Referência do Ubuntu do CIS

Este documento descreve o nível de conformidade do Google Distributed Cloud com a CIS Ubuntu Benchmark.

Aceda ao teste de referência

A referência do Ubuntu do CIS está disponível no Website do CIS.

Perfil de configuração

No documento CIS Ubuntu Benchmark, pode ler acerca dos perfis de configuração. As imagens do Ubuntu usadas pelo Google Distributed Cloud são reforçadas para cumprir o perfil de servidor de nível 2.

Avaliação no Google Distributed Cloud

Usamos os seguintes valores para especificar o estado das recomendações do Ubuntu no Google Distributed Cloud.

Estado	Descrição
passar	Está em conformidade com uma recomendação de valor de referência.
falhar	Desvia-se de uma recomendação de referência.
notapplicable	Não é relevante para ser testado no sistema que está a ser avaliado.

Estado do Google Distributed Cloud

As imagens do Ubuntu usadas com o Google Distributed Cloud são reforçadas para cumprir o perfil de servidor do CIS nível 2. A tabela seguinte apresenta justificações para o facto de os componentes do Google Distributed Cloud não terem passado em determinadas recomendações. Os testes de referência com o estado Passed não estão incluídos na tabela seguinte.

1,32

Versões

Esta secção refere-se a estas versões:

Versão do Google Distributed Cloud	Versão do Ubuntu	Versão da referência do Ubuntu do CIS	Nível de CEI
1,32	22.04 LTS	v1.0.0	Servidor de nível 2

Recomendações com falhas

A tabela seguinte apresenta as recomendações para as quais o Google Distributed Cloud se desvia das recomendações da referência. Estas conclusões aplicam-se aos nós do cluster e à estação de trabalho do administrador.

#	Recomendação	Gravidade	Estado
1.1.2.1	Certifique-se de que /tmp está localizado numa partição separada	baixos	falhar
1.1.3.1	Certifique-se de que /var está localizado numa partição separada	baixos	falhar
1.1.4.1	Certifique-se de que /var/tmp está localizado numa partição separada	média	falhar
1.1.5.1	Certifique-se de que /var/log está localizado numa partição separada	baixos	falhar
1.1.6.1	Certifique-se de que /var/log/audit está localizado numa partição separada	baixos	falhar
1.1.7.1	Certifique-se de que /home está localizado numa partição separada	baixos	falhar
1.4.1	Defina a palavra-passe do carregador de arranque no grub2	alta	falhar
1.4.3	Certifique-se de que a autenticação é obrigatória para o modo de utilizador único	média	falhar
2.3.6	Desinstale o pacote rpcbind	baixos	falhar
3.2.2	Desative o parâmetro do kernel para o encaminhamento de IP em interfaces IPv4	média	falhar
3.3.7	Ative o parâmetro do kernel para usar a filtragem de caminho inverso em todas as interfaces IPv4 por predefinição	média	falhar
3.3.7	Ative o parâmetro do kernel para usar a filtragem de caminho inverso em todas as interfaces IPv4	média	falhar
3.5.2.8	Garanta a política de firewall de negação predefinida do nftables	média	falhar
3.5.2.10	Certifique-se de que as regras nftables são permanentes	média	falhar
4.2.3	Valide as autorizações dos ficheiros de registo	média	falhar
5.2.4	Limite o acesso SSH dos utilizadores	desconhecido	falhar
5.3.4	Garanta que os utilizadores voltam a fazer a autenticação para a escalada de privilégios: sudo	média	falhar
5.5.1.2	Definir idade máxima da palavra-passe	média	falhar

Recomendações aprovadas

A tabela seguinte apresenta as recomendações com as quais o Google Distributed Cloud está em conformidade.

