En este documento se describe el nivel de cumplimiento de Google Distributed Cloud con la guía de CIS de Ubuntu.
Acceder a la comparativa
CIS Ubuntu Benchmark está disponible en el sitio web de CIS.
Perfil de configuración
En el documento de referencia de CIS Ubuntu, puedes consultar información sobre los perfiles de configuración. Las imágenes de Ubuntu que usa Google Distributed Cloud se han reforzado para cumplir el perfil de servidor de nivel 2.
Evaluación en Google Distributed Cloud
Usamos los siguientes valores para especificar el estado de las recomendaciones de Ubuntu en Google Distributed Cloud.
| Estado | Descripción |
|---|---|
| aprobar | Cumple una recomendación de referencia. |
| fail | Se desvía de una recomendación de comparativas. |
| notapplicable | No es relevante para probar el sistema que se está evaluando. |
Estado de Google Distributed Cloud
Las imágenes de Ubuntu que se usan con Google Distributed Cloud se han reforzado para cumplir el perfil de servidor de nivel 2 de CIS. En la siguiente tabla se indican los motivos por los que los componentes de Google Distributed Cloud no han superado determinadas recomendaciones.
Las comparativas que tienen el estado Passed no se incluyen en la siguiente tabla.
1.32
Versiones
Esta sección hace referencia a estas versiones:
| Versión de Google Distributed Cloud | Versión de Ubuntu | Versión de CIS Benchmark de Ubuntu | Nivel de CIS |
|---|---|---|---|
| 1.32 | 22.04 LTS | v1.0.0 | Servidor de nivel 2 |
Recomendaciones fallidas
En la siguiente tabla se enumeran las recomendaciones en las que Google Distributed Cloud se desvía de las recomendaciones de la comparativa. Estas conclusiones se aplican a los nodos del clúster y a la estación de trabajo del administrador.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.1 | Asegurarse de que /tmp se encuentra en una partición independiente | bajo | fail |
| 1.1.3.1 | Asegúrate de que /var se encuentra en una partición independiente | bajo | fail |
| 1.1.4.1 | Asegurarse de que /var/tmp se encuentra en una partición independiente | medio | fail |
| 1.1.5.1 | Asegurarse de que /var/log se encuentra en una partición independiente | bajo | fail |
| 1.1.6.1 | Asegurarse de que /var/log/audit se encuentra en una partición independiente | bajo | fail |
| 1.1.7.1 | Asegurarse de que /home se encuentra en una partición independiente | bajo | fail |
| 1.4.1 | Definir la contraseña del gestor de arranque en grub2 | alto | fail |
| 1.4.3 | Asegurarse de que se requiere autenticación para el modo de un solo usuario | medio | fail |
| 2.3.6 | Desinstalar el paquete rpcbind | bajo | fail |
| 3.2.2 | Inhabilitar el parámetro del kernel para el reenvío de IP en interfaces IPv4 | medio | fail |
| 3.3.7 | Habilitar el parámetro del kernel para usar el filtrado de ruta inversa en todas las interfaces IPv4 de forma predeterminada | medio | fail |
| 3.3.7 | Habilitar el parámetro del kernel para usar el filtrado de ruta inversa en todas las interfaces IPv4 | medio | fail |
| 3.5.2.8 | Asegurarse de que la política de cortafuegos de denegación predeterminada de nftables | medio | fail |
| 3.5.2.10 | Asegurarse de que las reglas de nftables sean permanentes | medio | fail |
| 4.2.3 | Verificar los permisos de los archivos de registro | medio | fail |
| 5.2.4 | Limitar el acceso SSH de los usuarios | desconocido | fail |
| 5.3.4 | Asegurarse de que los usuarios vuelvan a autenticarse para la apropiación de privilegios (sudo) | medio | fail |
| 5.5.1.2 | Definir la edad máxima de la contraseña | medio | fail |
Recomendaciones aprobadas
En la siguiente tabla se enumeran las recomendaciones que cumple Google Distributed Cloud.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.1.1 | Inhabilitar el montaje de cramfs | bajo | aprobar |
| 1.1.1.2 | Inhabilitar el montaje de squashfs | bajo | aprobar |
| 1.1.1.3 | Inhabilitar el montaje de udf | bajo | aprobar |
| 1.1.8.1 | Añadir la opción nodev a /dev/shm | medio | aprobar |
| 1.1.8.2 | Añadir la opción noexec a /dev/shm | medio | aprobar |
| 1.1.8.3 | Añadir la opción nosuid a /dev/shm | medio | aprobar |
| 1.1.9 | Inhabilitar el Automounter | medio | aprobar |
| 1.1.10 | Inhabilitar la carga de Modprobe del controlador de almacenamiento USB | medio | aprobar |
| 1.4.2 | Verificar los permisos de /boot/grub/grub.cfg | medio | aprobar |
| 1.5.1 | Habilitar el diseño aleatorio del espacio de direcciones virtuales | medio | aprobar |
| 1.5.2 | El paquete "prelink" no debe estar instalado | medio | aprobar |
| 1.5.3 | Inhabilitar el servicio Apport | desconocido | aprobar |
| 1.5.4 | Inhabilitar los volcados del núcleo para todos los usuarios | medio | aprobar |
| 1.5.4 | Inhabilitar los volcados de memoria para programas SUID | medio | aprobar |
| 1.6.1.1 | Comprobar que AppArmor esté instalado | medio | aprobar |
| 1.6.1.2 | Asegúrate de que AppArmor esté habilitado en la configuración del gestor de arranque | medio | aprobar |
| 1.6.1.4 | Aplicar todos los perfiles de AppArmor | medio | aprobar |
| 1.7.1 | Modificar el banner del mensaje del día del sistema | medio | aprobar |
| 1.7.2 | Modificar el banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.3 | Modificar el banner de inicio de sesión del sistema para conexiones remotas | medio | aprobar |
| 1.7.4 | Verificar la propiedad de grupo del banner del mensaje del día | medio | aprobar |
| 1.7.4 | Verificar la propiedad del banner de mensaje del día | medio | aprobar |
| 1.7.4 | Verificar los permisos en el banner de mensaje del día | medio | aprobar |
| 1.7.5 | Verificar la propiedad del grupo del banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.5 | Verificar la propiedad del banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.5 | Verificar los permisos en el banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.6 | Verificar la propiedad del grupo del banner de inicio de sesión del sistema para conexiones remotas | medio | aprobar |
| 1.7.6 | Verificar la propiedad del banner de inicio de sesión del sistema para conexiones remotas | medio | aprobar |
| 1.7.6 | Verificar los permisos en el banner de inicio de sesión del sistema para las conexiones remotas | medio | aprobar |
| 2.1.1.1 | Instalar el servicio systemd_timesyncd | alto | aprobar |
| 2.1.3.2 | Habilitar el servicio systemd_timesyncd | alto | aprobar |
| 2.2.1 | Quitar el grupo de paquetes de X Windows | medio | aprobar |
| 2.2.2 | Inhabilitar el software del servidor Avahi | medio | aprobar |
| 2.2.2 | Desinstalar el paquete del servidor Avahi | medio | aprobar |
| 2.2.3 | Inhabilitar el servicio CUPS | desconocido | aprobar |
| 2.2.3 | Desinstalar el paquete CUPS | desconocido | aprobar |
| 2.2.4 | Desinstalar el paquete del servidor DHCP | medio | aprobar |
| 2.2.5 | Desinstalar el paquete openldap-servers | bajo | aprobar |
| 2.2.6 | Desinstalar el paquete nfs-kernel-server | bajo | aprobar |
| 2.2.7 | Desinstalar el paquete de enlace | bajo | aprobar |
| 2.2.8 | Desinstalar el paquete vsftpd | alto | aprobar |
| 2.2.9 | Desinstalar el paquete httpd | desconocido | aprobar |
| 2.2.9 | Desinstalar el paquete nginx | desconocido | aprobar |
| 2.2.10 | Desinstalar el paquete cyrus-imapd | desconocido | aprobar |
| 2.2.10 | Desinstalar el paquete dovecot | desconocido | aprobar |
| 2.2.11 | Desinstalar el paquete Samba | desconocido | aprobar |
| 2.2.12 | Desinstalar el paquete de Squid | desconocido | aprobar |
| 2.2.13 | Desinstalar el paquete net-snmp | desconocido | aprobar |
| 2.2.14 | Desinstalar el paquete nis | bajo | aprobar |
| 2.2.15 | Asegúrate de que el agente de transferencia de correo no esté escuchando en ninguna dirección que no sea de bucle invertido | medio | aprobar |
| 2.2.16 | Desinstalar el paquete rsync | medio | aprobar |
| 2.3.2 | Desinstalar el paquete rsh | desconocido | aprobar |
| 2.3.3 | Desinstalar el paquete de habla | medio | aprobar |
| 2.3.4 | Quitar clientes Telnet | bajo | aprobar |
| 2.3.5 | Asegurarse de que el cliente LDAP no esté instalado | bajo | aprobar |
| 3.1.2 | Desactivar interfaces de red inalámbrica | medio | aprobar |
| 3.2.1 | Inhabilitar el parámetro del kernel para enviar redirecciones ICMP en todas las interfaces IPv4 de forma predeterminada | medio | aprobar |
| 3.2.1 | Inhabilitar el parámetro del kernel para enviar redirecciones ICMP en todas las interfaces IPv4 | medio | aprobar |
| 3.2.2 | Inhabilitar el parámetro del kernel para el reenvío de IPv6 | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes de origen enrutado en todas las interfaces IPv4 | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes de origen en todas las interfaces IPv6 | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes de ruta de origen en interfaces IPv4 de forma predeterminada | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes con ruta de origen en interfaces IPv6 de forma predeterminada | medio | aprobar |
| 3.3.2 | Inhabilitar la aceptación de redirecciones ICMP en todas las interfaces IPv4 | medio | aprobar |
| 3.3.2 | Inhabilitar la aceptación de redirecciones ICMP para todas las interfaces IPv6 | medio | aprobar |
| 3.3.2 | Inhabilitar el parámetro del kernel para aceptar redirecciones ICMP de forma predeterminada en interfaces IPv4 | medio | aprobar |
| 3.3.2 | Inhabilitar el parámetro del kernel para aceptar redirecciones ICMP de forma predeterminada en interfaces IPv6 | medio | aprobar |
| 3.3.3 | Configurar el parámetro del kernel para aceptar redirecciones seguras de forma predeterminada | medio | aprobar |
| 3.3.3 | Inhabilitar el parámetro del kernel para aceptar redirecciones ICMP seguras en todas las interfaces IPv4 | medio | aprobar |
| 3.3.4 | Habilitar el parámetro del kernel para registrar paquetes de Marte en todas las interfaces IPv4 | desconocido | aprobar |
| 3.3.4 | Habilitar el parámetro del kernel para registrar paquetes marcianos en todas las interfaces IPv4 de forma predeterminada | desconocido | aprobar |
| 3.3.5 | Habilitar el parámetro del kernel para ignorar las solicitudes de eco de difusión ICMP en interfaces IPv4 | medio | aprobar |
| 3.3.6 | Habilitar el parámetro del kernel para ignorar las respuestas de error ICMP falsas en interfaces IPv4 | desconocido | aprobar |
| 3.3.8 | Habilitar el parámetro del kernel para usar syncookies TCP en interfaces de red | medio | aprobar |
| 3.3.9 | Configurar la aceptación de anuncios de router en todas las interfaces IPv6 | medio | aprobar |
| 3.3.9 | Inhabilitar la aceptación de anuncios de router en todas las interfaces IPv6 de forma predeterminada | medio | aprobar |
| 3.4.1 | Inhabilitar la compatibilidad con DCCP | medio | aprobar |
| 3.4.2 | Inhabilitar la compatibilidad con SCTP | medio | aprobar |
| 3.4.3 | Inhabilitar la compatibilidad con RDS | bajo | aprobar |
| 3.4.4 | Inhabilitar la compatibilidad con TIPC | bajo | aprobar |
| 3.5.1.2 | Eliminar el paquete iptables-persistent | medio | aprobar |
| 3.5.2.1 | Instalar el paquete nftables | medio | aprobar |
| 3.5.2.4 | Asegurarse de que existe una tabla para Nftables | medio | aprobar |
| 3.5.2.5 | Asegurarse de que existen cadenas base para Nftables | medio | aprobar |
| 3.5.2.9 | Verificar que el servicio nftables esté habilitado | medio | aprobar |
| 3.5.3.1.1 | Instalar el paquete iptables | medio | aprobar |
| 3.5.3.1.3 | Quitar el paquete ufw | medio | aprobar |
| 4.1.1.1 | Asegurarse de que el subsistema de auditoría esté instalado | medio | aprobar |
| 4.1.1.2 | Habilitar el servicio auditd | medio | aprobar |
| 4.1.1.4 | Ampliar el límite de la lista de pendientes de auditoría del daemon de auditoría | bajo | aprobar |
| 4.1.2.1 | Configurar el tamaño máximo del archivo de registro de auditd | medio | aprobar |
| 4.1.2.2 | Configurar auditd max_log_file_action al alcanzar el tamaño máximo del registro | medio | aprobar |
| 4.1.2.3 | Configurar la acción admin_space_left de auditd cuando haya poco espacio en disco | medio | aprobar |
| 4.1.2.3 | Configurar la acción mail_acct de auditd cuando haya poco espacio en disco | medio | aprobar |
| 4.1.2.3 | Configurar la acción space_left de auditd cuando haya poco espacio en disco | medio | aprobar |
| 4.1.3.1 | Asegurarse de que auditd recoge las acciones del administrador del sistema | medio | aprobar |
| 4.1.3.2 | Registrar eventos cuando se ejecutan archivos ejecutables con privilegios | medio | aprobar |
| 4.1.3.3 | Registra los intentos de realizar actividades de mantenimiento. | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar el archivo localtime | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante adjtimex. | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante clock_settime | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante settimeofday. | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante stime | medio | aprobar |
