Este documento descreve o nível de conformidade que o Google Distributed Cloud tem com o comparativo de mercado CIS do Ubuntu.
Acessar o comparativo de mercado
O comparativo de mercado do Ubuntu da CIS está disponível no site da CIS:
Perfil de configuração
No documento do comparativo de mercado do Ubuntu da CIS, é possível ler sobre os perfis de configuração. As imagens do Ubuntu usadas pelo Google Distributed Cloud são reforçadas para atender aos Nível 2: perfil do servidor.
Avaliação no Google Distributed Cloud
Usamos os seguintes valores para especificar o status das recomendações do Ubuntu no Google Distributed Cloud.
| Status | Descrição |
|---|---|
| pass | Está em conformidade com uma recomendação do comparativo de mercado. |
| errada | Diverge de uma recomendação de comparativo de mercado. |
| notapplicable | Não é relevante para ser testado no sistema em avaliação. |
Status do Google Distributed Cloud
As imagens do Ubuntu usadas com o Google Distributed Cloud são reforçadas para atender à CIS
Nível 2: perfil do servidor. A tabela a seguir fornece justificativas
por que os componentes do Google Distributed Cloud não receberam determinadas recomendações.
Os comparativos de mercado com status Passed não estão incluídos na tabela a seguir.
1.32
Versões
Esta seção se refere a estas versões:
| Versão do Google Distributed Cloud | Versão do Ubuntu | Versão do comparativo de mercado do Ubuntu da CIS | Nível da CIS |
|---|---|---|---|
| 1.32 | 22.04 LTS | v1.0.0 | Servidor de nível 2 |
Recomendações com falha
A tabela a seguir lista as recomendações em que o Google Distributed Cloud diverge das recomendações do comparativo. Essas descobertas se aplicam aos nós do cluster e à estação de trabalho do administrador.
| # | Recomendação | Gravidade | Status |
|---|---|---|---|
| 1.1.2.1 | Verifique se /tmp está localizado em uma partição separada | baixo | errada |
| 1.1.3.1 | Verifique se /var está localizado em uma partição separada | baixo | errada |
| 1.1.4.1 | Verifique se /var/tmp está localizado em uma partição separada | médio | errada |
| 1.1.5.1 | Verifique se /var/log está localizado em uma partição separada | baixo | errada |
| 1.1.6.1 | Verifique se /var/log/audit está localizado em uma partição separada | baixo | errada |
| 1.1.7.1 | Verifique se /home está localizado em uma partição separada | baixo | errada |
| 1.4.1 | Definir a senha do carregador de inicialização no grub2 | alto | errada |
| 1.4.3 | Certifique-se de que o modo de usuário único seja autenticado | médio | errada |
| 2.3.6 | Desinstalar pacote rpcbind | baixo | errada |
| 3.2.2 | Desativar o parâmetro do kernel para encaminhamento de IP em interfaces IPv4 | médio | errada |
| 3.3.7 | Ativar o parâmetro do kernel para usar a filtragem de caminho reverso em todas as interfaces IPv4 por padrão | médio | errada |
| 3.3.7 | Ativar o parâmetro do kernel para usar a filtragem de caminho reverso em todas as interfaces IPv4 | médio | errada |
| 3.5.2.8 | Verifique se a política de firewall de negação padrão de nftables | médio | errada |
| 3.5.2.10 | Garantir que as regras de nftables sejam permanentes | médio | errada |
| 4.2.3 | Verificar as permissões dos arquivos de registro | médio | errada |
| 5.2.4 | Limitar usuários Acesso SSH | desconhecido | errada |
| 5.3.4 | Garanta que os usuários façam a autenticação novamente para escalonamento de privilégios – sudo | médio | errada |
| 5.5.1.2 | Definir idade máxima da senha | médio | errada |
Recomendações aprovadas
A tabela a seguir lista as recomendações para as quais o Google Distributed Cloud está em conformidade com as recomendações do comparativo de mercado.
| # | Recomendação | Gravidade | Status |
|---|---|---|---|
| 1.1.1.1 | Desativar a montagem do cramfs | baixo | pass |
| 1.1.1.2 | Desativar a montagem do squashfs | baixo | pass |
| 1.1.1.3 | Desativar a montagem de udf | baixo | pass |
| 1.1.8.1 | Adicionar a opção nodev a /dev/shm | médio | pass |
| 1.1.8.2 | Adicionar a opção noexec a /dev/shm | médio | pass |
| 1.1.8.3 | Adicionar a opção nosuid a /dev/shm | médio | pass |
| 1.1.9 | Desativar o Automounter | médio | pass |
| 1.1.10 | Desativar o carregamento do Modprobe do driver de armazenamento USB | médio | pass |
| 1.4.2 | Verificar as permissões de /boot/grub/grub.cfg | médio | pass |
| 1.5.1 | Ativar o layout aleatório do espaço de endereço virtual | médio | pass |
| 1.5.2 | O pacote "prelink" não pode ser instalado | médio | pass |
| 1.5.3 | Desativar o serviço Apport | desconhecido | pass |
| 1.5.4 | Desativar despejos de núcleo para todos os usuários | médio | pass |
| 1.5.4 | Desativar dumps de núcleo para programas SUID | médio | pass |
| 1.6.1.1 | Verifique se o AppArmor está instalado | médio | pass |
| 1.6.1.2 | Verifique se o AppArmor está ativado na configuração do carregador de inicialização | médio | pass |
| 1.6.1.4 | Aplicar todos os perfis do AppArmor | médio | pass |
| 1.7.1 | Modificar o banner da mensagem do dia do sistema | médio | pass |
| 1.7.2 | Modificar o banner de login do sistema | médio | pass |
| 1.7.3 | Modificar o banner de login do sistema para conexões remotas | médio | pass |
| 1.7.4 | Verificar a propriedade do grupo do banner da mensagem do dia | médio | pass |
| 1.7.4 | Verificar a propriedade do banner da Mensagem do dia | médio | pass |
| 1.7.4 | Verificar as permissões no banner da mensagem do dia | médio | pass |
| 1.7.5 | Verificar a propriedade do grupo do banner de login do sistema | médio | pass |
| 1.7.5 | Verificar a propriedade do banner de login do sistema | médio | pass |
| 1.7.5 | Verificar as permissões no banner de login do sistema | médio | pass |
| 1.7.6 | Verificar a propriedade do grupo do banner de login do sistema para conexões remotas | médio | pass |
| 1.7.6 | Verificar a propriedade do banner de login do sistema para conexões remotas | médio | pass |
| 1.7.6 | Verificar as permissões no banner de login do sistema para conexões remotas | médio | pass |
| 2.1.1.1 | Instalar o serviço systemd_timesyncd | alto | pass |
| 2.1.3.2 | Ativar o serviço systemd_timesyncd | alto | pass |
| 2.2.1 | Remova o grupo de pacotes do X Windows | médio | pass |
| 2.2.2 | Desativar o software do servidor Avahi | médio | pass |
| 2.2.2 | Desinstalar o pacote do servidor avahi | médio | pass |
| 2.2.3 | Desativar o serviço CUPS | desconhecido | pass |
| 2.2.3 | Desinstalar o pacote CUPS | desconhecido | pass |
| 2.2.4 | Desinstalar pacote do servidor DHCP | médio | pass |
| 2.2.5 | Desinstalar o pacote openldap-servers | baixo | pass |
| 2.2.6 | Desinstalar o pacote nfs-kernel-server | baixo | pass |
| 2.2.7 | Desinstalar pacote bind | baixo | pass |
| 2.2.8 | Desinstalar o pacote vsftpd | alto | pass |
| 2.2.9 | Desinstalar o pacote httpd | desconhecido | pass |
| 2.2.9 | Desinstalar pacote nginx | desconhecido | pass |
| 2.2.10 | Desinstalar pacote cyrus-imapd | desconhecido | pass |
| 2.2.10 | Desinstalar pacote do dovecot | desconhecido | pass |
| 2.2.11 | Desinstalar pacote do Samba | desconhecido | pass |
| 2.2.12 | Desinstalar pacote squid | desconhecido | pass |
| 2.2.13 | Desinstalar o pacote net-snmp | desconhecido | pass |
| 2.2.14 | Desinstalar o pacote nis | baixo | pass |
| 2.2.15 | Verifique se o agente de transferência de e-mail não está escutando em nenhum endereço que não seja de loopback | médio | pass |
| 2.2.16 | Desinstalar pacote rsync | médio | pass |
| 2.3.2 | Desinstalar pacote rsh | desconhecido | pass |
| 2.3.3 | Desinstalar o pacote de fala | médio | pass |
| 2.3.4 | Remover clientes telnet | baixo | pass |
| 2.3.5 | Verificar se o cliente LDAP não está instalado | baixo | pass |
| 3.1.2 | Desativar interfaces de rede sem fio | médio | pass |
| 3.2.1 | Desativar o parâmetro do kernel para envio de redirecionamentos ICMP em todas as interfaces IPv4 por padrão | médio | pass |
| 3.2.1 | Desativar o parâmetro do kernel para enviar redirecionamentos ICMP em todas as interfaces IPv4 | médio | pass |
| 3.2.2 | Desativar o parâmetro do kernel para encaminhamento IPv6 | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes encaminhados de origem em todas as interfaces IPv4 | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes roteados de origem em todas as interfaces IPv6 | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes encaminhados de origem em interfaces IPv4 por padrão | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes roteados de origem em interfaces IPv6 por padrão | médio | pass |
| 3.3.2 | Desativar a aceitação de redirecionamentos ICMP para todas as interfaces IPv4 | médio | pass |
| 3.3.2 | Desativar a aceitação de redirecionamentos ICMP para todas as interfaces IPv6 | médio | pass |
| 3.3.2 | Desativar o parâmetro do kernel para aceitar redirecionamentos ICMP por padrão em interfaces IPv4 | médio | pass |
| 3.3.2 | Desativar o parâmetro do kernel para aceitar redirecionamentos ICMP por padrão em interfaces IPv6 | médio | pass |
| 3.3.3 | Configurar o parâmetro do kernel para aceitar redirecionamentos seguros por padrão | médio | pass |
| 3.3.3 | Desativar o parâmetro do kernel para aceitar redirecionamentos ICMP seguros em todas as interfaces IPv4 | médio | pass |
| 3.3.4 | Ativar o parâmetro do kernel para registrar pacotes marcianos em todas as interfaces IPv4 | desconhecido | pass |
| 3.3.4 | Ativar o parâmetro do kernel para registrar pacotes marcianos em todas as interfaces IPv4 por padrão | desconhecido | pass |
| 3.3.5 | Ativar o parâmetro do kernel para ignorar solicitações de eco de transmissão ICMP em interfaces IPv4 | médio | pass |
| 3.3.6 | Ativar o parâmetro do kernel para ignorar respostas de erro ICMP falsas em interfaces IPv4 | desconhecido | pass |
| 3.3.8 | Ativar o parâmetro do kernel para usar TCP Syncookies em interfaces de rede | médio | pass |
| 3.3.9 | Configurar a aceitação de anúncios de roteador em todas as interfaces IPv6 | médio | pass |
| 3.3.9 | Desativar a aceitação de anúncios de roteador em todas as interfaces IPv6 por padrão | médio | pass |
| 3.4.1 | Desativar o suporte a DCCP | médio | pass |
| 3.4.2 | Desativar o suporte a SCTP | médio | pass |
| 3.4.3 | Desativar o suporte do RDS | baixo | pass |
| 3.4.4 | Desativar o suporte a TIPC | baixo | pass |
| 3.5.1.2 | Remover o pacote iptables-persistent | médio | pass |
| 3.5.2.1 | Instalar o pacote nftables | médio | pass |
| 3.5.2.4 | Verificar se uma tabela existe para nftables | médio | pass |
| 3.5.2.5 | Verificar se existem cadeias de base para nftables | médio | pass |
| 3.5.2.9 | Verificar se o serviço nftables está ativado | médio | pass |
| 3.5.3.1.1 | Instalar o pacote iptables | médio | pass |
| 3.5.3.1.3 | Remover o pacote ufw | médio | pass |
| 4.1.1.1 | Verificar se o subsistema de auditoria está instalado | médio | pass |
| 4.1.1.2 | Ativar o serviço auditd | médio | pass |
| 4.1.1.4 | Estender o limite de pendências de auditoria para o daemon de auditoria | baixo | pass |
| 4.1.2.1 | Configurar o tamanho máximo do arquivo de registro do auditd | médio | pass |
| 4.1.2.2 | Configurar o auditd max_log_file_action ao atingir o tamanho máximo do registro | médio | pass |
| 4.1.2.3 | Configurar a ação "admin_space_left" do auditd em "Pouco espaço em disco" | médio | pass |
| 4.1.2.3 | Configurar a ação mail_acct do auditd em pouco espaço em disco | médio | pass |
