Partager via

Alignement de l’image Ubuntu Azure Kubernetes Service (AKS) avec le benchmark CIS (Center for Internet Security)

  • Article

En tant que service sécurisé, Azure Kubernetes Service (AKS) est conforme aux normes SOC, ISO, PCI DSS et HIPAA. Cet article décrit la configuration de sécurité du système d’exploitation appliquée à l’image Ubuntu utilisée par AKS. Cette configuration de sécurité s’appuie la base de référence de sécurité Linux Azure qui s’aligne sur le benchmark CIS. Pour plus d’informations sur la sécurité AKS, consultez Concepts de sécurité pour les applications et les clusters dans AKS (Azure Kubernetes Service). Pour plus d’informations sur la sécurité AKS, consultez Concepts de sécurité pour les applications et les clusters dans AKS (Azure Kubernetes Service). Pour plus d’informations sur le point de référence CIS, consultez Points de référence CIS (Center for Internet Security). Pour plus d’informations sur les bases de référence de sécurité Azure pour Linux, consultez Base de référence de sécurité Linux.

Ubuntu LTS 18.04

Les clusters AKS sont déployés sur des machines virtuelles hôtes, qui exécutent un système d’exploitation doté de configurations sécurisées intégrées. Ce système d’exploitation est utilisé pour les conteneurs s’exécutant sur AKS. Le système d’exploitation hôte est basé sur une image Ubuntu 18.04.LTS sur laquelle sont appliquées des configurations de sécurité.

Dans le cadre du système d’exploitation optimisé pour la sécurité :

  • AKS fournit un système d’exploitation hôte optimisé pour la sécurité par défaut, mais aucune option pour sélectionner un autre système d’exploitation.
  • Le système d’exploitation hôte optimisé pour la sécurité est conçu et géré spécifiquement pour AKS. Il n’est pas pris en charge en dehors de la plateforme AKS.
  • Certains pilotes de module de noyau inutiles ont été désactivés dans le système d’exploitation pour réduire la surface d’attaque.

Notes

Azure applique aux hôtes de machines virtuelles AKS des correctifs quotidiens (y compris de sécurité) sans lien avec les benchmarks CIS.

L’objectif de la configuration sécurisée intégrée dans le système d’exploitation hôte est de réduire la surface d’attaque et d’optimiser le déploiement sécurisé de conteneurs.

Voici les résultats des recommandations Benchmark CIS Ubuntu 18.04 LTS v2.1.0.

Les recommandations peuvent avoir les raisons suivantes :

  • Impact potentiel de l’opération : la suggestion n’a pas été appliquée, car elle aurait un effet négatif sur le service.
  • Couverte ailleurs : la recommandation est couverte par un autre contrôle dans le calcul cloud Azure.

Voici les règles CIS implémentées :

