Tolok Ukur Ubuntu CIS

Dokumen ini menjelaskan tingkat kepatuhan yang Google Distributed Cloud memiliki CIS Ubuntu Benchmark.

Mengakses benchmark

CIS Ubuntu Benchmark tersedia di Situs CIS.

Profil konfigurasi

Dalam dokumen CIS Ubuntu Benchmark, Anda dapat membaca tentang profil konfigurasi. Image Ubuntu yang digunakan oleh Google Distributed Cloud telah melalui proses hardening untuk memenuhi Tingkat 2 - Profil server.

Evaluasi pada Google Distributed Cloud

Kami menggunakan nilai berikut untuk menentukan status rekomendasi Ubuntu di Google Distributed Cloud.

Status Google Distributed Cloud

Image Ubuntu yang digunakan dengan Google Distributed Cloud telah melalui proses hardening agar memenuhi CIS Tingkat 2 - Profil server. Tabel berikut memberikan justifikasi untuk penyebab komponen Google Distributed Cloud tidak memenuhi rekomendasi tertentu.

Mengonfigurasi cron job AIDE

AIDE adalah alat pemeriksaan integritas file yang memastikan kepatuhan terhadap CIS L1 Tolok ukur server 1.4 Filesystem Integrity Checking. Di Google Distributed Cloud, proses AIDE telah menyebabkan masalah penggunaan resource yang tinggi.

Proses AIDE pada node dinonaktifkan secara default untuk mencegah resource masalah performa. Perubahan ini akan memengaruhi kepatuhan terhadap benchmark Server CIS L1 1.4.2: Ensure filesystem integrity is regularly checked.

Jika Anda memilih untuk menjalankan cron job AIDE, selesaikan langkah-langkah berikut untuk mengaktifkan kembali AIDE:

1. Membuat DaemonSet.

   Berikut adalah manifes untuk DaemonSet:

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
   name: enable-aide-pool1
   spec:
   selector:
     matchLabels:
       app: enable-aide-pool1
   template:
     metadata:
       labels:
         app: enable-aide-pool1
     spec:
       hostIPC: true
       hostPID: true
       nodeSelector:
         cloud.google.com/gke-nodepool: pool-1
       containers:
       - name: update-audit-rule
         image: ubuntu
         command: ["chroot", "/host", "bash", "-c"]
         args:
         - |
           set -x
           while true; do
             # change daily cronjob schedule
             minute=30;hour=5
             sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab
   
             # enable aide
             chmod 755 /etc/cron.daily/aide
   
             sleep 3600
           done
         volumeMounts:
         - name: host
           mountPath: /host
         securityContext:
           privileged: true
       volumes:
       - name: host
         hostPath:
           path: /
   

   Dalam manifes di atas:

   • cron job AIDE hanya akan berjalan pada kumpulan node pool-1 seperti yang ditentukan oleh nodeSelector cloud.google.com/gke-nodepool: pool-1. Anda dapat mengonfigurasi Proses AIDE yang berjalan di kumpulan node sebanyak yang Anda inginkan dengan menentukan kumpulan pada kolom nodeSelector. Untuk menjalankan jadwal cron job yang sama di berbagai kumpulan node, hapus kolom nodeSelector. Namun, untuk menghindari kemacetan sumber daya {i>host<i}, sebaiknya Anda mempertahankan jadwal proyek.

   • cron job dijadwalkan berjalan setiap hari pada pukul 05.30 sebagaimana ditentukan oleh konfigurasi minute=30;hour=5. Anda dapat mengonfigurasi jadwal yang berbeda untuk cron job AIDE sesuai kebutuhan.

2. Salin manifes ke file bernama enable-aide.yaml, dan buat elemen Set Daemon:

   kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
   

   dengan USER_CLUSTER_KUBECONFIG adalah jalur file kubeconfig untuk cluster pengguna Anda.