Container Service for Kubernetes:MLPS security hardening for ACK

Tipo de elemento

Nombre del elemento

Descripción

autenticación de identidad

Identifique y autentique a los usuarios que inician sesión. Las identidades de usuario deben ser únicas. Las credenciales de autenticación deben cumplir con los requisitos de complejidad y cambiarse periódicamente.

• Compruebe si existen cuentas con contraseñas vacías.

• Asegúrese de que los identificadores de usuario (UID) sean únicos.

• Establezca los requisitos de complejidad de las contraseñas.

• Cambie las contraseñas periódicamente.

• Defina un intervalo de tiempo mínimo entre cambios de contraseña. Esto evita que usuarios no autorizados modifiquen la contraseña varias veces en un periodo corto.

• Restrinja la reutilización de contraseñas.

• Asegúrese de que root sea la única cuenta con UID 0.

Proteja las conexiones de administración remota para evitar la interceptación de información de autenticación en la red.

• Compruebe si SSHD está configurado para aplicar el protocolo SSHv2.

• Deshabilite los servicios de conexión remota inseguros, como Telnet.

Proporcione una función de gestión de errores de inicio de sesión. Esta debe incluir la finalización de sesiones, límites en los intentos fallidos y el cierre de sesión automático tras un tiempo de espera.

Compruebe si se configuró una directiva de bloqueo por errores de inicio de sesión. Verifique también si se estableció un tiempo de espera para sesiones inactivas y si se habilitó la desconexión automática tras agotar dicho tiempo.

control de acceso

Asigne cuentas y permisos a los usuarios que inician sesión.

• Además de los administradores del sistema, asigne cuentas para usuarios regulares, auditores y personal de seguridad.

• Asegúrese de que el umask del usuario esté establecido en 027 o sea más restrictivo.

• Asegúrese de que los permisos del directorio principal de cada usuario estén establecidos en 750 o sean más restrictivos.

Cambie el nombre o elimine las cuentas predeterminadas y modifique sus contraseñas predeterminadas.

• No elimine la cuenta root en Linux. En su lugar, compruebe si el inicio de sesión directo por SSH como usuario root está deshabilitado.

• Deshabilite el inicio de sesión (non-login) para las cuentas predeterminadas del sistema y de la base de datos, excepto root.

• Asegúrese de que no existan contraseñas débiles y de que se apruebe la verificación de línea base correspondiente.

La granularidad del control de acceso es a nivel de usuario o proceso para los sujetos, y a nivel de archivo o tabla de base de datos para los objetos.

Compruebe si los permisos de los archivos importantes tienen granularidad a nivel de usuario. Por ejemplo, los archivos de configuración de control de acceso y los archivos de configuración de permisos de usuario.

Elimine o deshabilite rápidamente las cuentas redundantes y expiradas. Evite usar cuentas compartidas.

• Deshabilite el inicio de sesión (non-login) para las cuentas predeterminadas del sistema y de la base de datos, excepto root.

• Bloquee o elimine las cuentas shutdown y halt.

Otorgue a los usuarios administrativos únicamente los permisos mínimos obligatorios y separe dichos permisos.

• Asegúrese de que el acceso al comando su esté restringido.

• Revise el archivo /etc/sudoers para identificar los usuarios con permisos sudo. Configure los permisos sudo para los usuarios que no son root según sea necesario. No otorgue todos los permisos (ALL) a ningún usuario que no sea administrador.

Una entidad autorizada debe configurar la directiva de control de acceso. La directiva debe especificar las reglas de acceso de los sujetos a los objetos.

• Asegúrese de que los permisos del directorio principal de cada usuario estén establecidos en 750 o sean más restrictivos.

• Reasigne la propiedad de los archivos o carpetas huérfanos a un usuario activo del sistema según sea necesario.

• Establezca los permisos y la propiedad de los archivos de clave pública del host SSH.

• Establezca los permisos y la propiedad de los archivos de clave privada del host SSH.

auditoría de seguridad

Proteja los registros de auditoría y realice copias de seguridad periódicas para evitar su eliminación, modificación o sobrescritura accidental.

Compruebe el tamaño del archivo auditd y la configuración de rotación de registros, o bien verifique si los registros se respaldan en un servidor de registros. Si la corrección automática falla, primero debe resolver el elemento de verificación para habilitar la función de auditoría de seguridad.

Los registros de auditoría deben incluir la fecha y hora del evento, el usuario, el tipo de evento, el resultado (exitoso o con errores) y otra información relacionada con la auditoría.

Este requisito se cumple cuando la función de auditoría de seguridad está habilitada.

Habilite la función de auditoría de seguridad. La auditoría debe abarcar a todos los usuarios y registrar comportamientos importantes, así como eventos de seguridad.

• Habilite el servicio auditd.

• Habilite el servicio rsyslog o syslog-ng.

• Asegúrese de que se recopilen los eventos de eliminación de archivos por parte de los usuarios.

• Asegúrese de que se recopilen los cambios en el alcance de la administración del sistema (sudoers).

• Asegúrese de que se recopilen los eventos relacionados con la modificación de información de usuarios o grupos. Si utiliza un servicio de recopilación de registros de terceros, puede proporcionar su propia evidencia e ignorar este elemento.

Proteja los procesos de auditoría contra interrupciones inesperadas.

El proceso auditd es el daemon del proceso de auditoría, y el proceso syslogd es el daemon del proceso syslog. Compruebe si estos procesos del sistema se están ejecutando.

prevención de intrusiones

Detecte vulnerabilidades conocidas y aplique parches de manera oportuna tras realizar pruebas y evaluaciones exhaustivas.

Las funciones de detección y corrección de vulnerabilidades de Security Center cumplen con este requisito. Si utiliza otros métodos, puede proporcionar evidencia e ignorar este elemento.

Siga el principio de instalación mínima e instale únicamente los componentes y aplicaciones obligatorios.

• Para Alibaba Cloud Linux 3: desinstale software como avahi-daemon, Bluetooth, firstboot, Kdump, wdaemon, wpa_supplicant y ypbind.

• Para Alibaba Cloud Linux 2: desinstale software como NetworkManager, avahi-daemon, Bluetooth, firstboot, Kdump, wdaemon, wpa_supplicant y ypbind.

Deshabilite los servicios del sistema innecesarios, los recursos compartidos predeterminados y los puertos de alto riesgo.

• Deshabilite los servicios del sistema y los servicios para compartir archivos que no sean necesarios.

• Cierre los puertos de alto riesgo como 21, 23, 25, 111, 427 y 631.

• Si protege estos servicios y puertos mediante una directiva de control de acceso estricta debido a requisitos especiales, puede proporcionar su propia evidencia e ignorar este elemento.

Detecte intrusiones en nodos importantes y genere alertas para eventos de intrusión críticos.

Las funciones de detección de intrusiones y alertas de Security Center pueden satisfacer este requisito. Si utiliza otros métodos de detección y alerta, puede proporcionar su propia evidencia e ignorar este elemento.

Restrinja los terminales de administración remota por tipo de conexión o por rango de direcciones de red.

• Para Alibaba Cloud Linux 3:

  1. Edite el archivo /etc/ssh/sshd_config según los terminales a los que desea permitir la conexión.

  2. Establezca el parámetro AllowUsers <user>@<host> según sea necesario.

     Nota

     <user> especifica el nombre de usuario autorizado para iniciar sesión en el servidor. <host> especifica la dirección IP del servidor. Sustitúyalos según sea necesario.

  3. Después de editar, presione Esc, introduzca :wq y presione Entrar para guardar y salir.

  4. Ejecute el comando sudo systemctl restart sshd para reiniciar el servicio sshd.

• Para Alibaba Cloud Linux 2:

  • El archivo /etc/hosts.allow especifica las direcciones IP autorizadas para conectarse al host. No debe establecerse en ALL:ALL.

  • El archivo /etc/hosts.deny especifica las direcciones IP que tienen prohibido conectarse al host. Debe establecerse en ALL:ALL para denegar todas las conexiones de forma predeterminada.

  Estos archivos funcionan en conjunto, y la regla de /etc/hosts.allow se procesa primero. Si implementó esta restricción mediante otros métodos, como security groups o firewalls, puede proporcionar su propia evidencia e ignorar este elemento.

prevención de malware

• Para Alibaba Cloud Linux 3: utilice medidas técnicas para protegerse contra ataques de malware, o bien emplee un mecanismo de verificación de confianza basado en inmunidad activa para identificar y bloquear rápidamente intrusiones y comportamientos virales.

• Para Alibaba Cloud Linux 2: instale software antimalware y actualice oportunamente la versión del software y la base de datos de firmas de malware.

Compruebe si Security Center está instalado y en uso. Si instaló otro software antimalware, puede proporcionar su propia evidencia e ignorar este elemento.