En este documento, se describe el nivel de cumplimiento que tiene Google Distributed Cloud con la comparativa de CIS para Ubuntu.
Accede a la comparativa
La comparativa de CIS para Ubuntu está disponible en el sitio web de CIS.
Perfil de configuración
En el documento de la comparativa de CIS para Ubuntu, puedes leer sobre los perfiles de configuración. Las imágenes de Ubuntu que usa Google Distributed Cloud se endurecen para cumplir con el perfil del servidor de nivel 2.
Evaluación en Google Distributed Cloud
Usamos los siguientes valores para especificar el estado de las recomendaciones de Ubuntu en Google Distributed Cloud.
| Estado | Descripción |
|---|---|
| pass | Cumple con una recomendación de comparativa. |
| desaprobado | Se desvía de una recomendación de comparativa. |
| notapplicable | No es pertinente para probar el sistema que se evalúa. |
Estado de Google Distributed Cloud
Las imágenes de Ubuntu que se usan con Google Distributed Cloud se endurecen para cumplir con el perfil del servidor de nivel 2 de CIS. En la siguiente tabla, se proporcionan justificaciones sobre por qué los componentes de Google Distributed Cloud no aprobaron ciertas recomendaciones.
Las comparativas que tienen el estado Passed no se incluyen en la siguiente tabla.
1.32
Versiones
En esta sección, se hace referencia a las siguientes versiones:
| Versión de Google Distributed Cloud | Versión de Ubuntu | Versión de la comparativa de CIS para Ubuntu | Nivel de CIS |
|---|---|---|---|
| 1.32 | 22.04 LTS | v1.0.0 | Servidor de nivel 2 |
Recomendaciones fallidas
En la siguiente tabla, se enumeran las recomendaciones para las que Google Distributed Cloud se desvía de las recomendaciones de la comparativa. Estos hallazgos se aplican a los nodos del clúster y a la estación de trabajo de administrador.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.1 | Asegúrate de que /tmp se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.3.1 | Asegúrate de que /var se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.4.1 | Asegúrate de que /var/tmp se encuentre en una partición independiente | medio | desaprobado |
| 1.1.5.1 | Asegúrate de que /var/log se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.6.1 | Asegúrate de que /var/log/audit se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.7.1 | Asegúrate de que /home se encuentre en una partición independiente | bajo | desaprobado |
| 1.4.1 | Establece la contraseña del Cargador de inicio en grub2 | alto | desaprobado |
| 1.4.3 | Asegúrate de que se requiera la autenticación para el modo de usuario único | medio | desaprobado |
| 2.3.6 | Desinstala el paquete rpcbind | bajo | desaprobado |
| 3.2.2 | Inhabilita el parámetro del kernel para el reenvío de IP en interfaces IPv4 | medio | desaprobado |
| 3.3.7 | Habilita el parámetro del kernel para usar el filtrado de ruta inversa en todas las interfaces IPv4 de forma predeterminada | medio | desaprobado |
| 3.3.7 | Habilita el parámetro del kernel para usar el filtrado de ruta de acceso inversa en todas las interfaces IPv4 | medio | desaprobado |
| 3.5.2.8 | Asegúrate de que la política de denegación de firewall de nftables sea predeterminada | medio | desaprobado |
| 3.5.2.10 | Asegúrate de que las reglas de nftables sean permanentes | medio | desaprobado |
| 4.2.3 | Verifica los permisos de los archivos de registro | medio | desaprobado |
| 5.2.4 | Limita el acceso SSH de los usuarios | desconocido | desaprobado |
| 5.3.4 | Garantiza que los usuarios vuelvan a autenticarse para la elevación de privilegios: sudo | medio | desaprobado |
| 5.5.1.2 | Establece la antigüedad máxima de la contraseña | medio | desaprobado |
Recomendaciones aprobadas
En la siguiente tabla, se enumeran las recomendaciones con las que Google Distributed Cloud cumple con las recomendaciones de la comparativa.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.1.1 | Inhabilita el montaje de cramfs | bajo | pass |
| 1.1.1.2 | Inhabilita el montaje de squashfs | bajo | pass |
| 1.1.1.3 | Inhabilita el montaje de UDF | bajo | pass |
| 1.1.8.1 | Se agregó la opción nodev a /dev/shm | medio | pass |
| 1.1.8.2 | Agrega la opción noexec a /dev/shm | medio | pass |
| 1.1.8.3 | Se agregó la opción nosuid a /dev/shm | medio | pass |
| 1.1.9 | Inhabilita el Automounter | medio | pass |
| 1.1.10 | Inhabilita la carga de Modprobe del controlador de almacenamiento USB | medio | pass |
| 1.4.2 | Verifica los permisos de /boot/grub/grub.cfg | medio | pass |
| 1.5.1 | Habilita el diseño aleatorio del espacio de direcciones virtuales | medio | pass |
| 1.5.2 | El paquete "prelink" no debe estar instalado | medio | pass |
| 1.5.3 | Inhabilita el servicio Apport | desconocido | pass |
| 1.5.4 | Inhabilita los volcados de memoria del sistema para todos los usuarios | medio | pass |
| 1.5.4 | Inhabilita los volcados de memoria para los programas SUID | medio | pass |
| 1.6.1.1 | Asegúrate de que AppArmor esté instalado | medio | pass |
| 1.6.1.2 | Asegúrate de que AppArmor esté habilitado en la configuración del bootloader | medio | pass |
| 1.6.1.4 | Aplica todos los perfiles de AppArmor | medio | pass |
| 1.7.1 | Cómo modificar el banner del mensaje del día del sistema | medio | pass |
| 1.7.2 | Cómo modificar el banner de acceso al sistema | medio | pass |
| 1.7.3 | Cómo modificar el banner de acceso al sistema para conexiones remotas | medio | pass |
| 1.7.4 | Verifica la propiedad del grupo del banner de Mensaje del día | medio | pass |
| 1.7.4 | Verifica la propiedad del banner del Mensaje del día | medio | pass |
| 1.7.4 | Verifica los permisos en el banner del Mensaje del día | medio | pass |
| 1.7.5 | Verifica la propiedad del grupo del banner de acceso al sistema | medio | pass |
| 1.7.5 | Verifica la propiedad del banner de acceso al sistema | medio | pass |
| 1.7.5 | Verifica los permisos en el banner de acceso del sistema | medio | pass |
| 1.7.6 | Verifica la propiedad del grupo del banner de acceso al sistema para las conexiones remotas | medio | pass |
| 1.7.6 | Verifica la propiedad del banner de acceso al sistema para conexiones remotas | medio | pass |
| 1.7.6 | Verifica los permisos en el banner de acceso al sistema para conexiones remotas | medio | pass |
| 2.1.1.1 | Instala el servicio systemd_timesyncd | alto | pass |
| 2.1.3.2 | Habilita el servicio systemd_timesyncd | alto | pass |
| 2.2.1 | Cómo quitar el grupo de paquetes de X Windows | medio | pass |
| 2.2.2 | Inhabilita el software del servidor Avahi | medio | pass |
| 2.2.2 | Desinstala el paquete del servidor de Avahi | medio | pass |
| 2.2.3 | Inhabilita el servicio de CUPS | desconocido | pass |
| 2.2.3 | Desinstala el paquete de CUPS | desconocido | pass |
| 2.2.4 | Desinstala el paquete del servidor DHCP | medio | pass |
| 2.2.5 | Desinstala el paquete openldap-servers | bajo | pass |
| 2.2.6 | Desinstala el paquete nfs-kernel-server | bajo | pass |
| 2.2.7 | Desinstala el paquete de vinculación | bajo | pass |
| 2.2.8 | Desinstala el paquete vsftpd | alto | pass |
| 2.2.9 | Desinstala el paquete httpd | desconocido | pass |
| 2.2.9 | Desinstala el paquete de Nginx | desconocido | pass |
| 2.2.10 | Desinstala el paquete cyrus-imapd | desconocido | pass |
| 2.2.10 | Desinstala el paquete dovecot | desconocido | pass |
| 2.2.11 | Desinstala el paquete de Samba | desconocido | pass |
| 2.2.12 | Desinstala el paquete squid | desconocido | pass |
| 2.2.13 | Cómo desinstalar el paquete net-snmp | desconocido | pass |
| 2.2.14 | Desinstala el paquete de NIS | bajo | pass |
| 2.2.15 | Asegúrate de que el agente de transferencia de correo no esté escuchando ninguna dirección que no sea de bucle invertido | medio | pass |
| 2.2.16 | Desinstala el paquete rsync | medio | pass |
| 2.3.2 | Desinstala el paquete rsh | desconocido | pass |
| 2.3.3 | Desinstala el paquete de Talk. | medio | pass |
| 2.3.4 | Cómo quitar clientes de Telnet | bajo | pass |
| 2.3.5 | Asegúrate de que el cliente LDAP no esté instalado | bajo | pass |
| 3.1.2 | Cómo desactivar las interfaces de red inalámbrica | medio | pass |
| 3.2.1 | Inhabilita el parámetro del kernel para enviar redireccionamientos de ICMP en todas las interfaces IPv4 de forma predeterminada | medio | pass |
| 3.2.1 | Inhabilita el parámetro del kernel para enviar redireccionamientos de ICMP en todas las interfaces IPv4 | medio | pass |
| 3.2.2 | Inhabilita el parámetro del kernel para el reenvío de IPv6 | medio | pass |
| 3.3.1 | Inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en todas las interfaces IPv4 | medio | pass |
| 3.3.1 | Inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en todas las interfaces IPv6 | medio | pass |
| 3.3.1 | Se inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en interfaces IPv4 de forma predeterminada | medio | pass |
| 3.3.1 | Se inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en interfaces IPv6 de forma predeterminada | medio | pass |
| 3.3.2 | Inhabilita la aceptación de redireccionamientos ICMP para todas las interfaces IPv4 | medio | pass |
| 3.3.2 | Inhabilita la aceptación de redireccionamientos ICMP para todas las interfaces IPv6 | medio | pass |
| 3.3.2 | Inhabilita el parámetro del kernel para aceptar redireccionamientos de ICMP de forma predeterminada en interfaces IPv4 | medio | pass |
| 3.3.2 | Inhabilita el parámetro del kernel para aceptar redireccionamientos de ICMP de forma predeterminada en interfaces IPv6 | medio | pass |
| 3.3.3 | Configura el parámetro del kernel para aceptar redireccionamientos seguros de forma predeterminada | medio | pass |
| 3.3.3 | Inhabilita el parámetro del kernel para aceptar redireccionamientos ICMP seguros en todas las interfaces IPv4 | medio | pass |
| 3.3.4 | Habilita el parámetro del kernel para registrar paquetes marcianos en todas las interfaces IPv4 | desconocido | pass |
| 3.3.4 | Habilita el parámetro del kernel para registrar paquetes marcianos en todas las interfaces IPv4 de forma predeterminada | desconocido | pass |
| 3.3.5 | Habilita el parámetro del kernel para ignorar las solicitudes de eco de transmisión ICMP en las interfaces IPv4 | medio | pass |
| 3.3.6 | Habilita el parámetro del kernel para ignorar las respuestas de error de ICMP no válidas en las interfaces IPv4 | desconocido | pass |
| 3.3.8 | Habilita el parámetro del kernel para usar TCP Syncookies en interfaces de red | medio | pass |
| 3.3.9 | Configura la aceptación de anuncios de router en todas las interfaces IPv6 | medio | pass |
| 3.3.9 | Inhabilita la aceptación de anuncios de router en todas las interfaces IPv6 de forma predeterminada | medio | pass |
| 3.4.1 | Inhabilita la compatibilidad con DCCP | medio | pass |
| 3.4.2 | Inhabilita la compatibilidad con SCTP | medio | pass |
| 3.4.3 | Inhabilita la compatibilidad con RDS | bajo | pass |
| 3.4.4 | Inhabilita la compatibilidad con TIPC | bajo | pass |
| 3.5.1.2 | Cómo quitar el paquete iptables-persistent | medio | pass |
| 3.5.2.1 | Instala el paquete nftables | medio | pass |
| 3.5.2.4 | Asegúrate de que exista una tabla para nftables | medio | pass |
| 3.5.2.5 | Asegúrate de que existan cadenas base para nftables | medio | pass |
| 3.5.2.9 | Verifica que el servicio de nftables esté habilitado | medio | pass |
| 3.5.3.1.1 | Instala el paquete iptables | medio | pass |
| 3.5.3.1.3 | Cómo quitar el paquete ufw | medio | pass |
| 4.1.1.1 | Asegúrate de que el subsistema de auditoría esté instalado | medio | pass |
| 4.1.1.2 | Habilita el servicio auditd | medio | pass |
| 4.1.1.4 | Extiende el límite de la lista de tareas pendientes de auditoría para el daemon de auditoría | bajo | pass |
| 4.1.2.1 | Configura el tamaño máximo del archivo de registro de auditd | medio | pass |
| 4.1.2.2 | Configura auditd max_log_file_action cuando se alcance el tamaño máximo del registro | medio | pass |
| 4.1.2.3 | Configura la acción admin_space_left de auditd en caso de poco espacio en el disco | medio | pass |
| 4.1.2.3 | Configura la acción mail_acct de auditd en caso de poco espacio en el disco | medio | pass |
| 4.1.2.3 | Configura la acción space_left de auditd en caso de poco espacio en el disco | medio | pass |
| 4.1.3.1 | Asegúrate de que auditd recopile las acciones del administrador del sistema | medio | pass |
| 4.1.3.2 | Registra eventos cuando se ejecutan archivos ejecutables con privilegios | medio | pass |
| 4.1.3.3 | Registro de intentos para realizar actividades de mantenimiento | medio | pass |
| 4.1.3.4 | Registro de intentos de alterar el archivo localtime | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar el tiempo a través de adjtimex | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar la hora a través de clock_settime | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar la hora a través de settimeofday | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar la hora a través de stime | medio | pass |
| 4.1.3.5 | Registra eventos que modifican el entorno de red del sistema | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: su | medio | pass |
| 4.1.3.6 | Garantiza que auditd recopile información sobre el uso de comandos con privilegios: sudo | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: sudoedit | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: umount | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: unix_chkpwd | medio | pass |
| 4.1.3.7 | Record Unsuccessful Access Attempts to Files - creat | medio | pass |
| 4.1.3.7 | Registra los intentos de acceso sin éxito a los archivos: ftruncate | medio | pass |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: abierto | medio | pass |
| 4.1.3.7 | Registra los intentos de acceso fallidos a archivos: openat | medio | pass |
| 4.1.3.7 | Registra los intentos fallidos de acceso a archivos (truncado) | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/group | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/gshadow | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/passwd | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/security/opasswd | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/shadow | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: chmod | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: chown | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmod | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmodat | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchown | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchownat | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fremovexattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fsetxattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lchown | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lremovexattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lsetxattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: removexattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: setxattr | medio | pass |
| 4.1.3.10 | Asegúrate de que auditd recopile información sobre la exportación a medios (exitosa) | medio | pass |
| 4.1.3.11 | Registra los intentos de alterar la información del proceso y del inicio de sesión | medio | pass |
| 4.1.3.12 | Registra los intentos de alterar los eventos de acceso y salida: faillog | medio | pass |
| 4.1.3.12 | Registra los intentos de alterar los eventos de acceso y salida: lastlog | medio | pass |
| 4.1.3.12 | Registra los intentos de alterar los eventos de acceso y salida: tallylog | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario (cambio de nombre) | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario: renameat | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario: unlink | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario: unlinkat | medio | pass |
| 4.1.3.14 | Registra eventos que modifican los controles de acceso obligatorios del sistema | medio | pass |
| 4.1.3.15 | Registra cualquier intento de ejecutar chcon | medio | pass |
| 4.1.3.16 | Registra cualquier intento de ejecutar setfacl | medio | pass |
| 4.1.3.17 | Registra todos los intentos de ejecutar chacl | medio | pass |
| 4.1.3.18 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: usermod | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre la carga del módulo del kernel: init_module | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre la descarga del módulo del kernel: delete_module | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: insmod | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: modprobe | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: rmmod | medio | pass |
| 4.1.3.20 | Cómo hacer que la configuración de auditd sea inmutable | medio | pass |
| 4.1.4.1 | Los registros de auditoría del sistema deben tener el modo 0640 o menos permisivo | medio | pass |
| 4.1.4.2 | Los registros de auditoría del sistema deben ser propiedad del usuario raíz | medio | pass |
| 4.1.4.3 | Los registros de auditoría del sistema deben ser propiedad del grupo raíz | medio | pass |
| 4.1.4.4 | Los registros de auditoría del sistema deben tener el modo 0750 o un modo menos permisivo | medio | pass |
| 4.1.4.5 | Verifica los permisos en /etc/audit/auditd.conf | medio | pass |
| 4.1.4.5 | Verifica los permisos en /etc/audit/rules.d/*.rules | medio | pass |
| 4.1.4.6 | Los archivos de configuración de auditoría deben ser propiedad del usuario raíz | medio | pass |
| 4.1.4.7 | Los archivos de configuración de auditoría deben ser propiedad del grupo raíz | medio | pass |
| 4.1.4.8 | Verifica que las herramientas de auditoría tengan el modo 0755 o menos. | medio | pass |
| 4.1.4.9 | Verifica que las herramientas de auditoría sean propiedad del administrador raíz | medio | pass |
| 4.1.4.10 | Verifica que las herramientas de auditoría sean propiedad de la raíz del grupo | medio | pass |
| 4.2.1.1.1 | Instala el paquete systemd-journal-remote | medio | pass |
| 4.2.1.1.4 | Inhabilita el socket systemd-journal-remote | medio | pass |
| 4.2.1.2 | Habilita el servicio systemd-journald | medio | pass |
| 4.2.1.3 | Asegúrate de que journald esté configurado para comprimir archivos de registro grandes | medio | pass |
| 4.2.1.4 | Asegúrate de que journald esté configurado para escribir archivos de registro en el disco persistente | medio | pass |
| 4.2.2.1 | Asegúrate de que rsyslog esté instalado | medio | pass |
| 4.2.2.2 | Habilita el servicio rsyslog | medio | pass |
| 4.2.2.4 | Asegúrate de que los permisos de archivo predeterminados de rsyslog estén configurados | medio | pass |
| 4.2.2.7 | Asegúrate de que rsyslog no acepte mensajes remotos, a menos que actúe como servidor de registro | medio | pass |
| 5.1.1 | Habilita el servicio de cron | medio | pass |
| 5.1.2 | Verifica el grupo propietario de Crontab | medio | pass |
| 5.1.2 | Verifica el propietario en crontab | medio | pass |
| 5.1.2 | Verifica los permisos en crontab | medio | pass |
| 5.1.3 | Verifica el grupo propietario de cron.hourly | medio | pass |
| 5.1.3 | Verifica el propietario en cron.hourly | medio | pass |
| 5.1.3 | Verifica los permisos en cron.hourly | medio | pass |
| 5.1.4 | Verifica el grupo que posee cron.daily | medio | pass |
| 5.1.4 | Verifica el propietario en cron.daily | medio | pass |
| 5.1.4 | Verifica los permisos en cron.daily | medio | pass |
| 5.1.5 | Verifica el grupo que posee cron.weekly | medio | pass |
| 5.1.5 | Verificar el propietario en cron.weekly | medio | pass |
| 5.1.5 | Verifica los permisos en cron.weekly | medio | pass |
| 5.1.6 | Verifica el grupo propietario de cron.monthly | medio | pass |
| 5.1.6 | Verifica el propietario en cron.monthly | medio | pass |
| 5.1.6 | Verifica los permisos en cron.monthly | medio | pass |
| 5.1.7 | Verifica el grupo propietario de cron.d | medio | pass |
| 5.1.7 | Verifica el propietario en cron.d | medio | pass |
| 5.1.7 | Verifica los permisos en cron.d | medio | pass |
| 5.1.8 | Asegúrate de que no exista /etc/cron.deny | medio | pass |
| 5.1.8 | Verifica el grupo propietario del archivo /etc/cron.allow | medio | pass |
| 5.1.8 | Verifica los permisos en el archivo /etc/cron.allow | medio | pass |
| 5.1.8 | Verifica el usuario propietario del archivo /etc/cron.allow | medio | pass |
| 5.1.9 | Asegúrate de que no exista /etc/at.deny | medio | pass |
| 5.1.9 | Verifica el grupo propietario del archivo /etc/at.allow | medio | pass |
| 5.1.9 | Verifica los permisos en el archivo /etc/at.allow | medio | pass |
| 5.1.9 | Verifica el usuario propietario del archivo /etc/at.allow | medio | pass |
| 5.2.1 | Verifica el grupo propietario del archivo de configuración del servidor SSH | medio | pass |
| 5.2.1 | Verifica el propietario en el archivo de configuración del servidor SSH | medio | pass |
| 5.2.1 | Verifica los permisos en el archivo de configuración del servidor SSH | medio | pass |
| 5.2.2 | Verifica los permisos en los archivos de claves privadas *_key del servidor SSH | medio | pass |
| 5.2.3 | Verifica los permisos en los archivos de clave pública *.pub del servidor SSH | medio | pass |
| 5.2.5 | Establece LogLevel en INFO | bajo | pass |
| 5.2.6 | Habilitar PAM | medio | pass |
| 5.2.7 | Inhabilita el acceso raíz de SSH | medio | pass |
| 5.2.8 | Inhabilita la autenticación basada en host | medio | pass |
| 5.2.9 | Inhabilita el acceso SSH a través de contraseñas vacías | alto | pass |
| 5.2.10 | No permitir opciones de entorno de SSH | medio | pass |
| 5.2.11 | Inhabilita la compatibilidad con SSH para archivos .rhosts | medio | pass |
| 5.2.12 | Inhabilita el reenvío de X11 | medio | pass |
| 5.2.13 | Usa solo algoritmos de cifrado sólidos | medio | pass |
| 5.2.14 | Usa solo MAC sólidas | medio | pass |
| 5.2.15 | Usar solo algoritmos de intercambio de claves sólidos | medio | pass |
| 5.2.16 | Inhabilita el reenvío de TCP de SSH | medio | pass |
| 5.2.17 | Habilita el banner de advertencia de SSH | medio | pass |
| 5.2.18 | Cómo establecer el límite de intentos de autenticación por SSH | medio | pass |
| 5.2.19 | Asegúrate de que SSH MaxStartups esté configurado | medio | pass |
| 5.2.20 | Cómo establecer el límite de MaxSessions de SSH | medio | pass |
| 5.2.21 | Asegúrate de que SSH LoginGraceTime esté configurado | medio | pass |
| 5.2.22 | Establece el parámetro de configuración Set SSH Client Alive Count Max | medio | pass |
| 5.2.22 | Cómo establecer el intervalo de actividad del cliente SSH | medio | pass |
| 5.3.1 | Instala el paquete sudo | medio | pass |
| 5.3.2 | Garantiza que solo los usuarios que accedieron a una tty real puedan ejecutar sudo: sudo use_pty | medio | pass |
| 5.3.3 | Garantiza que exista el archivo de registro de sudo: sudo logfile | bajo | pass |
| 5.3.5 | Garantiza que los usuarios vuelvan a autenticarse para la elevación de privilegios: sudo !authenticate | medio | pass |
| 5.3.6 | Cómo requerir la reautenticación cuando se usa el comando sudo | medio | pass |
| 5.3.7 | Aplicar el uso de pam_wheel con el parámetro de grupo para la autenticación de su | medio | pass |
| 5.3.7 | Asegúrate de que el grupo que usa el módulo pam_wheel exista en el sistema y esté vacío | medio | pass |
| 5.4.1 | Asegúrate de que el PAM aplique los requisitos de contraseñas: se permiten mensajes de reintento de autenticación por sesión | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseñas: categorías mínimas diferentes | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseña: cantidad mínima de caracteres numéricos | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseña: longitud mínima | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseña: cantidad mínima de caracteres en minúscula | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseñas: caracteres especiales mínimos | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseñas: cantidad mínima de caracteres en mayúsculas | medio | pass |
| 5.4.1 | Instala el paquete pam_pwquality | medio | pass |
| 5.4.2 | Bloquear cuentas después de intentos de acceso fallidos por contraseña incorrecta | medio | pass |
| 5.4.2 | Establece el intervalo para contar los intentos de acceso fallidos por contraseña incorrecta | medio | pass |
| 5.4.2 | Cómo establecer el tiempo de bloqueo para los intentos de contraseña fallidos | medio | pass |
| 5.4.3 | Limita la reutilización de contraseñas | medio | pass |
| 5.4.4 | Cómo establecer el algoritmo de hash de contraseñas en /etc/login.defs | medio | pass |
| 5.5.1.1 | Establece la antigüedad mínima de las contraseñas existentes | medio | pass |
| 5.5.1.1 | Establece la antigüedad mínima de la contraseña | medio | pass |
| 5.5.1.2 | Establece la antigüedad máxima de las contraseñas existentes | medio | pass |
| 5.5.1.3 | Establece la antigüedad de la advertencia de contraseña | medio | pass |
| 5.5.1.4 | Cómo establecer el vencimiento de la cuenta después de un período de inactividad | medio | pass |
| 5.5.1.5 | Asegúrate de que la fecha del último cambio de contraseña de todos los usuarios sea anterior a la actual. | medio | pass |
| 5.5.2 | Asegúrate de que las cuentas del sistema no ejecuten un shell cuando se accede | medio | pass |
| 5.5.3 | Verifica que la raíz tenga un GID principal 0 | alto | pass |
| 5.5.4 | Asegúrate de que la máscara predeterminada de Bash esté configurada correctamente | medio | pass |
| 5.5.4 | Asegúrate de que la máscara de bits predeterminada esté configurada correctamente para los usuarios interactivos | medio | pass |
| 5.5.4 | Asegúrate de que la máscara de bits predeterminada esté configurada correctamente en /etc/profile | medio | pass |
| 5.5.4 | Asegúrate de que la máscara de bits predeterminada esté configurada correctamente en login.defs | medio | pass |
| 5.5.5 | Cómo configurar el tiempo de espera de la sesión interactiva | medio | pass |
| 6.1.1 | Verifica el grupo propietario del archivo passwd | medio | pass |
| 6.1.1 | Verifica los permisos en el archivo passwd | medio | pass |
| 6.1.1 | Verifica el usuario propietario del archivo passwd | medio | pass |
| 6.1.2 | Verifica el grupo propietario del archivo passwd de copia de seguridad | medio | pass |
| 6.1.2 | Verifica los permisos en el archivo passwd de la copia de seguridad | medio | pass |
| 6.1.2 | Verifica el usuario que posee el archivo passwd de la copia de seguridad | medio | pass |
| 6.1.3 | Verifica el grupo propietario del archivo del grupo | medio | pass |
| 6.1.3 | Verifica los permisos del archivo del grupo | medio | pass |
| 6.1.3 | Verifica el usuario propietario del archivo de grupo | medio | pass |
| 6.1.4 | Verifica el grupo que posee el archivo del grupo de copias de seguridad | medio | pass |
| 6.1.4 | Verifica los permisos en el archivo del grupo de copias de seguridad | medio | pass |
| 6.1.4 | Verifica el archivo del grupo de usuarios que son propietarios de la copia de seguridad | medio | pass |
| 6.1.5 | Verifica el grupo propietario del archivo sombra | medio | pass |
| 6.1.5 | Verifica los permisos en el archivo sombra | medio | pass |
| 6.1.5 | Verifica el usuario propietario del archivo sombra | medio | pass |
| 6.1.6 | Verifica el grupo que posee el archivo de sombra de la copia de seguridad | medio | pass |
| 6.1.6 | Verifica los permisos en el archivo de copia de seguridad temporal | medio | pass |
| 6.1.6 | Verifica el usuario propietario del archivo de copia de seguridad sombra | medio | pass |
| 6.1.7 | Verifica el grupo que posee el archivo gshadow | medio | pass |
| 6.1.7 | Verifica los permisos en el archivo gshadow | medio | pass |
| 6.1.7 | Verifica el usuario propietario del archivo gshadow | medio | pass |
| 6.1.8 | Verifica el grupo que posee el archivo gshadow de copia de seguridad | medio | pass |
| 6.1.8 | Verifica los permisos en el archivo gshadow de copia de seguridad | medio | pass |
| 6.1.8 | Verifica el usuario propietario del archivo gshadow de copia de seguridad | medio | pass |
| 6.1.10 | Garantiza que un usuario sea el propietario de todos los archivos | medio | pass |
| 6.2.1 | Verifica que todos los hashes de contraseñas de la cuenta estén ocultos | medio | pass |
| 6.2.2 | Asegúrate de que no haya cuentas con contraseñas en blanco o nulas | alto | pass |
| 6.2.3 | Todos los GID a los que se hace referencia en /etc/passwd deben definirse en /etc/group | bajo | pass |
| 6.2.4 | Asegúrate de que el grupo secundario esté vacío | medio | pass |
| 6.2.5 | Asegúrate de que todas las cuentas del sistema tengan IDs de usuario únicos | medio | pass |
| 6.2.6 | Asegúrate de que todos los grupos del sistema tengan un ID de grupo único | medio | pass |
| 6.2.7 | Asegúrate de que todas las cuentas del sistema tengan nombres únicos | medio | pass |
| 6.2.8 | Asegúrate de que todos los grupos del sistema tengan nombres únicos | medio | pass |
| 6.2.9 | Asegúrate de que la ruta raíz no incluya rutas relativas ni directorios nulos | desconocido | pass |
| 6.2.9 | Asegúrate de que la ruta raíz no incluya directorios con permisos de escritura para el grupo o el mundo | medio | pass |
| 6.2.10 | Verifica que solo la raíz tenga el UID 0 | alto | pass |
| 6.2.11 | Todos los directorios principales de los usuarios interactivos deben existir | medio | pass |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del grupo principal | medio | pass |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del usuario principal | medio | pass |
| 6.2.13 | Todos los directorios principales de usuarios interactivos deben tener el modo 0750 o menos permisivo | medio | pass |
| 6.2.14 | Verifica que no existan archivos .netrc | medio | pass |
| 6.2.15 | Verifica que no existan archivos .forward | medio | pass |
| 6.2.16 | Cómo quitar archivos de confianza de Rsh | alto | pass |
| 6.2.17 | Los archivos de inicialización del usuario deben ser propiedad del grupo principal. | medio | pass |
| 6.2.17 | Los archivos de inicialización del usuario deben ser propiedad del usuario principal | medio | pass |
| 6.2.17 | Los archivos de inicialización del usuario no deben ejecutar programas con permisos de escritura para todos | medio | pass |
Recomendaciones no aplicables
En la siguiente tabla, se enumeran las recomendaciones que no se aplican a Google Distributed Cloud.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.2 | Se agregó la opción nodev a /tmp | medio | notapplicable |
| 1.1.2.3 | Agrega la opción noexec a /tmp | medio | notapplicable |
| 1.1.2.4 | Agrega la opción nosuid a /tmp | medio | notapplicable |
| 1.1.3.2 | Agrega la opción nodev a /var | medio | notapplicable |
| 1.1.3.3 | Agrega la opción nosuid a /var | medio | notapplicable |
| 1.1.4.2 | Agrega la opción noexec a /var/tmp | medio | notapplicable |
| 1.1.4.3 | Agrega la opción nosuid a /var/tmp | medio | notapplicable |
| 1.1.4.4 | Se agregó la opción nodev a /var/tmp | medio | notapplicable |
| 1.1.5.2 | Se agregó la opción nodev a /var/log | medio | notapplicable |
| 1.1.5.3 | Agrega la opción noexec a /var/log | medio | notapplicable |
| 1.1.5.4 | Agrega la opción nosuid a /var/log | medio | notapplicable |
| 1.1.6.2 | Agrega la opción noexec a /var/log/audit | medio | notapplicable |
| 1.1.6.3 | Agrega la opción nodev a /var/log/audit | medio | notapplicable |
| 1.1.6.4 | Agrega la opción nosuid a /var/log/audit | medio | notapplicable |
| 1.1.7.2 | Se agregó la opción nodev a /home | desconocido | notapplicable |
| 1.1.7.3 | Se agregó la opción nosuid a /home | medio | notapplicable |
| 1.10 | Configura el perfil de usuario de DConf de GNOME3 | alto | notapplicable |
| 1.4.1 | Cómo establecer la contraseña del cargador de inicio UEFI | alto | notapplicable |
| 1.8.1 | Quita el grupo de paquetes de GDM | medio | notapplicable |
| 1.8.10 | Inhabilita XDMCP en GDM | alto | notapplicable |
| 1.8.4 | Habilita el bloqueo del protector de pantalla de GNOME3 después de un período de inactividad | medio | notapplicable |
| 1.8.5 | Cómo establecer el retraso del bloqueo del protector de pantalla de GNOME3 después del período de activación | medio | notapplicable |
| 1.8.6 | Inhabilita la apertura del montaje automático de GNOME3 | medio | notapplicable |
| 1.8.6 | Inhabilita el montaje automático de GNOME3 | medio | notapplicable |
| 1.8.8 | Inhabilita la ejecución del automontaje de GNOME3 | bajo | notapplicable |
| 2.1.4.1 | Configura las restricciones del servidor para ntpd | medio | notapplicable |
| 2.1.4.3 | Configura ntpd para que se ejecute como usuario de ntp | medio | notapplicable |
| 2.1.4.4 | Habilita el daemon de NTP | alto | notapplicable |
| 2.2.15 | Inhabilita la escucha de red de Postfix | medio | notapplicable |
| 3.5.1.3 | Verifica que ufw esté habilitado | medio | notapplicable |
| 3.5.1.4 | Cómo establecer el tráfico de bucle invertido de UFW | medio | notapplicable |
| 3.5.1.6 | Asegúrate de que las reglas de firewall de ufw existan para todos los puertos abiertos | medio | notapplicable |
| 3.5.1.7 | Asegúrate de que la política de denegación de firewall predeterminada de ufw esté habilitada | medio | notapplicable |
| 3.5.3.2.1 | Cómo establecer la política predeterminada de iptables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.2.2 | Cómo establecer la configuración del tráfico de bucle invertido | medio | notapplicable |
| 3.5.3.2.4 | Asegúrate de que las reglas de firewall de iptables existan para todos los puertos abiertos | medio | notapplicable |
| 3.5.3.3.1 | Cómo establecer la política predeterminada de ip6tables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.3.4 | Asegúrate de que existan reglas de firewall de ip6tables para todos los puertos abiertos | medio | notapplicable |
1.31
Versiones
En esta sección, se hace referencia a las siguientes versiones:
| Versión de Google Distributed Cloud | Versión de Ubuntu | Versión de la comparativa de CIS para Ubuntu | Nivel de CIS |
|---|---|---|---|
| 1.31 | 22.04 LTS | v1.0.0 | Servidor de nivel 2 |
Recomendaciones fallidas
En la siguiente tabla, se enumeran las recomendaciones para las que Google Distributed Cloud se desvía de las recomendaciones de la comparativa. Estos hallazgos se aplican a los nodos del clúster y a la estación de trabajo de administrador.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.1 | Asegúrate de que /tmp se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.3.1 | Asegúrate de que /var se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.4.1 | Asegúrate de que /var/tmp se encuentre en una partición independiente | medio | desaprobado |
| 1.1.5.1 | Asegúrate de que /var/log se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.6.1 | Asegúrate de que /var/log/audit se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.7.1 | Asegúrate de que /home se encuentre en una partición independiente | bajo | desaprobado |
| 1.4.1 | Establece la contraseña del Cargador de inicio en grub2 | alto | desaprobado |
| 1.4.3 | Asegúrate de que se requiera la autenticación para el modo de usuario único | medio | desaprobado |
| 2.3.6 | Desinstala el paquete rpcbind | bajo | desaprobado |
| 3.2.2 | Inhabilita el parámetro del kernel para el reenvío de IP en interfaces IPv4 | medio | desaprobado |
| 3.3.7 | Habilita el parámetro del kernel para usar el filtrado de ruta inversa en todas las interfaces IPv4 de forma predeterminada | medio | desaprobado |
| 3.3.7 | Habilita el parámetro del kernel para usar el filtrado de ruta de acceso inversa en todas las interfaces IPv4 | medio | desaprobado |
| 3.5.2.8 | Asegúrate de que la política de denegación de firewall de nftables sea predeterminada | medio | desaprobado |
| 3.5.2.10 | Asegúrate de que las reglas de nftables sean permanentes | medio | desaprobado |
| 4.2.3 | Verifica los permisos de los archivos de registro | medio | desaprobado |
| 5.2.4 | Limita el acceso SSH de los usuarios | desconocido | desaprobado |
| 5.3.4 | Garantiza que los usuarios vuelvan a autenticarse para la elevación de privilegios: sudo | medio | desaprobado |
| 5.5.1.2 | Establece la antigüedad máxima de la contraseña | medio | desaprobado |
Recomendaciones aprobadas
En la siguiente tabla, se enumeran las recomendaciones con las que Google Distributed Cloud cumple con las recomendaciones de la comparativa.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.1.1 | Inhabilita el montaje de cramfs | bajo | pass |
| 1.1.1.2 | Inhabilita el montaje de squashfs | bajo | pass |
| 1.1.1.3 | Inhabilita el montaje de UDF | bajo | pass |
| 1.1.8.1 | Se agregó la opción nodev a /dev/shm | medio | pass |
| 1.1.8.2 | Agrega la opción noexec a /dev/shm | medio | pass |
| 1.1.8.3 | Se agregó la opción nosuid a /dev/shm | medio | pass |
| 1.1.9 | Inhabilita el Automounter | medio | pass |
| 1.1.10 | Inhabilita la carga de Modprobe del controlador de almacenamiento USB | medio | pass |
| 1.4.2 | Verifica los permisos de /boot/grub/grub.cfg | medio | pass |
| 1.5.1 | Habilita el diseño aleatorio del espacio de direcciones virtuales | medio | pass |
| 1.5.2 | El paquete "prelink" no debe estar instalado | medio | pass |
| 1.5.3 | Inhabilita el servicio Apport | desconocido | pass |
| 1.5.4 | Inhabilita los volcados de memoria del sistema para todos los usuarios | medio | pass |
| 1.5.4 | Inhabilita los volcados de memoria para los programas SUID | medio | pass |
| 1.6.1.1 | Asegúrate de que AppArmor esté instalado | medio | pass |
| 1.6.1.2 | Asegúrate de que AppArmor esté habilitado en la configuración del bootloader | medio | pass |
| 1.6.1.4 | Aplica todos los perfiles de AppArmor | medio | pass |
| 1.7.1 | Cómo modificar el banner del mensaje del día del sistema | medio | pass |
| 1.7.2 | Cómo modificar el banner de acceso al sistema | medio | pass |
| 1.7.3 | Cómo modificar el banner de acceso al sistema para conexiones remotas | medio | pass |
| 1.7.4 | Verifica la propiedad del grupo del banner de Mensaje del día | medio | pass |
| 1.7.4 | Verifica la propiedad del banner del Mensaje del día | medio | pass |
| 1.7.4 | Verifica los permisos en el banner del Mensaje del día | medio | pass |
| 1.7.5 | Verifica la propiedad del grupo del banner de acceso al sistema | medio | pass |
| 1.7.5 | Verifica la propiedad del banner de acceso al sistema | medio | pass |
| 1.7.5 | Verifica los permisos en el banner de acceso del sistema | medio | pass |
| 1.7.6 | Verifica la propiedad del grupo del banner de acceso al sistema para las conexiones remotas | medio | pass |
| 1.7.6 | Verifica la propiedad del banner de acceso al sistema para conexiones remotas | medio | pass |