| 4.1.3.5 | Registrar eventos que modifican el entorno de red del sistema | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (su) | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (sudo) | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (sudoedit) | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: umount | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios - unix_chkpwd | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos - creat | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: ftruncate | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos - open | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: openat | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: truncar | medio | aprobar |
| 4.1.3.8 | Registrar eventos que modifican la información de usuarios o grupos: /etc/group | medio | aprobar |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/gshadow | medio | aprobar |
| 4.1.3.8 | Registrar eventos que modifiquen la información de usuarios o grupos: /etc/passwd | medio | aprobar |
| 4.1.3.8 | Registrar eventos que modifiquen la información de usuarios o grupos: /etc/security/opasswd | medio | aprobar |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/shadow | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema (chmod) | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema (chown) | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmod | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmodat | medio | aprobar |
| 4.1.3.9 | Registra los eventos que modifican los controles de acceso discrecional del sistema (fchown). | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchownat | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema: fremovexattr | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fsetxattr | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lchown | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema: lremovexattr | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema (lsetxattr) | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: removexattr | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: setxattr | medio | aprobar |
| 4.1.3.10 | Asegurarse de que auditd recoge información sobre la exportación a medios (correcta) | medio | aprobar |
| 4.1.3.11 | Registra los intentos de alterar la información de inicio de sesión y de procesos | medio | aprobar |
| 4.1.3.12 | Registra los intentos de modificar los eventos de inicio y cierre de sesión: faillog | medio | aprobar |
| 4.1.3.12 | Registrar intentos de modificar eventos de inicio y cierre de sesión: lastlog | medio | aprobar |
| 4.1.3.12 | Registrar intentos de modificar eventos de inicio y cierre de sesión: tallylog | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario - cambiar nombre | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario (renameat) | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario (unlink) | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario (unlinkat) | medio | aprobar |
| 4.1.3.14 | Registrar eventos que modifiquen los controles de acceso obligatorios del sistema | medio | aprobar |
| 4.1.3.15 | Registrar cualquier intento de ejecutar chcon | medio | aprobar |
| 4.1.3.16 | Registrar cualquier intento de ejecutar setfacl | medio | aprobar |
| 4.1.3.17 | Registrar cualquier intento de ejecutar chacl | medio | aprobar |
| 4.1.3.18 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (usermod) | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre la carga de módulos del kernel (init_module) | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre la descarga del módulo del kernel (delete_module) | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: insmod | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: modprobe | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: rmmod | medio | aprobar |
| 4.1.3.20 | Hacer que la configuración de auditd sea inmutable | medio | aprobar |
| 4.1.4.1 | Los registros de auditoría del sistema deben tener el modo 0640 o menos permisivo | medio | aprobar |
| 4.1.4.2 | Los registros de auditoría del sistema deben ser propiedad de la raíz | medio | aprobar |
| 4.1.4.3 | Los registros de auditoría del sistema deben ser propiedad del grupo raíz | medio | aprobar |
| 4.1.4.4 | Los registros de auditoría del sistema deben tener el modo 0750 o uno menos permisivo | medio | aprobar |
| 4.1.4.5 | Verificar los permisos en /etc/audit/auditd.conf | medio | aprobar |
| 4.1.4.5 | Verificar los permisos en /etc/audit/rules.d/*.rules | medio | aprobar |
| 4.1.4.6 | Los archivos de configuración de auditoría deben ser propiedad de root | medio | aprobar |
| 4.1.4.7 | Los archivos de configuración de auditoría deben ser propiedad del grupo root | medio | aprobar |
| 4.1.4.8 | Verificar que las herramientas de auditoría tengan el modo 0755 o inferior | medio | aprobar |
| 4.1.4.9 | Verificar que las herramientas de auditoría son propiedad de root | medio | aprobar |
| 4.1.4.10 | Verificar que las herramientas de auditoría son propiedad de la raíz del grupo | medio | aprobar |
| 4.2.1.1.1 | Instalar el paquete systemd-journal-remote | medio | aprobar |
| 4.2.1.1.4 | Inhabilitar el socket systemd-journal-remote | medio | aprobar |
| 4.2.1.2 | Habilitar el servicio systemd-journald | medio | aprobar |
| 4.2.1.3 | Asegúrate de que journald esté configurado para comprimir archivos de registro grandes | medio | aprobar |
| 4.2.1.4 | Asegúrate de que journald esté configurado para escribir archivos de registro en un disco persistente | medio | aprobar |
| 4.2.2.1 | Asegúrate de que rsyslog esté instalado | medio | aprobar |
| 4.2.2.2 | Habilitar el servicio rsyslog | medio | aprobar |
| 4.2.2.4 | Asegurarse de que los permisos de archivo predeterminados de rsyslog estén configurados | medio | aprobar |
| 4.2.2.7 | Asegurarse de que rsyslog no acepte mensajes remotos a menos que actúe como servidor de registro | medio | aprobar |
| 5.1.1 | Habilitar el servicio cron | medio | aprobar |
| 5.1.2 | Verificar el grupo propietario de Crontab | medio | aprobar |
| 5.1.2 | Verificar el propietario en crontab | medio | aprobar |
| 5.1.2 | Verificar los permisos en crontab | medio | aprobar |
| 5.1.3 | Verificar el grupo propietario de cron.hourly | medio | aprobar |
| 5.1.3 | Verificar el propietario en cron.hourly | medio | aprobar |
| 5.1.3 | Verificar permisos en cron.hourly | medio | aprobar |
| 5.1.4 | Verificar el grupo propietario de cron.daily | medio | aprobar |
| 5.1.4 | Verificar el propietario en cron.daily | medio | aprobar |
| 5.1.4 | Verifica los permisos en cron.daily. | medio | aprobar |
| 5.1.5 | Verifica el grupo propietario de cron.weekly. | medio | aprobar |
| 5.1.5 | Verificar propietario en cron.weekly | medio | aprobar |
| 5.1.5 | Verifica los permisos en cron.weekly. | medio | aprobar |
| 5.1.6 | Verificar el grupo propietario de cron.monthly | medio | aprobar |
| 5.1.6 | Verificar el propietario en cron.monthly | medio | aprobar |
| 5.1.6 | Verificar los permisos en cron.monthly | medio | aprobar |
| 5.1.7 | Verificar el grupo propietario de cron.d | medio | aprobar |
| 5.1.7 | Verificar el propietario en cron.d | medio | aprobar |
| 5.1.7 | Verificar los permisos en cron.d | medio | aprobar |
| 5.1.8 | Asegúrate de que /etc/cron.deny no exista | medio | aprobar |
| 5.1.8 | Verificar el grupo propietario del archivo /etc/cron.allow | medio | aprobar |
| 5.1.8 | Verificar los permisos del archivo /etc/cron.allow | medio | aprobar |
| 5.1.8 | Verificar el usuario propietario del archivo /etc/cron.allow | medio | aprobar |
| 5.1.9 | Asegúrate de que no exista /etc/at.deny | medio | aprobar |
| 5.1.9 | Verificar el grupo propietario del archivo /etc/at.allow | medio | aprobar |
| 5.1.9 | Verificar los permisos del archivo /etc/at.allow | medio | aprobar |
| 5.1.9 | Verificar el usuario propietario del archivo /etc/at.allow | medio | aprobar |
| 5.2.1 | Verificar el grupo propietario del archivo de configuración del servidor SSH | medio | aprobar |
| 5.2.1 | Verificar el propietario en el archivo de configuración del servidor SSH | medio | aprobar |
| 5.2.1 | Verificar los permisos en el archivo de configuración del servidor SSH | medio | aprobar |
| 5.2.2 | Verificar los permisos de los archivos de claves privadas *_key del servidor SSH | medio | aprobar |
| 5.2.3 | Verificar los permisos de los archivos de clave pública *.pub del servidor SSH | medio | aprobar |
| 5.2.5 | Asigna el valor INFO a LogLevel | bajo | aprobar |
| 5.2.6 | Habilitar PAM | medio | aprobar |
| 5.2.7 | Inhabilitar el inicio de sesión de root de SSH | medio | aprobar |
| 5.2.8 | Inhabilitar la autenticación basada en host | medio | aprobar |
| 5.2.9 | Inhabilitar el acceso SSH mediante contraseñas vacías | alto | aprobar |
| 5.2.10 | No permitir opciones de entorno SSH | medio | aprobar |
| 5.2.11 | Inhabilitar la compatibilidad con SSH para archivos .rhosts | medio | aprobar |
| 5.2.12 | Inhabilitar el reenvío de X11 | medio | aprobar |
| 5.2.13 | Usar solo cifrados seguros | medio | aprobar |
| 5.2.14 | Usar solo MACs seguras | medio | aprobar |
| 5.2.15 | Usar solo algoritmos de intercambio de claves seguros | medio | aprobar |
| 5.2.16 | Inhabilitar el reenvío de TCP de SSH | medio | aprobar |
| 5.2.17 | Habilitar banner de advertencia de SSH | medio | aprobar |
| 5.2.18 | Definir el límite de intentos de autenticación SSH | medio | aprobar |
| 5.2.19 | Asegúrate de que SSH MaxStartups esté configurado | medio | aprobar |
| 5.2.20 | Definir el límite de MaxSessions de SSH | medio | aprobar |
| 5.2.21 | Asegúrate de que se haya configurado LoginGraceTime de SSH | medio | aprobar |
| 5.2.22 | Definir el valor máximo de ClientAliveCount de SSH | medio | aprobar |
| 5.2.22 | Definir el intervalo de actividad del cliente SSH | medio | aprobar |
| 5.3.1 | Instalar el paquete sudo | medio | aprobar |
| 5.3.2 | Asegúrate de que solo los usuarios que hayan iniciado sesión en una tty real puedan ejecutar sudo - sudo use_pty | medio | aprobar |
| 5.3.3 | Asegurarse de que existe el archivo de registro de sudo - sudo logfile | bajo | aprobar |
| 5.3.5 | Asegurarse de que los usuarios se vuelvan a autenticar para la escalada de privilegios - sudo !authenticate | medio | aprobar |
| 5.3.6 | Requerir reautenticación al usar el comando sudo | medio | aprobar |
| 5.3.7 | Aplicar el uso de pam_wheel con el parámetro Group para la autenticación su | medio | aprobar |
| 5.3.7 | Asegurarse de que el grupo usado por el módulo pam_wheel exista en el sistema y esté vacío | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de contraseñas: se permiten solicitudes de reintento de autenticación por sesión | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de contraseñas: categorías mínimas diferentes | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: número mínimo de dígitos | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplique los requisitos de contraseña: longitud mínima | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: número mínimo de caracteres en minúscula | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: caracteres especiales mínimos | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: número mínimo de caracteres en mayúsculas | medio | aprobar |
| 5.4.1 | Instalar el paquete pam_pwquality | medio | aprobar |
| 5.4.2 | Bloquear cuentas tras intentos fallidos de introducir la contraseña | medio | aprobar |
| 5.4.2 | Definir el intervalo para contar los intentos de contraseña fallidos | medio | aprobar |
| 5.4.2 | Definir el tiempo de bloqueo por intentos de contraseña fallidos | medio | aprobar |
| 5.4.3 | Limitar la reutilización de contraseñas | medio | aprobar |
| 5.4.4 | Definir el algoritmo de cifrado con hash de la contraseña en /etc/login.defs | medio | aprobar |
| 5.5.1.1 | Definir la antigüedad mínima de las contraseñas | medio | aprobar |
| 5.5.1.1 | Definir la antigüedad mínima de la contraseña | medio | aprobar |
| 5.5.1.2 | Definir la antigüedad máxima de las contraseñas | medio | aprobar |
| 5.5.1.3 | Establecer antigüedad de la advertencia de contraseña | medio | aprobar |
| 5.5.1.4 | Configurar la caducidad de la cuenta tras un periodo de inactividad | medio | aprobar |
| 5.5.1.5 | Asegúrate de que la fecha del último cambio de contraseña de todos los usuarios sea anterior a la actual | medio | aprobar |
| 5.5.2 | Asegurarse de que las cuentas del sistema no ejecuten un shell al iniciar sesión | medio | aprobar |
| 5.5.3 | Verificar que Root tiene un GID principal 0 | alto | aprobar |
| 5.5.4 | Asegurarse de que la máscara Umask de Bash predeterminada esté configurada correctamente | medio | aprobar |
| 5.5.4 | Asegurarse de que la máscara predeterminada se ha definido correctamente para los usuarios interactivos | medio | aprobar |
| 5.5.4 | Asegurarse de que la máscara predeterminada esté configurada correctamente en /etc/profile | medio | aprobar |
| 5.5.4 | Asegurarse de que la máscara predeterminada esté configurada correctamente en login.defs | medio | aprobar |
