Центр оценки безопасности Интернета (CIS) Azure Linux
Конфигурация операционной системы безопасности, применяемая к узлу контейнеров Linux Для AKS, основана на базовой конфигурации безопасности Linux Azure, которая соответствует тесту CIS. В качестве безопасной службы AKS соответствует стандартам SOC, ISO, PCI DSS и HIPAA. Дополнительные сведения о безопасности узла контейнеров Azure Linux см . в концепциях безопасности кластеров в AKS. Дополнительные сведения о тесте CIS см . в разделе "Центр интернет-безопасности (CIS) Benchmarks. Дополнительные сведения о базовом плане безопасности Azure для Linux см. в разделе Базовые показатели безопасности Linux.
Azure Linux 2.0
Эта операционная система узла контейнеров Linux Azure основана на образе Azure Linux 2.0 со встроенными конфигурациями безопасности.
В рамках оптимизированной для безопасности операционной системы:
- AKS и Azure Linux предоставляют операционную систему, оптимизированную для безопасности, по умолчанию без возможности выбора альтернативной операционной системы.
- Операционная система с усиленной безопасностью разработана специально для AKS и используется только вместе с ней. За пределами платформы AKS данная ОС не поддерживается.
- Ненужные драйверы модуля ядра были отключены в ОС, чтобы уменьшить область атаки.
Рекомендации
В следующей таблице приведены четыре раздела:
- Идентификатор CIS: связанный идентификатор правила с каждым из базовых правил.
- Описание рекомендации. Описание рекомендации, выданной показателем CIS.
- Уровень: L1 или Level 1 рекомендует основные требования к безопасности, которые могут быть настроены в любой системе и не должны вызывать мало или не прерывать работу службы или сократить функциональные возможности.
- Состояние:
- Пройдено — рекомендация была применена.
- Сбой . Рекомендация не была применена.
- N/A . Рекомендация относится к требованиям к разрешениям файла манифеста, которые не относятся к AKS.
- Зависит от среды . Рекомендация применяется в конкретной среде пользователя и не контролируется AKS.
- Эквивалентный элемент управления — рекомендация реализована по-другому.
- Причина.
- Потенциальное влияние операции — рекомендация не была применена, так как она окажет негативное влияние на службу.
- В других местах — рекомендация рассматривается другим элементом управления в облачных вычислениях Azure.
Ниже приведены результаты рекомендаций CIS Для Linux 2.0 Benchmark версии 1.0 на основе правил CIS:
| Идентификатор CIS | Описание рекомендации | Состояние | Причина |
|---|---|---|---|
| 1.1.4 | Отключение автоподключения | Пройдено | |
| 1.1.1.1 | Проверка, что подключение файловой системы cramfs отключено | Пройдено | |
| 1.1.2.1 | Убедитесь, что /tmp является отдельной секцией | Пройдено | |
| 1.1.2.2 | Проверка, что для раздела /tmp установлен параметр nodev | Пройдено | |
| 1.1.2.3 | Проверка, что для раздела /tmp установлен параметр nosuid | Пройдено | |
| 1.1.8.1 | Проверка, что для раздела /dev/shm установлен параметр nodev | Пройдено | |
| 1.1.8.2 | Проверка, что для раздела /dev/shm установлен параметр nosuid | Пройдено | |
| 1.2.1 | Убедитесь, что DNF gpg проверка глобально активируется | Пройдено | |
| 1.2.2 | Убедитесь, что gpg TDNF проверка глобально активируется | Пройдено | |
| 1.5.1 | Убедитесь, что хранилище основного дампа отключено | Пройдено | |
| 1.5.2 | Убедитесь, что отключаются откаты основного дампа | Пройдено | |
