Benchmark CIS Ubuntu

Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Questo documento descrive il livello di conformità di Google Distributed Cloud al benchmark CIS Ubuntu.

Accedere al benchmark

Il benchmark CIS Ubuntu è disponibile sul sito web del CIS.

Profilo di configurazione

Nel documento CIS Ubuntu Benchmark puoi trovare informazioni sui profili di configurazione. Le immagini Ubuntu utilizzate da Google Distributed Cloud sono sottoposte a hardening per soddisfare il profilo del server di Livello 2.

Valutazione su Google Distributed Cloud

Utilizziamo i seguenti valori per specificare lo stato dei consigli Ubuntu in Google Distributed Cloud.

Stato di Google Distributed Cloud

Le immagini Ubuntu utilizzate con Google Distributed Cloud sono sottoposte a hardening per soddisfare il profilo del server di Livello 2 del CIS. La tabella seguente fornisce le giustificazioni per la mancata applicazione di determinati consigli ai componenti di Google Distributed Cloud. I benchmark con stato Passed non sono inclusi nella tabella seguente.

Configura il cron job AIDE

AIDE è uno strumento di controllo dell'integrità dei file che garantisce la conformità al benchmark del server CIS L1 1.4 Filesystem Integrity Checking. In Google Distributed Cloud, il processo AIDE ha causato problemi di utilizzo elevato delle risorse.

Il processo AIDE sui nodi è disattivato per impostazione predefinita per evitare problemi relativi alle risorse. Ciò influirà sulla conformità al benchmark del server CIS L1 1.4.2: Ensure filesystem integrity is regularly checked.

Se vuoi attivare l'esecuzione del job cron AIDE, completa i seguenti passaggi per riattivare AIDE:

1. Crea un DaemonSet.

   Ecco un manifest per un DaemonSet:

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
   name: enable-aide-pool1
   spec:
   selector:
     matchLabels:
       app: enable-aide-pool1
   template:
     metadata:
       labels:
         app: enable-aide-pool1
     spec:
       hostIPC: true
       hostPID: true
       nodeSelector:
         cloud.google.com/gke-nodepool: pool-1
       containers:
       - name: update-audit-rule
         image: ubuntu
         command: ["chroot", "/host", "bash", "-c"]
         args:
         - |
           set -x
           while true; do
             # change daily cronjob schedule
             minute=30;hour=5
             sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab
   
             # enable aide
             chmod 755 /etc/cron.daily/aide
   
             sleep 3600
           done
         volumeMounts:
         - name: host
           mountPath: /host
         securityContext:
           privileged: true
       volumes:
       - name: host
         hostPath:
           path: /
   

   Nel manifest riportato sopra:

   • Il cron job AIDE verrà eseguito solo nel pool di nodi pool-1 come specificato dal cloud.google.com/gke-nodepool: pool-1 nodeSelector. Puoi configurare il processo AIDE in modo che venga eseguito su tutti i pool di nodi che vuoi specificando i pool nel campo nodeSelector. Per eseguire la stessa pianificazione del cron job su diversi pool di nodi, rimuovi il campo nodeSelector. Tuttavia, per evitare congestioni delle risorse dell'host, ti consigliamo di mantenere pianificazioni separate.

   • Il cron job è pianificato per essere eseguito ogni giorno alle 5:30 come specificato dalla configurazione minute=30;hour=5. Puoi configurare pianificazioni diverse per il cron job AIDE in base alle esigenze.

2. Copia il manifest in un file denominato enable-aide.yaml e crea il DaemonSet:

   kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
   

   dove USER_CLUSTER_KUBECONFIG è il percorso del file kubeconfig per il cluster utente.