| 5.5.5 | Definir el tiempo de espera de la sesión interactiva | medio | aprobar |
| 6.1.1 | Verificar el grupo propietario del archivo passwd | medio | aprobar |
| 6.1.1 | Verificar los permisos del archivo passwd | medio | aprobar |
| 6.1.1 | Verificar el usuario propietario del archivo passwd | medio | aprobar |
| 6.1.2 | Verificar el grupo propietario del archivo passwd de la copia de seguridad | medio | aprobar |
| 6.1.2 | Verificar los permisos del archivo passwd de la copia de seguridad | medio | aprobar |
| 6.1.2 | Verificar el usuario propietario del archivo passwd de la copia de seguridad | medio | aprobar |
| 6.1.3 | Verificar el grupo propietario del archivo de grupo | medio | aprobar |
| 6.1.3 | Verificar los permisos del archivo de grupo | medio | aprobar |
| 6.1.3 | Verificar el usuario propietario del archivo de grupo | medio | aprobar |
| 6.1.4 | Verificar el grupo propietario del archivo de grupo de copia de seguridad | medio | aprobar |
| 6.1.4 | Verificar los permisos del archivo del grupo de copia de seguridad | medio | aprobar |
| 6.1.4 | Verificar el usuario propietario del archivo del grupo de copia de seguridad | medio | aprobar |
| 6.1.5 | Verificar el grupo propietario del archivo fantasma | medio | aprobar |
| 6.1.5 | Verificar los permisos del archivo de sombra | medio | aprobar |
| 6.1.5 | Verificar el usuario propietario del archivo fantasma | medio | aprobar |
| 6.1.6 | Verificar el grupo propietario del archivo de sombra de la copia de seguridad | medio | aprobar |
| 6.1.6 | Verificar los permisos del archivo de sombra de la copia de seguridad | medio | aprobar |
| 6.1.6 | Verificar el usuario propietario del archivo fantasma de la copia de seguridad | medio | aprobar |
| 6.1.7 | Verificar el grupo propietario del archivo gshadow | medio | aprobar |
| 6.1.7 | Verificar los permisos del archivo gshadow | medio | aprobar |
| 6.1.7 | Verificar el usuario propietario del archivo gshadow | medio | aprobar |
| 6.1.8 | Verificar el grupo propietario del archivo gshadow de la copia de seguridad | medio | aprobar |
| 6.1.8 | Verificar los permisos del archivo gshadow de la copia de seguridad | medio | aprobar |
| 6.1.8 | Verificar el usuario propietario del archivo gshadow de la copia de seguridad | medio | aprobar |
| 6.1.10 | Asegurarse de que todos los archivos sean propiedad de un usuario | medio | aprobar |
| 6.2.1 | Verificar que todos los hashes de contraseñas de cuentas estén ocultos | medio | aprobar |
| 6.2.2 | Asegurarse de que no haya cuentas con contraseñas en blanco o nulas | alto | aprobar |
| 6.2.3 | Todos los GIDs a los que se hace referencia en /etc/passwd deben definirse en /etc/group. | bajo | aprobar |
| 6.2.4 | Asegurarse de que el grupo de sombra esté vacío | medio | aprobar |
| 6.2.5 | Asegurarse de que todas las cuentas del sistema tengan IDs de usuario únicos | medio | aprobar |
| 6.2.6 | Asegurarse de que todos los grupos del sistema tengan un ID de grupo único | medio | aprobar |
| 6.2.7 | Asegurarse de que todas las cuentas del sistema tengan nombres únicos | medio | aprobar |
| 6.2.8 | Asegurarse de que todos los grupos del sistema tengan nombres únicos | medio | aprobar |
| 6.2.9 | Asegúrate de que la ruta de la raíz no incluya rutas relativas ni directorios nulos | desconocido | aprobar |
| 6.2.9 | Asegurarse de que la ruta de la raíz no incluye directorios con permisos de escritura para todos o para el grupo | medio | aprobar |
| 6.2.10 | Verificar que solo el usuario root tiene el UID 0 | alto | aprobar |
| 6.2.11 | Todos los directorios principales de los usuarios interactivos deben existir | medio | aprobar |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del grupo principal | medio | aprobar |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del usuario principal | medio | aprobar |
| 6.2.13 | Todos los directorios de inicio de usuarios interactivos deben tener el modo 0750 o menos permisivo | medio | aprobar |
| 6.2.14 | Verificar que no haya archivos .netrc | medio | aprobar |
| 6.2.15 | Verificar que no existen archivos .forward | medio | aprobar |
| 6.2.16 | Eliminar archivos de confianza de Rsh | alto | aprobar |
| 6.2.17 | Los archivos de inicialización de usuario deben ser propiedad del grupo principal | medio | aprobar |
| 6.2.17 | El usuario principal debe ser el propietario de los archivos de inicialización de usuario | medio | aprobar |
| 6.2.17 | Los archivos de inicialización de usuarios no deben ejecutar programas con permisos de escritura para todos | medio | aprobar |
Recomendaciones no aplicables
En la siguiente tabla se enumeran las recomendaciones que no se aplican a Google Distributed Cloud.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.2 | Añadir la opción nodev a /tmp | medio | notapplicable |
| 1.1.2.3 | Añadir la opción noexec a /tmp | medio | notapplicable |
| 1.1.2.4 | Añadir la opción nosuid a /tmp | medio | notapplicable |
| 1.1.3.2 | Añadir la opción nodev a /var | medio | notapplicable |
| 1.1.3.3 | Añadir la opción nosuid a /var | medio | notapplicable |
| 1.1.4.2 | Añadir la opción noexec a /var/tmp | medio | notapplicable |
| 1.1.4.3 | Añadir la opción nosuid a /var/tmp | medio | notapplicable |
| 1.1.4.4 | Añadir la opción nodev a /var/tmp | medio | notapplicable |
| 1.1.5.2 | Añadir la opción nodev a /var/log | medio | notapplicable |
| 1.1.5.3 | Añadir la opción noexec a /var/log | medio | notapplicable |
| 1.1.5.4 | Añadir la opción nosuid a /var/log | medio | notapplicable |
| 1.1.6.2 | Añadir la opción noexec a /var/log/audit | medio | notapplicable |
| 1.1.6.3 | Añadir la opción nodev a /var/log/audit | medio | notapplicable |
| 1.1.6.4 | Añadir la opción nosuid a /var/log/audit | medio | notapplicable |
| 1.1.7.2 | Añadir la opción nodev a /home | desconocido | notapplicable |
| 1.1.7.3 | Añadir la opción nosuid a /home | medio | notapplicable |
| 1.10 | Configurar el perfil de usuario de GNOME3 DConf | alto | notapplicable |
| 1.4.1 | Definir la contraseña del cargador de arranque UEFI | alto | notapplicable |
| 1.8.1 | Quitar el grupo de paquetes de GDM | medio | notapplicable |
| 1.8.10 | Inhabilitar XDMCP en GDM | alto | notapplicable |
| 1.8.4 | Habilitar el bloqueo del salvapantallas de GNOME3 tras un periodo de inactividad | medio | notapplicable |
| 1.8.5 | Definir el tiempo de espera del bloqueo del salvapantallas de GNOME3 tras el periodo de activación | medio | notapplicable |
| 1.8.6 | Inhabilitar la apertura automática de GNOME3 | medio | notapplicable |
| 1.8.6 | Inhabilitar el montaje automático de GNOME3 | medio | notapplicable |
| 1.8.8 | Inhabilitar la ejecución de montaje automático de GNOME3 | bajo | notapplicable |
| 2.1.4.1 | Configurar restricciones de servidor para ntpd | medio | notapplicable |
| 2.1.4.3 | Configurar ntpd para que se ejecute como usuario ntp | medio | notapplicable |
| 2.1.4.4 | Habilitar el daemon NTP | alto | notapplicable |
| 2.2.15 | Inhabilitar la escucha de red de Postfix | medio | notapplicable |
| 3.5.1.3 | Verificar que ufw esté habilitado | medio | notapplicable |
| 3.5.1.4 | Configurar el tráfico de bucle invertido de UFW | medio | notapplicable |
| 3.5.1.6 | Comprobar que existen reglas de cortafuegos de ufw para todos los puertos abiertos | medio | notapplicable |
| 3.5.1.7 | Asegurarse de que la política de cortafuegos predeterminada de ufw sea Denegar | medio | notapplicable |
| 3.5.3.2.1 | Definir la política predeterminada de iptables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.2.2 | Configurar el tráfico de bucle de retorno | medio | notapplicable |
| 3.5.3.2.4 | Asegurarse de que existen reglas de cortafuegos de iptables para todos los puertos abiertos | medio | notapplicable |
| 3.5.3.3.1 | Definir la política predeterminada de ip6tables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.3.4 | Asegurarse de que existen reglas de cortafuegos ip6tables para todos los puertos abiertos | medio | notapplicable |
1.31
Versiones
Esta sección hace referencia a estas versiones:
| Versión de Google Distributed Cloud | Versión de Ubuntu | Versión de CIS Benchmark de Ubuntu | Nivel de CIS |
|---|---|---|---|
| 1.31 | 22.04 LTS | v1.0.0 | Servidor de nivel 2 |
Recomendaciones fallidas
En la siguiente tabla se enumeran las recomendaciones en las que Google Distributed Cloud se desvía de las recomendaciones de la comparativa. Estas conclusiones se aplican a los nodos del clúster y a la estación de trabajo del administrador.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.1 | Asegurarse de que /tmp se encuentra en una partición independiente | bajo | fail |
| 1.1.3.1 | Asegúrate de que /var se encuentra en una partición independiente | bajo | fail |
| 1.1.4.1 | Asegurarse de que /var/tmp se encuentra en una partición independiente | medio | fail |
| 1.1.5.1 | Asegurarse de que /var/log se encuentra en una partición independiente | bajo | fail |
| 1.1.6.1 | Asegurarse de que /var/log/audit se encuentra en una partición independiente | bajo | fail |
| 1.1.7.1 | Asegurarse de que /home se encuentra en una partición independiente | bajo | fail |
| 1.4.1 | Definir la contraseña del gestor de arranque en grub2 | alto | fail |
| 1.4.3 | Asegurarse de que se requiere autenticación para el modo de un solo usuario | medio | fail |
| 2.3.6 | Desinstalar el paquete rpcbind | bajo | fail |
| 3.2.2 | Inhabilitar el parámetro del kernel para el reenvío de IP en interfaces IPv4 | medio | fail |
| 3.3.7 | Habilitar el parámetro del kernel para usar el filtrado de ruta inversa en todas las interfaces IPv4 de forma predeterminada | medio | fail |
| 3.3.7 | Habilitar el parámetro del kernel para usar el filtrado de ruta inversa en todas las interfaces IPv4 | medio | fail |
| 3.5.2.8 | Asegurarse de que la política de cortafuegos de denegación predeterminada de nftables | medio | fail |
| 3.5.2.10 | Asegurarse de que las reglas de nftables sean permanentes | medio | fail |
| 4.2.3 | Verificar los permisos de los archivos de registro | medio | fail |
| 5.2.4 | Limitar el acceso SSH de los usuarios | desconocido | fail |
| 5.3.4 | Asegurarse de que los usuarios vuelvan a autenticarse para la apropiación de privilegios (sudo) | medio | fail |
| 5.5.1.2 | Definir la edad máxima de la contraseña | medio | fail |
Recomendaciones aprobadas
En la siguiente tabla se enumeran las recomendaciones que cumple Google Distributed Cloud.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.1.1 | Inhabilitar el montaje de cramfs | bajo | aprobar |
| 1.1.1.2 | Inhabilitar el montaje de squashfs | bajo | aprobar |
| 1.1.1.3 | Inhabilitar el montaje de udf | bajo | aprobar |
| 1.1.8.1 | Añadir la opción nodev a /dev/shm | medio | aprobar |
| 1.1.8.2 | Añadir la opción noexec a /dev/shm | medio | aprobar |
| 1.1.8.3 | Añadir la opción nosuid a /dev/shm | medio | aprobar |
| 1.1.9 | Inhabilitar el Automounter | medio | aprobar |
| 1.1.10 | Inhabilitar la carga de Modprobe del controlador de almacenamiento USB | medio | aprobar |
| 1.4.2 | Verificar los permisos de /boot/grub/grub.cfg | medio | aprobar |
| 1.5.1 | Habilitar el diseño aleatorio del espacio de direcciones virtuales | medio | aprobar |
| 1.5.2 | El paquete "prelink" no debe estar instalado | medio | aprobar |
| 1.5.3 | Inhabilitar el servicio Apport | desconocido | aprobar |
| 1.5.4 | Inhabilitar los volcados del núcleo para todos los usuarios | medio | aprobar |
| 1.5.4 | Inhabilitar los volcados de memoria para programas SUID | medio | aprobar |
| 1.6.1.1 | Comprobar que AppArmor esté instalado | medio | aprobar |
| 1.6.1.2 | Asegúrate de que AppArmor esté habilitado en la configuración del gestor de arranque | medio | aprobar |
| 1.6.1.4 | Aplicar todos los perfiles de AppArmor | medio | aprobar |
| 1.7.1 | Modificar el banner del mensaje del día del sistema | medio | aprobar |
| 1.7.2 | Modificar el banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.3 | Modificar el banner de inicio de sesión del sistema para conexiones remotas | medio | aprobar |
| 1.7.4 | Verificar la propiedad de grupo del banner del mensaje del día | medio | aprobar |
| 1.7.4 | Verificar la propiedad del banner de mensaje del día | medio | aprobar |
| 1.7.4 | Verificar los permisos en el banner de mensaje del día | medio | aprobar |
| 1.7.5 | Verificar la propiedad del grupo del banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.5 | Verificar la propiedad del banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.5 | Verificar los permisos en el banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.6 | Verificar la propiedad del grupo del banner de inicio de sesión del sistema para conexiones remotas | medio | aprobar |
| 1.7.6 | Verificar la propiedad del banner de inicio de sesión del sistema para conexiones remotas | medio | aprobar |
| 1.7.6 | Verificar los permisos en el banner de inicio de sesión del sistema para las conexiones remotas | medio | aprobar |