Numéro de paragraphe CIS Description de la recommandation Statut Motif
1 Installation initiale
1.1 Configuration du système de fichiers
1.1.1 Désactiver les systèmes de fichiers inutilisés
1.1.1.1 Vérifier que le montage des systèmes de fichiers cramfs est désactivé Réussite
1.1.1.2 Vérifier que le montage des systèmes de fichiers freevxfs est désactivé Réussite
1.1.1.3 Vérifier que le montage des systèmes de fichiers jffs2 est désactivé Réussite
1.1.1.4 Vérifier que le montage des systèmes de fichiers HFS est désactivé Réussite
1.1.1.5 Vérifier que le montage des systèmes de fichiers HFS Plus est désactivé Réussite
1.1.1.6 Vérifier que le montage des systèmes de fichiers UDF est désactivé Échec Impact opérationnel potentiel
1.1.2 Vérifier que /tmp est configuré Échec
1.1.3 Vérifier que l’option nodev est définie sur la partition /tmp Échec
1.1.4 Vérifier que l’option nosuid est définie sur la partition /tmp Réussite
1.1.5 Vérifier que l’option noexec est définie sur la partition /tmp Réussite
1.1.6 Vérifier que /dev/shm est configuré Réussite
1.1.7 Vérifier que l’option nodev est définie sur la partition /dev/shm Réussite
1.1.8 Vérifier que l’option nosuid est définie sur la partition /dev/shm Réussite
1.1.9 Vérifier que l’option noexec est définie sur la partition /dev/shm Échec Impact opérationnel potentiel
1.1.12 Vérifier que la partition /var/tmp inclut l’option nodev Réussite
1.1.13 Vérifier que la partition /var/tmp inclut l’option nosuid Réussite
1.1.14 Vérifier que la partition /var/tmp inclut l’option noexec Réussite
1.1.18 Vérifier que la partition /home inclut l’option nodev Réussite
1.1.19 Vérifier que l’option nodev est définie sur les partitions de médias amovibles Non applicable
1.1.20 Vérifier que l’option nosuid est définie sur les partitions de médias amovibles Non applicable
1.1.21 Vérifier que l’option noexec est définie sur les partitions de médias amovibles Non applicable
1.1.22 Vérifier que le sticky bit est défini sur tous les répertoires accessibles en écriture Échec Impact opérationnel potentiel
1.1.23 Désactiver le montage automatique Réussite
1.1.24 Désactiver le stockage USB Réussite
1.2 Configurer les mises à jour logicielles
1.2.1 Vérifier que les référentiels du gestionnaire de package sont configurés Réussite Couverte ailleurs
1.2.2 Vérifier que les clés GPG sont configurées Non applicable
1.3 Vérification de l’intégrité du système de fichiers
1.3.1 Vérifier que AIDE est installé Échec Couverte ailleurs
1.3.2 Vérifier que l’intégrité du système de fichiers est régulièrement contrôlée Échec Couverte ailleurs
1.4 Paramètres de démarrage sécurisé
1.4.1 Vérifier que les autorisations définies sur la configuration du bootloader ne sont pas remplacées Échec
1.4.2 Vérifier que le mot de passe du bootloader est défini Échec Non applicable
1.4.3 Vérifier que les autorisations sur la configuration du chargeur de démarrage sont configurées. Échec
1.4.4 Garantir l’authentification requise pour le mode mono-utilisateur Échec Non applicable
1.5 Renforcement supplémentaire des processus
1.5.1 Vérifier que la prise en charge XD/NX est activée Non applicable
1.5.2 Vérifier que la distribution aléatoire de l’espace d’adressage (ASLR, Address Space Layout Randomization) est activée Réussite
1.5.3 Vérifier que la préliaison est désactivée Réussite
1.5.4 Vérifier que les vidages de cœur sont limités Réussite
1.6 Contrôle d’accès obligatoire
1.6.1 Configurer AppArmor
1.6.1.1 Vérifier que AppArmor est installé Réussite
1.6.1.2 Vérifier que AppArmor est activé dans la configuration du bootloader Échec Impact opérationnel potentiel
1.6.1.3 Vérifier que tous les profils AppArmor sont en mode Application ou Plainte Réussite