| 1.5.3 | Проверка активации случайного распределения адресного пространства (ASLR) | Пройдено | |
| 1.7.1 | Проверка, что предупреждающий баннер локального входа в систему настроен правильно | Пройдено | |
| 1.7.2 | Проверка, что предупреждающий баннер удаленного входа в систему настроен правильно | Пройдено | |
| 1.7.3 | Проверка, что для /etc/motd настроены разрешения | Пройдено | |
| 1.7.4 | Проверка, что настроены разрешения для /etc/issue | Пройдено | |
| 1.7.5 | Проверка, что настроены разрешения для /etc/issue.net | Пройдено | |
| 2.1.1 | Проверка, что используется синхронизация времени | Пройдено | |
| 2.1.2 | Проверка, что настроена хронология | Пройдено | |
| 2.2.1 | Убедитесь, что xinetd не установлен | Пройдено | |
| 2.2.2 | Убедитесь, что xorg-x11-server-common не установлен | Пройдено | |
| 2.2.3 | Убедитесь, что avahi не установлен | Пройдено | |
| 2.2.4 | Убедитесь, что сервер печати не установлен | Пройдено | |
| 2.2.5 | Убедитесь, что dhcp-сервер не установлен | Пройдено | |
| 2.2.6 | Убедитесь, что dns-сервер не установлен | Пройдено | |
| 2.2.7 | Убедитесь, что ftp-клиент не установлен | Пройдено | |
| 2.2.8 | Убедитесь, что ftp-сервер не установлен | Пройдено | |
| 2.2.9 | Убедитесь, что сервер tftp не установлен | Пройдено | |
| 2.2.10 | Убедитесь, что веб-сервер не установлен | Пройдено | |
| 2.2.11 | Убедитесь, что сервер IMAP и POP3 не установлены | Пройдено | |
| 2.2.12 | Убедитесь, что Samba не установлен | Пройдено | |
| 2.2.13 | Убедитесь, что прокси-сервер HTTP не установлен | Пройдено | |
| 2.2.14 | Убедитесь, что net-snmp не установлен или служба snmpd не включена | Пройдено | |
| 2.2.15 | Убедитесь, что сервер NIS не установлен | Пройдено | |
| 2.2.16 | Убедитесь, что telnet-server не установлен | Пройдено | |
| 2.2.17 | Проверка, что агент передачи почты настроен для работы только в локальном режиме | Пройдено | |
| 2.2.18 | Убедитесь, что nfs-utils не установлен или служба nfs-server маскируется | Пройдено | |
| 2.2.19 | Убедитесь, что программа rsync-daemon не установлена или служба rsyncd маскируется | Пройдено | |
| 2.3.1 | Убедитесь, что клиент NIS не установлен | Пройдено | |
| 2.3.2 | Убедитесь, что клиент rsh не установлен | Пройдено | |
| 2.3.3 | Убедитесь, что клиент talk не установлен | Пройдено | |
| 2.3.4 | Убедитесь, что клиент telnet не установлен | Пройдено | |
| 2.3.5 | Убедитесь, что клиент LDAP не установлен | Пройдено | |
| 2.3.6 | Убедитесь, что клиент TFTP не установлен | Пройдено | |
| 3.1.1 | Убедитесь, что IPv6 включен | Пройдено | |
| 3.2.1 | Проверка, что отправка перенаправления пакетов отключена | Пройдено | |
| 3.3.1 | Убедитесь, что исходные маршрутируемые пакеты не принимаются | Пройдено | |
| 3.3.2 | Убедитесь, что перенаправления ICMP не принимаются | Пройдено | |
| 3.3.3 | Убедитесь, что безопасные перенаправления ICMP не принимаются | Пройдено | |
| 3.3.4 | Проверка, что подозрительные пакеты регистрируются | Пройдено | |
| 3.3.5 | Проверка, что широковещательные запросы ICMP игнорируются | Пройдено | |
| 3.3.6 | Проверка, что фиктивные ответы протокола ICMP игнорируются | Пройдено | |
| 3.3.7 | Проверка, что включена фильтрация обратного пути | Пройдено | |
| 3.3.8 | Проверка, что файлы cookie для TCP SYN включены | Пройдено | |
| 3.3.9 | Убедитесь, что объявления маршрутизатора IPv6 не принимаются | Пройдено | |