| 2.1.1.1 | Instalar el servicio systemd_timesyncd | alto | aprobar |
| 2.1.3.2 | Habilitar el servicio systemd_timesyncd | alto | aprobar |
| 2.2.1 | Quitar el grupo de paquetes de X Windows | medio | aprobar |
| 2.2.2 | Inhabilitar el software del servidor Avahi | medio | aprobar |
| 2.2.2 | Desinstalar el paquete del servidor Avahi | medio | aprobar |
| 2.2.3 | Inhabilitar el servicio CUPS | desconocido | aprobar |
| 2.2.3 | Desinstalar el paquete CUPS | desconocido | aprobar |
| 2.2.4 | Desinstalar el paquete del servidor DHCP | medio | aprobar |
| 2.2.5 | Desinstalar el paquete openldap-servers | bajo | aprobar |
| 2.2.6 | Desinstalar el paquete nfs-kernel-server | bajo | aprobar |
| 2.2.7 | Desinstalar el paquete de enlace | bajo | aprobar |
| 2.2.8 | Desinstalar el paquete vsftpd | alto | aprobar |
| 2.2.9 | Desinstalar el paquete httpd | desconocido | aprobar |
| 2.2.9 | Desinstalar el paquete nginx | desconocido | aprobar |
| 2.2.10 | Desinstalar el paquete cyrus-imapd | desconocido | aprobar |
| 2.2.10 | Desinstalar el paquete dovecot | desconocido | aprobar |
| 2.2.11 | Desinstalar el paquete Samba | desconocido | aprobar |
| 2.2.12 | Desinstalar el paquete de Squid | desconocido | aprobar |
| 2.2.13 | Desinstalar el paquete net-snmp | desconocido | aprobar |
| 2.2.14 | Desinstalar el paquete nis | bajo | aprobar |
| 2.2.15 | Asegúrate de que el agente de transferencia de correo no esté escuchando en ninguna dirección que no sea de bucle invertido | medio | aprobar |
| 2.2.16 | Desinstalar el paquete rsync | medio | aprobar |
| 2.3.2 | Desinstalar el paquete rsh | desconocido | aprobar |
| 2.3.3 | Desinstalar el paquete de habla | medio | aprobar |
| 2.3.4 | Quitar clientes Telnet | bajo | aprobar |
| 2.3.5 | Asegurarse de que el cliente LDAP no esté instalado | bajo | aprobar |
| 3.1.2 | Desactivar interfaces de red inalámbrica | medio | aprobar |
| 3.2.1 | Inhabilitar el parámetro del kernel para enviar redirecciones ICMP en todas las interfaces IPv4 de forma predeterminada | medio | aprobar |
| 3.2.1 | Inhabilitar el parámetro del kernel para enviar redirecciones ICMP en todas las interfaces IPv4 | medio | aprobar |
| 3.2.2 | Inhabilitar el parámetro del kernel para el reenvío de IPv6 | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes de origen enrutado en todas las interfaces IPv4 | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes de origen en todas las interfaces IPv6 | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes de ruta de origen en interfaces IPv4 de forma predeterminada | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes con ruta de origen en interfaces IPv6 de forma predeterminada | medio | aprobar |
| 3.3.2 | Inhabilitar la aceptación de redirecciones ICMP en todas las interfaces IPv4 | medio | aprobar |
| 3.3.2 | Inhabilitar la aceptación de redirecciones ICMP para todas las interfaces IPv6 | medio | aprobar |
| 3.3.2 | Inhabilitar el parámetro del kernel para aceptar redirecciones ICMP de forma predeterminada en interfaces IPv4 | medio | aprobar |
| 3.3.2 | Inhabilitar el parámetro del kernel para aceptar redirecciones ICMP de forma predeterminada en interfaces IPv6 | medio | aprobar |
| 3.3.3 | Configurar el parámetro del kernel para aceptar redirecciones seguras de forma predeterminada | medio | aprobar |
| 3.3.3 | Inhabilitar el parámetro del kernel para aceptar redirecciones ICMP seguras en todas las interfaces IPv4 | medio | aprobar |
| 3.3.4 | Habilitar el parámetro del kernel para registrar paquetes de Marte en todas las interfaces IPv4 | desconocido | aprobar |
| 3.3.4 | Habilitar el parámetro del kernel para registrar paquetes marcianos en todas las interfaces IPv4 de forma predeterminada | desconocido | aprobar |
| 3.3.5 | Habilitar el parámetro del kernel para ignorar las solicitudes de eco de difusión ICMP en interfaces IPv4 | medio | aprobar |
| 3.3.6 | Habilitar el parámetro del kernel para ignorar las respuestas de error ICMP falsas en interfaces IPv4 | desconocido | aprobar |
| 3.3.8 | Habilitar el parámetro del kernel para usar syncookies TCP en interfaces de red | medio | aprobar |
| 3.3.9 | Configurar la aceptación de anuncios de router en todas las interfaces IPv6 | medio | aprobar |
| 3.3.9 | Inhabilitar la aceptación de anuncios de router en todas las interfaces IPv6 de forma predeterminada | medio | aprobar |
| 3.4.1 | Inhabilitar la compatibilidad con DCCP | medio | aprobar |
| 3.4.2 | Inhabilitar la compatibilidad con SCTP | medio | aprobar |
| 3.4.3 | Inhabilitar la compatibilidad con RDS | bajo | aprobar |
| 3.4.4 | Inhabilitar la compatibilidad con TIPC | bajo | aprobar |
| 3.5.1.2 | Eliminar el paquete iptables-persistent | medio | aprobar |
| 3.5.2.1 | Instalar el paquete nftables | medio | aprobar |
| 3.5.2.4 | Asegurarse de que existe una tabla para Nftables | medio | aprobar |
| 3.5.2.5 | Asegurarse de que existen cadenas base para Nftables | medio | aprobar |
| 3.5.2.9 | Verificar que el servicio nftables esté habilitado | medio | aprobar |
| 3.5.3.1.1 | Instalar el paquete iptables | medio | aprobar |
| 3.5.3.1.3 | Quitar el paquete ufw | medio | aprobar |
| 4.1.1.1 | Asegurarse de que el subsistema de auditoría esté instalado | medio | aprobar |
| 4.1.1.2 | Habilitar el servicio auditd | medio | aprobar |
| 4.1.1.4 | Ampliar el límite de la lista de pendientes de auditoría del daemon de auditoría | bajo | aprobar |
| 4.1.2.1 | Configurar el tamaño máximo del archivo de registro de auditd | medio | aprobar |
| 4.1.2.2 | Configurar auditd max_log_file_action al alcanzar el tamaño máximo del registro | medio | aprobar |
| 4.1.2.3 | Configurar la acción admin_space_left de auditd cuando haya poco espacio en disco | medio | aprobar |
| 4.1.2.3 | Configurar la acción mail_acct de auditd cuando haya poco espacio en disco | medio | aprobar |
| 4.1.2.3 | Configurar la acción space_left de auditd cuando haya poco espacio en disco | medio | aprobar |
| 4.1.3.1 | Asegurarse de que auditd recoge las acciones del administrador del sistema | medio | aprobar |
| 4.1.3.2 | Registrar eventos cuando se ejecutan archivos ejecutables con privilegios | medio | aprobar |
| 4.1.3.3 | Registra los intentos de realizar actividades de mantenimiento. | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar el archivo localtime | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante adjtimex. | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante clock_settime | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante settimeofday. | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante stime | medio | aprobar |
| 4.1.3.5 | Registrar eventos que modifican el entorno de red del sistema | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (su) | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (sudo) | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (sudoedit) | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: umount | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios - unix_chkpwd | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos - creat | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: ftruncate | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos - open | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: openat | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: truncar | medio | aprobar |
| 4.1.3.8 | Registrar eventos que modifican la información de usuarios o grupos: /etc/group | medio | aprobar |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/gshadow | medio | aprobar |
| 4.1.3.8 | Registrar eventos que modifiquen la información de usuarios o grupos: /etc/passwd | medio | aprobar |
| 4.1.3.8 | Registrar eventos que modifiquen la información de usuarios o grupos: /etc/security/opasswd | medio | aprobar |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/shadow | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema (chmod) | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema (chown) | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmod | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmodat | medio | aprobar |
| 4.1.3.9 | Registra los eventos que modifican los controles de acceso discrecional del sistema (fchown). | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchownat | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema: fremovexattr | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fsetxattr | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lchown | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema: lremovexattr | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema (lsetxattr) | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: removexattr | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: setxattr | medio | aprobar |
| 4.1.3.10 | Asegurarse de que auditd recoge información sobre la exportación a medios (correcta) | medio | aprobar |
| 4.1.3.11 | Registra los intentos de alterar la información de inicio de sesión y de procesos | medio | aprobar |
| 4.1.3.12 | Registra los intentos de modificar los eventos de inicio y cierre de sesión: faillog | medio | aprobar |
| 4.1.3.12 | Registrar intentos de modificar eventos de inicio y cierre de sesión: lastlog | medio | aprobar |
| 4.1.3.12 | Registrar intentos de modificar eventos de inicio y cierre de sesión: tallylog | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario - cambiar nombre | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario (renameat) | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario (unlink) | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario (unlinkat) | medio | aprobar |
| 4.1.3.14 | Registrar eventos que modifiquen los controles de acceso obligatorios del sistema | medio | aprobar |
| 4.1.3.15 | Registrar cualquier intento de ejecutar chcon | medio | aprobar |
| 4.1.3.16 | Registrar cualquier intento de ejecutar setfacl | medio | aprobar |
| 4.1.3.17 | Registrar cualquier intento de ejecutar chacl | medio | aprobar |
| 4.1.3.18 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (usermod) | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre la carga de módulos del kernel (init_module) | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre la descarga del módulo del kernel (delete_module) | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: insmod | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: modprobe | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: rmmod | medio | aprobar |
| 4.1.3.20 | Hacer que la configuración de auditd sea inmutable | medio | aprobar |
| 4.1.4.1 | Los registros de auditoría del sistema deben tener el modo 0640 o menos permisivo | medio | aprobar |
| 4.1.4.2 | Los registros de auditoría del sistema deben ser propiedad de la raíz | medio | aprobar |
| 4.1.4.3 | Los registros de auditoría del sistema deben ser propiedad del grupo raíz | medio | aprobar |
| 4.1.4.4 | Los registros de auditoría del sistema deben tener el modo 0750 o uno menos permisivo | medio | aprobar |
| 4.1.4.5 | Verificar los permisos en /etc/audit/auditd.conf | medio | aprobar |
| 4.1.4.5 | Verificar los permisos en /etc/audit/rules.d/*.rules | medio | aprobar |
| 4.1.4.6 | Los archivos de configuración de auditoría deben ser propiedad de root | medio | aprobar |
| 4.1.4.7 | Los archivos de configuración de auditoría deben ser propiedad del grupo root | medio | aprobar |
| 4.1.4.8 | Verificar que las herramientas de auditoría tengan el modo 0755 o inferior | medio | aprobar |
| 4.1.4.9 | Verificar que las herramientas de auditoría son propiedad de root | medio | aprobar |
| 4.1.4.10 | Verificar que las herramientas de auditoría son propiedad de la raíz del grupo | medio | aprobar |
| 4.2.1.1.1 | Instalar el paquete systemd-journal-remote | medio | aprobar |
| 4.2.1.1.4 | Inhabilitar el socket systemd-journal-remote | medio | aprobar |
| 4.2.1.2 | Habilitar el servicio systemd-journald | medio | aprobar |
| 4.2.1.3 | Asegúrate de que journald esté configurado para comprimir archivos de registro grandes | medio | aprobar |
| 4.2.1.4 | Asegúrate de que journald esté configurado para escribir archivos de registro en un disco persistente | medio | aprobar |
| 4.2.2.1 | Asegúrate de que rsyslog esté instalado | medio | aprobar |
| 4.2.2.2 | Habilitar el servicio rsyslog | medio | aprobar |
| 4.2.2.4 | Asegurarse de que los permisos de archivo predeterminados de rsyslog estén configurados | medio | aprobar |
| 4.2.2.7 | Asegurarse de que rsyslog no acepte mensajes remotos a menos que actúe como servidor de registro | medio | aprobar |
| 5.1.1 | Habilitar el servicio cron | medio | aprobar |
| 5.1.2 | Verificar el grupo propietario de Crontab | medio | aprobar |
| 5.1.2 | Verificar el propietario en crontab | medio | aprobar |
| 5.1.2 | Verificar los permisos en crontab | medio | aprobar |
