CIS Ubuntu Benchmark

במאמר הזה מתואר רמת התאימות של Google Distributed Cloud ל-CIS Ubuntu Benchmark.

גישה להשוואה לשוק

המדד של CIS Ubuntu זמין באתר של CIS.

פרופיל להעלאת הגדרות אישיות

במסמך CIS Ubuntu Benchmark אפשר לקרוא על פרופילי הגדרה. תמונות Ubuntu שמשמשות את Google Distributed Cloud מוקשחות כדי לעמוד בדרישות של Level 2 – Server profile.

הערכה ב-Google Distributed Cloud

אנחנו משתמשים בערכים הבאים כדי לציין את הסטטוס של המלצות ל-Ubuntu ב-Google Distributed Cloud.

סטטוס	תיאור
לקבוע ערך (pass)	עומדת בהמלצה של מחיר מקובל בשוק.
נכשל	חורג מהמלצה להשוואה לשוק.
לא רלוונטי	לא רלוונטי לבדיקה במערכת שנבדקת.

סטטוס של Google Distributed Cloud

תמונות Ubuntu שמשמשות עם Google Distributed Cloud מוקשחות כדי לעמוד בדרישות של CIS Level 2 – Server profile. בטבלה הבאה מפורטות הסיבות לכך שרכיבים של Google Distributed Cloud לא עברו המלצות מסוימות. הטבלה הבאה לא כוללת מדדי השוואה לשוק עם סטטוס Passed.

‫1.33 ו-1.32

גרסאות

הקטע הזה מתייחס לגרסאות הבאות:

גרסה של Google Distributed Cloud	גרסת Ubuntu	גרסת CIS Ubuntu Benchmark	רמת CIS
‫1.32	‫22.04 LTS	v1.0.0	שרת ברמה 2

המלצות שנכשלו

בטבלה הבאה מפורטות ההמלצות שבהן Google Distributed Cloud חורג מההמלצות של ההשוואה. הממצאים האלה רלוונטיים לצמתי האשכולות ולתחנת העבודה של האדמין.

#	המלצה	חוּמרה	סטטוס
1.1.2.1	מוודאים שהמיקום /tmp נמצא במחיצה נפרדת	נמוך	נכשל
1.1.3.1	מוודאים שהמיקום /var נמצא במחיצה נפרדת	נמוך	נכשל
1.1.4.1	מוודאים שהמיקום /var/tmp נמצא במחיצה נפרדת	בינוני	נכשל
1.1.5.1	מוודאים שהמיקום /var/log נמצא במחיצה נפרדת	נמוך	נכשל
1.1.6.1	מוודאים שהמיקום של /var/log/audit הוא במחיצה נפרדת	נמוך	נכשל
1.1.7.1	מוודאים שהספרייה ‎ /home ממוקמת במחיצה נפרדת	נמוך	נכשל
1.4.1	הגדרת סיסמה לטוען האתחול ב-grub2	גבוה	נכשל
1.4.3	איך מוודאים שנדרש אימות למצב משתמש יחיד	בינוני	נכשל
2.3.6	הסרת חבילת rpcbind	נמוך	נכשל
3.2.2	השבתת פרמטר ליבה להעברת IP בממשקי IPv4	בינוני	נכשל
3.3.7	הפעלה של פרמטר ליבה כדי להשתמש בסינון נתיבים הפוך בכל ממשקי IPv4 כברירת מחדל	בינוני	נכשל
3.3.7	הפעלת פרמטר של ליבת המערכת כדי להשתמש בסינון נתיבים הפוך בכל ממשקי IPv4	בינוני	נכשל
3.5.2.8	מוודאים שמדיניות ברירת המחדל של חומת האש nftables היא דחייה	בינוני	נכשל
3.5.2.10	איך מוודאים שכללי nftables הם קבועים	בינוני	נכשל
4.2.3	אימות ההרשאות של קובצי יומן	בינוני	נכשל
5.2.4	הגבלת גישת SSH של משתמשים	לא ידוע	נכשל
5.3.4	איך מוודאים שהמשתמשים יבצעו אימות מחדש להרחבת הרשאות – sudo	בינוני	נכשל
5.5.1.2	הגדרת הגיל המקסימלי של הסיסמה	בינוני	נכשל

המלצות שיושמו

בטבלה הבאה מפורטות ההמלצות שבהן Google Distributed Cloud עומד בהשוואה להמלצות של נקודת ההשוואה.

#	המלצה	חוּמרה	סטטוס
1.1.1.1	השבתה של הרכבת cramfs	נמוך	לקבוע ערך (pass)
1.1.1.2	השבתה של הרכבת squashfs	נמוך	לקבוע ערך (pass)
1.1.1.3	השבתת הרכבה של udf	נמוך	לקבוע ערך (pass)
1.1.8.1	הוספת האפשרות nodev ל-‎ /dev/shm	בינוני	לקבוע ערך (pass)
1.1.8.2	הוספת האפשרות noexec ל-‎ /dev/shm	בינוני	לקבוע ערך (pass)
1.1.8.3	הוספת האפשרות nosuid ל-‎ /dev/shm	בינוני	לקבוע ערך (pass)
1.1.9	השבתת הכלי לטעינת מערכות קבצים באופן אוטומטי	בינוני	לקבוע ערך (pass)
1.1.10	השבתת טעינת מנהל התקן של אחסון USB באמצעות Modprobe	בינוני	לקבוע ערך (pass)
1.4.2	אימות ההרשאות של ‎ /boot/grub/grub.cfg	בינוני	לקבוע ערך (pass)
1.5.1	הפעלת פריסה אקראית של מרחב כתובות וירטואלי	בינוני	לקבוע ערך (pass)
1.5.2	החבילה prelink לא יכולה להיות מותקנת	בינוני	לקבוע ערך (pass)
1.5.3	השבתת שירות Apport	לא ידוע	לקבוע ערך (pass)
1.5.4	השבתת קובצי Core Dump לכל המשתמשים	בינוני	לקבוע ערך (pass)
1.5.4	השבתת קובצי Core Dump לתוכניות SUID	בינוני	לקבוע ערך (pass)
1.6.1.1	לוודא ש-AppArmor מותקן	בינוני	לקבוע ערך (pass)
1.6.1.2	מוודאים ש-AppArmor מופעל בהגדרות של תוכנת האתחול	בינוני	לקבוע ערך (pass)
1.6.1.4	אכיפה של כל פרופילי AppArmor	בינוני	לקבוע ערך (pass)
1.7.1	שינוי הבאנר של הודעת המערכת של היום	בינוני	לקבוע ערך (pass)
1.7.2	שינוי מודעת הבאנר להתחברות למערכת	בינוני	לקבוע ערך (pass)
1.7.3	שינוי באנר הכניסה למערכת לחיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.4	אימות הבעלות על קבוצה של באנר הודעת היום	בינוני	לקבוע ערך (pass)
1.7.4	אימות הבעלות על באנר ההודעה היומית	בינוני	לקבוע ערך (pass)
1.7.4	בדיקת ההרשאות בבאנר של הודעת היום	בינוני	לקבוע ערך (pass)
1.7.5	אימות בעלות קבוצתית על באנר הכניסה למערכת	בינוני	לקבוע ערך (pass)
1.7.5	אימות הבעלות על באנר הכניסה למערכת	בינוני	לקבוע ערך (pass)
1.7.5	אימות הרשאות בבאנר הכניסה למערכת	בינוני	לקבוע ערך (pass)
1.7.6	אימות הבעלות על קבוצה של באנר כניסה למערכת עבור חיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.6	אימות הבעלות על באנר הכניסה למערכת עבור חיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.6	בדיקת ההרשאות בבאנר הכניסה למערכת לחיבורים מרוחקים	בינוני	לקבוע ערך (pass)
2.1.1.1	התקנת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.1.3.2	הפעלת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.2.1	הסרה של קבוצת חבילות X Windows	בינוני	לקבוע ערך (pass)
2.2.2	השבתה של תוכנת שרת Avahi	בינוני	לקבוע ערך (pass)
2.2.2	הסרת חבילת השרת avahi	בינוני	לקבוע ערך (pass)
2.2.3	השבתת שירות CUPS	לא ידוע	לקבוע ערך (pass)
2.2.3	הסרת חבילת CUPS	לא ידוע	לקבוע ערך (pass)
2.2.4	הסרת חבילת שרת DHCP	בינוני	לקבוע ערך (pass)
2.2.5	הסרת החבילה openldap-servers	נמוך	לקבוע ערך (pass)
2.2.6	הסרת חבילת nfs-kernel-server	נמוך	לקבוע ערך (pass)
2.2.7	הסרת חבילת bind	נמוך	לקבוע ערך (pass)
2.2.8	הסרת חבילת vsftpd	גבוה	לקבוע ערך (pass)
2.2.9	הסרת חבילת httpd	לא ידוע	לקבוע ערך (pass)
2.2.9	הסרת חבילת nginx	לא ידוע	לקבוע ערך (pass)
2.2.10	הסרת חבילת cyrus-imapd	לא ידוע	לקבוע ערך (pass)
2.2.10	הסרת חבילת dovecot	לא ידוע	לקבוע ערך (pass)
2.2.11	הסרת חבילת Samba	לא ידוע	לקבוע ערך (pass)
2.2.12	הסרת חבילת squid	לא ידוע	לקבוע ערך (pass)
2.2.13	הסרת חבילת net-snmp	לא ידוע	לקבוע ערך (pass)
2.2.14	הסרת חבילת ה-NIS	נמוך	לקבוע ערך (pass)
2.2.15	מוודאים שסוכן העברת הדואר לא מאזין לכתובת שאינה כתובת לולאה חוזרת	בינוני	לקבוע ערך (pass)
2.2.16	הסרת חבילת rsync	בינוני	לקבוע ערך (pass)
2.3.2	הסרת חבילת rsh	לא ידוע	לקבוע ערך (pass)
2.3.3	הסרת חבילת talk	בינוני	לקבוע ערך (pass)
2.3.4	הסרת לקוחות telnet	נמוך	לקבוע ערך (pass)
2.3.5	מוודאים שלקוח LDAP לא מותקן	נמוך	לקבוע ערך (pass)
3.1.2	השבתה של ממשקי רשת אלחוטית	בינוני	לקבוע ערך (pass)
3.2.1	השבתת פרמטר הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.2.1	השבתת פרמטר הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.2.2	השבתת פרמטר ליבה להעברת IPv6	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת מנות עם ניתוב ממקור לכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות עם ניתוב ממקור לכל ממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות עם ניתוב ממקור בממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות עם ניתוב לפי מקור בממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.2	השבתת האפשרות לקבל הפניות אוטומטיות של ICMP לכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.2	השבתה של קבלת הפניות אוטומטיות של ICMP לכל ממשקי ה-IPv6	בינוני	לקבוע ערך (pass)
3.3.2	השבתה של פרמטר ליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.2	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.3	הגדרת פרמטר של ליבת המערכת לקבלת הפניות אוטומטיות מאובטחות כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.3	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות מאובטחות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.4	הפעלת פרמטר של ליבת המערכת כדי לרשום ביומן מנות Martian בכל ממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.4	הפעלת פרמטר ליבה לרישום ביומן של חבילות Martian בכל ממשקי IPv4 כברירת מחדל	לא ידוע	לקבוע ערך (pass)
3.3.5	הפעלה של פרמטר ליבה להתעלמות מבקשות ICMP Broadcast Echo בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.6	הפעלת פרמטר ליבה להתעלמות מתגובות שגיאה מזויפות של ICMP בממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.8	הפעלת פרמטר ליבה לשימוש ב-TCP Syncookies בממשקי רשת	בינוני	לקבוע ערך (pass)
3.3.9	הגדרה של קבלת הודעות על נתבים בכל הממשקים של IPv6	בינוני	לקבוע ערך (pass)
3.3.9	השבתה של קבלת הודעות פרסום של נתבים בכל ממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.4.1	השבתה של התמיכה ב-DCCP	בינוני	לקבוע ערך (pass)
3.4.2	השבתת התמיכה ב-SCTP	בינוני	לקבוע ערך (pass)
3.4.3	השבתת התמיכה ב-RDS	נמוך	לקבוע ערך (pass)
3.4.4	השבתת התמיכה ב-TIPC	נמוך	לקבוע ערך (pass)
3.5.1.2	הסרת חבילת iptables-persistent	בינוני	לקבוע ערך (pass)
3.5.2.1	התקנת חבילת nftables	בינוני	לקבוע ערך (pass)
3.5.2.4	בדיקה שקיימת טבלה עבור Nftables	בינוני	לקבוע ערך (pass)
3.5.2.5	איך מוודאים שקיימות שרשרות בסיס עבור Nftables	בינוני	לקבוע ערך (pass)
3.5.2.9	אימות של הפעלת שירות nftables	בינוני	לקבוע ערך (pass)
3.5.3.1.1	התקנת חבילת iptables	בינוני	לקבוע ערך (pass)
3.5.3.1.3	הסרת חבילת ufw	בינוני	לקבוע ערך (pass)
4.1.1.1	מוודאים שמערכת המשנה לביקורת מותקנת	בינוני	לקבוע ערך (pass)
4.1.1.2	הפעלת שירות auditd	בינוני	לקבוע ערך (pass)
4.1.1.4	הארכת המגבלה של יומן הביקורת עבור שד הביקורת	נמוך	לקבוע ערך (pass)
4.1.2.1	הגדרה של גודל קובץ היומן המקסימלי ב-auditd	בינוני	לקבוע ערך (pass)
4.1.2.2	הגדרה של auditd max_log_file_action כשמגיעים לגודל היומן המקסימלי	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת הפעולה admin_space_left של auditd כשאין מספיק נפח אחסון	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת פעולה של mail_acct ב-auditd כשנפח האחסון נמוך	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת הפעולה space_left של auditd במצב של נפח אחסון נמוך	בינוני	לקבוע ערך (pass)
4.1.3.1	איך מוודאים ש-auditd אוסף פעולות של אדמינים	בינוני	לקבוע ערך (pass)
4.1.3.2	הקלטת אירועים כשמופעלים קובצי הפעלה עם הרשאות	בינוני	לקבוע ערך (pass)
4.1.3.3	תיעוד ניסיונות לביצוע פעולות תחזוקה	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי הקובץ localtime	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי השעה באמצעות adjtimex	בינוני	לקבוע ערך (pass)
4.1.3.4	ניסיונות להקלטת שינוי השעה באמצעות clock_settime	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי השעה באמצעות settimeofday	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי השעה באמצעות stime	בינוני	לקבוע ערך (pass)
4.1.3.5	תיעוד אירועים שמשנים את סביבת הרשת של המערכת	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – su	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות מיוחדות – sudo	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות מיוחדות – sudoedit	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – umount	בינוני	לקבוע ערך (pass)
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - unix_chkpwd	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לקבצים שלא צלחו – יצירה	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לא מוצלחים לקבצים – ftruncate	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לקבצים שנכשלו – פתוח	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לקבצים שנכשלו – openat	בינוני	לקבוע ערך (pass)
4.1.3.7	Record Unsuccessful Access Attempts to Files - truncate	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים את פרטי המשתמש או הקבוצה – /etc/group	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/gshadow	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/passwd	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/security/opasswd	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/shadow	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – chmod	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – chown	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchmod	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchmodat	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchown	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchownat	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fremovexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fsetxattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – lchown	בינוני	לקבוע ערך (pass)
4.1.3.9	רישום אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – lremovexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – lsetxattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – removexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – setxattr	בינוני	לקבוע ערך (pass)
4.1.3.10	מוודאים ש-auditd אוסף מידע על ייצוא למדיה (הצלחה)	בינוני	לקבוע ערך (pass)
4.1.3.11	תיעוד ניסיונות לשינוי פרטים על התהליך והפעלת הסשן	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשינוי אירועי כניסה ויציאה – faillog	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשינוי אירועי כניסה ויציאה – lastlog	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשינוי אירועי כניסה ויציאה – tallylog	בינוני	לקבוע ערך (pass)
4.1.3.13	Ensure auditd Collects File Deletion Events by User - rename	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – renameat	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – unlink	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – unlinkat	בינוני	לקבוע ערך (pass)
4.1.3.14	תיעוד אירועים שמשנים את אמצעי בקרת הגישה המחייבים של המערכת	בינוני	לקבוע ערך (pass)
4.1.3.15	הקלטה של כל הניסיונות להפעיל את chcon	בינוני	לקבוע ערך (pass)
4.1.3.16	הקלטה של כל הניסיונות להריץ את הפקודה setfacl	בינוני	לקבוע ערך (pass)
4.1.3.17	הקלטה של כל הניסיונות להריץ את הפקודה chacl	בינוני	לקבוע ערך (pass)
4.1.3.18	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – usermod	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על טעינת מודול ליבה – init_module	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על ביטול הטעינה של מודול ליבה – delete_module	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – insmod	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – modprobe	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות מיוחדות – rmmod	בינוני	לקבוע ערך (pass)
4.1.3.20	הפיכת ההגדרה של auditd לבלתי ניתנת לשינוי	בינוני	לקבוע ערך (pass)
4.1.4.1	יומני ביקורת של המערכת צריכים להיות במצב 0640 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
4.1.4.2	יומני הביקורת של המערכת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
4.1.4.3	יומני הביקורת של המערכת צריכים להיות בבעלות של קבוצת Root	בינוני	לקבוע ערך (pass)
4.1.4.4	יומני ביקורת של המערכת צריכים להיות במצב 0750 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
4.1.4.5	בדיקת ההרשאות ב-‎ /etc/audit/auditd.conf	בינוני	לקבוע ערך (pass)
4.1.4.5	בדיקת ההרשאות ב-‎ /etc/audit/rules.d/*.rules	בינוני	לקבוע ערך (pass)
4.1.4.6	קובצי תצורה של ביקורת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
4.1.4.7	קובצי תצורה של ביקורת צריכים להיות בבעלות של קבוצת root	בינוני	לקבוע ערך (pass)
4.1.4.8	אימות שלכלי הביקורת יש מצב 0755 או פחות	בינוני	לקבוע ערך (pass)
4.1.4.9	אימות הבעלות על כלי הביקורת על ידי משתמש על	בינוני	לקבוע ערך (pass)
4.1.4.10	אימות הבעלות על כלי הביקורת על ידי קבוצת הבסיס	בינוני	לקבוע ערך (pass)
4.2.1.1.1	התקנת חבילת systemd-journal-remote	בינוני	לקבוע ערך (pass)
4.2.1.1.4	השבתה של שקע systemd-journal-remote	בינוני	לקבוע ערך (pass)
4.2.1.2	הפעלת השירות systemd-journald	בינוני	לקבוע ערך (pass)
4.2.1.3	מוודאים ש-journald מוגדר לדחיסת קובצי יומן גדולים	בינוני	לקבוע ערך (pass)
4.2.1.4	מוודאים ש-journald מוגדר לכתוב קבצים של יומני אירועים לדיסק אחסון מתמיד (persistent disk)	בינוני	לקבוע ערך (pass)
4.2.2.1	מוודאים ש-rsyslog מותקן	בינוני	לקבוע ערך (pass)
4.2.2.2	הפעלת שירות rsyslog	בינוני	לקבוע ערך (pass)
4.2.2.4	מוודאים שהוגדרו הרשאות ברירת המחדל לקובץ rsyslog	בינוני	לקבוע ערך (pass)
4.2.2.7	מוודאים ש-rsyslog לא מקבל הודעות מרחוק אלא אם הוא פועל כשרת יומן	בינוני	לקבוע ערך (pass)
5.1.1	הפעלת שירות cron	בינוני	לקבוע ערך (pass)
5.1.2	אימות הקבוצה שבבעלותה קובץ ה-Crontab	בינוני	לקבוע ערך (pass)
5.1.2	אימות הבעלים ב-crontab	בינוני	לקבוע ערך (pass)
5.1.2	בדיקת ההרשאות ב-crontab	בינוני	לקבוע ערך (pass)
5.1.3	אימות הקבוצה שהיא הבעלים של cron.hourly	בינוני	לקבוע ערך (pass)
5.1.3	אימות הבעלים ב-cron.hourly	בינוני	לקבוע ערך (pass)
5.1.3	בדיקת ההרשאות ב-cron.hourly	בינוני	לקבוע ערך (pass)
5.1.4	אימות הקבוצה שהיא הבעלים של cron.daily	בינוני	לקבוע ערך (pass)
5.1.4	אימות הבעלים ב-cron.daily	בינוני	לקבוע ערך (pass)
5.1.4	בדיקת ההרשאות ב-cron.daily	בינוני	לקבוע ערך (pass)
5.1.5	אימות הקבוצה שהיא הבעלים של cron.weekly	בינוני	לקבוע ערך (pass)
5.1.5	אימות הבעלים ב-cron.weekly	בינוני	לקבוע ערך (pass)
5.1.5	בדיקת ההרשאות ב-cron.weekly	בינוני	לקבוע ערך (pass)
5.1.6	אימות הקבוצה שהיא הבעלים של cron.monthly	בינוני	לקבוע ערך (pass)
5.1.6	אימות הבעלים ב-cron.monthly	בינוני	לקבוע ערך (pass)
5.1.6	אימות ההרשאות ב-cron.monthly	בינוני	לקבוע ערך (pass)
5.1.7	אימות הקבוצה שבבעלותה cron.d	בינוני	לקבוע ערך (pass)
5.1.7	אימות הבעלים ב-cron.d	בינוני	לקבוע ערך (pass)
5.1.7	בדיקת ההרשאות ב-cron.d	בינוני	לקבוע ערך (pass)
5.1.8	מוודאים שהקובץ ‎ /etc/cron.deny לא קיים	בינוני	לקבוע ערך (pass)
5.1.8	אימות הקבוצה שהיא הבעלים של הקובץ ‎ /etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.8	בדיקת ההרשאות בקובץ ‎ /etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.8	אימות המשתמש שהוא הבעלים של הקובץ ‎ /etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.9	מוודאים שהקובץ ‎ /etc/at.deny לא קיים	בינוני	לקבוע ערך (pass)
5.1.9	אימות הקבוצה שבבעלותה הקובץ ‎ /etc/at.allow	בינוני	לקבוע ערך (pass)
5.1.9	בדיקת ההרשאות בקובץ ‎ /etc/at.allow	בינוני	לקבוע ערך (pass)
5.1.9	אימות המשתמש שהוא הבעלים של הקובץ ‎ /etc/at.allow	בינוני	לקבוע ערך (pass)
5.2.1	אימות הקבוצה שהיא הבעלים של קובץ התצורה של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.1	אימות הבעלים בקובץ התצורה של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.1	בדיקת ההרשאות בקובץ התצורה של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.2	בדיקת ההרשאות בקובצי מפתח פרטי של שרת SSH מסוג *_key	בינוני	לקבוע ערך (pass)
5.2.3	אימות ההרשאות בקובצי מפתח ציבורי ‎ *.pub של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.5	מגדירים את LogLevel ל-INFO	נמוך	לקבוע ערך (pass)
5.2.6	הפעלת PAM	בינוני	לקבוע ערך (pass)
5.2.7	השבתת כניסת Root באמצעות SSH	בינוני	לקבוע ערך (pass)
5.2.8	השבתת אימות מבוסס-מארח	בינוני	לקבוע ערך (pass)
5.2.9	השבתת גישת SSH באמצעות סיסמאות ריקות	גבוה	לקבוע ערך (pass)
5.2.10	לא לאפשר אפשרויות סביבה של SSH	בינוני	לקבוע ערך (pass)
5.2.11	השבתת התמיכה ב-SSH בקובצי ‎ .rhosts	בינוני	לקבוע ערך (pass)
5.2.12	השבתת העברת X11	בינוני	לקבוע ערך (pass)
5.2.13	שימוש רק בהצפנות חזקות	בינוני	לקבוע ערך (pass)
5.2.14	שימוש רק בכתובות MAC חזקות	בינוני	לקבוע ערך (pass)
5.2.15	שימוש רק באלגוריתמים חזקים של חילופי מפתחות	בינוני	לקבוע ערך (pass)
5.2.16	השבתה של העברת TCP ב-SSH	בינוני	לקבוע ערך (pass)
5.2.17	הפעלת הודעת אזהרה ב-SSH	בינוני	לקבוע ערך (pass)
5.2.18	הגדרת מגבלת ניסיונות אימות SSH	בינוני	לקבוע ערך (pass)
5.2.19	מוודאים שההגדרה SSH MaxStartups מוגדרת	בינוני	לקבוע ערך (pass)
5.2.20	הגדרת מגבלה ל-MaxSessions ב-SSH	בינוני	לקבוע ערך (pass)
5.2.21	מוודאים שההגדרה SSH LoginGraceTime מוגדרת	בינוני	לקבוע ערך (pass)
5.2.22	הגדרת הערך המקסימלי של SSH Client Alive Count	בינוני	לקבוע ערך (pass)
5.2.22	הגדרת אינטרוול של פעילות לקוח SSH	בינוני	לקבוע ערך (pass)
5.3.1	התקנת חבילת sudo	בינוני	לקבוע ערך (pass)
5.3.2	הבטחה שרק משתמשים שמחוברים ל-tty אמיתי יוכלו להריץ sudo – sudo use_pty	בינוני	לקבוע ערך (pass)
5.3.3	מוודאים שקובץ היומן של Sudo קיים – sudo logfile	נמוך	לקבוע ערך (pass)
5.3.5	אימות מחדש של משתמשים להרחבת הרשאות – sudo !authenticate	בינוני	לקבוע ערך (pass)
5.3.6	דרישה לאימות מחדש כשמשתמשים בפקודה sudo	בינוני	לקבוע ערך (pass)
5.3.7	אכיפת שימוש ב-pam_wheel עם פרמטר Group לאימות su	בינוני	לקבוע ערך (pass)
5.3.7	מוודאים שהקבוצה שמשמשת את מודול pam_wheel קיימת במערכת ושהיא ריקה	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מותרות הנחיות לניסיון חוזר של אימות לכל הפעלה	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים שמערכת PAM אוכפת דרישות סיסמה – מינימום קטגוריות שונות	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של תווים מספריים	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את הדרישות לסיסמאות – אורך מינימלי	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות קטנות	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את הדרישות לגבי סיסמאות – מספר מינימלי של תווים מיוחדים	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות רישיות	בינוני	לקבוע ערך (pass)
5.4.1	התקנת חבילת pam_pwquality	בינוני	לקבוע ערך (pass)
5.4.2	נעילת חשבונות אחרי ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.2	הגדרת מרווח הזמן לספירת ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.2	הגדרת זמן נעילה לניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.3	הגבלת שימוש חוזר בסיסמה	בינוני	לקבוע ערך (pass)
5.4.4	הגדרת אלגוריתם גיבוב סיסמאות ב-‎ /etc/login.defs	בינוני	לקבוע ערך (pass)
5.5.1.1	הגדרת הגיל המינימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.5.1.1	הגדרת הגיל המינימלי של הסיסמה	בינוני	לקבוע ערך (pass)
5.5.1.2	הגדרת הגיל המקסימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.5.1.3	הגדרת משך הזמן שבו מוצגת אזהרה לגבי סיסמה	בינוני	לקבוע ערך (pass)
5.5.1.4	הגדרת תפוגה של חשבון בעקבות חוסר פעילות	בינוני	לקבוע ערך (pass)
5.5.1.5	מוודאים שכל המשתמשים שינו את הסיסמה שלהם בעבר	בינוני	לקבוע ערך (pass)
5.5.2	מוודאים שחשבונות מערכת לא מריצים מעטפת לאחר הכניסה	בינוני	לקבוע ערך (pass)
5.5.3	אימות שלמשתמש Root יש GID ראשי 0	גבוה	לקבוע ערך (pass)
5.5.4	מוודאים ש-Default Bash Umask מוגדר בצורה נכונה	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שערך ברירת המחדל של Umask מוגדר בצורה נכונה עבור משתמשים אינטראקטיביים	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שערך ברירת המחדל של Umask מוגדר בצורה נכונה ב-‎ /etc/profile	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שערך ברירת המחדל של Umask מוגדר בצורה נכונה בקובץ login.defs	בינוני	לקבוע ערך (pass)
5.5.5	הגדרת הזמן הקצוב לתפוגה של סשן אינטראקטיבי	בינוני	לקבוע ערך (pass)
6.1.1	אימות הקבוצה שהיא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
6.1.1	אימות ההרשאות בקובץ passwd	בינוני	לקבוע ערך (pass)
6.1.1	אימות המשתמש שהוא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות הקבוצה שבבעלותה קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות ההרשאות בקובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות המשתמש שהוא הבעלים של קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.3	אימות הקבוצה שהיא הבעלים של קובץ הקבוצה	בינוני	לקבוע ערך (pass)
6.1.3	בדיקת ההרשאות בקובץ של הקבוצה	בינוני	לקבוע ערך (pass)
6.1.3	אימות המשתמש שהוא הבעלים של קובץ קבוצה	בינוני	לקבוע ערך (pass)
6.1.4	אימות הקבוצה שהיא הבעלים של קובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.4	בדיקת ההרשאות בקובץ של קבוצת הגיבוי	בינוני	לקבוע ערך (pass)
6.1.4	אימות המשתמש שהוא הבעלים של קובץ בקבוצת הגיבוי	בינוני	לקבוע ערך (pass)
6.1.5	אימות הקבוצה שהיא הבעלים של קובץ הצללים	בינוני	לקבוע ערך (pass)
6.1.5	בדיקת ההרשאות בקובץ הצללים	בינוני	לקבוע ערך (pass)
6.1.5	אימות המשתמש שהוא הבעלים של קובץ הצללים	בינוני	לקבוע ערך (pass)
6.1.6	אימות הקבוצה שהיא הבעלים של קובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.6	בדיקת ההרשאות בקובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.6	אימות המשתמש שהוא הבעלים של קובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.7	אימות הקבוצה שהיא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.7	אימות ההרשאות בקובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.7	אימות המשתמש שהוא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות הקבוצה שבבעלותה קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות ההרשאות בקובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות המשתמש שהוא הבעלים של קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.10	איך מוודאים שמשתמש הוא הבעלים של כל הקבצים	בינוני	לקבוע ערך (pass)
6.2.1	אימות של כל ה-hash של הסיסמאות בחשבון מוצלל	בינוני	לקבוע ערך (pass)
6.2.2	מוודאים שאין חשבונות עם סיסמאות ריקות או סיסמאות null	גבוה	לקבוע ערך (pass)
6.2.3	כל מזהי הקבוצות (GID) שמפנים אליהם בקובץ ‎ /etc/passwd צריכים להיות מוגדרים בקובץ ‎ /etc/group	נמוך	לקבוע ערך (pass)
6.2.4	מוודאים שהקבוצה הווירטואלית ריקה	בינוני	לקבוע ערך (pass)
6.2.5	מוודאים שלכל החשבונות במערכת יש מזהי משתמש ייחודיים	בינוני	לקבוע ערך (pass)
6.2.6	מוודאים שלכל הקבוצות במערכת יש מזהה קבוצה ייחודי	בינוני	לקבוע ערך (pass)
6.2.7	מוודאים שלכל החשבונות במערכת יש שמות ייחודיים	בינוני	לקבוע ערך (pass)
6.2.8	מוודאים שלכל הקבוצות במערכת יש שמות קבוצות ייחודיים	בינוני	לקבוע ערך (pass)
6.2.9	מוודאים שהנתיב של Root לא כולל נתיבים יחסיים או ספריות ריקות	לא ידוע	לקבוע ערך (pass)
6.2.9	מוודאים שהנתיב של Root לא כולל ספריות שניתן לכתוב בהן על ידי World או Group	בינוני	לקבוע ערך (pass)
6.2.10	אימות לכך שרק למשתמש הבסיסי יש UID 0	גבוה	לקבוע ערך (pass)
6.2.11	כל ספריות הבית של משתמשים אינטראקטיביים חייבות להתקיים	בינוני	לקבוע ערך (pass)
6.2.12	כל ספריות הבית של משתמשים אינטראקטיביים חייבות להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
6.2.12	כל ספריות הבית של משתמשים אינטראקטיביים חייבות להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
6.2.13	כל ספריות הבית האינטראקטיביות של המשתמשים צריכות להיות במצב 0750 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
6.2.14	אימות שלא קיימים קובצי netrc	בינוני	לקבוע ערך (pass)
6.2.15	אימות שלא קיימים קבצים מסוג ‎ .forward	בינוני	לקבוע ערך (pass)
6.2.16	הסרת קבצים של Rsh Trust	גבוה	לקבוע ערך (pass)
6.2.17	קבצי האתחול של המשתמש חייבים להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
6.2.17	קבצי ההפעלה של המשתמש חייבים להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
6.2.17	קבצי אתחול של משתמשים לא יכולים להפעיל תוכניות עם הרשאת כתיבה לכל המשתמשים	בינוני	לקבוע ערך (pass)