#	Recomendação	Gravidade	Estado
1.1.1.1	Desative a montagem de cramfs	baixos	passar
1.1.1.2	Desative a montagem de squashfs	baixos	passar
1.1.1.3	Desative a montagem de udf	baixos	passar
1.1.8.1	Adicione a opção nodev a /dev/shm	média	passar
1.1.8.2	Adicione a opção noexec a /dev/shm	média	passar
1.1.8.3	Adicione a opção nosuid a /dev/shm	média	passar
1.1.9	Desative o Automounter	média	passar
1.1.10	Desative o carregamento do Modprobe do controlador de armazenamento USB	média	passar
1.4.2	Valide as autorizações de /boot/grub/grub.cfg	média	passar
1.5.1	Ative o esquema aleatório do espaço de endereços virtual	média	passar
1.5.2	O pacote "prelink" não pode estar instalado	média	passar
1.5.3	Desative o serviço Apport	desconhecido	passar
1.5.4	Desative os despejos de memória para todos os utilizadores	média	passar
1.5.4	Desative os despejos de memória para programas SUID	média	passar
1.6.1.1	Certifique-se de que o AppArmor está instalado	média	passar
1.6.1.2	Certifique-se de que o AppArmor está ativado na configuração do carregador de arranque	média	passar
1.6.1.4	Aplique todos os perfis do AppArmor	média	passar
1.7.1	Modifique o banner de mensagem do dia do sistema	média	passar
1.7.2	Modifique a faixa de início de sessão do sistema	média	passar
1.7.3	Modifique a faixa publicitária de início de sessão do sistema para ligações remotas	média	passar
1.7.4	Valide a propriedade do grupo da faixa de mensagem do dia	média	passar
1.7.4	Valide a propriedade da faixa de mensagem do dia	média	passar
1.7.4	Valide as autorizações na faixa de mensagem do dia	média	passar
1.7.5	Valide a propriedade do grupo da faixa de início de sessão do sistema	média	passar
1.7.5	Valide a propriedade da faixa de início de sessão do sistema	média	passar
1.7.5	Valide as autorizações na faixa de início de sessão do sistema	média	passar
1.7.6	Valide a propriedade do grupo da faixa de início de sessão do sistema para ligações remotas	média	passar
1.7.6	Valide a propriedade da faixa de início de sessão do sistema para ligações remotas	média	passar
1.7.6	Valide as autorizações na faixa de início de sessão do sistema para ligações remotas	média	passar
2.1.1.1	Instale o serviço systemd_timesyncd	alta	passar
2.1.3.2	Ative o serviço systemd_timesyncd	alta	passar
2.2.1	Remova o grupo de pacotes do X Windows	média	passar
2.2.2	Desative o software do servidor Avahi	média	passar
2.2.2	Desinstale o pacote do servidor avahi	média	passar
2.2.3	Desative o serviço CUPS	desconhecido	passar
2.2.3	Desinstale o pacote CUPS	desconhecido	passar
2.2.4	Desinstale o pacote do servidor DHCP	média	passar
2.2.5	Desinstale o pacote openldap-servers	baixos	passar
2.2.6	Desinstale o pacote nfs-kernel-server	baixos	passar
2.2.7	Desinstale o pacote de associação	baixos	passar
2.2.8	Desinstale o pacote vsftpd	alta	passar
2.2.9	Desinstale o pacote httpd	desconhecido	passar
2.2.9	Desinstale o pacote nginx	desconhecido	passar
2.2.10	Desinstale o pacote cyrus-imapd	desconhecido	passar
2.2.10	Desinstale o pacote dovecot	desconhecido	passar
2.2.11	Desinstale o pacote Samba	desconhecido	passar
2.2.12	Desinstale o pacote squid	desconhecido	passar
2.2.13	Desinstale o pacote net-snmp	desconhecido	passar
2.2.14	Desinstale o pacote nis	baixos	passar
2.2.15	Certifique-se de que o agente de transferência de correio não está a ouvir nenhum endereço que não seja de loopback	média	passar
2.2.16	Desinstale o pacote rsync	média	passar
2.3.2	Desinstale o pacote rsh	desconhecido	passar
2.3.3	Desinstale o pacote de talk	média	passar
2.3.4	Remova clientes Telnet	baixos	passar
2.3.5	Certifique-se de que o cliente LDAP não está instalado	baixos	passar
3.1.2	Desative as interfaces de rede sem fios	média	passar
3.2.1	Desative o parâmetro do kernel para o envio de redirecionamentos ICMP em todas as interfaces IPv4 por predefinição	média	passar
3.2.1	Desative o parâmetro do kernel para o envio de redirecionamentos ICMP em todas as interfaces IPv4	média	passar
3.2.2	Desative o parâmetro do kernel para o encaminhamento IPv6	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em todas as interfaces IPv4	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em todas as interfaces IPv6	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em interfaces IPv4 por predefinição	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em interfaces IPv6 por predefinição	média	passar
3.3.2	Desative a aceitação de redirecionamentos ICMP para todas as interfaces IPv4	média	passar
3.3.2	Desative a aceitação de redirecionamentos ICMP para todas as interfaces IPv6	média	passar
3.3.2	Desative o parâmetro do kernel para aceitar redirecionamentos ICMP por predefinição em interfaces IPv4	média	passar
3.3.2	Desative o parâmetro do kernel para aceitar redirecionamentos ICMP por predefinição em interfaces IPv6	média	passar
3.3.3	Configure o parâmetro do kernel para aceitar redirecionamentos seguros por predefinição	média	passar
3.3.3	Desative o parâmetro do kernel para aceitar redirecionamentos ICMP seguros em todas as interfaces IPv4	média	passar
3.3.4	Ative o parâmetro do kernel para registar pacotes marcianos em todas as interfaces IPv4	desconhecido	passar
3.3.4	Ative o parâmetro do kernel para registar pacotes marcianos em todas as interfaces IPv4 por predefinição	desconhecido	passar
3.3.5	Ative o parâmetro do kernel para ignorar pedidos de eco de transmissão ICMP em interfaces IPv4	média	passar
3.3.6	Ative o parâmetro do kernel para ignorar respostas de erro ICMP falsas em interfaces IPv4	desconhecido	passar
3.3.8	Ative o parâmetro do kernel para usar TCP Syncookies em interfaces de rede	média	passar
3.3.9	Configure a aceitação de anúncios de routers em todas as interfaces IPv6	média	passar
3.3.9	Desative a aceitação de anúncios de routers em todas as interfaces IPv6 por predefinição	média	passar
3.4.1	Desative o suporte do DCCP	média	passar
3.4.2	Desative o suporte de SCTP	média	passar
3.4.3	Desative o suporte de RDS	baixos	passar
3.4.4	Desative o suporte de TIPC	baixos	passar
3.5.1.2	Remova o pacote iptables-persistent	média	passar
3.5.2.1	Instale o pacote nftables	média	passar
3.5.2.4	Certifique-se de que existe uma tabela para o Nftables	média	passar
3.5.2.5	Certifique-se de que existem cadeias de base para o Nftables	média	passar
3.5.2.9	Verifique se o serviço nftables está ativado	média	passar
3.5.3.1.1	Instale o pacote iptables	média	passar
3.5.3.1.3	Remova o pacote ufw	média	passar
4.1.1.1	Certifique-se de que o subsistema de auditoria está instalado	média	passar
4.1.1.2	Ative o serviço auditd	média	passar
4.1.1.4	Prolongue o limite de registo de auditoria pendente para o daemon de auditoria	baixos	passar
4.1.2.1	Configure o tamanho máximo do ficheiro de registo do auditd	média	passar
4.1.2.2	Configure o auditd max_log_file_action ao atingir o tamanho máximo do registo	média	passar
4.1.2.3	Configure a ação admin_space_left do auditd quando houver pouco espaço em disco	média	passar
4.1.2.3	Configure a ação mail_acct do auditd em caso de espaço insuficiente no disco	média	passar
4.1.2.3	Configure a ação space_left do auditd em caso de espaço insuficiente no disco	média	passar
4.1.3.1	Certifique-se de que o auditd recolhe as ações do administrador do sistema	média	passar
4.1.3.2	Registe eventos quando são executáveis privilegiados	média	passar
4.1.3.3	Registar tentativas de realizar atividades de manutenção	média	passar
4.1.3.4	Registe tentativas de alteração do ficheiro localtime	média	passar
4.1.3.4	Registe tentativas de alterar a hora através do adjtimex	média	passar
4.1.3.4	Tentativas de alteração da hora através de clock_settime	média	passar
4.1.3.4	Registar tentativas de alteração da hora através de settimeofday	média	passar
4.1.3.4	Tentativas de alteração da hora através de stime	média	passar
4.1.3.5	Registe eventos que modificam o ambiente de rede do sistema	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: su	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: sudo	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: sudoedit	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: umount	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados – unix_chkpwd	média	passar
4.1.3.7	Registar tentativas de acesso sem êxito a ficheiros – creat	média	passar
4.1.3.7	Registe tentativas de acesso sem êxito a ficheiros – ftruncate	média	passar
4.1.3.7	Registar tentativas de acesso sem êxito a ficheiros – aberto	média	passar
4.1.3.7	Registe tentativas de acesso sem êxito a ficheiros – openat	média	passar
4.1.3.7	Registar tentativas de acesso sem êxito a ficheiros – truncar	média	passar
4.1.3.8	Registar eventos que modificam as informações de utilizadores/grupos: /etc/group	média	passar
4.1.3.8	Registe eventos que modificam informações de utilizadores/grupos: /etc/gshadow	média	passar
4.1.3.8	Registe eventos que modificam informações de utilizadores/grupos: /etc/passwd	média	passar
4.1.3.8	Registe eventos que modificam informações de utilizadores/grupos: /etc/security/opasswd	média	passar
4.1.3.8	Registe eventos que modificam as informações de utilizadores/grupos: /etc/shadow	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: chmod	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: chown	média	passar
4.1.3.9	Registar eventos que modificam os controlos de acesso discricionários do sistema: fchmod	média	passar
4.1.3.9	Registar eventos que modificam os controlos de acesso discricionários do sistema: fchmodat	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: fchown	média	passar
4.1.3.9	Registar eventos que modificam os controlos de acesso discricionários do sistema: fchownat	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: fremovexattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: fsetxattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: lchown	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: lremovexattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: lsetxattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: removexattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: setxattr	média	passar
4.1.3.10	Certifique-se de que o auditd recolhe informações sobre a exportação para suportes (com êxito)	média	passar
4.1.3.11	Registe tentativas de alteração das informações de processo e de iniciação de sessão	média	passar
4.1.3.12	Registe tentativas de alteração de eventos de início e fim de sessão – faillog	média	passar
4.1.3.12	Registe tentativas de alteração de eventos de início e fim de sessão – lastlog	média	passar
4.1.3.12	Registe tentativas de alteração de eventos de início e fim de sessão – tallylog	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador: mude o nome	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador: renameat	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador – unlink	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador: unlinkat	média	passar
4.1.3.14	Registe eventos que modificam os controlos de acesso obrigatórios do sistema	média	passar
4.1.3.15	Registe todas as tentativas de execução de chcon	média	passar
4.1.3.16	Registe todas as tentativas de execução de setfacl	média	passar
4.1.3.17	Registe todas as tentativas de execução do chacl	média	passar
4.1.3.18	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: usermod	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre o carregamento do módulo do kernel: init_module	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a desativação do módulo do kernel: delete_module	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: insmod	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: modprobe	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: rmmod	média	passar
4.1.3.20	Torne a configuração do auditd imutável	média	passar
4.1.4.1	Os registos de auditoria do sistema têm de ter o modo 0640 ou menos permissivo	média	passar
4.1.4.2	Os registos de auditoria do sistema têm de ser propriedade da raiz	média	passar
4.1.4.3	Os registos de auditoria do sistema têm de ser propriedade do grupo root	média	passar
4.1.4.4	Os registos de auditoria do sistema têm de ter o modo 0750 ou menos permissivo	média	passar
4.1.4.5	Valide as autorizações em /etc/audit/auditd.conf	média	passar
4.1.4.5	Valide as autorizações em /etc/audit/rules.d/*.rules	média	passar
4.1.4.6	Os ficheiros de configuração de auditoria têm de ser propriedade do utilizador root	média	passar
4.1.4.7	Os ficheiros de configuração de auditoria têm de ser propriedade do grupo root	média	passar
4.1.4.8	Verifique se as ferramentas de auditoria têm o modo 0755 ou inferior	média	passar
4.1.4.9	Verifique se as ferramentas de auditoria são propriedade do root	média	passar
4.1.4.10	Verifique se as ferramentas de auditoria são propriedade da raiz do grupo	média	passar
4.2.1.1.1	Instale o pacote systemd-journal-remote	média	passar
4.2.1.1.4	Desative o Socket systemd-journal-remote	média	passar
4.2.1.2	Ative o serviço systemd-journald	média	passar
4.2.1.3	Certifique-se de que o journald está configurado para comprimir ficheiros de registo grandes	média	passar
4.2.1.4	Certifique-se de que o journald está configurado para escrever ficheiros de registo no disco persistente	média	passar
4.2.2.1	Certifique-se de que o rsyslog está instalado	média	passar
4.2.2.2	Ative o serviço rsyslog	média	passar
4.2.2.4	Certifique-se de que as autorizações de ficheiros predefinidas do rsyslog estão configuradas	média	passar
4.2.2.7	Certifique-se de que o rsyslog não aceita mensagens remotas, a menos que esteja a funcionar como servidor de registo	média	passar
5.1.1	Ative o serviço cron	média	passar
5.1.2	Valide o grupo proprietário do crontab	média	passar
5.1.2	Valide o proprietário no crontab	média	passar
5.1.2	Valide as autorizações no crontab	média	passar
5.1.3	Valide o grupo proprietário de cron.hourly	média	passar
5.1.3	Valide o proprietário em cron.hourly	média	passar
5.1.3	Valide as autorizações em cron.hourly	média	passar
5.1.4	Valide o grupo proprietário de cron.daily	média	passar
5.1.4	Valide o proprietário em cron.daily	média	passar
5.1.4	Valide as autorizações no cron.daily	média	passar
5.1.5	Valide o grupo proprietário de cron.weekly	média	passar
5.1.5	Valide o proprietário em cron.weekly	média	passar
5.1.5	Valide as autorizações no cron.weekly	média	passar
5.1.6	Valide o grupo proprietário de cron.monthly	média	passar
5.1.6	Valide o proprietário em cron.monthly	média	passar
5.1.6	Valide as autorizações em cron.monthly	média	passar
5.1.7	Valide o grupo proprietário de cron.d	média	passar
5.1.7	Valide o proprietário no cron.d	média	passar
5.1.7	Valide as autorizações no cron.d	média	passar
5.1.8	Certifique-se de que o ficheiro /etc/cron.deny não existe	média	passar
5.1.8	Valide o grupo que detém o ficheiro /etc/cron.allow	média	passar
5.1.8	Valide as autorizações no ficheiro /etc/cron.allow	média	passar
5.1.8	Valide o utilizador que é proprietário do ficheiro /etc/cron.allow	média	passar
5.1.9	Certifique-se de que /etc/at.deny não existe	média	passar
5.1.9	Valide o grupo proprietário do ficheiro /etc/at.allow	média	passar
5.1.9	Valide as autorizações no ficheiro /etc/at.allow	média	passar
5.1.9	Valide o utilizador que é proprietário do ficheiro /etc/at.allow	média	passar
5.2.1	Verifique o grupo proprietário do ficheiro de configuração do servidor SSH	média	passar
5.2.1	Valide o proprietário no ficheiro de configuração do servidor SSH	média	passar
5.2.1	Valide as autorizações no ficheiro de configuração do servidor SSH	média	passar
5.2.2	Valide as autorizações nos ficheiros de chaves privadas *_key do servidor SSH	média	passar
5.2.3	Verifique as autorizações nos ficheiros de chave *.pub pública do servidor SSH	média	passar
5.2.5	Defina LogLevel como INFO	baixos	passar
5.2.6	Ative a PAM	média	passar
5.2.7	Desative o início de sessão de raiz de SSH	média	passar
5.2.8	Desative a autenticação baseada no anfitrião	média	passar
5.2.9	Desative o acesso SSH através de palavras-passe vazias	alta	passar
5.2.10	Não permitir opções de ambiente SSH	média	passar
5.2.11	Desative o suporte de SSH para ficheiros .rhosts	média	passar
5.2.12	Desative o encaminhamento X11	média	passar
5.2.13	Use apenas cifras fortes	média	passar
5.2.14	Use apenas MACs fortes	média	passar
5.2.15	Use apenas algoritmos de troca de chaves fortes	média	passar
5.2.16	Desative o encaminhamento TCP SSH	média	passar
5.2.17	Ative a faixa de aviso de SSH	média	passar
5.2.18	Defina o limite de tentativas de autenticação SSH	média	passar
5.2.19	Certifique-se de que o SSH MaxStartups está configurado	média	passar
5.2.20	Defina o limite de sessões máximas de SSH	média	passar
5.2.21	Certifique-se de que o SSH LoginGraceTime está configurado	média	passar
5.2.22	Defina o valor máximo de ClientAliveCount de SSH	média	passar
5.2.22	Defina o intervalo de tempo de atividade do cliente SSH	média	passar
5.3.1	Instale o pacote sudo	média	passar
5.3.2	Certifique-se de que apenas os utilizadores com sessão iniciada no tty real podem executar sudo – sudo use_pty	média	passar
5.3.3	Certifique-se de que o ficheiro de registo do sudo existe: sudo logfile	baixos	passar
5.3.5	Certifique-se de que os utilizadores voltam a fazer a autenticação para a escalada de privilégios: sudo !authenticate	média	passar
5.3.6	Exija a reautenticação quando usar o comando sudo	média	passar
5.3.7	Aplique a utilização de pam_wheel com o parâmetro de grupo para a autenticação su	média	passar
5.3.7	Certifique-se de que o grupo usado pelo módulo pam_wheel existe no sistema e está vazio	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: os pedidos de nova tentativa de autenticação são permitidos por sessão	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: categorias diferentes mínimas	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavra-passe: número mínimo de carateres numéricos	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavra-passe: comprimento mínimo	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: número mínimo de carateres em minúsculas	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: carateres especiais mínimos	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavra-passe: número mínimo de carateres em maiúsculas	média	passar
5.4.1	Instale o pacote pam_pwquality	média	passar
5.4.2	Bloqueie contas após tentativas falhadas de introdução da palavra-passe	média	passar
5.4.2	Defina o intervalo para a contagem de tentativas falhadas de palavras-passe	média	passar
5.4.2	Defina o tempo de bloqueio para tentativas falhadas de palavras-passe	média	passar
5.4.3	Limite a reutilização de palavras-passe	média	passar
5.4.4	Defina o algoritmo de hash de palavras-passe em /etc/login.defs	média	passar
5.5.1.1	Defina a idade mínima das palavras-passe existentes	média	passar
5.5.1.1	Defina a idade mínima da palavra-passe	média	passar
5.5.1.2	Defina a idade máxima das palavras-passe existentes	média	passar
5.5.1.3	Definir a antiguidade do aviso de palavra-passe	média	passar
5.5.1.4	Defina a expiração da conta após inatividade	média	passar
5.5.1.5	Certifique-se de que a data da última alteração da palavra-passe de todos os utilizadores é anterior à data atual	média	passar
5.5.2	Certifique-se de que as contas do sistema não executam uma shell após o início de sessão	média	passar
5.5.3	Verify Root Has A Primary GID 0	alta	passar
5.5.4	Certifique-se de que o umask do bash predefinido está definido corretamente	média	passar
5.5.4	Certifique-se de que a umask predefinida está definida corretamente para utilizadores interativos	média	passar
5.5.4	Certifique-se de que a umask predefinida está definida corretamente em /etc/profile	média	passar
5.5.4	Certifique-se de que a umask predefinida está definida corretamente em login.defs	média	passar
5.5.5	Defina o limite de tempo da sessão interativa	média	passar
6.1.1	Verifique o grupo proprietário do ficheiro passwd	média	passar
6.1.1	Valide as autorizações no ficheiro passwd	média	passar
6.1.1	Valide o utilizador proprietário do ficheiro passwd	média	passar
6.1.2	Verifique o grupo proprietário do ficheiro passwd de cópia de segurança	média	passar
6.1.2	Valide as autorizações no ficheiro passwd de cópia de segurança	média	passar
6.1.2	Valide o utilizador que é proprietário do ficheiro passwd de cópia de segurança	média	passar
6.1.3	Valide o grupo proprietário do ficheiro de grupo	média	passar
6.1.3	Valide as autorizações no ficheiro de grupo	média	passar
6.1.3	Valide o utilizador proprietário do ficheiro do grupo	média	passar
6.1.4	Valide o grupo proprietário do ficheiro de grupo de cópia de segurança	média	passar
6.1.4	Valide as autorizações no ficheiro do grupo de cópias de segurança	média	passar
6.1.4	Valide o utilizador proprietário do ficheiro do grupo de cópias de segurança	média	passar
6.1.5	Valide o grupo proprietário do ficheiro shadow	média	passar
6.1.5	Valide as autorizações no ficheiro shadow	média	passar
6.1.5	Valide o utilizador proprietário do ficheiro fantasma	média	passar
6.1.6	Valide o grupo proprietário do ficheiro de sombra da cópia de segurança	média	passar
6.1.6	Valide as autorizações no ficheiro de sombra da cópia de segurança	média	passar
6.1.6	Valide o utilizador proprietário do ficheiro de sombra da cópia de segurança	média	passar
6.1.7	Valide o grupo proprietário do ficheiro gshadow	média	passar
6.1.7	Valide as autorizações no ficheiro gshadow	média	passar
6.1.7	Valide o utilizador proprietário do ficheiro gshadow	média	passar
6.1.8	Verifique o grupo proprietário do ficheiro gshadow	média	passar
6.1.8	Valide as autorizações no ficheiro gshadow de cópia de segurança	média	passar
6.1.8	Valide o utilizador proprietário do ficheiro gshadow de cópia de segurança	média	passar
6.1.10	Certifique-se de que todos os ficheiros são propriedade de um utilizador	média	passar
6.2.1	Verifique se todos os hashes de palavras-passe da conta estão ocultos	média	passar
6.2.2	Certifique-se de que não existem contas com palavras-passe em branco ou nulas	alta	passar
6.2.3	Todos os GIDs referenciados em /etc/passwd têm de ser definidos em /etc/group	baixos	passar
6.2.4	Certifique-se de que o grupo sombra está vazio	média	passar
6.2.5	Certifique-se de que todas as contas no sistema têm IDs dos utilizadores únicos	média	passar
6.2.6	Certifique-se de que todos os grupos no sistema têm um ID do grupo exclusivo	média	passar
6.2.7	Certifique-se de que todas as contas no sistema têm nomes exclusivos	média	passar
6.2.8	Certifique-se de que todos os grupos no sistema têm nomes de grupos únicos	média	passar
6.2.9	Certifique-se de que o caminho da raiz não inclui caminhos relativos nem diretórios nulos	desconhecido	passar
6.2.9	Certifique-se de que o caminho da raiz não inclui diretórios graváveis por todos ou por grupos	média	passar
6.2.10	Valide se apenas a raiz tem o UID 0	alta	passar
6.2.11	Todos os diretórios iniciais dos utilizadores interativos têm de existir	média	passar
6.2.12	Todos os diretórios pessoais de utilizadores interativos têm de ser propriedade do grupo principal	média	passar
6.2.12	Todos os diretórios iniciais de utilizadores interativos têm de pertencer ao utilizador principal	média	passar
6.2.13	Todos os diretórios iniciais de utilizadores interativos têm de ter o modo 0750 ou menos permissivo	média	passar
6.2.14	Verifique se não existem ficheiros .netrc	média	passar
6.2.15	Verifique se existem ficheiros .forward	média	passar
6.2.16	Remova ficheiros de confiança RSH	alta	passar
6.2.17	Os ficheiros de inicialização do utilizador têm de ser propriedade do grupo principal	média	passar
6.2.17	Os ficheiros de inicialização do utilizador têm de ser propriedade do utilizador principal	média	passar
6.2.17	Os ficheiros de inicialização do utilizador não podem executar programas modificáveis por qualquer aplicação	média	passar