| 5.1.3 | Verificar el grupo propietario de cron.hourly | medio | aprobar |
| 5.1.3 | Verificar el propietario en cron.hourly | medio | aprobar |
| 5.1.3 | Verificar permisos en cron.hourly | medio | aprobar |
| 5.1.4 | Verificar el grupo propietario de cron.daily | medio | aprobar |
| 5.1.4 | Verificar el propietario en cron.daily | medio | aprobar |
| 5.1.4 | Verifica los permisos en cron.daily. | medio | aprobar |
| 5.1.5 | Verifica el grupo propietario de cron.weekly. | medio | aprobar |
| 5.1.5 | Verificar propietario en cron.weekly | medio | aprobar |
| 5.1.5 | Verifica los permisos en cron.weekly. | medio | aprobar |
| 5.1.6 | Verificar el grupo propietario de cron.monthly | medio | aprobar |
| 5.1.6 | Verificar el propietario en cron.monthly | medio | aprobar |
| 5.1.6 | Verificar los permisos en cron.monthly | medio | aprobar |
| 5.1.7 | Verificar el grupo propietario de cron.d | medio | aprobar |
| 5.1.7 | Verificar el propietario en cron.d | medio | aprobar |
| 5.1.7 | Verificar los permisos en cron.d | medio | aprobar |
| 5.1.8 | Asegúrate de que /etc/cron.deny no exista | medio | aprobar |
| 5.1.8 | Verificar el grupo propietario del archivo /etc/cron.allow | medio | aprobar |
| 5.1.8 | Verificar los permisos del archivo /etc/cron.allow | medio | aprobar |
| 5.1.8 | Verificar el usuario propietario del archivo /etc/cron.allow | medio | aprobar |
| 5.1.9 | Asegúrate de que no exista /etc/at.deny | medio | aprobar |
| 5.1.9 | Verificar el grupo propietario del archivo /etc/at.allow | medio | aprobar |
| 5.1.9 | Verificar los permisos del archivo /etc/at.allow | medio | aprobar |
| 5.1.9 | Verificar el usuario propietario del archivo /etc/at.allow | medio | aprobar |
| 5.2.1 | Verificar el grupo propietario del archivo de configuración del servidor SSH | medio | aprobar |
| 5.2.1 | Verificar el propietario en el archivo de configuración del servidor SSH | medio | aprobar |
| 5.2.1 | Verificar los permisos en el archivo de configuración del servidor SSH | medio | aprobar |
| 5.2.2 | Verificar los permisos de los archivos de claves privadas *_key del servidor SSH | medio | aprobar |
| 5.2.3 | Verificar los permisos de los archivos de clave pública *.pub del servidor SSH | medio | aprobar |
| 5.2.5 | Asigna el valor INFO a LogLevel | bajo | aprobar |
| 5.2.6 | Habilitar PAM | medio | aprobar |
| 5.2.7 | Inhabilitar el inicio de sesión de root de SSH | medio | aprobar |
| 5.2.8 | Inhabilitar la autenticación basada en host | medio | aprobar |
| 5.2.9 | Inhabilitar el acceso SSH mediante contraseñas vacías | alto | aprobar |
| 5.2.10 | No permitir opciones de entorno SSH | medio | aprobar |
| 5.2.11 | Inhabilitar la compatibilidad con SSH para archivos .rhosts | medio | aprobar |
| 5.2.12 | Inhabilitar el reenvío de X11 | medio | aprobar |
| 5.2.13 | Usar solo cifrados seguros | medio | aprobar |
| 5.2.14 | Usar solo MACs seguras | medio | aprobar |
| 5.2.15 | Usar solo algoritmos de intercambio de claves seguros | medio | aprobar |
| 5.2.16 | Inhabilitar el reenvío de TCP de SSH | medio | aprobar |
| 5.2.17 | Habilitar banner de advertencia de SSH | medio | aprobar |
| 5.2.18 | Definir el límite de intentos de autenticación SSH | medio | aprobar |
| 5.2.19 | Asegúrate de que SSH MaxStartups esté configurado | medio | aprobar |
| 5.2.20 | Definir el límite de MaxSessions de SSH | medio | aprobar |
| 5.2.21 | Asegúrate de que se haya configurado LoginGraceTime de SSH | medio | aprobar |
| 5.2.22 | Definir el valor máximo de ClientAliveCount de SSH | medio | aprobar |
| 5.2.22 | Definir el intervalo de actividad del cliente SSH | medio | aprobar |
| 5.3.1 | Instalar el paquete sudo | medio | aprobar |
| 5.3.2 | Asegúrate de que solo los usuarios que hayan iniciado sesión en una tty real puedan ejecutar sudo - sudo use_pty | medio | aprobar |
| 5.3.3 | Asegurarse de que existe el archivo de registro de sudo - sudo logfile | bajo | aprobar |
| 5.3.5 | Asegurarse de que los usuarios se vuelvan a autenticar para la escalada de privilegios - sudo !authenticate | medio | aprobar |
| 5.3.6 | Requerir reautenticación al usar el comando sudo | medio | aprobar |
| 5.3.7 | Aplicar el uso de pam_wheel con el parámetro Group para la autenticación su | medio | aprobar |
| 5.3.7 | Asegurarse de que el grupo usado por el módulo pam_wheel exista en el sistema y esté vacío | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de contraseñas: se permiten solicitudes de reintento de autenticación por sesión | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de contraseñas: categorías mínimas diferentes | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: número mínimo de dígitos | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplique los requisitos de contraseña: longitud mínima | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: número mínimo de caracteres en minúscula | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: caracteres especiales mínimos | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: número mínimo de caracteres en mayúsculas | medio | aprobar |
| 5.4.1 | Instalar el paquete pam_pwquality | medio | aprobar |
| 5.4.2 | Bloquear cuentas tras intentos fallidos de introducir la contraseña | medio | aprobar |
| 5.4.2 | Definir el intervalo para contar los intentos de contraseña fallidos | medio | aprobar |
| 5.4.2 | Definir el tiempo de bloqueo por intentos de contraseña fallidos | medio | aprobar |
| 5.4.3 | Limitar la reutilización de contraseñas | medio | aprobar |
| 5.4.4 | Definir el algoritmo de cifrado con hash de la contraseña en /etc/login.defs | medio | aprobar |
| 5.5.1.1 | Definir la antigüedad mínima de las contraseñas | medio | aprobar |
| 5.5.1.1 | Definir la antigüedad mínima de la contraseña | medio | aprobar |
| 5.5.1.2 | Definir la antigüedad máxima de las contraseñas | medio | aprobar |
| 5.5.1.3 | Establecer antigüedad de la advertencia de contraseña | medio | aprobar |
| 5.5.1.4 | Configurar la caducidad de la cuenta tras un periodo de inactividad | medio | aprobar |
| 5.5.1.5 | Asegúrate de que la fecha del último cambio de contraseña de todos los usuarios sea anterior a la actual | medio | aprobar |
| 5.5.2 | Asegurarse de que las cuentas del sistema no ejecuten un shell al iniciar sesión | medio | aprobar |
| 5.5.3 | Verificar que Root tiene un GID principal 0 | alto | aprobar |
| 5.5.4 | Asegurarse de que la máscara Umask de Bash predeterminada esté configurada correctamente | medio | aprobar |
| 5.5.4 | Asegurarse de que la máscara predeterminada se ha definido correctamente para los usuarios interactivos | medio | aprobar |
| 5.5.4 | Asegurarse de que la máscara predeterminada esté configurada correctamente en /etc/profile | medio | aprobar |
| 5.5.4 | Asegurarse de que la máscara predeterminada esté configurada correctamente en login.defs | medio | aprobar |
| 5.5.5 | Definir el tiempo de espera de la sesión interactiva | medio | aprobar |
| 6.1.1 | Verificar el grupo propietario del archivo passwd | medio | aprobar |
| 6.1.1 | Verificar los permisos del archivo passwd | medio | aprobar |
| 6.1.1 | Verificar el usuario propietario del archivo passwd | medio | aprobar |
| 6.1.2 | Verificar el grupo propietario del archivo passwd de la copia de seguridad | medio | aprobar |
| 6.1.2 | Verificar los permisos del archivo passwd de la copia de seguridad | medio | aprobar |
| 6.1.2 | Verificar el usuario propietario del archivo passwd de la copia de seguridad | medio | aprobar |
| 6.1.3 | Verificar el grupo propietario del archivo de grupo | medio | aprobar |
| 6.1.3 | Verificar los permisos del archivo de grupo | medio | aprobar |
| 6.1.3 | Verificar el usuario propietario del archivo de grupo | medio | aprobar |
| 6.1.4 | Verificar el grupo propietario del archivo de grupo de copia de seguridad | medio | aprobar |
| 6.1.4 | Verificar los permisos del archivo del grupo de copia de seguridad | medio | aprobar |
| 6.1.4 | Verificar el usuario propietario del archivo del grupo de copia de seguridad | medio | aprobar |
| 6.1.5 | Verificar el grupo propietario del archivo fantasma | medio | aprobar |
| 6.1.5 | Verificar los permisos del archivo de sombra | medio | aprobar |
| 6.1.5 | Verificar el usuario propietario del archivo fantasma | medio | aprobar |
| 6.1.6 | Verificar el grupo propietario del archivo de sombra de la copia de seguridad | medio | aprobar |
| 6.1.6 | Verificar los permisos del archivo de sombra de la copia de seguridad | medio | aprobar |
| 6.1.6 | Verificar el usuario propietario del archivo fantasma de la copia de seguridad | medio | aprobar |
| 6.1.7 | Verificar el grupo propietario del archivo gshadow | medio | aprobar |
| 6.1.7 | Verificar los permisos del archivo gshadow | medio | aprobar |
| 6.1.7 | Verificar el usuario propietario del archivo gshadow | medio | aprobar |
| 6.1.8 | Verificar el grupo propietario del archivo gshadow de la copia de seguridad | medio | aprobar |
| 6.1.8 | Verificar los permisos del archivo gshadow de la copia de seguridad | medio | aprobar |
| 6.1.8 | Verificar el usuario propietario del archivo gshadow de la copia de seguridad | medio | aprobar |
| 6.1.10 | Asegurarse de que todos los archivos sean propiedad de un usuario | medio | aprobar |
| 6.2.1 | Verificar que todos los hashes de contraseñas de cuentas estén ocultos | medio | aprobar |
| 6.2.2 | Asegurarse de que no haya cuentas con contraseñas en blanco o nulas | alto | aprobar |
| 6.2.3 | Todos los GIDs a los que se hace referencia en /etc/passwd deben definirse en /etc/group. | bajo | aprobar |
| 6.2.4 | Asegurarse de que el grupo de sombra esté vacío | medio | aprobar |
| 6.2.5 | Asegurarse de que todas las cuentas del sistema tengan IDs de usuario únicos | medio | aprobar |
| 6.2.6 | Asegurarse de que todos los grupos del sistema tengan un ID de grupo único | medio | aprobar |
| 6.2.7 | Asegurarse de que todas las cuentas del sistema tengan nombres únicos | medio | aprobar |
| 6.2.8 | Asegurarse de que todos los grupos del sistema tengan nombres únicos | medio | aprobar |
| 6.2.9 | Asegúrate de que la ruta de la raíz no incluya rutas relativas ni directorios nulos | desconocido | aprobar |
| 6.2.9 | Asegurarse de que la ruta de la raíz no incluye directorios con permisos de escritura para todos o para el grupo | medio | aprobar |
| 6.2.10 | Verificar que solo el usuario root tiene el UID 0 | alto | aprobar |
| 6.2.11 | Todos los directorios principales de los usuarios interactivos deben existir | medio | aprobar |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del grupo principal | medio | aprobar |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del usuario principal | medio | aprobar |
| 6.2.13 | Todos los directorios de inicio de usuarios interactivos deben tener el modo 0750 o menos permisivo | medio | aprobar |
| 6.2.14 | Verificar que no haya archivos .netrc | medio | aprobar |
| 6.2.15 | Verificar que no existen archivos .forward | medio | aprobar |
| 6.2.16 | Eliminar archivos de confianza de Rsh | alto | aprobar |
| 6.2.17 | Los archivos de inicialización de usuario deben ser propiedad del grupo principal | medio | aprobar |
| 6.2.17 | El usuario principal debe ser el propietario de los archivos de inicialización de usuario | medio | aprobar |
| 6.2.17 | Los archivos de inicialización de usuarios no deben ejecutar programas con permisos de escritura para todos | medio | aprobar |
Recomendaciones no aplicables
En la siguiente tabla se enumeran las recomendaciones que no se aplican a Google Distributed Cloud.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.2 | Añadir la opción nodev a /tmp | medio | notapplicable |
| 1.1.2.3 | Añadir la opción noexec a /tmp | medio | notapplicable |
| 1.1.2.4 | Añadir la opción nosuid a /tmp | medio | notapplicable |
| 1.1.3.2 | Añadir la opción nodev a /var | medio | notapplicable |
| 1.1.3.3 | Añadir la opción nosuid a /var | medio | notapplicable |
| 1.1.4.2 | Añadir la opción noexec a /var/tmp | medio | notapplicable |
| 1.1.4.3 | Añadir la opción nosuid a /var/tmp | medio | notapplicable |
| 1.1.4.4 | Añadir la opción nodev a /var/tmp | medio | notapplicable |
| 1.1.5.2 | Añadir la opción nodev a /var/log | medio | notapplicable |
| 1.1.5.3 | Añadir la opción noexec a /var/log | medio | notapplicable |
| 1.1.5.4 | Añadir la opción nosuid a /var/log | medio | notapplicable |
| 1.1.6.2 | Añadir la opción noexec a /var/log/audit | medio | notapplicable |
| 1.1.6.3 | Añadir la opción nodev a /var/log/audit | medio | notapplicable |
| 1.1.6.4 | Añadir la opción nosuid a /var/log/audit | medio | notapplicable |
| 1.1.7.2 | Añadir la opción nodev a /home | desconocido | notapplicable |
| 1.1.7.3 | Añadir la opción nosuid a /home | medio | notapplicable |
| 1.4.1 | Definir la contraseña del cargador de arranque UEFI | alto | notapplicable |
| 1.8.1 | Quitar el grupo de paquetes de GDM | medio | notapplicable |
| 1.8.4 | Habilitar el bloqueo del salvapantallas de GNOME3 tras un periodo de inactividad | medio | notapplicable |