1.7 Bannières d’avertissement de ligne de commande
1.7.1 Vérifier que le message du jour est correctement configuré Réussite
1.7.2 Vérifier que des autorisations sont configurées sur /etc/issue.net Réussite
1.7.3 Vérifier que des autorisations sont configurées sur /etc/issue Réussite
1.7.4 Vérifier que les autorisations sont configurées sur /etc/motd Réussite
1.7.5 Vérifier que la bannière d’avertissement de connexion à distance est correctement configurée Réussite
1.7.6 Vérifier que la bannière d’avertissement de connexion locale est correctement configurée Réussite
1.8 Gestionnaire d’affichage GNOME
1.8.2 Vérifier que la bannière d’avertissement GDM est configurée Réussite
1.8.3 Vérifier que disable-user-list est activé Réussite
1.8.4 Vérifier que XDCMP n’est pas activé Réussite
1,9 Vérifier que les mises à jour, les correctifs et les logiciels de sécurité supplémentaires sont installés Réussite
2 Services
2.1 Services à usage spécial
2.1.1 Synchronisation de l’heure
2.1.1.1 Vérifier que la synchronisation de l’heure est utilisée Réussite
2.1.1.2 Vérifier que systemd-timesyncd est configuré Non applicable AKS utilise ntpd pour la synchronisation de l’heure
2.1.1.3 Vérifier que chrony est configuré Échec Couverte ailleurs
2.1.1.4 Vérifier que ntp est configuré Réussite
2.1.2 Vérifier que le système de fenêtre X n’est pas installé Réussite
2.1.3 Vérifier que le serveur Avahi n’est pas installé Réussite
2.1.4 Vérifier que CUPS n’est pas installé Réussite
2.1.5 Vérifier que le serveur DHCP n’est pas installé Réussite
2.1.6 Vérifier que le serveur LDAP n’est pas installé Réussite
2.1.7 Vérifier que NFS n’est pas installé Réussite
2.1.8 Vérifier que le serveur DNS n’est pas installé Réussite
2.1.9 Vérifier que le serveur FTP n’est pas installé Réussite
2.1.10 Vérifier que le serveur HTTP n’est pas installé Réussite
2.1.11 Vérifier que les serveurs IMAP et POP3 ne sont pas installés Réussite
2.1.12 Vérifier que Samba n’est pas installé Réussite
2.1.13 Vérifier que le serveur proxy HTTP n’est pas installé Réussite
2.1.14 Vérifier que le serveur SNMP n’est pas installé Réussite
2.1.15 Vérifier que l’agent de transfert de courrier est configuré pour le mode local uniquement Réussite
2.1.16 Vérifier que le service rsync n’est pas installé Échec
2.1.17 Vérifier que le serveur NIS n’est pas installé Réussite
2,2 Clients de service
2.2.1 Vérifier que le client NIS n’est pas installé Réussite
2.2.2 Vérifier que le client rsh n’est pas installé Réussite
2.2.3 Vérifier que le client de communication n’est pas installé Réussite
2.2.4 Vérifier que le client telnet n’est pas installé Échec
2.2.5 Vérifier que le client LDAP n’est pas installé Réussite
2.2.6 Vérifier que RPC n’est pas installé Échec Impact opérationnel potentiel
2.3 Vérification que les services non essentiels sont supprimés ou masqués Réussite
3 Configuration réseau
3.1 Désactivation des protocoles et appareils réseau inutilisés
3.1.2 Vérifier que les interfaces sans fil sont désactivées Réussite
3.2 Paramètres réseau (hôte uniquement)
3.2.1 Vérifier que l’envoi de redirection de paquets est désactivé Réussite
3.2.2 Vérifier que le transfert IP est désactivé Échec Non applicable
3.3 Paramètres réseau (hôte et routeur)
3.3.1 Vérifier que les paquets acheminés par la source ne sont pas acceptés Réussite
3.3.2 Vérifier que les redirections ICMP ne sont pas acceptées Réussite
3.3.3 Vérifier que les redirections ICMP sécurisées ne sont pas acceptées Réussite
3.3.4 Vérifier que les paquets suspects sont consignés dans un journal Réussite
3.3.5 Vérifier que les demandes ICMP de diffusion sont ignorées Réussite
3.3.6 Vérifier que les réponses ICMP erronées sont ignorées Réussite