| 1.7.6 | Verifica los permisos en el banner de acceso al sistema para conexiones remotas | medio | pass |
| 2.1.1.1 | Instala el servicio systemd_timesyncd | alto | pass |
| 2.1.3.2 | Habilita el servicio systemd_timesyncd | alto | pass |
| 2.2.1 | Cómo quitar el grupo de paquetes de X Windows | medio | pass |
| 2.2.2 | Inhabilita el software del servidor Avahi | medio | pass |
| 2.2.2 | Desinstala el paquete del servidor de Avahi | medio | pass |
| 2.2.3 | Inhabilita el servicio de CUPS | desconocido | pass |
| 2.2.3 | Desinstala el paquete de CUPS | desconocido | pass |
| 2.2.4 | Desinstala el paquete del servidor DHCP | medio | pass |
| 2.2.5 | Desinstala el paquete openldap-servers | bajo | pass |
| 2.2.6 | Desinstala el paquete nfs-kernel-server | bajo | pass |
| 2.2.7 | Desinstala el paquete de vinculación | bajo | pass |
| 2.2.8 | Desinstala el paquete vsftpd | alto | pass |
| 2.2.9 | Desinstala el paquete httpd | desconocido | pass |
| 2.2.9 | Desinstala el paquete de Nginx | desconocido | pass |
| 2.2.10 | Desinstala el paquete cyrus-imapd | desconocido | pass |
| 2.2.10 | Desinstala el paquete dovecot | desconocido | pass |
| 2.2.11 | Desinstala el paquete de Samba | desconocido | pass |
| 2.2.12 | Desinstala el paquete squid | desconocido | pass |
| 2.2.13 | Cómo desinstalar el paquete net-snmp | desconocido | pass |
| 2.2.14 | Desinstala el paquete de NIS | bajo | pass |
| 2.2.15 | Asegúrate de que el agente de transferencia de correo no esté escuchando ninguna dirección que no sea de bucle invertido | medio | pass |
| 2.2.16 | Desinstala el paquete rsync | medio | pass |
| 2.3.2 | Desinstala el paquete rsh | desconocido | pass |
| 2.3.3 | Desinstala el paquete de Talk. | medio | pass |
| 2.3.4 | Cómo quitar clientes de Telnet | bajo | pass |
| 2.3.5 | Asegúrate de que el cliente LDAP no esté instalado | bajo | pass |
| 3.1.2 | Cómo desactivar las interfaces de red inalámbrica | medio | pass |
| 3.2.1 | Inhabilita el parámetro del kernel para enviar redireccionamientos de ICMP en todas las interfaces IPv4 de forma predeterminada | medio | pass |
| 3.2.1 | Inhabilita el parámetro del kernel para enviar redireccionamientos de ICMP en todas las interfaces IPv4 | medio | pass |
| 3.2.2 | Inhabilita el parámetro del kernel para el reenvío de IPv6 | medio | pass |
| 3.3.1 | Inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en todas las interfaces IPv4 | medio | pass |
| 3.3.1 | Inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en todas las interfaces IPv6 | medio | pass |
| 3.3.1 | Se inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en interfaces IPv4 de forma predeterminada | medio | pass |
| 3.3.1 | Se inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en interfaces IPv6 de forma predeterminada | medio | pass |
| 3.3.2 | Inhabilita la aceptación de redireccionamientos ICMP para todas las interfaces IPv4 | medio | pass |
| 3.3.2 | Inhabilita la aceptación de redireccionamientos ICMP para todas las interfaces IPv6 | medio | pass |
| 3.3.2 | Inhabilita el parámetro del kernel para aceptar redireccionamientos de ICMP de forma predeterminada en interfaces IPv4 | medio | pass |
| 3.3.2 | Inhabilita el parámetro del kernel para aceptar redireccionamientos de ICMP de forma predeterminada en interfaces IPv6 | medio | pass |
| 3.3.3 | Configura el parámetro del kernel para aceptar redireccionamientos seguros de forma predeterminada | medio | pass |
| 3.3.3 | Inhabilita el parámetro del kernel para aceptar redireccionamientos ICMP seguros en todas las interfaces IPv4 | medio | pass |
| 3.3.4 | Habilita el parámetro del kernel para registrar paquetes marcianos en todas las interfaces IPv4 | desconocido | pass |
| 3.3.4 | Habilita el parámetro del kernel para registrar paquetes marcianos en todas las interfaces IPv4 de forma predeterminada | desconocido | pass |
| 3.3.5 | Habilita el parámetro del kernel para ignorar las solicitudes de eco de transmisión ICMP en las interfaces IPv4 | medio | pass |
| 3.3.6 | Habilita el parámetro del kernel para ignorar las respuestas de error de ICMP no válidas en las interfaces IPv4 | desconocido | pass |
| 3.3.8 | Habilita el parámetro del kernel para usar TCP Syncookies en interfaces de red | medio | pass |
| 3.3.9 | Configura la aceptación de anuncios de router en todas las interfaces IPv6 | medio | pass |
| 3.3.9 | Inhabilita la aceptación de anuncios de router en todas las interfaces IPv6 de forma predeterminada | medio | pass |
| 3.4.1 | Inhabilita la compatibilidad con DCCP | medio | pass |
| 3.4.2 | Inhabilita la compatibilidad con SCTP | medio | pass |
| 3.4.3 | Inhabilita la compatibilidad con RDS | bajo | pass |
| 3.4.4 | Inhabilita la compatibilidad con TIPC | bajo | pass |
| 3.5.1.2 | Cómo quitar el paquete iptables-persistent | medio | pass |
| 3.5.2.1 | Instala el paquete nftables | medio | pass |
| 3.5.2.4 | Asegúrate de que exista una tabla para nftables | medio | pass |
| 3.5.2.5 | Asegúrate de que existan cadenas base para nftables | medio | pass |
| 3.5.2.9 | Verifica que el servicio de nftables esté habilitado | medio | pass |
| 3.5.3.1.1 | Instala el paquete iptables | medio | pass |
| 3.5.3.1.3 | Cómo quitar el paquete ufw | medio | pass |
| 4.1.1.1 | Asegúrate de que el subsistema de auditoría esté instalado | medio | pass |
| 4.1.1.2 | Habilita el servicio auditd | medio | pass |
| 4.1.1.4 | Extiende el límite de la lista de tareas pendientes de auditoría para el daemon de auditoría | bajo | pass |
| 4.1.2.1 | Configura el tamaño máximo del archivo de registro de auditd | medio | pass |
| 4.1.2.2 | Configura auditd max_log_file_action cuando se alcance el tamaño máximo del registro | medio | pass |
| 4.1.2.3 | Configura la acción admin_space_left de auditd en caso de poco espacio en el disco | medio | pass |
| 4.1.2.3 | Configura la acción mail_acct de auditd en caso de poco espacio en el disco | medio | pass |
| 4.1.2.3 | Configura la acción space_left de auditd en caso de poco espacio en el disco | medio | pass |
| 4.1.3.1 | Asegúrate de que auditd recopile las acciones del administrador del sistema | medio | pass |
| 4.1.3.2 | Registra eventos cuando se ejecutan archivos ejecutables con privilegios | medio | pass |
| 4.1.3.3 | Registro de intentos para realizar actividades de mantenimiento | medio | pass |
| 4.1.3.4 | Registro de intentos de alterar el archivo localtime | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar el tiempo a través de adjtimex | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar la hora a través de clock_settime | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar la hora a través de settimeofday | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar la hora a través de stime | medio | pass |
| 4.1.3.5 | Registra eventos que modifican el entorno de red del sistema | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: su | medio | pass |
| 4.1.3.6 | Garantiza que auditd recopile información sobre el uso de comandos con privilegios: sudo | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: sudoedit | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: umount | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: unix_chkpwd | medio | pass |
| 4.1.3.7 | Record Unsuccessful Access Attempts to Files - creat | medio | pass |
| 4.1.3.7 | Registra los intentos de acceso sin éxito a los archivos: ftruncate | medio | pass |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: abierto | medio | pass |
| 4.1.3.7 | Registra los intentos de acceso fallidos a archivos: openat | medio | pass |
| 4.1.3.7 | Registra los intentos fallidos de acceso a archivos (truncado) | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/group | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/gshadow | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/passwd | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/security/opasswd | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/shadow | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: chmod | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: chown | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmod | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmodat | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchown | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchownat | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fremovexattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fsetxattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lchown | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lremovexattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lsetxattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: removexattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: setxattr | medio | pass |
| 4.1.3.10 | Asegúrate de que auditd recopile información sobre la exportación a medios (exitosa) | medio | pass |
| 4.1.3.11 | Registra los intentos de alterar la información del proceso y del inicio de sesión | medio | pass |
| 4.1.3.12 | Registra los intentos de alterar los eventos de acceso y salida: faillog | medio | pass |
| 4.1.3.12 | Registra los intentos de alterar los eventos de acceso y salida: lastlog | medio | pass |
| 4.1.3.12 | Registra los intentos de alterar los eventos de acceso y salida: tallylog | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario (cambio de nombre) | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario: renameat | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario: unlink | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario: unlinkat | medio | pass |
| 4.1.3.14 | Registra eventos que modifican los controles de acceso obligatorios del sistema | medio | pass |
| 4.1.3.15 | Registra cualquier intento de ejecutar chcon | medio | pass |
| 4.1.3.16 | Registra cualquier intento de ejecutar setfacl | medio | pass |
| 4.1.3.17 | Registra todos los intentos de ejecutar chacl | medio | pass |
| 4.1.3.18 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: usermod | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre la carga del módulo del kernel: init_module | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre la descarga del módulo del kernel: delete_module | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: insmod | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: modprobe | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: rmmod | medio | pass |
| 4.1.3.20 | Cómo hacer que la configuración de auditd sea inmutable | medio | pass |
| 4.1.4.1 | Los registros de auditoría del sistema deben tener el modo 0640 o menos permisivo | medio | pass |
| 4.1.4.2 | Los registros de auditoría del sistema deben ser propiedad del usuario raíz | medio | pass |
| 4.1.4.3 | Los registros de auditoría del sistema deben ser propiedad del grupo raíz | medio | pass |
| 4.1.4.4 | Los registros de auditoría del sistema deben tener el modo 0750 o un modo menos permisivo | medio | pass |
| 4.1.4.5 | Verifica los permisos en /etc/audit/auditd.conf | medio | pass |
| 4.1.4.5 | Verifica los permisos en /etc/audit/rules.d/*.rules | medio | pass |
| 4.1.4.6 | Los archivos de configuración de auditoría deben ser propiedad del usuario raíz | medio | pass |
| 4.1.4.7 | Los archivos de configuración de auditoría deben ser propiedad del grupo raíz | medio | pass |
| 4.1.4.8 | Verifica que las herramientas de auditoría tengan el modo 0755 o menos. | medio | pass |
| 4.1.4.9 | Verifica que las herramientas de auditoría sean propiedad del administrador raíz | medio | pass |
| 4.1.4.10 | Verifica que las herramientas de auditoría sean propiedad de la raíz del grupo | medio | pass |
| 4.2.1.1.1 | Instala el paquete systemd-journal-remote | medio | pass |
| 4.2.1.1.4 | Inhabilita el socket systemd-journal-remote | medio | pass |
| 4.2.1.2 | Habilita el servicio systemd-journald | medio | pass |
| 4.2.1.3 | Asegúrate de que journald esté configurado para comprimir archivos de registro grandes | medio | pass |
| 4.2.1.4 | Asegúrate de que journald esté configurado para escribir archivos de registro en el disco persistente | medio | pass |
| 4.2.2.1 | Asegúrate de que rsyslog esté instalado | medio | pass |
| 4.2.2.2 | Habilita el servicio rsyslog | medio | pass |
| 4.2.2.4 | Asegúrate de que los permisos de archivo predeterminados de rsyslog estén configurados | medio | pass |
| 4.2.2.7 | Asegúrate de que rsyslog no acepte mensajes remotos, a menos que actúe como servidor de registro | medio | pass |
| 5.1.1 | Habilita el servicio de cron | medio | pass |
| 5.1.2 | Verifica el grupo propietario de Crontab | medio | pass |
| 5.1.2 | Verifica el propietario en crontab | medio | pass |
| 5.1.2 | Verifica los permisos en crontab | medio | pass |
| 5.1.3 | Verifica el grupo propietario de cron.hourly | medio | pass |
| 5.1.3 | Verifica el propietario en cron.hourly | medio | pass |
| 5.1.3 | Verifica los permisos en cron.hourly | medio | pass |
| 5.1.4 | Verifica el grupo que posee cron.daily | medio | pass |
| 5.1.4 | Verifica el propietario en cron.daily | medio | pass |
| 5.1.4 | Verifica los permisos en cron.daily | medio | pass |
| 5.1.5 | Verifica el grupo que posee cron.weekly | medio | pass |
| 5.1.5 | Verificar el propietario en cron.weekly | medio | pass |
| 5.1.5 | Verifica los permisos en cron.weekly | medio | pass |
| 5.1.6 | Verifica el grupo propietario de cron.monthly | medio | pass |
| 5.1.6 | Verifica el propietario en cron.monthly | medio | pass |
| 5.1.6 | Verifica los permisos en cron.monthly | medio | pass |
| 5.1.7 | Verifica el grupo propietario de cron.d | medio | pass |
| 5.1.7 | Verifica el propietario en cron.d | medio | pass |
| 5.1.7 | Verifica los permisos en cron.d | medio | pass |
| 5.1.8 | Asegúrate de que no exista /etc/cron.deny | medio | pass |
| 5.1.8 | Verifica el grupo propietario del archivo /etc/cron.allow | medio | pass |
| 5.1.8 | Verifica los permisos en el archivo /etc/cron.allow | medio | pass |
| 5.1.8 | Verifica el usuario propietario del archivo /etc/cron.allow | medio | pass |
| 5.1.9 | Asegúrate de que no exista /etc/at.deny | medio | pass |
| 5.1.9 | Verifica el grupo propietario del archivo /etc/at.allow | medio | pass |
| 5.1.9 | Verifica los permisos en el archivo /etc/at.allow | medio | pass |
| 5.1.9 | Verifica el usuario propietario del archivo /etc/at.allow | medio | pass |
| 5.2.1 | Verifica el grupo propietario del archivo de configuración del servidor SSH | medio | pass |
| 5.2.1 | Verifica el propietario en el archivo de configuración del servidor SSH | medio | pass |
| 5.2.1 | Verifica los permisos en el archivo de configuración del servidor SSH | medio | pass |
| 5.2.2 | Verifica los permisos en los archivos de claves privadas *_key del servidor SSH | medio | pass |
| 5.2.3 | Verifica los permisos en los archivos de clave pública *.pub del servidor SSH | medio | pass |
| 5.2.5 | Establece LogLevel en INFO | bajo | pass |
| 5.2.6 | Habilitar PAM | medio | pass |
| 5.2.7 | Inhabilita el acceso raíz de SSH | medio | pass |
| 5.2.8 | Inhabilita la autenticación basada en host | medio | pass |
| 5.2.9 | Inhabilita el acceso SSH a través de contraseñas vacías | alto | pass |
| 5.2.10 | No permitir opciones de entorno de SSH | medio | pass |
| 5.2.11 | Inhabilita la compatibilidad con SSH para archivos .rhosts | medio | pass |
| 5.2.12 | Inhabilita el reenvío de X11 | medio | pass |
| 5.2.13 | Usa solo algoritmos de cifrado sólidos | medio | pass |
| 5.2.14 | Usa solo MAC sólidas | medio | pass |
| 5.2.15 | Usar solo algoritmos de intercambio de claves sólidos | medio | pass |
| 5.2.16 | Inhabilita el reenvío de TCP de SSH | medio | pass |
| 5.2.17 | Habilita el banner de advertencia de SSH | medio | pass |
| 5.2.18 | Cómo establecer el límite de intentos de autenticación por SSH | medio | pass |
| 5.2.19 | Asegúrate de que SSH MaxStartups esté configurado | medio | pass |
| 5.2.20 | Cómo establecer el límite de MaxSessions de SSH | medio | pass |
| 5.2.21 | Asegúrate de que SSH LoginGraceTime esté configurado | medio | pass |
| 5.2.22 | Establece el parámetro de configuración Set SSH Client Alive Count Max | medio | pass |
| 5.2.22 | Cómo establecer el intervalo de actividad del cliente SSH | medio | pass |
| 5.3.1 | Instala el paquete sudo | medio | pass |
| 5.3.2 | Garantiza que solo los usuarios que accedieron a una tty real puedan ejecutar sudo: sudo use_pty | medio | pass |
| 5.3.3 | Garantiza que exista el archivo de registro de sudo: sudo logfile | bajo | pass |
| 5.3.5 | Garantiza que los usuarios vuelvan a autenticarse para la elevación de privilegios: sudo !authenticate | medio | pass |
| 5.3.6 | Cómo requerir la reautenticación cuando se usa el comando sudo | medio | pass |
| 5.3.7 | Aplicar el uso de pam_wheel con el parámetro de grupo para la autenticación de su | medio | pass |
| 5.3.7 | Asegúrate de que el grupo que usa el módulo pam_wheel exista en el sistema y esté vacío | medio | pass |
| 5.4.1 | Asegúrate de que el PAM aplique los requisitos de contraseñas: se permiten mensajes de reintento de autenticación por sesión | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseñas: categorías mínimas diferentes | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseña: cantidad mínima de caracteres numéricos | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseña: longitud mínima | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseña: cantidad mínima de caracteres en minúscula | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseñas: caracteres especiales mínimos | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseñas: cantidad mínima de caracteres en mayúsculas | medio | pass |
| 5.4.1 | Instala el paquete pam_pwquality | medio | pass |
| 5.4.2 | Bloquear cuentas después de intentos de acceso fallidos por contraseña incorrecta | medio | pass |
| 5.4.2 | Establece el intervalo para contar los intentos de acceso fallidos por contraseña incorrecta | medio | pass |
| 5.4.2 | Cómo establecer el tiempo de bloqueo para los intentos de contraseña fallidos | medio | pass |
| 5.4.3 | Limita la reutilización de contraseñas | medio | pass |
| 5.4.4 | Cómo establecer el algoritmo de hash de contraseñas en /etc/login.defs | medio | pass |
| 5.5.1.1 | Establece la antigüedad mínima de las contraseñas existentes | medio | pass |
| 5.5.1.1 | Establece la antigüedad mínima de la contraseña | medio | pass |
| 5.5.1.2 | Establece la antigüedad máxima de las contraseñas existentes | medio | pass |
| 5.5.1.3 | Establece la antigüedad de la advertencia de contraseña | medio | pass |
| 5.5.1.4 | Cómo establecer el vencimiento de la cuenta después de un período de inactividad | medio | pass |
| 5.5.1.5 | Asegúrate de que la fecha del último cambio de contraseña de todos los usuarios sea anterior a la actual. | medio | pass |
| 5.5.2 | Asegúrate de que las cuentas del sistema no ejecuten un shell cuando se accede | medio | pass |
| 5.5.3 | Verifica que la raíz tenga un GID principal 0 | alto | pass |
| 5.5.4 | Asegúrate de que la máscara predeterminada de Bash esté configurada correctamente | medio | pass |
| 5.5.4 | Asegúrate de que la máscara de bits predeterminada esté configurada correctamente para los usuarios interactivos | medio | pass |
| 5.5.4 | Asegúrate de que la máscara de bits predeterminada esté configurada correctamente en /etc/profile | medio | pass |
| 5.5.4 | Asegúrate de que la máscara de bits predeterminada esté configurada correctamente en login.defs | medio | pass |
| 5.5.5 | Cómo configurar el tiempo de espera de la sesión interactiva | medio | pass |
| 6.1.1 | Verifica el grupo propietario del archivo passwd | medio | pass |
| 6.1.1 | Verifica los permisos en el archivo passwd | medio | pass |
| 6.1.1 | Verifica el usuario propietario del archivo passwd | medio | pass |
| 6.1.2 | Verifica el grupo propietario del archivo passwd de copia de seguridad | medio | pass |
| 6.1.2 | Verifica los permisos en el archivo passwd de la copia de seguridad | medio | pass |
| 6.1.2 | Verifica el usuario que posee el archivo passwd de la copia de seguridad | medio | pass |
| 6.1.3 | Verifica el grupo propietario del archivo del grupo | medio | pass |
| 6.1.3 | Verifica los permisos del archivo del grupo | medio | pass |
| 6.1.3 | Verifica el usuario propietario del archivo de grupo | medio | pass |
| 6.1.4 | Verifica el grupo que posee el archivo del grupo de copias de seguridad | medio | pass |
| 6.1.4 | Verifica los permisos en el archivo del grupo de copias de seguridad | medio | pass |
| 6.1.4 | Verifica el archivo del grupo de usuarios que son propietarios de la copia de seguridad | medio | pass |
| 6.1.5 | Verifica el grupo propietario del archivo sombra | medio | pass |
| 6.1.5 | Verifica los permisos en el archivo sombra | medio | pass |
| 6.1.5 | Verifica el usuario propietario del archivo sombra | medio | pass |
| 6.1.6 | Verifica el grupo que posee el archivo de sombra de la copia de seguridad | medio | pass |
| 6.1.6 | Verifica los permisos en el archivo de copia de seguridad temporal | medio | pass |
| 6.1.6 | Verifica el usuario propietario del archivo de copia de seguridad sombra | medio | pass |
| 6.1.7 | Verifica el grupo que posee el archivo gshadow | medio | pass |
| 6.1.7 | Verifica los permisos en el archivo gshadow | medio | pass |
| 6.1.7 | Verifica el usuario propietario del archivo gshadow | medio | pass |
| 6.1.8 | Verifica el grupo que posee el archivo gshadow de copia de seguridad | medio | pass |
| 6.1.8 | Verifica los permisos en el archivo gshadow de copia de seguridad | medio | pass |
| 6.1.8 | Verifica el usuario propietario del archivo gshadow de copia de seguridad | medio | pass |
| 6.1.10 | Garantiza que un usuario sea el propietario de todos los archivos | medio | pass |
| 6.2.1 | Verifica que todos los hashes de contraseñas de la cuenta estén ocultos | medio | pass |
| 6.2.2 | Asegúrate de que no haya cuentas con contraseñas en blanco o nulas | alto | pass |
| 6.2.3 | Todos los GID a los que se hace referencia en /etc/passwd deben definirse en /etc/group | bajo | pass |
| 6.2.4 | Asegúrate de que el grupo secundario esté vacío | medio | pass |
| 6.2.5 | Asegúrate de que todas las cuentas del sistema tengan IDs de usuario únicos | medio | pass |
| 6.2.6 | Asegúrate de que todos los grupos del sistema tengan un ID de grupo único | medio | pass |
| 6.2.7 | Asegúrate de que todas las cuentas del sistema tengan nombres únicos | medio | pass |
| 6.2.8 | Asegúrate de que todos los grupos del sistema tengan nombres únicos | medio | pass |
| 6.2.9 | Asegúrate de que la ruta raíz no incluya rutas relativas ni directorios nulos | desconocido | pass |
| 6.2.9 | Asegúrate de que la ruta raíz no incluya directorios con permisos de escritura para el grupo o el mundo | medio | pass |
| 6.2.10 | Verifica que solo la raíz tenga el UID 0 | alto | pass |
| 6.2.11 | Todos los directorios principales de los usuarios interactivos deben existir | medio | pass |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del grupo principal | medio | pass |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del usuario principal | medio | pass |
| 6.2.13 | Todos los directorios principales de usuarios interactivos deben tener el modo 0750 o menos permisivo | medio | pass |
| 6.2.14 | Verifica que no existan archivos .netrc | medio | pass |
| 6.2.15 | Verifica que no existan archivos .forward | medio | pass |
| 6.2.16 | Cómo quitar archivos de confianza de Rsh | alto | pass |
| 6.2.17 | Los archivos de inicialización del usuario deben ser propiedad del grupo principal. | medio | pass |
| 6.2.17 | Los archivos de inicialización del usuario deben ser propiedad del usuario principal | medio | pass |
| 6.2.17 | Los archivos de inicialización del usuario no deben ejecutar programas con permisos de escritura para todos | medio | pass |
Recomendaciones no aplicables
En la siguiente tabla, se enumeran las recomendaciones que no se aplican a Google Distributed Cloud.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.2 | Se agregó la opción nodev a /tmp | medio | notapplicable |
| 1.1.2.3 | Agrega la opción noexec a /tmp | medio | notapplicable |
| 1.1.2.4 | Agrega la opción nosuid a /tmp | medio | notapplicable |
| 1.1.3.2 | Agrega la opción nodev a /var | medio | notapplicable |
| 1.1.3.3 | Agrega la opción nosuid a /var | medio | notapplicable |
| 1.1.4.2 | Agrega la opción noexec a /var/tmp | medio | notapplicable |
| 1.1.4.3 | Agrega la opción nosuid a /var/tmp | medio | notapplicable |
| 1.1.4.4 | Se agregó la opción nodev a /var/tmp | medio | notapplicable |
| 1.1.5.2 | Se agregó la opción nodev a /var/log | medio | notapplicable |
| 1.1.5.3 | Agrega la opción noexec a /var/log | medio | notapplicable |
| 1.1.5.4 | Agrega la opción nosuid a /var/log | medio | notapplicable |
| 1.1.6.2 | Agrega la opción noexec a /var/log/audit | medio | notapplicable |
| 1.1.6.3 | Agrega la opción nodev a /var/log/audit | medio | notapplicable |
| 1.1.6.4 | Agrega la opción nosuid a /var/log/audit | medio | notapplicable |
| 1.1.7.2 | Se agregó la opción nodev a /home | desconocido | notapplicable |
| 1.1.7.3 | Se agregó la opción nosuid a /home | medio | notapplicable |
| 1.4.1 | Cómo establecer la contraseña del cargador de inicio UEFI | alto | notapplicable |
| 1.8.1 | Quita el grupo de paquetes de GDM | medio | notapplicable |
| 1.8.4 | Habilita el bloqueo del protector de pantalla de GNOME3 después de un período de inactividad | medio | notapplicable |
| 1.8.5 | Cómo establecer el retraso del bloqueo del protector de pantalla de GNOME3 después del período de activación | medio | notapplicable |
| 1.8.6 | Inhabilita la apertura del montaje automático de GNOME3 | medio | notapplicable |
| 1.8.6 | Inhabilita el montaje automático de GNOME3 | medio | notapplicable |
| 1.8.8 | Inhabilita la ejecución del automontaje de GNOME3 | bajo | notapplicable |
| 1.8.10 | Inhabilita XDMCP en GDM | alto | notapplicable |
| 1.10 | Configura el perfil de usuario de DConf de GNOME3 | alto | notapplicable |
| 2.1.4.1 | Configura las restricciones del servidor para ntpd | medio | notapplicable |
| 2.1.4.3 | Configura ntpd para que se ejecute como usuario de ntp | medio | notapplicable |
| 2.1.4.4 | Habilita el daemon de NTP | alto | notapplicable |
| 2.2.15 | Inhabilita la escucha de red de Postfix | medio | notapplicable |
| 3.5.1.3 | Verifica que ufw esté habilitado | medio | notapplicable |
| 3.5.1.4 | Cómo establecer el tráfico de bucle invertido de UFW | medio | notapplicable |
| 3.5.1.6 | Asegúrate de que las reglas de firewall de ufw existan para todos los puertos abiertos | medio | notapplicable |
| 3.5.1.7 | Asegúrate de que la política de denegación de firewall predeterminada de ufw esté habilitada | medio | notapplicable |
| 3.5.3.2.1 | Cómo establecer la política predeterminada de iptables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.2.2 | Cómo establecer la configuración del tráfico de bucle invertido | medio | notapplicable |
| 3.5.3.2.4 | Asegúrate de que las reglas de firewall de iptables existan para todos los puertos abiertos | medio | notapplicable |
| 3.5.3.3.1 | Cómo establecer la política predeterminada de ip6tables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.3.4 | Asegúrate de que existan reglas de firewall de ip6tables para todos los puertos abiertos | medio | notapplicable |
1.30
Versiones
En esta sección, se hace referencia a las siguientes versiones:
| Versión de Google Distributed Cloud | Versión de Ubuntu | Versión de la comparativa de CIS para Ubuntu | Nivel de CIS |
|---|---|---|---|
| 1.30 | 22.04 LTS | v1.0.0 | Servidor de nivel 2 |
Recomendaciones fallidas
En la siguiente tabla, se enumeran las recomendaciones para las que Google Distributed Cloud se desvía de las recomendaciones de la comparativa. Estos hallazgos se aplican a los nodos del clúster y a la estación de trabajo de administrador.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.1 | Asegúrate de que /tmp se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.3.1 | Asegúrate de que /var se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.4.1 | Asegúrate de que /var/tmp se encuentre en una partición independiente | medio | desaprobado |
| 1.1.5.1 | Asegúrate de que /var/log se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.6.1 | Asegúrate de que /var/log/audit se encuentre en una partición independiente | bajo | desaprobado |
| 1.1.7.1 | Asegúrate de que /home se encuentre en una partición independiente | bajo | desaprobado |
| 1.4.1 | Establece la contraseña del Cargador de inicio en grub2 | alto | desaprobado |
| 1.4.3 | Asegúrate de que se requiera la autenticación para el modo de usuario único | medio | desaprobado |
| 2.3.6 | Desinstala el paquete rpcbind | bajo | desaprobado |
| 3.2.2 | Inhabilita el parámetro del kernel para el reenvío de IP en interfaces IPv4 | medio | desaprobado |
| 3.3.7 | Habilita el parámetro del kernel para usar el filtrado de ruta inversa en todas las interfaces IPv4 de forma predeterminada | medio | desaprobado |
| 3.3.7 | Habilita el parámetro del kernel para usar el filtrado de ruta de acceso inversa en todas las interfaces IPv4 | medio | desaprobado |
| 3.5.2.8 | Asegúrate de que la política de denegación de firewall de nftables sea predeterminada | medio | desaprobado |
| 3.5.2.10 | Asegúrate de que las reglas de nftables sean permanentes | medio | desaprobado |
| 4.2.3 | Verifica los permisos de los archivos de registro | medio | desaprobado |
| 5.2.4 | Limita el acceso SSH de los usuarios | desconocido | desaprobado |
| 5.3.4 | Garantiza que los usuarios vuelvan a autenticarse para la elevación de privilegios: sudo | medio | desaprobado |
| 5.5.1.2 | Establece la antigüedad máxima de la contraseña | medio | desaprobado |
Recomendaciones aprobadas
En la siguiente tabla, se enumeran las recomendaciones con las que Google Distributed Cloud cumple con las recomendaciones de la comparativa.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.1.1 | Inhabilita el montaje de cramfs | bajo | pass |
| 1.1.1.2 | Inhabilita el montaje de squashfs | bajo | pass |
| 1.1.1.3 | Inhabilita el montaje de UDF | bajo | pass |
| 1.1.8.1 | Se agregó la opción nodev a /dev/shm | medio | pass |
| 1.1.8.2 | Agrega la opción noexec a /dev/shm | medio | pass |
| 1.1.8.3 | Se agregó la opción nosuid a /dev/shm | medio | pass |
| 1.1.9 | Inhabilita el Automounter | medio | pass |
| 1.1.10 | Inhabilita la carga de Modprobe del controlador de almacenamiento USB | medio | pass |
| 1.4.2 | Verifica los permisos de /boot/grub/grub.cfg | medio | pass |
| 1.5.1 | Habilita el diseño aleatorio del espacio de direcciones virtuales | medio | pass |
| 1.5.2 | El paquete "prelink" no debe estar instalado | medio | pass |
| 1.5.3 | Inhabilita el servicio Apport | desconocido | pass |
| 1.5.4 | Inhabilita los volcados de memoria del sistema para todos los usuarios | medio | pass |
| 1.5.4 | Inhabilita los volcados de memoria para los programas SUID | medio | pass |
| 1.6.1.1 | Asegúrate de que AppArmor esté instalado | medio | pass |
| 1.6.1.2 | Asegúrate de que AppArmor esté habilitado en la configuración del bootloader | medio | pass |
| 1.6.1.4 | Aplica todos los perfiles de AppArmor | medio | pass |
| 1.7.1 | Cómo modificar el banner del mensaje del día del sistema | medio | pass |
| 1.7.2 | Cómo modificar el banner de acceso al sistema | medio | pass |
| 1.7.3 | Cómo modificar el banner de acceso al sistema para conexiones remotas | medio | pass |
| 1.7.4 | Verifica la propiedad del grupo del banner de Mensaje del día | medio | pass |
| 1.7.4 | Verifica la propiedad del banner del Mensaje del día | medio | pass |
| 1.7.4 | Verifica los permisos en el banner del Mensaje del día | medio | pass |
| 1.7.5 | Verifica la propiedad del grupo del banner de acceso al sistema | medio | pass |
| 1.7.5 | Verifica la propiedad del banner de acceso al sistema | medio | pass |
| 1.7.5 | Verifica los permisos en el banner de acceso del sistema | medio | pass |
| 1.7.6 | Verifica la propiedad del grupo del banner de acceso al sistema para las conexiones remotas | medio | pass |
| 1.7.6 | Verifica la propiedad del banner de acceso al sistema para conexiones remotas | medio | pass |
| 1.7.6 | Verifica los permisos en el banner de acceso al sistema para conexiones remotas | medio | pass |
| 2.1.1.1 | Instala el servicio systemd_timesyncd | alto | pass |
| 2.1.3.2 | Habilita el servicio systemd_timesyncd | alto | pass |
| 2.2.1 | Cómo quitar el grupo de paquetes de X Windows | medio | pass |
| 2.2.2 | Inhabilita el software del servidor Avahi | medio | pass |
| 2.2.2 | Desinstala el paquete del servidor de Avahi | medio | pass |
| 2.2.3 | Inhabilita el servicio de CUPS | desconocido | pass |
| 2.2.3 | Desinstala el paquete de CUPS | desconocido | pass |
| 2.2.4 | Desinstala el paquete del servidor DHCP | medio | pass |
| 2.2.5 | Desinstala el paquete openldap-servers | bajo | pass |
| 2.2.6 | Desinstala el paquete nfs-kernel-server | bajo | pass |
| 2.2.7 | Desinstala el paquete de vinculación | bajo | pass |
| 2.2.8 | Desinstala el paquete vsftpd | alto | pass |
| 2.2.9 | Desinstala el paquete httpd | desconocido | pass |
| 2.2.9 | Desinstala el paquete de Nginx | desconocido | pass |
| 2.2.10 | Desinstala el paquete cyrus-imapd | desconocido | pass |
| 2.2.10 | Desinstala el paquete dovecot | desconocido | pass |
| 2.2.11 | Desinstala el paquete de Samba | desconocido | pass |
| 2.2.12 | Desinstala el paquete squid | desconocido | pass |
| 2.2.13 | Cómo desinstalar el paquete net-snmp | desconocido | pass |
| 2.2.14 | Desinstala el paquete de NIS | bajo | pass |
| 2.2.15 | Asegúrate de que el agente de transferencia de correo no esté escuchando ninguna dirección que no sea de bucle invertido | medio | pass |
| 2.2.16 | Desinstala el paquete rsync | medio | pass |
| 2.3.2 | Desinstala el paquete rsh | desconocido | pass |
| 2.3.3 | Desinstala el paquete de Talk. | medio | pass |
| 2.3.4 | Cómo quitar clientes de Telnet | bajo | pass |
| 2.3.5 | Asegúrate de que el cliente LDAP no esté instalado | bajo | pass |
| 3.1.2 | Cómo desactivar las interfaces de red inalámbrica | medio | pass |
| 3.2.1 | Inhabilita el parámetro del kernel para enviar redireccionamientos de ICMP en todas las interfaces IPv4 de forma predeterminada | medio | pass |
| 3.2.1 | Inhabilita el parámetro del kernel para enviar redireccionamientos de ICMP en todas las interfaces IPv4 | medio | pass |
| 3.2.2 | Inhabilita el parámetro del kernel para el reenvío de IPv6 | medio | pass |
| 3.3.1 | Inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en todas las interfaces IPv4 | medio | pass |
| 3.3.1 | Inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en todas las interfaces IPv6 | medio | pass |
| 3.3.1 | Se inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en interfaces IPv4 de forma predeterminada | medio | pass |
| 3.3.1 | Se inhabilita el parámetro del kernel para aceptar paquetes enrutados por origen en interfaces IPv6 de forma predeterminada | medio | pass |
| 3.3.2 | Inhabilita la aceptación de redireccionamientos ICMP para todas las interfaces IPv4 | medio | pass |
| 3.3.2 | Inhabilita la aceptación de redireccionamientos ICMP para todas las interfaces IPv6 | medio | pass |
| 3.3.2 | Inhabilita el parámetro del kernel para aceptar redireccionamientos de ICMP de forma predeterminada en interfaces IPv4 | medio | pass |
| 3.3.2 | Inhabilita el parámetro del kernel para aceptar redireccionamientos de ICMP de forma predeterminada en interfaces IPv6 | medio | pass |
| 3.3.3 | Configura el parámetro del kernel para aceptar redireccionamientos seguros de forma predeterminada | medio | pass |
| 3.3.3 | Inhabilita el parámetro del kernel para aceptar redireccionamientos ICMP seguros en todas las interfaces IPv4 | medio | pass |
| 3.3.4 | Habilita el parámetro del kernel para registrar paquetes marcianos en todas las interfaces IPv4 | desconocido | pass |
| 3.3.4 | Habilita el parámetro del kernel para registrar paquetes marcianos en todas las interfaces IPv4 de forma predeterminada | desconocido | pass |
| 3.3.5 | Habilita el parámetro del kernel para ignorar las solicitudes de eco de transmisión ICMP en las interfaces IPv4 | medio | pass |
| 3.3.6 | Habilita el parámetro del kernel para ignorar las respuestas de error de ICMP no válidas en las interfaces IPv4 | desconocido | pass |
| 3.3.8 | Habilita el parámetro del kernel para usar TCP Syncookies en interfaces de red | medio | pass |
| 3.3.9 | Configura la aceptación de anuncios de router en todas las interfaces IPv6 | medio | pass |
| 3.3.9 | Inhabilita la aceptación de anuncios de router en todas las interfaces IPv6 de forma predeterminada | medio | pass |
| 3.4.1 | Inhabilita la compatibilidad con DCCP | medio | pass |
| 3.4.2 | Inhabilita la compatibilidad con SCTP | medio | pass |
| 3.4.3 | Inhabilita la compatibilidad con RDS | bajo | pass |
| 3.4.4 | Inhabilita la compatibilidad con TIPC | bajo | pass |
| 3.5.1.2 | Cómo quitar el paquete iptables-persistent | medio | pass |
| 3.5.2.1 | Instala el paquete nftables | medio | pass |
| 3.5.2.4 | Asegúrate de que exista una tabla para nftables | medio | pass |
| 3.5.2.5 | Asegúrate de que existan cadenas base para nftables | medio | pass |
| 3.5.2.9 | Verifica que el servicio de nftables esté habilitado | medio | pass |
| 3.5.3.1.1 | Instala el paquete iptables | medio | pass |
| 3.5.3.1.3 | Cómo quitar el paquete ufw | medio | pass |
| 4.1.1.1 | Asegúrate de que el subsistema de auditoría esté instalado | medio | pass |
| 4.1.1.2 | Habilita el servicio auditd | medio | pass |
| 4.1.1.4 | Extiende el límite de la lista de tareas pendientes de auditoría para el daemon de auditoría | bajo | pass |
| 4.1.2.1 | Configura el tamaño máximo del archivo de registro de auditd | medio | pass |
| 4.1.2.2 | Configura auditd max_log_file_action cuando se alcance el tamaño máximo del registro | medio | pass |
| 4.1.2.3 | Configura la acción admin_space_left de auditd en caso de poco espacio en el disco | medio | pass |
| 4.1.2.3 | Configura la acción mail_acct de auditd en caso de poco espacio en el disco | medio | pass |
| 4.1.2.3 | Configura la acción space_left de auditd en caso de poco espacio en el disco | medio | pass |
| 4.1.3.1 | Asegúrate de que auditd recopile las acciones del administrador del sistema | medio | pass |
| 4.1.3.2 | Registra eventos cuando se ejecutan archivos ejecutables con privilegios | medio | pass |
| 4.1.3.3 | Registro de intentos para realizar actividades de mantenimiento | medio | pass |
| 4.1.3.4 | Registro de intentos de alterar el archivo localtime | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar el tiempo a través de adjtimex | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar la hora a través de clock_settime | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar la hora a través de settimeofday | medio | pass |
| 4.1.3.4 | Registra los intentos de alterar la hora a través de stime | medio | pass |
| 4.1.3.5 | Registra eventos que modifican el entorno de red del sistema | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: su | medio | pass |
| 4.1.3.6 | Garantiza que auditd recopile información sobre el uso de comandos con privilegios: sudo | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: sudoedit | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: umount | medio | pass |
| 4.1.3.6 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: unix_chkpwd | medio | pass |
| 4.1.3.7 | Record Unsuccessful Access Attempts to Files - creat | medio | pass |
| 4.1.3.7 | Registra los intentos de acceso sin éxito a los archivos: ftruncate | medio | pass |
| 4.1.3.7 | Registrar intentos de acceso fallidos a archivos: abierto | medio | pass |
| 4.1.3.7 | Registra los intentos de acceso fallidos a archivos: openat | medio | pass |
| 4.1.3.7 | Registra los intentos fallidos de acceso a archivos (truncado) | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/group | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/gshadow | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/passwd | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/security/opasswd | medio | pass |
| 4.1.3.8 | Registra eventos que modifican la información de usuarios o grupos: /etc/shadow | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: chmod | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: chown | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmod | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchmodat | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchown | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fchownat | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fremovexattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: fsetxattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lchown | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lremovexattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: lsetxattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: removexattr | medio | pass |
| 4.1.3.9 | Registra eventos que modifican los controles de acceso discrecional del sistema: setxattr | medio | pass |
| 4.1.3.10 | Asegúrate de que auditd recopile información sobre la exportación a medios (exitosa) | medio | pass |
| 4.1.3.11 | Registra los intentos de alterar la información del proceso y del inicio de sesión | medio | pass |
| 4.1.3.12 | Registra los intentos de alterar los eventos de acceso y salida: faillog | medio | pass |
| 4.1.3.12 | Registra los intentos de alterar los eventos de acceso y salida: lastlog | medio | pass |
| 4.1.3.12 | Registra los intentos de alterar los eventos de acceso y salida: tallylog | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario (cambio de nombre) | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario: renameat | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario: unlink | medio | pass |
| 4.1.3.13 | Garantiza que auditd recopile eventos de eliminación de archivos por usuario: unlinkat | medio | pass |
| 4.1.3.14 | Registra eventos que modifican los controles de acceso obligatorios del sistema | medio | pass |
| 4.1.3.15 | Registra cualquier intento de ejecutar chcon | medio | pass |
| 4.1.3.16 | Registra cualquier intento de ejecutar setfacl | medio | pass |
| 4.1.3.17 | Registra todos los intentos de ejecutar chacl | medio | pass |
| 4.1.3.18 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: usermod | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre la carga del módulo del kernel: init_module | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre la descarga del módulo del kernel: delete_module | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: insmod | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: modprobe | medio | pass |
| 4.1.3.19 | Asegúrate de que auditd recopile información sobre el uso de comandos con privilegios: rmmod | medio | pass |
| 4.1.3.20 | Cómo hacer que la configuración de auditd sea inmutable | medio | pass |
| 4.1.4.1 | Los registros de auditoría del sistema deben tener el modo 0640 o menos permisivo | medio | pass |
| 4.1.4.2 | Los registros de auditoría del sistema deben ser propiedad del usuario raíz | medio | pass |
| 4.1.4.3 | Los registros de auditoría del sistema deben ser propiedad del grupo raíz | medio | pass |
| 4.1.4.4 | Los registros de auditoría del sistema deben tener el modo 0750 o un modo menos permisivo | medio | pass |
| 4.1.4.5 | Verifica los permisos en /etc/audit/auditd.conf | medio | pass |
| 4.1.4.5 | Verifica los permisos en /etc/audit/rules.d/*.rules | medio | pass |
| 4.1.4.6 | Los archivos de configuración de auditoría deben ser propiedad del usuario raíz | medio | pass |
| 4.1.4.7 | Los archivos de configuración de auditoría deben ser propiedad del grupo raíz | medio | pass |
| 4.1.4.8 | Verifica que las herramientas de auditoría tengan el modo 0755 o menos. | medio | pass |
| 4.1.4.9 | Verifica que las herramientas de auditoría sean propiedad del administrador raíz | medio | pass |
| 4.1.4.10 | Verifica que las herramientas de auditoría sean propiedad de la raíz del grupo | medio | pass |
| 4.2.1.1.1 | Instala el paquete systemd-journal-remote | medio | pass |
| 4.2.1.1.4 | Inhabilita el socket systemd-journal-remote | medio | pass |
| 4.2.1.2 | Habilita el servicio systemd-journald | medio | pass |
| 4.2.1.3 | Asegúrate de que journald esté configurado para comprimir archivos de registro grandes | medio | pass |
| 4.2.1.4 | Asegúrate de que journald esté configurado para escribir archivos de registro en el disco persistente | medio | pass |
| 4.2.2.1 | Asegúrate de que rsyslog esté instalado | medio | pass |
| 4.2.2.2 | Habilita el servicio rsyslog | medio | pass |
| 4.2.2.4 | Asegúrate de que los permisos de archivo predeterminados de rsyslog estén configurados | medio | pass |
| 4.2.2.7 | Asegúrate de que rsyslog no acepte mensajes remotos, a menos que actúe como servidor de registro | medio | pass |
| 5.1.1 | Habilita el servicio de cron | medio | pass |
| 5.1.2 | Verifica el grupo propietario de Crontab | medio | pass |
| 5.1.2 | Verifica el propietario en crontab | medio | pass |
| 5.1.2 | Verifica los permisos en crontab | medio | pass |
| 5.1.3 | Verifica el grupo propietario de cron.hourly | medio | pass |
| 5.1.3 | Verifica el propietario en cron.hourly | medio | pass |
| 5.1.3 | Verifica los permisos en cron.hourly | medio | pass |
| 5.1.4 | Verifica el grupo que posee cron.daily | medio | pass |
| 5.1.4 | Verifica el propietario en cron.daily | medio | pass |
| 5.1.4 | Verifica los permisos en cron.daily | medio | pass |
| 5.1.5 | Verifica el grupo que posee cron.weekly | medio | pass |
| 5.1.5 | Verificar el propietario en cron.weekly | medio | pass |
| 5.1.5 | Verifica los permisos en cron.weekly | medio | pass |
| 5.1.6 | Verifica el grupo propietario de cron.monthly | medio | pass |
| 5.1.6 | Verifica el propietario en cron.monthly | medio | pass |
| 5.1.6 | Verifica los permisos en cron.monthly | medio | pass |
| 5.1.7 | Verifica el grupo propietario de cron.d | medio | pass |
| 5.1.7 | Verifica el propietario en cron.d | medio | pass |
| 5.1.7 | Verifica los permisos en cron.d | medio | pass |
| 5.1.8 | Asegúrate de que no exista /etc/cron.deny | medio | pass |
| 5.1.8 | Verifica el grupo propietario del archivo /etc/cron.allow | medio | pass |
| 5.1.8 | Verifica los permisos en el archivo /etc/cron.allow | medio | pass |
| 5.1.8 | Verifica el usuario propietario del archivo /etc/cron.allow | medio | pass |
| 5.1.9 | Asegúrate de que no exista /etc/at.deny | medio | pass |
| 5.1.9 | Verifica el grupo propietario del archivo /etc/at.allow | medio | pass |
| 5.1.9 | Verifica los permisos en el archivo /etc/at.allow | medio | pass |
| 5.1.9 | Verifica el usuario propietario del archivo /etc/at.allow | medio | pass |
| 5.2.1 | Verifica el grupo propietario del archivo de configuración del servidor SSH | medio | pass |
| 5.2.1 | Verifica el propietario en el archivo de configuración del servidor SSH | medio | pass |
| 5.2.1 | Verifica los permisos en el archivo de configuración del servidor SSH | medio | pass |
| 5.2.2 | Verifica los permisos en los archivos de claves privadas *_key del servidor SSH | medio | pass |
| 5.2.3 | Verifica los permisos en los archivos de clave pública *.pub del servidor SSH | medio | pass |
| 5.2.5 | Establece LogLevel en INFO | bajo | pass |
| 5.2.6 | Habilitar PAM | medio | pass |
| 5.2.7 | Inhabilita el acceso raíz de SSH | medio | pass |
| 5.2.8 | Inhabilita la autenticación basada en host | medio | pass |
| 5.2.9 | Inhabilita el acceso SSH a través de contraseñas vacías | alto | pass |
| 5.2.10 | No permitir opciones de entorno de SSH | medio | pass |
| 5.2.11 | Inhabilita la compatibilidad con SSH para archivos .rhosts | medio | pass |
| 5.2.12 | Inhabilita el reenvío de X11 | medio | pass |
| 5.2.13 | Usa solo algoritmos de cifrado sólidos | medio | pass |
| 5.2.14 | Usa solo MAC sólidas | medio | pass |
| 5.2.15 | Usar solo algoritmos de intercambio de claves sólidos | medio | pass |
| 5.2.16 | Inhabilita el reenvío de TCP de SSH | medio | pass |
| 5.2.17 | Habilita el banner de advertencia de SSH | medio | pass |
| 5.2.18 | Cómo establecer el límite de intentos de autenticación por SSH | medio | pass |
| 5.2.19 | Asegúrate de que SSH MaxStartups esté configurado | medio | pass |
| 5.2.20 | Cómo establecer el límite de MaxSessions de SSH | medio | pass |
| 5.2.21 | Asegúrate de que SSH LoginGraceTime esté configurado | medio | pass |
| 5.2.22 | Establece el parámetro de configuración Set SSH Client Alive Count Max | medio | pass |
| 5.2.22 | Cómo establecer el intervalo de actividad del cliente SSH | medio | pass |
| 5.3.1 | Instala el paquete sudo | medio | pass |
| 5.3.2 | Garantiza que solo los usuarios que accedieron a una tty real puedan ejecutar sudo: sudo use_pty | medio | pass |
| 5.3.3 | Garantiza que exista el archivo de registro de sudo: sudo logfile | bajo | pass |
| 5.3.5 | Garantiza que los usuarios vuelvan a autenticarse para la elevación de privilegios: sudo !authenticate | medio | pass |
| 5.3.6 | Cómo requerir la reautenticación cuando se usa el comando sudo | medio | pass |
| 5.3.7 | Aplicar el uso de pam_wheel con el parámetro de grupo para la autenticación de su | medio | pass |
| 5.3.7 | Asegúrate de que el grupo que usa el módulo pam_wheel exista en el sistema y esté vacío | medio | pass |
| 5.4.1 | Asegúrate de que el PAM aplique los requisitos de contraseñas: se permiten mensajes de reintento de autenticación por sesión | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseñas: categorías mínimas diferentes | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseña: cantidad mínima de caracteres numéricos | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseña: longitud mínima | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseña: cantidad mínima de caracteres en minúscula | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseñas: caracteres especiales mínimos | medio | pass |
| 5.4.1 | Asegúrate de que PAM aplique los requisitos de contraseñas: cantidad mínima de caracteres en mayúsculas | medio | pass |
| 5.4.1 | Instala el paquete pam_pwquality | medio | pass |
| 5.4.2 | Bloquear cuentas después de intentos de acceso fallidos por contraseña incorrecta | medio | pass |
| 5.4.2 | Establece el intervalo para contar los intentos de acceso fallidos por contraseña incorrecta | medio | pass |
| 5.4.2 | Cómo establecer el tiempo de bloqueo para los intentos de contraseña fallidos | medio | pass |
| 5.4.3 | Limita la reutilización de contraseñas | medio | pass |
| 5.4.4 | Cómo establecer el algoritmo de hash de contraseñas en /etc/login.defs | medio | pass |
| 5.5.1.1 | Establece la antigüedad mínima de las contraseñas existentes | medio | pass |
| 5.5.1.1 | Establece la antigüedad mínima de la contraseña | medio | pass |
| 5.5.1.2 | Establece la antigüedad máxima de las contraseñas existentes | medio | pass |
| 5.5.1.3 | Establece la antigüedad de la advertencia de contraseña | medio | pass |
| 5.5.1.4 | Cómo establecer el vencimiento de la cuenta después de un período de inactividad | medio | pass |
| 5.5.1.5 | Asegúrate de que la fecha del último cambio de contraseña de todos los usuarios sea anterior a la actual. | medio | pass |
| 5.5.2 | Asegúrate de que las cuentas del sistema no ejecuten un shell cuando se accede | medio | pass |
| 5.5.3 | Verifica que la raíz tenga un GID principal 0 | alto | pass |
| 5.5.4 | Asegúrate de que la máscara predeterminada de Bash esté configurada correctamente | medio | pass |
| 5.5.4 | Asegúrate de que la máscara de bits predeterminada esté configurada correctamente para los usuarios interactivos | medio | pass |
| 5.5.4 | Asegúrate de que la máscara de bits predeterminada esté configurada correctamente en /etc/profile | medio | pass |
| 5.5.4 | Asegúrate de que la máscara de bits predeterminada esté configurada correctamente en login.defs | medio | pass |
| 5.5.5 | Cómo configurar el tiempo de espera de la sesión interactiva | medio | pass |
| 6.1.1 | Verifica el grupo propietario del archivo passwd | medio | pass |
| 6.1.1 | Verifica los permisos en el archivo passwd | medio | pass |
| 6.1.1 | Verifica el usuario propietario del archivo passwd | medio | pass |
| 6.1.2 | Verifica el grupo propietario del archivo passwd de copia de seguridad | medio | pass |
| 6.1.2 | Verifica los permisos en el archivo passwd de la copia de seguridad | medio | pass |
| 6.1.2 | Verifica el usuario que posee el archivo passwd de la copia de seguridad | medio | pass |
| 6.1.3 | Verifica el grupo propietario del archivo del grupo | medio | pass |
| 6.1.3 | Verifica los permisos del archivo del grupo | medio | pass |
| 6.1.3 | Verifica el usuario propietario del archivo de grupo | medio | pass |
| 6.1.4 | Verifica el grupo que posee el archivo del grupo de copias de seguridad | medio | pass |
| 6.1.4 | Verifica los permisos en el archivo del grupo de copias de seguridad | medio | pass |
| 6.1.4 | Verifica el archivo del grupo de usuarios que son propietarios de la copia de seguridad | medio | pass |
| 6.1.5 | Verifica el grupo propietario del archivo sombra | medio | pass |
| 6.1.5 | Verifica los permisos en el archivo sombra | medio | pass |
| 6.1.5 | Verifica el usuario propietario del archivo sombra | medio | pass |
| 6.1.6 | Verifica el grupo que posee el archivo de sombra de la copia de seguridad | medio | pass |
| 6.1.6 | Verifica los permisos en el archivo de copia de seguridad temporal | medio | pass |
| 6.1.6 | Verifica el usuario propietario del archivo de copia de seguridad sombra | medio | pass |
| 6.1.7 | Verifica el grupo que posee el archivo gshadow | medio | pass |
| 6.1.7 | Verifica los permisos en el archivo gshadow | medio | pass |
| 6.1.7 | Verifica el usuario propietario del archivo gshadow | medio | pass |
| 6.1.8 | Verifica el grupo que posee el archivo gshadow de copia de seguridad | medio | pass |
| 6.1.8 | Verifica los permisos en el archivo gshadow de copia de seguridad | medio | pass |
| 6.1.8 | Verifica el usuario propietario del archivo gshadow de copia de seguridad | medio | pass |
| 6.1.10 | Garantiza que un usuario sea el propietario de todos los archivos | medio | pass |
| 6.2.1 | Verifica que todos los hashes de contraseñas de la cuenta estén ocultos | medio | pass |
| 6.2.2 | Asegúrate de que no haya cuentas con contraseñas en blanco o nulas | alto | pass |
| 6.2.3 | Todos los GID a los que se hace referencia en /etc/passwd deben definirse en /etc/group | bajo | pass |
| 6.2.4 | Asegúrate de que el grupo secundario esté vacío | medio | pass |
| 6.2.5 | Asegúrate de que todas las cuentas del sistema tengan IDs de usuario únicos | medio | pass |
| 6.2.6 | Asegúrate de que todos los grupos del sistema tengan un ID de grupo único | medio | pass |
| 6.2.7 | Asegúrate de que todas las cuentas del sistema tengan nombres únicos | medio | pass |
| 6.2.8 | Asegúrate de que todos los grupos del sistema tengan nombres únicos | medio | pass |
| 6.2.9 | Asegúrate de que la ruta raíz no incluya rutas relativas ni directorios nulos | desconocido | pass |
| 6.2.9 | Asegúrate de que la ruta raíz no incluya directorios con permisos de escritura para el grupo o el mundo | medio | pass |
| 6.2.10 | Verifica que solo la raíz tenga el UID 0 | alto | pass |
| 6.2.11 | Todos los directorios principales de los usuarios interactivos deben existir | medio | pass |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del grupo principal | medio | pass |
| 6.2.12 | Todos los directorios principales de usuarios interactivos deben ser propiedad del usuario principal | medio | pass |
| 6.2.13 | Todos los directorios principales de usuarios interactivos deben tener el modo 0750 o menos permisivo | medio | pass |
| 6.2.14 | Verifica que no existan archivos .netrc | medio | pass |
| 6.2.15 | Verifica que no existan archivos .forward | medio | pass |
| 6.2.16 | Cómo quitar archivos de confianza de Rsh | alto | pass |
| 6.2.17 | Los archivos de inicialización del usuario deben ser propiedad del grupo principal. | medio | pass |
| 6.2.17 | Los archivos de inicialización del usuario deben ser propiedad del usuario principal | medio | pass |
| 6.2.17 | Los archivos de inicialización del usuario no deben ejecutar programas con permisos de escritura para todos | medio | pass |
Recomendaciones no aplicables
En la siguiente tabla, se enumeran las recomendaciones que no se aplican a Google Distributed Cloud.
| # | Recomendación | Gravedad | Estado |
|---|---|---|---|
| 1.1.2.2 | Se agregó la opción nodev a /tmp | medio | notapplicable |
| 1.1.2.3 | Agrega la opción noexec a /tmp | medio | notapplicable |
| 1.1.2.4 | Agrega la opción nosuid a /tmp | medio | notapplicable |
| 1.1.3.2 | Agrega la opción nodev a /var | medio | notapplicable |
| 1.1.3.3 | Agrega la opción nosuid a /var | medio | notapplicable |
| 1.1.4.2 | Agrega la opción noexec a /var/tmp | medio | notapplicable |
| 1.1.4.3 | Agrega la opción nosuid a /var/tmp | medio | notapplicable |
| 1.1.4.4 | Se agregó la opción nodev a /var/tmp | medio | notapplicable |
| 1.1.5.2 | Se agregó la opción nodev a /var/log | medio | notapplicable |
| 1.1.5.3 | Agrega la opción noexec a /var/log | medio | notapplicable |
| 1.1.5.4 | Agrega la opción nosuid a /var/log | medio | notapplicable |
| 1.1.6.2 | Agrega la opción noexec a /var/log/audit | medio | notapplicable |
| 1.1.6.3 | Agrega la opción nodev a /var/log/audit | medio | notapplicable |
| 1.1.6.4 | Agrega la opción nosuid a /var/log/audit | medio | notapplicable |
| 1.1.7.2 | Se agregó la opción nodev a /home | desconocido | notapplicable |
| 1.1.7.3 | Se agregó la opción nosuid a /home | medio | notapplicable |
| 1.4.1 | Cómo establecer la contraseña del cargador de inicio UEFI | alto | notapplicable |
| 1.8.1 | Quita el grupo de paquetes de GDM | medio | notapplicable |
| 1.8.4 | Habilita el bloqueo del protector de pantalla de GNOME3 después de un período de inactividad | medio | notapplicable |
| 1.8.5 | Cómo establecer el retraso del bloqueo del protector de pantalla de GNOME3 después del período de activación | medio | notapplicable |
| 1.8.6 | Inhabilita la apertura del montaje automático de GNOME3 | medio | notapplicable |
| 1.8.6 | Inhabilita el montaje automático de GNOME3 | medio | notapplicable |
| 1.8.8 | Inhabilita la ejecución del automontaje de GNOME3 | bajo | notapplicable |
| 1.8.10 | Inhabilita XDMCP en GDM | alto | notapplicable |
| 1.10 | Configura el perfil de usuario de DConf de GNOME3 | alto | notapplicable |
| 2.1.4.1 | Configura las restricciones del servidor para ntpd | medio | notapplicable |
| 2.1.4.3 | Configura ntpd para que se ejecute como usuario de ntp | medio | notapplicable |
| 2.1.4.4 | Habilita el daemon de NTP | alto | notapplicable |
| 2.2.15 | Inhabilita la escucha de red de Postfix | medio | notapplicable |
| 3.5.1.3 | Verifica que ufw esté habilitado | medio | notapplicable |
| 3.5.1.4 | Cómo establecer el tráfico de bucle invertido de UFW | medio | notapplicable |
| 3.5.1.6 | Asegúrate de que las reglas de firewall de ufw existan para todos los puertos abiertos | medio | notapplicable |
| 3.5.1.7 | Asegúrate de que la política de denegación de firewall predeterminada de ufw esté habilitada | medio | notapplicable |
| 3.5.3.2.1 | Cómo establecer la política predeterminada de iptables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.2.2 | Cómo establecer la configuración del tráfico de bucle invertido | medio | notapplicable |
| 3.5.3.2.4 | Asegúrate de que las reglas de firewall de iptables existan para todos los puertos abiertos | medio | notapplicable |
| 3.5.3.3.1 | Cómo establecer la política predeterminada de ip6tables para los paquetes entrantes | medio | notapplicable |
| 3.5.3.3.4 | Asegúrate de que existan reglas de firewall de ip6tables para todos los puertos abiertos | medio | notapplicable |
Configura un trabajo cron de AIDE
AIDE es una herramienta de verificación de integridad de archivos que verifica el cumplimiento de la comparativa CIS L1 Server 1.4 Filesystem Integrity Checking. En Google Distributed Cloud, el proceso AIDE generó problemas de alto uso de recursos.
El proceso de AIDE en los nodos está inhabilitado de forma predeterminada para evitar problemas de recursos. Esto afectará el cumplimiento de la comparativa de CIS L1 Server 1.4.2: Ensure
filesystem integrity is regularly checked.
Si deseas aceptar y ejecutar el trabajo cron de AIDE, completa los siguientes pasos para volver a habilitar AIDE:
Crea un DaemonSet.
A continuación, se muestra un manifiesto para un DaemonSet:
apiVersion: apps/v1 kind: DaemonSet metadata: name: enable-aide-pool1 spec: selector: matchLabels: app: enable-aide-pool1 template: metadata: labels: app: enable-aide-pool1 spec: hostIPC: true hostPID: true nodeSelector: cloud.google.com/gke-nodepool: pool-1 containers: - name: update-audit-rule image: ubuntu command: ["chroot", "/host", "bash", "-c"] args: - | set -x while true; do # change daily cronjob schedule minute=30;hour=5 sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab # enable aide chmod 755 /etc/cron.daily/aide sleep 3600 done volumeMounts: - name: host mountPath: /host securityContext: privileged: true volumes: - name: host hostPath: path: /En el manifiesto anterior, se dan estas situaciones:
El trabajo cron de AIDE solo se ejecutará en el grupo de nodos
pool-1según lo especificado por el nodeSelectorcloud.google.com/gke-nodepool: pool-1. Puedes configurar el proceso de AIDE para que se ejecute en tantos grupos de nodos como desees si especificas los grupos en el camponodeSelector. Para ejecutar la misma programación de trabajo cron en diferentes grupos de nodos, quita el camponodeSelector. Sin embargo, para evitar las congestión de recursos del host, te recomendamos que mantengas programas independientes.El trabajo cron está programado para ejecutarse a las 5:30 a.m. según lo especificado por la configuración
minute=30;hour=5. Puedes configurar diferentes programas para el trabajo cron de AIDE según sea necesario.
Copia el manifiesto en un archivo llamado
enable-aide.yamly crea el DaemonSet:kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
En el ejemplo anterior, USER_CLUSTER_KUBECONFIG es la ruta de acceso del archivo kubeconfig del clúster de usuario.
Usa la evaluación del Protocolo de automatización de contenido de seguridad (SCAP)
Te recomendamos que escanees tu instalación para evaluar su cumplimiento del nivel 2 con el benchmark de CIS de Ubuntu Linux. Hay una variedad de herramientas disponibles para analizar tus clústeres y la estación de trabajo de administrador. Puedes seguir estos pasos para instalar y ejecutar el conjunto de herramientas de código abierto OpenSCAP para realizar una evaluación de seguridad de nivel 2:
Copia la siguiente secuencia de comandos en un archivo llamado
cis-benchmark.sh:#!/bin/bash set -x REPORTS_DIR="$1" mkdir -p "${REPORTS_DIR}" echo "Start CIS L2 benchmark evaluation..." apt update apt install libopenscap8 sudo oscap xccdf eval \ --profile cis_level2_server_customized \ --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \ --results "${REPORTS_DIR}"/cis-results.xml \ --report "${REPORTS_DIR}"/cis-report.html \ --verbose INFO \ --verbose-log-file "${REPORTS_DIR}/cis-output-verbose.log" \ /etc/cloud/usg/ssg-ubuntu2204-ds-1.2.xml > "${REPORTS_DIR}"/cis-output.log 2>&1 chmod -R 755 "${REPORTS_DIR}/.." echo "Done CIS L2 benchmark evaluation"Haz que la secuencia de comandos sea ejecutable:
chmod +x cis-benchmark.shEjecuta la secuencia de comandos:
./cis-benchmark.sh REPORTS_DIRReemplaza
REPORTS_DIRpor la ruta de acceso a un directorio existente en el que deseas guardar el informe de evaluación generado.Cuando la secuencia de comandos se complete correctamente, el directorio
REPORTS_DIRcontendrá el archivocis-report.htmlgenerado.