| 1.8.5 | Definir el tiempo de espera del bloqueo del salvapantallas de GNOME3 tras el periodo de activación | medio | notapplicable |
| 1.8.6 | Inhabilitar la apertura automática de GNOME3 | medio | notapplicable |
| 1.8.6 | Inhabilitar el montaje automático de GNOME3 | medio | notapplicable |
| 1.8.8 | Inhabilitar la ejecución de montaje automático de GNOME3 | bajo | notapplicable |
| 1.8.10 | Inhabilitar XDMCP en GDM | alto | notapplicable |
| 1.10 | Configurar el perfil de usuario de GNOME3 DConf | alto | notapplicable |
| 2.1.4.1 | Configurar restricciones de servidor para ntpd | medio | notapplicable |
| 2.1.4.3 | Configurar ntpd para que se ejecute como usuario ntp | medio | notapplicable |
| 2.1.4.4 | Habilitar el daemon NTP | alto | notapplicable |
| 2.2.15 | Inhabilitar la escucha de red de Postfix | medio | notapplicable |
| 3.5.1.3 | Verificar que ufw esté habilitado | medio | notapplicable |
| 3.5.1.4 | Configurar el tráfico de bucle invertido de UFW | medio | notapplicable |
| 3.5.1.6 | Comprobar que existen reglas de cortafuegos de ufw para todos los puertos abiertos | medio | notapplicable |
| 3.5.1.7 | Asegurarse de que la política de cortafuegos predeterminada de ufw sea Denegar | medio | notapplicable |
| 3.5.3.2.1 | Definir la política predeterminada de iptables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.2.2 | Configurar el tráfico de bucle de retorno | medio | notapplicable |
| 3.5.3.2.4 | Asegurarse de que existen reglas de cortafuegos de iptables para todos los puertos abiertos | medio | notapplicable |
| 3.5.3.3.1 | Definir la política predeterminada de ip6tables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.3.4 | Asegurarse de que existen reglas de cortafuegos ip6tables para todos los puertos abiertos | medio | notapplicable |
1.30
Versiones
Esta sección hace referencia a estas versiones:
| Versión de Google Distributed Cloud | Versión de Ubuntu | Versión de CIS Benchmark de Ubuntu | Nivel de CIS |
|---|---|---|---|
| 1.30 | 22.04 LTS | v1.0.0 | Servidor de nivel 2 |
Recomendaciones fallidas
En la siguiente tabla se enumeran las recomendaciones en las que Google Distributed Cloud se desvía de las recomendaciones de la comparativa. Estas conclusiones se aplican a los nodos del clúster y a la estación de trabajo del administrador.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.1 | Asegurarse de que /tmp se encuentra en una partición independiente | bajo | fail |
| 1.1.3.1 | Asegúrate de que /var se encuentra en una partición independiente | bajo | fail |
| 1.1.4.1 | Asegurarse de que /var/tmp se encuentra en una partición independiente | medio | fail |
| 1.1.5.1 | Asegurarse de que /var/log se encuentra en una partición independiente | bajo | fail |
| 1.1.6.1 | Asegurarse de que /var/log/audit se encuentra en una partición independiente | bajo | fail |
| 1.1.7.1 | Asegurarse de que /home se encuentra en una partición independiente | bajo | fail |
| 1.4.1 | Definir la contraseña del gestor de arranque en grub2 | alto | fail |
| 1.4.3 | Asegurarse de que se requiere autenticación para el modo de un solo usuario | medio | fail |
| 2.3.6 | Desinstalar el paquete rpcbind | bajo | fail |
| 3.2.2 | Inhabilitar el parámetro del kernel para el reenvío de IP en interfaces IPv4 | medio | fail |
| 3.3.7 | Habilitar el parámetro del kernel para usar el filtrado de ruta inversa en todas las interfaces IPv4 de forma predeterminada | medio | fail |
| 3.3.7 | Habilitar el parámetro del kernel para usar el filtrado de ruta inversa en todas las interfaces IPv4 | medio | fail |
| 3.5.2.8 | Asegurarse de que la política de cortafuegos de denegación predeterminada de nftables | medio | fail |
| 3.5.2.10 | Asegurarse de que las reglas de nftables sean permanentes | medio | fail |
| 4.2.3 | Verificar los permisos de los archivos de registro | medio | fail |
| 5.2.4 | Limitar el acceso SSH de los usuarios | desconocido | fail |
| 5.3.4 | Asegurarse de que los usuarios vuelvan a autenticarse para la apropiación de privilegios (sudo) | medio | fail |
| 5.5.1.2 | Definir la edad máxima de la contraseña | medio | fail |
Recomendaciones aprobadas
En la siguiente tabla se enumeran las recomendaciones que cumple Google Distributed Cloud.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.1.1 | Inhabilitar el montaje de cramfs | bajo | aprobar |
| 1.1.1.2 | Inhabilitar el montaje de squashfs | bajo | aprobar |
| 1.1.1.3 | Inhabilitar el montaje de udf | bajo | aprobar |
| 1.1.8.1 | Añadir la opción nodev a /dev/shm | medio | aprobar |
| 1.1.8.2 | Añadir la opción noexec a /dev/shm | medio | aprobar |
| 1.1.8.3 | Añadir la opción nosuid a /dev/shm | medio | aprobar |
| 1.1.9 | Inhabilitar el Automounter | medio | aprobar |
| 1.1.10 | Inhabilitar la carga de Modprobe del controlador de almacenamiento USB | medio | aprobar |
| 1.4.2 | Verificar los permisos de /boot/grub/grub.cfg | medio | aprobar |
| 1.5.1 | Habilitar el diseño aleatorio del espacio de direcciones virtuales | medio | aprobar |
| 1.5.2 | El paquete "prelink" no debe estar instalado | medio | aprobar |
| 1.5.3 | Inhabilitar el servicio Apport | desconocido | aprobar |
| 1.5.4 | Inhabilitar los volcados del núcleo para todos los usuarios | medio | aprobar |
| 1.5.4 | Inhabilitar los volcados de memoria para programas SUID | medio | aprobar |
| 1.6.1.1 | Comprobar que AppArmor esté instalado | medio | aprobar |
| 1.6.1.2 | Asegúrate de que AppArmor esté habilitado en la configuración del gestor de arranque | medio | aprobar |
| 1.6.1.4 | Aplicar todos los perfiles de AppArmor | medio | aprobar |
| 1.7.1 | Modificar el banner del mensaje del día del sistema | medio | aprobar |
| 1.7.2 | Modificar el banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.3 | Modificar el banner de inicio de sesión del sistema para conexiones remotas | medio | aprobar |
| 1.7.4 | Verificar la propiedad de grupo del banner del mensaje del día | medio | aprobar |
| 1.7.4 | Verificar la propiedad del banner de mensaje del día | medio | aprobar |
| 1.7.4 | Verificar los permisos en el banner de mensaje del día | medio | aprobar |
| 1.7.5 | Verificar la propiedad del grupo del banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.5 | Verificar la propiedad del banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.5 | Verificar los permisos en el banner de inicio de sesión del sistema | medio | aprobar |
| 1.7.6 | Verificar la propiedad del grupo del banner de inicio de sesión del sistema para conexiones remotas | medio | aprobar |
| 1.7.6 | Verificar la propiedad del banner de inicio de sesión del sistema para conexiones remotas | medio | aprobar |
| 1.7.6 | Verificar los permisos en el banner de inicio de sesión del sistema para las conexiones remotas | medio | aprobar |
| 2.1.1.1 | Instalar el servicio systemd_timesyncd | alto | aprobar |
| 2.1.3.2 | Habilitar el servicio systemd_timesyncd | alto | aprobar |
| 2.2.1 | Quitar el grupo de paquetes de X Windows | medio | aprobar |
| 2.2.2 | Inhabilitar el software del servidor Avahi | medio | aprobar |
| 2.2.2 | Desinstalar el paquete del servidor Avahi | medio | aprobar |
| 2.2.3 | Inhabilitar el servicio CUPS | desconocido | aprobar |
| 2.2.3 | Desinstalar el paquete CUPS | desconocido | aprobar |
| 2.2.4 | Desinstalar el paquete del servidor DHCP | medio | aprobar |
| 2.2.5 | Desinstalar el paquete openldap-servers | bajo | aprobar |
| 2.2.6 | Desinstalar el paquete nfs-kernel-server | bajo | aprobar |
| 2.2.7 | Desinstalar el paquete de enlace | bajo | aprobar |
| 2.2.8 | Desinstalar el paquete vsftpd | alto | aprobar |
| 2.2.9 | Desinstalar el paquete httpd | desconocido | aprobar |
| 2.2.9 | Desinstalar el paquete nginx | desconocido | aprobar |
| 2.2.10 | Desinstalar el paquete cyrus-imapd | desconocido | aprobar |
| 2.2.10 | Desinstalar el paquete dovecot | desconocido | aprobar |
| 2.2.11 | Desinstalar el paquete Samba | desconocido | aprobar |
| 2.2.12 | Desinstalar el paquete de Squid | desconocido | aprobar |
| 2.2.13 | Desinstalar el paquete net-snmp | desconocido | aprobar |
| 2.2.14 | Desinstalar el paquete nis | bajo | aprobar |
| 2.2.15 | Asegúrate de que el agente de transferencia de correo no esté escuchando en ninguna dirección que no sea de bucle invertido | medio | aprobar |
| 2.2.16 | Desinstalar el paquete rsync | medio | aprobar |
| 2.3.2 | Desinstalar el paquete rsh | desconocido | aprobar |
| 2.3.3 | Desinstalar el paquete de habla | medio | aprobar |
| 2.3.4 | Quitar clientes Telnet | bajo | aprobar |
| 2.3.5 | Asegurarse de que el cliente LDAP no esté instalado | bajo | aprobar |
| 3.1.2 | Desactivar interfaces de red inalámbrica | medio | aprobar |
| 3.2.1 | Inhabilitar el parámetro del kernel para enviar redirecciones ICMP en todas las interfaces IPv4 de forma predeterminada | medio | aprobar |
| 3.2.1 | Inhabilitar el parámetro del kernel para enviar redirecciones ICMP en todas las interfaces IPv4 | medio | aprobar |
| 3.2.2 | Inhabilitar el parámetro del kernel para el reenvío de IPv6 | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes de origen enrutado en todas las interfaces IPv4 | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes de origen en todas las interfaces IPv6 | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes de ruta de origen en interfaces IPv4 de forma predeterminada | medio | aprobar |
| 3.3.1 | Inhabilitar el parámetro del kernel para aceptar paquetes con ruta de origen en interfaces IPv6 de forma predeterminada | medio | aprobar |
| 3.3.2 | Inhabilitar la aceptación de redirecciones ICMP en todas las interfaces IPv4 | medio | aprobar |
| 3.3.2 | Inhabilitar la aceptación de redirecciones ICMP para todas las interfaces IPv6 | medio | aprobar |
| 3.3.2 | Inhabilitar el parámetro del kernel para aceptar redirecciones ICMP de forma predeterminada en interfaces IPv4 | medio | aprobar |
| 3.3.2 | Inhabilitar el parámetro del kernel para aceptar redirecciones ICMP de forma predeterminada en interfaces IPv6 | medio | aprobar |
| 3.3.3 | Configurar el parámetro del kernel para aceptar redirecciones seguras de forma predeterminada | medio | aprobar |
| 3.3.3 | Inhabilitar el parámetro del kernel para aceptar redirecciones ICMP seguras en todas las interfaces IPv4 | medio | aprobar |
| 3.3.4 | Habilitar el parámetro del kernel para registrar paquetes de Marte en todas las interfaces IPv4 | desconocido | aprobar |
| 3.3.4 | Habilitar el parámetro del kernel para registrar paquetes marcianos en todas las interfaces IPv4 de forma predeterminada | desconocido | aprobar |
| 3.3.5 | Habilitar el parámetro del kernel para ignorar las solicitudes de eco de difusión ICMP en interfaces IPv4 | medio | aprobar |
| 3.3.6 | Habilitar el parámetro del kernel para ignorar las respuestas de error ICMP falsas en interfaces IPv4 | desconocido | aprobar |
| 3.3.8 | Habilitar el parámetro del kernel para usar syncookies TCP en interfaces de red | medio | aprobar |
| 3.3.9 | Configurar la aceptación de anuncios de router en todas las interfaces IPv6 | medio | aprobar |
| 3.3.9 | Inhabilitar la aceptación de anuncios de router en todas las interfaces IPv6 de forma predeterminada | medio | aprobar |
| 3.4.1 | Inhabilitar la compatibilidad con DCCP | medio | aprobar |
| 3.4.2 | Inhabilitar la compatibilidad con SCTP | medio | aprobar |
| 3.4.3 | Inhabilitar la compatibilidad con RDS | bajo | aprobar |
| 3.4.4 | Inhabilitar la compatibilidad con TIPC | bajo | aprobar |
| 3.5.1.2 | Eliminar el paquete iptables-persistent | medio | aprobar |
| 3.5.2.1 | Instalar el paquete nftables | medio | aprobar |
| 3.5.2.4 | Asegurarse de que existe una tabla para Nftables | medio | aprobar |
| 3.5.2.5 | Asegurarse de que existen cadenas base para Nftables | medio | aprobar |
| 3.5.2.9 | Verificar que el servicio nftables esté habilitado | medio | aprobar |
| 3.5.3.1.1 | Instalar el paquete iptables | medio | aprobar |
| 3.5.3.1.3 | Quitar el paquete ufw | medio | aprobar |
| 4.1.1.1 | Asegurarse de que el subsistema de auditoría esté instalado | medio | aprobar |
| 4.1.1.2 | Habilitar el servicio auditd | medio | aprobar |
| 4.1.1.4 | Ampliar el límite de la lista de pendientes de auditoría del daemon de auditoría | bajo | aprobar |
| 4.1.2.1 | Configurar el tamaño máximo del archivo de registro de auditd | medio | aprobar |
| 4.1.2.2 | Configurar auditd max_log_file_action al alcanzar el tamaño máximo del registro | medio | aprobar |
| 4.1.2.3 | Configurar la acción admin_space_left de auditd cuando haya poco espacio en disco | medio | aprobar |
| 4.1.2.3 | Configurar la acción mail_acct de auditd cuando haya poco espacio en disco | medio | aprobar |
| 4.1.2.3 | Configurar la acción space_left de auditd cuando haya poco espacio en disco | medio | aprobar |
| 4.1.3.1 | Asegurarse de que auditd recoge las acciones del administrador del sistema | medio | aprobar |