Recomendações não aplicáveis

A tabela seguinte indica as recomendações que não se aplicam ao Google Distributed Cloud.

#	Recomendação	Gravidade	Estado
1.1.2.2	Adicione a opção nodev a /tmp	média	notapplicable
1.1.2.3	Adicione a opção noexec a /tmp	média	notapplicable
1.1.2.4	Adicione a opção nosuid a /tmp	média	notapplicable
1.1.3.2	Adicione a opção nodev a /var	média	notapplicable
1.1.3.3	Adicione a opção nosuid a /var	média	notapplicable
1.1.4.2	Adicione a opção noexec a /var/tmp	média	notapplicable
1.1.4.3	Adicione a opção nosuid a /var/tmp	média	notapplicable
1.1.4.4	Adicione a opção nodev a /var/tmp	média	notapplicable
1.1.5.2	Adicione a opção nodev a /var/log	média	notapplicable
1.1.5.3	Adicione a opção noexec a /var/log	média	notapplicable
1.1.5.4	Adicione a opção nosuid a /var/log	média	notapplicable
1.1.6.2	Adicione a opção noexec a /var/log/audit	média	notapplicable
1.1.6.3	Adicione a opção nodev a /var/log/audit	média	notapplicable
1.1.6.4	Adicione a opção nosuid a /var/log/audit	média	notapplicable
1.1.7.2	Adicione a opção nodev a /home	desconhecido	notapplicable
1.1.7.3	Adicione a opção nosuid a /home	média	notapplicable
1.10	Configure o perfil de utilizador do DConf do GNOME3	alta	notapplicable
1.4.1	Defina a palavra-passe do carregador de arranque UEFI	alta	notapplicable
1.8.1	Remova o grupo de pacotes do GDM	média	notapplicable
1.8.10	Desative o XDMCP no GDM	alta	notapplicable
1.8.4	Ative o bloqueio da proteção de ecrã do GNOME3 após o período de inatividade	média	notapplicable
1.8.5	Defina o atraso do bloqueio da proteção de ecrã do GNOME3 após o período de ativação	média	notapplicable
1.8.6	Desative a abertura da montagem automática do GNOME3	média	notapplicable
1.8.6	Desative a montagem automática do GNOME3	média	notapplicable
1.8.8	Desative a execução da montagem automática do GNOME3	baixos	notapplicable
2.1.4.1	Configure restrições de servidor para o ntpd	média	notapplicable
2.1.4.3	Configure o ntpd para ser executado como utilizador ntp	média	notapplicable
2.1.4.4	Ative o daemon NTP	alta	notapplicable
2.2.15	Desative a escuta de rede do Postfix	média	notapplicable
3.5.1.3	Verifique se o ufw está ativado	média	notapplicable
3.5.1.4	Defina o tráfego de loopback do UFW	média	notapplicable
3.5.1.6	Certifique-se de que existem regras de firewall do ufw para todas as portas abertas	média	notapplicable
3.5.1.7	Garanta a política de firewall de negação predefinida do ufw	média	notapplicable
3.5.3.2.1	Defina a política iptables predefinida para pacotes recebidos	média	notapplicable
3.5.3.2.2	Defina a configuração para o tráfego de loopback	média	notapplicable
3.5.3.2.4	Certifique-se de que existem regras de firewall do iptables para todas as portas abertas	média	notapplicable
3.5.3.3.1	Defina a política ip6tables predefinida para pacotes recebidos	média	notapplicable
3.5.3.3.4	Certifique-se de que existem regras de firewall ip6tables para todas as portas abertas	média	notapplicable

1.31

Versões

Esta secção refere-se a estas versões:

Versão do Google Distributed Cloud	Versão do Ubuntu	Versão da referência do Ubuntu do CIS	Nível de CEI
1.31	22.04 LTS	v1.0.0	Servidor de nível 2

Recomendações com falhas

A tabela seguinte apresenta as recomendações para as quais o Google Distributed Cloud se desvia das recomendações da referência. Estas conclusões aplicam-se aos nós do cluster e à estação de trabalho do administrador.

#	Recomendação	Gravidade	Estado
1.1.2.1	Certifique-se de que /tmp está localizado numa partição separada	baixos	falhar
1.1.3.1	Certifique-se de que /var está localizado numa partição separada	baixos	falhar
1.1.4.1	Certifique-se de que /var/tmp está localizado numa partição separada	média	falhar
1.1.5.1	Certifique-se de que /var/log está localizado numa partição separada	baixos	falhar
1.1.6.1	Certifique-se de que /var/log/audit está localizado numa partição separada	baixos	falhar
1.1.7.1	Certifique-se de que /home está localizado numa partição separada	baixos	falhar
1.4.1	Defina a palavra-passe do carregador de arranque no grub2	alta	falhar
1.4.3	Certifique-se de que a autenticação é obrigatória para o modo de utilizador único	média	falhar
2.3.6	Desinstale o pacote rpcbind	baixos	falhar
3.2.2	Desative o parâmetro do kernel para o encaminhamento de IP em interfaces IPv4	média	falhar
3.3.7	Ative o parâmetro do kernel para usar a filtragem de caminho inverso em todas as interfaces IPv4 por predefinição	média	falhar
3.3.7	Ative o parâmetro do kernel para usar a filtragem de caminho inverso em todas as interfaces IPv4	média	falhar
3.5.2.8	Garanta a política de firewall de negação predefinida do nftables	média	falhar
3.5.2.10	Certifique-se de que as regras nftables são permanentes	média	falhar
4.2.3	Valide as autorizações dos ficheiros de registo	média	falhar
5.2.4	Limite o acesso SSH dos utilizadores	desconhecido	falhar
5.3.4	Garanta que os utilizadores voltam a fazer a autenticação para a escalada de privilégios: sudo	média	falhar
5.5.1.2	Definir idade máxima da palavra-passe	média	falhar

Recomendações aprovadas

A tabela seguinte apresenta as recomendações com as quais o Google Distributed Cloud está em conformidade.