| 4.1.2.3 | Configurar a ação "space_left" do auditd em caso de pouco espaço em disco | médio | pass |
| 4.1.3.1 | Garantir que o auditd colete ações do administrador do sistema | médio | pass |
| 4.1.3.2 | Registrar eventos quando executáveis privilegiados são executados | médio | pass |
| 4.1.3.3 | Registrar tentativas de realizar atividades de manutenção | médio | pass |
| 4.1.3.4 | Registro de tentativas de alterar o arquivo localtime | médio | pass |
| 4.1.3.4 | Registra tentativas de alterar a hora usando adjtimex. | médio | pass |
| 4.1.3.4 | Registra tentativas de alterar a hora usando clock_settime | médio | pass |
| 4.1.3.4 | Registra tentativas de alterar a hora usando settimeofday. | médio | pass |
| 4.1.3.4 | Registrar tentativas de alterar a hora usando stime | médio | pass |
| 4.1.3.5 | Registrar eventos que modificam o ambiente de rede do sistema | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: su | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios – sudo | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: sudoedit | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados - umount | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios: unix_chkpwd | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos - creat | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: ftruncate | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: abrir | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: openat | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: truncar | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/group | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/gshadow | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/passwd | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/security/opasswd | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/shadow | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: chmod | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: chown | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchmod | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchmodat | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchown | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchownat | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fremovexattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fsetxattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: lchown | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: lremovexattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: lsetxattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: removexattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: setxattr | médio | pass |
| 4.1.3.10 | Garantir que o auditd colete informações sobre a exportação para mídia (concluída) | médio | pass |
| 4.1.3.11 | Registro de tentativas de alterar informações de processo e início de sessão | médio | pass |
| 4.1.3.12 | Registrar tentativas de alterar eventos de login e logout: faillog | médio | pass |
| 4.1.3.12 | Registrar tentativas de alterar eventos de logon e logout: lastlog | médio | pass |
| 4.1.3.12 | Registrar tentativas de alterar eventos de logon e logout: tallylog | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: renomear | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: renameat | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: unlink | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: unlinkat | médio | pass |
| 4.1.3.14 | Registrar eventos que modificam os controles de acesso obrigatórios do sistema | médio | pass |
| 4.1.3.15 | Registrar qualquer tentativa de executar chcon | médio | pass |
| 4.1.3.16 | Registrar qualquer tentativa de executar setfacl | médio | pass |
| 4.1.3.17 | Registrar todas as tentativas de executar o chacl | médio | pass |
| 4.1.3.18 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios - usermod | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o carregamento de módulos do kernel: init_module | médio | pass |
| 4.1.3.19 | Verifique se o auditd coleta informações sobre o descarregamento do módulo do kernel: delete_module | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: insmod | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios: modprobe | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: rmmod | médio | pass |
| 4.1.3.20 | Tornar a configuração do auditd imutável | médio | pass |
| 4.1.4.1 | Os registros de auditoria do sistema precisam ter o modo 0640 ou menos permissivo | médio | pass |
| 4.1.4.2 | Os registros de auditoria do sistema precisam ser de propriedade da raiz | médio | pass |
| 4.1.4.3 | Os registros de auditoria do sistema precisam ser de propriedade do grupo raiz | médio | pass |
| 4.1.4.4 | Os registros de auditoria do sistema precisam ter o modo 0750 ou menos permissivo | médio | pass |
| 4.1.4.5 | Verificar permissões em /etc/audit/auditd.conf | médio | pass |
| 4.1.4.5 | Verificar permissões em /etc/audit/rules.d/*.rules | médio | pass |
| 4.1.4.6 | Os arquivos de configuração de auditoria precisam ser de propriedade da raiz | médio | pass |
| 4.1.4.7 | Os arquivos de configuração de auditoria precisam ser de propriedade do grupo root | médio | pass |
| 4.1.4.8 | Verifique se as ferramentas de auditoria têm o modo 0755 ou menos. | médio | pass |
| 4.1.4.9 | Verificar se as ferramentas de auditoria são de propriedade da raiz | médio | pass |
| 4.1.4.10 | Verificar se as ferramentas de auditoria são de propriedade da raiz do grupo | médio | pass |
| 4.2.1.1.1 | Instalar o pacote systemd-journal-remote | médio | pass |
| 4.2.1.1.4 | Desativar o soquete systemd-journal-remote | médio | pass |
| 4.2.1.2 | Ativar o serviço systemd-journald | médio | pass |
| 4.2.1.3 | Verifique se o journald está configurado para compactar arquivos de registro grandes | médio | pass |
| 4.2.1.4 | Verifique se o journald está configurado para gravar arquivos de registro no disco permanente | médio | pass |
| 4.2.2.1 | Verificar se o rsyslog está instalado | médio | pass |
| 4.2.2.2 | Ativar o serviço rsyslog | médio | pass |
| 4.2.2.4 | Verificar se as permissões de arquivo padrão do rsyslog estão configuradas | médio | pass |
| 4.2.2.7 | Verificar se o rsyslog não aceita mensagens remotas, a menos que esteja atuando como servidor de registro | médio | pass |
| 5.1.1 | Ativar o serviço cron | médio | pass |
| 5.1.2 | Verificar o grupo proprietário do crontab | médio | pass |
| 5.1.2 | Verificar o proprietário no crontab | médio | pass |
| 5.1.2 | Verificar permissões no crontab | médio | pass |
| 5.1.3 | Verificar o grupo proprietário de cron.hourly | médio | pass |
| 5.1.3 | Verificar proprietário em cron.hourly | médio | pass |
| 5.1.3 | Verificar permissões em cron.hourly | médio | pass |
| 5.1.4 | Verificar o grupo proprietário do cron.daily | médio | pass |
| 5.1.4 | Verificar o proprietário em cron.daily | médio | pass |
| 5.1.4 | Verificar permissões em cron.daily | médio | pass |
| 5.1.5 | Verificar o grupo proprietário de cron.weekly | médio | pass |
| 5.1.5 | Verificar proprietário em cron.weekly | médio | pass |
| 5.1.5 | Verificar permissões em cron.weekly | médio | pass |
| 5.1.6 | Verificar o grupo proprietário de cron.monthly | médio | pass |
| 5.1.6 | Verificar proprietário em cron.monthly | médio | pass |
| 5.1.6 | Verificar permissões em cron.monthly | médio | pass |
| 5.1.7 | Verificar o grupo proprietário de cron.d | médio | pass |
| 5.1.7 | Verificar o proprietário em cron.d | médio | pass |
| 5.1.7 | Verificar permissões em cron.d | médio | pass |
| 5.1.8 | Verifique se /etc/cron.deny não existe | médio | pass |
| 5.1.8 | Verificar o grupo proprietário do arquivo /etc/cron.allow | médio | pass |
| 5.1.8 | Verificar permissões no arquivo /etc/cron.allow | médio | pass |
| 5.1.8 | Verificar o usuário proprietário do arquivo /etc/cron.allow | médio | pass |
| 5.1.9 | Verifique se /etc/at.deny não existe | médio | pass |
| 5.1.9 | Verificar o grupo proprietário do arquivo /etc/at.allow | médio | pass |
| 5.1.9 | Verificar as permissões no arquivo /etc/at.allow | médio | pass |
| 5.1.9 | Verificar o usuário proprietário do arquivo /etc/at.allow | médio | pass |
| 5.2.1 | Verificar o arquivo de configuração do servidor SSH do grupo proprietário | médio | pass |
| 5.2.1 | Verificar o proprietário no arquivo de configuração do servidor SSH | médio | pass |
| 5.2.1 | Verificar as permissões no arquivo de configuração do servidor SSH | médio | pass |
| 5.2.2 | Verificar permissões nos arquivos de chave *_key privada do servidor SSH | médio | pass |
| 5.2.3 | Verificar permissões nos arquivos de chave pública *.pub do servidor SSH | médio | pass |
| 5.2.5 | Definir LogLevel como INFO | baixo | pass |
| 5.2.6 | Ativar o PAM | médio | pass |
| 5.2.7 | Desativar o login raiz do SSH | médio | pass |
| 5.2.8 | Desativar a autenticação baseada em host | médio | pass |
| 5.2.9 | Desativar o acesso SSH com senhas vazias | alto | pass |
| 5.2.10 | Não permitir opções de ambiente SSH | médio | pass |
| 5.2.11 | Desativar o suporte a SSH para arquivos .rhosts | médio | pass |
| 5.2.12 | Desativar o encaminhamento X11 | médio | pass |
| 5.2.13 | Usar apenas criptografias fortes | médio | pass |
| 5.2.14 | Usar apenas MACs fortes | médio | pass |
| 5.2.15 | Use apenas algoritmos de troca de chaves fortes | médio | pass |
| 5.2.16 | Desativar o encaminhamento TCP do SSH | médio | pass |
| 5.2.17 | Ativar o banner de aviso do SSH | médio | pass |
| 5.2.18 | Definir o limite de tentativas de autenticação SSH | médio | pass |
| 5.2.19 | Verifique se o SSH MaxStartups está configurado | médio | pass |
| 5.2.20 | Definir o limite de MaxSessions do SSH | médio | pass |
| 5.2.21 | Verifique se o SSH LoginGraceTime está configurado | médio | pass |
| 5.2.22 | Definir o número máximo de contagem de clientes SSH ativos | médio | pass |
| 5.2.22 | Definir o intervalo de atividade do cliente SSH | médio | pass |
| 5.3.1 | Instalar o pacote sudo | médio | pass |
| 5.3.2 | Garantir que apenas usuários conectados a um tty real possam executar o sudo – sudo use_pty | médio | pass |
| 5.3.3 | Garantir que o arquivo de registro do sudo exista – sudo logfile | baixo | pass |
| 5.3.5 | Garanta que os usuários façam a autenticação novamente para escalonamento de privilégios – sudo !authenticate | médio | pass |
| 5.3.6 | Exigir a reautenticação ao usar o comando sudo | médio | pass |
| 5.3.7 | Aplicar o uso de pam_wheel com parâmetro de grupo para autenticação su | médio | pass |
| 5.3.7 | Verificar se o grupo usado pelo módulo pam_wheel existe no sistema e está vazio | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: solicitações de nova tentativa de autenticação permitidas por sessão | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: mínimo de categorias diferentes | médio | pass |
| 5.4.1 | Verifique se o PAM impõe requisitos de senha: número mínimo de dígitos | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: tamanho mínimo | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: número mínimo de caracteres minúsculos | médio | pass |
| 5.4.1 | Verifique se o PAM impõe requisitos de senha: número mínimo de caracteres especiais | médio | pass |
| 5.4.1 | Verifique se a PAM impõe requisitos de senha: número mínimo de caracteres maiúsculos | médio | pass |
| 5.4.1 | Instalar o pacote pam_pwquality | médio | pass |
| 5.4.2 | Bloquear contas após tentativas de senha com falha | médio | pass |
| 5.4.2 | Definir intervalo para contagem de tentativas de senha com falha | médio | pass |
| 5.4.2 | Definir o tempo de bloqueio para tentativas de senha com falha | médio | pass |
| 5.4.3 | Limitar a reutilização de senhas | médio | pass |
| 5.4.4 | Definir o algoritmo de hash de senha em /etc/login.defs | médio | pass |
| 5.5.1.1 | Definir idade mínima das senhas atuais | médio | pass |
| 5.5.1.1 | Definir idade mínima da senha | médio | pass |
| 5.5.1.2 | Definir a idade máxima das senhas atuais | médio | pass |
| 5.5.1.3 | Definir idade do aviso de senha | médio | pass |
| 5.5.1.4 | Definir o vencimento da conta após inatividade | médio | pass |
| 5.5.1.5 | Verifique se a data da última mudança de senha de todos os usuários é no passado. | médio | pass |
| 5.5.2 | Garantir que as contas do sistema não executem um shell ao fazer login | médio | pass |
| 5.5.3 | Verificar se a raiz tem um GID principal 0 | alto | pass |
| 5.5.4 | Verificar se a umask padrão do Bash está definida corretamente | médio | pass |
| 5.5.4 | Verifique se a umask padrão está definida corretamente para usuários interativos | médio | pass |
| 5.5.4 | Verificar se a umask padrão está definida corretamente em /etc/profile | médio | pass |
| 5.5.4 | Verifique se a umask padrão está definida corretamente em login.defs | médio | pass |
| 5.5.5 | Definir o tempo limite da sessão interativa | médio | pass |
| 6.1.1 | Verificar o grupo proprietário do arquivo passwd | médio | pass |
| 6.1.1 | Verificar permissões no arquivo passwd | médio | pass |
| 6.1.1 | Verificar o usuário proprietário do arquivo passwd | médio | pass |
| 6.1.2 | Verificar o grupo proprietário do arquivo passwd de backup | médio | pass |
| 6.1.2 | Verificar as permissões no arquivo passwd de backup | médio | pass |
| 6.1.2 | Verificar o usuário proprietário do arquivo passwd de backup | médio | pass |
| 6.1.3 | Verificar o grupo proprietário do arquivo do grupo | médio | pass |
| 6.1.3 | Verificar permissões no arquivo do grupo | médio | pass |
| 6.1.3 | Verificar o usuário proprietário do arquivo do grupo | médio | pass |
| 6.1.4 | Verificar o grupo proprietário do arquivo do grupo de backup | médio | pass |
| 6.1.4 | Verificar as permissões no arquivo do grupo de backup | médio | pass |
| 6.1.4 | Verificar o usuário proprietário do arquivo do grupo de backup | médio | pass |
| 6.1.5 | Verificar grupo proprietário do arquivo shadow | médio | pass |
| 6.1.5 | Verificar permissões no arquivo shadow | médio | pass |
| 6.1.5 | Verificar o usuário proprietário do arquivo de sombra | médio | pass |
| 6.1.6 | Verificar o grupo proprietário do arquivo de sombra de backup | médio | pass |
| 6.1.6 | Verificar as permissões no arquivo de sombra de backup | médio | pass |
| 6.1.6 | Verificar o usuário proprietário do arquivo de sombra de backup | médio | pass |
| 6.1.7 | Verificar o grupo proprietário do arquivo gshadow | médio | pass |
| 6.1.7 | Verificar permissões no arquivo gshadow | médio | pass |
| 6.1.7 | Verificar o usuário proprietário do arquivo gshadow | médio | pass |
| 6.1.8 | Verificar o grupo proprietário do arquivo gshadow de backup | médio | pass |
| 6.1.8 | Verificar as permissões no arquivo gshadow de backup | médio | pass |
| 6.1.8 | Verificar o usuário proprietário do arquivo gshadow de backup | médio | pass |
| 6.1.10 | Verifique se todos os arquivos pertencem a um usuário | médio | pass |
| 6.2.1 | Verificar se todos os hashes de senha da conta estão ocultos | médio | pass |
| 6.2.2 | Verifique se não há contas com senhas em branco ou nulas | alto | pass |
| 6.2.3 | Todos os GIDs referenciados em /etc/passwd precisam ser definidos em /etc/group | baixo | pass |
| 6.2.4 | Verificar se o grupo sombra está vazio | médio | pass |
| 6.2.5 | Verifique se todas as contas no sistema têm IDs de usuário exclusivos | médio | pass |
| 6.2.6 | Verifique se todos os grupos no sistema têm um ID exclusivo | médio | pass |
| 6.2.7 | Verifique se todas as contas no sistema têm nomes exclusivos | médio | pass |
| 6.2.8 | Garantir que todos os grupos no sistema tenham nomes exclusivos | médio | pass |
| 6.2.9 | Verifique se o caminho da raiz não inclui caminhos relativos ou diretórios nulos | desconhecido | pass |
| 6.2.9 | Verifique se o caminho da raiz não inclui diretórios graváveis pelo mundo ou pelo grupo | médio | pass |
| 6.2.10 | Verificar se apenas a raiz tem UID 0 | alto | pass |
| 6.2.11 | Todos os diretórios principais de usuários interativos precisam existir | médio | pass |
| 6.2.12 | Todos os diretórios iniciais de usuários interativos precisam ser de propriedade do grupo principal | médio | pass |
| 6.2.12 | Todos os diretórios principais de usuários interativos precisam ser de propriedade do usuário principal | médio | pass |
| 6.2.13 | Todos os diretórios iniciais de usuários interativos precisam ter o modo 0750 ou menos permissivo | médio | pass |
| 6.2.14 | Verificar se não há arquivos netrc | médio | pass |
| 6.2.15 | Verificar se não há arquivos .forward | médio | pass |
| 6.2.16 | Remover arquivos de confiança do Rsh | alto | pass |
| 6.2.17 | Os arquivos de inicialização do usuário precisam ser de propriedade do grupo principal | médio | pass |
| 6.2.17 | Os arquivos de inicialização do usuário precisam ser de propriedade do usuário principal | médio | pass |
| 6.2.17 | Os arquivos de inicialização do usuário não podem executar programas graváveis para todos | médio | pass |
Recomendações não aplicáveis
A tabela a seguir lista as recomendações que não se aplicam ao Google Distributed Cloud.
| # | Recomendação | Gravidade | Status |
|---|---|---|---|
| 1.1.2.2 | Adicionar a opção nodev a /tmp | médio | notapplicable |
| 1.1.2.3 | Adicionar a opção noexec a /tmp | médio | notapplicable |
| 1.1.2.4 | Adicionar a opção nosuid a /tmp | médio | notapplicable |
| 1.1.3.2 | Adicionar a opção nodev a /var | médio | notapplicable |
| 1.1.3.3 | Adicionar a opção nosuid a /var | médio | notapplicable |
| 1.1.4.2 | Adicionar a opção noexec a /var/tmp | médio | notapplicable |
| 1.1.4.3 | Adicionar a opção nosuid a /var/tmp | médio | notapplicable |
| 1.1.4.4 | Adicionar a opção nodev a /var/tmp | médio | notapplicable |
| 1.1.5.2 | Adicionar a opção nodev a /var/log | médio | notapplicable |
| 1.1.5.3 | Adicionar a opção noexec a /var/log | médio | notapplicable |
| 1.1.5.4 | Adicionar a opção nosuid a /var/log | médio | notapplicable |
| 1.1.6.2 | Adicionar a opção noexec a /var/log/audit | médio | notapplicable |
| 1.1.6.3 | Adicionar a opção nodev a /var/log/audit | médio | notapplicable |
| 1.1.6.4 | Adicionar a opção nosuid a /var/log/audit | médio | notapplicable |
| 1.1.7.2 | Adicionar a opção nodev a /home | desconhecido | notapplicable |
| 1.1.7.3 | Adicionar a opção nosuid a /home | médio | notapplicable |
| 1.10 | Configurar perfil de usuário DConf do GNOME3 | alto | notapplicable |
| 1.4.1 | Definir a senha do carregador de inicialização da UEFI | alto | notapplicable |
| 1.8.1 | Remover o grupo de pacotes do GDM | médio | notapplicable |
| 1.8.10 | Desativar o XDMCP no GDM | alto | notapplicable |
| 1.8.4 | Ativar o bloqueio do protetor de tela do GNOME3 após um período de inatividade | médio | notapplicable |
| 1.8.5 | Definir o atraso do bloqueio do protetor de tela do GNOME3 após o período de ativação | médio | notapplicable |
| 1.8.6 | Desativar a abertura da montagem automática do GNOME3 | médio | notapplicable |
| 1.8.6 | Desativar a montagem automática do GNOME3 | médio | notapplicable |
| 1.8.8 | Desativar a execução da montagem automática do GNOME3 | baixo | notapplicable |
| 2.1.4.1 | Configurar restrições de servidor para o ntpd | médio | notapplicable |
| 2.1.4.3 | Configurar o ntpd para ser executado como usuário ntp | médio | notapplicable |
| 2.1.4.4 | Ativar o daemon NTP | alto | notapplicable |
| 2.2.15 | Desativar a escuta de rede do Postfix | médio | notapplicable |
| 3.5.1.3 | Verificar se o ufw está ativado | médio | notapplicable |
| 3.5.1.4 | Definir tráfego de loopback do UFW | médio | notapplicable |
| 3.5.1.6 | Verifique se existem regras de firewall ufw para todas as portas abertas | médio | notapplicable |
| 3.5.1.7 | Verifique se a política de firewall de negação padrão do ufw | médio | notapplicable |
| 3.5.3.2.1 | Definir a política padrão do iptables para pacotes de entrada | médio | notapplicable |
| 3.5.3.2.2 | Definir configuração para tráfego de loopback | médio | notapplicable |
| 3.5.3.2.4 | Verificar se existem regras de firewall do iptables para todas as portas abertas | médio | notapplicable |
| 3.5.3.3.1 | Definir a política ip6tables padrão para pacotes de entrada | médio | notapplicable |
| 3.5.3.3.4 | Verificar se existem regras de firewall ip6tables para todas as portas abertas | médio | notapplicable |
1.31
Versões
Esta seção se refere a estas versões:
| Versão do Google Distributed Cloud | Versão do Ubuntu | Versão do comparativo de mercado do Ubuntu da CIS | Nível da CIS |
|---|---|---|---|
| 1.31 | 22.04 LTS | v1.0.0 | Servidor de nível 2 |
Recomendações com falha
A tabela a seguir lista as recomendações em que o Google Distributed Cloud diverge das recomendações do comparativo. Essas descobertas se aplicam aos nós do cluster e à estação de trabalho do administrador.
| # | Recomendação | Gravidade | Status |
|---|---|---|---|
| 1.1.2.1 | Verifique se /tmp está localizado em uma partição separada | baixo | errada |
| 1.1.3.1 | Verifique se /var está localizado em uma partição separada | baixo | errada |
| 1.1.4.1 | Verifique se /var/tmp está localizado em uma partição separada | médio | errada |
| 1.1.5.1 | Verifique se /var/log está localizado em uma partição separada | baixo | errada |
| 1.1.6.1 | Verifique se /var/log/audit está localizado em uma partição separada | baixo | errada |
| 1.1.7.1 | Verifique se /home está localizado em uma partição separada | baixo | errada |
| 1.4.1 | Definir a senha do carregador de inicialização no grub2 | alto | errada |
| 1.4.3 | Certifique-se de que o modo de usuário único seja autenticado | médio | errada |
| 2.3.6 | Desinstalar pacote rpcbind | baixo | errada |
| 3.2.2 | Desativar o parâmetro do kernel para encaminhamento de IP em interfaces IPv4 | médio | errada |
| 3.3.7 | Ativar o parâmetro do kernel para usar a filtragem de caminho reverso em todas as interfaces IPv4 por padrão | médio | errada |
| 3.3.7 | Ativar o parâmetro do kernel para usar a filtragem de caminho reverso em todas as interfaces IPv4 | médio | errada |
| 3.5.2.8 | Verifique se a política de firewall de negação padrão de nftables | médio | errada |
| 3.5.2.10 | Garantir que as regras de nftables sejam permanentes | médio | errada |
| 4.2.3 | Verificar as permissões dos arquivos de registro | médio | errada |
| 5.2.4 | Limitar usuários Acesso SSH | desconhecido | errada |
| 5.3.4 | Garanta que os usuários façam a autenticação novamente para escalonamento de privilégios – sudo | médio | errada |
| 5.5.1.2 | Definir idade máxima da senha | médio | errada |
Recomendações aprovadas
A tabela a seguir lista as recomendações para as quais o Google Distributed Cloud está em conformidade com as recomendações do comparativo de mercado.
| # | Recomendação | Gravidade | Status |
|---|---|---|---|
| 1.1.1.1 | Desativar a montagem do cramfs | baixo | pass |
| 1.1.1.2 | Desativar a montagem do squashfs | baixo | pass |
| 1.1.1.3 | Desativar a montagem de udf | baixo | pass |
| 1.1.8.1 | Adicionar a opção nodev a /dev/shm | médio | pass |
| 1.1.8.2 | Adicionar a opção noexec a /dev/shm | médio | pass |
| 1.1.8.3 | Adicionar a opção nosuid a /dev/shm | médio | pass |
| 1.1.9 | Desativar o Automounter | médio | pass |
| 1.1.10 | Desativar o carregamento do Modprobe do driver de armazenamento USB | médio | pass |
| 1.4.2 | Verificar as permissões de /boot/grub/grub.cfg | médio | pass |
| 1.5.1 | Ativar o layout aleatório do espaço de endereço virtual | médio | pass |
| 1.5.2 | O pacote "prelink" não pode ser instalado | médio | pass |
| 1.5.3 | Desativar o serviço Apport | desconhecido | pass |
| 1.5.4 | Desativar despejos de núcleo para todos os usuários | médio | pass |
| 1.5.4 | Desativar dumps de núcleo para programas SUID | médio | pass |
| 1.6.1.1 | Verifique se o AppArmor está instalado | médio | pass |
| 1.6.1.2 | Verifique se o AppArmor está ativado na configuração do carregador de inicialização | médio | pass |
| 1.6.1.4 | Aplicar todos os perfis do AppArmor | médio | pass |
| 1.7.1 | Modificar o banner da mensagem do dia do sistema | médio | pass |
| 1.7.2 | Modificar o banner de login do sistema | médio | pass |
| 1.7.3 | Modificar o banner de login do sistema para conexões remotas | médio | pass |
| 1.7.4 | Verificar a propriedade do grupo do banner da mensagem do dia | médio | pass |
| 1.7.4 | Verificar a propriedade do banner da Mensagem do dia | médio | pass |
| 1.7.4 | Verificar as permissões no banner da mensagem do dia | médio | pass |
| 1.7.5 | Verificar a propriedade do grupo do banner de login do sistema | médio | pass |
| 1.7.5 | Verificar a propriedade do banner de login do sistema | médio | pass |
| 1.7.5 | Verificar as permissões no banner de login do sistema | médio | pass |
| 1.7.6 | Verificar a propriedade do grupo do banner de login do sistema para conexões remotas | médio | pass |
| 1.7.6 | Verificar a propriedade do banner de login do sistema para conexões remotas | médio | pass |
| 1.7.6 | Verificar as permissões no banner de login do sistema para conexões remotas | médio | pass |
| 2.1.1.1 | Instalar o serviço systemd_timesyncd | alto | pass |
| 2.1.3.2 | Ativar o serviço systemd_timesyncd | alto | pass |
| 2.2.1 | Remova o grupo de pacotes do X Windows | médio | pass |
| 2.2.2 | Desativar o software do servidor Avahi | médio | pass |
| 2.2.2 | Desinstalar o pacote do servidor avahi | médio | pass |
| 2.2.3 | Desativar o serviço CUPS | desconhecido | pass |
| 2.2.3 | Desinstalar o pacote CUPS | desconhecido | pass |
| 2.2.4 | Desinstalar pacote do servidor DHCP | médio | pass |
| 2.2.5 | Desinstalar o pacote openldap-servers | baixo | pass |
| 2.2.6 | Desinstalar o pacote nfs-kernel-server | baixo | pass |
| 2.2.7 | Desinstalar pacote bind | baixo | pass |
| 2.2.8 | Desinstalar o pacote vsftpd | alto | pass |
| 2.2.9 | Desinstalar o pacote httpd | desconhecido | pass |
| 2.2.9 | Desinstalar pacote nginx | desconhecido | pass |
| 2.2.10 | Desinstalar pacote cyrus-imapd | desconhecido | pass |
| 2.2.10 | Desinstalar pacote do dovecot | desconhecido | pass |
| 2.2.11 | Desinstalar pacote do Samba | desconhecido | pass |
| 2.2.12 | Desinstalar pacote squid | desconhecido | pass |
| 2.2.13 | Desinstalar o pacote net-snmp | desconhecido | pass |
| 2.2.14 | Desinstalar o pacote nis | baixo | pass |
| 2.2.15 | Verifique se o agente de transferência de e-mail não está escutando em nenhum endereço que não seja de loopback | médio | pass |
| 2.2.16 | Desinstalar pacote rsync | médio | pass |
| 2.3.2 | Desinstalar pacote rsh | desconhecido | pass |
| 2.3.3 | Desinstalar o pacote de fala | médio | pass |
| 2.3.4 | Remover clientes telnet | baixo | pass |
| 2.3.5 | Verificar se o cliente LDAP não está instalado | baixo | pass |
| 3.1.2 | Desativar interfaces de rede sem fio | médio | pass |
| 3.2.1 | Desativar o parâmetro do kernel para envio de redirecionamentos ICMP em todas as interfaces IPv4 por padrão | médio | pass |
| 3.2.1 | Desativar o parâmetro do kernel para enviar redirecionamentos ICMP em todas as interfaces IPv4 | médio | pass |
| 3.2.2 | Desativar o parâmetro do kernel para encaminhamento IPv6 | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes encaminhados de origem em todas as interfaces IPv4 | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes roteados de origem em todas as interfaces IPv6 | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes encaminhados de origem em interfaces IPv4 por padrão | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes roteados de origem em interfaces IPv6 por padrão | médio | pass |
| 3.3.2 | Desativar a aceitação de redirecionamentos ICMP para todas as interfaces IPv4 | médio | pass |
| 3.3.2 | Desativar a aceitação de redirecionamentos ICMP para todas as interfaces IPv6 | médio | pass |
| 3.3.2 | Desativar o parâmetro do kernel para aceitar redirecionamentos ICMP por padrão em interfaces IPv4 | médio | pass |
| 3.3.2 | Desativar o parâmetro do kernel para aceitar redirecionamentos ICMP por padrão em interfaces IPv6 | médio | pass |
| 3.3.3 | Configurar o parâmetro do kernel para aceitar redirecionamentos seguros por padrão | médio | pass |
| 3.3.3 | Desativar o parâmetro do kernel para aceitar redirecionamentos ICMP seguros em todas as interfaces IPv4 | médio | pass |
| 3.3.4 | Ativar o parâmetro do kernel para registrar pacotes marcianos em todas as interfaces IPv4 | desconhecido | pass |
| 3.3.4 | Ativar o parâmetro do kernel para registrar pacotes marcianos em todas as interfaces IPv4 por padrão | desconhecido | pass |
| 3.3.5 | Ativar o parâmetro do kernel para ignorar solicitações de eco de transmissão ICMP em interfaces IPv4 | médio | pass |
| 3.3.6 | Ativar o parâmetro do kernel para ignorar respostas de erro ICMP falsas em interfaces IPv4 | desconhecido | pass |
| 3.3.8 | Ativar o parâmetro do kernel para usar TCP Syncookies em interfaces de rede | médio | pass |
| 3.3.9 | Configurar a aceitação de anúncios de roteador em todas as interfaces IPv6 | médio | pass |
| 3.3.9 | Desativar a aceitação de anúncios de roteador em todas as interfaces IPv6 por padrão | médio | pass |
| 3.4.1 | Desativar o suporte a DCCP | médio | pass |
| 3.4.2 | Desativar o suporte a SCTP | médio | pass |
| 3.4.3 | Desativar o suporte do RDS | baixo | pass |
| 3.4.4 | Desativar o suporte a TIPC | baixo | pass |
| 3.5.1.2 | Remover o pacote iptables-persistent | médio | pass |
| 3.5.2.1 | Instalar o pacote nftables | médio | pass |
| 3.5.2.4 | Verificar se uma tabela existe para nftables | médio | pass |
| 3.5.2.5 | Verificar se existem cadeias de base para nftables | médio | pass |
| 3.5.2.9 | Verificar se o serviço nftables está ativado | médio | pass |
| 3.5.3.1.1 | Instalar o pacote iptables | médio | pass |
| 3.5.3.1.3 | Remover o pacote ufw | médio | pass |
| 4.1.1.1 | Verificar se o subsistema de auditoria está instalado | médio | pass |
| 4.1.1.2 | Ativar o serviço auditd | médio | pass |
| 4.1.1.4 | Estender o limite de pendências de auditoria para o daemon de auditoria | baixo | pass |
| 4.1.2.1 | Configurar o tamanho máximo do arquivo de registro do auditd | médio | pass |
| 4.1.2.2 | Configurar o auditd max_log_file_action ao atingir o tamanho máximo do registro | médio | pass |
| 4.1.2.3 | Configurar a ação "admin_space_left" do auditd em "Pouco espaço em disco" | médio | pass |
| 4.1.2.3 | Configurar a ação mail_acct do auditd em pouco espaço em disco | médio | pass |
| 4.1.2.3 | Configurar a ação "space_left" do auditd em caso de pouco espaço em disco | médio | pass |
| 4.1.3.1 | Garantir que o auditd colete ações do administrador do sistema | médio | pass |
| 4.1.3.2 | Registrar eventos quando executáveis privilegiados são executados | médio | pass |
| 4.1.3.3 | Registrar tentativas de realizar atividades de manutenção | médio | pass |
| 4.1.3.4 | Registro de tentativas de alterar o arquivo localtime | médio | pass |
| 4.1.3.4 | Registra tentativas de alterar a hora usando adjtimex. | médio | pass |
| 4.1.3.4 | Registra tentativas de alterar a hora usando clock_settime | médio | pass |
| 4.1.3.4 | Registra tentativas de alterar a hora usando settimeofday. | médio | pass |
| 4.1.3.4 | Registrar tentativas de alterar a hora usando stime | médio | pass |
| 4.1.3.5 | Registrar eventos que modificam o ambiente de rede do sistema | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: su | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios – sudo | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: sudoedit | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados - umount | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios: unix_chkpwd | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos - creat | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: ftruncate | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: abrir | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: openat | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: truncar | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/group | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/gshadow | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/passwd | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/security/opasswd | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/shadow | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: chmod | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: chown | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchmod | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchmodat | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchown | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchownat | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fremovexattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fsetxattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: lchown | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: lremovexattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: lsetxattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: removexattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: setxattr | médio | pass |
| 4.1.3.10 | Garantir que o auditd colete informações sobre a exportação para mídia (concluída) | médio | pass |
| 4.1.3.11 | Registro de tentativas de alterar informações de processo e início de sessão | médio | pass |
| 4.1.3.12 | Registrar tentativas de alterar eventos de login e logout: faillog | médio | pass |
| 4.1.3.12 | Registrar tentativas de alterar eventos de logon e logout: lastlog | médio | pass |
| 4.1.3.12 | Registrar tentativas de alterar eventos de logon e logout: tallylog | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: renomear | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: renameat | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: unlink | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: unlinkat | médio | pass |
| 4.1.3.14 | Registrar eventos que modificam os controles de acesso obrigatórios do sistema | médio | pass |
| 4.1.3.15 | Registrar qualquer tentativa de executar chcon | médio | pass |
| 4.1.3.16 | Registrar qualquer tentativa de executar setfacl | médio | pass |
| 4.1.3.17 | Registrar todas as tentativas de executar o chacl | médio | pass |
| 4.1.3.18 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios - usermod | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o carregamento de módulos do kernel: init_module | médio | pass |
| 4.1.3.19 | Verifique se o auditd coleta informações sobre o descarregamento do módulo do kernel: delete_module | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: insmod | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios: modprobe | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: rmmod | médio | pass |
| 4.1.3.20 | Tornar a configuração do auditd imutável | médio | pass |
| 4.1.4.1 | Os registros de auditoria do sistema precisam ter o modo 0640 ou menos permissivo | médio | pass |
| 4.1.4.2 | Os registros de auditoria do sistema precisam ser de propriedade da raiz | médio | pass |
| 4.1.4.3 | Os registros de auditoria do sistema precisam ser de propriedade do grupo raiz | médio | pass |
| 4.1.4.4 | Os registros de auditoria do sistema precisam ter o modo 0750 ou menos permissivo | médio | pass |
| 4.1.4.5 | Verificar permissões em /etc/audit/auditd.conf | médio | pass |
| 4.1.4.5 | Verificar permissões em /etc/audit/rules.d/*.rules | médio | pass |
| 4.1.4.6 | Os arquivos de configuração de auditoria precisam ser de propriedade da raiz | médio | pass |
| 4.1.4.7 | Os arquivos de configuração de auditoria precisam ser de propriedade do grupo root | médio | pass |
| 4.1.4.8 | Verifique se as ferramentas de auditoria têm o modo 0755 ou menos. | médio | pass |
| 4.1.4.9 | Verificar se as ferramentas de auditoria são de propriedade da raiz | médio | pass |
| 4.1.4.10 | Verificar se as ferramentas de auditoria são de propriedade da raiz do grupo | médio | pass |
| 4.2.1.1.1 | Instalar o pacote systemd-journal-remote | médio | pass |
| 4.2.1.1.4 | Desativar o soquete systemd-journal-remote | médio | pass |
| 4.2.1.2 | Ativar o serviço systemd-journald | médio | pass |
| 4.2.1.3 | Verifique se o journald está configurado para compactar arquivos de registro grandes | médio | pass |
| 4.2.1.4 | Verifique se o journald está configurado para gravar arquivos de registro no disco permanente | médio | pass |
| 4.2.2.1 | Verificar se o rsyslog está instalado | médio | pass |
| 4.2.2.2 | Ativar o serviço rsyslog | médio | pass |
| 4.2.2.4 | Verificar se as permissões de arquivo padrão do rsyslog estão configuradas | médio | pass |
| 4.2.2.7 | Verificar se o rsyslog não aceita mensagens remotas, a menos que esteja atuando como servidor de registro | médio | pass |
| 5.1.1 | Ativar o serviço cron | médio | pass |
| 5.1.2 | Verificar o grupo proprietário do crontab | médio | pass |
| 5.1.2 | Verificar o proprietário no crontab | médio | pass |
| 5.1.2 | Verificar permissões no crontab | médio | pass |
| 5.1.3 | Verificar o grupo proprietário de cron.hourly | médio | pass |
| 5.1.3 | Verificar proprietário em cron.hourly | médio | pass |
| 5.1.3 | Verificar permissões em cron.hourly | médio | pass |
| 5.1.4 | Verificar o grupo proprietário do cron.daily | médio | pass |
| 5.1.4 | Verificar o proprietário em cron.daily | médio | pass |
| 5.1.4 | Verificar permissões em cron.daily | médio | pass |
| 5.1.5 | Verificar o grupo proprietário de cron.weekly | médio | pass |
| 5.1.5 | Verificar proprietário em cron.weekly | médio | pass |
| 5.1.5 | Verificar permissões em cron.weekly | médio | pass |
| 5.1.6 | Verificar o grupo proprietário de cron.monthly | médio | pass |
| 5.1.6 | Verificar proprietário em cron.monthly | médio | pass |
| 5.1.6 | Verificar permissões em cron.monthly | médio | pass |
| 5.1.7 | Verificar o grupo proprietário de cron.d | médio | pass |
| 5.1.7 | Verificar o proprietário em cron.d | médio | pass |
| 5.1.7 | Verificar permissões em cron.d | médio | pass |
| 5.1.8 | Verifique se /etc/cron.deny não existe | médio | pass |
| 5.1.8 | Verificar o grupo proprietário do arquivo /etc/cron.allow | médio | pass |
| 5.1.8 | Verificar permissões no arquivo /etc/cron.allow | médio | pass |
| 5.1.8 | Verificar o usuário proprietário do arquivo /etc/cron.allow | médio | pass |
| 5.1.9 | Verifique se /etc/at.deny não existe | médio | pass |
| 5.1.9 | Verificar o grupo proprietário do arquivo /etc/at.allow | médio | pass |
| 5.1.9 | Verificar as permissões no arquivo /etc/at.allow | médio | pass |
| 5.1.9 | Verificar o usuário proprietário do arquivo /etc/at.allow | médio | pass |
| 5.2.1 | Verificar o arquivo de configuração do servidor SSH do grupo proprietário | médio | pass |
| 5.2.1 | Verificar o proprietário no arquivo de configuração do servidor SSH | médio | pass |
| 5.2.1 | Verificar as permissões no arquivo de configuração do servidor SSH | médio | pass |
| 5.2.2 | Verificar permissões nos arquivos de chave *_key privada do servidor SSH | médio | pass |
| 5.2.3 | Verificar permissões nos arquivos de chave pública *.pub do servidor SSH | médio | pass |
| 5.2.5 | Definir LogLevel como INFO | baixo | pass |
| 5.2.6 | Ativar o PAM | médio | pass |
| 5.2.7 | Desativar o login raiz do SSH | médio | pass |
| 5.2.8 | Desativar a autenticação baseada em host | médio | pass |
| 5.2.9 | Desativar o acesso SSH com senhas vazias | alto | pass |
| 5.2.10 | Não permitir opções de ambiente SSH | médio | pass |
| 5.2.11 | Desativar o suporte a SSH para arquivos .rhosts | médio | pass |
| 5.2.12 | Desativar o encaminhamento X11 | médio | pass |
| 5.2.13 | Usar apenas criptografias fortes | médio | pass |
| 5.2.14 | Usar apenas MACs fortes | médio | pass |
| 5.2.15 | Use apenas algoritmos de troca de chaves fortes | médio | pass |
| 5.2.16 | Desativar o encaminhamento TCP do SSH | médio | pass |
| 5.2.17 | Ativar o banner de aviso do SSH | médio | pass |
| 5.2.18 | Definir o limite de tentativas de autenticação SSH | médio | pass |
| 5.2.19 | Verifique se o SSH MaxStartups está configurado | médio | pass |
| 5.2.20 | Definir o limite de MaxSessions do SSH | médio | pass |
| 5.2.21 | Verifique se o SSH LoginGraceTime está configurado | médio | pass |
| 5.2.22 | Definir o número máximo de contagem de clientes SSH ativos | médio | pass |
| 5.2.22 | Definir o intervalo de atividade do cliente SSH | médio | pass |
| 5.3.1 | Instalar o pacote sudo | médio | pass |
| 5.3.2 | Garantir que apenas usuários conectados a um tty real possam executar o sudo – sudo use_pty | médio | pass |
| 5.3.3 | Garantir que o arquivo de registro do sudo exista – sudo logfile | baixo | pass |
| 5.3.5 | Garanta que os usuários façam a autenticação novamente para escalonamento de privilégios – sudo !authenticate | médio | pass |
| 5.3.6 | Exigir a reautenticação ao usar o comando sudo | médio | pass |
| 5.3.7 | Aplicar o uso de pam_wheel com parâmetro de grupo para autenticação su | médio | pass |
| 5.3.7 | Verificar se o grupo usado pelo módulo pam_wheel existe no sistema e está vazio | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: solicitações de nova tentativa de autenticação permitidas por sessão | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: mínimo de categorias diferentes | médio | pass |
| 5.4.1 | Verifique se o PAM impõe requisitos de senha: número mínimo de dígitos | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: tamanho mínimo | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: número mínimo de caracteres minúsculos | médio | pass |
| 5.4.1 | Verifique se o PAM impõe requisitos de senha: número mínimo de caracteres especiais | médio | pass |
| 5.4.1 | Verifique se a PAM impõe requisitos de senha: número mínimo de caracteres maiúsculos | médio | pass |
| 5.4.1 | Instalar o pacote pam_pwquality | médio | pass |
| 5.4.2 | Bloquear contas após tentativas de senha com falha | médio | pass |
| 5.4.2 | Definir intervalo para contagem de tentativas de senha com falha | médio | pass |
| 5.4.2 | Definir o tempo de bloqueio para tentativas de senha com falha | médio | pass |
| 5.4.3 | Limitar a reutilização de senhas | médio | pass |
| 5.4.4 | Definir o algoritmo de hash de senha em /etc/login.defs | médio | pass |
| 5.5.1.1 | Definir idade mínima das senhas atuais | médio | pass |
| 5.5.1.1 | Definir idade mínima da senha | médio | pass |
| 5.5.1.2 | Definir a idade máxima das senhas atuais | médio | pass |
| 5.5.1.3 | Definir idade do aviso de senha | médio | pass |
| 5.5.1.4 | Definir o vencimento da conta após inatividade | médio | pass |
| 5.5.1.5 | Verifique se a data da última mudança de senha de todos os usuários é no passado. | médio | pass |
| 5.5.2 | Garantir que as contas do sistema não executem um shell ao fazer login | médio | pass |
| 5.5.3 | Verificar se a raiz tem um GID principal 0 | alto | pass |
| 5.5.4 | Verificar se a umask padrão do Bash está definida corretamente | médio | pass |
| 5.5.4 | Verifique se a umask padrão está definida corretamente para usuários interativos | médio | pass |
| 5.5.4 | Verificar se a umask padrão está definida corretamente em /etc/profile | médio | pass |
| 5.5.4 | Verifique se a umask padrão está definida corretamente em login.defs | médio | pass |
| 5.5.5 | Definir o tempo limite da sessão interativa | médio | pass |
| 6.1.1 | Verificar o grupo proprietário do arquivo passwd | médio | pass |
| 6.1.1 | Verificar permissões no arquivo passwd | médio | pass |
| 6.1.1 | Verificar o usuário proprietário do arquivo passwd | médio | pass |
| 6.1.2 | Verificar o grupo proprietário do arquivo passwd de backup | médio | pass |
| 6.1.2 | Verificar as permissões no arquivo passwd de backup | médio | pass |
| 6.1.2 | Verificar o usuário proprietário do arquivo passwd de backup | médio | pass |
| 6.1.3 | Verificar o grupo proprietário do arquivo do grupo | médio | pass |
| 6.1.3 | Verificar permissões no arquivo do grupo | médio | pass |
| 6.1.3 | Verificar o usuário proprietário do arquivo do grupo | médio | pass |
| 6.1.4 | Verificar o grupo proprietário do arquivo do grupo de backup | médio | pass |
| 6.1.4 | Verificar as permissões no arquivo do grupo de backup | médio | pass |
| 6.1.4 | Verificar o usuário proprietário do arquivo do grupo de backup | médio | pass |
| 6.1.5 | Verificar grupo proprietário do arquivo shadow | médio | pass |
| 6.1.5 | Verificar permissões no arquivo shadow | médio | pass |
| 6.1.5 | Verificar o usuário proprietário do arquivo de sombra | médio | pass |
| 6.1.6 | Verificar o grupo proprietário do arquivo de sombra de backup | médio | pass |
| 6.1.6 | Verificar as permissões no arquivo de sombra de backup | médio | pass |
| 6.1.6 | Verificar o usuário proprietário do arquivo de sombra de backup | médio | pass |
| 6.1.7 | Verificar o grupo proprietário do arquivo gshadow | médio | pass |
| 6.1.7 | Verificar permissões no arquivo gshadow | médio | pass |
| 6.1.7 | Verificar o usuário proprietário do arquivo gshadow | médio | pass |
| 6.1.8 | Verificar o grupo proprietário do arquivo gshadow de backup | médio | pass |
| 6.1.8 | Verificar as permissões no arquivo gshadow de backup | médio | pass |
| 6.1.8 | Verificar o usuário proprietário do arquivo gshadow de backup | médio | pass |
| 6.1.10 | Verifique se todos os arquivos pertencem a um usuário | médio | pass |
| 6.2.1 | Verificar se todos os hashes de senha da conta estão ocultos | médio | pass |
| 6.2.2 | Verifique se não há contas com senhas em branco ou nulas | alto | pass |
| 6.2.3 | Todos os GIDs referenciados em /etc/passwd precisam ser definidos em /etc/group | baixo | pass |
| 6.2.4 | Verificar se o grupo sombra está vazio | médio | pass |
| 6.2.5 | Verifique se todas as contas no sistema têm IDs de usuário exclusivos | médio | pass |
| 6.2.6 | Verifique se todos os grupos no sistema têm um ID exclusivo | médio | pass |
| 6.2.7 | Verifique se todas as contas no sistema têm nomes exclusivos | médio | pass |
| 6.2.8 | Garantir que todos os grupos no sistema tenham nomes exclusivos | médio | pass |
| 6.2.9 | Verifique se o caminho da raiz não inclui caminhos relativos ou diretórios nulos | desconhecido | pass |
| 6.2.9 | Verifique se o caminho da raiz não inclui diretórios graváveis pelo mundo ou pelo grupo | médio | pass |
| 6.2.10 | Verificar se apenas a raiz tem UID 0 | alto | pass |
| 6.2.11 | Todos os diretórios principais de usuários interativos precisam existir | médio | pass |
| 6.2.12 | Todos os diretórios iniciais de usuários interativos precisam ser de propriedade do grupo principal | médio | pass |
| 6.2.12 | Todos os diretórios principais de usuários interativos precisam ser de propriedade do usuário principal | médio | pass |
| 6.2.13 | Todos os diretórios iniciais de usuários interativos precisam ter o modo 0750 ou menos permissivo | médio | pass |
| 6.2.14 | Verificar se não há arquivos netrc | médio | pass |
| 6.2.15 | Verificar se não há arquivos .forward | médio | pass |
| 6.2.16 | Remover arquivos de confiança do Rsh | alto | pass |
| 6.2.17 | Os arquivos de inicialização do usuário precisam ser de propriedade do grupo principal | médio | pass |
| 6.2.17 | Os arquivos de inicialização do usuário precisam ser de propriedade do usuário principal | médio | pass |
| 6.2.17 | Os arquivos de inicialização do usuário não podem executar programas graváveis para todos | médio | pass |
Recomendações não aplicáveis
A tabela a seguir lista as recomendações que não se aplicam ao Google Distributed Cloud.
| # | Recomendação | Gravidade | Status |
|---|---|---|---|
| 1.1.2.2 | Adicionar a opção nodev a /tmp | médio | notapplicable |
| 1.1.2.3 | Adicionar a opção noexec a /tmp | médio | notapplicable |
| 1.1.2.4 | Adicionar a opção nosuid a /tmp | médio | notapplicable |
| 1.1.3.2 | Adicionar a opção nodev a /var | médio | notapplicable |
| 1.1.3.3 | Adicionar a opção nosuid a /var | médio | notapplicable |
| 1.1.4.2 | Adicionar a opção noexec a /var/tmp | médio | notapplicable |
| 1.1.4.3 | Adicionar a opção nosuid a /var/tmp | médio | notapplicable |
| 1.1.4.4 | Adicionar a opção nodev a /var/tmp | médio | notapplicable |
| 1.1.5.2 | Adicionar a opção nodev a /var/log | médio | notapplicable |
| 1.1.5.3 | Adicionar a opção noexec a /var/log | médio | notapplicable |
| 1.1.5.4 | Adicionar a opção nosuid a /var/log | médio | notapplicable |
| 1.1.6.2 | Adicionar a opção noexec a /var/log/audit | médio | notapplicable |
| 1.1.6.3 | Adicionar a opção nodev a /var/log/audit | médio | notapplicable |
| 1.1.6.4 | Adicionar a opção nosuid a /var/log/audit | médio | notapplicable |
| 1.1.7.2 | Adicionar a opção nodev a /home | desconhecido | notapplicable |
| 1.1.7.3 | Adicionar a opção nosuid a /home | médio | notapplicable |
| 1.4.1 | Definir a senha do carregador de inicialização da UEFI | alto | notapplicable |
| 1.8.1 | Remover o grupo de pacotes do GDM | médio | notapplicable |
| 1.8.4 | Ativar o bloqueio do protetor de tela do GNOME3 após um período de inatividade | médio | notapplicable |
| 1.8.5 | Definir o atraso do bloqueio do protetor de tela do GNOME3 após o período de ativação | médio | notapplicable |
| 1.8.6 | Desativar a abertura da montagem automática do GNOME3 | médio | notapplicable |
| 1.8.6 | Desativar a montagem automática do GNOME3 | médio | notapplicable |
| 1.8.8 | Desativar a execução da montagem automática do GNOME3 | baixo | notapplicable |
| 1.8.10 | Desativar o XDMCP no GDM | alto | notapplicable |
| 1.10 | Configurar perfil de usuário DConf do GNOME3 | alto | notapplicable |
| 2.1.4.1 | Configurar restrições de servidor para o ntpd | médio | notapplicable |
| 2.1.4.3 | Configurar o ntpd para ser executado como usuário ntp | médio | notapplicable |
| 2.1.4.4 | Ativar o daemon NTP | alto | notapplicable |
| 2.2.15 | Desativar a escuta de rede do Postfix | médio | notapplicable |
| 3.5.1.3 | Verificar se o ufw está ativado | médio | notapplicable |
| 3.5.1.4 | Definir tráfego de loopback do UFW | médio | notapplicable |
| 3.5.1.6 | Verifique se existem regras de firewall ufw para todas as portas abertas | médio | notapplicable |
| 3.5.1.7 | Verifique se a política de firewall de negação padrão do ufw | médio | notapplicable |
| 3.5.3.2.1 | Definir a política padrão do iptables para pacotes de entrada | médio | notapplicable |
| 3.5.3.2.2 | Definir configuração para tráfego de loopback | médio | notapplicable |
| 3.5.3.2.4 | Verificar se existem regras de firewall do iptables para todas as portas abertas | médio | notapplicable |
| 3.5.3.3.1 | Definir a política ip6tables padrão para pacotes de entrada | médio | notapplicable |
| 3.5.3.3.4 | Verificar se existem regras de firewall ip6tables para todas as portas abertas | médio | notapplicable |
1,30
Versões
Esta seção se refere a estas versões:
| Versão do Google Distributed Cloud | Versão do Ubuntu | Versão do comparativo de mercado do Ubuntu da CIS | Nível da CIS |
|---|---|---|---|
| 1,30 | 22.04 LTS | v1.0.0 | Servidor de nível 2 |
Recomendações com falha
A tabela a seguir lista as recomendações em que o Google Distributed Cloud diverge das recomendações do comparativo. Essas descobertas se aplicam aos nós do cluster e à estação de trabalho do administrador.
| # | Recomendação | Gravidade | Status |
|---|---|---|---|
| 1.1.2.1 | Verifique se /tmp está localizado em uma partição separada | baixo | errada |
| 1.1.3.1 | Verifique se /var está localizado em uma partição separada | baixo | errada |
| 1.1.4.1 | Verifique se /var/tmp está localizado em uma partição separada | médio | errada |
| 1.1.5.1 | Verifique se /var/log está localizado em uma partição separada | baixo | errada |
| 1.1.6.1 | Verifique se /var/log/audit está localizado em uma partição separada | baixo | errada |
| 1.1.7.1 | Verifique se /home está localizado em uma partição separada | baixo | errada |
| 1.4.1 | Definir a senha do carregador de inicialização no grub2 | alto | errada |
| 1.4.3 | Certifique-se de que o modo de usuário único seja autenticado | médio | errada |
| 2.3.6 | Desinstalar pacote rpcbind | baixo | errada |
| 3.2.2 | Desativar o parâmetro do kernel para encaminhamento de IP em interfaces IPv4 | médio | errada |
| 3.3.7 | Ativar o parâmetro do kernel para usar a filtragem de caminho reverso em todas as interfaces IPv4 por padrão | médio | errada |
| 3.3.7 | Ativar o parâmetro do kernel para usar a filtragem de caminho reverso em todas as interfaces IPv4 | médio | errada |
| 3.5.2.8 | Verifique se a política de firewall de negação padrão de nftables | médio | errada |
| 3.5.2.10 | Garantir que as regras de nftables sejam permanentes | médio | errada |
| 4.2.3 | Verificar as permissões dos arquivos de registro | médio | errada |
| 5.2.4 | Limitar usuários Acesso SSH | desconhecido | errada |
| 5.3.4 | Garanta que os usuários façam a autenticação novamente para escalonamento de privilégios – sudo | médio | errada |
| 5.5.1.2 | Definir idade máxima da senha | médio | errada |
Recomendações aprovadas
A tabela a seguir lista as recomendações para as quais o Google Distributed Cloud está em conformidade com as recomendações do comparativo de mercado.
| # | Recomendação | Gravidade | Status |
|---|---|---|---|
| 1.1.1.1 | Desativar a montagem do cramfs | baixo | pass |
| 1.1.1.2 | Desativar a montagem do squashfs | baixo | pass |
| 1.1.1.3 | Desativar a montagem de udf | baixo | pass |
| 1.1.8.1 | Adicionar a opção nodev a /dev/shm | médio | pass |
| 1.1.8.2 | Adicionar a opção noexec a /dev/shm | médio | pass |
| 1.1.8.3 | Adicionar a opção nosuid a /dev/shm | médio | pass |
| 1.1.9 | Desativar o Automounter | médio | pass |
| 1.1.10 | Desativar o carregamento do Modprobe do driver de armazenamento USB | médio | pass |
| 1.4.2 | Verificar as permissões de /boot/grub/grub.cfg | médio | pass |
| 1.5.1 | Ativar o layout aleatório do espaço de endereço virtual | médio | pass |
| 1.5.2 | O pacote "prelink" não pode ser instalado | médio | pass |
| 1.5.3 | Desativar o serviço Apport | desconhecido | pass |
| 1.5.4 | Desativar despejos de núcleo para todos os usuários | médio | pass |
| 1.5.4 | Desativar dumps de núcleo para programas SUID | médio | pass |
| 1.6.1.1 | Verifique se o AppArmor está instalado | médio | pass |
| 1.6.1.2 | Verifique se o AppArmor está ativado na configuração do carregador de inicialização | médio | pass |
| 1.6.1.4 | Aplicar todos os perfis do AppArmor | médio | pass |
| 1.7.1 | Modificar o banner da mensagem do dia do sistema | médio | pass |
| 1.7.2 | Modificar o banner de login do sistema | médio | pass |
| 1.7.3 | Modificar o banner de login do sistema para conexões remotas | médio | pass |
| 1.7.4 | Verificar a propriedade do grupo do banner da mensagem do dia | médio | pass |
| 1.7.4 | Verificar a propriedade do banner da Mensagem do dia | médio | pass |
| 1.7.4 | Verificar as permissões no banner da mensagem do dia | médio | pass |
| 1.7.5 | Verificar a propriedade do grupo do banner de login do sistema | médio | pass |
| 1.7.5 | Verificar a propriedade do banner de login do sistema | médio | pass |
| 1.7.5 | Verificar as permissões no banner de login do sistema | médio | pass |
| 1.7.6 | Verificar a propriedade do grupo do banner de login do sistema para conexões remotas | médio | pass |
| 1.7.6 | Verificar a propriedade do banner de login do sistema para conexões remotas | médio | pass |
| 1.7.6 | Verificar as permissões no banner de login do sistema para conexões remotas | médio | pass |
| 2.1.1.1 | Instalar o serviço systemd_timesyncd | alto | pass |
| 2.1.3.2 | Ativar o serviço systemd_timesyncd | alto | pass |
| 2.2.1 | Remova o grupo de pacotes do X Windows | médio | pass |
| 2.2.2 | Desativar o software do servidor Avahi | médio | pass |
| 2.2.2 | Desinstalar o pacote do servidor avahi | médio | pass |
| 2.2.3 | Desativar o serviço CUPS | desconhecido | pass |
| 2.2.3 | Desinstalar o pacote CUPS | desconhecido | pass |
| 2.2.4 | Desinstalar pacote do servidor DHCP | médio | pass |
| 2.2.5 | Desinstalar o pacote openldap-servers | baixo | pass |
| 2.2.6 | Desinstalar o pacote nfs-kernel-server | baixo | pass |
| 2.2.7 | Desinstalar pacote bind | baixo | pass |
| 2.2.8 | Desinstalar o pacote vsftpd | alto | pass |
| 2.2.9 | Desinstalar o pacote httpd | desconhecido | pass |
| 2.2.9 | Desinstalar pacote nginx | desconhecido | pass |
| 2.2.10 | Desinstalar pacote cyrus-imapd | desconhecido | pass |
| 2.2.10 | Desinstalar pacote do dovecot | desconhecido | pass |
| 2.2.11 | Desinstalar pacote do Samba | desconhecido | pass |
| 2.2.12 | Desinstalar pacote squid | desconhecido | pass |
| 2.2.13 | Desinstalar o pacote net-snmp | desconhecido | pass |
| 2.2.14 | Desinstalar o pacote nis | baixo | pass |
| 2.2.15 | Verifique se o agente de transferência de e-mail não está escutando em nenhum endereço que não seja de loopback | médio | pass |
| 2.2.16 | Desinstalar pacote rsync | médio | pass |
| 2.3.2 | Desinstalar pacote rsh | desconhecido | pass |
| 2.3.3 | Desinstalar o pacote de fala | médio | pass |
| 2.3.4 | Remover clientes telnet | baixo | pass |
| 2.3.5 | Verificar se o cliente LDAP não está instalado | baixo | pass |
| 3.1.2 | Desativar interfaces de rede sem fio | médio | pass |
| 3.2.1 | Desativar o parâmetro do kernel para envio de redirecionamentos ICMP em todas as interfaces IPv4 por padrão | médio | pass |
| 3.2.1 | Desativar o parâmetro do kernel para enviar redirecionamentos ICMP em todas as interfaces IPv4 | médio | pass |
| 3.2.2 | Desativar o parâmetro do kernel para encaminhamento IPv6 | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes encaminhados de origem em todas as interfaces IPv4 | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes roteados de origem em todas as interfaces IPv6 | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes encaminhados de origem em interfaces IPv4 por padrão | médio | pass |
| 3.3.1 | Desativar o parâmetro do kernel para aceitar pacotes roteados de origem em interfaces IPv6 por padrão | médio | pass |
| 3.3.2 | Desativar a aceitação de redirecionamentos ICMP para todas as interfaces IPv4 | médio | pass |
| 3.3.2 | Desativar a aceitação de redirecionamentos ICMP para todas as interfaces IPv6 | médio | pass |
| 3.3.2 | Desativar o parâmetro do kernel para aceitar redirecionamentos ICMP por padrão em interfaces IPv4 | médio | pass |
| 3.3.2 | Desativar o parâmetro do kernel para aceitar redirecionamentos ICMP por padrão em interfaces IPv6 | médio | pass |
| 3.3.3 | Configurar o parâmetro do kernel para aceitar redirecionamentos seguros por padrão | médio | pass |
| 3.3.3 | Desativar o parâmetro do kernel para aceitar redirecionamentos ICMP seguros em todas as interfaces IPv4 | médio | pass |
| 3.3.4 | Ativar o parâmetro do kernel para registrar pacotes marcianos em todas as interfaces IPv4 | desconhecido | pass |
| 3.3.4 | Ativar o parâmetro do kernel para registrar pacotes marcianos em todas as interfaces IPv4 por padrão | desconhecido | pass |
| 3.3.5 | Ativar o parâmetro do kernel para ignorar solicitações de eco de transmissão ICMP em interfaces IPv4 | médio | pass |
| 3.3.6 | Ativar o parâmetro do kernel para ignorar respostas de erro ICMP falsas em interfaces IPv4 | desconhecido | pass |
| 3.3.8 | Ativar o parâmetro do kernel para usar TCP Syncookies em interfaces de rede | médio | pass |
| 3.3.9 | Configurar a aceitação de anúncios de roteador em todas as interfaces IPv6 | médio | pass |
| 3.3.9 | Desativar a aceitação de anúncios de roteador em todas as interfaces IPv6 por padrão | médio | pass |
| 3.4.1 | Desativar o suporte a DCCP | médio | pass |
| 3.4.2 | Desativar o suporte a SCTP | médio | pass |
| 3.4.3 | Desativar o suporte do RDS | baixo | pass |
| 3.4.4 | Desativar o suporte a TIPC | baixo | pass |
| 3.5.1.2 | Remover o pacote iptables-persistent | médio | pass |
| 3.5.2.1 | Instalar o pacote nftables | médio | pass |
| 3.5.2.4 | Verificar se uma tabela existe para nftables | médio | pass |
| 3.5.2.5 | Verificar se existem cadeias de base para nftables | médio | pass |
| 3.5.2.9 | Verificar se o serviço nftables está ativado | médio | pass |
| 3.5.3.1.1 | Instalar o pacote iptables | médio | pass |
| 3.5.3.1.3 | Remover o pacote ufw | médio | pass |
| 4.1.1.1 | Verificar se o subsistema de auditoria está instalado | médio | pass |
| 4.1.1.2 | Ativar o serviço auditd | médio | pass |
| 4.1.1.4 | Estender o limite de pendências de auditoria para o daemon de auditoria | baixo | pass |
| 4.1.2.1 | Configurar o tamanho máximo do arquivo de registro do auditd | médio | pass |
| 4.1.2.2 | Configurar o auditd max_log_file_action ao atingir o tamanho máximo do registro | médio | pass |
| 4.1.2.3 | Configurar a ação "admin_space_left" do auditd em "Pouco espaço em disco" | médio | pass |
| 4.1.2.3 | Configurar a ação mail_acct do auditd em pouco espaço em disco | médio | pass |
| 4.1.2.3 | Configurar a ação "space_left" do auditd em caso de pouco espaço em disco | médio | pass |
| 4.1.3.1 | Garantir que o auditd colete ações do administrador do sistema | médio | pass |
| 4.1.3.2 | Registrar eventos quando executáveis privilegiados são executados | médio | pass |
| 4.1.3.3 | Registrar tentativas de realizar atividades de manutenção | médio | pass |
| 4.1.3.4 | Registro de tentativas de alterar o arquivo localtime | médio | pass |
| 4.1.3.4 | Registra tentativas de alterar a hora usando adjtimex. | médio | pass |
| 4.1.3.4 | Registra tentativas de alterar a hora usando clock_settime | médio | pass |
| 4.1.3.4 | Registra tentativas de alterar a hora usando settimeofday. | médio | pass |
| 4.1.3.4 | Registrar tentativas de alterar a hora usando stime | médio | pass |
| 4.1.3.5 | Registrar eventos que modificam o ambiente de rede do sistema | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: su | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios – sudo | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: sudoedit | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados - umount | médio | pass |
| 4.1.3.6 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios: unix_chkpwd | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos - creat | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: ftruncate | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: abrir | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: openat | médio | pass |
| 4.1.3.7 | Registrar tentativas de acesso sem sucesso a arquivos: truncar | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/group | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/gshadow | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/passwd | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/security/opasswd | médio | pass |
