Compartir a través de

Alineación de imágenes de Ubuntu de Azure Kubernetes Service (AKS) con el punto de referencia de Center for Internet Security (CIS)

  • Artículo

Como servicio seguro, Azure Kubernetes Service (AKS) es compatible con los estándares SOC, ISO, PCI DSS e HIPAA. En este artículo se describe la configuración del sistema operativo de seguridad aplicada a la imagen de Ubuntu usada por AKS. Esta configuración de seguridad se basa en la línea base de seguridad de Linux de Azure que se alinea con el punto de referencia CIS. Para más información acerca de la seguridad de AKS, consulte Conceptos de seguridad de las aplicaciones y los clústeres en Azure Kubernetes Service (AKS). Para más información acerca de la seguridad de AKS, consulte Conceptos de seguridad de las aplicaciones y los clústeres en Azure Kubernetes Service (AKS). Para obtener más información sobre el punto de referencia de CIS, vea Puntos de referencia de Center for Internet Security (CIS). Para más información sobre las líneas base de seguridad de Azure para Linux, consulte Línea de base de seguridad de Linux.

Ubuntu LTS 18.04

Los clústeres de AKS se implementan en las máquinas virtuales del host, que ejecutan un sistema operativo con configuraciones seguras integradas. Este sistema operativo se usa para contenedores que se ejecutan en AKS. Este sistema operativo host se basa en una imagen de Ubuntu 18.04.LTS con configuraciones de seguridad aplicadas.

Como parte del sistema operativo optimizado para seguridad:

  • AKS proporciona un sistema operativo de host optimizado para seguridad de manera predeterminada, pero ninguna opción para seleccionar un sistema operativo alternativo.
  • El sistema operativo del host con seguridad optimizada se crea y se mantiene específicamente para AKS y no se admite fuera de la plataforma AKS.
  • Para reducir el área expuesta a ataques, se han deshabilitado en el sistema operativo algunos controladores de módulos de kernel que no eran necesarios.

Nota

Sin relación con los puntos de referencia de CIS, Azure aplica revisiones diarias, lo que incluye revisiones de seguridad, a los hosts de máquina virtual de AKS.

El objetivo de la configuración segura integrada en el sistema operativo del host es reducir el área expuesta de ataque y optimizar la implementación de contenedores de forma segura.

A continuación se muestran los resultados de las recomendaciones de CIS Ubuntu 18.04 LTS Benchmark v2.1.0.

Las recomendaciones pueden tener una de las siguientes razones:

  • Posible impacto en la operación: no se aplicó la recomendación porque tendría un efecto negativo en el servicio.
  • Cubierto en otro lugar: la recomendación está cubierta por otro control en el proceso en la nube de Azure.

A continuación se muestran las reglas de CIS implementadas:

Número de párrafo de CIS Descripción de la recomendación Status Motivo
1 Programa de instalación inicial
1.1 Configuración del sistema de archivos
1.1.1 Deshabilitar sistemas de archivos no usados
1.1.1.1 Asegurarse de que el montaje de sistemas de archivos cramfs está deshabilitado Aprobado
1.1.1.2 Asegurarse de que el montaje de sistemas de archivos freevxfs está deshabilitado Aprobado
1.1.1.3 Asegurarse de que el montaje de sistemas de archivos jffs2 está deshabilitado Aprobado
1.1.1.4 Asegurarse de que el montaje de sistemas de archivos hfs está deshabilitado Aprobado
1.1.1.5 Asegurarse de que el montaje de sistemas de archivos hfsplus está deshabilitado Aprobado
1.1.1.6 Asegurarse de que el montaje de sistemas de archivos udf está deshabilitado Suspenso Posible impacto operacional
1.1.2 Asegurarse de que /tmp está configurado Suspenso
1.1.3 Asegurarse de que la opción nodev está establecida en la partición /tmp Suspenso
1.1.4 Asegurarse de que la opción nosuid está establecida en la partición /tmp Aprobado
1.1.5 Asegurarse de que la opción noexec está establecida en la partición /tmp Aprobado
1.1.6 Asegúrese de que /dev/shm está configurado Aprobado
1.1.7 Asegurarse de que la opción nodev está establecida en la partición /dev/shm Aprobado
1.1.8 Asegurarse de que la opción nosuid está establecida en la partición /dev/shm Aprobado
1.1.9 Asegurarse de que la opción noexec está establecida en la partición /dev/shm Suspenso Posible impacto operacional
1.1.12 Asegurarse de que la partición /var/tmp incluye la opción nodev Aprobado
1.1.13 Asegurarse de que la partición /var/tmp incluye la opción nosuid Aprobado
1.1.14 Asegurarse de que la partición /var/tmp incluye la opción noexec Aprobado
1.1.18 Asegurarse de que la partición /home incluye la opción nodev Aprobado
1.1.19 Asegurarse de que la opción nodev está establecida en particiones de medios extraíbles No es aplicable
1.1.20 Asegurarse de que la opción nosuid está establecida en particiones de medios extraíbles No es aplicable
1.1.21 Asegurarse de que la opción noexec está establecida en particiones de medios extraíbles No es aplicable
1.1.22 Asegurarse de que el bit permanente está establecido en todos los directorios grabables de manera global Suspenso Posible impacto en la operación
1.1.23 Deshabilitar el montaje automático Aprobado
1.1.24 Deshabilitar el almacenamiento USB Aprobado
1.2 Configuración de las actualizaciones de software
1.2.1 Asegurarse de que los repositorios del administrador de paquetes están configurados Aprobado Cubierto en otro lugar
1.2.2 Asegúrese de que las claves de GPG están configuradas No es aplicable
1.3 Comprobación de integridad del sistema de archivos
1.3.1 Asegurarse de que AIDE está instalado Suspenso Cubierto en otro lugar
1.3.2 Asegurarse de que la integridad del sistema de archivos se comprueba periódicamente Suspenso Cubierto en otro lugar
1.4 Configuración de arranque seguro
1.4.1 Asegúrese de que no estén invalidados los permisos en la configuración del cargador de arranque Suspenso
1.4.2 Asegurarse de que la contraseña del cargador de arranque está establecida Suspenso No es aplicable
1.4.3 Asegurarse de que están configurados los permisos en la configuración del cargador de arranque. Suspenso
1.4.4 Asegurarse de la autenticación que se requiere para el modo de usuario único Suspenso No es aplicable
1.5 Protección de procesos adicionales
1.5.1 Asegurarse de que la compatibilidad con XD/NX está habilitada No es aplicable
1.5.2 Asegurarse de que la selección aleatoria del diseño del espacio de direcciones (ASLR) está habilitada Aprobado
1.5.3 Asegurarse de que la vinculación previa está deshabilitada Aprobado
1.5.4 Asegurarse de que los volcados de memoria están restringidos Aprobado
1.6 Control de acceso obligatorio
1.6.1 Configuración de AppArmor
1.6.1.1 Asegurarse de que AppArmor está instalado Aprobado
1.6.1.2 Asegurarse de que AppArmor está habilitado en la configuración del cargador de arranque Suspenso Posible impacto en la operación
1.6.1.3 Asegurarse de que todos los perfiles de AppArmor estén en modo de aplicación o queja Aprobado
1.7 Banners de advertencia de la línea de comandos
1.7.1 Asegurarse de que el mensaje del día está configurado correctamente Aprobado
1.7.2 Asegurarse de que están configurados los permisos en/etc/issue.net Aprobado
1.7.3 Asegurarse de que están configurados los permisos en/etc/issue Aprobado
1.7.4 Asegurarse de que los permisos en /etc/motd están configurados Aprobado
1.7.5 Asegurarse de que el banner de advertencia de inicio de sesión remoto está configurado correctamente Aprobado
1.7.6 Asegurarse de que el banner de advertencia de inicio de sesión local está configurado correctamente Aprobado
1.8 GNOME Display Manager
1.8.2 Asegurarse de que el banner de inicio de sesión de GDM está configurado Aprobado
1.8.3 Asegurarse de que disable-user-list está habilitado Aprobado
1.8.4 Asegúrese de que XDCMP no esté habilitado Aprobado
1,9 Asegurarse de que están instaladas las actualizaciones, las revisiones y el software de seguridad adicional Aprobado
2 Servicios
2.1 Servicios de uso especial
2.1.1 Sincronización de la hora
2.1.1.1 Asegurarse de que la sincronización de hora está en uso Aprobado
2.1.1.2 Asegurarse de que systemd-timesyncd está configurado No es aplicable AKS usa ntpd para timesync
2.1.1.3 Asegurarse de que chrony está configurado Suspenso Cubierto en otro lugar
2.1.1.4 Asegurarse de que ntp está configurado Aprobado
2.1.2 Asegúrese de que el sistema de ventanas X no esté instalado Aprobado
2.1.3 Asegúrese de que el servidor de Avahi no esté instalado Aprobado
2.1.4 Asegúrese de que CUPS no esté instalado Aprobado
2.1.5 Asegúrese de que el servidor DHCP no esté instalado Aprobado
2.1.6 Asegúrese de que el servidor LDAP no esté instalado Aprobado
2.1.7 Asegúrese de que NFS no esté instalado Aprobado
2.1.8 Asegúrese de que el servidor DNS no esté instalado Aprobado
2.1.9 Asegúrese de que el servidor FTP no esté instalado Aprobado
2.1.10 Asegúrese de que el servidor FTP no esté instalado Aprobado
2.1.11 Asegúrese de que los servidores IMAP y POP3 no estén instalados Aprobado
2.1.12 Asegúrese de que Samba no esté instalado Aprobado
2.1.13 Asegúrese de que el servidor proxy HTTP no esté instalado Aprobado
2.1.14 Asegúrese de que el servidor SNMP no esté instalado Aprobado
2.1.15 Asegurarse de que el agente de transferencia de correo está configurado para el modo solo local Aprobado
2.1.16 Asegúrese de que el servicio rsync no esté instalado Suspenso
2.1.17 Asegúrese de que el servidor NIS no esté instalado Aprobado
2,2 Clientes de servicio
2.2.1 Asegúrese de que el cliente NIS no esté instalado Aprobado
2.2.2 Asegúrese de que el cliente rsh no esté instalado Aprobado
2.2.3 Asegúrese de que el cliente talk no esté instalado Aprobado
2.2.4 Asegúrese de que el cliente telnet no esté instalado Suspenso
2.2.5 Asegúrese de que el cliente LDAP no esté instalado Aprobado
2.2.6 Asegúrese de que RPC no esté instalado Suspenso Posible impacto operacional
2.3 Asegurarse de que se quitan o enmascaran los servicios no esenciales Aprobado
3 Configuración de red
3.1 Deshabilitar protocolos y dispositivos de red sin usar
3.1.2 Asegurarse de que las interfaces inalámbricas están deshabilitadas Aprobado
3.2 Parámetros de red (solo host)
3.2.1 Asegurarse de que el envío de redireccionamiento de paquetes está deshabilitado Aprobado
3.2.2 Asegurarse de que el reenvío IP está deshabilitado Suspenso No es aplicable
3.3 Parámetros de red (host y enrutador)
3.3.1 Asegúrese de que no se acepten paquetes enrutados de origen Aprobado
3.3.2 Asegúrese de que no se acepten los redireccionamientos de ICMP Aprobado
3.3.3 Asegúrese de que no se acepten los redireccionamientos de ICMP seguros Aprobado
3.3.4 Asegurarse de que se registran los paquetes sospechosos Aprobado
3.3.5 Asegurarse de que se omiten las solicitudes ICMP de difusión Aprobado
3.3.6 Asegurarse de que se omiten las respuestas ICMP ficticias Aprobado
3.3.7 Asegurarse de que el filtrado de Invertir trazado está habilitado Aprobado
3.3.8 Asegurarse de que las cookies SYN de TCP están habilitadas Aprobado
3.3.9 Asegúrese de que no se acepten anuncios de enrutadores IPv6 Aprobado
3.4 Protocolos de red poco comunes
3,5 Configuración del firewall
3.5.1 Configuración de UncomplicatedFirewall
3.5.1.1 Asegurarse de que ufw está instalado Aprobado
3.5.1.2 Asegurarse de que iptables-persistent no está instalado con ufw Aprobado
3.5.1.3 Asegurarse de que el servicio ufw está habilitado Suspenso Cubierto en otro lugar
3.5.1.4 Asegurarse de que el tráfico de bucle invertido de ufw está configurado Suspenso Cubierto en otro lugar
3.5.1.5 Asegurarse de que las conexiones salientes de ufw están configuradas No es aplicable Cubierto en otro lugar
3.5.1.6 Asegurarse de que existen reglas de firewall de ufw para todos los puertos abiertos No es aplicable Cubierto en otro lugar
3.5.1.7 Garantizar la directiva de firewall de denegación predeterminada de ufw Suspenso Cubierto en otro lugar
3.5.2 Configuración de nftables
3.5.2.1 Asegurarse de que nftables está instalado Suspenso Cubierto en otro lugar
3.5.2.2 Asegurarse de que ufw está desinstalado o deshabilitado con nftables Suspenso Cubierto en otro lugar
3.5.2.3 Asegurarse de que las tablas iptables se vacían con nftables No es aplicable Cubierto en otro lugar
3.5.2.4 Asegurarse de que existe una tabla nftables Suspenso Cubierto en otro lugar
3.5.2.5 Asegurarse de que existen cadenas base de nftables Suspenso Cubierto en otro lugar
3.5.2.6 Asegurarse de que el tráfico de bucle invertido de nftables está configurado Suspenso Cubierto en otro lugar
3.5.2.7 Asegurarse de que las conexiones salientes y establecidas de nftables estén configuradas No es aplicable Cubierto en otro lugar
3.5.2.8 Garantizar la directiva de firewall de denegación predeterminada de nftables Suspenso Cubierto en otro lugar
3.5.2.9 Asegurarse de que el servicio nftables está habilitado Suspenso Cubierto en otro lugar
3.5.2.10 Asegurarse de que las reglas de nftables son permanentes Suspenso Cubierto en otro lugar
3.5.3 Configuración de iptables
3.5.3.1 Configuración del software de iptables
3.5.3.1.1 Asegurarse de que los paquetes de iptables están instalados Suspenso Cubierto en otro lugar
3.5.3.1.2 Asegurarse de que nftables no está instalado con iptables Aprobado
3.5.3.1.3 Asegurarse de que ufw está desinstalado o deshabilitado con iptables Suspenso Cubierto en otro lugar
3.5.3.2 Configuración de iptables IPv4
3.5.3.2.1 Garantizar la directiva de firewall de denegación predeterminada de iptables Suspenso Cubierto en otro lugar
3.5.3.2.2 Asegurarse de que el tráfico de bucle invertido de iptables está configurado Suspenso No es aplicable
3.5.3.2.3 Asegurarse de que las conexiones salientes y establecidas de iptables estén configuradas No es aplicable
3.5.3.2.4 Asegurarse de que existen reglas de firewall de iptables para todos los puertos abiertos Suspenso Posible impacto en la operación
3.5.3.3 Configuración de ip6tables IPv6
3.5.3.3.1 Garantizar la directiva de firewall de denegación predeterminada de ip6tables Suspenso Cubierto en otro lugar
3.5.3.3.2 Asegurarse de que el tráfico de bucle invertido de ip6tables está configurado Suspenso Cubierto en otro lugar
3.5.3.3.3 Asegurarse de que las conexiones salientes y establecidas de ip6tables estén configuradas No es aplicable Cubierto en otro lugar
3.5.3.3.4 Asegurarse de que existen reglas de firewall de ip6tables para todos los puertos abiertos Suspenso Cubierto en otro lugar
4 Registro y auditoría
4,1 Configuración de la contabilidad del sistema (auditd)
4.1.1.2 Asegurarse de que la auditoría está habilitada
4.1.2 Configuración de la retención de datos
4,2 Configuración del registro
4.2.1 Configuración de rsyslog
4.2.1.1 Asegurarse de que rsyslog está instalado Aprobado
4.2.1.2 Asegurarse de que el servicio rsyslog está habilitado Aprobado
4.2.1.3 Asegurarse de que el registro está configurado Aprobado