| 4.1.3.2 | Registrar eventos cuando se ejecutan archivos ejecutables con privilegios | medio | aprobar |
| 4.1.3.3 | Registra los intentos de realizar actividades de mantenimiento. | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar el archivo localtime | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante adjtimex. | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante clock_settime | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante settimeofday. | medio | aprobar |
| 4.1.3.4 | Registra los intentos de modificar la hora mediante stime | medio | aprobar |
| 4.1.3.5 | Registrar eventos que modifican el entorno de red del sistema | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (su) | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (sudo) | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (sudoedit) | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: umount | medio | aprobar |
| 4.1.3.6 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios - unix_chkpwd | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos - creat | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: ftruncate | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos - open | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: openat | medio | aprobar |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: truncar | medio | aprobar |
| 4.1.3.8 | Registrar eventos que modifican la información de usuarios o grupos: /etc/group | medio | aprobar |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/gshadow | medio | aprobar |
| 4.1.3.8 | Registrar eventos que modifiquen la información de usuarios o grupos: /etc/passwd | medio | aprobar |
| 4.1.3.8 | Registrar eventos que modifiquen la información de usuarios o grupos: /etc/security/opasswd | medio | aprobar |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/shadow | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema (chmod) | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema (chown) | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmod | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmodat | medio | aprobar |
| 4.1.3.9 | Registra los eventos que modifican los controles de acceso discrecional del sistema (fchown). | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchownat | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema: fremovexattr | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fsetxattr | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lchown | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema: lremovexattr | medio | aprobar |
| 4.1.3.9 | Registrar eventos que modifican los controles de acceso discrecional del sistema (lsetxattr) | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: removexattr | medio | aprobar |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: setxattr | medio | aprobar |
| 4.1.3.10 | Asegurarse de que auditd recoge información sobre la exportación a medios (correcta) | medio | aprobar |
| 4.1.3.11 | Registra los intentos de alterar la información de inicio de sesión y de procesos | medio | aprobar |
| 4.1.3.12 | Registra los intentos de modificar los eventos de inicio y cierre de sesión: faillog | medio | aprobar |
| 4.1.3.12 | Registrar intentos de modificar eventos de inicio y cierre de sesión: lastlog | medio | aprobar |
| 4.1.3.12 | Registrar intentos de modificar eventos de inicio y cierre de sesión: tallylog | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario - cambiar nombre | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario (renameat) | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario (unlink) | medio | aprobar |
| 4.1.3.13 | Asegurarse de que auditd recoge los eventos de eliminación de archivos por usuario (unlinkat) | medio | aprobar |
| 4.1.3.14 | Registrar eventos que modifiquen los controles de acceso obligatorios del sistema | medio | aprobar |
| 4.1.3.15 | Registrar cualquier intento de ejecutar chcon | medio | aprobar |
| 4.1.3.16 | Registrar cualquier intento de ejecutar setfacl | medio | aprobar |
| 4.1.3.17 | Registrar cualquier intento de ejecutar chacl | medio | aprobar |
| 4.1.3.18 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios (usermod) | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre la carga de módulos del kernel (init_module) | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre la descarga del módulo del kernel (delete_module) | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: insmod | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: modprobe | medio | aprobar |
| 4.1.3.19 | Asegurarse de que auditd recoge información sobre el uso de comandos con privilegios: rmmod | medio | aprobar |
| 4.1.3.20 | Hacer que la configuración de auditd sea inmutable | medio | aprobar |
| 4.1.4.1 | Los registros de auditoría del sistema deben tener el modo 0640 o menos permisivo | medio | aprobar |
| 4.1.4.2 | Los registros de auditoría del sistema deben ser propiedad de la raíz | medio | aprobar |
| 4.1.4.3 | Los registros de auditoría del sistema deben ser propiedad del grupo raíz | medio | aprobar |
| 4.1.4.4 | Los registros de auditoría del sistema deben tener el modo 0750 o uno menos permisivo | medio | aprobar |
| 4.1.4.5 | Verificar los permisos en /etc/audit/auditd.conf | medio | aprobar |
| 4.1.4.5 | Verificar los permisos en /etc/audit/rules.d/*.rules | medio | aprobar |
| 4.1.4.6 | Los archivos de configuración de auditoría deben ser propiedad de root | medio | aprobar |
| 4.1.4.7 | Los archivos de configuración de auditoría deben ser propiedad del grupo root | medio | aprobar |
| 4.1.4.8 | Verificar que las herramientas de auditoría tengan el modo 0755 o inferior | medio | aprobar |
| 4.1.4.9 | Verificar que las herramientas de auditoría son propiedad de root | medio | aprobar |
| 4.1.4.10 | Verificar que las herramientas de auditoría son propiedad de la raíz del grupo | medio | aprobar |
| 4.2.1.1.1 | Instalar el paquete systemd-journal-remote | medio | aprobar |
| 4.2.1.1.4 | Inhabilitar el socket systemd-journal-remote | medio | aprobar |
| 4.2.1.2 | Habilitar el servicio systemd-journald | medio | aprobar |
| 4.2.1.3 | Asegúrate de que journald esté configurado para comprimir archivos de registro grandes | medio | aprobar |
| 4.2.1.4 | Asegúrate de que journald esté configurado para escribir archivos de registro en un disco persistente | medio | aprobar |
| 4.2.2.1 | Asegúrate de que rsyslog esté instalado | medio | aprobar |
| 4.2.2.2 | Habilitar el servicio rsyslog | medio | aprobar |
| 4.2.2.4 | Asegurarse de que los permisos de archivo predeterminados de rsyslog estén configurados | medio | aprobar |
| 4.2.2.7 | Asegurarse de que rsyslog no acepte mensajes remotos a menos que actúe como servidor de registro | medio | aprobar |
| 5.1.1 | Habilitar el servicio cron | medio | aprobar |
| 5.1.2 | Verificar el grupo propietario de Crontab | medio | aprobar |
| 5.1.2 | Verificar el propietario en crontab | medio | aprobar |
| 5.1.2 | Verificar los permisos en crontab | medio | aprobar |
| 5.1.3 | Verificar el grupo propietario de cron.hourly | medio | aprobar |
| 5.1.3 | Verificar el propietario en cron.hourly | medio | aprobar |
| 5.1.3 | Verificar permisos en cron.hourly | medio | aprobar |
| 5.1.4 | Verificar el grupo propietario de cron.daily | medio | aprobar |
| 5.1.4 | Verificar el propietario en cron.daily | medio | aprobar |
| 5.1.4 | Verifica los permisos en cron.daily. | medio | aprobar |
| 5.1.5 | Verifica el grupo propietario de cron.weekly. | medio | aprobar |
| 5.1.5 | Verificar propietario en cron.weekly | medio | aprobar |
| 5.1.5 | Verifica los permisos en cron.weekly. | medio | aprobar |
| 5.1.6 | Verificar el grupo propietario de cron.monthly | medio | aprobar |
| 5.1.6 | Verificar el propietario en cron.monthly | medio | aprobar |
| 5.1.6 | Verificar los permisos en cron.monthly | medio | aprobar |
| 5.1.7 | Verificar el grupo propietario de cron.d | medio | aprobar |
| 5.1.7 | Verificar el propietario en cron.d | medio | aprobar |
| 5.1.7 | Verificar los permisos en cron.d | medio | aprobar |
| 5.1.8 | Asegúrate de que /etc/cron.deny no exista | medio | aprobar |
| 5.1.8 | Verificar el grupo propietario del archivo /etc/cron.allow | medio | aprobar |
| 5.1.8 | Verificar los permisos del archivo /etc/cron.allow | medio | aprobar |
| 5.1.8 | Verificar el usuario propietario del archivo /etc/cron.allow | medio | aprobar |
| 5.1.9 | Asegúrate de que no exista /etc/at.deny | medio | aprobar |
| 5.1.9 | Verificar el grupo propietario del archivo /etc/at.allow | medio | aprobar |
| 5.1.9 | Verificar los permisos del archivo /etc/at.allow | medio | aprobar |
| 5.1.9 | Verificar el usuario propietario del archivo /etc/at.allow | medio | aprobar |
| 5.2.1 | Verificar el grupo propietario del archivo de configuración del servidor SSH | medio | aprobar |
| 5.2.1 | Verificar el propietario en el archivo de configuración del servidor SSH | medio | aprobar |
| 5.2.1 | Verificar los permisos en el archivo de configuración del servidor SSH | medio | aprobar |
| 5.2.2 | Verificar los permisos de los archivos de claves privadas *_key del servidor SSH | medio | aprobar |
| 5.2.3 | Verificar los permisos de los archivos de clave pública *.pub del servidor SSH | medio | aprobar |
| 5.2.5 | Asigna el valor INFO a LogLevel | bajo | aprobar |
| 5.2.6 | Habilitar PAM | medio | aprobar |
| 5.2.7 | Inhabilitar el inicio de sesión de root de SSH | medio | aprobar |
| 5.2.8 | Inhabilitar la autenticación basada en host | medio | aprobar |
| 5.2.9 | Inhabilitar el acceso SSH mediante contraseñas vacías | alto | aprobar |
| 5.2.10 | No permitir opciones de entorno SSH | medio | aprobar |
| 5.2.11 | Inhabilitar la compatibilidad con SSH para archivos .rhosts | medio | aprobar |
| 5.2.12 | Inhabilitar el reenvío de X11 | medio | aprobar |
| 5.2.13 | Usar solo cifrados seguros | medio | aprobar |
| 5.2.14 | Usar solo MACs seguras | medio | aprobar |
| 5.2.15 | Usar solo algoritmos de intercambio de claves seguros | medio | aprobar |
| 5.2.16 | Inhabilitar el reenvío de TCP de SSH | medio | aprobar |
| 5.2.17 | Habilitar banner de advertencia de SSH | medio | aprobar |
| 5.2.18 | Definir el límite de intentos de autenticación SSH | medio | aprobar |
| 5.2.19 | Asegúrate de que SSH MaxStartups esté configurado | medio | aprobar |
| 5.2.20 | Definir el límite de MaxSessions de SSH | medio | aprobar |
| 5.2.21 | Asegúrate de que se haya configurado LoginGraceTime de SSH | medio | aprobar |
| 5.2.22 | Definir el valor máximo de ClientAliveCount de SSH | medio | aprobar |
| 5.2.22 | Definir el intervalo de actividad del cliente SSH | medio | aprobar |
| 5.3.1 | Instalar el paquete sudo | medio | aprobar |
| 5.3.2 | Asegúrate de que solo los usuarios que hayan iniciado sesión en una tty real puedan ejecutar sudo - sudo use_pty | medio | aprobar |
| 5.3.3 | Asegurarse de que existe el archivo de registro de sudo - sudo logfile | bajo | aprobar |
| 5.3.5 | Asegurarse de que los usuarios se vuelvan a autenticar para la escalada de privilegios - sudo !authenticate | medio | aprobar |
| 5.3.6 | Requerir reautenticación al usar el comando sudo | medio | aprobar |
| 5.3.7 | Aplicar el uso de pam_wheel con el parámetro Group para la autenticación su | medio | aprobar |
| 5.3.7 | Asegurarse de que el grupo usado por el módulo pam_wheel exista en el sistema y esté vacío | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de contraseñas: se permiten solicitudes de reintento de autenticación por sesión | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de contraseñas: categorías mínimas diferentes | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: número mínimo de dígitos | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplique los requisitos de contraseña: longitud mínima | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: número mínimo de caracteres en minúscula | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: caracteres especiales mínimos | medio | aprobar |
| 5.4.1 | Asegurarse de que PAM aplica los requisitos de las contraseñas: número mínimo de caracteres en mayúsculas | medio | aprobar |
| 5.4.1 | Instalar el paquete pam_pwquality | medio | aprobar |
| 5.4.2 | Bloquear cuentas tras intentos fallidos de introducir la contraseña | medio | aprobar |
| 5.4.2 | Definir el intervalo para contar los intentos de contraseña fallidos | medio | aprobar |
| 5.4.2 | Definir el tiempo de bloqueo por intentos de contraseña fallidos | medio | aprobar |
| 5.4.3 | Limitar la reutilización de contraseñas | medio | aprobar |
| 5.4.4 | Definir el algoritmo de cifrado con hash de la contraseña en /etc/login.defs | medio | aprobar |
| 5.5.1.1 | Definir la antigüedad mínima de las contraseñas | medio | aprobar |
| 5.5.1.1 | Definir la antigüedad mínima de la contraseña | medio | aprobar |
| 5.5.1.2 | Definir la antigüedad máxima de las contraseñas | medio | aprobar |
| 5.5.1.3 | Establecer antigüedad de la advertencia de contraseña | medio | aprobar |
| 5.5.1.4 | Configurar la caducidad de la cuenta tras un periodo de inactividad | medio | aprobar |
| 5.5.1.5 | Asegúrate de que la fecha del último cambio de contraseña de todos los usuarios sea anterior a la actual | medio | aprobar |
| 5.5.2 | Asegurarse de que las cuentas del sistema no ejecuten un shell al iniciar sesión | medio | aprobar |
| 5.5.3 | Verificar que Root tiene un GID principal 0 | alto | aprobar |
| 5.5.4 | Asegurarse de que la máscara Umask de Bash predeterminada esté configurada correctamente | medio | aprobar |
| 5.5.4 | Asegurarse de que la máscara predeterminada se ha definido correctamente para los usuarios interactivos | medio | aprobar |
| 5.5.4 | Asegurarse de que la máscara predeterminada esté configurada correctamente en /etc/profile | medio | aprobar |
| 5.5.4 | Asegurarse de que la máscara predeterminada esté configurada correctamente en login.defs | medio | aprobar |
| 5.5.5 | Definir el tiempo de espera de la sesión interactiva | medio | aprobar |
| 6.1.1 | Verificar el grupo propietario del archivo passwd | medio | aprobar |
| 6.1.1 | Verificar los permisos del archivo passwd | medio | aprobar |
| 6.1.1 | Verificar el usuario propietario del archivo passwd | medio | aprobar |
| 6.1.2 | Verificar el grupo propietario del archivo passwd de la copia de seguridad | medio | aprobar |
| 6.1.2 | Verificar los permisos del archivo passwd de la copia de seguridad | medio | aprobar |
| 6.1.2 | Verificar el usuario propietario del archivo passwd de la copia de seguridad | medio | aprobar |
| 6.1.3 | Verificar el grupo propietario del archivo de grupo | medio | aprobar |
| 6.1.3 | Verificar los permisos del archivo de grupo | medio | aprobar |
| 6.1.3 | Verificar el usuario propietario del archivo de grupo | medio | aprobar |
| 6.1.4 | Verificar el grupo propietario del archivo de grupo de copia de seguridad | medio | aprobar |
| 6.1.4 | Verificar los permisos del archivo del grupo de copia de seguridad | medio | aprobar |
| 6.1.4 | Verificar el usuario propietario del archivo del grupo de copia de seguridad | medio | aprobar |
| 6.1.5 | Verificar el grupo propietario del archivo fantasma | medio | aprobar |
| 6.1.5 | Verificar los permisos del archivo de sombra | medio | aprobar |
| 6.1.5 | Verificar el usuario propietario del archivo fantasma | medio | aprobar |
| 6.1.6 | Verificar el grupo propietario del archivo de sombra de la copia de seguridad | medio | aprobar |
| 6.1.6 | Verificar los permisos del archivo de sombra de la copia de seguridad | medio | aprobar |
| 6.1.6 | Verificar el usuario propietario del archivo fantasma de la copia de seguridad | medio | aprobar |
| 6.1.7 | Verificar el grupo propietario del archivo gshadow | medio | aprobar |
| 6.1.7 | Verificar los permisos del archivo gshadow | medio | aprobar |
| 6.1.7 | Verificar el usuario propietario del archivo gshadow | medio | aprobar |
| 6.1.8 | Verificar el grupo propietario del archivo gshadow de la copia de seguridad | medio | aprobar |
| 6.1.8 | Verificar los permisos del archivo gshadow de la copia de seguridad | medio | aprobar |
| 6.1.8 | Verificar el usuario propietario del archivo gshadow de la copia de seguridad | medio | aprobar |
| 6.1.10 | Asegurarse de que todos los archivos sean propiedad de un usuario | medio | aprobar |
| 6.2.1 | Verificar que todos los hashes de contraseñas de cuentas estén ocultos | medio | aprobar |
| 6.2.2 | Asegurarse de que no haya cuentas con contraseñas en blanco o nulas | alto | aprobar |
| 6.2.3 | Todos los GIDs a los que se hace referencia en /etc/passwd deben definirse en /etc/group. | bajo | aprobar |
| 6.2.4 | Asegurarse de que el grupo de sombra esté vacío | medio | aprobar |
| 6.2.5 | Asegurarse de que todas las cuentas del sistema tengan IDs de usuario únicos | medio | aprobar |
| 6.2.6 | Asegurarse de que todos los grupos del sistema tengan un ID de grupo único | medio | aprobar |
| 6.2.7 | Asegurarse de que todas las cuentas del sistema tengan nombres únicos | medio | aprobar |
| 6.2.8 | Asegurarse de que todos los grupos del sistema tengan nombres únicos | medio | aprobar |
| 6.2.9 | Asegúrate de que la ruta de la raíz no incluya rutas relativas ni directorios nulos | desconocido | aprobar |
| 6.2.9 | Asegurarse de que la ruta de la raíz no incluye directorios con permisos de escritura para todos o para el grupo | medio | aprobar |
| 6.2.10 | Verificar que solo el usuario root tiene el UID 0 | alto | aprobar |
| 6.2.11 | Todos los directorios principales de los usuarios interactivos deben existir | medio | aprobar |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del grupo principal | medio | aprobar |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del usuario principal | medio | aprobar |
| 6.2.13 | Todos los directorios de inicio de usuarios interactivos deben tener el modo 0750 o menos permisivo | medio | aprobar |
| 6.2.14 | Verificar que no haya archivos .netrc | medio | aprobar |
| 6.2.15 | Verificar que no existen archivos .forward | medio | aprobar |
| 6.2.16 | Eliminar archivos de confianza de Rsh | alto | aprobar |
| 6.2.17 | Los archivos de inicialización de usuario deben ser propiedad del grupo principal | medio | aprobar |
| 6.2.17 | El usuario principal debe ser el propietario de los archivos de inicialización de usuario | medio | aprobar |
| 6.2.17 | Los archivos de inicialización de usuarios no deben ejecutar programas con permisos de escritura para todos | medio | aprobar |
Recomendaciones no aplicables
En la siguiente tabla se enumeran las recomendaciones que no se aplican a Google Distributed Cloud.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.2 | Añadir la opción nodev a /tmp | medio | notapplicable |
| 1.1.2.3 | Añadir la opción noexec a /tmp | medio | notapplicable |
| 1.1.2.4 | Añadir la opción nosuid a /tmp | medio | notapplicable |
| 1.1.3.2 | Añadir la opción nodev a /var | medio | notapplicable |
| 1.1.3.3 | Añadir la opción nosuid a /var | medio | notapplicable |
| 1.1.4.2 | Añadir la opción noexec a /var/tmp | medio | notapplicable |
| 1.1.4.3 | Añadir la opción nosuid a /var/tmp | medio | notapplicable |
| 1.1.4.4 | Añadir la opción nodev a /var/tmp | medio | notapplicable |
| 1.1.5.2 | Añadir la opción nodev a /var/log | medio | notapplicable |
| 1.1.5.3 | Añadir la opción noexec a /var/log | medio | notapplicable |
| 1.1.5.4 | Añadir la opción nosuid a /var/log | medio | notapplicable |
| 1.1.6.2 | Añadir la opción noexec a /var/log/audit | medio | notapplicable |
| 1.1.6.3 | Añadir la opción nodev a /var/log/audit | medio | notapplicable |
| 1.1.6.4 | Añadir la opción nosuid a /var/log/audit | medio | notapplicable |
| 1.1.7.2 | Añadir la opción nodev a /home | desconocido | notapplicable |
| 1.1.7.3 | Añadir la opción nosuid a /home | medio | notapplicable |
| 1.4.1 | Definir la contraseña del cargador de arranque UEFI | alto | notapplicable |
| 1.8.1 | Quitar el grupo de paquetes de GDM | medio | notapplicable |
| 1.8.4 | Habilitar el bloqueo del salvapantallas de GNOME3 tras un periodo de inactividad | medio | notapplicable |
| 1.8.5 | Definir el tiempo de espera del bloqueo del salvapantallas de GNOME3 tras el periodo de activación | medio | notapplicable |
| 1.8.6 | Inhabilitar la apertura automática de GNOME3 | medio | notapplicable |
| 1.8.6 | Inhabilitar el montaje automático de GNOME3 | medio | notapplicable |
| 1.8.8 | Inhabilitar la ejecución de montaje automático de GNOME3 | bajo | notapplicable |
| 1.8.10 | Inhabilitar XDMCP en GDM | alto | notapplicable |
| 1.10 | Configurar el perfil de usuario de GNOME3 DConf | alto | notapplicable |
| 2.1.4.1 | Configurar restricciones de servidor para ntpd | medio | notapplicable |
| 2.1.4.3 | Configurar ntpd para que se ejecute como usuario ntp | medio | notapplicable |
| 2.1.4.4 | Habilitar el daemon NTP | alto | notapplicable |
| 2.2.15 | Inhabilitar la escucha de red de Postfix | medio | notapplicable |
| 3.5.1.3 | Verificar que ufw esté habilitado | medio | notapplicable |
| 3.5.1.4 | Configurar el tráfico de bucle invertido de UFW | medio | notapplicable |
| 3.5.1.6 | Comprobar que existen reglas de cortafuegos de ufw para todos los puertos abiertos | medio | notapplicable |
| 3.5.1.7 | Asegurarse de que la política de cortafuegos predeterminada de ufw sea Denegar | medio | notapplicable |
| 3.5.3.2.1 | Definir la política predeterminada de iptables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.2.2 | Configurar el tráfico de bucle de retorno | medio | notapplicable |
| 3.5.3.2.4 | Asegurarse de que existen reglas de cortafuegos de iptables para todos los puertos abiertos | medio | notapplicable |
| 3.5.3.3.1 | Definir la política predeterminada de ip6tables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.3.4 | Asegurarse de que existen reglas de cortafuegos ip6tables para todos los puertos abiertos | medio | notapplicable |
Configurar la tarea cron de AIDE
AIDE es una herramienta de comprobación de la integridad de los archivos que verifica el cumplimiento de la versión 1.4 del benchmark del servidor de nivel 1 de CIS Filesystem Integrity Checking. En Google Distributed Cloud, el proceso de AIDE ha provocado problemas de uso elevado de recursos.
El proceso de AIDE en los nodos está inhabilitado de forma predeterminada para evitar problemas con los recursos. Esto afectará al cumplimiento de la comparativa de servidores de nivel 1 de CIS 1.4.2: Ensure
filesystem integrity is regularly checked.
Si quieres habilitar la tarea cron de AIDE, completa los pasos siguientes para volver a habilitar AIDE:
Crea un DaemonSet.
Aquí tienes un manifiesto de un DaemonSet:
apiVersion: apps/v1 kind: DaemonSet metadata: name: enable-aide-pool1 spec: selector: matchLabels: app: enable-aide-pool1 template: metadata: labels: app: enable-aide-pool1 spec: hostIPC: true hostPID: true nodeSelector: cloud.google.com/gke-nodepool: pool-1 containers: - name: update-audit-rule image: ubuntu command: ["chroot", "/host", "bash", "-c"] args: - | set -x while true; do # change daily cronjob schedule minute=30;hour=5 sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab # enable aide chmod 755 /etc/cron.daily/aide sleep 3600 done volumeMounts: - name: host mountPath: /host securityContext: privileged: true volumes: - name: host hostPath: path: /En el manifiesto anterior:
La tarea cron de AIDE solo se ejecutará en el grupo de nodos
pool-1, tal como se especifica en nodeSelectorcloud.google.com/gke-nodepool: pool-1. Puedes configurar el proceso de AIDE para que se ejecute en tantos grupos de nodos como quieras especificando los grupos en el camponodeSelector. Para ejecutar la misma programación de trabajo cron en diferentes grupos de nodos, elimina el camponodeSelector. Sin embargo, para evitar la congestión de los recursos del host, te recomendamos que mantengas programaciones independientes.La tarea cron se ha programado para que se ejecute todos los días a las 5:30, tal como se especifica en la configuración
minute=30;hour=5. Puedes configurar diferentes programaciones para la tarea cron de AIDE según sea necesario.
Copia el manifiesto en un archivo llamado
enable-aide.yamly crea el DaemonSet:kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
donde USER_CLUSTER_KUBECONFIG es la ruta del archivo kubeconfig de tu clúster de usuario.
Usar la evaluación del protocolo de automatización de contenido de seguridad (SCAP)
Te recomendamos que analices tu instalación para evaluar su cumplimiento del nivel 2 de la prueba comparativa CIS de Ubuntu Linux. Hay varias herramientas disponibles para analizar tus clústeres y tu estación de trabajo de administrador. Puedes seguir estos pasos para instalar y ejecutar el conjunto de herramientas de código abierto OpenSCAP y realizar una evaluación de seguridad de nivel 2:
Copia la siguiente secuencia de comandos en un archivo llamado
cis-benchmark.sh:#!/bin/bash set -x REPORTS_DIR="$1" mkdir -p "${REPORTS_DIR}" echo "Start CIS L2 benchmark evaluation..." apt update apt install libopenscap8 sudo oscap xccdf eval \ --profile cis_level2_server_customized \ --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \ --results "${REPORTS_DIR}"/cis-results.xml \ --report "${REPORTS_DIR}"/cis-report.html \ --verbose INFO \ --verbose-log-file "${REPORTS_DIR}/cis-output-verbose.log" \ /etc/cloud/usg/ssg-ubuntu2204-ds-1.2.xml > "${REPORTS_DIR}"/cis-output.log 2>&1 chmod -R 755 "${REPORTS_DIR}/.." echo "Done CIS L2 benchmark evaluation"Haz que la secuencia de comandos sea ejecutable:
chmod +x cis-benchmark.shEjecuta la secuencia de comandos:
./cis-benchmark.sh REPORTS_DIRSustituye
REPORTS_DIRpor la ruta de un directorio en el que quieras guardar el informe de evaluación generado.Cuando la secuencia de comandos se completa correctamente, el directorio
REPORTS_DIRcontiene el archivocis-report.htmlgenerado.