Container Service for Kubernetes:Durcissement de sécurité MLPS pour ACK

Type d'élément

Nom de l'élément

Description

authentification des identités

Identifiez et authentifiez les utilisateurs qui se connectent. Les identités des utilisateurs doivent être uniques. Les informations d'authentification doivent respecter des exigences de complexité et être modifiées périodiquement.

• Vérifiez l'existence de comptes sans mot de passe.

• Assurez-vous que les ID utilisateur (UID) sont uniques.

• Définissez des exigences de complexité pour les mots de passe.

• Modifiez les mots de passe périodiquement.

• Définissez un intervalle de temps minimal entre les modifications de mot de passe afin d'empêcher les utilisateurs non autorisés de changer plusieurs fois leur mot de passe sur une courte période.

• Restreignez la réutilisation des mots de passe.

• Assurez-vous que root est le seul compte ayant un UID égal à 0.

Sécurisez les connexions de gestion à distance pour empêcher l'interception réseau des informations d'authentification.

• Vérifiez si SSHD est configuré pour appliquer le protocole SSHv2.

• Désactivez les services de connexion à distance non sécurisés, tels que Telnet.

Fournissez une fonctionnalité de gestion des échecs de connexion incluant la terminaison de session, des limites sur le nombre de tentatives de connexion échouées et une déconnexion automatique après un délai d'inactivité.

Vérifiez si une politique de verrouillage en cas d'échec de connexion est configurée, si un délai d'expiration de session inactive est défini et si la déconnexion automatique est activée après un délai d'expiration de connexion.

contrôle d'accès

Attribuez des comptes et des autorisations aux utilisateurs qui se connectent.

• En plus des administrateurs système, attribuez des comptes aux utilisateurs réguliers, aux auditeurs et au personnel de sécurité.

• Assurez-vous que le masque de création de fichiers (umask) de l'utilisateur est défini sur 027 ou une valeur plus restrictive.

• Assurez-vous que les autorisations du répertoire personnel de chaque utilisateur sont définies sur 750 ou une valeur plus restrictive.

Renommez ou supprimez les comptes par défaut et modifiez leurs mots de passe par défaut.

• Ne supprimez pas le compte root sous Linux. Vérifiez plutôt si la connexion SSH directe en tant qu'utilisateur root est désactivée.

• Désactivez la connexion (non-login) pour les comptes système et de base de données par défaut autres que root.

• Assurez-vous qu'aucun mot de passe faible n'existe et que la vérification de la ligne de base des mots de passe faibles correspondante est réussie.

La granularité du contrôle d'accès se situe au niveau de l'utilisateur ou du processus pour les sujets, et au niveau du fichier ou de la table de base de données pour les objets.

Vérifiez si les autorisations des fichiers importants, tels que les fichiers de configuration du contrôle d'accès et les fichiers de configuration des autorisations utilisateur, sont définies avec une granularité au niveau de l'utilisateur.

Supprimez ou désactivez rapidement les comptes redondants et expirés. Évitez d'utiliser des comptes partagés.

• Désactivez la connexion (non-login) pour les comptes système et de base de données par défaut autres que root.

• Verrouillez ou supprimez les comptes shutdown et halt.

Accordez aux utilisateurs administratifs les autorisations minimales requises et séparez les autorisations des utilisateurs administratifs.

• Assurez-vous que l'accès à la commande su est restreint.

• Vérifiez le fichier /etc/sudoers pour identifier les utilisateurs disposant d'autorisations sudo. Configurez les autorisations sudo pour les utilisateurs non-root selon vos besoins. N'accordez pas d'autorisations ALL à un utilisateur autre que les administrateurs.

Une entité autorisée doit configurer la politique de contrôle d'accès. La politique doit spécifier les règles d'accès des sujets aux objets.

• Assurez-vous que les autorisations du répertoire personnel de chaque utilisateur sont définies sur 750 ou une valeur plus restrictive.

• Réattribuez la propriété des fichiers ou dossiers orphelins à un utilisateur actif du système selon les besoins.

• Définissez les autorisations et la propriété des fichiers de clé publique hôte SSH.

• Définissez les autorisations et la propriété des fichiers de clé privée hôte SSH.

audit de sécurité

Protégez les enregistrements d'audit et sauvegardez-les régulièrement pour éviter toute suppression, modification ou écrasement accidentel.

Vérifiez la taille du fichier auditd et la configuration de la rotation des journaux, ou vérifiez si les journaux sont sauvegardés sur un serveur de journaux. Si la correction automatique échoue, vous devez d'abord résoudre l'élément de vérification relatif à l'activation de la fonctionnalité d'audit de sécurité.

Les enregistrements d'audit doivent inclure la date et l'heure de l'événement, l'utilisateur, le type d'événement, le résultat de l'événement (succès ou échec) et d'autres informations liées à l'audit.