המלצות שלא רלוונטיות

בטבלה הבאה מפורטות ההמלצות שלא רלוונטיות ל-Google Distributed Cloud.

#	המלצה	חוּמרה	סטטוס
1.1.2.2	הוספת האפשרות nodev ל-‎ /tmp	בינוני	לא רלוונטי
1.1.2.3	הוספת האפשרות noexec ל-/tmp	בינוני	לא רלוונטי
1.1.2.4	הוספת האפשרות nosuid ל-‎ /tmp	בינוני	לא רלוונטי
1.1.3.2	הוספת האפשרות nodev ל-‎ /var	בינוני	לא רלוונטי
1.1.3.3	הוספת האפשרות nosuid ל-‎ /var	בינוני	לא רלוונטי
1.1.4.2	הוספת האפשרות noexec ל-‎ /var/tmp	בינוני	לא רלוונטי
1.1.4.3	הוספת האפשרות nosuid ל-‎ /var/tmp	בינוני	לא רלוונטי
1.1.4.4	הוספת האפשרות nodev ל-‎ /var/tmp	בינוני	לא רלוונטי
1.1.5.2	הוספת האפשרות nodev ל-‎ /var/log	בינוני	לא רלוונטי
1.1.5.3	הוספת האפשרות noexec ל-‎ /var/log	בינוני	לא רלוונטי
1.1.5.4	הוספת האפשרות nosuid ל-‎ /var/log	בינוני	לא רלוונטי
1.1.6.2	הוספת האפשרות noexec ל-‎ /var/log/audit	בינוני	לא רלוונטי
1.1.6.3	הוספת האפשרות nodev אל /var/log/audit	בינוני	לא רלוונטי
1.1.6.4	הוספת האפשרות nosuid ל-‎ /var/log/audit	בינוני	לא רלוונטי
1.1.7.2	הוספת האפשרות nodev ל-/home	לא ידוע	לא רלוונטי
1.1.7.3	הוספת האפשרות nosuid ל-/home	בינוני	לא רלוונטי
‫1.10	הגדרת פרופיל משתמש של GNOME3 DConf	גבוה	לא רלוונטי
1.4.1	הגדרת סיסמה לטוען האתחול של UEFI	גבוה	לא רלוונטי
1.8.1	הסרת קבוצת חבילות GDM	בינוני	לא רלוונטי
1.8.10	השבתת XDMCP ב-GDM	גבוה	לא רלוונטי
1.8.4	הפעלה של נעילת שומר המסך ב-GNOME3 אחרי תקופה של חוסר פעילות	בינוני	לא רלוונטי
1.8.5	הגדרה של השהיית נעילת שומר המסך ב-GNOME3 אחרי תקופת ההפעלה	בינוני	לא רלוונטי
1.8.6	השבתת הפתיחה האוטומטית של GNOME3	בינוני	לא רלוונטי
1.8.6	השבתת ההרכבה האוטומטית ב-GNOME3	בינוני	לא רלוונטי
1.8.8	השבתת ההרצה של GNOME3 Automount	נמוך	לא רלוונטי
2.1.4.1	הגדרת הגבלות שרת עבור ntpd	בינוני	לא רלוונטי
2.1.4.3	הגדרת ntpd להפעלה כמשתמש ntp	בינוני	לא רלוונטי
2.1.4.4	הפעלת NTP Daemon	גבוה	לא רלוונטי
2.2.15	השבתה של האזנה לרשת ב-Postfix	בינוני	לא רלוונטי
3.5.1.3	אימות ההפעלה של ufw	בינוני	לא רלוונטי
3.5.1.4	הגדרת תנועת לולאה חוזרת (loopback) ב-UFW	בינוני	לא רלוונטי
3.5.1.6	מוודאים שקיימים כללים בחומת האש ufw לכל היציאות הפתוחות	בינוני	לא רלוונטי
3.5.1.7	הקפדה על מדיניות ברירת המחדל של חומת האש ufw	בינוני	לא רלוונטי
3.5.3.2.1	הגדרת מדיניות ברירת מחדל של iptables עבור מנות נכנסות	בינוני	לא רלוונטי
3.5.3.2.2	הגדרת תעבורת נתונים של לולאה חוזרת	בינוני	לא רלוונטי
3.5.3.2.4	מוודאים שקיימים כללים בחומת האש של iptables לכל היציאות הפתוחות	בינוני	לא רלוונטי
3.5.3.3.1	הגדרת מדיניות ברירת מחדל של ip6tables עבור מנות נכנסות	בינוני	לא רלוונטי
3.5.3.3.4	מוודאים שקיימים כללים לחומת האש ip6tables לכל היציאות הפתוחות	בינוני	לא רלוונטי

1.31

גרסאות

הקטע הזה מתייחס לגרסאות הבאות:

גרסה של Google Distributed Cloud	גרסת Ubuntu	גרסת CIS Ubuntu Benchmark	רמת CIS
1.31	‫22.04 LTS	v1.0.0	שרת ברמה 2

המלצות שנכשלו

בטבלה הבאה מפורטות ההמלצות שבהן Google Distributed Cloud חורג מההמלצות של ההשוואה. הממצאים האלה רלוונטיים לצמתי האשכולות ולתחנת העבודה של האדמין.

#	המלצה	חוּמרה	סטטוס
1.1.2.1	מוודאים שהמיקום /tmp נמצא במחיצה נפרדת	נמוך	נכשל
1.1.3.1	מוודאים שהמיקום /var נמצא במחיצה נפרדת	נמוך	נכשל
1.1.4.1	מוודאים שהמיקום /var/tmp נמצא במחיצה נפרדת	בינוני	נכשל
1.1.5.1	מוודאים שהמיקום /var/log נמצא במחיצה נפרדת	נמוך	נכשל
1.1.6.1	מוודאים שהמיקום של /var/log/audit הוא במחיצה נפרדת	נמוך	נכשל
1.1.7.1	מוודאים שהספרייה ‎ /home ממוקמת במחיצה נפרדת	נמוך	נכשל
1.4.1	הגדרת סיסמה לטוען האתחול ב-grub2	גבוה	נכשל
1.4.3	איך מוודאים שנדרש אימות למצב משתמש יחיד	בינוני	נכשל
2.3.6	הסרת חבילת rpcbind	נמוך	נכשל
3.2.2	השבתת פרמטר ליבה להעברת IP בממשקי IPv4	בינוני	נכשל
3.3.7	הפעלה של פרמטר ליבה כדי להשתמש בסינון נתיבים הפוך בכל ממשקי IPv4 כברירת מחדל	בינוני	נכשל
3.3.7	הפעלת פרמטר של ליבת המערכת כדי להשתמש בסינון נתיבים הפוך בכל ממשקי IPv4	בינוני	נכשל
3.5.2.8	מוודאים שמדיניות ברירת המחדל של חומת האש nftables היא דחייה	בינוני	נכשל
3.5.2.10	איך מוודאים שכללי nftables הם קבועים	בינוני	נכשל
4.2.3	אימות ההרשאות של קובצי יומן	בינוני	נכשל
5.2.4	הגבלת גישת SSH של משתמשים	לא ידוע	נכשל
5.3.4	איך מוודאים שהמשתמשים יבצעו אימות מחדש להרחבת הרשאות – sudo	בינוני	נכשל
5.5.1.2	הגדרת הגיל המקסימלי של הסיסמה	בינוני	נכשל

המלצות שיושמו

בטבלה הבאה מפורטות ההמלצות שבהן Google Distributed Cloud עומד בהשוואה להמלצות של נקודת ההשוואה.

#	המלצה	חוּמרה	סטטוס
1.1.1.1	השבתה של הרכבת cramfs	נמוך	לקבוע ערך (pass)
1.1.1.2	השבתה של הרכבת squashfs	נמוך	לקבוע ערך (pass)
1.1.1.3	השבתת הרכבה של udf	נמוך	לקבוע ערך (pass)
1.1.8.1	הוספת האפשרות nodev ל-‎ /dev/shm	בינוני	לקבוע ערך (pass)
1.1.8.2	הוספת האפשרות noexec ל-‎ /dev/shm	בינוני	לקבוע ערך (pass)
1.1.8.3	הוספת האפשרות nosuid ל-‎ /dev/shm	בינוני	לקבוע ערך (pass)
1.1.9	השבתת הכלי לטעינת מערכות קבצים באופן אוטומטי	בינוני	לקבוע ערך (pass)
1.1.10	השבתת טעינת מנהל התקן של אחסון USB באמצעות Modprobe	בינוני	לקבוע ערך (pass)
1.4.2	אימות ההרשאות של ‎ /boot/grub/grub.cfg	בינוני	לקבוע ערך (pass)
1.5.1	הפעלת פריסה אקראית של מרחב כתובות וירטואלי	בינוני	לקבוע ערך (pass)
1.5.2	החבילה prelink לא יכולה להיות מותקנת	בינוני	לקבוע ערך (pass)
1.5.3	השבתת שירות Apport	לא ידוע	לקבוע ערך (pass)
1.5.4	השבתת קובצי Core Dump לכל המשתמשים	בינוני	לקבוע ערך (pass)
1.5.4	השבתת קובצי Core Dump לתוכניות SUID	בינוני	לקבוע ערך (pass)
1.6.1.1	לוודא ש-AppArmor מותקן	בינוני	לקבוע ערך (pass)
1.6.1.2	מוודאים ש-AppArmor מופעל בהגדרות של תוכנת האתחול	בינוני	לקבוע ערך (pass)
1.6.1.4	אכיפה של כל פרופילי AppArmor	בינוני	לקבוע ערך (pass)
1.7.1	שינוי הבאנר של הודעת המערכת של היום	בינוני	לקבוע ערך (pass)
1.7.2	שינוי מודעת הבאנר להתחברות למערכת	בינוני	לקבוע ערך (pass)
1.7.3	שינוי באנר הכניסה למערכת לחיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.4	אימות הבעלות על קבוצה של באנר הודעת היום	בינוני	לקבוע ערך (pass)
1.7.4	אימות הבעלות על באנר ההודעה היומית	בינוני	לקבוע ערך (pass)
1.7.4	בדיקת ההרשאות בבאנר של הודעת היום	בינוני	לקבוע ערך (pass)
1.7.5	אימות בעלות קבוצתית על באנר הכניסה למערכת	בינוני	לקבוע ערך (pass)
1.7.5	אימות הבעלות על באנר הכניסה למערכת	בינוני	לקבוע ערך (pass)
1.7.5	אימות הרשאות בבאנר הכניסה למערכת	בינוני	לקבוע ערך (pass)
1.7.6	אימות הבעלות על קבוצה של באנר כניסה למערכת עבור חיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.6	אימות הבעלות על באנר הכניסה למערכת עבור חיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.6	בדיקת ההרשאות בבאנר הכניסה למערכת לחיבורים מרוחקים	בינוני	לקבוע ערך (pass)
2.1.1.1	התקנת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.1.3.2	הפעלת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.2.1	הסרה של קבוצת חבילות X Windows	בינוני	לקבוע ערך (pass)
2.2.2	השבתה של תוכנת שרת Avahi	בינוני	לקבוע ערך (pass)
2.2.2	הסרת חבילת השרת avahi	בינוני	לקבוע ערך (pass)
2.2.3	השבתת שירות CUPS	לא ידוע	לקבוע ערך (pass)
2.2.3	הסרת חבילת CUPS	לא ידוע	לקבוע ערך (pass)
2.2.4	הסרת חבילת שרת DHCP	בינוני	לקבוע ערך (pass)
2.2.5	הסרת החבילה openldap-servers	נמוך	לקבוע ערך (pass)
2.2.6	הסרת חבילת nfs-kernel-server	נמוך	לקבוע ערך (pass)
2.2.7	הסרת חבילת bind	נמוך	לקבוע ערך (pass)
2.2.8	הסרת חבילת vsftpd	גבוה	לקבוע ערך (pass)
2.2.9	הסרת חבילת httpd	לא ידוע	לקבוע ערך (pass)
2.2.9	הסרת חבילת nginx	לא ידוע	לקבוע ערך (pass)
2.2.10	הסרת חבילת cyrus-imapd	לא ידוע	לקבוע ערך (pass)
2.2.10	הסרת חבילת dovecot	לא ידוע	לקבוע ערך (pass)
2.2.11	הסרת חבילת Samba	לא ידוע	לקבוע ערך (pass)
2.2.12	הסרת חבילת squid	לא ידוע	לקבוע ערך (pass)
2.2.13	הסרת חבילת net-snmp	לא ידוע	לקבוע ערך (pass)
2.2.14	הסרת חבילת ה-NIS	נמוך	לקבוע ערך (pass)
2.2.15	מוודאים שסוכן העברת הדואר לא מאזין לכתובת שאינה כתובת לולאה חוזרת	בינוני	לקבוע ערך (pass)
2.2.16	הסרת חבילת rsync	בינוני	לקבוע ערך (pass)
2.3.2	הסרת חבילת rsh	לא ידוע	לקבוע ערך (pass)
2.3.3	הסרת חבילת talk	בינוני	לקבוע ערך (pass)
2.3.4	הסרת לקוחות telnet	נמוך	לקבוע ערך (pass)
2.3.5	מוודאים שלקוח LDAP לא מותקן	נמוך	לקבוע ערך (pass)
3.1.2	השבתה של ממשקי רשת אלחוטית	בינוני	לקבוע ערך (pass)
3.2.1	השבתת פרמטר הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.2.1	השבתת פרמטר הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.2.2	השבתת פרמטר ליבה להעברת IPv6	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת מנות עם ניתוב ממקור לכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות עם ניתוב ממקור לכל ממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות עם ניתוב ממקור בממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות עם ניתוב לפי מקור בממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.2	השבתת האפשרות לקבל הפניות אוטומטיות של ICMP לכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.2	השבתה של קבלת הפניות אוטומטיות של ICMP לכל ממשקי ה-IPv6	בינוני	לקבוע ערך (pass)
3.3.2	השבתה של פרמטר ליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.2	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.3	הגדרת פרמטר של ליבת המערכת לקבלת הפניות אוטומטיות מאובטחות כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.3	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות מאובטחות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.4	הפעלת פרמטר של ליבת המערכת כדי לרשום ביומן מנות Martian בכל ממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.4	הפעלת פרמטר ליבה לרישום ביומן של חבילות Martian בכל ממשקי IPv4 כברירת מחדל	לא ידוע	לקבוע ערך (pass)
3.3.5	הפעלה של פרמטר ליבה להתעלמות מבקשות ICMP Broadcast Echo בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.6	הפעלת פרמטר ליבה להתעלמות מתגובות שגיאה מזויפות של ICMP בממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.8	הפעלת פרמטר ליבה לשימוש ב-TCP Syncookies בממשקי רשת	בינוני	לקבוע ערך (pass)
3.3.9	הגדרה של קבלת הודעות על נתבים בכל הממשקים של IPv6	בינוני	לקבוע ערך (pass)
3.3.9	השבתה של קבלת הודעות פרסום של נתבים בכל ממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.4.1	השבתה של התמיכה ב-DCCP	בינוני	לקבוע ערך (pass)
3.4.2	השבתת התמיכה ב-SCTP	בינוני	לקבוע ערך (pass)
3.4.3	השבתת התמיכה ב-RDS	נמוך	לקבוע ערך (pass)
3.4.4	השבתת התמיכה ב-TIPC	נמוך	לקבוע ערך (pass)
3.5.1.2	הסרת חבילת iptables-persistent	בינוני	לקבוע ערך (pass)
3.5.2.1	התקנת חבילת nftables	בינוני	לקבוע ערך (pass)
3.5.2.4	בדיקה שקיימת טבלה עבור Nftables	בינוני	לקבוע ערך (pass)
3.5.2.5	איך מוודאים שקיימות שרשרות בסיס עבור Nftables	בינוני	לקבוע ערך (pass)
3.5.2.9	אימות של הפעלת שירות nftables	בינוני	לקבוע ערך (pass)
3.5.3.1.1	התקנת חבילת iptables	בינוני	לקבוע ערך (pass)
3.5.3.1.3	הסרת חבילת ufw	בינוני	לקבוע ערך (pass)
4.1.1.1	מוודאים שמערכת המשנה לביקורת מותקנת	בינוני	לקבוע ערך (pass)
4.1.1.2	הפעלת שירות auditd	בינוני	לקבוע ערך (pass)
4.1.1.4	הארכת המגבלה של יומן הביקורת עבור שד הביקורת	נמוך	לקבוע ערך (pass)
4.1.2.1	הגדרה של גודל קובץ היומן המקסימלי ב-auditd	בינוני	לקבוע ערך (pass)
4.1.2.2	הגדרה של auditd max_log_file_action כשמגיעים לגודל היומן המקסימלי	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת הפעולה admin_space_left של auditd כשאין מספיק נפח אחסון	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת פעולה של mail_acct ב-auditd כשנפח האחסון נמוך	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת הפעולה space_left של auditd במצב של נפח אחסון נמוך	בינוני	לקבוע ערך (pass)
4.1.3.1	איך מוודאים ש-auditd אוסף פעולות של אדמינים	בינוני	לקבוע ערך (pass)
4.1.3.2	הקלטת אירועים כשמופעלים קובצי הפעלה עם הרשאות	בינוני	לקבוע ערך (pass)
4.1.3.3	תיעוד ניסיונות לביצוע פעולות תחזוקה	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי הקובץ localtime	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי השעה באמצעות adjtimex	בינוני	לקבוע ערך (pass)
4.1.3.4	ניסיונות להקלטת שינוי השעה באמצעות clock_settime	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי השעה באמצעות settimeofday	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי השעה באמצעות stime	בינוני	לקבוע ערך (pass)
4.1.3.5	תיעוד אירועים שמשנים את סביבת הרשת של המערכת	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – su	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות מיוחדות – sudo	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות מיוחדות – sudoedit	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – umount	בינוני	לקבוע ערך (pass)
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - unix_chkpwd	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לקבצים שלא צלחו – יצירה	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לא מוצלחים לקבצים – ftruncate	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לקבצים שנכשלו – פתוח	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לקבצים שנכשלו – openat	בינוני	לקבוע ערך (pass)
4.1.3.7	Record Unsuccessful Access Attempts to Files - truncate	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים את פרטי המשתמש או הקבוצה – /etc/group	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/gshadow	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/passwd	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/security/opasswd	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/shadow	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – chmod	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – chown	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchmod	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchmodat	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchown	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchownat	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fremovexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fsetxattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – lchown	בינוני	לקבוע ערך (pass)
4.1.3.9	רישום אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – lremovexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – lsetxattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – removexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – setxattr	בינוני	לקבוע ערך (pass)
4.1.3.10	מוודאים ש-auditd אוסף מידע על ייצוא למדיה (הצלחה)	בינוני	לקבוע ערך (pass)
4.1.3.11	תיעוד ניסיונות לשינוי פרטים על התהליך והפעלת הסשן	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשינוי אירועי כניסה ויציאה – faillog	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשינוי אירועי כניסה ויציאה – lastlog	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשינוי אירועי כניסה ויציאה – tallylog	בינוני	לקבוע ערך (pass)
4.1.3.13	Ensure auditd Collects File Deletion Events by User - rename	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – renameat	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – unlink	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – unlinkat	בינוני	לקבוע ערך (pass)
4.1.3.14	תיעוד אירועים שמשנים את אמצעי בקרת הגישה המחייבים של המערכת	בינוני	לקבוע ערך (pass)
4.1.3.15	הקלטה של כל הניסיונות להפעיל את chcon	בינוני	לקבוע ערך (pass)
4.1.3.16	הקלטה של כל הניסיונות להריץ את הפקודה setfacl	בינוני	לקבוע ערך (pass)
4.1.3.17	הקלטה של כל הניסיונות להריץ את הפקודה chacl	בינוני	לקבוע ערך (pass)
4.1.3.18	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – usermod	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על טעינת מודול ליבה – init_module	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על ביטול הטעינה של מודול ליבה – delete_module	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – insmod	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – modprobe	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות מיוחדות – rmmod	בינוני	לקבוע ערך (pass)
4.1.3.20	הפיכת ההגדרה של auditd לבלתי ניתנת לשינוי	בינוני	לקבוע ערך (pass)
4.1.4.1	יומני ביקורת של המערכת צריכים להיות במצב 0640 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
4.1.4.2	יומני הביקורת של המערכת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
4.1.4.3	יומני הביקורת של המערכת צריכים להיות בבעלות של קבוצת Root	בינוני	לקבוע ערך (pass)
4.1.4.4	יומני ביקורת של המערכת צריכים להיות במצב 0750 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
4.1.4.5	בדיקת ההרשאות ב-‎ /etc/audit/auditd.conf	בינוני	לקבוע ערך (pass)
4.1.4.5	בדיקת ההרשאות ב-‎ /etc/audit/rules.d/*.rules	בינוני	לקבוע ערך (pass)
4.1.4.6	קובצי תצורה של ביקורת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
4.1.4.7	קובצי תצורה של ביקורת צריכים להיות בבעלות של קבוצת root	בינוני	לקבוע ערך (pass)
4.1.4.8	אימות שלכלי הביקורת יש מצב 0755 או פחות	בינוני	לקבוע ערך (pass)
4.1.4.9	אימות הבעלות על כלי הביקורת על ידי משתמש על	בינוני	לקבוע ערך (pass)
4.1.4.10	אימות הבעלות על כלי הביקורת על ידי קבוצת הבסיס	בינוני	לקבוע ערך (pass)
4.2.1.1.1	התקנת חבילת systemd-journal-remote	בינוני	לקבוע ערך (pass)
4.2.1.1.4	השבתה של שקע systemd-journal-remote	בינוני	לקבוע ערך (pass)
4.2.1.2	הפעלת השירות systemd-journald	בינוני	לקבוע ערך (pass)
4.2.1.3	מוודאים ש-journald מוגדר לדחיסת קובצי יומן גדולים	בינוני	לקבוע ערך (pass)
4.2.1.4	מוודאים ש-journald מוגדר לכתוב קבצים של יומני אירועים לדיסק אחסון מתמיד (persistent disk)	בינוני	לקבוע ערך (pass)
4.2.2.1	מוודאים ש-rsyslog מותקן	בינוני	לקבוע ערך (pass)
4.2.2.2	הפעלת שירות rsyslog	בינוני	לקבוע ערך (pass)
4.2.2.4	מוודאים שהוגדרו הרשאות ברירת המחדל לקובץ rsyslog	בינוני	לקבוע ערך (pass)
4.2.2.7	מוודאים ש-rsyslog לא מקבל הודעות מרחוק אלא אם הוא פועל כשרת יומן	בינוני	לקבוע ערך (pass)
5.1.1	הפעלת שירות cron	בינוני	לקבוע ערך (pass)
5.1.2	אימות הקבוצה שבבעלותה קובץ ה-Crontab	בינוני	לקבוע ערך (pass)
5.1.2	אימות הבעלים ב-crontab	בינוני	לקבוע ערך (pass)
5.1.2	בדיקת ההרשאות ב-crontab	בינוני	לקבוע ערך (pass)
5.1.3	אימות הקבוצה שהיא הבעלים של cron.hourly	בינוני	לקבוע ערך (pass)
5.1.3	אימות הבעלים ב-cron.hourly	בינוני	לקבוע ערך (pass)
5.1.3	בדיקת ההרשאות ב-cron.hourly	בינוני	לקבוע ערך (pass)
5.1.4	אימות הקבוצה שהיא הבעלים של cron.daily	בינוני	לקבוע ערך (pass)
5.1.4	אימות הבעלים ב-cron.daily	בינוני	לקבוע ערך (pass)
5.1.4	בדיקת ההרשאות ב-cron.daily	בינוני	לקבוע ערך (pass)
5.1.5	אימות הקבוצה שהיא הבעלים של cron.weekly	בינוני	לקבוע ערך (pass)
5.1.5	אימות הבעלים ב-cron.weekly	בינוני	לקבוע ערך (pass)
5.1.5	בדיקת ההרשאות ב-cron.weekly	בינוני	לקבוע ערך (pass)
5.1.6	אימות הקבוצה שהיא הבעלים של cron.monthly	בינוני	לקבוע ערך (pass)
5.1.6	אימות הבעלים ב-cron.monthly	בינוני	לקבוע ערך (pass)
5.1.6	אימות ההרשאות ב-cron.monthly	בינוני	לקבוע ערך (pass)
5.1.7	אימות הקבוצה שבבעלותה cron.d	בינוני	לקבוע ערך (pass)
5.1.7	אימות הבעלים ב-cron.d	בינוני	לקבוע ערך (pass)
5.1.7	בדיקת ההרשאות ב-cron.d	בינוני	לקבוע ערך (pass)
5.1.8	מוודאים שהקובץ ‎ /etc/cron.deny לא קיים	בינוני	לקבוע ערך (pass)
5.1.8	אימות הקבוצה שהיא הבעלים של הקובץ ‎ /etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.8	בדיקת ההרשאות בקובץ ‎ /etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.8	אימות המשתמש שהוא הבעלים של הקובץ ‎ /etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.9	מוודאים שהקובץ ‎ /etc/at.deny לא קיים	בינוני	לקבוע ערך (pass)
5.1.9	אימות הקבוצה שבבעלותה הקובץ ‎ /etc/at.allow	בינוני	לקבוע ערך (pass)
5.1.9	בדיקת ההרשאות בקובץ ‎ /etc/at.allow	בינוני	לקבוע ערך (pass)
5.1.9	אימות המשתמש שהוא הבעלים של הקובץ ‎ /etc/at.allow	בינוני	לקבוע ערך (pass)
5.2.1	אימות הקבוצה שהיא הבעלים של קובץ התצורה של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.1	אימות הבעלים בקובץ התצורה של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.1	בדיקת ההרשאות בקובץ התצורה של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.2	בדיקת ההרשאות בקובצי מפתח פרטי של שרת SSH מסוג *_key	בינוני	לקבוע ערך (pass)
5.2.3	אימות ההרשאות בקובצי מפתח ציבורי ‎ *.pub של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.5	מגדירים את LogLevel ל-INFO	נמוך	לקבוע ערך (pass)
5.2.6	הפעלת PAM	בינוני	לקבוע ערך (pass)
5.2.7	השבתת כניסת Root באמצעות SSH	בינוני	לקבוע ערך (pass)
5.2.8	השבתת אימות מבוסס-מארח	בינוני	לקבוע ערך (pass)
5.2.9	השבתת גישת SSH באמצעות סיסמאות ריקות	גבוה	לקבוע ערך (pass)
5.2.10	לא לאפשר אפשרויות סביבה של SSH	בינוני	לקבוע ערך (pass)
5.2.11	השבתת התמיכה ב-SSH בקובצי ‎ .rhosts	בינוני	לקבוע ערך (pass)
5.2.12	השבתת העברת X11	בינוני	לקבוע ערך (pass)
5.2.13	שימוש רק בהצפנות חזקות	בינוני	לקבוע ערך (pass)
5.2.14	שימוש רק בכתובות MAC חזקות	בינוני	לקבוע ערך (pass)
5.2.15	שימוש רק באלגוריתמים חזקים של חילופי מפתחות	בינוני	לקבוע ערך (pass)
5.2.16	השבתה של העברת TCP ב-SSH	בינוני	לקבוע ערך (pass)
5.2.17	הפעלת הודעת אזהרה ב-SSH	בינוני	לקבוע ערך (pass)
5.2.18	הגדרת מגבלת ניסיונות אימות SSH	בינוני	לקבוע ערך (pass)
5.2.19	מוודאים שההגדרה SSH MaxStartups מוגדרת	בינוני	לקבוע ערך (pass)
5.2.20	הגדרת מגבלה ל-MaxSessions ב-SSH	בינוני	לקבוע ערך (pass)
5.2.21	מוודאים שההגדרה SSH LoginGraceTime מוגדרת	בינוני	לקבוע ערך (pass)
5.2.22	הגדרת הערך המקסימלי של SSH Client Alive Count	בינוני	לקבוע ערך (pass)
5.2.22	הגדרת אינטרוול של פעילות לקוח SSH	בינוני	לקבוע ערך (pass)
5.3.1	התקנת חבילת sudo	בינוני	לקבוע ערך (pass)
5.3.2	הבטחה שרק משתמשים שמחוברים ל-tty אמיתי יוכלו להריץ sudo – sudo use_pty	בינוני	לקבוע ערך (pass)
5.3.3	מוודאים שקובץ היומן של Sudo קיים – sudo logfile	נמוך	לקבוע ערך (pass)
5.3.5	אימות מחדש של משתמשים להרחבת הרשאות – sudo !authenticate	בינוני	לקבוע ערך (pass)
5.3.6	דרישה לאימות מחדש כשמשתמשים בפקודה sudo	בינוני	לקבוע ערך (pass)
5.3.7	אכיפת שימוש ב-pam_wheel עם פרמטר Group לאימות su	בינוני	לקבוע ערך (pass)
5.3.7	מוודאים שהקבוצה שמשמשת את מודול pam_wheel קיימת במערכת ושהיא ריקה	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מותרות הנחיות לניסיון חוזר של אימות לכל הפעלה	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים שמערכת PAM אוכפת דרישות סיסמה – מינימום קטגוריות שונות	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של תווים מספריים	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את הדרישות לסיסמאות – אורך מינימלי	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות קטנות	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את הדרישות לגבי סיסמאות – מספר מינימלי של תווים מיוחדים	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות רישיות	בינוני	לקבוע ערך (pass)
5.4.1	התקנת חבילת pam_pwquality	בינוני	לקבוע ערך (pass)
5.4.2	נעילת חשבונות אחרי ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.2	הגדרת מרווח הזמן לספירת ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.2	הגדרת זמן נעילה לניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.3	הגבלת שימוש חוזר בסיסמה	בינוני	לקבוע ערך (pass)
5.4.4	הגדרת אלגוריתם גיבוב סיסמאות ב-‎ /etc/login.defs	בינוני	לקבוע ערך (pass)
5.5.1.1	הגדרת הגיל המינימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.5.1.1	הגדרת הגיל המינימלי של הסיסמה	בינוני	לקבוע ערך (pass)
5.5.1.2	הגדרת הגיל המקסימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.5.1.3	הגדרת משך הזמן שבו מוצגת אזהרה לגבי סיסמה	בינוני	לקבוע ערך (pass)
5.5.1.4	הגדרת תפוגה של חשבון בעקבות חוסר פעילות	בינוני	לקבוע ערך (pass)
5.5.1.5	מוודאים שכל המשתמשים שינו את הסיסמה שלהם בעבר	בינוני	לקבוע ערך (pass)
5.5.2	מוודאים שחשבונות מערכת לא מריצים מעטפת לאחר הכניסה	בינוני	לקבוע ערך (pass)
5.5.3	אימות שלמשתמש Root יש GID ראשי 0	גבוה	לקבוע ערך (pass)
5.5.4	מוודאים ש-Default Bash Umask מוגדר בצורה נכונה	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שערך ברירת המחדל של Umask מוגדר בצורה נכונה עבור משתמשים אינטראקטיביים	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שערך ברירת המחדל של Umask מוגדר בצורה נכונה ב-‎ /etc/profile	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שערך ברירת המחדל של Umask מוגדר בצורה נכונה בקובץ login.defs	בינוני	לקבוע ערך (pass)
5.5.5	הגדרת הזמן הקצוב לתפוגה של סשן אינטראקטיבי	בינוני	לקבוע ערך (pass)
6.1.1	אימות הקבוצה שהיא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
6.1.1	אימות ההרשאות בקובץ passwd	בינוני	לקבוע ערך (pass)
6.1.1	אימות המשתמש שהוא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות הקבוצה שבבעלותה קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות ההרשאות בקובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות המשתמש שהוא הבעלים של קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.3	אימות הקבוצה שהיא הבעלים של קובץ הקבוצה	בינוני	לקבוע ערך (pass)
6.1.3	בדיקת ההרשאות בקובץ של הקבוצה	בינוני	לקבוע ערך (pass)
6.1.3	אימות המשתמש שהוא הבעלים של קובץ קבוצה	בינוני	לקבוע ערך (pass)
6.1.4	אימות הקבוצה שהיא הבעלים של קובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.4	בדיקת ההרשאות בקובץ של קבוצת הגיבוי	בינוני	לקבוע ערך (pass)
6.1.4	אימות המשתמש שהוא הבעלים של קובץ בקבוצת הגיבוי	בינוני	לקבוע ערך (pass)
6.1.5	אימות הקבוצה שהיא הבעלים של קובץ הצללים	בינוני	לקבוע ערך (pass)
6.1.5	בדיקת ההרשאות בקובץ הצללים	בינוני	לקבוע ערך (pass)
6.1.5	אימות המשתמש שהוא הבעלים של קובץ הצללים	בינוני	לקבוע ערך (pass)
6.1.6	אימות הקבוצה שהיא הבעלים של קובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.6	בדיקת ההרשאות בקובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.6	אימות המשתמש שהוא הבעלים של קובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.7	אימות הקבוצה שהיא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.7	אימות ההרשאות בקובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.7	אימות המשתמש שהוא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות הקבוצה שבבעלותה קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות ההרשאות בקובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות המשתמש שהוא הבעלים של קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.10	איך מוודאים שמשתמש הוא הבעלים של כל הקבצים	בינוני	לקבוע ערך (pass)
6.2.1	אימות של כל ה-hash של הסיסמאות בחשבון מוצלל	בינוני	לקבוע ערך (pass)
6.2.2	מוודאים שאין חשבונות עם סיסמאות ריקות או סיסמאות null	גבוה	לקבוע ערך (pass)
6.2.3	כל מזהי הקבוצות (GID) שמפנים אליהם בקובץ ‎ /etc/passwd צריכים להיות מוגדרים בקובץ ‎ /etc/group	נמוך	לקבוע ערך (pass)
6.2.4	מוודאים שהקבוצה הווירטואלית ריקה	בינוני	לקבוע ערך (pass)
6.2.5	מוודאים שלכל החשבונות במערכת יש מזהי משתמש ייחודיים	בינוני	לקבוע ערך (pass)
6.2.6	מוודאים שלכל הקבוצות במערכת יש מזהה קבוצה ייחודי	בינוני	לקבוע ערך (pass)
6.2.7	מוודאים שלכל החשבונות במערכת יש שמות ייחודיים	בינוני	לקבוע ערך (pass)
6.2.8	מוודאים שלכל הקבוצות במערכת יש שמות קבוצות ייחודיים	בינוני	לקבוע ערך (pass)
6.2.9	מוודאים שהנתיב של Root לא כולל נתיבים יחסיים או ספריות ריקות	לא ידוע	לקבוע ערך (pass)
6.2.9	מוודאים שהנתיב של Root לא כולל ספריות שניתן לכתוב בהן על ידי World או Group	בינוני	לקבוע ערך (pass)
6.2.10	אימות לכך שרק למשתמש הבסיסי יש UID 0	גבוה	לקבוע ערך (pass)
6.2.11	כל ספריות הבית של משתמשים אינטראקטיביים חייבות להתקיים	בינוני	לקבוע ערך (pass)
6.2.12	כל ספריות הבית של משתמשים אינטראקטיביים חייבות להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
6.2.12	כל ספריות הבית של משתמשים אינטראקטיביים חייבות להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
6.2.13	כל ספריות הבית האינטראקטיביות של המשתמשים צריכות להיות במצב 0750 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
6.2.14	אימות שלא קיימים קובצי netrc	בינוני	לקבוע ערך (pass)
6.2.15	אימות שלא קיימים קבצים מסוג ‎ .forward	בינוני	לקבוע ערך (pass)
6.2.16	הסרת קבצים של Rsh Trust	גבוה	לקבוע ערך (pass)
6.2.17	קבצי האתחול של המשתמש חייבים להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
6.2.17	קבצי ההפעלה של המשתמש חייבים להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
6.2.17	קבצי אתחול של משתמשים לא יכולים להפעיל תוכניות עם הרשאת כתיבה לכל המשתמשים	בינוני	לקבוע ערך (pass)

