CIS Ubuntu ベンチマーク

このドキュメントでは、Google Distributed Cloud が CIS Ubuntu Benchmark ベンチマークに準拠しているレベルについて説明します。

ベンチマークにアクセスする

CIS Ubuntu Benchmark は CIS ウェブサイトで入手できます。

構成プロファイル

CIS Ubuntu Benchmark のドキュメントでは、構成プロファイルについて確認できます。Google Distributed Cloud で使用される Ubuntu イメージは、Level 2 - Server のプロファイルに対応するように強化されています。

Google Distributed Cloud に対する評価

Google Distributed Cloud では、次の値を使用して Ubuntu 推奨事項のステータスを表しています。

ステータス	説明
合格	ベンチマークの推奨事項を遵守しています。
不合格	ベンチマークの推奨事項を遵守していません。
同等の統制	ベンチマーク推奨事項の条件には完全に準拠していないが、Google Distributed Cloud の他のメカニズムが同等のセキュリティ統制を提供しています。
環境に依存	Google Distributed Cloud では、ベンチマークの推奨事項に関連する項目は構成されていません。ご利用の構成により、環境が推奨事項を遵守しているかどうかが決まります。

Google Distributed Cloud のステータス

Google Distributed Cloud で使用される Ubuntu イメージは、CIS Level 2 - Server のプロファイルを満たすように強化されています。次の表は、Google Distributed Cloud のコンポーネントが特定の推奨事項に合格しなかった理由を示しています。 ステータスが Passed のベンチマークは、次の表に含まれません。

AIDE cron ジョブを構成する

AIDE は、CIS L1 Server ベンチマーク 1.4 Filesystem Integrity Checking に準拠していることを確認するファイル整合性チェックツールです。Google Distributed Cloud では、AIDE プロセスによってリソース使用率が高い問題が引き起こされています。

リソースの問題を防ぐため、ノードの AIDE プロセスはデフォルトで無効になっています。これは、CIS L1 Server ベンチマーク 1.4.2（Ensure filesystem integrity is regularly checked.）への準拠に影響を与えます。

AIDE cron ジョブの実行を有効にする場合は、次の手順で AIDE を再度有効にします。

1. DaemonSet を作成します。

   DaemonSet のマニフェストを次に示します。

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
   name: enable-aide-pool1
   spec:
   selector:
     matchLabels:
       app: enable-aide-pool1
   template:
     metadata:
       labels:
         app: enable-aide-pool1
     spec:
       hostIPC: true
       hostPID: true
       nodeSelector:
         cloud.google.com/gke-nodepool: pool-1
       containers:
       - name: update-audit-rule
         image: ubuntu
         command: ["chroot", "/host", "bash", "-c"]
         args:
         - |
           set -x
           while true; do
             # change daily cronjob schedule
             minute=30;hour=5
             sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab
   
             # enable aide
             chmod 755 /etc/cron.daily/aide
   
             sleep 3600
           done
         volumeMounts:
         - name: host
           mountPath: /host
         securityContext:
           privileged: true
       volumes:
       - name: host
         hostPath:
           path: /
   

   このマニフェストで:

   • AIDE cron ジョブは、nodeSelector cloud.google.com/gke-nodepool: pool-1 で指定されたノードプール pool-1 でのみ実行されます。nodeSelector フィールドの下にプールを指定することで、AIDE プロセスを、必要とする数のノードプールで実行するように構成できます。異なるノードプールで同じ cron ジョブ スケジュールを実行するには、nodeSelector フィールドを削除します。ただし、ホストリソースの競合を回避するため、個別のスケジュールを維持することをおすすめします。

   • cron ジョブは、構成 minute=30;hour=5 で指定されているとおり、毎日午前 5 時 30 分に実行されるようにスケジュール設定されます。AIDE cron ジョブには、必要に応じて異なるスケジュールを構成できます。

2. このマニフェストを enable-aide.yaml という名前のファイルにコピーして DaemonSet を作成します。

   kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
   

   USER_CLUSTER_KUBECONFIG は、クラスタの kubeconfig ファイルのパスです。