3.3.7 Vérifier que le filtrage par chemin inverse est activé Réussite
3.3.8 Vérifier que les cookies SYN TCP sont activés Réussite
3.3.9 Vérifier que les annonces de routeur IPv6 ne sont pas acceptées Réussite
3.4 Protocoles réseau rares
3,5 Configuration du pare-feu
3.5.1 Configurer UncomplicatedFirewall
3.5.1.1 Vérifier que ufw est installé Réussite
3.5.1.2 Vérifier que iptables-persistent n’est pas installé avec ufw Réussite
3.5.1.3 Vérifier que le service ufw est activé Échec Couverte ailleurs
3.5.1.4 Vérifier que le trafic de bouclage ufw est configuré Échec Couverte ailleurs
3.5.1.5 Vérifier que les connexions sortantes ufw sont configurées Non applicable Couverte ailleurs
3.5.1.6 Vérifier qu’il existe des règles de pare-feu ufw pour tous les ports ouverts Non applicable Couverte ailleurs
3.5.1.7 Vérifier la stratégie de pare-feu Refus par défaut de ufw Échec Couverte ailleurs
3.5.2 Configurer nftables
3.5.2.1 Vérifier que nftables est installé Échec Couverte ailleurs
3.5.2.2 Vérifier que ufw est désinstallé ou désactivé avec nftables Échec Couverte ailleurs
3.5.2.3 Vérifier que les tables iptables sont vidées avec les tables nftables Non applicable Couverte ailleurs
3.5.2.4 Vérifier qu’il existe une table nftables Échec Couverte ailleurs
3.5.2.5 Vérifier qu’il existe des chaînes de base nftables Échec Couverte ailleurs
3.5.2.6 Vérifier que le trafic de bouclage nftables est configuré Échec Couverte ailleurs
3.5.2.7 Vérifier que les connexions sortantes et établies nftables sont configurées Non applicable Couverte ailleurs
3.5.2.8 Vérifier la stratégie de pare-feu Refus par défaut de nftables Échec Couverte ailleurs
3.5.2.9 Vérifier que le service nftables est activé Échec Couverte ailleurs
3.5.2.10 Vérifier que les règles nftables sont permanentes Échec Couverte ailleurs
3.5.3 Configurer iptables
3.5.3.1 Configurer les logiciels iptables
3.5.3.1.1 Vérifier que les packages iptables sont installés Échec Couverte ailleurs
3.5.3.1.2 Vérifier que nftables n’est pas installé avec iptables Réussite
3.5.3.1.3 Vérifier que ufw est désinstallé ou désactivé avec iptables Échec Couverte ailleurs
3.5.3.2 Configurer iptables IPv4
3.5.3.2.1 Vérifier la stratégie de pare-feu Refus par défaut de iptables Échec Couverte ailleurs
3.5.3.2.2 Vérifier que le trafic de bouclage iptables est configuré Échec Non applicable
3.5.3.2.3 Vérifier que les connexions sortantes et établies iptables sont configurées Non applicable
3.5.3.2.4 Vérifier qu’il existe des règles de pare-feu iptables pour tous les ports ouverts Échec Impact opérationnel potentiel
3.5.3.3 Configurer ip6tables IPv6
3.5.3.3.1 Vérifier la stratégie de pare-feu Refus par défaut de ip6tables Échec Couverte ailleurs
3.5.3.3.2 Vérifier que le trafic de bouclage ip6tables est configuré Échec Couverte ailleurs
3.5.3.3.3 Vérifier que les connexions sortantes et établies ip6tables sont configurées Non applicable Couverte ailleurs
3.5.3.3.4 Vérifier qu’il existe des règles de pare-feu ip6tables pour tous les ports ouverts Échec Couverte ailleurs
4 Journalisation et audit
4,1 Configurer la comptabilité système (auditd)
4.1.1.2 Vérifier que l’audit est activé
4.1.2 Configurer la rétention de données
4,2 Configuration de la journalisation
4.2.1 Configurer rsyslog
4.2.1.1 Vérifier que rsyslog est installé Réussite
4.2.1.2 Vérifier que le service rsyslog est activé Réussite
4.2.1.3 Vérifier que la journalisation est configurée Réussite
4.2.1.4 Vérifier que les autorisations de fichier par défaut rsyslog sont configurées Réussite
4.2.1.5 Vérifier que rsyslog est configuré pour envoyer des journaux à un hôte de journal distant Échec Couverte ailleurs
4.2.1.6 Vérifier que les messages rsyslog distants ne sont acceptés que sur les hôtes de journal désignés Non applicable
4.2.2 Configurer journald
4.2.2.1 Vérifier que journald est configuré pour envoyer des journaux à rsyslog Réussite
4.2.2.2 Vérifier journald est configuré pour compresser les fichiers journaux volumineux Échec
4.2.2.3 Vérifier que journald est configuré pour écrire des fichiers journaux sur un disque persistant Réussite
4.2.3 Vérifier que les autorisations sont configurées sur tous les fichiers journaux Échec
4.3 Vérification que logrotate est configuré Réussite
4.4 Vérification que logrotate affecte les autorisations appropriées Échec
5 Accès, authentification et autorisation
5,1 Configuration de planificateurs de travaux basés sur le temps
5.1.1 Vérifier que le démon cron est activé et en cours d’exécution Réussite
5.1.2 Vérifier que des autorisations sont configurées sur /etc/crontab Réussite
5.1.3 Vérifier que les autorisations sont configurées sur /etc/cron.hourly Réussite
5.1.4 Vérifier que les autorisations sont configurées sur /etc/cron.daily Réussite
5.1.5 Vérifier que les autorisations sont configurées sur /etc/cron.weekly Réussite
5.1.6 Vérifier que les autorisations sont configurées sur /etc/cron.monthly Réussite
5.1.7 Vérifier que les autorisations sont configurées sur /etc/cron.d Réussite
5.1.8 Vérifier que cron est restreint aux utilisateurs autorisés Échec
5.1.9 Vérifier que at est restreint aux utilisateurs autorisés Échec
5.2 Configuration de sudo
5.2.1 Vérifier que sudo est installé Réussite
5.2.2 Vérifier que les commandes sudo utilisent pty Échec Impact opérationnel potentiel
5.2.3 Vérifier qu’il existe un fichier journal sudo Échec
5.3 Configuration du serveur SSH
5.3.1 Vérifier que les autorisations sont configurées sur /etc/ssh/sshd_config Réussite
5.3.2 Vérifier que les autorisations sont configurées sur les fichiers de clé d’hôte privé SSH Réussite
5.3.3 Vérifier que les autorisations sont configurées sur les fichiers de clé d’hôte public SSH Réussite
5.3.4 Assurez-vous que l’accès SSH est limité. Réussite
5.3.5 Vérifier que SSH LogLevel est approprié Réussite
5.3.7 Vérifier que SSH MaxAuthTries est défini sur une valeur inférieure ou égale à 4 Réussite
5.3.8 Vérifier que SSH IgnoreRhosts est activé Réussite
5.3.9 Vérifier que SSH HostbasedAuthentication est désactivé Réussite
5.3.10 Vérifier que la connexion racine SSH est désactivée Réussite
5.3.11 Vérifier que SSH PermitEmptyPasswords est désactivé Réussite
5.3.12 Vérifier que SSH PermitUserEnvironment est désactivé Réussite
5.3.13 Vérifier que seuls des chiffrements forts sont utilisés Réussite
5.3.14 Vérifier que seuls des algorithmes MAC forts sont utilisés Réussite
5.3.15 Vérifier que seuls des algorithmes d’échange de clés forts sont utilisés Réussite
5.3.16 Vérifier que l’intervalle du délai d’inactivité SSH est configuré Échec
5.3.17 Vérifier que SSH LoginGraceTime est défini sur une minute ou moins Réussite
5.3.18 Vérifier que la bannière d’avertissement SSH est configurée Réussite
5.3.19 Vérifier que SSH PAM est activé Réussite
5.3.21 Vérifier que SSH MaxStartups est configuré Échec
5.3.22 Vérifier que SSH MaxSessions est limité Réussite
5.4 Configuration de PAM
5.4.1 Vérifier que les critères de création de mot de passe sont configurés Réussite
5.4.2 Vérifier que le verrouillage est configuré lors d’échecs de tentatives de mot de passe Échec
5.4.3 Vérifier que la réutilisation des mots de passe est limitée Échec
5.4.4 Vérifier que l’algorithme de hachage de mot de passe est SHA-512. Réussite
5.5 Comptes d’utilisateur et environnement
5.5.1 Définir les paramètres de suite de mots de passe mis en mémoire fantôme