| 3.4.3.1.1 | Убедитесь, что установлен пакет iptables | Пройдено | |
| 3.4.3.1.2 | Убедитесь, что nftables не установлены с iptables | Пройдено | |
| 3.4.3.1.3 | Убедитесь, что брандмауэр не установлен или маскирован с iptables | Пройдено | |
| 4.2 | Проверка, что logrotate настроен | Пройдено | |
| 4.2.2 | Убедитесь, что все файлы журнала настроены соответствующим образом. | Пройдено | |
| 4.2.1.1 | Проверка, что rsyslog установлен | Пройдено | |
| 4.2.1.2 | Убедитесь, что служба rsyslog включена | Пройдено | |
| 4.2.1.3 | Убедитесь, что разрешения файла по умолчанию rsyslog настроены | Пройдено | |
| 4.2.1.4 | Проверка настройки ведения журнала | Пройдено | |
| 4.2.1.5 | Убедитесь, что rsyslog не настроен для получения журналов от удаленного клиента. | Пройдено | |
| 5.1.1 | Убедитесь, что управляющая программа cron включена | Пройдено | |
| 5.1.2 | Проверка настройки разрешений для /etc/crontab | Пройдено | |
| 5.1.3 | Проверка, что для /etc/cron.hourly настроены разрешения | Пройдено | |
| 5.1.4 | Проверка, что для /etc/cron.daily настроены разрешения | Пройдено | |
| 5.1.5 | Проверка, что для /etc/cron.weekly настроены разрешения | Пройдено | |
| 5.1.6 | Проверка, что для /etc/cron.monthly настроены разрешения | Пройдено | |
| 5.1.7 | Проверка, что для /etc/cron.d настроены разрешения | Пройдено | |
| 5.1.8 | Проверка, что доступ к cron есть только у полномочных пользователей | Пройдено | |
| 5.1.9 | Проверка, что доступ к at есть только у полномочных пользователей | Пройдено | |
| 5.2.1 | Проверка, что в настроены разрешения для /etc/ssh/sshd_config | Пройдено | |
| 5.2.2 | Проверка, что для файлов ключей открытого узла SSH настроены разрешения | Пройдено | |
| 5.2.3 | Проверка, что для файлов ключей открытого узла SSH настроены разрешения | Пройдено | |
| 5.2.4 | Обеспечение ограниченного доступа по протоколу SSH | Пройдено | |
| 5.2.5 | Проверка, что SSH LogLevel подходит | Пройдено | |
| 5.2.6 | MAC, что SSH PAM включен | Пройдено | |
| 5.2.7 | Проверка отключения корневого имени входа SSH | Пройдено | |
| 5.2.8 | Проверка отключения SSH HostbasedAuthentication | Пройдено | |
| 5.2.9 | Проверка отключения SSH PermitEmptyPasswords | Пройдено | |
| 5.2.10 | Проверка отключения PermitUserEnvironment SSH | Пройдено | |
| 5.2.11 | Проверка, что SSH IgnoreRhosts включен | Пройдено | |
| 5.2.12 | Проверка, что используются только надежные шифры | Пройдено | |
| 5.2.13 | Проверка, что используются только надежные алгоритмы MAC | Пройдено | |
| 5.2.14 | Проверка, что используются только надежные алгоритмы обмена ключами | Пройдено | |
| 5.2.15 | Проверка настройки предупреждающего баннера SSH | Пройдено | |
| 5.2.16 | Проверка, что для MaxAuthTries SSH задано значение 4 или меньше | Пройдено | |
| 5.2.17 | Проверка, что SSH MaxStartups настроен | Пройдено | |
| 5.2.18 | Проверка, что для LoginGraceTime SSH задано значение одна минута или меньше | Пройдено | |
| 5.2.19 | Убедитесь, что для SSH MaxSessions задано значение 10 или меньше | Пройдено | |
| 5.2.20 | Проверка настройки интервала тайм-аута простоя SSH | Пройдено | |
| 5.3.1 | Проверка, что sudo установлен | Пройдено | |
| 5.3.2 | Убедитесь, что повторная проверка подлинности для эскалации привилегий не отключена глобально | Пройдено | |
| 5.3.3 | Убедитесь, что время ожидания проверки подлинности sudo настроено правильно | Пройдено | |
| 5.4.1 | Проверка настройки требований для создания пароля | Пройдено | |
