dev-sec/chef-os-hardeningDieses Chef-Cookbook bietet zahlreiche sicherheitsbezogene Konfigurationen und sorgt für einen umfassenden Basisschutz.
[
][1]
[
][2]
Diese Cookbook bietet zahlreiche sicherheitsrelevante Konfigurationen und sorgt für einen umfassenden Basisschutz.
Es konfiguriert:
pam- und pam_limits-ModulEs wird nicht:
['os-hardening']['components'][COMPONENT_NAME] - ermöglicht die feingranulare Steuerung darüber, welche Komponenten über das Standard-Rezept ausgeführt werden sollen. Weitere Details siehe unten['os-hardening']['desktop']['enable'] = false
true, wenn es sich um ein Desktop-System handelt, d. h. Xorg, KDE/GNOME/Unity/etc['os-hardening']['network']['forwarding'] = false
true, wenn dieses System Paketweiterleitung benötigt (z. B. Router), andernfalls false['os-hardening']['network']['ipv6']['enable'] = false['os-hardening']['network']['arp']['restricted'] = true
true, wenn das Verhalten des Ankündigens und Antwortens auf ARP eingeschränkt werden soll, andernfalls false['os-hardening']['env']['extra_user_paths'] = []
fügt zusätzliche Pfade zur PATH-Variable des Benutzers hinzu (Standard ist leer).['os-hardening']['env']['umask'] = "027"['os-hardening']['env']['root_path'] = "/"
wo root eingehängt ist['os-hardening']['auth']['pw_max_age'] = 60
maximales Passwortalter['os-hardening']['auth']['pw_min_age'] = 7
minimales Passwortalter (bevor eine andere Passwortänderung erlaubt wird)['os-hardening']['auth']['pw_warn_age'] = 7
Anzahl der Tage vor Erreichen des maximalen Passwortalters, an denen vor der bevorstehenden Änderung gewarnt wird['os-hardening']['auth']['uid_min'] = 1000
untere Grenze der UIDs, die von useradd vergeben werden['os-hardening']['auth']['uid_max'] = 60000
obere Grenze der UIDs, die von useradd vergeben werden['os-hardening']['auth']['gid_min'] = 1000
untere Grenze der GIDs, die von groupadd vergeben werden['os-hardening']['auth']['gid_max'] = 60000
obere Grenze der GIDs, die von groupadd vergeben werden['os-hardening']['auth']['retries'] = 5
die maximale Anzahl von Authentifizierungsversuchen, bevor das Konto für einige Zeit gesperrt wird['os-hardening']['auth']['lockout_time'] = 600
Zeit in Sekunden, die vergehen muss, wenn das Konto aufgrund zu vieler fehlgeschlagener Authentifizierungsversuche gesperrt wurde['os-hardening']['auth']['timeout'] = 60
Authentifizierungs-Timeout in Sekunden, sodass die Anmeldung beendet wird, wenn diese Zeit überschritten wird['os-hardening']['auth']['allow_homeless'] = false
true, um Benutzern ohne Home-Verzeichnis die Anmeldung zu erlauben['os-hardening']['auth']['pam']['passwdqc']['enable'] = true
true, wenn Sie eine starke Passwortprüfung in PAM mit passwdqc verwenden möchten['os-hardening']['auth']['pam']['passwdqc']['options'] = "min=disabled,disabled,16,12,8"
auf eine beliebige Optionszeile (als Zeichenkette) setzen, die Sie an passwdqc übergeben möchten['os-hardening']['auth']['pam']['passwdqc']['template_cookbook'] = 'os-hardening'
auf den Namen der Cookbook setzen, aus der die Vorlage für die Datei /usr/share/pam-configs/passwdqc bezogen wird['os-hardening']['auth']['pam']['tally2']['template_cookbook'] = 'os-hardening'
auf den Namen der Cookbook setzen, aus der die Vorlage für die Datei /usr/share/pam-configs/tally2 bezogen wird['os-hardening']['auth']['pam']['system-auth']['template_cookbook'] = 'os-hardening'
auf den Namen der Cookbook setzen, aus der die Vorlage für die Datei /etc/pam.d/system-auth-ac bezogen wird['os-hardening']['security']['users']['allow'] = []
Liste der Dinge, die einem Benutzer erlaubt sind. Kann enthalten: change_user['os-hardening']['security']['kernel']['enable_module_loading'] = true
true, wenn Sie Kernelmodule ändern dürfen möchten, sobald das System läuft (z. B. modprobe, rmmod)['os-hardening']['security']['kernel']['disable_filesystems'] = ['cramfs', 'freevxfs', 'jffs2', 'hfs', 'hfsplus', 'squashfs', 'udf', 'vfat']
Liste der Kernel-Dateisystemmodule, die für das Laden auf die Blacklist gesetzt werden (z. B. sind sie ungenutzt und können deaktiviert werden). Setzen Sie dies auf [], um diese Blacklist vollständig zu vermeiden['os-hardening']['security']['kernel']['enable_sysrq'] = false['os-hardening']['security']['kernel']['enable_core_dump'] = false['os-hardening']['security']['suid_sgid']['enforce'] = true
true, wenn Sie SUID/SGID-Bits reduzieren möchten. Es gibt bereits eine Liste von Elementen, nach denen gesucht wird, aber Sie können auch eigene hinzufügen['os-hardening']['security']['suid_sgid']['blacklist'] = []
eine Liste von Pfaden, deren SUID/SGID-Bits entfernt werden sollen['os-hardening']['security']['suid_sgid']['whitelist'] = []
eine Liste von Pfaden, deren SUID/SGID-Bits nicht verändert werden sollen['os-hardening']['security']['suid_sgid']['remove_from_unknown'] = false
true, wenn Sie SUID/SGID-Bits von jeder Datei entfernen möchten, die nicht explizit in einer blacklist konfiguriert ist. Dadurch wird jeder Chef-Lauf die eingehängten Dateisysteme nach SUID/SGID-Bits durchsuchen, die nicht in der Standard- und Benutzer-Blacklist konfiguriert sind. Wenn ein SUID/SGID-Bit gefunden wird, wird es entfernt, sofern sich diese Datei nicht in Ihrer whitelist befindet.['os-hardening']['security']['suid_sgid']['dry_run_on_unknown'] = false
wie remove_from_unknown oben, nur dass SUID/SGID-Bits nicht entfernt werden.
Es durchsucht weiterhin die Dateisysteme nach SUID/SGID-Bits, gibt sie aber nur in Ihrem Log aus. Diese Option wird nur empfohlen, wenn Sie remove_from_unknown für SUID/SGID-Bits zum ersten Mal konfigurieren, damit Sie die Dateien sehen können, die geändert werden, und Anpassungen an Ihrer whitelist und blacklist vornehmen können.['os-hardening']['security']['packages']['clean'] = true
entfernt Pakete mit bekannten Problemen.['os-hardening']['security']['packages']['list'] = ['xinetd','inetd','ypserv','telnet-server','rsh-server']
Liste der zu entfernenden Pakete, standardmäßig entfernen wir die folgenden Pakete:
['os-hardening']['security']['selinux_mode'] = 'unmanaged'
auf unmanaged setzen, wenn die SELinux-Konfiguration unverändert bleiben soll. Auf enforcing setzen, um zu erzwingen, oder auf permissive für permissives SELinux.