| 4.1.3.8 | Registrar eventos que modificam informações de usuário/grupo: /etc/shadow | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: chmod | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: chown | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchmod | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchmodat | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchown | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fchownat | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fremovexattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: fsetxattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: lchown | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: lremovexattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: lsetxattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: removexattr | médio | pass |
| 4.1.3.9 | Registrar eventos que modificam os controles de acesso discricionário do sistema: setxattr | médio | pass |
| 4.1.3.10 | Garantir que o auditd colete informações sobre a exportação para mídia (concluída) | médio | pass |
| 4.1.3.11 | Registro de tentativas de alterar informações de processo e início de sessão | médio | pass |
| 4.1.3.12 | Registrar tentativas de alterar eventos de login e logout: faillog | médio | pass |
| 4.1.3.12 | Registrar tentativas de alterar eventos de logon e logout: lastlog | médio | pass |
| 4.1.3.12 | Registrar tentativas de alterar eventos de logon e logout: tallylog | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: renomear | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: renameat | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: unlink | médio | pass |
| 4.1.3.13 | Garantir que o auditd colete eventos de exclusão de arquivos por usuário: unlinkat | médio | pass |
| 4.1.3.14 | Registrar eventos que modificam os controles de acesso obrigatórios do sistema | médio | pass |
| 4.1.3.15 | Registrar qualquer tentativa de executar chcon | médio | pass |
| 4.1.3.16 | Registrar qualquer tentativa de executar setfacl | médio | pass |
| 4.1.3.17 | Registrar todas as tentativas de executar o chacl | médio | pass |
| 4.1.3.18 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios - usermod | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o carregamento de módulos do kernel: init_module | médio | pass |
| 4.1.3.19 | Verifique se o auditd coleta informações sobre o descarregamento do módulo do kernel: delete_module | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: insmod | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o uso de comandos com privilégios: modprobe | médio | pass |
| 4.1.3.19 | Garantir que o auditd colete informações sobre o uso de comandos privilegiados: rmmod | médio | pass |
| 4.1.3.20 | Tornar a configuração do auditd imutável | médio | pass |
| 4.1.4.1 | Os registros de auditoria do sistema precisam ter o modo 0640 ou menos permissivo | médio | pass |
| 4.1.4.2 | Os registros de auditoria do sistema precisam ser de propriedade da raiz | médio | pass |
| 4.1.4.3 | Os registros de auditoria do sistema precisam ser de propriedade do grupo raiz | médio | pass |
| 4.1.4.4 | Os registros de auditoria do sistema precisam ter o modo 0750 ou menos permissivo | médio | pass |
| 4.1.4.5 | Verificar permissões em /etc/audit/auditd.conf | médio | pass |
| 4.1.4.5 | Verificar permissões em /etc/audit/rules.d/*.rules | médio | pass |
| 4.1.4.6 | Os arquivos de configuração de auditoria precisam ser de propriedade da raiz | médio | pass |
| 4.1.4.7 | Os arquivos de configuração de auditoria precisam ser de propriedade do grupo root | médio | pass |
| 4.1.4.8 | Verifique se as ferramentas de auditoria têm o modo 0755 ou menos. | médio | pass |
| 4.1.4.9 | Verificar se as ferramentas de auditoria são de propriedade da raiz | médio | pass |
| 4.1.4.10 | Verificar se as ferramentas de auditoria são de propriedade da raiz do grupo | médio | pass |
| 4.2.1.1.1 | Instalar o pacote systemd-journal-remote | médio | pass |
| 4.2.1.1.4 | Desativar o soquete systemd-journal-remote | médio | pass |
| 4.2.1.2 | Ativar o serviço systemd-journald | médio | pass |
| 4.2.1.3 | Verifique se o journald está configurado para compactar arquivos de registro grandes | médio | pass |
| 4.2.1.4 | Verifique se o journald está configurado para gravar arquivos de registro no disco permanente | médio | pass |
| 4.2.2.1 | Verificar se o rsyslog está instalado | médio | pass |
| 4.2.2.2 | Ativar o serviço rsyslog | médio | pass |
| 4.2.2.4 | Verificar se as permissões de arquivo padrão do rsyslog estão configuradas | médio | pass |
| 4.2.2.7 | Verificar se o rsyslog não aceita mensagens remotas, a menos que esteja atuando como servidor de registro | médio | pass |
| 5.1.1 | Ativar o serviço cron | médio | pass |
| 5.1.2 | Verificar o grupo proprietário do crontab | médio | pass |
| 5.1.2 | Verificar o proprietário no crontab | médio | pass |
| 5.1.2 | Verificar permissões no crontab | médio | pass |
| 5.1.3 | Verificar o grupo proprietário de cron.hourly | médio | pass |
| 5.1.3 | Verificar proprietário em cron.hourly | médio | pass |
| 5.1.3 | Verificar permissões em cron.hourly | médio | pass |
| 5.1.4 | Verificar o grupo proprietário do cron.daily | médio | pass |
| 5.1.4 | Verificar o proprietário em cron.daily | médio | pass |
| 5.1.4 | Verificar permissões em cron.daily | médio | pass |
| 5.1.5 | Verificar o grupo proprietário de cron.weekly | médio | pass |
| 5.1.5 | Verificar proprietário em cron.weekly | médio | pass |
| 5.1.5 | Verificar permissões em cron.weekly | médio | pass |
| 5.1.6 | Verificar o grupo proprietário de cron.monthly | médio | pass |
| 5.1.6 | Verificar proprietário em cron.monthly | médio | pass |
| 5.1.6 | Verificar permissões em cron.monthly | médio | pass |
| 5.1.7 | Verificar o grupo proprietário de cron.d | médio | pass |
| 5.1.7 | Verificar o proprietário em cron.d | médio | pass |
| 5.1.7 | Verificar permissões em cron.d | médio | pass |
| 5.1.8 | Verifique se /etc/cron.deny não existe | médio | pass |
| 5.1.8 | Verificar o grupo proprietário do arquivo /etc/cron.allow | médio | pass |
| 5.1.8 | Verificar permissões no arquivo /etc/cron.allow | médio | pass |
| 5.1.8 | Verificar o usuário proprietário do arquivo /etc/cron.allow | médio | pass |
| 5.1.9 | Verifique se /etc/at.deny não existe | médio | pass |
| 5.1.9 | Verificar o grupo proprietário do arquivo /etc/at.allow | médio | pass |
| 5.1.9 | Verificar as permissões no arquivo /etc/at.allow | médio | pass |
| 5.1.9 | Verificar o usuário proprietário do arquivo /etc/at.allow | médio | pass |
| 5.2.1 | Verificar o arquivo de configuração do servidor SSH do grupo proprietário | médio | pass |
| 5.2.1 | Verificar o proprietário no arquivo de configuração do servidor SSH | médio | pass |
| 5.2.1 | Verificar as permissões no arquivo de configuração do servidor SSH | médio | pass |
| 5.2.2 | Verificar permissões nos arquivos de chave *_key privada do servidor SSH | médio | pass |
| 5.2.3 | Verificar permissões nos arquivos de chave pública *.pub do servidor SSH | médio | pass |
| 5.2.5 | Definir LogLevel como INFO | baixo | pass |
| 5.2.6 | Ativar o PAM | médio | pass |
| 5.2.7 | Desativar o login raiz do SSH | médio | pass |
| 5.2.8 | Desativar a autenticação baseada em host | médio | pass |
| 5.2.9 | Desativar o acesso SSH com senhas vazias | alto | pass |
| 5.2.10 | Não permitir opções de ambiente SSH | médio | pass |
| 5.2.11 | Desativar o suporte a SSH para arquivos .rhosts | médio | pass |
| 5.2.12 | Desativar o encaminhamento X11 | médio | pass |
| 5.2.13 | Usar apenas criptografias fortes | médio | pass |
| 5.2.14 | Usar apenas MACs fortes | médio | pass |
| 5.2.15 | Use apenas algoritmos de troca de chaves fortes | médio | pass |
| 5.2.16 | Desativar o encaminhamento TCP do SSH | médio | pass |
| 5.2.17 | Ativar o banner de aviso do SSH | médio | pass |
| 5.2.18 | Definir o limite de tentativas de autenticação SSH | médio | pass |
| 5.2.19 | Verifique se o SSH MaxStartups está configurado | médio | pass |
| 5.2.20 | Definir o limite de MaxSessions do SSH | médio | pass |
| 5.2.21 | Verifique se o SSH LoginGraceTime está configurado | médio | pass |
| 5.2.22 | Definir o número máximo de contagem de clientes SSH ativos | médio | pass |
| 5.2.22 | Definir o intervalo de atividade do cliente SSH | médio | pass |
| 5.3.1 | Instalar o pacote sudo | médio | pass |
| 5.3.2 | Garantir que apenas usuários conectados a um tty real possam executar o sudo – sudo use_pty | médio | pass |
| 5.3.3 | Garantir que o arquivo de registro do sudo exista – sudo logfile | baixo | pass |
| 5.3.5 | Garanta que os usuários façam a autenticação novamente para escalonamento de privilégios – sudo !authenticate | médio | pass |
| 5.3.6 | Exigir a reautenticação ao usar o comando sudo | médio | pass |
| 5.3.7 | Aplicar o uso de pam_wheel com parâmetro de grupo para autenticação su | médio | pass |
| 5.3.7 | Verificar se o grupo usado pelo módulo pam_wheel existe no sistema e está vazio | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: solicitações de nova tentativa de autenticação permitidas por sessão | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: mínimo de categorias diferentes | médio | pass |
| 5.4.1 | Verifique se o PAM impõe requisitos de senha: número mínimo de dígitos | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: tamanho mínimo | médio | pass |
| 5.4.1 | Verifique se o PAM aplica requisitos de senha: número mínimo de caracteres minúsculos | médio | pass |
| 5.4.1 | Verifique se o PAM impõe requisitos de senha: número mínimo de caracteres especiais | médio | pass |
| 5.4.1 | Verifique se a PAM impõe requisitos de senha: número mínimo de caracteres maiúsculos | médio | pass |
| 5.4.1 | Instalar o pacote pam_pwquality | médio | pass |
| 5.4.2 | Bloquear contas após tentativas de senha com falha | médio | pass |
| 5.4.2 | Definir intervalo para contagem de tentativas de senha com falha | médio | pass |
| 5.4.2 | Definir o tempo de bloqueio para tentativas de senha com falha | médio | pass |
| 5.4.3 | Limitar a reutilização de senhas | médio | pass |
| 5.4.4 | Definir o algoritmo de hash de senha em /etc/login.defs | médio | pass |
| 5.5.1.1 | Definir idade mínima das senhas atuais | médio | pass |
| 5.5.1.1 | Definir idade mínima da senha | médio | pass |
| 5.5.1.2 | Definir a idade máxima das senhas atuais | médio | pass |
| 5.5.1.3 | Definir idade do aviso de senha | médio | pass |
| 5.5.1.4 | Definir o vencimento da conta após inatividade | médio | pass |
| 5.5.1.5 | Verifique se a data da última mudança de senha de todos os usuários é no passado. | médio | pass |
| 5.5.2 | Garantir que as contas do sistema não executem um shell ao fazer login | médio | pass |
| 5.5.3 | Verificar se a raiz tem um GID principal 0 | alto | pass |
| 5.5.4 | Verificar se a umask padrão do Bash está definida corretamente | médio | pass |
| 5.5.4 | Verifique se a umask padrão está definida corretamente para usuários interativos | médio | pass |
| 5.5.4 | Verificar se a umask padrão está definida corretamente em /etc/profile | médio | pass |
| 5.5.4 | Verifique se a umask padrão está definida corretamente em login.defs | médio | pass |
| 5.5.5 | Definir o tempo limite da sessão interativa | médio | pass |
| 6.1.1 | Verificar o grupo proprietário do arquivo passwd | médio | pass |
| 6.1.1 | Verificar permissões no arquivo passwd | médio | pass |
| 6.1.1 | Verificar o usuário proprietário do arquivo passwd | médio | pass |
| 6.1.2 | Verificar o grupo proprietário do arquivo passwd de backup | médio | pass |
| 6.1.2 | Verificar as permissões no arquivo passwd de backup | médio | pass |
| 6.1.2 | Verificar o usuário proprietário do arquivo passwd de backup | médio | pass |
| 6.1.3 | Verificar o grupo proprietário do arquivo do grupo | médio | pass |
| 6.1.3 | Verificar permissões no arquivo do grupo | médio | pass |
| 6.1.3 | Verificar o usuário proprietário do arquivo do grupo | médio | pass |
| 6.1.4 | Verificar o grupo proprietário do arquivo do grupo de backup | médio | pass |
| 6.1.4 | Verificar as permissões no arquivo do grupo de backup | médio | pass |
| 6.1.4 | Verificar o usuário proprietário do arquivo do grupo de backup | médio | pass |
| 6.1.5 | Verificar grupo proprietário do arquivo shadow | médio | pass |
| 6.1.5 | Verificar permissões no arquivo shadow | médio | pass |
| 6.1.5 | Verificar o usuário proprietário do arquivo de sombra | médio | pass |
| 6.1.6 | Verificar o grupo proprietário do arquivo de sombra de backup | médio | pass |
| 6.1.6 | Verificar as permissões no arquivo de sombra de backup | médio | pass |
| 6.1.6 | Verificar o usuário proprietário do arquivo de sombra de backup | médio | pass |
| 6.1.7 | Verificar o grupo proprietário do arquivo gshadow | médio | pass |
| 6.1.7 | Verificar permissões no arquivo gshadow | médio | pass |
| 6.1.7 | Verificar o usuário proprietário do arquivo gshadow | médio | pass |
| 6.1.8 | Verificar o grupo proprietário do arquivo gshadow de backup | médio | pass |
| 6.1.8 | Verificar as permissões no arquivo gshadow de backup | médio | pass |
| 6.1.8 | Verificar o usuário proprietário do arquivo gshadow de backup | médio | pass |
| 6.1.10 | Verifique se todos os arquivos pertencem a um usuário | médio | pass |
| 6.2.1 | Verificar se todos os hashes de senha da conta estão ocultos | médio | pass |
| 6.2.2 | Verifique se não há contas com senhas em branco ou nulas | alto | pass |
| 6.2.3 | Todos os GIDs referenciados em /etc/passwd precisam ser definidos em /etc/group | baixo | pass |
| 6.2.4 | Verificar se o grupo sombra está vazio | médio | pass |
| 6.2.5 | Verifique se todas as contas no sistema têm IDs de usuário exclusivos | médio | pass |
| 6.2.6 | Verifique se todos os grupos no sistema têm um ID exclusivo | médio | pass |
| 6.2.7 | Verifique se todas as contas no sistema têm nomes exclusivos | médio | pass |
| 6.2.8 | Garantir que todos os grupos no sistema tenham nomes exclusivos | médio | pass |
| 6.2.9 | Verifique se o caminho da raiz não inclui caminhos relativos ou diretórios nulos | desconhecido | pass |
| 6.2.9 | Verifique se o caminho da raiz não inclui diretórios graváveis pelo mundo ou pelo grupo | médio | pass |
| 6.2.10 | Verificar se apenas a raiz tem UID 0 | alto | pass |
| 6.2.11 | Todos os diretórios principais de usuários interativos precisam existir | médio | pass |
| 6.2.12 | Todos os diretórios iniciais de usuários interativos precisam ser de propriedade do grupo principal | médio | pass |
| 6.2.12 | Todos os diretórios principais de usuários interativos precisam ser de propriedade do usuário principal | médio | pass |
| 6.2.13 | Todos os diretórios iniciais de usuários interativos precisam ter o modo 0750 ou menos permissivo | médio | pass |
| 6.2.14 | Verificar se não há arquivos netrc | médio | pass |
| 6.2.15 | Verificar se não há arquivos .forward | médio | pass |
| 6.2.16 | Remover arquivos de confiança do Rsh | alto | pass |
| 6.2.17 | Os arquivos de inicialização do usuário precisam ser de propriedade do grupo principal | médio | pass |
| 6.2.17 | Os arquivos de inicialização do usuário precisam ser de propriedade do usuário principal | médio | pass |
| 6.2.17 | Os arquivos de inicialização do usuário não podem executar programas graváveis para todos | médio | pass |
Recomendações não aplicáveis
A tabela a seguir lista as recomendações que não se aplicam ao Google Distributed Cloud.
| # | Recomendação | Gravidade | Status |
|---|---|---|---|
| 1.1.2.2 | Adicionar a opção nodev a /tmp | médio | notapplicable |
| 1.1.2.3 | Adicionar a opção noexec a /tmp | médio | notapplicable |
| 1.1.2.4 | Adicionar a opção nosuid a /tmp | médio | notapplicable |
| 1.1.3.2 | Adicionar a opção nodev a /var | médio | notapplicable |
| 1.1.3.3 | Adicionar a opção nosuid a /var | médio | notapplicable |
| 1.1.4.2 | Adicionar a opção noexec a /var/tmp | médio | notapplicable |
| 1.1.4.3 | Adicionar a opção nosuid a /var/tmp | médio | notapplicable |
| 1.1.4.4 | Adicionar a opção nodev a /var/tmp | médio | notapplicable |
| 1.1.5.2 | Adicionar a opção nodev a /var/log | médio | notapplicable |
| 1.1.5.3 | Adicionar a opção noexec a /var/log | médio | notapplicable |
| 1.1.5.4 | Adicionar a opção nosuid a /var/log | médio | notapplicable |
| 1.1.6.2 | Adicionar a opção noexec a /var/log/audit | médio | notapplicable |
| 1.1.6.3 | Adicionar a opção nodev a /var/log/audit | médio | notapplicable |
| 1.1.6.4 | Adicionar a opção nosuid a /var/log/audit | médio | notapplicable |
| 1.1.7.2 | Adicionar a opção nodev a /home | desconhecido | notapplicable |
| 1.1.7.3 | Adicionar a opção nosuid a /home | médio | notapplicable |
| 1.4.1 | Definir a senha do carregador de inicialização da UEFI | alto | notapplicable |
| 1.8.1 | Remover o grupo de pacotes do GDM | médio | notapplicable |
| 1.8.4 | Ativar o bloqueio do protetor de tela do GNOME3 após um período de inatividade | médio | notapplicable |
| 1.8.5 | Definir o atraso do bloqueio do protetor de tela do GNOME3 após o período de ativação | médio | notapplicable |
| 1.8.6 | Desativar a abertura da montagem automática do GNOME3 | médio | notapplicable |
| 1.8.6 | Desativar a montagem automática do GNOME3 | médio | notapplicable |
| 1.8.8 | Desativar a execução da montagem automática do GNOME3 | baixo | notapplicable |
| 1.8.10 | Desativar o XDMCP no GDM | alto | notapplicable |
| 1.10 | Configurar perfil de usuário DConf do GNOME3 | alto | notapplicable |
| 2.1.4.1 | Configurar restrições de servidor para o ntpd | médio | notapplicable |
| 2.1.4.3 | Configurar o ntpd para ser executado como usuário ntp | médio | notapplicable |
| 2.1.4.4 | Ativar o daemon NTP | alto | notapplicable |
| 2.2.15 | Desativar a escuta de rede do Postfix | médio | notapplicable |
| 3.5.1.3 | Verificar se o ufw está ativado | médio | notapplicable |
| 3.5.1.4 | Definir tráfego de loopback do UFW | médio | notapplicable |
| 3.5.1.6 | Verifique se existem regras de firewall ufw para todas as portas abertas | médio | notapplicable |
| 3.5.1.7 | Verifique se a política de firewall de negação padrão do ufw | médio | notapplicable |
| 3.5.3.2.1 | Definir a política padrão do iptables para pacotes de entrada | médio | notapplicable |
| 3.5.3.2.2 | Definir configuração para tráfego de loopback | médio | notapplicable |
| 3.5.3.2.4 | Verificar se existem regras de firewall do iptables para todas as portas abertas | médio | notapplicable |
| 3.5.3.3.1 | Definir a política ip6tables padrão para pacotes de entrada | médio | notapplicable |
| 3.5.3.3.4 | Verificar se existem regras de firewall ip6tables para todas as portas abertas | médio | notapplicable |
Configurar cron job do AIDE
O AIDE é uma ferramenta de verificação de integridade de arquivos que verifica a conformidade com a referência de servidor CIS L1
1.4 Filesystem Integrity Checking. No Google Distributed Cloud,
o processo de AIDE causa problemas de uso elevado de recursos.
O processo AIDE em nós é desativado por padrão para evitar que recursos
problemas. Isso afetará a conformidade com o comparativo de mercado do servidor CIS L1 1.4.2: Ensure
filesystem integrity is regularly checked.
Se você quiser ativar a execução do cron job do AIDE, conclua as etapas a seguir para reativá-lo:
Crie um DaemonSet.
Aqui está um manifesto para um BackendConfig.
apiVersion: apps/v1 kind: DaemonSet metadata: name: enable-aide-pool1 spec: selector: matchLabels: app: enable-aide-pool1 template: metadata: labels: app: enable-aide-pool1 spec: hostIPC: true hostPID: true nodeSelector: cloud.google.com/gke-nodepool: pool-1 containers: - name: update-audit-rule image: ubuntu command: ["chroot", "/host", "bash", "-c"] args: - | set -x while true; do # change daily cronjob schedule minute=30;hour=5 sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab # enable aide chmod 755 /etc/cron.daily/aide sleep 3600 done volumeMounts: - name: host mountPath: /host securityContext: privileged: true volumes: - name: host hostPath: path: /No manifesto anterior:
O job cron do AIDE só será executado no pool de nós
pool-1conforme especificado pelo nodeSelectorcloud.google.com/gke-nodepool: pool-1. É possível configurar o processo do AIDE para ser executado em quantos pools de nós você quiser especificando os pools no camponodeSelector. Para executar a mesma programação de cron jobs em diferentes pools de nós, remova o camponodeSelector. No entanto, para evitar congestionamentos de recursos de host, recomendamos manter programações separadas.O cron job está programado para ser executado diariamente às 5h30, conforme especificado pela configuração
minute=30;hour=5. É possível configurar programações diferentes para o cron job do AIDE, conforme necessário.
Copie o manifesto para um arquivo chamado
enable-aide.yamle crie o DaemonSet:kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
em que USER_CLUSTER_KUBECONFIG é o caminho do arquivo kubeconfig do cluster de usuário.
Usar a avaliação do Protocolo de Automação de Conteúdo de Segurança (SCAP)
Recomendamos que você faça uma verificação na sua instalação para avaliar a conformidade de nível 2 com o benchmark do CIS para Ubuntu Linux. Há várias ferramentas disponíveis para verificar seus clusters e a estação de trabalho do administrador. Siga estas etapas para instalar e executar o conjunto de ferramentas de código aberto OpenSCAP (em inglês) e realizar uma avaliação de segurança de nível 2:
Copie o script a seguir para um arquivo chamado
cis-benchmark.sh:#!/bin/bash set -x REPORTS_DIR="$1" mkdir -p "${REPORTS_DIR}" echo "Start CIS L2 benchmark evaluation..." apt update apt install libopenscap8 sudo oscap xccdf eval \ --profile cis_level2_server_customized \ --tailoring-file /etc/cloud/usg/tailored-cis-level2-server-anthos-wmware.xml \ --results "${REPORTS_DIR}"/cis-results.xml \ --report "${REPORTS_DIR}"/cis-report.html \ --verbose INFO \ --verbose-log-file "${REPORTS_DIR}/cis-output-verbose.log" \ /etc/cloud/usg/ssg-ubuntu2204-ds-1.2.xml > "${REPORTS_DIR}"/cis-output.log 2>&1 chmod -R 755 "${REPORTS_DIR}/.." echo "Done CIS L2 benchmark evaluation"Torne o script executável:
chmod +x cis-benchmark.shExecute o script:
./cis-benchmark.sh REPORTS_DIRSubstitua
REPORTS_DIRpelo caminho de um diretório em que você quer salvar o relatório de avaliação gerado.Quando o script for concluído, o diretório
REPORTS_DIRvai conter o arquivocis-report.htmlgerado.