#	Recomendação	Gravidade	Estado
1.1.1.1	Desative a montagem de cramfs	baixos	passar
1.1.1.2	Desative a montagem de squashfs	baixos	passar
1.1.1.3	Desative a montagem de udf	baixos	passar
1.1.8.1	Adicione a opção nodev a /dev/shm	média	passar
1.1.8.2	Adicione a opção noexec a /dev/shm	média	passar
1.1.8.3	Adicione a opção nosuid a /dev/shm	média	passar
1.1.9	Desative o Automounter	média	passar
1.1.10	Desative o carregamento do Modprobe do controlador de armazenamento USB	média	passar
1.4.2	Valide as autorizações de /boot/grub/grub.cfg	média	passar
1.5.1	Ative o esquema aleatório do espaço de endereços virtual	média	passar
1.5.2	O pacote "prelink" não pode estar instalado	média	passar
1.5.3	Desative o serviço Apport	desconhecido	passar
1.5.4	Desative os despejos de memória para todos os utilizadores	média	passar
1.5.4	Desative os despejos de memória para programas SUID	média	passar
1.6.1.1	Certifique-se de que o AppArmor está instalado	média	passar
1.6.1.2	Certifique-se de que o AppArmor está ativado na configuração do carregador de arranque	média	passar
1.6.1.4	Aplique todos os perfis do AppArmor	média	passar
1.7.1	Modifique o banner de mensagem do dia do sistema	média	passar
1.7.2	Modifique a faixa de início de sessão do sistema	média	passar
1.7.3	Modifique a faixa publicitária de início de sessão do sistema para ligações remotas	média	passar
1.7.4	Valide a propriedade do grupo da faixa de mensagem do dia	média	passar
1.7.4	Valide a propriedade da faixa de mensagem do dia	média	passar
1.7.4	Valide as autorizações na faixa de mensagem do dia	média	passar
1.7.5	Valide a propriedade do grupo da faixa de início de sessão do sistema	média	passar
1.7.5	Valide a propriedade da faixa de início de sessão do sistema	média	passar
1.7.5	Valide as autorizações na faixa de início de sessão do sistema	média	passar
1.7.6	Valide a propriedade do grupo da faixa de início de sessão do sistema para ligações remotas	média	passar
1.7.6	Valide a propriedade da faixa de início de sessão do sistema para ligações remotas	média	passar
1.7.6	Valide as autorizações na faixa de início de sessão do sistema para ligações remotas	média	passar
2.1.1.1	Instale o serviço systemd_timesyncd	alta	passar
2.1.3.2	Ative o serviço systemd_timesyncd	alta	passar
2.2.1	Remova o grupo de pacotes do X Windows	média	passar
2.2.2	Desative o software do servidor Avahi	média	passar
2.2.2	Desinstale o pacote do servidor avahi	média	passar
2.2.3	Desative o serviço CUPS	desconhecido	passar
2.2.3	Desinstale o pacote CUPS	desconhecido	passar
2.2.4	Desinstale o pacote do servidor DHCP	média	passar
2.2.5	Desinstale o pacote openldap-servers	baixos	passar
2.2.6	Desinstale o pacote nfs-kernel-server	baixos	passar
2.2.7	Desinstale o pacote de associação	baixos	passar
2.2.8	Desinstale o pacote vsftpd	alta	passar
2.2.9	Desinstale o pacote httpd	desconhecido	passar
2.2.9	Desinstale o pacote nginx	desconhecido	passar
2.2.10	Desinstale o pacote cyrus-imapd	desconhecido	passar
2.2.10	Desinstale o pacote dovecot	desconhecido	passar
2.2.11	Desinstale o pacote Samba	desconhecido	passar
2.2.12	Desinstale o pacote squid	desconhecido	passar
2.2.13	Desinstale o pacote net-snmp	desconhecido	passar
2.2.14	Desinstale o pacote nis	baixos	passar
2.2.15	Certifique-se de que o agente de transferência de correio não está a ouvir nenhum endereço que não seja de loopback	média	passar
2.2.16	Desinstale o pacote rsync	média	passar
2.3.2	Desinstale o pacote rsh	desconhecido	passar
2.3.3	Desinstale o pacote de talk	média	passar
2.3.4	Remova clientes Telnet	baixos	passar
2.3.5	Certifique-se de que o cliente LDAP não está instalado	baixos	passar
3.1.2	Desative as interfaces de rede sem fios	média	passar
3.2.1	Desative o parâmetro do kernel para o envio de redirecionamentos ICMP em todas as interfaces IPv4 por predefinição	média	passar
3.2.1	Desative o parâmetro do kernel para o envio de redirecionamentos ICMP em todas as interfaces IPv4	média	passar
3.2.2	Desative o parâmetro do kernel para o encaminhamento IPv6	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em todas as interfaces IPv4	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em todas as interfaces IPv6	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em interfaces IPv4 por predefinição	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em interfaces IPv6 por predefinição	média	passar
3.3.2	Desative a aceitação de redirecionamentos ICMP para todas as interfaces IPv4	média	passar
3.3.2	Desative a aceitação de redirecionamentos ICMP para todas as interfaces IPv6	média	passar
3.3.2	Desative o parâmetro do kernel para aceitar redirecionamentos ICMP por predefinição em interfaces IPv4	média	passar
3.3.2	Desative o parâmetro do kernel para aceitar redirecionamentos ICMP por predefinição em interfaces IPv6	média	passar
3.3.3	Configure o parâmetro do kernel para aceitar redirecionamentos seguros por predefinição	média	passar
3.3.3	Desative o parâmetro do kernel para aceitar redirecionamentos ICMP seguros em todas as interfaces IPv4	média	passar
3.3.4	Ative o parâmetro do kernel para registar pacotes marcianos em todas as interfaces IPv4	desconhecido	passar
3.3.4	Ative o parâmetro do kernel para registar pacotes marcianos em todas as interfaces IPv4 por predefinição	desconhecido	passar
3.3.5	Ative o parâmetro do kernel para ignorar pedidos de eco de transmissão ICMP em interfaces IPv4	média	passar
3.3.6	Ative o parâmetro do kernel para ignorar respostas de erro ICMP falsas em interfaces IPv4	desconhecido	passar
3.3.8	Ative o parâmetro do kernel para usar TCP Syncookies em interfaces de rede	média	passar
3.3.9	Configure a aceitação de anúncios de routers em todas as interfaces IPv6	média	passar
3.3.9	Desative a aceitação de anúncios de routers em todas as interfaces IPv6 por predefinição	média	passar
3.4.1	Desative o suporte do DCCP	média	passar
3.4.2	Desative o suporte de SCTP	média	passar
3.4.3	Desative o suporte de RDS	baixos	passar
3.4.4	Desative o suporte de TIPC	baixos	passar
3.5.1.2	Remova o pacote iptables-persistent	média	passar
3.5.2.1	Instale o pacote nftables	média	passar
3.5.2.4	Certifique-se de que existe uma tabela para o Nftables	média	passar
3.5.2.5	Certifique-se de que existem cadeias de base para o Nftables	média	passar
3.5.2.9	Verifique se o serviço nftables está ativado	média	passar
3.5.3.1.1	Instale o pacote iptables	média	passar
3.5.3.1.3	Remova o pacote ufw	média	passar
4.1.1.1	Certifique-se de que o subsistema de auditoria está instalado	média	passar
4.1.1.2	Ative o serviço auditd	média	passar
4.1.1.4	Prolongue o limite de registo de auditoria pendente para o daemon de auditoria	baixos	passar
4.1.2.1	Configure o tamanho máximo do ficheiro de registo do auditd	média	passar
4.1.2.2	Configure o auditd max_log_file_action ao atingir o tamanho máximo do registo	média	passar
4.1.2.3	Configure a ação admin_space_left do auditd quando houver pouco espaço em disco	média	passar
4.1.2.3	Configure a ação mail_acct do auditd em caso de espaço insuficiente no disco	média	passar
4.1.2.3	Configure a ação space_left do auditd em caso de espaço insuficiente no disco	média	passar
4.1.3.1	Certifique-se de que o auditd recolhe as ações do administrador do sistema	média	passar
4.1.3.2	Registe eventos quando são executáveis privilegiados	média	passar
4.1.3.3	Registar tentativas de realizar atividades de manutenção	média	passar
4.1.3.4	Registe tentativas de alteração do ficheiro localtime	média	passar
4.1.3.4	Registe tentativas de alterar a hora através do adjtimex	média	passar
4.1.3.4	Tentativas de alteração da hora através de clock_settime	média	passar
4.1.3.4	Registar tentativas de alteração da hora através de settimeofday	média	passar
4.1.3.4	Tentativas de alteração da hora através de stime	média	passar
4.1.3.5	Registe eventos que modificam o ambiente de rede do sistema	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: su	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: sudo	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: sudoedit	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: umount	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados – unix_chkpwd	média	passar
4.1.3.7	Registar tentativas de acesso sem êxito a ficheiros – creat	média	passar
4.1.3.7	Registe tentativas de acesso sem êxito a ficheiros – ftruncate	média	passar
4.1.3.7	Registar tentativas de acesso sem êxito a ficheiros – aberto	média	passar
4.1.3.7	Registe tentativas de acesso sem êxito a ficheiros – openat	média	passar
4.1.3.7	Registar tentativas de acesso sem êxito a ficheiros – truncar	média	passar
4.1.3.8	Registar eventos que modificam as informações de utilizadores/grupos: /etc/group	média	passar
4.1.3.8	Registe eventos que modificam informações de utilizadores/grupos: /etc/gshadow	média	passar
4.1.3.8	Registe eventos que modificam informações de utilizadores/grupos: /etc/passwd	média	passar
4.1.3.8	Registe eventos que modificam informações de utilizadores/grupos: /etc/security/opasswd	média	passar
4.1.3.8	Registe eventos que modificam as informações de utilizadores/grupos: /etc/shadow	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: chmod	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: chown	média	passar
4.1.3.9	Registar eventos que modificam os controlos de acesso discricionários do sistema: fchmod	média	passar
4.1.3.9	Registar eventos que modificam os controlos de acesso discricionários do sistema: fchmodat	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: fchown	média	passar
4.1.3.9	Registar eventos que modificam os controlos de acesso discricionários do sistema: fchownat	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: fremovexattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: fsetxattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: lchown	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: lremovexattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: lsetxattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: removexattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: setxattr	média	passar
4.1.3.10	Certifique-se de que o auditd recolhe informações sobre a exportação para suportes (com êxito)	média	passar
4.1.3.11	Registe tentativas de alteração das informações de processo e de iniciação de sessão	média	passar
4.1.3.12	Registe tentativas de alteração de eventos de início e fim de sessão – faillog	média	passar
4.1.3.12	Registe tentativas de alteração de eventos de início e fim de sessão – lastlog	média	passar
4.1.3.12	Registe tentativas de alteração de eventos de início e fim de sessão – tallylog	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador: mude o nome	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador: renameat	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador – unlink	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador: unlinkat	média	passar
4.1.3.14	Registe eventos que modificam os controlos de acesso obrigatórios do sistema	média	passar
4.1.3.15	Registe todas as tentativas de execução de chcon	média	passar
4.1.3.16	Registe todas as tentativas de execução de setfacl	média	passar
4.1.3.17	Registe todas as tentativas de execução do chacl	média	passar
4.1.3.18	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: usermod	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre o carregamento do módulo do kernel: init_module	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a desativação do módulo do kernel: delete_module	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: insmod	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: modprobe	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: rmmod	média	passar
4.1.3.20	Torne a configuração do auditd imutável	média	passar
4.1.4.1	Os registos de auditoria do sistema têm de ter o modo 0640 ou menos permissivo	média	passar
4.1.4.2	Os registos de auditoria do sistema têm de ser propriedade da raiz	média	passar
4.1.4.3	Os registos de auditoria do sistema têm de ser propriedade do grupo root	média	passar
4.1.4.4	Os registos de auditoria do sistema têm de ter o modo 0750 ou menos permissivo	média	passar
4.1.4.5	Valide as autorizações em /etc/audit/auditd.conf	média	passar
4.1.4.5	Valide as autorizações em /etc/audit/rules.d/*.rules	média	passar
4.1.4.6	Os ficheiros de configuração de auditoria têm de ser propriedade do utilizador root	média	passar
4.1.4.7	Os ficheiros de configuração de auditoria têm de ser propriedade do grupo root	média	passar
4.1.4.8	Verifique se as ferramentas de auditoria têm o modo 0755 ou inferior	média	passar
4.1.4.9	Verifique se as ferramentas de auditoria são propriedade do root	média	passar
4.1.4.10	Verifique se as ferramentas de auditoria são propriedade da raiz do grupo	média	passar
4.2.1.1.1	Instale o pacote systemd-journal-remote	média	passar
4.2.1.1.4	Desative o Socket systemd-journal-remote	média	passar
4.2.1.2	Ative o serviço systemd-journald	média	passar
4.2.1.3	Certifique-se de que o journald está configurado para comprimir ficheiros de registo grandes	média	passar
4.2.1.4	Certifique-se de que o journald está configurado para escrever ficheiros de registo no disco persistente	média	passar
4.2.2.1	Certifique-se de que o rsyslog está instalado	média	passar
4.2.2.2	Ative o serviço rsyslog	média	passar
4.2.2.4	Certifique-se de que as autorizações de ficheiros predefinidas do rsyslog estão configuradas	média	passar
4.2.2.7	Certifique-se de que o rsyslog não aceita mensagens remotas, a menos que esteja a funcionar como servidor de registo	média	passar
5.1.1	Ative o serviço cron	média	passar
5.1.2	Valide o grupo proprietário do crontab	média	passar
5.1.2	Valide o proprietário no crontab	média	passar
5.1.2	Valide as autorizações no crontab	média	passar
5.1.3	Valide o grupo proprietário de cron.hourly	média	passar
5.1.3	Valide o proprietário em cron.hourly	média	passar
5.1.3	Valide as autorizações em cron.hourly	média	passar
5.1.4	Valide o grupo proprietário de cron.daily	média	passar
5.1.4	Valide o proprietário em cron.daily	média	passar
5.1.4	Valide as autorizações no cron.daily	média	passar
5.1.5	Valide o grupo proprietário de cron.weekly	média	passar
5.1.5	Valide o proprietário em cron.weekly	média	passar
5.1.5	Valide as autorizações no cron.weekly	média	passar
5.1.6	Valide o grupo proprietário de cron.monthly	média	passar
5.1.6	Valide o proprietário em cron.monthly	média	passar
5.1.6	Valide as autorizações em cron.monthly	média	passar
5.1.7	Valide o grupo proprietário de cron.d	média	passar
5.1.7	Valide o proprietário no cron.d	média	passar
5.1.7	Valide as autorizações no cron.d	média	passar
5.1.8	Certifique-se de que o ficheiro /etc/cron.deny não existe	média	passar
5.1.8	Valide o grupo que detém o ficheiro /etc/cron.allow	média	passar
5.1.8	Valide as autorizações no ficheiro /etc/cron.allow	média	passar
5.1.8	Valide o utilizador que é proprietário do ficheiro /etc/cron.allow	média	passar
5.1.9	Certifique-se de que /etc/at.deny não existe	média	passar
5.1.9	Valide o grupo proprietário do ficheiro /etc/at.allow	média	passar
5.1.9	Valide as autorizações no ficheiro /etc/at.allow	média	passar
5.1.9	Valide o utilizador que é proprietário do ficheiro /etc/at.allow	média	passar
5.2.1	Verifique o grupo proprietário do ficheiro de configuração do servidor SSH	média	passar
5.2.1	Valide o proprietário no ficheiro de configuração do servidor SSH	média	passar
5.2.1	Valide as autorizações no ficheiro de configuração do servidor SSH	média	passar
5.2.2	Valide as autorizações nos ficheiros de chaves privadas *_key do servidor SSH	média	passar
5.2.3	Verifique as autorizações nos ficheiros de chave *.pub pública do servidor SSH	média	passar
5.2.5	Defina LogLevel como INFO	baixos	passar
5.2.6	Ative a PAM	média	passar
5.2.7	Desative o início de sessão de raiz de SSH	média	passar
5.2.8	Desative a autenticação baseada no anfitrião	média	passar
5.2.9	Desative o acesso SSH através de palavras-passe vazias	alta	passar
5.2.10	Não permitir opções de ambiente SSH	média	passar
5.2.11	Desative o suporte de SSH para ficheiros .rhosts	média	passar
5.2.12	Desative o encaminhamento X11	média	passar
5.2.13	Use apenas cifras fortes	média	passar
5.2.14	Use apenas MACs fortes	média	passar
5.2.15	Use apenas algoritmos de troca de chaves fortes	média	passar
5.2.16	Desative o encaminhamento TCP SSH	média	passar
5.2.17	Ative a faixa de aviso de SSH	média	passar
5.2.18	Defina o limite de tentativas de autenticação SSH	média	passar
5.2.19	Certifique-se de que o SSH MaxStartups está configurado	média	passar
5.2.20	Defina o limite de sessões máximas de SSH	média	passar
5.2.21	Certifique-se de que o SSH LoginGraceTime está configurado	média	passar
5.2.22	Defina o valor máximo de ClientAliveCount de SSH	média	passar
5.2.22	Defina o intervalo de tempo de atividade do cliente SSH	média	passar
5.3.1	Instale o pacote sudo	média	passar
5.3.2	Certifique-se de que apenas os utilizadores com sessão iniciada no tty real podem executar sudo – sudo use_pty	média	passar
5.3.3	Certifique-se de que o ficheiro de registo do sudo existe: sudo logfile	baixos	passar
5.3.5	Certifique-se de que os utilizadores voltam a fazer a autenticação para a escalada de privilégios: sudo !authenticate	média	passar
5.3.6	Exija a reautenticação quando usar o comando sudo	média	passar
5.3.7	Aplique a utilização de pam_wheel com o parâmetro de grupo para a autenticação su	média	passar
5.3.7	Certifique-se de que o grupo usado pelo módulo pam_wheel existe no sistema e está vazio	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: os pedidos de nova tentativa de autenticação são permitidos por sessão	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: categorias diferentes mínimas	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavra-passe: número mínimo de carateres numéricos	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavra-passe: comprimento mínimo	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: número mínimo de carateres em minúsculas	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: carateres especiais mínimos	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavra-passe: número mínimo de carateres em maiúsculas	média	passar
5.4.1	Instale o pacote pam_pwquality	média	passar
5.4.2	Bloqueie contas após tentativas falhadas de introdução da palavra-passe	média	passar
5.4.2	Defina o intervalo para a contagem de tentativas falhadas de palavras-passe	média	passar
5.4.2	Defina o tempo de bloqueio para tentativas falhadas de palavras-passe	média	passar
5.4.3	Limite a reutilização de palavras-passe	média	passar
5.4.4	Defina o algoritmo de hash de palavras-passe em /etc/login.defs	média	passar
5.5.1.1	Defina a idade mínima das palavras-passe existentes	média	passar
5.5.1.1	Defina a idade mínima da palavra-passe	média	passar
5.5.1.2	Defina a idade máxima das palavras-passe existentes	média	passar
5.5.1.3	Definir a antiguidade do aviso de palavra-passe	média	passar
5.5.1.4	Defina a expiração da conta após inatividade	média	passar
5.5.1.5	Certifique-se de que a data da última alteração da palavra-passe de todos os utilizadores é anterior à data atual	média	passar
5.5.2	Certifique-se de que as contas do sistema não executam uma shell após o início de sessão	média	passar
5.5.3	Verify Root Has A Primary GID 0	alta	passar
5.5.4	Certifique-se de que o umask do bash predefinido está definido corretamente	média	passar
5.5.4	Certifique-se de que a umask predefinida está definida corretamente para utilizadores interativos	média	passar
5.5.4	Certifique-se de que a umask predefinida está definida corretamente em /etc/profile	média	passar
5.5.4	Certifique-se de que a umask predefinida está definida corretamente em login.defs	média	passar
5.5.5	Defina o limite de tempo da sessão interativa	média	passar
6.1.1	Verifique o grupo proprietário do ficheiro passwd	média	passar
6.1.1	Valide as autorizações no ficheiro passwd	média	passar
6.1.1	Valide o utilizador proprietário do ficheiro passwd	média	passar
6.1.2	Verifique o grupo proprietário do ficheiro passwd de cópia de segurança	média	passar
6.1.2	Valide as autorizações no ficheiro passwd de cópia de segurança	média	passar
6.1.2	Valide o utilizador que é proprietário do ficheiro passwd de cópia de segurança	média	passar
6.1.3	Valide o grupo proprietário do ficheiro de grupo	média	passar
6.1.3	Valide as autorizações no ficheiro de grupo	média	passar
6.1.3	Valide o utilizador proprietário do ficheiro do grupo	média	passar
6.1.4	Valide o grupo proprietário do ficheiro de grupo de cópia de segurança	média	passar
6.1.4	Valide as autorizações no ficheiro do grupo de cópias de segurança	média	passar
6.1.4	Valide o utilizador proprietário do ficheiro do grupo de cópias de segurança	média	passar
6.1.5	Valide o grupo proprietário do ficheiro shadow	média	passar
6.1.5	Valide as autorizações no ficheiro shadow	média	passar
6.1.5	Valide o utilizador proprietário do ficheiro fantasma	média	passar
6.1.6	Valide o grupo proprietário do ficheiro de sombra da cópia de segurança	média	passar
6.1.6	Valide as autorizações no ficheiro de sombra da cópia de segurança	média	passar
6.1.6	Valide o utilizador proprietário do ficheiro de sombra da cópia de segurança	média	passar
6.1.7	Valide o grupo proprietário do ficheiro gshadow	média	passar
6.1.7	Valide as autorizações no ficheiro gshadow	média	passar
6.1.7	Valide o utilizador proprietário do ficheiro gshadow	média	passar
6.1.8	Verifique o grupo proprietário do ficheiro gshadow	média	passar
6.1.8	Valide as autorizações no ficheiro gshadow de cópia de segurança	média	passar
6.1.8	Valide o utilizador proprietário do ficheiro gshadow de cópia de segurança	média	passar
6.1.10	Certifique-se de que todos os ficheiros são propriedade de um utilizador	média	passar
6.2.1	Verifique se todos os hashes de palavras-passe da conta estão ocultos	média	passar
6.2.2	Certifique-se de que não existem contas com palavras-passe em branco ou nulas	alta	passar
6.2.3	Todos os GIDs referenciados em /etc/passwd têm de ser definidos em /etc/group	baixos	passar
6.2.4	Certifique-se de que o grupo sombra está vazio	média	passar
6.2.5	Certifique-se de que todas as contas no sistema têm IDs dos utilizadores únicos	média	passar
6.2.6	Certifique-se de que todos os grupos no sistema têm um ID do grupo exclusivo	média	passar
6.2.7	Certifique-se de que todas as contas no sistema têm nomes exclusivos	média	passar
6.2.8	Certifique-se de que todos os grupos no sistema têm nomes de grupos únicos	média	passar
6.2.9	Certifique-se de que o caminho da raiz não inclui caminhos relativos nem diretórios nulos	desconhecido	passar
6.2.9	Certifique-se de que o caminho da raiz não inclui diretórios graváveis por todos ou por grupos	média	passar
6.2.10	Valide se apenas a raiz tem o UID 0	alta	passar
6.2.11	Todos os diretórios iniciais dos utilizadores interativos têm de existir	média	passar
6.2.12	Todos os diretórios pessoais de utilizadores interativos têm de ser propriedade do grupo principal	média	passar
6.2.12	Todos os diretórios iniciais de utilizadores interativos têm de pertencer ao utilizador principal	média	passar
6.2.13	Todos os diretórios iniciais de utilizadores interativos têm de ter o modo 0750 ou menos permissivo	média	passar
6.2.14	Verifique se não existem ficheiros .netrc	média	passar
6.2.15	Verifique se existem ficheiros .forward	média	passar
6.2.16	Remova ficheiros de confiança RSH	alta	passar
6.2.17	Os ficheiros de inicialização do utilizador têm de ser propriedade do grupo principal	média	passar
6.2.17	Os ficheiros de inicialização do utilizador têm de ser propriedade do utilizador principal	média	passar
6.2.17	Os ficheiros de inicialização do utilizador não podem executar programas modificáveis por qualquer aplicação	média	passar

