Tolok Ukur Ubuntu CIS

Dokumen ini menjelaskan tingkat kepatuhan yang dimiliki Google Distributed Cloud terhadap CIS Ubuntu Benchmark.

Mengakses benchmark

Tolok Ukur Ubuntu CIS tersedia di situs CIS.

Profil konfigurasi

Dalam dokumen CIS Ubuntu Benchmark, Anda dapat membaca tentang profil konfigurasi. Image Ubuntu yang digunakan oleh Google Distributed Cloud di-harden untuk memenuhi profil Level 2 - Server.

Evaluasi di Google Distributed Cloud

Kami menggunakan nilai berikut untuk menentukan status rekomendasi Ubuntu di Google Distributed Cloud.

Status	Deskripsi
Lulus	Mematuhi rekomendasi tolok ukur.
Gagal	Tidak mematuhi rekomendasi tolok ukur.
Kontrol setara	Tidak mematuhi persyaratan yang sama persis dengan rekomendasi tolok ukur, tetapi mekanisme lain di Google Distributed Cloud memberikan kontrol keamanan yang setara.
Bergantung pada lingkungan	Google Distributed Cloud tidak mengonfigurasi item yang terkait dengan rekomendasi benchmark. Konfigurasi Anda menentukan apakah lingkungan Anda mematuhi rekomendasi.

Status Google Distributed Cloud

Image Ubuntu yang digunakan dengan Google Distributed Cloud di-harden untuk memenuhi profil Server CIS Level 2. Tabel berikut memberikan justifikasi tentang alasan komponen Google Distributed Cloud tidak lulus rekomendasi tertentu. Benchmark yang memiliki status Passed tidak disertakan dalam tabel berikut.

Mengonfigurasi cron job AIDE

AIDE adalah alat pemeriksaan integritas file yang memverifikasi kepatuhan terhadap benchmark Server CIS L1 1.4 Filesystem Integrity Checking. Di Google Distributed Cloud, proses AIDE telah menyebabkan masalah penggunaan resource yang tinggi.

Proses AIDE di node dinonaktifkan secara default untuk mencegah masalah resource. Hal ini akan memengaruhi kepatuhan terhadap tolok ukur Server L1 CIS 1.4.2: Ensure filesystem integrity is regularly checked.

Jika Anda ingin ikut serta menjalankan tugas cron AIDE, selesaikan langkah-langkah berikut untuk mengaktifkan kembali AIDE:

1. Buat DaemonSet.

   Berikut adalah manifes untuk DaemonSet:

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
   name: enable-aide-pool1
   spec:
   selector:
     matchLabels:
       app: enable-aide-pool1
   template:
     metadata:
       labels:
         app: enable-aide-pool1
     spec:
       hostIPC: true
       hostPID: true
       nodeSelector:
         cloud.google.com/gke-nodepool: pool-1
       containers:
       - name: update-audit-rule
         image: ubuntu
         command: ["chroot", "/host", "bash", "-c"]
         args:
         - |
           set -x
           while true; do
             # change daily cronjob schedule
             minute=30;hour=5
             sed -E "s/([0-9]+ [0-9]+)(.*run-parts --report \/etc\/cron.daily.*)/$minute $hour\2/g" -i /etc/crontab
   
             # enable aide
             chmod 755 /etc/cron.daily/aide
   
             sleep 3600
           done
         volumeMounts:
         - name: host
           mountPath: /host
         securityContext:
           privileged: true
       volumes:
       - name: host
         hostPath:
           path: /
   

   Dalam manifes sebelumnya:

   • Tugas cron AIDE hanya akan berjalan di node pool pool-1 seperti yang ditentukan oleh nodeSelector cloud.google.com/gke-nodepool: pool-1. Anda dapat mengonfigurasi proses AIDE untuk berjalan di sebanyak mungkin node pool yang Anda inginkan dengan menentukan node pool di bagian kolom nodeSelector. Untuk menjalankan jadwal tugas cron yang sama di berbagai node pool, hapus kolom nodeSelector. Namun, untuk menghindari kemacetan resource host, sebaiknya Anda mempertahankan jadwal terpisah.

   • Cron job dijadwalkan untuk berjalan setiap hari pukul 05.30 seperti yang ditentukan oleh minute=30;hour=5 konfigurasi. Anda dapat mengonfigurasi jadwal yang berbeda untuk tugas cron AIDE sesuai kebutuhan.

2. Salin manifes ke file bernama enable-aide.yaml, lalu buat DaemonSet:

   kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f enable-aide.yaml
   

   dengan USER_CLUSTER_KUBECONFIG adalah jalur file kubeconfig untuk cluster pengguna Anda.