Cette exigence est satisfaite si la fonctionnalité d'audit de sécurité est activée.

Activez la fonctionnalité d'audit de sécurité. L'audit doit couvrir chaque utilisateur et enregistrer les comportements utilisateur importants ainsi que les événements de sécurité.

• Activez le service auditd.

• Activez le service rsyslog ou syslog-ng.

• Assurez-vous que les événements de suppression de fichiers par les utilisateurs sont collectés.

• Assurez-vous que les modifications apportées à l'étendue de l'administration système (sudoers) sont collectées.

• Assurez-vous que les événements liés à la modification des informations utilisateur ou de groupe sont collectés. Si vous utilisez un service de collecte de journaux tiers, vous pouvez fournir votre propre preuve et ignorer cet élément.

Protégez les processus d'audit contre les interruptions inattendues.

Le processus auditd est le démon pour le processus d'audit, et le processus syslogd est le démon pour le processus syslog. Vérifiez si ces processus système sont en cours d'exécution.

prévention des intrusions

Découvrez les vulnérabilités connues et corrigez-les rapidement après des tests et une évaluation approfondis.

Les fonctionnalités de détection et de correction des vulnérabilités de Security Center satisfont à cette exigence. Si vous utilisez d'autres méthodes, vous pouvez fournir une preuve et ignorer cet élément.

Suivez le principe d'installation minimale et installez uniquement les composants et applications requis.

• Pour Alibaba Cloud Linux 3 : Désinstallez les logiciels tels que avahi-daemon, Bluetooth, firstboot, Kdump, wdaemon, wpa_supplicant et ypbind.

• Pour Alibaba Cloud Linux 2 : Désinstallez les logiciels tels que NetworkManager, avahi-daemon, Bluetooth, firstboot, Kdump, wdaemon, wpa_supplicant et ypbind.

Désactivez les services système inutiles, les partages par défaut et les ports à haut risque.

• Désactivez les services système et les services de partage de fichiers inutiles.

• Fermez les ports à haut risque tels que 21, 23, 25, 111, 427 et 631.

• Si vous utilisez une politique de contrôle d'accès stricte pour sécuriser ces services et ports en raison d'exigences particulières, vous pouvez fournir votre propre preuve et ignorer cet élément.

Détectez les intrusions sur les nœuds importants et générez des alertes pour les événements d'intrusion critiques.

Les fonctionnalités de détection d'intrusion et d'alerte de Security Center peuvent satisfaire à cette exigence. Si vous utilisez d'autres méthodes de détection et d'alerte, vous pouvez fournir votre propre preuve et ignorer cet élément.

Restreignez les terminaux de gestion à distance par type de connexion ou plage d'adresses réseau.

• Pour Alibaba Cloud Linux 3 :

  1. En fonction des terminaux que vous souhaitez autoriser à se connecter, modifiez le fichier /etc/ssh/sshd_config.

  2. Définissez le paramètre AllowUsers <user>@<host> selon vos besoins.

     Remarque

     <user> spécifie le nom d'utilisateur autorisé à se connecter au serveur. <host> spécifie l'adresse IP du serveur. Remplacez-les selon vos besoins.

  3. Après la modification, appuyez sur Esc, saisissez :wq et appuyez sur Entrée pour enregistrer et quitter.

  4. Exécutez la commande sudo systemctl restart sshd pour redémarrer le service sshd.

• Pour Alibaba Cloud Linux 2 :

  • Le fichier /etc/hosts.allow spécifie les adresses IP autorisées à se connecter à l'hôte. Il ne doit pas être défini sur ALL:ALL.

  • Le fichier /etc/hosts.deny spécifie les adresses IP interdites de se connecter à l'hôte. Il doit être défini sur ALL:ALL pour refuser toutes les connexions par défaut.

  Ces fichiers fonctionnent conjointement, et la règle /etc/hosts.allow est traitée en premier. Si vous avez mis en œuvre cette restriction par d'autres méthodes, telles que des groupes de sécurité ou des pare-feu, vous pouvez fournir votre propre preuve et ignorer cet élément.

prévention des logiciels malveillants

• Pour Alibaba Cloud Linux 3 : Utilisez des mesures techniques pour vous protéger contre les attaques de logiciels malveillants, ou utilisez un mécanisme de vérification de confiance basé sur l'immunité active pour identifier et bloquer rapidement les intrusions et les comportements viraux.

• Pour Alibaba Cloud Linux 2 : Installez un logiciel anti-logiciels malveillants et mettez à jour rapidement la version du logiciel et la base de données des signatures de logiciels malveillants.

Vérifiez si Security Center est installé et utilisé. Si vous avez installé un autre logiciel anti-logiciels malveillants, vous pouvez fournir votre propre preuve et ignorer cet élément.