| 5.4.2 | Проверка, что настроена блокировка для неудачных попыток ввода пароля | Пройдено | |
| 5.4.3 | Убедитесь, что используется алгоритм хэширования паролей SHA-512. | Пройдено | |
| 5.4.4 | Проверка, что повторное использование пароля ограничено | Пройдено | |
| 5.5.2 | Проверка, что системные учетные записи защищены | Пройдено | |
| 5.5.3 | Убедитесь, что для учетной записи root указана группа по умолчанию с идентификатором GID 0. | Пройдено | |
| 5.5.4 | Проверка, что umask пользователя по умолчанию — 027 или еще строже | Пройдено | |
| 5.5.1.1 | Проверка, что срок действия пароля не превышает 365 дней | Пройдено | |
| 5.5.1.2 | Убедитесь, что настроены минимальные дни между изменениями паролей | Пройдено | |
| 5.5.1.3 | Убедитесь, что срок действия пароля не превышает 7 или более дней. | Пройдено | |
| 5.5.1.4 | Проверка, что неактивная блокировка пароля не более 30 дней | Пройдено | |
| 5.5.1.5 | Убедитесь, что для всех пользователей дата последнего изменения находится в прошлом. | Пройдено | |
| 6.1.1 | Проверка, что для /etc/passwd- настроены разрешения | Пройдено | |
| 6.1.2 | Проверка, что для /etc/passwd- настроены разрешения | Пройдено | |
| 6.1.3 | Проверка, что для /etc/group настроены разрешения | Пройдено | |
| 6.1.4 | Проверка, что для /etc/group- настроены разрешения | Пройдено | |
| 6.1.5 | Проверка, что для /etc/shadow настроены разрешения | Пройдено | |
| 6.1.6 | Проверка, что для /etc/shadow- настроены разрешения | Пройдено | |
| 6.1.7 | Проверка, что для /etc/gshadow настроены разрешения | Пройдено | |
| 6.1.8 | Проверка, что для /etc/gshadow- настроены разрешения | Пройдено | |
| 6.1.9 | Убедитесь, что нет неуправляемых или негруппированных файлов или каталогов | Пройдено | |
| 6.1.10 | Обеспечение защиты файлов и каталогов, доступных для записи | Пройдено | |
| 6.2.1 | Убедитесь, что поля паролей не пусты | Пройдено | |
| 6.2.2 | Убедитесь, что все включенные в файл /etc/passwd группы существуют в файле /etc/group. | Пройдено | |
| 6.2.3 | Убедитесь, что отсутствуют повторяющиеся идентификаторы UID. | Пройдено | |
| 6.2.4 | Убедитесь, что отсутствуют повторяющиеся идентификаторы GID. | Пройдено | |
| 6.2.5 | Убедитесь, что имена пользователей не дублируются. | Пройдено | |
| 6.2.6 | Проверка, что имена групп не дублируются | Пройдено | |
| 6.2.7 | Обеспечение целостности корневого пути | Пройдено | |
| 6.2.8 | Убедитесь, что root является единственной учетной записью с идентификатором UID 0. | Пройдено | |
| 6.2.9 | Убедитесь, что у всех пользователей есть домашние каталоги. | Пройдено | |
| 6.2.10 | Убедитесь, что пользователи имеют собственные каталоги для дома | Пройдено | |
| 6.2.11 | Проверка, что разрешения домашних каталогов пользователей имеют ограничение 750 или более строгое ограничение | Пройдено | |
| 6.2.12 | Убедитесь, что файлы точек пользователей не являются группами или мировыми записываемыми | Пройдено | |
| 6.2.13 | Убедитесь, что файлы .netrc пользователей не являются группами или миром доступными | Пройдено | |
| 6.2.14 | Убедитесь, что у пользователей нет файлов FORWARD. | Пройдено | |
| 6.2.15 | Убедитесь, что у пользователей нет файлов NETRC. | Пройдено | |
| 6.2.16 | Убедитесь, что у пользователей нет файлов RHOSTS. | Пройдено |
Следующие шаги
Дополнительные сведения о безопасности узла контейнеров Linux в Azure см. в следующих статьях: