Container Service for Kubernetes:MLPS security hardening for ACK

Tipo de item

Nome do item

Descrição

autenticação de identidade

Identificar e autenticar usuários de login. As identidades dos usuários devem ser exclusivas. As credenciais de autenticação devem atender aos requisitos de complexidade e ser alteradas periodicamente.

• Verificar contas com senhas em branco.

• Garantir que os IDs de usuário (UIDs) sejam exclusivos.

• Defina requisitos de complexidade de senha.

• Alterar senhas periodicamente.

• Defina um intervalo de tempo mínimo para alterações de senha, impedindo que usuários não autorizados alterem a senha várias vezes em um curto período.

• Restringir a reutilização de senhas.

• Garantir que o root seja a única conta com UID 0.

Proteger conexões de gerenciamento remoto para evitar a interceptação de informações de autenticação pela rede.

• Verificar se o SSHD está configurado para impor o protocolo SSH.

• Desative services de conexão remota inseguros, como o Telnet.

Fornecer um recurso de tratamento de falha de login que inclua encerramento de sessão, limites para tentativas de login com falha e logout automático após tempo limite.

Verificar se há uma política de bloqueio por falha de login configurada, se um tempo limite de sessão ociosa está definido e se a desconexão automática está ativada após o tempo limite de login.

controle de acesso

Atribuir contas e permissões aos usuários de login.

• Além dos administradores do sistema, atribuir contas para usuários regulares, auditores e equipe de segurança.

• Garantir que o umask do usuário esteja definido como 027 ou mais restritivo.

• Garantir que as permissões do diretório home de cada usuário estejam definidas como 750 ou mais restritivas.

Renomeie ou exclua contas padrão e alterar suas senhas padrão.

• Não exclua a conta root no Linux. Em vez disso, verifique se o login SSH direto como usuário root está desativado.

• Desativar o login (non-login) para contas padrão do sistema e do banco de dados, exceto o root.

• Garantir que não existam senhas fracas e que a verificação de linha de base de senhas fracas correspondente seja aprovada.

A granularidade do controle de acesso deve estar no nível de usuário ou processo para sujeitos, e no nível de arquivo ou tabela de banco de dados para objetos.

Verificar se as permissões de arquivos importantes, como arquivos de configuração de controle de acesso e arquivos de configuração de permissões de usuário, possuem granularidade no nível de usuário.

Exclua ou desative prontamente contas redundantes e expiradas. Evite o uso de contas compartilhadas.

• Desativar o login (non-login) para contas padrão do sistema e do banco de dados, exceto o root.

• Bloqueie ou exclua as contas shutdown e halt.

Conceder aos usuários administrativos apenas as permissões mínimas necessárias e separar as permissões desses usuários.

• Garantir que o acesso ao comando su seja restrito.

• Verificar o arquivo /etc/sudoers em busca de usuários com permissões sudo. Configure as permissões sudo para usuários não root conforme necessário. Não conceda permissões ALL a nenhum usuário, exceto administradores.

Uma entidade autorizada deve configurar a política de controle de acesso. Especifique as regras para o acesso de sujeitos a objetos.

• Garantir que as permissões do diretório home de cada usuário estejam definidas como 750 ou mais restritivas.

• Redefinir a propriedade de arquivos ou pastas órfãos para um usuário ativo no sistema, conforme necessário.

• Defina as permissões e a propriedade dos arquivos de chave pública do host SSH.

• Defina as permissões e a propriedade dos arquivos de chave privada do host SSH.

auditoria de segurança

Proteger os registros de auditoria e fazer backup regularmente para evitar exclusão, modificação ou sobrescrita acidental.

Verificar o tamanho do arquivo auditd e a configuração de rotação de logs, ou verificar se os logs têm backup em um servidor de logs. Se a correção automática falhar, resolva primeiro o item de verificação para ativar o recurso de auditoria de segurança.

Os registros de auditoria devem incluir a data e hora do evento, usuário, tipo de evento, resultado do evento (sucesso ou falha) e outras informações relacionadas à auditoria.

Este requisito é atendido se o recurso de auditoria de segurança estiver ativado.

Ative o recurso de auditoria de segurança. A auditoria deve abranger todos os usuários e registrar comportamentos importantes dos usuários e eventos de segurança.

• Ative o service auditd.

• Ative o service rsyslog ou syslog-ng.

• Garantir que os eventos de exclusão de arquivos pelos usuários sejam coletados.

• Garantir que as alterações no escopo de administração do sistema (sudoers) sejam coletadas.

• Garantir que os eventos relacionados à modificação de informações de usuários ou grupos sejam coletados. Se você usar um service de coleta de logs de terceiros, pode fornecer sua própria comprovação e ignorar este item.

Proteger os processos de auditoria contra interrupções inesperadas.

O processo auditd é o daemon do processo de auditoria, e o processo syslogd é o daemon do processo syslog. Verifique se esses processos do sistema estão em execução.

prevenção de intrusões

Descobrir vulnerabilidades conhecidas e corrigi-las em tempo hábil, após testes e avaliações rigorosos.

Os recursos de detecção e correção de vulnerabilidades do Security Center atendem a este requisito. Se você usar outros métodos, pode fornecer comprovação e ignorar este item.

Seguir o princípio de instalação mínima e instale apenas os componentes e aplicativos necessários.

• Para o Alibaba Cloud Linux 3: Desinstale softwares como avahi-daemon, Bluetooth, firstboot, Kdump, wdaemon, wpa_supplicant e ypbind.

• Para o Alibaba Cloud Linux 2: Desinstale softwares como NetworkManager, avahi-daemon, Bluetooth, firstboot, Kdump, wdaemon, wpa_supplicant e ypbind.

Desative services de sistema desnecessários, compartilhamentos padrão e portas de alto risco.

• Desative services de sistema e services de compartilhamento de arquivos desnecessários.

• Fechar portas de alto risco, como 21, 23, 25, 111, 427 e 631.

• Se você usar uma política de controle de acesso rigorosa para proteger esses services e portas devido a requisitos especiais, pode fornecer sua própria comprovação e ignorar este item.

Detectar intrusões em nós importantes e fornecer alertas para eventos de intrusão críticos.

Os recursos de detecção de intrusões e alertas do Security Center podem atender a este requisito. Se você usar outros métodos de detecção e alerta, pode fornecer sua própria comprovação e ignorar este item.

Restringir terminais de gerenciamento remoto por tipo de conexão ou intervalo de endereços de rede.

• Para o Alibaba Cloud Linux 3:

  1. Com base nos terminais que você deseja permitir a conexão, edite o arquivo /etc/ssh/sshd_config.

  2. Defina o parâmetro AllowUsers <user>@<host> conforme necessário.

     Nota

     <user> especifica o nome de usuário com permissão para fazer login no servidor. <host> especifica o endereço IP do servidor. Substitua-os conforme necessário.

  3. Após a edição, pressione Esc, insira :wq e pressione Enter, salve e saia.

  4. Execute o comando sudo systemctl restart sshd para reiniciar o service sshd.

• Para o Alibaba Cloud Linux 2:

  • O arquivo /etc/hosts.allow especifica os endereços IP com permissão para se conectar ao host. Ele não deve estar definido como ALL:ALL.

  • O arquivo /etc/hosts.deny especifica os endereços IP proibidos de se conectar ao host. Ele deve estar definido como ALL:ALL para negar todas as conexões por padrão.

  Esses arquivos funcionam em conjunto, e a regra do /etc/hosts.allow é processada primeiro. Se você implementou essa restrição usando outros métodos, como grupos de segurança ou firewalls, pode fornecer sua própria comprovação e ignorar este item.

prevenção de malware

• Para o Alibaba Cloud Linux 3: Utilize medidas técnicas para proteger contra ataques de malware ou use um mecanismo de verificação confiável baseado em imunidade ativa para identificar e bloquear prontamente intrusões e comportamentos de vírus.

• Para o Alibaba Cloud Linux 2: Instale um software antimalware e atualize prontamente a versão do software e o banco de dados de assinaturas de malware.

Verifique se o Security Center está instalado e em uso. Se você instalou outro software antimalware, pode fornecer sua própria comprovação e ignorar este item.