Recomendações não aplicáveis

A tabela seguinte indica as recomendações que não se aplicam ao Google Distributed Cloud.

#	Recomendação	Gravidade	Estado
1.1.2.2	Adicione a opção nodev a /tmp	média	notapplicable
1.1.2.3	Adicione a opção noexec a /tmp	média	notapplicable
1.1.2.4	Adicione a opção nosuid a /tmp	média	notapplicable
1.1.3.2	Adicione a opção nodev a /var	média	notapplicable
1.1.3.3	Adicione a opção nosuid a /var	média	notapplicable
1.1.4.2	Adicione a opção noexec a /var/tmp	média	notapplicable
1.1.4.3	Adicione a opção nosuid a /var/tmp	média	notapplicable
1.1.4.4	Adicione a opção nodev a /var/tmp	média	notapplicable
1.1.5.2	Adicione a opção nodev a /var/log	média	notapplicable
1.1.5.3	Adicione a opção noexec a /var/log	média	notapplicable
1.1.5.4	Adicione a opção nosuid a /var/log	média	notapplicable
1.1.6.2	Adicione a opção noexec a /var/log/audit	média	notapplicable
1.1.6.3	Adicione a opção nodev a /var/log/audit	média	notapplicable
1.1.6.4	Adicione a opção nosuid a /var/log/audit	média	notapplicable
1.1.7.2	Adicione a opção nodev a /home	desconhecido	notapplicable
1.1.7.3	Adicione a opção nosuid a /home	média	notapplicable
1.4.1	Defina a palavra-passe do carregador de arranque UEFI	alta	notapplicable
1.8.1	Remova o grupo de pacotes do GDM	média	notapplicable
1.8.4	Ative o bloqueio da proteção de ecrã do GNOME3 após o período de inatividade	média	notapplicable
1.8.5	Defina o atraso do bloqueio da proteção de ecrã do GNOME3 após o período de ativação	média	notapplicable
1.8.6	Desative a abertura da montagem automática do GNOME3	média	notapplicable
1.8.6	Desative a montagem automática do GNOME3	média	notapplicable
1.8.8	Desative a execução da montagem automática do GNOME3	baixos	notapplicable
1.8.10	Desative o XDMCP no GDM	alta	notapplicable
1.10	Configure o perfil de utilizador do DConf do GNOME3	alta	notapplicable
2.1.4.1	Configure restrições de servidor para o ntpd	média	notapplicable
2.1.4.3	Configure o ntpd para ser executado como utilizador ntp	média	notapplicable
2.1.4.4	Ative o daemon NTP	alta	notapplicable
2.2.15	Desative a escuta de rede do Postfix	média	notapplicable
3.5.1.3	Verifique se o ufw está ativado	média	notapplicable
3.5.1.4	Defina o tráfego de loopback do UFW	média	notapplicable
3.5.1.6	Certifique-se de que existem regras de firewall do ufw para todas as portas abertas	média	notapplicable
3.5.1.7	Garanta a política de firewall de negação predefinida do ufw	média	notapplicable
3.5.3.2.1	Defina a política iptables predefinida para pacotes recebidos	média	notapplicable
3.5.3.2.2	Defina a configuração para o tráfego de loopback	média	notapplicable
3.5.3.2.4	Certifique-se de que existem regras de firewall do iptables para todas as portas abertas	média	notapplicable
3.5.3.3.1	Defina a política ip6tables predefinida para pacotes recebidos	média	notapplicable
3.5.3.3.4	Certifique-se de que existem regras de firewall ip6tables para todas as portas abertas	média	notapplicable

1,30

Versões

Esta secção refere-se a estas versões:

Versão do Google Distributed Cloud	Versão do Ubuntu	Versão da referência do Ubuntu do CIS	Nível de CEI
1,30	22.04 LTS	v1.0.0	Servidor de nível 2

Recomendações com falhas

A tabela seguinte apresenta as recomendações para as quais o Google Distributed Cloud se desvia das recomendações da referência. Estas conclusões aplicam-se aos nós do cluster e à estação de trabalho do administrador.

#	Recomendação	Gravidade	Estado
1.1.2.1	Certifique-se de que /tmp está localizado numa partição separada	baixos	falhar
1.1.3.1	Certifique-se de que /var está localizado numa partição separada	baixos	falhar
1.1.4.1	Certifique-se de que /var/tmp está localizado numa partição separada	média	falhar
1.1.5.1	Certifique-se de que /var/log está localizado numa partição separada	baixos	falhar
1.1.6.1	Certifique-se de que /var/log/audit está localizado numa partição separada	baixos	falhar
1.1.7.1	Certifique-se de que /home está localizado numa partição separada	baixos	falhar
1.4.1	Defina a palavra-passe do carregador de arranque no grub2	alta	falhar
1.4.3	Certifique-se de que a autenticação é obrigatória para o modo de utilizador único	média	falhar
2.3.6	Desinstale o pacote rpcbind	baixos	falhar
3.2.2	Desative o parâmetro do kernel para o encaminhamento de IP em interfaces IPv4	média	falhar
3.3.7	Ative o parâmetro do kernel para usar a filtragem de caminho inverso em todas as interfaces IPv4 por predefinição	média	falhar
3.3.7	Ative o parâmetro do kernel para usar a filtragem de caminho inverso em todas as interfaces IPv4	média	falhar
3.5.2.8	Garanta a política de firewall de negação predefinida do nftables	média	falhar
3.5.2.10	Certifique-se de que as regras nftables são permanentes	média	falhar
4.2.3	Valide as autorizações dos ficheiros de registo	média	falhar
5.2.4	Limite o acesso SSH dos utilizadores	desconhecido	falhar
5.3.4	Garanta que os utilizadores voltam a fazer a autenticação para a escalada de privilégios: sudo	média	falhar
5.5.1.2	Definir idade máxima da palavra-passe	média	falhar

Recomendações aprovadas

A tabela seguinte apresenta as recomendações com as quais o Google Distributed Cloud está em conformidade.

