Container Service for Kubernetes：Petunjuk penguatan keamanan ACK MLPS 2.0

Periksa tipe item

Periksa nama item

Konten pemeriksaan

Otentikasi identitas

Identitas pengguna yang masuk harus diautentikasi dan unik. Informasi autentikasi harus memenuhi persyaratan kompleksitas dan diubah secara berkala.

• Periksa akun dengan kata sandi kosong.

• Pastikan ID pengguna (UID) bersifat unik.

• Tetapkan persyaratan kompleksitas kata sandi.

• Ubah kata sandi secara berkala.

• Tetapkan interval waktu minimum untuk perubahan kata sandi guna mencegah pengguna tidak sah mengubah kata sandi beberapa kali dalam periode singkat.

• Batasi penggunaan ulang kata sandi.

• Pastikan root adalah satu-satunya akun dengan UID 0.

Langkah-langkah yang diperlukan harus diambil untuk mencegah informasi autentikasi dicegat selama transmisi jaringan saat server dikelola dari jarak jauh.

• Periksa apakah SSHD dikonfigurasi hanya menggunakan protokol SSHv2.

• Nonaktifkan layanan koneksi jarak jauh yang tidak aman seperti Telnet.

Fitur penanganan kegagalan masuk harus diimplementasikan. Langkah-langkah seperti penghentian sesi, batasan jumlah percobaan masuk yang gagal, dan logout otomatis saat koneksi timeout harus dikonfigurasi dan diaktifkan.

Periksa apakah kebijakan penguncian akibat kegagalan masuk telah dikonfigurasi, timeout sesi idle telah ditetapkan, dan klien dikonfigurasi untuk memutus koneksi setelah timeout masuk.

Kontrol akses

Tetapkan akun dan izin kepada pengguna yang masuk.

• Selain administrator sistem, akun harus ditetapkan untuk pengguna biasa, auditor, dan administrator keamanan.

• Pastikan umask pengguna diatur ke 027 atau lebih ketat.

• Pastikan izin direktori home setiap pengguna diatur ke 750 atau lebih ketat.

Ubah nama atau hapus akun default dan ubah token keamanan default-nya.

• Akun root di Linux tidak dapat dihapus. Sebagai gantinya, periksa apakah masuk langsung sebagai pengguna root melalui protokol Secure Shell (SSH) dinonaktifkan.

• Nonaktifkan masuk untuk akun sistem default dan akun database selain root.

• Pastikan tidak ada kata sandi lemah dan pemeriksaan baseline kata sandi lemah berhasil.

Granularitas kontrol akses harus berada pada tingkat pengguna atau proses untuk entitas dan pada tingkat file atau tabel database untuk objek.

Periksa apakah izin file penting, seperti file konfigurasi kontrol akses dan izin pengguna, memiliki granularitas tingkat pengguna.

Segera hapus atau nonaktifkan akun yang berlebihan atau kedaluwarsa. Hindari penggunaan akun bersama.

• Nonaktifkan masuk untuk akun sistem default dan akun database selain root.

• Kunci atau hapus akun shutdown dan halt.

Berikan pengguna administratif hak istimewa minimal yang diperlukan dan gunakan pemisahan izin.

• Pastikan akses ke perintah `su` dibatasi.

• Periksa file /etc/sudoers untuk pengguna dengan izin `sudo`. Jika diperlukan, konfigurasikan izin `sudo` untuk pengguna selain root. Jangan berikan izin `ALL` kepada pengguna mana pun kecuali administrator.

Entitas yang berwenang harus mengonfigurasi kebijakan kontrol akses, yang menentukan aturan akses entitas ke objek.

• Pastikan izin direktori home setiap pengguna diatur ke 750 atau lebih ketat.

• Jika diperlukan, atur ulang kepemilikan file atau folder tanpa pemilik menjadi pengguna aktif di sistem.

• Tetapkan izin dan kepemilikan file kunci publik host SSH.

• Tetapkan izin dan kepemilikan file kunci privat host SSH.

Audit keamanan

Catatan audit harus dilindungi. Catatan tersebut harus dicadangkan secara berkala untuk mencegah penghapusan, modifikasi, atau penimpaan yang tidak disengaja.

Periksa ukuran file `auditd`, konfigurasi pemisahan log, atau pencadangan ke server log. Jika perbaikan otomatis gagal, Anda harus terlebih dahulu memperbaiki item pemeriksaan untuk mengaktifkan fitur audit keamanan.

Catatan audit harus mencakup tanggal dan waktu event, pengguna, jenis event, hasil event (berhasil atau gagal), dan informasi terkait audit lainnya.

Item ini terpenuhi jika item pemeriksaan untuk mengaktifkan fitur audit keamanan terpenuhi.

Fitur audit keamanan harus diaktifkan. Audit harus mencakup setiap pengguna dan mencatat perilaku pengguna penting serta event keamanan.

• Aktifkan layanan auditd.

• Aktifkan layanan rsyslog atau syslog-ng.

• Pastikan event penghapusan file oleh pengguna dikumpulkan.

• Pastikan perubahan pada cakupan administrasi sistem (sudoers) dikumpulkan.

• Pastikan event terkait modifikasi informasi pengguna atau grup dikumpulkan. Jika Anda menggunakan layanan koleksi log pihak ketiga, Anda dapat memberikan bukti dan mengabaikan item ini.

Proses audit harus dilindungi dari gangguan yang tidak disengaja.

`auditd` adalah proses daemon untuk proses `audit`, dan `syslogd` adalah proses daemon untuk proses `syslog`. Periksa apakah proses sistem ini sedang berjalan.

Pencegahan intrusi

Kerentanan yang diketahui harus dideteksi. Setelah pengujian dan evaluasi menyeluruh, kerentanan tersebut harus segera dipatch.

Fitur deteksi dan perbaikan kerentanan Pusat Keamanan dapat memenuhi persyaratan ini. Jika Anda menggunakan metode lain, Anda dapat memberikan bukti dan mengabaikan item ini.

Ikuti prinsip instalasi minimal dengan hanya menginstal komponen dan aplikasi yang diperlukan.

• Alibaba Cloud Linux 3: Hapus perangkat lunak seperti avahi-daemon, Bluetooth, firstboot, Kdump, wdaemon, wpa_supplicant, dan ypbind.

• Alibaba Cloud Linux 2: Hapus perangkat lunak seperti NetworkManager, avahi-daemon, Bluetooth, firstboot, Kdump, wdaemon, wpa_supplicant, dan ypbind.

Matikan layanan sistem, share default, dan port yang rentan yang tidak diperlukan.

• Matikan layanan sistem dan layanan berbagi file yang tidak diperlukan.

• Tutup port yang rentan seperti 21, 23, 25, 111, 427, dan 631.

• Jika Anda memiliki persyaratan khusus yang memerlukan kebijakan kontrol akses yang ketat, Anda dapat memberikan bukti dan mengabaikan item ini.

Intrusi pada node penting harus dideteksi, dan peringatan harus diberikan untuk event intrusi kritis.

Fitur pendeteksian intrusi dan peringatan Pusat Keamanan dapat memenuhi persyaratan ini. Jika Anda memiliki metode deteksi dan peringatan lain, Anda dapat memberikan bukti dan mengabaikan item ini.

Batasi terminal manajemen yang dikelola melalui jaringan dengan menetapkan jenis koneksi atau rentang alamat.

• Alibaba Cloud Linux 3:

  1. Edit file /etc/ssh/sshd_config berdasarkan konfigurasi terminal yang digunakan untuk masuk ke server.

  2. Tetapkan parameter AllowUsers <user>@<host> sesuai kebutuhan.

     Catatan

     <user> menentukan nama pengguna untuk masuk ke server. <host> menentukan alamat IP server. Ganti sesuai kebutuhan.

  3. Setelah selesai mengedit, tekan tombol Esc, masukkan :wq, lalu tekan tombol Enter untuk menyimpan file dan keluar.

  4. Jalankan perintah sudo systemctl restart sshd untuk me-restart layanan sshd.

• Alibaba Cloud Linux 2:

  • File /etc/hosts.allow menentukan alamat IP yang diizinkan terhubung ke host. File ini tidak boleh diatur ke ALL:ALL.

  • File /etc/hosts.deny menentukan alamat IP yang dilarang terhubung ke host. File ini harus diatur ke ALL:ALL untuk menolak semua koneksi secara default.

  Kedua file harus digunakan bersama, dan aturan /etc/hosts.allow harus dikonfigurasi terlebih dahulu. Jika Anda menerapkan pembatasan ini menggunakan metode lain, seperti grup keamanan atau firewall, Anda dapat memberikan bukti dan mengabaikan item ini.

Perlindungan malware

• Alibaba Cloud Linux 3: Gunakan langkah teknis untuk melindungi dari serangan malware, atau gunakan mekanisme verifikasi tepercaya berbasis imun aktif untuk segera mendeteksi dan memblokir intrusi serta perilaku virus.

• Alibaba Cloud Linux 2: Instal perangkat lunak anti-malware dan segera perbarui versi perangkat lunak serta basis data signature malware.

Periksa apakah Pusat Keamanan telah diinstal dan digunakan. Jika Anda telah menginstal perangkat lunak anti-malware lain, Anda dapat memberikan bukti dan mengabaikan item ini.