המלצות שלא רלוונטיות

בטבלה הבאה מפורטות ההמלצות שלא רלוונטיות ל-Google Distributed Cloud.

#	המלצה	חוּמרה	סטטוס
1.1.2.2	הוספת האפשרות nodev ל-‎ /tmp	בינוני	לא רלוונטי
1.1.2.3	הוספת האפשרות noexec ל-/tmp	בינוני	לא רלוונטי
1.1.2.4	הוספת האפשרות nosuid ל-‎ /tmp	בינוני	לא רלוונטי
1.1.3.2	הוספת האפשרות nodev ל-‎ /var	בינוני	לא רלוונטי
1.1.3.3	הוספת האפשרות nosuid ל-‎ /var	בינוני	לא רלוונטי
1.1.4.2	הוספת האפשרות noexec ל-‎ /var/tmp	בינוני	לא רלוונטי
1.1.4.3	הוספת האפשרות nosuid ל-‎ /var/tmp	בינוני	לא רלוונטי
1.1.4.4	הוספת האפשרות nodev ל-‎ /var/tmp	בינוני	לא רלוונטי
1.1.5.2	הוספת האפשרות nodev ל-‎ /var/log	בינוני	לא רלוונטי
1.1.5.3	הוספת האפשרות noexec ל-‎ /var/log	בינוני	לא רלוונטי
1.1.5.4	הוספת האפשרות nosuid ל-‎ /var/log	בינוני	לא רלוונטי
1.1.6.2	הוספת האפשרות noexec ל-‎ /var/log/audit	בינוני	לא רלוונטי
1.1.6.3	הוספת האפשרות nodev אל /var/log/audit	בינוני	לא רלוונטי
1.1.6.4	הוספת האפשרות nosuid ל-‎ /var/log/audit	בינוני	לא רלוונטי
1.1.7.2	הוספת האפשרות nodev ל-/home	לא ידוע	לא רלוונטי
1.1.7.3	הוספת האפשרות nosuid ל-/home	בינוני	לא רלוונטי
1.4.1	הגדרת סיסמה לטוען האתחול של UEFI	גבוה	לא רלוונטי
1.8.1	הסרת קבוצת חבילות GDM	בינוני	לא רלוונטי
1.8.4	הפעלה של נעילת שומר המסך ב-GNOME3 אחרי תקופה של חוסר פעילות	בינוני	לא רלוונטי
1.8.5	הגדרה של השהיית נעילת שומר המסך ב-GNOME3 אחרי תקופת ההפעלה	בינוני	לא רלוונטי
1.8.6	השבתת הפתיחה האוטומטית של GNOME3	בינוני	לא רלוונטי
1.8.6	השבתת ההרכבה האוטומטית ב-GNOME3	בינוני	לא רלוונטי
1.8.8	השבתת ההרצה של GNOME3 Automount	נמוך	לא רלוונטי
1.8.10	השבתת XDMCP ב-GDM	גבוה	לא רלוונטי
‫1.10	הגדרת פרופיל משתמש של GNOME3 DConf	גבוה	לא רלוונטי
2.1.4.1	הגדרת הגבלות שרת עבור ntpd	בינוני	לא רלוונטי
2.1.4.3	הגדרת ntpd להפעלה כמשתמש ntp	בינוני	לא רלוונטי
2.1.4.4	הפעלת NTP Daemon	גבוה	לא רלוונטי
2.2.15	השבתה של האזנה לרשת ב-Postfix	בינוני	לא רלוונטי
3.5.1.3	אימות ההפעלה של ufw	בינוני	לא רלוונטי
3.5.1.4	הגדרת תנועת לולאה חוזרת (loopback) ב-UFW	בינוני	לא רלוונטי
3.5.1.6	מוודאים שקיימים כללים בחומת האש ufw לכל היציאות הפתוחות	בינוני	לא רלוונטי
3.5.1.7	הקפדה על מדיניות ברירת המחדל של חומת האש ufw	בינוני	לא רלוונטי
3.5.3.2.1	הגדרת מדיניות ברירת מחדל של iptables עבור מנות נכנסות	בינוני	לא רלוונטי
3.5.3.2.2	הגדרת תעבורת נתונים של לולאה חוזרת	בינוני	לא רלוונטי
3.5.3.2.4	מוודאים שקיימים כללים בחומת האש של iptables לכל היציאות הפתוחות	בינוני	לא רלוונטי
3.5.3.3.1	הגדרת מדיניות ברירת מחדל של ip6tables עבור מנות נכנסות	בינוני	לא רלוונטי
3.5.3.3.4	מוודאים שקיימים כללים לחומת האש ip6tables לכל היציאות הפתוחות	בינוני	לא רלוונטי

‫1.30

גרסאות

הקטע הזה מתייחס לגרסאות הבאות:

גרסה של Google Distributed Cloud	גרסת Ubuntu	גרסת CIS Ubuntu Benchmark	רמת CIS
‫1.30	‫22.04 LTS	v1.0.0	שרת ברמה 2

המלצות שנכשלו

בטבלה הבאה מפורטות ההמלצות שבהן Google Distributed Cloud חורג מההמלצות של ההשוואה. הממצאים האלה רלוונטיים לצמתי האשכולות ולתחנת העבודה של האדמין.

#	המלצה	חוּמרה	סטטוס
1.1.2.1	מוודאים שהמיקום /tmp נמצא במחיצה נפרדת	נמוך	נכשל
1.1.3.1	מוודאים שהמיקום /var נמצא במחיצה נפרדת	נמוך	נכשל
1.1.4.1	מוודאים שהמיקום /var/tmp נמצא במחיצה נפרדת	בינוני	נכשל
1.1.5.1	מוודאים שהמיקום /var/log נמצא במחיצה נפרדת	נמוך	נכשל
1.1.6.1	מוודאים שהמיקום של /var/log/audit הוא במחיצה נפרדת	נמוך	נכשל
1.1.7.1	מוודאים שהספרייה ‎ /home ממוקמת במחיצה נפרדת	נמוך	נכשל
1.4.1	הגדרת סיסמה לטוען האתחול ב-grub2	גבוה	נכשל
1.4.3	איך מוודאים שנדרש אימות למצב משתמש יחיד	בינוני	נכשל
2.3.6	הסרת חבילת rpcbind	נמוך	נכשל
3.2.2	השבתת פרמטר ליבה להעברת IP בממשקי IPv4	בינוני	נכשל
3.3.7	הפעלה של פרמטר ליבה כדי להשתמש בסינון נתיבים הפוך בכל ממשקי IPv4 כברירת מחדל	בינוני	נכשל
3.3.7	הפעלת פרמטר של ליבת המערכת כדי להשתמש בסינון נתיבים הפוך בכל ממשקי IPv4	בינוני	נכשל
3.5.2.8	מוודאים שמדיניות ברירת המחדל של חומת האש nftables היא דחייה	בינוני	נכשל
3.5.2.10	איך מוודאים שכללי nftables הם קבועים	בינוני	נכשל
4.2.3	אימות ההרשאות של קובצי יומן	בינוני	נכשל
5.2.4	הגבלת גישת SSH של משתמשים	לא ידוע	נכשל
5.3.4	איך מוודאים שהמשתמשים יבצעו אימות מחדש להרחבת הרשאות – sudo	בינוני	נכשל
5.5.1.2	הגדרת הגיל המקסימלי של הסיסמה	בינוני	נכשל

המלצות שיושמו

בטבלה הבאה מפורטות ההמלצות שבהן Google Distributed Cloud עומד בהשוואה להמלצות של נקודת ההשוואה.