#	Recomendação	Gravidade	Estado
1.1.1.1	Desative a montagem de cramfs	baixos	passar
1.1.1.2	Desative a montagem de squashfs	baixos	passar
1.1.1.3	Desative a montagem de udf	baixos	passar
1.1.8.1	Adicione a opção nodev a /dev/shm	média	passar
1.1.8.2	Adicione a opção noexec a /dev/shm	média	passar
1.1.8.3	Adicione a opção nosuid a /dev/shm	média	passar
1.1.9	Desative o Automounter	média	passar
1.1.10	Desative o carregamento do Modprobe do controlador de armazenamento USB	média	passar
1.4.2	Valide as autorizações de /boot/grub/grub.cfg	média	passar
1.5.1	Ative o esquema aleatório do espaço de endereços virtual	média	passar
1.5.2	O pacote "prelink" não pode estar instalado	média	passar
1.5.3	Desative o serviço Apport	desconhecido	passar
1.5.4	Desative os despejos de memória para todos os utilizadores	média	passar
1.5.4	Desative os despejos de memória para programas SUID	média	passar
1.6.1.1	Certifique-se de que o AppArmor está instalado	média	passar
1.6.1.2	Certifique-se de que o AppArmor está ativado na configuração do carregador de arranque	média	passar
1.6.1.4	Aplique todos os perfis do AppArmor	média	passar
1.7.1	Modifique o banner de mensagem do dia do sistema	média	passar
1.7.2	Modifique a faixa de início de sessão do sistema	média	passar
1.7.3	Modifique a faixa publicitária de início de sessão do sistema para ligações remotas	média	passar
1.7.4	Valide a propriedade do grupo da faixa de mensagem do dia	média	passar
1.7.4	Valide a propriedade da faixa de mensagem do dia	média	passar
1.7.4	Valide as autorizações na faixa de mensagem do dia	média	passar
1.7.5	Valide a propriedade do grupo da faixa de início de sessão do sistema	média	passar
1.7.5	Valide a propriedade da faixa de início de sessão do sistema	média	passar
1.7.5	Valide as autorizações na faixa de início de sessão do sistema	média	passar
1.7.6	Valide a propriedade do grupo da faixa de início de sessão do sistema para ligações remotas	média	passar
1.7.6	Valide a propriedade da faixa de início de sessão do sistema para ligações remotas	média	passar
1.7.6	Valide as autorizações na faixa de início de sessão do sistema para ligações remotas	média	passar
2.1.1.1	Instale o serviço systemd_timesyncd	alta	passar
2.1.3.2	Ative o serviço systemd_timesyncd	alta	passar
2.2.1	Remova o grupo de pacotes do X Windows	média	passar
2.2.2	Desative o software do servidor Avahi	média	passar
2.2.2	Desinstale o pacote do servidor avahi	média	passar
2.2.3	Desative o serviço CUPS	desconhecido	passar
2.2.3	Desinstale o pacote CUPS	desconhecido	passar
2.2.4	Desinstale o pacote do servidor DHCP	média	passar
2.2.5	Desinstale o pacote openldap-servers	baixos	passar
2.2.6	Desinstale o pacote nfs-kernel-server	baixos	passar
2.2.7	Desinstale o pacote de associação	baixos	passar
2.2.8	Desinstale o pacote vsftpd	alta	passar
2.2.9	Desinstale o pacote httpd	desconhecido	passar
2.2.9	Desinstale o pacote nginx	desconhecido	passar
2.2.10	Desinstale o pacote cyrus-imapd	desconhecido	passar
2.2.10	Desinstale o pacote dovecot	desconhecido	passar
2.2.11	Desinstale o pacote Samba	desconhecido	passar
2.2.12	Desinstale o pacote squid	desconhecido	passar
2.2.13	Desinstale o pacote net-snmp	desconhecido	passar
2.2.14	Desinstale o pacote nis	baixos	passar
2.2.15	Certifique-se de que o agente de transferência de correio não está a ouvir nenhum endereço que não seja de loopback	média	passar
2.2.16	Desinstale o pacote rsync	média	passar
2.3.2	Desinstale o pacote rsh	desconhecido	passar
2.3.3	Desinstale o pacote de talk	média	passar
2.3.4	Remova clientes Telnet	baixos	passar
2.3.5	Certifique-se de que o cliente LDAP não está instalado	baixos	passar
3.1.2	Desative as interfaces de rede sem fios	média	passar
3.2.1	Desative o parâmetro do kernel para o envio de redirecionamentos ICMP em todas as interfaces IPv4 por predefinição	média	passar
3.2.1	Desative o parâmetro do kernel para o envio de redirecionamentos ICMP em todas as interfaces IPv4	média	passar
3.2.2	Desative o parâmetro do kernel para o encaminhamento IPv6	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em todas as interfaces IPv4	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em todas as interfaces IPv6	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em interfaces IPv4 por predefinição	média	passar
3.3.1	Desative o parâmetro do kernel para aceitar pacotes com encaminhamento de origem em interfaces IPv6 por predefinição	média	passar
3.3.2	Desative a aceitação de redirecionamentos ICMP para todas as interfaces IPv4	média	passar
3.3.2	Desative a aceitação de redirecionamentos ICMP para todas as interfaces IPv6	média	passar
3.3.2	Desative o parâmetro do kernel para aceitar redirecionamentos ICMP por predefinição em interfaces IPv4	média	passar
3.3.2	Desative o parâmetro do kernel para aceitar redirecionamentos ICMP por predefinição em interfaces IPv6	média	passar
3.3.3	Configure o parâmetro do kernel para aceitar redirecionamentos seguros por predefinição	média	passar
3.3.3	Desative o parâmetro do kernel para aceitar redirecionamentos ICMP seguros em todas as interfaces IPv4	média	passar
3.3.4	Ative o parâmetro do kernel para registar pacotes marcianos em todas as interfaces IPv4	desconhecido	passar
3.3.4	Ative o parâmetro do kernel para registar pacotes marcianos em todas as interfaces IPv4 por predefinição	desconhecido	passar
3.3.5	Ative o parâmetro do kernel para ignorar pedidos de eco de transmissão ICMP em interfaces IPv4	média	passar
3.3.6	Ative o parâmetro do kernel para ignorar respostas de erro ICMP falsas em interfaces IPv4	desconhecido	passar
3.3.8	Ative o parâmetro do kernel para usar TCP Syncookies em interfaces de rede	média	passar
3.3.9	Configure a aceitação de anúncios de routers em todas as interfaces IPv6	média	passar
3.3.9	Desative a aceitação de anúncios de routers em todas as interfaces IPv6 por predefinição	média	passar
3.4.1	Desative o suporte do DCCP	média	passar
3.4.2	Desative o suporte de SCTP	média	passar
3.4.3	Desative o suporte de RDS	baixos	passar
3.4.4	Desative o suporte de TIPC	baixos	passar
3.5.1.2	Remova o pacote iptables-persistent	média	passar
3.5.2.1	Instale o pacote nftables	média	passar
3.5.2.4	Certifique-se de que existe uma tabela para o Nftables	média	passar
3.5.2.5	Certifique-se de que existem cadeias de base para o Nftables	média	passar
3.5.2.9	Verifique se o serviço nftables está ativado	média	passar
3.5.3.1.1	Instale o pacote iptables	média	passar
3.5.3.1.3	Remova o pacote ufw	média	passar
4.1.1.1	Certifique-se de que o subsistema de auditoria está instalado	média	passar
4.1.1.2	Ative o serviço auditd	média	passar
4.1.1.4	Prolongue o limite de registo de auditoria pendente para o daemon de auditoria	baixos	passar
4.1.2.1	Configure o tamanho máximo do ficheiro de registo do auditd	média	passar
4.1.2.2	Configure o auditd max_log_file_action ao atingir o tamanho máximo do registo	média	passar
4.1.2.3	Configure a ação admin_space_left do auditd quando houver pouco espaço em disco	média	passar
4.1.2.3	Configure a ação mail_acct do auditd em caso de espaço insuficiente no disco	média	passar
4.1.2.3	Configure a ação space_left do auditd em caso de espaço insuficiente no disco	média	passar
4.1.3.1	Certifique-se de que o auditd recolhe as ações do administrador do sistema	média	passar
4.1.3.2	Registe eventos quando são executáveis privilegiados	média	passar
4.1.3.3	Registar tentativas de realizar atividades de manutenção	média	passar
4.1.3.4	Registe tentativas de alteração do ficheiro localtime	média	passar
4.1.3.4	Registe tentativas de alterar a hora através do adjtimex	média	passar
4.1.3.4	Tentativas de alteração da hora através de clock_settime	média	passar
4.1.3.4	Registar tentativas de alteração da hora através de settimeofday	média	passar
4.1.3.4	Tentativas de alteração da hora através de stime	média	passar
4.1.3.5	Registe eventos que modificam o ambiente de rede do sistema	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: su	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: sudo	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: sudoedit	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: umount	média	passar
4.1.3.6	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados – unix_chkpwd	média	passar
4.1.3.7	Registar tentativas de acesso sem êxito a ficheiros – creat	média	passar
4.1.3.7	Registe tentativas de acesso sem êxito a ficheiros – ftruncate	média	passar
4.1.3.7	Registar tentativas de acesso sem êxito a ficheiros – aberto	média	passar
4.1.3.7	Registe tentativas de acesso sem êxito a ficheiros – openat	média	passar
4.1.3.7	Registar tentativas de acesso sem êxito a ficheiros – truncar	média	passar
4.1.3.8	Registar eventos que modificam as informações de utilizadores/grupos: /etc/group	média	passar
4.1.3.8	Registe eventos que modificam informações de utilizadores/grupos: /etc/gshadow	média	passar
4.1.3.8	Registe eventos que modificam informações de utilizadores/grupos: /etc/passwd	média	passar
4.1.3.8	Registe eventos que modificam informações de utilizadores/grupos: /etc/security/opasswd	média	passar
4.1.3.8	Registe eventos que modificam as informações de utilizadores/grupos: /etc/shadow	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: chmod	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: chown	média	passar
4.1.3.9	Registar eventos que modificam os controlos de acesso discricionários do sistema: fchmod	média	passar
4.1.3.9	Registar eventos que modificam os controlos de acesso discricionários do sistema: fchmodat	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: fchown	média	passar
4.1.3.9	Registar eventos que modificam os controlos de acesso discricionários do sistema: fchownat	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: fremovexattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: fsetxattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: lchown	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: lremovexattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: lsetxattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: removexattr	média	passar
4.1.3.9	Registe eventos que modificam os controlos de acesso discricionários do sistema: setxattr	média	passar
4.1.3.10	Certifique-se de que o auditd recolhe informações sobre a exportação para suportes (com êxito)	média	passar
4.1.3.11	Registe tentativas de alteração das informações de processo e de iniciação de sessão	média	passar
4.1.3.12	Registe tentativas de alteração de eventos de início e fim de sessão – faillog	média	passar
4.1.3.12	Registe tentativas de alteração de eventos de início e fim de sessão – lastlog	média	passar
4.1.3.12	Registe tentativas de alteração de eventos de início e fim de sessão – tallylog	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador: mude o nome	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador: renameat	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador – unlink	média	passar
4.1.3.13	Certifique-se de que o auditd recolhe eventos de eliminação de ficheiros por utilizador: unlinkat	média	passar
4.1.3.14	Registe eventos que modificam os controlos de acesso obrigatórios do sistema	média	passar
4.1.3.15	Registe todas as tentativas de execução de chcon	média	passar
4.1.3.16	Registe todas as tentativas de execução de setfacl	média	passar
4.1.3.17	Registe todas as tentativas de execução do chacl	média	passar
4.1.3.18	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: usermod	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre o carregamento do módulo do kernel: init_module	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a desativação do módulo do kernel: delete_module	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: insmod	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: modprobe	média	passar
4.1.3.19	Certifique-se de que o auditd recolhe informações sobre a utilização de comandos privilegiados: rmmod	média	passar
4.1.3.20	Torne a configuração do auditd imutável	média	passar
4.1.4.1	Os registos de auditoria do sistema têm de ter o modo 0640 ou menos permissivo	média	passar
4.1.4.2	Os registos de auditoria do sistema têm de ser propriedade da raiz	média	passar
4.1.4.3	Os registos de auditoria do sistema têm de ser propriedade do grupo root	média	passar
4.1.4.4	Os registos de auditoria do sistema têm de ter o modo 0750 ou menos permissivo	média	passar
4.1.4.5	Valide as autorizações em /etc/audit/auditd.conf	média	passar
4.1.4.5	Valide as autorizações em /etc/audit/rules.d/*.rules	média	passar
4.1.4.6	Os ficheiros de configuração de auditoria têm de ser propriedade do utilizador root	média	passar
4.1.4.7	Os ficheiros de configuração de auditoria têm de ser propriedade do grupo root	média	passar
4.1.4.8	Verifique se as ferramentas de auditoria têm o modo 0755 ou inferior	média	passar
4.1.4.9	Verifique se as ferramentas de auditoria são propriedade do root	média	passar
4.1.4.10	Verifique se as ferramentas de auditoria são propriedade da raiz do grupo	média	passar
4.2.1.1.1	Instale o pacote systemd-journal-remote	média	passar
4.2.1.1.4	Desative o Socket systemd-journal-remote	média	passar
4.2.1.2	Ative o serviço systemd-journald	média	passar
4.2.1.3	Certifique-se de que o journald está configurado para comprimir ficheiros de registo grandes	média	passar
4.2.1.4	Certifique-se de que o journald está configurado para escrever ficheiros de registo no disco persistente	média	passar
4.2.2.1	Certifique-se de que o rsyslog está instalado	média	passar
4.2.2.2	Ative o serviço rsyslog	média	passar
4.2.2.4	Certifique-se de que as autorizações de ficheiros predefinidas do rsyslog estão configuradas	média	passar
4.2.2.7	Certifique-se de que o rsyslog não aceita mensagens remotas, a menos que esteja a funcionar como servidor de registo	média	passar
5.1.1	Ative o serviço cron	média	passar
5.1.2	Valide o grupo proprietário do crontab	média	passar
5.1.2	Valide o proprietário no crontab	média	passar
5.1.2	Valide as autorizações no crontab	média	passar
5.1.3	Valide o grupo proprietário de cron.hourly	média	passar
5.1.3	Valide o proprietário em cron.hourly	média	passar
5.1.3	Valide as autorizações em cron.hourly	média	passar
5.1.4	Valide o grupo proprietário de cron.daily	média	passar
5.1.4	Valide o proprietário em cron.daily	média	passar
5.1.4	Valide as autorizações no cron.daily	média	passar
5.1.5	Valide o grupo proprietário de cron.weekly	média	passar
5.1.5	Valide o proprietário em cron.weekly	média	passar
5.1.5	Valide as autorizações no cron.weekly	média	passar
5.1.6	Valide o grupo proprietário de cron.monthly	média	passar
5.1.6	Valide o proprietário em cron.monthly	média	passar
5.1.6	Valide as autorizações em cron.monthly	média	passar
5.1.7	Valide o grupo proprietário de cron.d	média	passar
5.1.7	Valide o proprietário no cron.d	média	passar
5.1.7	Valide as autorizações no cron.d	média	passar
5.1.8	Certifique-se de que o ficheiro /etc/cron.deny não existe	média	passar
5.1.8	Valide o grupo que detém o ficheiro /etc/cron.allow	média	passar
5.1.8	Valide as autorizações no ficheiro /etc/cron.allow	média	passar
5.1.8	Valide o utilizador que é proprietário do ficheiro /etc/cron.allow	média	passar
5.1.9	Certifique-se de que /etc/at.deny não existe	média	passar
5.1.9	Valide o grupo proprietário do ficheiro /etc/at.allow	média	passar
5.1.9	Valide as autorizações no ficheiro /etc/at.allow	média	passar
5.1.9	Valide o utilizador que é proprietário do ficheiro /etc/at.allow	média	passar
5.2.1	Verifique o grupo proprietário do ficheiro de configuração do servidor SSH	média	passar
5.2.1	Valide o proprietário no ficheiro de configuração do servidor SSH	média	passar
5.2.1	Valide as autorizações no ficheiro de configuração do servidor SSH	média	passar
5.2.2	Valide as autorizações nos ficheiros de chaves privadas *_key do servidor SSH	média	passar
5.2.3	Verifique as autorizações nos ficheiros de chave *.pub pública do servidor SSH	média	passar
5.2.5	Defina LogLevel como INFO	baixos	passar
5.2.6	Ative a PAM	média	passar
5.2.7	Desative o início de sessão de raiz de SSH	média	passar
5.2.8	Desative a autenticação baseada no anfitrião	média	passar
5.2.9	Desative o acesso SSH através de palavras-passe vazias	alta	passar
5.2.10	Não permitir opções de ambiente SSH	média	passar
5.2.11	Desative o suporte de SSH para ficheiros .rhosts	média	passar
5.2.12	Desative o encaminhamento X11	média	passar
5.2.13	Use apenas cifras fortes	média	passar
5.2.14	Use apenas MACs fortes	média	passar
5.2.15	Use apenas algoritmos de troca de chaves fortes	média	passar
5.2.16	Desative o encaminhamento TCP SSH	média	passar
5.2.17	Ative a faixa de aviso de SSH	média	passar
5.2.18	Defina o limite de tentativas de autenticação SSH	média	passar
5.2.19	Certifique-se de que o SSH MaxStartups está configurado	média	passar
5.2.20	Defina o limite de sessões máximas de SSH	média	passar
5.2.21	Certifique-se de que o SSH LoginGraceTime está configurado	média	passar
5.2.22	Defina o valor máximo de ClientAliveCount de SSH	média	passar
5.2.22	Defina o intervalo de tempo de atividade do cliente SSH	média	passar
5.3.1	Instale o pacote sudo	média	passar
5.3.2	Certifique-se de que apenas os utilizadores com sessão iniciada no tty real podem executar sudo – sudo use_pty	média	passar
5.3.3	Certifique-se de que o ficheiro de registo do sudo existe: sudo logfile	baixos	passar
5.3.5	Certifique-se de que os utilizadores voltam a fazer a autenticação para a escalada de privilégios: sudo !authenticate	média	passar
5.3.6	Exija a reautenticação quando usar o comando sudo	média	passar
5.3.7	Aplique a utilização de pam_wheel com o parâmetro de grupo para a autenticação su	média	passar
5.3.7	Certifique-se de que o grupo usado pelo módulo pam_wheel existe no sistema e está vazio	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: os pedidos de nova tentativa de autenticação são permitidos por sessão	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: categorias diferentes mínimas	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavra-passe: número mínimo de carateres numéricos	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavra-passe: comprimento mínimo	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: número mínimo de carateres em minúsculas	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavras-passe: carateres especiais mínimos	média	passar
5.4.1	Certifique-se de que o PAM aplica os requisitos de palavra-passe: número mínimo de carateres em maiúsculas	média	passar
5.4.1	Instale o pacote pam_pwquality	média	passar
5.4.2	Bloqueie contas após tentativas falhadas de introdução da palavra-passe	média	passar
5.4.2	Defina o intervalo para a contagem de tentativas falhadas de palavras-passe	média	passar
5.4.2	Defina o tempo de bloqueio para tentativas falhadas de palavras-passe	média	passar
5.4.3	Limite a reutilização de palavras-passe	média	passar
5.4.4	Defina o algoritmo de hash de palavras-passe em /etc/login.defs	média	passar
5.5.1.1	Defina a idade mínima das palavras-passe existentes	média	passar
5.5.1.1	Defina a idade mínima da palavra-passe	média	passar
5.5.1.2	Defina a idade máxima das palavras-passe existentes	média	passar
5.5.1.3	Definir a antiguidade do aviso de palavra-passe	média	passar
5.5.1.4	Defina a expiração da conta após inatividade	média	passar
5.5.1.5	Certifique-se de que a data da última alteração da palavra-passe de todos os utilizadores é anterior à data atual	média	passar
5.5.2	Certifique-se de que as contas do sistema não executam uma shell após o início de sessão	média	passar
5.5.3	Verify Root Has A Primary GID 0	alta	passar
5.5.4	Certifique-se de que o umask do bash predefinido está definido corretamente	média	passar
5.5.4	Certifique-se de que a umask predefinida está definida corretamente para utilizadores interativos	média	passar
5.5.4	Certifique-se de que a umask predefinida está definida corretamente em /etc/profile	média	passar
5.5.4	Certifique-se de que a umask predefinida está definida corretamente em login.defs	média	passar
5.5.5	Defina o limite de tempo da sessão interativa	média	passar
6.1.1	Verifique o grupo proprietário do ficheiro passwd	média	passar
6.1.1	Valide as autorizações no ficheiro passwd	média	passar
6.1.1	Valide o utilizador proprietário do ficheiro passwd	média	passar
6.1.2	Verifique o grupo proprietário do ficheiro passwd de cópia de segurança	média	passar
6.1.2	Valide as autorizações no ficheiro passwd de cópia de segurança	média	passar
6.1.2	Valide o utilizador que é proprietário do ficheiro passwd de cópia de segurança	média	passar
6.1.3	Valide o grupo proprietário do ficheiro de grupo	média	passar
6.1.3	Valide as autorizações no ficheiro de grupo	média	passar
6.1.3	Valide o utilizador proprietário do ficheiro do grupo	média	passar
6.1.4	Valide o grupo proprietário do ficheiro de grupo de cópia de segurança	média	passar
6.1.4	Valide as autorizações no ficheiro do grupo de cópias de segurança	média	passar
6.1.4	Valide o utilizador proprietário do ficheiro do grupo de cópias de segurança	média	passar
6.1.5	Valide o grupo proprietário do ficheiro shadow	média	passar
6.1.5	Valide as autorizações no ficheiro shadow	média	passar
6.1.5	Valide o utilizador proprietário do ficheiro fantasma	média	passar
6.1.6	Valide o grupo proprietário do ficheiro de sombra da cópia de segurança	média	passar
6.1.6	Valide as autorizações no ficheiro de sombra da cópia de segurança	média	passar
6.1.6	Valide o utilizador proprietário do ficheiro de sombra da cópia de segurança	média	passar
6.1.7	Valide o grupo proprietário do ficheiro gshadow	média	passar
6.1.7	Valide as autorizações no ficheiro gshadow	média	passar
6.1.7	Valide o utilizador proprietário do ficheiro gshadow	média	passar
6.1.8	Verifique o grupo proprietário do ficheiro gshadow	média	passar
6.1.8	Valide as autorizações no ficheiro gshadow de cópia de segurança	média	passar
6.1.8	Valide o utilizador proprietário do ficheiro gshadow de cópia de segurança	média	passar
6.1.10	Certifique-se de que todos os ficheiros são propriedade de um utilizador	média	passar
6.2.1	Verifique se todos os hashes de palavras-passe da conta estão ocultos	média	passar
6.2.2	Certifique-se de que não existem contas com palavras-passe em branco ou nulas	alta	passar
6.2.3	Todos os GIDs referenciados em /etc/passwd têm de ser definidos em /etc/group	baixos	passar
6.2.4	Certifique-se de que o grupo sombra está vazio	média	passar
6.2.5	Certifique-se de que todas as contas no sistema têm IDs dos utilizadores únicos	média	passar
6.2.6	Certifique-se de que todos os grupos no sistema têm um ID do grupo exclusivo	média	passar
6.2.7	Certifique-se de que todas as contas no sistema têm nomes exclusivos	média	passar
6.2.8	Certifique-se de que todos os grupos no sistema têm nomes de grupos únicos	média	passar
6.2.9	Certifique-se de que o caminho da raiz não inclui caminhos relativos nem diretórios nulos	desconhecido	passar
6.2.9	Certifique-se de que o caminho da raiz não inclui diretórios graváveis por todos ou por grupos	média	passar
6.2.10	Valide se apenas a raiz tem o UID 0	alta	passar
6.2.11	Todos os diretórios iniciais dos utilizadores interativos têm de existir	média	passar
6.2.12	Todos os diretórios pessoais de utilizadores interativos têm de ser propriedade do grupo principal	média	passar
6.2.12	Todos os diretórios iniciais de utilizadores interativos têm de pertencer ao utilizador principal	média	passar
6.2.13	Todos os diretórios iniciais de utilizadores interativos têm de ter o modo 0750 ou menos permissivo	média	passar
6.2.14	Verifique se não existem ficheiros .netrc	média	passar
6.2.15	Verifique se existem ficheiros .forward	média	passar
6.2.16	Remova ficheiros de confiança RSH	alta	passar
6.2.17	Os ficheiros de inicialização do utilizador têm de ser propriedade do grupo principal	média	passar
6.2.17	Os ficheiros de inicialização do utilizador têm de ser propriedade do utilizador principal	média	passar
6.2.17	Os ficheiros de inicialização do utilizador não podem executar programas modificáveis por qualquer aplicação	média	passar

Recomendações não aplicáveis

A tabela seguinte indica as recomendações que não se aplicam ao Google Distributed Cloud.

#	Recomendação	Gravidade	Estado
1.1.2.2	Adicione a opção nodev a /tmp	média	notapplicable
1.1.2.3	Adicione a opção noexec a /tmp	média	notapplicable
1.1.2.4	Adicione a opção nosuid a /tmp	média	notapplicable
1.1.3.2	Adicione a opção nodev a /var	média	notapplicable
1.1.3.3	Adicione a opção nosuid a /var	média	notapplicable
1.1.4.2	Adicione a opção noexec a /var/tmp	média	notapplicable
1.1.4.3	Adicione a opção nosuid a /var/tmp	média	notapplicable
1.1.4.4	Adicione a opção nodev a /var/tmp	média	notapplicable
1.1.5.2	Adicione a opção nodev a /var/log	média	notapplicable
1.1.5.3	Adicione a opção noexec a /var/log	média	notapplicable
1.1.5.4	Adicione a opção nosuid a /var/log	média	notapplicable
1.1.6.2	Adicione a opção noexec a /var/log/audit	média	notapplicable
1.1.6.3	Adicione a opção nodev a /var/log/audit	média	notapplicable
1.1.6.4	Adicione a opção nosuid a /var/log/audit	média	notapplicable
1.1.7.2	Adicione a opção nodev a /home	desconhecido	notapplicable
1.1.7.3	Adicione a opção nosuid a /home	média	notapplicable
1.4.1	Defina a palavra-passe do carregador de arranque UEFI	alta	notapplicable
1.8.1	Remova o grupo de pacotes do GDM	média	notapplicable
1.8.4	Ative o bloqueio da proteção de ecrã do GNOME3 após o período de inatividade	média	notapplicable
1.8.5	Defina o atraso do bloqueio da proteção de ecrã do GNOME3 após o período de ativação	média	notapplicable
1.8.6	Desative a abertura da montagem automática do GNOME3	média	notapplicable
1.8.6	Desative a montagem automática do GNOME3	média	notapplicable
1.8.8	Desative a execução da montagem automática do GNOME3	baixos	notapplicable
1.8.10	Desative o XDMCP no GDM	alta	notapplicable
1.10	Configure o perfil de utilizador do DConf do GNOME3	alta	notapplicable
2.1.4.1	Configure restrições de servidor para o ntpd	média	notapplicable
2.1.4.3	Configure o ntpd para ser executado como utilizador ntp	média	notapplicable
2.1.4.4	Ative o daemon NTP	alta	notapplicable
2.2.15	Desative a escuta de rede do Postfix	média	notapplicable
3.5.1.3	Verifique se o ufw está ativado	média	notapplicable
3.5.1.4	Defina o tráfego de loopback do UFW	média	notapplicable
3.5.1.6	Certifique-se de que existem regras de firewall do ufw para todas as portas abertas	média	notapplicable
3.5.1.7	Garanta a política de firewall de negação predefinida do ufw	média	notapplicable
3.5.3.2.1	Defina a política iptables predefinida para pacotes recebidos	média	notapplicable
3.5.3.2.2	Defina a configuração para o tráfego de loopback	média	notapplicable
3.5.3.2.4	Certifique-se de que existem regras de firewall do iptables para todas as portas abertas	média	notapplicable
3.5.3.3.1	Defina a política ip6tables predefinida para pacotes recebidos	média	notapplicable
3.5.3.3.4	Certifique-se de que existem regras de firewall ip6tables para todas as portas abertas	média	notapplicable

Configure a tarefa cron do AIDE

O AIDE é uma ferramenta de verificação da integridade de ficheiros que valida a conformidade com a norma CIS L1 Server benchmark 1.4 Filesystem Integrity Checking. No Google Distributed Cloud, o processo AIDE tem causado problemas de utilização elevada de recursos.

O processo AIDE nos nós está desativado por predefinição para evitar problemas de recursos. Isto afeta a conformidade com a referência do servidor CIS L1 1.4.2: Ensure filesystem integrity is regularly checked.

Se quiser ativar a tarefa cron do AIDE, conclua os passos seguintes para reativar o AIDE:

1. Crie um DaemonSet.

   Segue-se um manifesto para um DaemonSet:

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
   name: enable-aide-pool1
   spec:
   selector:
     matchLabels:
       app: enable-aide-pool1
   template:
     metadata:
       labels:
         app: enable-aide-pool1
     spec:
       hostIPC: true
       hostPID: true
       nodeSelector:
         cloud.google.com/gke-nodepool: pool-1
       containers:
       - name: update-audit-rule
         image: ubuntu
         command: ["chroot", "/host", "bash", "-c"]
         args:
         - |
           set -x
           while true; do
             # change daily cronjob schedule
             minute=30;hour=5
             sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab
   
             # enable aide
             chmod 755 /etc/cron.daily/aide
   
             sleep 3600
           done
         volumeMounts:
         - name: host
           mountPath: /host
         securityContext:
           privileged: true
       volumes:
       - name: host
         hostPath:
           path: /
   

   No manifesto anterior:

   • A tarefa cron do AIDE só é executada no conjunto de nós pool-1, conforme especificado pelo cloud.google.com/gke-nodepool: pool-1nodeSelector. Pode configurar o processo AIDE para ser executado em quantos conjuntos de nós quiser, especificando os conjuntos no campo nodeSelector. Para executar o mesmo agendamento de tarefas cronológicas em diferentes conjuntos de nós, remova o campo nodeSelector. No entanto, para evitar congestionamentos de recursos do anfitrião, recomendamos que mantenha programações separadas.

   • A tarefa cron está agendada para ser executada diariamente às 05:30, conforme especificado pela configuração minute=30;hour=5. Pode configurar diferentes agendamentos para a tarefa cron do AIDE, conforme necessário.

2. Copie o manifesto para um ficheiro denominado enable-aide.yaml e crie o DaemonSet:

   kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
   

   em que USER_CLUSTER_KUBECONFIG é o caminho do ficheiro kubeconfig para o cluster de utilizadores.

Use a avaliação do protocolo de automatização de conteúdo de segurança (SCAP)

Recomendamos que analise a sua instalação para avaliar a respetiva conformidade de nível 2 com a referência do CIS do Ubuntu Linux. Estão disponíveis várias ferramentas para analisar os seus clusters e estação de trabalho de administrador. Pode usar os seguintes passos para instalar e executar o conjunto de ferramentas de código aberto OpenSCAP para fazer uma avaliação de segurança de nível 2:

1. Copie o script seguinte para um ficheiro denominado cis-benchmark.sh:

   #!/bin/bash
   
   set -x
   
   REPORTS_DIR="$1"
   
   mkdir -p "${REPORTS_DIR}"
   
   echo "Start CIS L2 benchmark evaluation..."
   apt update
   apt install libopenscap8
   sudo oscap xccdf eval \
       --profile cis_level2_server_customized \
       --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \
       --results "${REPORTS_DIR}"/cis-results.xml \
       --report "${REPORTS_DIR}"/cis-report.html \
       --verbose INFO \
       --verbose-log-file "${REPORTS_DIR}/cis-output-verbose.log" \
       /etc/cloud/usg/ssg-ubuntu2204-ds-1.2.xml > "${REPORTS_DIR}"/cis-output.log 2>&1
   chmod -R 755 "${REPORTS_DIR}/.."
   echo "Done CIS L2 benchmark evaluation"
   

2. Torne o script executável:

   chmod +x cis-benchmark.sh
   

3. Execute o script:

   ./cis-benchmark.sh REPORTS_DIR
   

   Substitua REPORTS_DIR pelo caminho de um diretório existente onde quer guardar o relatório de avaliação gerado.

   Quando o script é concluído com êxito, o diretório REPORTS_DIR contém o ficheiro cis-report.html gerado.