5.5.1.1 Vérifier que le nombre minimal de jours entre les changements de mot de passe est configuré Réussite
5.5.1.2 Vérifier que l’expiration du mot de passe est de 365 jours maximum Réussite
5.5.1.3 Vérifier que le délai en jours de l’avertissement d’expiration du mot de passe est de 7 minimum Réussite
5.5.1.4 Vérifier que le verrouillage de mot de passe inactif est de 30 jours ou moins Réussite
5.5.1.5 Vérifier que la date du dernier changement de mot de passe de tous les utilisateurs se trouve dans le passé. Échec
5.5.2 Vérifier que les comptes système sont sécurisés Réussite
5.5.3 Vérifier que le groupe par défaut pour le compte racine est GID 0. Réussite
5.5.4 Vérifier que le masque umask d’utilisateur par défaut est 027 ou plus restrictif Réussite
5.5.5 Vérifier que le délai d’expiration de l’interpréteur de commandes utilisateur par défaut est de 900 secondes maximum Échec
5.6 Vérification que la connexion racine est limitée à la console système Non applicable
5.7 Vérifier que l’accès à la commande su est restreint Échec Impact opérationnel potentiel
6 Maintenance du système
6.1 Autorisations des fichiers système
6.1.2 Vérifier que les autorisations sont configurées sur /etc/passwd Réussite
6.1.3 Vérifier que les autorisations sont configurées sur /etc/passwd- Réussite
6.1.4 Vérifier que les autorisations sont configurées sur /etc/group Réussite
6.1.5 Vérifier que les autorisations sont configurées sur /etc/group- Réussite
6.1.6 Vérifier que les autorisations sont configurées sur /etc/shadow Réussite
6.1.7 Vérifier que les autorisations sont configurées sur /etc/shadow- Réussite
6.1.8 Vérifier que les autorisations sont configurées sur /etc/gshadow Réussite
6.1.9 Vérifier que les autorisations sont configurées sur /etc/gshadow- Réussite
6.1.10 Vérifier qu’il n’existe aucun fichier accessible en écriture Échec Impact opérationnel potentiel
6.1.11 Vérifier qu’il n’existe aucun fichier ni répertoire sans propriétaire Échec Impact opérationnel potentiel
6.1.12 Vérifier qu’il n’existe aucun fichier ni répertoire non groupé Échec Impact opérationnel potentiel
6.1.13 Auditer les exécutables SUID Non applicable
6.1.14 Auditer les exécutables SGID Non applicable
6.2 Paramètres des utilisateurs et des groupes
6.2.1 Vérifier que les comptes présents dans /etc/passwd utilisent des mots de passe mis en mémoire fantôme Réussite
6.2.2 Vérifier que les champs de mot de passe ne sont pas vides Réussite
6.2.3 Vérifier que tous les groupes dans /etc/passwd existent dans /etc/group. Réussite
6.2.4 Vérifier que les répertoires de base de tous les utilisateurs existent. Réussite
6.2.5 Vérifier que les utilisateurs sont propriétaires de leurs répertoires de base. Réussite
6.2.6 Vérifier que les autorisations des répertoires de base des utilisateurs sont de 750 ou sont plus restrictives Réussite
6.2.7 Vérifier que les fichiers dot des utilisateurs ne sont pas accessibles en écriture à un groupe ou à tout le monde Réussite
6.2.8 Vérifier qu’aucun utilisateur n’a de fichiers .netrc. Réussite
6.2.9 Vérifier qu’aucun utilisateur n’a de fichiers .forward. Réussite
6.2.10 Vérifier qu’aucun utilisateur n’a de fichiers .rhosts. Réussite
6.2.11 Vérifier que la racine est le seul compte UID 0. Réussite
6.2.12 Garantir l’intégrité du PATH racine Réussite
6.2.13 Vérifier qu’il n’existe pas de doublons d’UID. Réussite
6.2.14 Vérifier qu’il n’existe pas de doublons de GID. Réussite
6.2.15 Vérifier qu’il n’existe aucun nom d’utilisateur en double. Réussite
6.2.16 Vérifier qu’il n’existe aucun nom de groupe en double Réussite
6.2.17 Vérifier que le groupe fantôme est vide. Réussite

Étapes suivantes

Pour plus d’informations sur la sécurité AKS, consultez les articles suivants :