#	המלצה	חוּמרה	סטטוס
1.1.1.1	השבתה של הרכבת cramfs	נמוך	לקבוע ערך (pass)
1.1.1.2	השבתה של הרכבת squashfs	נמוך	לקבוע ערך (pass)
1.1.1.3	השבתת הרכבה של udf	נמוך	לקבוע ערך (pass)
1.1.8.1	הוספת האפשרות nodev ל-‎ /dev/shm	בינוני	לקבוע ערך (pass)
1.1.8.2	הוספת האפשרות noexec ל-‎ /dev/shm	בינוני	לקבוע ערך (pass)
1.1.8.3	הוספת האפשרות nosuid ל-‎ /dev/shm	בינוני	לקבוע ערך (pass)
1.1.9	השבתת הכלי לטעינת מערכות קבצים באופן אוטומטי	בינוני	לקבוע ערך (pass)
1.1.10	השבתת טעינת מנהל התקן של אחסון USB באמצעות Modprobe	בינוני	לקבוע ערך (pass)
1.4.2	אימות ההרשאות של ‎ /boot/grub/grub.cfg	בינוני	לקבוע ערך (pass)
1.5.1	הפעלת פריסה אקראית של מרחב כתובות וירטואלי	בינוני	לקבוע ערך (pass)
1.5.2	החבילה prelink לא יכולה להיות מותקנת	בינוני	לקבוע ערך (pass)
1.5.3	השבתת שירות Apport	לא ידוע	לקבוע ערך (pass)
1.5.4	השבתת קובצי Core Dump לכל המשתמשים	בינוני	לקבוע ערך (pass)
1.5.4	השבתת קובצי Core Dump לתוכניות SUID	בינוני	לקבוע ערך (pass)
1.6.1.1	לוודא ש-AppArmor מותקן	בינוני	לקבוע ערך (pass)
1.6.1.2	מוודאים ש-AppArmor מופעל בהגדרות של תוכנת האתחול	בינוני	לקבוע ערך (pass)
1.6.1.4	אכיפה של כל פרופילי AppArmor	בינוני	לקבוע ערך (pass)
1.7.1	שינוי הבאנר של הודעת המערכת של היום	בינוני	לקבוע ערך (pass)
1.7.2	שינוי מודעת הבאנר להתחברות למערכת	בינוני	לקבוע ערך (pass)
1.7.3	שינוי באנר הכניסה למערכת לחיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.4	אימות הבעלות על קבוצה של באנר הודעת היום	בינוני	לקבוע ערך (pass)
1.7.4	אימות הבעלות על באנר ההודעה היומית	בינוני	לקבוע ערך (pass)
1.7.4	בדיקת ההרשאות בבאנר של הודעת היום	בינוני	לקבוע ערך (pass)
1.7.5	אימות בעלות קבוצתית על באנר הכניסה למערכת	בינוני	לקבוע ערך (pass)
1.7.5	אימות הבעלות על באנר הכניסה למערכת	בינוני	לקבוע ערך (pass)
1.7.5	אימות הרשאות בבאנר הכניסה למערכת	בינוני	לקבוע ערך (pass)
1.7.6	אימות הבעלות על קבוצה של באנר כניסה למערכת עבור חיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.6	אימות הבעלות על באנר הכניסה למערכת עבור חיבורים מרחוק	בינוני	לקבוע ערך (pass)
1.7.6	בדיקת ההרשאות בבאנר הכניסה למערכת לחיבורים מרוחקים	בינוני	לקבוע ערך (pass)
2.1.1.1	התקנת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.1.3.2	הפעלת השירות systemd_timesyncd	גבוה	לקבוע ערך (pass)
2.2.1	הסרה של קבוצת חבילות X Windows	בינוני	לקבוע ערך (pass)
2.2.2	השבתה של תוכנת שרת Avahi	בינוני	לקבוע ערך (pass)
2.2.2	הסרת חבילת השרת avahi	בינוני	לקבוע ערך (pass)
2.2.3	השבתת שירות CUPS	לא ידוע	לקבוע ערך (pass)
2.2.3	הסרת חבילת CUPS	לא ידוע	לקבוע ערך (pass)
2.2.4	הסרת חבילת שרת DHCP	בינוני	לקבוע ערך (pass)
2.2.5	הסרת החבילה openldap-servers	נמוך	לקבוע ערך (pass)
2.2.6	הסרת חבילת nfs-kernel-server	נמוך	לקבוע ערך (pass)
2.2.7	הסרת חבילת bind	נמוך	לקבוע ערך (pass)
2.2.8	הסרת חבילת vsftpd	גבוה	לקבוע ערך (pass)
2.2.9	הסרת חבילת httpd	לא ידוע	לקבוע ערך (pass)
2.2.9	הסרת חבילת nginx	לא ידוע	לקבוע ערך (pass)
2.2.10	הסרת חבילת cyrus-imapd	לא ידוע	לקבוע ערך (pass)
2.2.10	הסרת חבילת dovecot	לא ידוע	לקבוע ערך (pass)
2.2.11	הסרת חבילת Samba	לא ידוע	לקבוע ערך (pass)
2.2.12	הסרת חבילת squid	לא ידוע	לקבוע ערך (pass)
2.2.13	הסרת חבילת net-snmp	לא ידוע	לקבוע ערך (pass)
2.2.14	הסרת חבילת ה-NIS	נמוך	לקבוע ערך (pass)
2.2.15	מוודאים שסוכן העברת הדואר לא מאזין לכתובת שאינה כתובת לולאה חוזרת	בינוני	לקבוע ערך (pass)
2.2.16	הסרת חבילת rsync	בינוני	לקבוע ערך (pass)
2.3.2	הסרת חבילת rsh	לא ידוע	לקבוע ערך (pass)
2.3.3	הסרת חבילת talk	בינוני	לקבוע ערך (pass)
2.3.4	הסרת לקוחות telnet	נמוך	לקבוע ערך (pass)
2.3.5	מוודאים שלקוח LDAP לא מותקן	נמוך	לקבוע ערך (pass)
3.1.2	השבתה של ממשקי רשת אלחוטית	בינוני	לקבוע ערך (pass)
3.2.1	השבתת פרמטר הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.2.1	השבתת פרמטר הליבה לשליחת הפניות אוטומטיות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.2.2	השבתת פרמטר ליבה להעברת IPv6	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת מנות עם ניתוב ממקור לכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות עם ניתוב ממקור לכל ממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות עם ניתוב ממקור בממשקי IPv4 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.1	השבתת פרמטר הליבה לקבלת חבילות עם ניתוב לפי מקור בממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.2	השבתת האפשרות לקבל הפניות אוטומטיות של ICMP לכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.2	השבתה של קבלת הפניות אוטומטיות של ICMP לכל ממשקי ה-IPv6	בינוני	לקבוע ערך (pass)
3.3.2	השבתה של פרמטר ליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.2	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות של ICMP כברירת מחדל בממשקי IPv6	בינוני	לקבוע ערך (pass)
3.3.3	הגדרת פרמטר של ליבת המערכת לקבלת הפניות אוטומטיות מאובטחות כברירת מחדל	בינוני	לקבוע ערך (pass)
3.3.3	השבתת פרמטר הליבה לקבלת הפניות אוטומטיות מאובטחות של ICMP בכל ממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.4	הפעלת פרמטר של ליבת המערכת כדי לרשום ביומן מנות Martian בכל ממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.4	הפעלת פרמטר ליבה לרישום ביומן של חבילות Martian בכל ממשקי IPv4 כברירת מחדל	לא ידוע	לקבוע ערך (pass)
3.3.5	הפעלה של פרמטר ליבה להתעלמות מבקשות ICMP Broadcast Echo בממשקי IPv4	בינוני	לקבוע ערך (pass)
3.3.6	הפעלת פרמטר ליבה להתעלמות מתגובות שגיאה מזויפות של ICMP בממשקי IPv4	לא ידוע	לקבוע ערך (pass)
3.3.8	הפעלת פרמטר ליבה לשימוש ב-TCP Syncookies בממשקי רשת	בינוני	לקבוע ערך (pass)
3.3.9	הגדרה של קבלת הודעות על נתבים בכל הממשקים של IPv6	בינוני	לקבוע ערך (pass)
3.3.9	השבתה של קבלת הודעות פרסום של נתבים בכל ממשקי IPv6 כברירת מחדל	בינוני	לקבוע ערך (pass)
3.4.1	השבתה של התמיכה ב-DCCP	בינוני	לקבוע ערך (pass)
3.4.2	השבתת התמיכה ב-SCTP	בינוני	לקבוע ערך (pass)
3.4.3	השבתת התמיכה ב-RDS	נמוך	לקבוע ערך (pass)
3.4.4	השבתת התמיכה ב-TIPC	נמוך	לקבוע ערך (pass)
3.5.1.2	הסרת חבילת iptables-persistent	בינוני	לקבוע ערך (pass)
3.5.2.1	התקנת חבילת nftables	בינוני	לקבוע ערך (pass)
3.5.2.4	בדיקה שקיימת טבלה עבור Nftables	בינוני	לקבוע ערך (pass)
3.5.2.5	איך מוודאים שקיימות שרשרות בסיס עבור Nftables	בינוני	לקבוע ערך (pass)
3.5.2.9	אימות של הפעלת שירות nftables	בינוני	לקבוע ערך (pass)
3.5.3.1.1	התקנת חבילת iptables	בינוני	לקבוע ערך (pass)
3.5.3.1.3	הסרת חבילת ufw	בינוני	לקבוע ערך (pass)
4.1.1.1	מוודאים שמערכת המשנה לביקורת מותקנת	בינוני	לקבוע ערך (pass)
4.1.1.2	הפעלת שירות auditd	בינוני	לקבוע ערך (pass)
4.1.1.4	הארכת המגבלה של יומן הביקורת עבור שד הביקורת	נמוך	לקבוע ערך (pass)
4.1.2.1	הגדרה של גודל קובץ היומן המקסימלי ב-auditd	בינוני	לקבוע ערך (pass)
4.1.2.2	הגדרה של auditd max_log_file_action כשמגיעים לגודל היומן המקסימלי	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת הפעולה admin_space_left של auditd כשאין מספיק נפח אחסון	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת פעולה של mail_acct ב-auditd כשנפח האחסון נמוך	בינוני	לקבוע ערך (pass)
4.1.2.3	הגדרת הפעולה space_left של auditd במצב של נפח אחסון נמוך	בינוני	לקבוע ערך (pass)
4.1.3.1	איך מוודאים ש-auditd אוסף פעולות של אדמינים	בינוני	לקבוע ערך (pass)
4.1.3.2	הקלטת אירועים כשמופעלים קובצי הפעלה עם הרשאות	בינוני	לקבוע ערך (pass)
4.1.3.3	תיעוד ניסיונות לביצוע פעולות תחזוקה	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי הקובץ localtime	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי השעה באמצעות adjtimex	בינוני	לקבוע ערך (pass)
4.1.3.4	ניסיונות להקלטת שינוי השעה באמצעות clock_settime	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי השעה באמצעות settimeofday	בינוני	לקבוע ערך (pass)
4.1.3.4	תיעוד ניסיונות לשינוי השעה באמצעות stime	בינוני	לקבוע ערך (pass)
4.1.3.5	תיעוד אירועים שמשנים את סביבת הרשת של המערכת	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – su	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות מיוחדות – sudo	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות מיוחדות – sudoedit	בינוני	לקבוע ערך (pass)
4.1.3.6	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – umount	בינוני	לקבוע ערך (pass)
4.1.3.6	Ensure auditd Collects Information on the Use of Privileged Commands - unix_chkpwd	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לקבצים שלא צלחו – יצירה	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לא מוצלחים לקבצים – ftruncate	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לקבצים שנכשלו – פתוח	בינוני	לקבוע ערך (pass)
4.1.3.7	תיעוד ניסיונות גישה לקבצים שנכשלו – openat	בינוני	לקבוע ערך (pass)
4.1.3.7	Record Unsuccessful Access Attempts to Files - truncate	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים את פרטי המשתמש או הקבוצה – /etc/group	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/gshadow	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/passwd	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/security/opasswd	בינוני	לקבוע ערך (pass)
4.1.3.8	תיעוד אירועים שמשנים מידע על משתמשים או קבוצות – /etc/shadow	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – chmod	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – chown	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchmod	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchmodat	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchown	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fchownat	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fremovexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – fsetxattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – lchown	בינוני	לקבוע ערך (pass)
4.1.3.9	רישום אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – lremovexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – lsetxattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – removexattr	בינוני	לקבוע ערך (pass)
4.1.3.9	תיעוד אירועים שמשנים את אמצעי בקרת הגישה לפי שיקול דעת של המערכת – setxattr	בינוני	לקבוע ערך (pass)
4.1.3.10	מוודאים ש-auditd אוסף מידע על ייצוא למדיה (הצלחה)	בינוני	לקבוע ערך (pass)
4.1.3.11	תיעוד ניסיונות לשינוי פרטים על התהליך והפעלת הסשן	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשינוי אירועי כניסה ויציאה – faillog	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשינוי אירועי כניסה ויציאה – lastlog	בינוני	לקבוע ערך (pass)
4.1.3.12	תיעוד ניסיונות לשינוי אירועי כניסה ויציאה – tallylog	בינוני	לקבוע ערך (pass)
4.1.3.13	Ensure auditd Collects File Deletion Events by User - rename	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – renameat	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – unlink	בינוני	לקבוע ערך (pass)
4.1.3.13	מוודאים ש-auditd אוסף אירועים של מחיקת קבצים לפי משתמש – unlinkat	בינוני	לקבוע ערך (pass)
4.1.3.14	תיעוד אירועים שמשנים את אמצעי בקרת הגישה המחייבים של המערכת	בינוני	לקבוע ערך (pass)
4.1.3.15	הקלטה של כל הניסיונות להפעיל את chcon	בינוני	לקבוע ערך (pass)
4.1.3.16	הקלטה של כל הניסיונות להריץ את הפקודה setfacl	בינוני	לקבוע ערך (pass)
4.1.3.17	הקלטה של כל הניסיונות להריץ את הפקודה chacl	בינוני	לקבוע ערך (pass)
4.1.3.18	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – usermod	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על טעינת מודול ליבה – init_module	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על ביטול הטעינה של מודול ליבה – delete_module	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – insmod	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות – modprobe	בינוני	לקבוע ערך (pass)
4.1.3.19	מוודאים ש-auditd אוסף מידע על השימוש בפקודות עם הרשאות מיוחדות – rmmod	בינוני	לקבוע ערך (pass)
4.1.3.20	הפיכת ההגדרה של auditd לבלתי ניתנת לשינוי	בינוני	לקבוע ערך (pass)
4.1.4.1	יומני ביקורת של המערכת צריכים להיות במצב 0640 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
4.1.4.2	יומני הביקורת של המערכת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
4.1.4.3	יומני הביקורת של המערכת צריכים להיות בבעלות של קבוצת Root	בינוני	לקבוע ערך (pass)
4.1.4.4	יומני ביקורת של המערכת צריכים להיות במצב 0750 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
4.1.4.5	בדיקת ההרשאות ב-‎ /etc/audit/auditd.conf	בינוני	לקבוע ערך (pass)
4.1.4.5	בדיקת ההרשאות ב-‎ /etc/audit/rules.d/*.rules	בינוני	לקבוע ערך (pass)
4.1.4.6	קובצי תצורה של ביקורת חייבים להיות בבעלות של Root	בינוני	לקבוע ערך (pass)
4.1.4.7	קובצי תצורה של ביקורת צריכים להיות בבעלות של קבוצת root	בינוני	לקבוע ערך (pass)
4.1.4.8	אימות שלכלי הביקורת יש מצב 0755 או פחות	בינוני	לקבוע ערך (pass)
4.1.4.9	אימות הבעלות על כלי הביקורת על ידי משתמש על	בינוני	לקבוע ערך (pass)
4.1.4.10	אימות הבעלות על כלי הביקורת על ידי קבוצת הבסיס	בינוני	לקבוע ערך (pass)
4.2.1.1.1	התקנת חבילת systemd-journal-remote	בינוני	לקבוע ערך (pass)
4.2.1.1.4	השבתה של שקע systemd-journal-remote	בינוני	לקבוע ערך (pass)
4.2.1.2	הפעלת השירות systemd-journald	בינוני	לקבוע ערך (pass)
4.2.1.3	מוודאים ש-journald מוגדר לדחיסת קובצי יומן גדולים	בינוני	לקבוע ערך (pass)
4.2.1.4	מוודאים ש-journald מוגדר לכתוב קבצים של יומני אירועים לדיסק אחסון מתמיד (persistent disk)	בינוני	לקבוע ערך (pass)
4.2.2.1	מוודאים ש-rsyslog מותקן	בינוני	לקבוע ערך (pass)
4.2.2.2	הפעלת שירות rsyslog	בינוני	לקבוע ערך (pass)
4.2.2.4	מוודאים שהוגדרו הרשאות ברירת המחדל לקובץ rsyslog	בינוני	לקבוע ערך (pass)
4.2.2.7	מוודאים ש-rsyslog לא מקבל הודעות מרחוק אלא אם הוא פועל כשרת יומן	בינוני	לקבוע ערך (pass)
5.1.1	הפעלת שירות cron	בינוני	לקבוע ערך (pass)
5.1.2	אימות הקבוצה שבבעלותה קובץ ה-Crontab	בינוני	לקבוע ערך (pass)
5.1.2	אימות הבעלים ב-crontab	בינוני	לקבוע ערך (pass)
5.1.2	בדיקת ההרשאות ב-crontab	בינוני	לקבוע ערך (pass)
5.1.3	אימות הקבוצה שהיא הבעלים של cron.hourly	בינוני	לקבוע ערך (pass)
5.1.3	אימות הבעלים ב-cron.hourly	בינוני	לקבוע ערך (pass)
5.1.3	בדיקת ההרשאות ב-cron.hourly	בינוני	לקבוע ערך (pass)
5.1.4	אימות הקבוצה שהיא הבעלים של cron.daily	בינוני	לקבוע ערך (pass)
5.1.4	אימות הבעלים ב-cron.daily	בינוני	לקבוע ערך (pass)
5.1.4	בדיקת ההרשאות ב-cron.daily	בינוני	לקבוע ערך (pass)
5.1.5	אימות הקבוצה שהיא הבעלים של cron.weekly	בינוני	לקבוע ערך (pass)
5.1.5	אימות הבעלים ב-cron.weekly	בינוני	לקבוע ערך (pass)
5.1.5	בדיקת ההרשאות ב-cron.weekly	בינוני	לקבוע ערך (pass)
5.1.6	אימות הקבוצה שהיא הבעלים של cron.monthly	בינוני	לקבוע ערך (pass)
5.1.6	אימות הבעלים ב-cron.monthly	בינוני	לקבוע ערך (pass)
5.1.6	אימות ההרשאות ב-cron.monthly	בינוני	לקבוע ערך (pass)
5.1.7	אימות הקבוצה שבבעלותה cron.d	בינוני	לקבוע ערך (pass)
5.1.7	אימות הבעלים ב-cron.d	בינוני	לקבוע ערך (pass)
5.1.7	בדיקת ההרשאות ב-cron.d	בינוני	לקבוע ערך (pass)
5.1.8	מוודאים שהקובץ ‎ /etc/cron.deny לא קיים	בינוני	לקבוע ערך (pass)
5.1.8	אימות הקבוצה שהיא הבעלים של הקובץ ‎ /etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.8	בדיקת ההרשאות בקובץ ‎ /etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.8	אימות המשתמש שהוא הבעלים של הקובץ ‎ /etc/cron.allow	בינוני	לקבוע ערך (pass)
5.1.9	מוודאים שהקובץ ‎ /etc/at.deny לא קיים	בינוני	לקבוע ערך (pass)
5.1.9	אימות הקבוצה שבבעלותה הקובץ ‎ /etc/at.allow	בינוני	לקבוע ערך (pass)
5.1.9	בדיקת ההרשאות בקובץ ‎ /etc/at.allow	בינוני	לקבוע ערך (pass)
5.1.9	אימות המשתמש שהוא הבעלים של הקובץ ‎ /etc/at.allow	בינוני	לקבוע ערך (pass)
5.2.1	אימות הקבוצה שהיא הבעלים של קובץ התצורה של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.1	אימות הבעלים בקובץ התצורה של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.1	בדיקת ההרשאות בקובץ התצורה של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.2	בדיקת ההרשאות בקובצי מפתח פרטי של שרת SSH מסוג *_key	בינוני	לקבוע ערך (pass)
5.2.3	אימות ההרשאות בקובצי מפתח ציבורי ‎ *.pub של שרת SSH	בינוני	לקבוע ערך (pass)
5.2.5	מגדירים את LogLevel ל-INFO	נמוך	לקבוע ערך (pass)
5.2.6	הפעלת PAM	בינוני	לקבוע ערך (pass)
5.2.7	השבתת כניסת Root באמצעות SSH	בינוני	לקבוע ערך (pass)
5.2.8	השבתת אימות מבוסס-מארח	בינוני	לקבוע ערך (pass)
5.2.9	השבתת גישת SSH באמצעות סיסמאות ריקות	גבוה	לקבוע ערך (pass)
5.2.10	לא לאפשר אפשרויות סביבה של SSH	בינוני	לקבוע ערך (pass)
5.2.11	השבתת התמיכה ב-SSH בקובצי ‎ .rhosts	בינוני	לקבוע ערך (pass)
5.2.12	השבתת העברת X11	בינוני	לקבוע ערך (pass)
5.2.13	שימוש רק בהצפנות חזקות	בינוני	לקבוע ערך (pass)
5.2.14	שימוש רק בכתובות MAC חזקות	בינוני	לקבוע ערך (pass)
5.2.15	שימוש רק באלגוריתמים חזקים של חילופי מפתחות	בינוני	לקבוע ערך (pass)
5.2.16	השבתה של העברת TCP ב-SSH	בינוני	לקבוע ערך (pass)
5.2.17	הפעלת הודעת אזהרה ב-SSH	בינוני	לקבוע ערך (pass)
5.2.18	הגדרת מגבלת ניסיונות אימות SSH	בינוני	לקבוע ערך (pass)
5.2.19	מוודאים שההגדרה SSH MaxStartups מוגדרת	בינוני	לקבוע ערך (pass)
5.2.20	הגדרת מגבלה ל-MaxSessions ב-SSH	בינוני	לקבוע ערך (pass)
5.2.21	מוודאים שההגדרה SSH LoginGraceTime מוגדרת	בינוני	לקבוע ערך (pass)
5.2.22	הגדרת הערך המקסימלי של SSH Client Alive Count	בינוני	לקבוע ערך (pass)
5.2.22	הגדרת אינטרוול של פעילות לקוח SSH	בינוני	לקבוע ערך (pass)
5.3.1	התקנת חבילת sudo	בינוני	לקבוע ערך (pass)
5.3.2	הבטחה שרק משתמשים שמחוברים ל-tty אמיתי יוכלו להריץ sudo – sudo use_pty	בינוני	לקבוע ערך (pass)
5.3.3	מוודאים שקובץ היומן של Sudo קיים – sudo logfile	נמוך	לקבוע ערך (pass)
5.3.5	אימות מחדש של משתמשים להרחבת הרשאות – sudo !authenticate	בינוני	לקבוע ערך (pass)
5.3.6	דרישה לאימות מחדש כשמשתמשים בפקודה sudo	בינוני	לקבוע ערך (pass)
5.3.7	אכיפת שימוש ב-pam_wheel עם פרמטר Group לאימות su	בינוני	לקבוע ערך (pass)
5.3.7	מוודאים שהקבוצה שמשמשת את מודול pam_wheel קיימת במערכת ושהיא ריקה	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מותרות הנחיות לניסיון חוזר של אימות לכל הפעלה	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים שמערכת PAM אוכפת דרישות סיסמה – מינימום קטגוריות שונות	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של תווים מספריים	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את הדרישות לסיסמאות – אורך מינימלי	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות קטנות	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את הדרישות לגבי סיסמאות – מספר מינימלי של תווים מיוחדים	בינוני	לקבוע ערך (pass)
5.4.1	מוודאים ש-PAM אוכף את דרישות הסיסמה – מספר מינימלי של אותיות רישיות	בינוני	לקבוע ערך (pass)
5.4.1	התקנת חבילת pam_pwquality	בינוני	לקבוע ערך (pass)
5.4.2	נעילת חשבונות אחרי ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.2	הגדרת מרווח הזמן לספירת ניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.2	הגדרת זמן נעילה לניסיונות כושלים להזנת סיסמה	בינוני	לקבוע ערך (pass)
5.4.3	הגבלת שימוש חוזר בסיסמה	בינוני	לקבוע ערך (pass)
5.4.4	הגדרת אלגוריתם גיבוב סיסמאות ב-‎ /etc/login.defs	בינוני	לקבוע ערך (pass)
5.5.1.1	הגדרת הגיל המינימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.5.1.1	הגדרת הגיל המינימלי של הסיסמה	בינוני	לקבוע ערך (pass)
5.5.1.2	הגדרת הגיל המקסימלי של סיסמאות קיימות	בינוני	לקבוע ערך (pass)
5.5.1.3	הגדרת משך הזמן שבו מוצגת אזהרה לגבי סיסמה	בינוני	לקבוע ערך (pass)
5.5.1.4	הגדרת תפוגה של חשבון בעקבות חוסר פעילות	בינוני	לקבוע ערך (pass)
5.5.1.5	מוודאים שכל המשתמשים שינו את הסיסמה שלהם בעבר	בינוני	לקבוע ערך (pass)
5.5.2	מוודאים שחשבונות מערכת לא מריצים מעטפת לאחר הכניסה	בינוני	לקבוע ערך (pass)
5.5.3	אימות שלמשתמש Root יש GID ראשי 0	גבוה	לקבוע ערך (pass)
5.5.4	מוודאים ש-Default Bash Umask מוגדר בצורה נכונה	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שערך ברירת המחדל של Umask מוגדר בצורה נכונה עבור משתמשים אינטראקטיביים	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שערך ברירת המחדל של Umask מוגדר בצורה נכונה ב-‎ /etc/profile	בינוני	לקבוע ערך (pass)
5.5.4	מוודאים שערך ברירת המחדל של Umask מוגדר בצורה נכונה בקובץ login.defs	בינוני	לקבוע ערך (pass)
5.5.5	הגדרת הזמן הקצוב לתפוגה של סשן אינטראקטיבי	בינוני	לקבוע ערך (pass)
6.1.1	אימות הקבוצה שהיא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
6.1.1	אימות ההרשאות בקובץ passwd	בינוני	לקבוע ערך (pass)
6.1.1	אימות המשתמש שהוא הבעלים של קובץ passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות הקבוצה שבבעלותה קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות ההרשאות בקובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.2	אימות המשתמש שהוא הבעלים של קובץ הגיבוי passwd	בינוני	לקבוע ערך (pass)
6.1.3	אימות הקבוצה שהיא הבעלים של קובץ הקבוצה	בינוני	לקבוע ערך (pass)
6.1.3	בדיקת ההרשאות בקובץ של הקבוצה	בינוני	לקבוע ערך (pass)
6.1.3	אימות המשתמש שהוא הבעלים של קובץ קבוצה	בינוני	לקבוע ערך (pass)
6.1.4	אימות הקבוצה שהיא הבעלים של קובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.4	בדיקת ההרשאות בקובץ של קבוצת הגיבוי	בינוני	לקבוע ערך (pass)
6.1.4	אימות המשתמש שהוא הבעלים של קובץ בקבוצת הגיבוי	בינוני	לקבוע ערך (pass)
6.1.5	אימות הקבוצה שהיא הבעלים של קובץ הצללים	בינוני	לקבוע ערך (pass)
6.1.5	בדיקת ההרשאות בקובץ הצללים	בינוני	לקבוע ערך (pass)
6.1.5	אימות המשתמש שהוא הבעלים של קובץ הצללים	בינוני	לקבוע ערך (pass)
6.1.6	אימות הקבוצה שהיא הבעלים של קובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.6	בדיקת ההרשאות בקובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.6	אימות המשתמש שהוא הבעלים של קובץ הגיבוי	בינוני	לקבוע ערך (pass)
6.1.7	אימות הקבוצה שהיא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.7	אימות ההרשאות בקובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.7	אימות המשתמש שהוא הבעלים של קובץ gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות הקבוצה שבבעלותה קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות ההרשאות בקובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.8	אימות המשתמש שהוא הבעלים של קובץ הגיבוי gshadow	בינוני	לקבוע ערך (pass)
6.1.10	איך מוודאים שמשתמש הוא הבעלים של כל הקבצים	בינוני	לקבוע ערך (pass)
6.2.1	אימות של כל ה-hash של הסיסמאות בחשבון מוצלל	בינוני	לקבוע ערך (pass)
6.2.2	מוודאים שאין חשבונות עם סיסמאות ריקות או סיסמאות null	גבוה	לקבוע ערך (pass)
6.2.3	כל מזהי הקבוצות (GID) שמפנים אליהם בקובץ ‎ /etc/passwd צריכים להיות מוגדרים בקובץ ‎ /etc/group	נמוך	לקבוע ערך (pass)
6.2.4	מוודאים שהקבוצה הווירטואלית ריקה	בינוני	לקבוע ערך (pass)
6.2.5	מוודאים שלכל החשבונות במערכת יש מזהי משתמש ייחודיים	בינוני	לקבוע ערך (pass)
6.2.6	מוודאים שלכל הקבוצות במערכת יש מזהה קבוצה ייחודי	בינוני	לקבוע ערך (pass)
6.2.7	מוודאים שלכל החשבונות במערכת יש שמות ייחודיים	בינוני	לקבוע ערך (pass)
6.2.8	מוודאים שלכל הקבוצות במערכת יש שמות קבוצות ייחודיים	בינוני	לקבוע ערך (pass)
6.2.9	מוודאים שהנתיב של Root לא כולל נתיבים יחסיים או ספריות ריקות	לא ידוע	לקבוע ערך (pass)
6.2.9	מוודאים שהנתיב של Root לא כולל ספריות שניתן לכתוב בהן על ידי World או Group	בינוני	לקבוע ערך (pass)
6.2.10	אימות לכך שרק למשתמש הבסיסי יש UID 0	גבוה	לקבוע ערך (pass)
6.2.11	כל ספריות הבית של משתמשים אינטראקטיביים חייבות להתקיים	בינוני	לקבוע ערך (pass)
6.2.12	כל ספריות הבית של משתמשים אינטראקטיביים חייבות להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
6.2.12	כל ספריות הבית של משתמשים אינטראקטיביים חייבות להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
6.2.13	כל ספריות הבית האינטראקטיביות של המשתמשים צריכות להיות במצב 0750 או במצב פחות מתירני	בינוני	לקבוע ערך (pass)
6.2.14	אימות שלא קיימים קובצי netrc	בינוני	לקבוע ערך (pass)
6.2.15	אימות שלא קיימים קבצים מסוג ‎ .forward	בינוני	לקבוע ערך (pass)
6.2.16	הסרת קבצים של Rsh Trust	גבוה	לקבוע ערך (pass)
6.2.17	קבצי האתחול של המשתמש חייבים להיות בבעלות הקבוצה הראשית	בינוני	לקבוע ערך (pass)
6.2.17	קבצי ההפעלה של המשתמש חייבים להיות בבעלות המשתמש הראשי	בינוני	לקבוע ערך (pass)
6.2.17	קבצי אתחול של משתמשים לא יכולים להפעיל תוכניות עם הרשאת כתיבה לכל המשתמשים	בינוני	לקבוע ערך (pass)

המלצות שלא רלוונטיות

בטבלה הבאה מפורטות ההמלצות שלא רלוונטיות ל-Google Distributed Cloud.

#	המלצה	חוּמרה	סטטוס
1.1.2.2	הוספת האפשרות nodev ל-‎ /tmp	בינוני	לא רלוונטי
1.1.2.3	הוספת האפשרות noexec ל-/tmp	בינוני	לא רלוונטי
1.1.2.4	הוספת האפשרות nosuid ל-‎ /tmp	בינוני	לא רלוונטי
1.1.3.2	הוספת האפשרות nodev ל-‎ /var	בינוני	לא רלוונטי
1.1.3.3	הוספת האפשרות nosuid ל-‎ /var	בינוני	לא רלוונטי
1.1.4.2	הוספת האפשרות noexec ל-‎ /var/tmp	בינוני	לא רלוונטי
1.1.4.3	הוספת האפשרות nosuid ל-‎ /var/tmp	בינוני	לא רלוונטי
1.1.4.4	הוספת האפשרות nodev ל-‎ /var/tmp	בינוני	לא רלוונטי
1.1.5.2	הוספת האפשרות nodev ל-‎ /var/log	בינוני	לא רלוונטי
1.1.5.3	הוספת האפשרות noexec ל-‎ /var/log	בינוני	לא רלוונטי
1.1.5.4	הוספת האפשרות nosuid ל-‎ /var/log	בינוני	לא רלוונטי
1.1.6.2	הוספת האפשרות noexec ל-‎ /var/log/audit	בינוני	לא רלוונטי
1.1.6.3	הוספת האפשרות nodev אל /var/log/audit	בינוני	לא רלוונטי
1.1.6.4	הוספת האפשרות nosuid ל-‎ /var/log/audit	בינוני	לא רלוונטי
1.1.7.2	הוספת האפשרות nodev ל-/home	לא ידוע	לא רלוונטי
1.1.7.3	הוספת האפשרות nosuid ל-/home	בינוני	לא רלוונטי
1.4.1	הגדרת סיסמה לטוען האתחול של UEFI	גבוה	לא רלוונטי
1.8.1	הסרת קבוצת חבילות GDM	בינוני	לא רלוונטי
1.8.4	הפעלה של נעילת שומר המסך ב-GNOME3 אחרי תקופה של חוסר פעילות	בינוני	לא רלוונטי
1.8.5	הגדרה של השהיית נעילת שומר המסך ב-GNOME3 אחרי תקופת ההפעלה	בינוני	לא רלוונטי
1.8.6	השבתת הפתיחה האוטומטית של GNOME3	בינוני	לא רלוונטי
1.8.6	השבתת ההרכבה האוטומטית ב-GNOME3	בינוני	לא רלוונטי
1.8.8	השבתת ההרצה של GNOME3 Automount	נמוך	לא רלוונטי
1.8.10	השבתת XDMCP ב-GDM	גבוה	לא רלוונטי
‫1.10	הגדרת פרופיל משתמש של GNOME3 DConf	גבוה	לא רלוונטי
2.1.4.1	הגדרת הגבלות שרת עבור ntpd	בינוני	לא רלוונטי
2.1.4.3	הגדרת ntpd להפעלה כמשתמש ntp	בינוני	לא רלוונטי
2.1.4.4	הפעלת NTP Daemon	גבוה	לא רלוונטי
2.2.15	השבתה של האזנה לרשת ב-Postfix	בינוני	לא רלוונטי
3.5.1.3	אימות ההפעלה של ufw	בינוני	לא רלוונטי
3.5.1.4	הגדרת תנועת לולאה חוזרת (loopback) ב-UFW	בינוני	לא רלוונטי
3.5.1.6	מוודאים שקיימים כללים בחומת האש ufw לכל היציאות הפתוחות	בינוני	לא רלוונטי
3.5.1.7	הקפדה על מדיניות ברירת המחדל של חומת האש ufw	בינוני	לא רלוונטי
3.5.3.2.1	הגדרת מדיניות ברירת מחדל של iptables עבור מנות נכנסות	בינוני	לא רלוונטי
3.5.3.2.2	הגדרת תעבורת נתונים של לולאה חוזרת	בינוני	לא רלוונטי
3.5.3.2.4	מוודאים שקיימים כללים בחומת האש של iptables לכל היציאות הפתוחות	בינוני	לא רלוונטי
3.5.3.3.1	הגדרת מדיניות ברירת מחדל של ip6tables עבור מנות נכנסות	בינוני	לא רלוונטי
3.5.3.3.4	מוודאים שקיימים כללים לחומת האש ip6tables לכל היציאות הפתוחות	בינוני	לא רלוונטי

הגדרת משימת cron של AIDE

‫AIDE הוא כלי לבדיקת תקינות קבצים שמאמת את התאימות ל-CIS L1 Server benchmark 1.4 Filesystem Integrity Checking. ב-Google Distributed Cloud, תהליך AIDE גורם לבעיות שקשורות לשימוש גבוה במשאבים.

תהליך AIDE בצמתים מושבת כברירת מחדל כדי למנוע בעיות במשאבים. הפעולה הזו תשפיע על התאימות לבנצ'מרק של שרת CIS L1‏ 1.4.2: Ensure filesystem integrity is regularly checked.

כדי להפעיל את משימת ה-cron של AIDE, צריך לבצע את השלבים הבאים כדי להפעיל מחדש את AIDE:

1. יוצרים DaemonSet.

   קובץ מניפסט של DaemonSet:

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
   name: enable-aide-pool1
   spec:
   selector:
     matchLabels:
       app: enable-aide-pool1
   template:
     metadata:
       labels:
         app: enable-aide-pool1
     spec:
       hostIPC: true
       hostPID: true
       nodeSelector:
         cloud.google.com/gke-nodepool: pool-1
       containers:
       - name: update-audit-rule
         image: ubuntu
         command: ["chroot", "/host", "bash", "-c"]
         args:
         - |
           set -x
           while true; do
             # change daily cronjob schedule
             minute=30;hour=5
             sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab
   
             # enable aide
             chmod 755 /etc/cron.daily/aide
   
             sleep 3600
           done
         volumeMounts:
         - name: host
           mountPath: /host
         securityContext:
           privileged: true
       volumes:
       - name: host
         hostPath:
           path: /
   

   במניפסט הקודם:

   • משימת ה-cron של AIDE תפעל רק במאגר הצמתים pool-1 כפי שצוין ב-nodeSelector cloud.google.com/gke-nodepool: pool-1. אתם יכולים להגדיר את תהליך AIDE כך שיפעל על כמה מאגרי צמתים שתרצו, על ידי ציון המאגרים בשדה nodeSelector. כדי להריץ את אותו לוח זמנים של משימת cron בכמה מאגרי צמתים, מסירים את השדה nodeSelector. עם זאת, כדי למנוע עומס על משאבי המארח, מומלץ לשמור על לוחות זמנים נפרדים.

   • משימת ה-cron מתוזמנת להרצה מדי יום בשעה 5:30 בבוקר, כפי שצוין בהגדרה minute=30;hour=5. אפשר להגדיר ל-AIDE משימת cron לוחות זמנים שונים לפי הצורך.

2. מעתיקים את המניפסט לקובץ בשם enable-aide.yaml ויוצרים את ה-DaemonSet:

   kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
   

   ‫USER_CLUSTER_KUBECONFIG הוא הנתיב של קובץ ה-kubeconfig עבור אשכול המשתמשים.

שימוש בהערכה של Security Content Automation Protocol‏ (SCAP)

מומלץ לסרוק את ההתקנה בעצמכם כדי להעריך את התאימות שלה לרמה 2 בהשוואה למדד CIS של Ubuntu Linux. יש מגוון כלים לסריקת האשכולות ותחנת העבודה של האדמין. כדי לבצע הערכת אבטחה ברמה 2, אפשר לפעול לפי השלבים הבאים כדי להתקין ולהפעיל את ערכת הכלים OpenSCAP בקוד פתוח:

1. מעתיקים את הסקריפט הבא לקובץ בשם cis-benchmark.sh:

   #!/bin/bash
   
   set -x
   
   REPORTS_DIR="$1"
   
   mkdir -p "${REPORTS_DIR}"
   
   echo "Start CIS L2 benchmark evaluation..."
   apt update
   apt install libopenscap8
   sudo oscap xccdf eval \
       --profile cis_level2_server_customized \
       --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \
       --results "${REPORTS_DIR}"/cis-results.xml \
       --report "${REPORTS_DIR}"/cis-report.html \
       --verbose INFO \
       --verbose-log-file "${REPORTS_DIR}/cis-output-verbose.log" \
       /etc/cloud/usg/ssg-ubuntu2204-ds-1.2.xml > "${REPORTS_DIR}"/cis-output.log 2>&1
   chmod -R 755 "${REPORTS_DIR}/.."
   echo "Done CIS L2 benchmark evaluation"
   

2. הופכים את הסקריפט לניתן להרצה:

   chmod +x cis-benchmark.sh
   

3. מריצים את הסקריפט:

   ./cis-benchmark.sh REPORTS_DIR
   

   מחליפים את REPORTS_DIR בנתיב של ספרייה קיימת שבה רוצים לשמור את דוח ההערכה שנוצר.

   כשהסקריפט מסתיים בהצלחה, בספרייה REPORTS_DIR מופיע הקובץ cis-report.html שנוצר.