4.2.1.4 Asegurarse de que los permisos de archivo predeterminados de rsyslog estén configurados Aprobado
4.2.1.5 Asegurarse de que rsyslog está configurado para enviar registros a un host de registro remoto Suspenso Cubierto en otro lugar
4.2.1.6 Asegurarse de que los mensajes remotos de rsyslog solo se aceptan en los hosts de registro designados. No es aplicable
4.2.2 Configuración de journald
4.2.2.1 Asegurarse de que journald está configurado para enviar registros a rsyslog Aprobado
4.2.2.2 Asegurarse de que journald está configurado para comprimir archivos de registro grandes Suspenso
4.2.2.3 Asegurarse de que journald está configurado para escribir archivos de registro en un disco persistente Aprobado
4.2.3 Asegurarse de que los permisos de todos los archivos de registro están configurados Suspenso
4.3 Asegurarse de que logrotate está configurado Aprobado
4.4. Asegurarse de que logrotate asigna los permisos adecuados Suspenso
5 Acceso, autenticación y autorización
5,1 Configuración de los programadores de trabajos basados en tiempo
5.1.1 Asegurarse de que el demonio cron está habilitado y en ejecución Aprobado
5.1.2 Asegurarse de que están configurados los permisos en/etc/crontab Aprobado
5.1.3 Asegurarse de que los permisos en /etc/cron.hourly están configurados Aprobado
5.1.4 Asegurarse de que los permisos en /etc/cron.daily están configurados Aprobado
5.1.5 Asegurarse de que los permisos en /etc/cron.weekly están configurados Aprobado
5.1.6 Asegurarse de que los permisos en /etc/cron.monthly están configurados Aprobado
5.1.7 Asegurarse de que los permisos en /etc/cron.d están configurados Aprobado
5.1.8 Asegurarse de cron está restringido a los usuarios autorizados Suspenso
5.1.9 Asegurarse de que at está restringido a los usuarios autorizados Suspenso
5.2 Configuración de sudo
5.2.1 Asegurarse de que sudo está instalado Aprobado
5.2.2 Asegurarse de que los comandos sudo usan pty Suspenso Posible impacto operacional
5.2.3 Asegurarse de que existe el archivo de registro de sudo Suspenso
5.3 Configuración del servidor SSH
5.3.1 Asegurarse de que están configurados los permisos en /etc/ssh/sshd_config Aprobado
5.3.2 Asegurarse de que los permisos en los archivos de clave privada de host SSH están configurados Aprobado
5.3.3 Asegurarse de que los permisos en los archivos de clave pública de host SSH están configurados Aprobado
5.3.4 Asegúrese de que el acceso SSH esté limitado. Aprobado
5.3.5 Asegurarse de que LogLevel de SSH es apropiado Aprobado
5.3.7 Asegúrese de que el valor de SSH MaxAuthTries es 4, o menos Aprobado
5.3.8 Asegurarse de que IgnoreRhosts de SSH está habilitado Aprobado
5.3.9 Asegurarse de que HostbasedAuthentication de SSH está deshabilitado Aprobado
5.3.10 Asegurarse de que el inicio de sesión de la raíz de SSH está deshabilitado Aprobado
5.3.11 Asegurarse de que PermitEmptyPasswords de SSH está deshabilitado Aprobado
5.3.12 Asegúrese de que SSH PermitUserEnvironment está deshabilitado Aprobado
5.3.13 Asegurarse de que solo se usan cifrados seguros Aprobado
5.3.14 Asegurarse de que solo se usen algoritmos MAC seguros Aprobado
5.3.15 Asegurarse de que solo se usan algoritmos de intercambio de claves seguros Aprobado
5.3.16 Asegúrese de que está configurado el intervalo de tiempo de espera de inactividad de SSH Suspenso
5.3.17 Asegúrese de que el valor de LoginGraceTime de SSH es un minuto, o menos Aprobado
5.3.18 Asegurarse de que está configurado el banner de advertencia de SSH Aprobado
5.3.19 Asegurarse de que PAM de SSH está habilitado Aprobado
5.3.21 Asegurarse de que SSH MaxStartups está configurado Suspenso
5.3.22 Asegurarse de que SSH MaxSessions está limitado Aprobado
5.4 Configuración de PAM
5.4.1 Asegurarse de que están configurados los requisitos para la creación de contraseñas Aprobado
5.4.2 Asegurarse de que se ha configurado el bloqueo de intentos de contraseña erróneos Suspenso
5.4.3 Asegurarse de que la reutilización de la contraseña está limitada Suspenso
5.4.4 Asegurarse de que el algoritmo de hash de contraseña es SHA-512. Aprobado
5.5 Cuentas y entorno de usuario
5.5.1 Establecer parámetros de Shadow Password Suite
5.5.1.1 Asegurarse de que el número mínimo de días entre los cambios de contraseña está configurado Aprobado
5.5.1.2 Asegurarse de que la contraseña expira en un plazo máximo de 365 días Aprobado
5.5.1.3 Asegurarse de que los días de advertencia para la expiración de contraseña es 7 o más Aprobado
5.5.1.4 Asegurarse de que el plazo máximo del bloqueo de contraseñas inactivas es 30 días Aprobado
5.5.1.5 Asegurarse de que todos los usuarios tienen la última fecha de cambio de contraseña en el pasado. Suspenso
5.5.2 Asegurarse de que las cuentas del sistema están protegidas Aprobado
5.5.3 Asegurarse de que el grupo predeterminado de la cuenta raíz es GID 0. Aprobado
5.5.4 Asegurarse de que el umask de usuario predeterminado es 027, o incluso más restrictivo Aprobado
5.5.5 Asegurarse de que el tiempo de espera predeterminado de shell de usuario sea de 900 segundos o menos Suspenso
5.6 Asegurarse de que el inicio de sesión raíz está restringido a la consola del sistema No es aplicable
5.7 Asegurarse de que está restringido el acceso al comando su Suspenso Posible impacto en la operación
6 Mantenimiento del sistema
6.1 Cambie los permisos del sistema de archivos
6.1.2 Asegurarse de que los permisos de /etc/passwd están configurados Aprobado
6.1.3 Asegurarse de que los permisos de /etc/passwd- están configurados Aprobado
6.1.4 Asegurarse de que los permisos de /etc/group están configurados Aprobado
6.1.5 Asegurarse de que los permisos de /etc/group- están configurados Aprobado
6.1.6 Asegurarse de que los permisos de /etc/shadow están configurados Aprobado
6.1.7 Asegurarse de que los permisos de /etc/shadow- están configurados Aprobado
6.1.8 Asegurarse de que los permisos de /etc/gshadow están configurados Aprobado
6.1.9 Asegurarse de que los permisos de /etc/gshadow- están configurados Aprobado
6.1.10 Asegurarse de que no existen archivos grabables de manera global Suspenso Posible impacto en la operación
6.1.11 Asegurarse de que no existen archivos o directorios sin propietarios Suspenso Posible impacto en la operación
6.1.12 Asegurarse de que no existen archivos o directorios desagrupados Suspenso Posible impacto en la operación
6.1.13 Auditar ejecutables de SUID No es aplicable
6.1.14 Auditar ejecutables de SGID No es aplicable
6,2 Configuración de usuario y de grupo
6.2.1 Asegurarse de que las cuentas de /etc/passwd usan contraseñas sombreadas Aprobado
6.2.2 Asegúrese de que los campos de contraseña no estén vacíos Aprobado
6.2.3 Asegurarse de que todos los grupos en /etc/passwd existen en /etc/group. Aprobado
6.2.4 Asegurarse de que existen todos los directorios principales de los usuarios. Aprobado
6.2.5 Asegurarse de que los usuarios son propietarios de sus directorios principales. Aprobado
6.2.6 Asegurarse de que los permisos de los directorios principales de los usuarios sean 750 o más restrictivos Aprobado
6.2.7 Asegúrese de que los archivos que comiencen por punto de los usuarios no sean de grupo ni de escritura internacional Aprobado
6.2.8 Asegurarse de que ningún usuario tiene archivos .netrc. Aprobado
6.2.9 Asegurarse de que ningún usuario tiene archivos .forward. Aprobado
6.2.10 Asegurarse de que ningún usuario tiene archivos .rhosts. Aprobado
6.2.11 Asegurarse de que la raíz es la única cuenta de UID 0. Aprobado
6.2.12 Garantizar la integridad de la variable PATH raíz Aprobado
6.2.13 Asegurarse de que no existen UID duplicados. Aprobado
6.2.14 Asegurarse de que no existe ningún GID duplicado. Aprobado
6.2.15 Asegurarse de que no existe ningún nombre de usuario duplicado. Aprobado
6.2.16 Asegurarse de que no existe ningún nombre de grupo duplicado Aprobado
6.2.17 Asegurarse de que el grupo de instantáneas está vacío. Aprobado

Pasos siguientes

Para más información acerca de la seguridad de AKS, consulte los siguientes artículos: