Container Service for Kubernetes:ACK の MLPS セキュリティ強化

項目タイプ

項目名

説明

身分認証

ログインユーザーを識別し、認証します。ユーザー ID は一意である必要があります。認証情報は複雑性の要件を満たし、定期的に変更する必要があります。

• 空のパスワードを持つアカウントをチェックします。

• ユーザー ID (UID) が一意であることを確認します。

• パスワードの複雑性の要件を設定します。

• パスワードを定期的に変更します。

• 不正なユーザーが短時間でパスワードを複数回変更することを防ぐため、パスワード変更の最小間隔を設定します。

• パスワードの再利用を制限します。

• UID が 0 のアカウントは root のみであることを確認します。

リモート管理接続を保護し、認証情報のネットワーク盗聴を防ぎます。

• SSHD が SSHv2 プロトコルを強制するように設定されているかチェックします。

• Telnet などの安全でないリモート接続サービスを無効にします。

セッションの終了、ログイン試行の失敗回数の制限、タイムアウト後の自動ログアウトなど、ログイン失敗時の処理機能を提供します。

ログイン失敗時のロックアウトポリシーが設定されているか、アイドルセッションのタイムアウトが設定されているか、ログインタイムアウト後の自動切断が有効になっているかを確認します。

アクセス制御

ログインユーザーにアカウントと権限を割り当てます。

• システム管理者に加えて、一般ユーザー、監査人、セキュリティ担当者用のアカウントを割り当てます。

• ユーザーの umask が 027 またはそれより厳しい値に設定されていることを確認してください。

• 各ユーザーのホームディレクトリの権限が 750 またはそれより厳しい値に設定されていることを確認してください。

デフォルトアカウントの名前を変更または削除し、そのデフォルトパスワードを変更します。

• Linux 上の root アカウントは削除せず、代わりに root ユーザーとしての直接 SSH ログインが無効になっているかを確認します。

• ルート以外のデフォルトのシステムアカウントおよびデータベースアカウントのログインを無効 (ログイン不可) にします。

• 弱いパスワードが存在しないこと、および対応する弱いパスワードのベースラインチェックに合格していることを確認します。

アクセス制御の粒度は、サブジェクトに対してはユーザーまたはプロセスレベル、オブジェクトに対してはファイルまたはデータベーステーブルレベルです。

アクセス制御設定ファイルやユーザー権限設定ファイルなどの重要なファイルの権限がユーザーレベルの粒度であるかを確認します。

不要なアカウントと期限切れのアカウントを速やかに削除または無効にします。共有アカウントの使用を避けます。

• ルートを除く、デフォルトのシステムアカウントおよびデータベースアカウントのログインを無効 (非ログイン) にします。

• shutdown アカウントと halt アカウントをロックまたは削除します。

管理ユーザーに必要な最小権限を付与し、管理ユーザーの権限を分離します。

• su コマンドへのアクセスが制限されていることを確認します。

• /etc/sudoers ファイルで sudo 権限を持つユーザーを確認します。必要に応じて、非 root ユーザーに sudo 権限を設定します。管理者以外のユーザーには ALL 権限を付与しないでください。

認可されたエンティティがアクセス制御ポリシーを設定する必要があります。ポリシーには、サブジェクトによるオブジェクトへのアクセスルールを規定する必要があります。

• 各ユーザーのホームディレクトリの権限が 750 またはそれ以上に厳しくなるように設定してください。

• 必要に応じて、孤立したファイルまたはフォルダーの所有権をシステム上のアクティブなユーザーに再設定します。

• SSH ホスト公開鍵ファイルの権限と所有権を設定します。

• SSH ホスト秘密鍵ファイルの権限と所有権を設定します。

セキュリティ監査

監査レコードを保護し、偶発的な削除、変更、または上書きを防ぐために定期的にバックアップします。

auditd ファイルのサイズとログローテーションの設定を確認するか、ログがログサーバーにバックアップされているかを確認します。自動修復が失敗した場合は、まずセキュリティ監査機能を有効にするためのチェック項目を解決する必要があります。

監査レコードには、イベントの日時、ユーザー、イベントタイプ、イベントの結果 (成功または失敗)、およびその他の監査関連情報が含まれている必要があります。

この要件は、セキュリティ監査機能が有効になっていれば満たされます。

セキュリティ監査機能を有効にします。監査はすべてのユーザーを対象とし、重要なユーザーの動作とセキュリティイベントを記録する必要があります。

• auditd サービスを有効にします。

• rsyslog または syslog-ng サービスを有効にします。

• ユーザーによるファイル削除イベントが収集されることを確認します。

• システム管理範囲 (sudoers) への変更が収集されることを確認します。

• ユーザーまたはグループ情報の変更に関連するイベントが収集されることを確認します。サードパーティのログ収集サービスを使用している場合は、独自の証明を提供し、この項目を無視できます。

監査プロセスを予期せぬ中断から保護します。

auditd プロセスは監査プロセスのデーモンであり、syslogd プロセスは syslog プロセスのデーモンです。これらのシステムプロセスが実行中であるかを確認します。

侵入防止

既知の脆弱性を発見し、十分なテストと評価を行った後、タイムリーにパッチを適用します。

Security Center の脆弱性検出および修復機能はこの要件を満たします。他の方法を使用する場合は、証明を提供し、この項目を無視できます。

最小インストールの原則に従い、必要なコンポーネントとアプリケーションのみをインストールします。

• Alibaba Cloud Linux 3 の場合：avahi-daemon、Bluetooth、firstboot、Kdump、wdaemon、wpa_supplicant、ypbind などのソフトウェアをアンインストールします。

• Alibaba Cloud Linux 2 の場合：NetworkManager、avahi-daemon、Bluetooth、firstboot、Kdump、wdaemon、wpa_supplicant、ypbind などのソフトウェアをアンインストールします。

不要なシステムサービス、デフォルトの共有、高リスクポートを無効にします。

• 不要なシステムサービスとファイル共有サービスを無効にします。

• 21、23、25、111、427、631 などの高リスクポートを閉じます。

• 特別な要件のために厳格なアクセス制御ポリシーを使用してこれらのサービスとポートを保護している場合は、独自の証明を提供し、この項目を無視できます。

重要なノードへの侵入を検出し、重大な侵入イベントについてアラートを提供します。

Security Center の侵入検知およびアラート機能はこの要件を満たします。他の検出およびアラート方法を使用する場合は、証明を提供し、この項目を無視できます。

接続タイプまたはネットワークアドレス範囲によってリモート管理端末を制限します。

• Alibaba Cloud Linux 3 の場合：

  1. 接続を許可したい端末に基づいて、/etc/ssh/sshd_config ファイルを編集します。

  2. 必要に応じて AllowUsers <user>@<host> パラメーターを設定します。

     説明

     <user> はサーバーへのログインを許可されるユーザー名を指定します。<host> はサーバーの IP アドレスを指定します。必要に応じてこれらを置き換えてください。

  3. 編集後、Esc キーを押し、:wq と入力して Enter キーを押し、保存して終了します。

  4. sudo systemctl restart sshd コマンドを実行して sshd サービスを再起動します。

• Alibaba Cloud Linux 2 の場合：

  • /etc/hosts.allow ファイルは、ホストへの接続を許可する IP アドレスを指定します。これは ALL:ALL に設定してはいけません。

  • /etc/hosts.deny ファイルは、ホストへの接続を禁止する IP アドレスを指定します。デフォルトですべての接続を拒否するために、ALL:ALL に設定する必要があります。

  これらのファイルは連携して動作し、/etc/hosts.allow のルールが最初に処理されます。セキュリティグループやファイアウォールなど、他の方法でこの制限を実装している場合は、独自の証明を提供し、この項目を無視できます。

マルウェア防止

• Alibaba Cloud Linux 3 の場合：技術的な対策を用いてマルウェア攻撃から保護するか、アクティブイミューンベースの信頼できる検証メカニズムを使用して、侵入やウイルスの動作を速やかに特定し、ブロックします。

• Alibaba Cloud Linux 2 の場合：マルウェア対策ソフトウェアをインストールし、ソフトウェアのバージョンとマルウェア署名データベースを速やかに更新します。

Security Center がインストールされ、使用されているかを確認します。他のマルウェア対策ソフトウェアをインストールしている場合は、独自の証明を提供し、この項目を無視できます。