert ist | Mittel | pass |
| 1.6.1.2 | Sicherstellen, dass AppArmor in der Bootloader-Konfiguration aktiviert ist | Mittel | pass |
| 1.6.1.4 | Alle AppArmor-Profile erzwingen | Mittel | pass |
| 1.7.1 | System-Banner für die Mitteilung des Tages ändern | Mittel | pass |
| 1.7.2 | Systemanmeldebanner ändern | Mittel | pass |
| 1.7.3 | Systemanmeldebanner für Remoteverbindungen ändern | Mittel | pass |
| 1.7.4 | Gruppeninhaberschaft des Banners „Mitteilung des Tages“ bestätigen | Mittel | pass |
| 1.7.4 | Inhaberschaft des Banners „Mitteilung des Tages“ bestätigen | Mittel | pass |
| 1.7.4 | Berechtigungen im Banner „Mitteilung des Tages“ prüfen | Mittel | pass |
| 1.7.5 | Gruppeninhaberschaft des Systemanmeldebanners bestätigen | Mittel | pass |
| 1.7.5 | Inhaberschaft des Systemanmeldebanners bestätigen | Mittel | pass |
| 1.7.5 | Berechtigungen im Systemanmeldebanner prüfen | Mittel | pass |
| 1.7.6 | Gruppeninhaberschaft des Systemanmeldebanners für Remoteverbindungen überprüfen | Mittel | pass |
| 1.7.6 | Inhaberschaft des Systemanmeldebanners für Remoteverbindungen bestätigen | Mittel | pass |
| 1.7.6 | Berechtigungen im Systemanmeldebanner für Remoteverbindungen prüfen | Mittel | pass |
| 2.1.1.1 | systemd_timesyncd-Dienst installieren | hoch | pass |
| 2.1.3.2 | systemd_timesyncd-Dienst aktivieren | hoch | pass |
| 2.2.1 | X Windows-Paketgruppe entfernen | Mittel | pass |
| 2.2.2 | Avahi-Serversoftware deaktivieren | Mittel | pass |
| 2.2.2 | Avahi-Serverpaket deinstallieren | Mittel | pass |
| 2.2.3 | CUPS-Dienst deaktivieren | unbekannt | pass |
| 2.2.3 | CUPS-Paket deinstallieren | unbekannt | pass |
| 2.2.4 | DHCP-Serverpaket deinstallieren | Mittel | pass |
| 2.2.5 | Paket „openldap-servers“ deinstallieren | low | pass |
| 2.2.6 | Paket „nfs-kernel-server“ deinstallieren | low | pass |
| 2.2.7 | Bind-Paket deinstallieren | low | pass |
| 2.2.8 | vsftpd-Paket deinstallieren | hoch | pass |
| 2.2.9 | httpd-Paket deinstallieren | unbekannt | pass |
| 2.2.9 | nginx-Paket deinstallieren | unbekannt | pass |
| 2.2.10 | cyrus-imapd-Paket deinstallieren | unbekannt | pass |
| 2.2.10 | dovecot-Paket deinstallieren | unbekannt | pass |
| 2.2.11 | Samba-Paket deinstallieren | unbekannt | pass |
| 2.2.12 | Squid-Paket deinstallieren | unbekannt | pass |
| 2.2.13 | net-snmp-Paket deinstallieren | unbekannt | pass |
| 2.2.14 | NIS-Paket deinstallieren | low | pass |
| 2.2.15 | Sicherstellen, dass der Mail Transfer Agent nicht auf einer Nicht-Loopback-Adresse überwacht wird | Mittel | pass |
| 2.2.16 | rsync-Paket deinstallieren | Mittel | pass |
| 2.3.2 | rsh-Paket deinstallieren | unbekannt | pass |
| 2.3.3 | Talk-Paket deinstallieren | Mittel | pass |
| 2.3.4 | Telnet-Clients entfernen | low | pass |
| 2.3.5 | Sicherstellen, dass der LDAP-Client nicht installiert ist | low | pass |
| 3.1.2 | Funknetzwerkschnittstellen deaktivieren | Mittel | pass |
| 3.2.1 | Kernelparameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.2.1 | Kernel-Parameter zum Senden von ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.2.2 | Kernelparameter für IPv6-Weiterleitung deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf allen IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf allen IPv6-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf IPv4-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.3.1 | Kernelparameter zum Annehmen von weitergeleiteten Quellpaketen auf IPv6-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.3.2 | Annehmen von ICMP-Weiterleitungen für alle IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.2 | Annehmen von ICMP-Weiterleitungen für alle IPv6-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.2 | Kernelparameter zum standardmäßigen Annehmen von ICMP-Weiterleitungen auf IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.2 | Kernelparameter zum standardmäßigen Annehmen von ICMP-Weiterleitungen auf IPv6-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.3 | Kernelparameter zum standardmäßigen Akzeptieren sicherer Weiterleitungen konfigurieren | Mittel | pass |
| 3.3.3 | Kernelparameter zum Annehmen sicherer ICMP-Weiterleitungen auf allen IPv4-Schnittstellen deaktivieren | Mittel | pass |
| 3.3.4 | Kernelparameter aktivieren, um Martian-Pakete auf allen IPv4-Schnittstellen zu protokollieren | unbekannt | pass |
| 3.3.4 | Kernelparameter aktivieren, um Martian-Pakete standardmäßig auf allen IPv4-Schnittstellen zu protokollieren | unbekannt | pass |
| 3.3.5 | Kernelparameter aktivieren, um ICMP-Broadcast-Echoanfragen auf IPv4-Schnittstellen zu ignorieren | Mittel | pass |
| 3.3.6 | Kernelparameter aktivieren, um falsche ICMP-Fehlerantworten auf IPv4-Schnittstellen zu ignorieren | unbekannt | pass |
| 3.3.8 | Kernelparameter aktivieren, um TCP-Syncookies auf Netzwerkschnittstellen zu verwenden | Mittel | pass |
| 3.3.9 | Ankündigungen von Routern auf allen IPv6-Schnittstellen akzeptieren | Mittel | pass |
| 3.3.9 | Annehmen von Router-Advertisements auf allen IPv6-Schnittstellen standardmäßig deaktivieren | Mittel | pass |
| 3.4.1 | DCCP-Unterstützung deaktivieren | Mittel | pass |
| 3.4.2 | SCTP-Unterstützung deaktivieren | Mittel | pass |
| 3.4.3 | RDS-Unterstützung deaktivieren | low | pass |
| 3.4.4 | TIPC-Unterstützung deaktivieren | low | pass |
| 3.5.1.2 | iptables-persistent-Paket entfernen | Mittel | pass |
| 3.5.2.1 | nftables-Paket installieren | Mittel | pass |
| 3.5.2.4 | Prüfen, ob eine Tabelle für Nftables vorhanden ist | Mittel | pass |
| 3.5.2.5 | Base-Chains für Nftables müssen vorhanden sein | Mittel | pass |
| 3.5.2.9 | Prüfen, ob der nftables-Dienst aktiviert ist | Mittel | pass |
| 3.5.3.1.1 | iptables-Paket installieren | Mittel | pass |
| 3.5.3.1.3 | ufw-Paket entfernen | Mittel | pass |
| 4.1.1.1 | Prüfen, ob das Audit-Subsystem installiert ist | Mittel | pass |
| 4.1.1.2 | auditd-Dienst aktivieren | Mittel | pass |
| 4.1.1.4 | Audit-Backlog-Limit für den Audit-Daemon erweitern | low | pass |
| 4.1.2.1 | Maximale Logdateigröße für „auditd“ konfigurieren | Mittel | pass |
| 4.1.2.2 | „auditd“-Aktion bei Erreichen der maximalen Protokollgröße konfigurieren | Mittel | pass |
| 4.1.2.3 | „auditd“-Aktion „admin_space_left“ bei wenig Speicherplatz konfigurieren | Mittel | pass |
| 4.1.2.3 | „mail_acct“-Aktion von „auditd“ bei wenig Speicherplatz konfigurieren | Mittel | pass |
| 4.1.2.3 | „space_left“-Aktion von „auditd“ bei wenig Speicherplatz konfigurieren | Mittel | pass |
| 4.1.3.1 | Sicherstellen, dass auditd Aktionen von Systemadministratoren erfasst | Mittel | pass |
| 4.1.3.2 | Ereignisse aufzeichnen, wenn privilegierte ausführbare Dateien ausgeführt werden | Mittel | pass |
| 4.1.3.3 | Versuche zur Durchführung von Wartungsaktivitäten aufzeichnen | Mittel | pass |
| 4.1.3.4 | Versuche, die Datei „localtime“ zu ändern, aufzeichnen | Mittel | pass |
| 4.1.3.4 | Versuche, die Zeit über „adjtimex“ zu ändern, aufzeichnen | Mittel | pass |
| 4.1.3.4 | Aufzeichnen von Versuchen, die Zeit über clock_settime zu ändern | Mittel | pass |
| 4.1.3.4 | Versuche aufzeichnen, die Zeit über „settimeofday“ zu ändern | Mittel | pass |
| 4.1.3.4 | Aufzeichnen von Versuchen, die Zeit über „stime“ zu ändern | Mittel | pass |
| 4.1.3.5 | Ereignisse aufzeichnen, die die Netzwerkumgebung des Systems ändern | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – su | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – sudo | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – sudoedit | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – umount | Mittel | pass |
| 4.1.3.6 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – unix_chkpwd | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – creat | Mittel | pass |
| 4.1.3.7 | Erfolglosen Zugriffsversuch auf Dateien aufzeichnen – ftruncate | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – offen | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – openat | Mittel | pass |
| 4.1.3.7 | Fehlgeschlagene Zugriffsversuche auf Dateien aufzeichnen – kürzen | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/group | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/gshadow | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/passwd | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/security/opasswd | Mittel | pass |
| 4.1.3.8 | Ereignisse aufzeichnen, die Nutzer-/Gruppeninformationen ändern – /etc/shadow | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – chmod | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – chown | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchmod | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchmodat | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchown | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fchownat | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fremovexattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – fsetxattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – lchown | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – lremovexattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – lsetxattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbare Zugriffssteuerung des Systems ändern – removexattr | Mittel | pass |
| 4.1.3.9 | Ereignisse aufzeichnen, die die benutzerbestimmbaren Zugriffssteuerungen des Systems ändern – setxattr | Mittel | pass |
| 4.1.3.10 | Prüfen, ob auditd Informationen zum Exportieren auf Medien (erfolgreich) erfasst | Mittel | pass |
| 4.1.3.11 | Versuche aufzeichnen, Prozess- und Sitzungsinitiierungsinformationen zu ändern | Mittel | pass |
| 4.1.3.12 | Versuche zum Ändern von An- und Abmeldeereignissen aufzeichnen – faillog | Mittel | pass |
| 4.1.3.12 | Versuche aufzeichnen, An- und Abmeldeereignisse zu ändern – lastlog | Mittel | pass |
| 4.1.3.12 | Versuche zum Ändern von An- und Abmeldeereignissen aufzeichnen – tallylog | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – umbenennen | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – „renameat“ | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – „unlink“ | Mittel | pass |
| 4.1.3.13 | Sicherstellen, dass „auditd“ Ereignisse zum Löschen von Dateien nach Nutzer erfasst – „unlinkat“ | Mittel | pass |
| 4.1.3.14 | Ereignisse aufzeichnen, die die obligatorischen Zugriffssteuerungen des Systems ändern | Mittel | pass |
| 4.1.3.15 | Alle Versuche zum Ausführen von „chcon“ aufzeichnen | Mittel | pass |
| 4.1.3.16 | Alle Versuche zum Ausführen von setfacl aufzeichnen | Mittel | pass |
| 4.1.3.17 | Alle Versuche zum Ausführen von „chacl“ aufzeichnen | Mittel | pass |
| 4.1.3.18 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – usermod | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zum Laden von Kernelmodulen erfasst – init_module | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zum Entladen von Kernelmodulen erfasst – delete_module | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – insmod | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – modprobe | Mittel | pass |
| 4.1.3.19 | Sicherstellen, dass auditd Informationen zur Verwendung privilegierter Befehle erfasst – rmmod | Mittel | pass |
| 4.1.3.20 | auditd-Konfiguration unveränderlich machen | Mittel | pass |
| 4.1.4.1 | System-Audit-Logs müssen den Modus 0640 oder einen weniger permissiven Modus haben | Mittel | pass |
| 4.1.4.2 | System-Audit-Logs müssen dem Root-Nutzer gehören | Mittel | pass |
| 4.1.4.3 | System-Audit-Logs müssen der Root-Gruppe gehören | Mittel | pass |
| 4.1.4.4 | System-Audit-Logs müssen den Modus 0750 oder einen weniger permissiven Modus haben | Mittel | pass |
| 4.1.4.5 | Berechtigungen für /etc/audit/auditd.conf überprüfen | Mittel | pass |
| 4.1.4.5 | Berechtigungen für /etc/audit/rules.d/*.rules prüfen | Mittel | pass |
| 4.1.4.6 | Konfigurationsdateien für die Überwachung müssen dem Root-Nutzer gehören | Mittel | pass |
| 4.1.4.7 | Audit-Konfigurationsdateien müssen der Gruppe „root“ gehören | Mittel | pass |
| 4.1.4.8 | Prüfen, ob die Audit-Tools den Modus 0755 oder weniger haben | Mittel | pass |
| 4.1.4.9 | Prüfen, ob die Audit-Tools dem Root-Nutzer gehören | Mittel | pass |
| 4.1.4.10 | Prüfen, ob die Audit-Tools dem Gruppen-Root gehören | Mittel | pass |
| 4.2.1.1.1 | Paket „systemd-journal-remote“ installieren | Mittel | pass |
| 4.2.1.1.4 | systemd-journal-remote-Socket deaktivieren | Mittel | pass |
| 4.2.1.2 | systemd-journald-Dienst aktivieren | Mittel | pass |
| 4.2.1.3 | Sicherstellen, dass journald so konfiguriert ist, dass große Logdateien komprimiert werden | Mittel | pass |
| 4.2.1.4 | Sicherstellen, dass journald so konfiguriert ist, dass Logdateien auf nichtflüchtigem Speicher geschrieben werden | Mittel | pass |
| 4.2.2.1 | Sicherstellen, dass rsyslog installiert ist | Mittel | pass |
| 4.2.2.2 | rsyslog-Dienst aktivieren | Mittel | pass |
| 4.2.2.4 | Sicherstellen, dass die Standarddateiberechtigungen für rsyslog konfiguriert sind | Mittel | pass |
| 4.2.2.7 | Sicherstellen, dass rsyslog keine Remotenachrichten akzeptiert, es sei denn, es fungiert als Logserver | Mittel | pass |
| 5.1.1 | Cron-Dienst aktivieren | Mittel | pass |
| 5.1.2 | Gruppe bestätigen, die Inhaber von Crontab ist | Mittel | pass |
| 5.1.2 | Inhaber in crontab bestätigen | Mittel | pass |
| 5.1.2 | Berechtigungen für crontab prüfen | Mittel | pass |
| 5.1.3 | Gruppe ermitteln, die Eigentümer von „cron.hourly“ ist | Mittel | pass |
| 5.1.3 | Inhaberschaft bei „cron.hourly“ bestätigen | Mittel | pass |
| 5.1.3 | Berechtigungen für „cron.hourly“ prüfen | Mittel | pass |
| 5.1.4 | Gruppe ermitteln, die Eigentümer von „cron.daily“ ist | Mittel | pass |
| 5.1.4 | Inhaber für cron.daily bestätigen | Mittel | pass |
| 5.1.4 | Berechtigungen für cron.daily prüfen | Mittel | pass |
| 5.1.5 | Gruppe ermitteln, die Eigentümer von „cron.weekly“ ist | Mittel | pass |
| 5.1.5 | Inhaber auf cron.weekly bestätigen | Mittel | pass |
| 5.1.5 | Berechtigungen für cron.weekly prüfen | Mittel | pass |
| 5.1.6 | Gruppe ermitteln, die Eigentümer von „cron.monthly“ ist | Mittel | pass |
| 5.1.6 | Inhaber für „cron.monthly“ bestätigen | Mittel | pass |
| 5.1.6 | Berechtigungen für „cron.monthly“ prüfen | Mittel | pass |
| 5.1.7 | Gruppe ermitteln, die Eigentümer von „cron.d“ ist | Mittel | pass |
| 5.1.7 | Inhaber in „cron.d“ bestätigen | Mittel | pass |
| 5.1.7 | Berechtigungen für cron.d prüfen | Mittel | pass |
| 5.1.8 | Prüfen Sie, ob /etc/cron.deny nicht vorhanden ist. | Mittel | pass |
| 5.1.8 | Prüfen, welche Gruppe die Datei „/etc/cron.allow“ besitzt | Mittel | pass |
| 5.1.8 | Berechtigungen für die Datei „/etc/cron.allow“ prüfen | Mittel | pass |
| 5.1.8 | Nutzer bestätigen, dem die Datei „/etc/cron.allow“ gehört | Mittel | pass |
| 5.1.9 | Prüfen Sie, ob /etc/at.deny nicht vorhanden ist. | Mittel | pass |
| 5.1.9 | Prüfen, welche Gruppe die Datei „/etc/at.allow“ besitzt | Mittel | pass |
| 5.1.9 | Berechtigungen für die Datei „/etc/at.allow“ prüfen | Mittel | pass |
| 5.1.9 | Prüfen, welcher Nutzer die Datei „/etc/at.allow“ besitzt | Mittel | pass |
| 5.2.1 | Prüfen, welche Gruppe die SSH-Serverkonfigurationsdatei besitzt | Mittel | pass |
| 5.2.1 | Eigentümer in der Konfigurationsdatei des SSH-Servers prüfen | Mittel | pass |
| 5.2.1 | Berechtigungen für die SSH-Serverkonfigurationsdatei prüfen | Mittel | pass |
| 5.2.2 | Berechtigungen für private *_key-Schlüsseldateien auf dem SSH-Server prüfen | Mittel | pass |
| 5.2.3 | Berechtigungen für öffentliche *.pub-Schlüsseldateien auf dem SSH-Server prüfen | Mittel | pass |
| 5.2.5 | LogLevel auf INFO setzen | low | pass |
| 5.2.6 | PAM aktivieren | Mittel | pass |
| 5.2.7 | SSH-Root-Login deaktivieren | Mittel | pass |
| 5.2.8 | Hostbasierte Authentifizierung deaktivieren | Mittel | pass |
| 5.2.9 | SSH-Zugriff über leere Passwörter deaktivieren | hoch | pass |
| 5.2.10 | SSH-Umgebungsoptionen nicht zulassen | Mittel | pass |
| 5.2.11 | SSH-Unterstützung für .rhosts-Dateien deaktivieren | Mittel | pass |
| 5.2.12 | X11-Weiterleitung deaktivieren | Mittel | pass |
| 5.2.13 | Nur starke Chiffren verwenden | Mittel | pass |
| 5.2.14 | Nur starke MACs verwenden | Mittel | pass |
| 5.2.15 | Nur starke Algorithmen zum Schlüsselaustausch verwenden | Mittel | pass |
| 5.2.16 | SSH-TCP-Weiterleitung deaktivieren | Mittel | pass |
| 5.2.17 | SSH-Warnbanner aktivieren | Mittel | pass |
| 5.2.18 | Limit für SSH-Authentifizierungsversuche festlegen | Mittel | pass |
| 5.2.19 | Sicherstellen, dass SSH MaxStartups konfiguriert ist | Mittel | pass |
| 5.2.20 | SSH-Limit für MaxSessions festlegen | Mittel | pass |
| 5.2.21 | Sicherstellen, dass SSH LoginGraceTime konfiguriert ist | Mittel | pass |
| 5.2.22 | „SSH Client Alive Count Max“ festlegen | Mittel | pass |
| 5.2.22 | SSH-Client-Alive-Intervall festlegen | Mittel | pass |
| 5.3.1 | sudo-Paket installieren | Mittel | pass |
| 5.3.2 | Sicherstellen, dass nur Nutzer, die an einem echten TTY angemeldet sind, „sudo“ ausführen können – sudo use_pty | Mittel | pass |
| 5.3.3 | Sudo-Logdatei muss vorhanden sein – sudo logfile | low | pass |
| 5.3.5 | Nutzer müssen sich bei der Berechtigungseskalierung noch einmal authentifizieren – sudo !authenticate | Mittel | pass |
| 5.3.6 | Erneute Authentifizierung bei Verwendung des sudo-Befehls erforderlich machen | Mittel | pass |
| 5.3.7 | Erzwingen der Verwendung von „pam_wheel“ mit dem Gruppenparameter für die „su“-Authentifizierung | Mittel | pass |
| 5.3.7 | Sicherstellen, dass die vom pam_wheel-Modul verwendete Gruppe auf dem System vorhanden und leer ist | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Aufforderungen zum Wiederholen der Authentifizierung pro Sitzung zulässig | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl verschiedener Kategorien | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl von Ziffern | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestlänge | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM die Passwortanforderungen erzwingt – Mindestanzahl an Kleinbuchstaben | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl von Sonderzeichen | Mittel | pass |
| 5.4.1 | Sicherstellen, dass PAM Passwortanforderungen erzwingt – Mindestanzahl an Großbuchstaben | Mittel | pass |
| 5.4.1 | pam_pwquality-Paket installieren | Mittel | pass |
| 5.4.2 | Konten nach fehlgeschlagenen Passworteingaben sperren | Mittel | pass |
| 5.4.2 | Intervall für die Zählung falscher Passworteingaben festlegen | Mittel | pass |
| 5.4.2 | Sperrzeit für falsche Passworteingaben festlegen | Mittel | pass |
| 5.4.3 | Wiederverwendung von Passwörtern einschränken | Mittel | pass |
| 5.4.4 | Passwort-Hashing-Algorithmus in /etc/login.defs festlegen | Mittel | pass |
| 5.5.1.1 | Mindestalter für vorhandene Passwörter festlegen | Mittel | pass |
| 5.5.1.1 | Mindestalter für Passwörter festlegen | Mittel | pass |
| 5.5.1.2 | Maximales Alter für vorhandene Passwörter festlegen | Mittel | pass |
| 5.5.1.3 | Alter für Passwortwarnung festlegen | Mittel | pass |
| 5.5.1.4 | Kontoablauf nach Inaktivität festlegen | Mittel | pass |
| 5.5.1.5 | Achten Sie darauf, dass das Datum der letzten Passwortänderung aller Nutzer in der Vergangenheit liegt. | Mittel | pass |
| 5.5.2 | Sicherstellen, dass Systemkonten bei der Anmeldung keine Shell ausführen | Mittel | pass |
| 5.5.3 | Prüfen, ob Root die primäre GID 0 hat | hoch | pass |
| 5.5.4 | Standard-Bash-Umask richtig festlegen | Mittel | pass |
| 5.5.4 | Standard-Umask für interaktive Nutzer richtig festlegen | Mittel | pass |
| 5.5.4 | Prüfen, ob die Standard-Umask in /etc/profile richtig festgelegt ist | Mittel | pass |
| 5.5.4 | Sicherstellen, dass die Standard-Umask in „login.defs“ richtig festgelegt ist | Mittel | pass |
| 5.5.5 | Zeitlimit für interaktive Sitzungen festlegen | Mittel | pass |
| 6.1.1 | Gruppe prüfen, der die Datei „passwd“ gehört | Mittel | pass |
| 6.1.1 | Berechtigungen für die Datei „passwd“ prüfen | Mittel | pass |
| 6.1.1 | Nutzer bestätigen, dem die passwd-Datei gehört | Mittel | pass |
| 6.1.2 | Gruppe überprüfen, der die Sicherungsdatei „passwd“ gehört | Mittel | pass |
| 6.1.2 | Berechtigungen für die Sicherungsdatei „passwd“ prüfen | Mittel | pass |
| 6.1.2 | Nutzer überprüfen, dem die Sicherungsdatei „passwd“ gehört | Mittel | pass |
| 6.1.3 | Prüfen, wem die Gruppendatei gehört | Mittel | pass |
| 6.1.3 | Berechtigungen für Gruppendatei prüfen | Mittel | pass |
| 6.1.3 | Nutzer bestätigen, dem die Gruppendatei gehört | Mittel | pass |
| 6.1.4 | Gruppe überprüfen, der die Sicherungsgruppendatei gehört | Mittel | pass |
| 6.1.4 | Berechtigungen für die Datei der Sicherungsgruppe prüfen | Mittel | pass |
| 6.1.4 | Nutzer überprüfen, dem die Datei der Sicherungsgruppe gehört | Mittel | pass |
| 6.1.5 | Gruppe ermitteln, die die Schattenkopie besitzt | Mittel | pass |
| 6.1.5 | Berechtigungen für Schattenkopie überprüfen | Mittel | pass |
| 6.1.5 | Nutzer bestätigen, dem die Schattenkopie gehört | Mittel | pass |
| 6.1.6 | Gruppe prüfen, der die Schattenkopie der Sicherungsdatei gehört | Mittel | pass |
| 6.1.6 | Berechtigungen für die Schattenkopie der Sicherung prüfen | Mittel | pass |
| 6.1.6 | Nutzer bestätigen, dem die Schattenkopie der Sicherung gehört | Mittel | pass |
| 6.1.7 | Überprüfen, wem die Datei „gshadow“ gehört | Mittel | pass |
| 6.1.7 | Berechtigungen für die Datei „gshadow“ prüfen | Mittel | pass |
| 6.1.7 | Nutzer überprüfen, dem die Datei „gshadow“ gehört | Mittel | pass |
| 6.1.8 | Gruppe überprüfen, die die gshadow-Datei für die Sicherung besitzt | Mittel | pass |
| 6.1.8 | Berechtigungen für die gshadow-Sicherungsdatei prüfen | Mittel | pass |
| 6.1.8 | Nutzer überprüfen, dem die gshadow-Datei für die Sicherung gehört | Mittel | pass |
| 6.1.10 | Sicherstellen, dass alle Dateien einem Nutzer gehören | Mittel | pass |
| 6.2.1 | Prüfen, ob alle Passwort-Hashes des Kontos verschlüsselt sind | Mittel | pass |
| 6.2.2 | Sicherstellen, dass keine Konten mit leeren oder Null-Passwörtern vorhanden sind | hoch | pass |
| 6.2.3 | Alle in /etc/passwd referenzierten GIDs müssen in /etc/group definiert sein. | low | pass |
| 6.2.4 | Schattenkopie-Gruppe muss leer sein | Mittel | pass |
| 6.2.5 | Achten Sie darauf, dass alle Konten im System eindeutige Nutzer-IDs haben. | Mittel | pass |
| 6.2.6 | Sicherstellen, dass alle Gruppen im System eine eindeutige Gruppen-ID haben | Mittel | pass |
| 6.2.7 | Achten Sie darauf, dass alle Konten im System eindeutige Namen haben. | Mittel | pass |
| 6.2.8 | Sicherstellen, dass alle Gruppen im System eindeutige Gruppennamen haben | Mittel | pass |
| 6.2.9 | Achten Sie darauf, dass der Pfad des Stammelements keine relativen Pfade oder Nullverzeichnisse enthält. | unbekannt | pass |
| 6.2.9 | Sicherstellen, dass der Pfad des Root-Verzeichnisses keine für alle oder für Gruppen beschreibbaren Verzeichnisse enthält | Mittel | pass |
| 6.2.10 | Prüfen, ob nur Root die UID 0 hat | hoch | pass |
| 6.2.11 | Alle Basisverzeichnisse interaktiver Nutzer müssen vorhanden sein | Mittel | pass |
| 6.2.12 | Alle Home-Verzeichnisse interaktiver Nutzer müssen der primären Gruppe gehören. | Mittel | pass |
| 6.2.12 | Alle interaktiven Nutzerbasisverzeichnisse müssen dem primären Nutzer gehören | Mittel | pass |
| 6.2.13 | Alle interaktiven Nutzer-Home-Verzeichnisse müssen den Modus 0750 oder weniger permissive Berechtigungen haben | Mittel | pass |
| 6.2.14 | Prüfen, ob keine .netrc-Dateien vorhanden sind | Mittel | pass |
| 6.2.15 | Prüfen, ob keine .forward-Dateien vorhanden sind | Mittel | pass |
| 6.2.16 | Rsh-Vertrauensdateien entfernen | hoch | pass |
| 6.2.17 | Nutzerinitialisierungsdateien müssen der primären Gruppe gehören. | Mittel | pass |
| 6.2.17 | Dateien zur Nutzerinitialisierung müssen dem Primärnutzer gehören | Mittel | pass |
| 6.2.17 | Nutzerinitialisierungsdateien dürfen keine Programme ausführen, die für alle beschreibbar sind | Mittel | pass |
Nicht anwendbare Empfehlungen
In der folgenden Tabelle sind die Empfehlungen aufgeführt, die nicht für Google Distributed Cloud gelten.
| # | Empfehlung | Schweregrad | Status |
|---|---|---|---|
| 1.1.2.2 | Option „nodev“ zu „/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.2.3 | Option „noexec“ zu „/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.2.4 | Option „nosuid“ zu „/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.3.2 | Option „nodev“ zu „/var“ hinzufügen | Mittel | notapplicable |
| 1.1.3.3 | Option „nosuid“ zu „/var“ hinzufügen | Mittel | notapplicable |
| 1.1.4.2 | „noexec“-Option zu /var/tmp hinzufügen | Mittel | notapplicable |
| 1.1.4.3 | Option „nosuid“ zu „/var/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.4.4 | Option „nodev“ zu „/var/tmp“ hinzufügen | Mittel | notapplicable |
| 1.1.5.2 | Option „nodev“ zu „/var/log“ hinzufügen | Mittel | notapplicable |
| 1.1.5.3 | Option „noexec“ zu „/var/log“ hinzufügen | Mittel | notapplicable |
| 1.1.5.4 | Option „nosuid“ zu „/var/log“ hinzufügen | Mittel | notapplicable |
| 1.1.6.2 | Option „noexec“ zu /var/log/audit hinzufügen | Mittel | notapplicable |
| 1.1.6.3 | Option „nodev“ zu /var/log/audit hinzufügen | Mittel | notapplicable |
| 1.1.6.4 | Option „nosuid“ zu /var/log/audit hinzufügen | Mittel | notapplicable |
| 1.1.7.2 | Option „nodev“ zu „/home“ hinzufügen | unbekannt | notapplicable |
| 1.1.7.3 | Option „nosuid“ zu „/home“ hinzufügen | Mittel | notapplicable |
| 1.4.1 | UEFI-Bootloader-Passwort festlegen | hoch | notapplicable |
| 1.8.1 | GDM-Paketgruppe entfernen | Mittel | notapplicable |
| 1.8.4 | GNOME3-Bildschirmschoner-Sperre nach Inaktivitätszeitraum aktivieren | Mittel | notapplicable |
| 1.8.5 | Verzögerung für die GNOME3-Bildschirmschoner-Sperre nach dem Aktivierungszeitraum festlegen | Mittel | notapplicable |
| 1.8.6 | Automatisches Öffnen von GNOME3 deaktivieren | Mittel | notapplicable |
| 1.8.6 | Automounting in GNOME3 deaktivieren | Mittel | notapplicable |
| 1.8.8 | GNOME3-Automount deaktivieren | low | notapplicable |
| 1.8.10 | XDMCP in GDM deaktivieren | hoch | notapplicable |
| 1.10 | GNOME3-DConf-Nutzerprofil konfigurieren | hoch | notapplicable |
| 2.1.4.1 | Serverbeschränkungen für ntpd konfigurieren | Mittel | notapplicable |
| 2.1.4.3 | ntpd so konfigurieren, dass es als ntp-Nutzer ausgeführt wird | Mittel | notapplicable |
| 2.1.4.4 | NTP-Daemon aktivieren | hoch | notapplicable |
| 2.2.15 | Postfix-Netzwerk-Listening deaktivieren | Mittel | notapplicable |
| 3.5.1.3 | Prüfen, ob ufw aktiviert ist | Mittel | notapplicable |
| 3.5.1.4 | UFW-Loopback-Traffic einrichten | Mittel | notapplicable |
| 3.5.1.6 | Sicherstellen, dass ufw-Firewallregeln für alle offenen Ports vorhanden sind | Mittel | notapplicable |
| 3.5.1.7 | Sicherstellen, dass die Standard-DENY-Firewallrichtlinie für ufw festgelegt ist | Mittel | notapplicable |
| 3.5.3.2.1 | Standard-iptables-Richtlinie für eingehende Pakete festlegen | Mittel | notapplicable |
| 3.5.3.2.2 | Konfiguration für Loopback-Traffic festlegen | Mittel | notapplicable |
| 3.5.3.2.4 | Sicherstellen, dass iptables-Firewallregeln für alle offenen Ports vorhanden sind | Mittel | notapplicable |
| 3.5.3.3.1 | Standardrichtlinie für eingehende Pakete in ip6tables festlegen | Mittel | notapplicable |
| 3.5.3.3.4 | Sicherstellen, dass ip6tables-Firewallregeln für alle offenen Ports vorhanden sind | Mittel | notapplicable |
AIDE-Cronjob konfigurieren
AIDE ist ein Tool zur Dateiintegritätsprüfung, das die Compliance mit CIS L1 Server Benchmark 1.4 Filesystem Integrity Checking überprüft. In Google Distributed Cloud hat der AIDE-Prozess Probleme bei hoher Ressourcennutzung verursacht.
Der AIDE-Prozess auf Knoten ist standardmäßig deaktiviert, um Ressourcenprobleme zu vermeiden. Dies wirkt sich auf die Compliance mit CIS L1 Server Benchmark 1.4.2 aus: Ensure
filesystem integrity is regularly checked.
Wenn Sie die Ausführung des AIDE-Cronjobs aktivieren möchten, führen Sie die folgenden Schritte aus, um AIDE wieder zu aktivieren:
Erstellen Sie ein DaemonSet.
Dies ist ein Manifest für ein DaemonSet:
apiVersion: apps/v1 kind: DaemonSet metadata: name: enable-aide-pool1 spec: selector: matchLabels: app: enable-aide-pool1 template: metadata: labels: app: enable-aide-pool1 spec: hostIPC: true hostPID: true nodeSelector: cloud.google.com/gke-nodepool: pool-1 containers: - name: update-audit-rule image: ubuntu command: ["chroot", "/host", "bash", "-c"] args: - | set -x while true; do # change daily cronjob schedule minute=30;hour=5 sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab # enable aide chmod 755 /etc/cron.daily/aide sleep 3600 done volumeMounts: - name: host mountPath: /host securityContext: privileged: true volumes: - name: host hostPath: path: /Das vorherige Manifest bewirkt Folgendes:
Der AIDE-Cronjob wird nur im Knotenpool
pool-1ausgeführt, wie durch den nodeSelectorcloud.google.com/gke-nodepool: pool-1angegeben. Sie können den AIDE-Prozess so konfigurieren, dass er auf beliebig vielen Knotenpools ausgeführt wird. Geben Sie dazu die Pools unter dem FeldnodeSelectoran. Entfernen Sie das FeldnodeSelector, um denselben Cronjob-Zeitplan für verschiedene Knotenpools auszuführen. Um Ressourcenüberlastungen zu vermeiden, empfehlen wir jedoch, separate Zeitpläne zu pflegen.Der Cronjob wird gemäß der Konfiguration
minute=30;hour=5täglich um 5:30 Uhr ausgeführt. Sie können unterschiedliche Zeitpläne für den AIDE-Cronjob nach Bedarf konfigurieren.
Kopieren Sie das Manifest in eine Datei mit dem Namen
enable-aide.yamlund erstellen Sie das DaemonSet:kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
Dabei ist USER_CLUSTER_KUBECONFIG der Pfad der kubeconfig-Datei für Ihren Nutzercluster.
SCAP-Bewertung (Security Content Automation Protocol) verwenden
Wir empfehlen Ihnen, Ihre Installation selbst zu scannen, um die Einhaltung von Level 2 des CIS-Benchmarks für Ubuntu Linux zu bewerten. Es gibt verschiedene Tools zum Scannen Ihrer Cluster und Ihrer Administrator-Workstation. So installieren und führen Sie das OpenSCAP-Open-Source-Toolset aus, um eine Sicherheitsbewertung der Stufe 2 durchzuführen:
Kopieren Sie das folgende Script in eine Datei mit dem Namen
cis-benchmark.sh:#!/bin/bash set -x REPORTS_DIR="$1" mkdir -p "${REPORTS_DIR}" echo "Start CIS L2 benchmark evaluation..." apt update apt install libopenscap8 sudo oscap xccdf eval \ --profile cis_level2_server_customized \ --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \ --results "${REPORTS_DIR}"/cis-results.xml \ --report "${REPORTS_DIR}"/cis-report.html \ --verbose INFO \ --verbose-log-file "${REPORTS_DIR}/cis-output-verbose.log" \ /etc/cloud/usg/ssg-ubuntu2204-ds-1.2.xml > "${REPORTS_DIR}"/cis-output.log 2>&1 chmod -R 755 "${REPORTS_DIR}/.." echo "Done CIS L2 benchmark evaluation"Machen Sie das Skript ausführbar:
chmod +x cis-benchmark.shFühren Sie das Skript aus:
./cis-benchmark.sh REPORTS_DIRErsetzen Sie
REPORTS_DIRdurch den Pfad eines vorhandenen Verzeichnisses, in dem Sie den generierten Auswertungsbericht speichern möchten.Wenn das Skript erfolgreich abgeschlossen wurde, enthält das Verzeichnis
REPORTS_DIRdie generierte Dateicis-report.html.