lateralblast/lunarEin UNIX-Sicherheitsaudit-Tool basierend auf mehreren Sicherheitsrahmenwerken.
Lockdown UNix Auditing and Reporting
Aktuelle Version 16.6.1
Aktuelle Versionsinformationen finden Sie in lunar.sh und CHANGELOG.md
CC BY-NC-SA: https://creativecommons.org/licenses/by-nc-sa/4.0/
Unterstützen Sie mich hier: https://ko-fi.com/richardatlateralblast
Führen Sie diesen Code nur im Audit-Modus aus, z. B. mit dem Schalter -a oder --audit. Führen Sie den Lockdown auf eigenes Risiko aus. Wie bei jeder Systemänderung sollten Sie Backups haben. Ich arbeite an der Verbesserung des Wiederherstellungsmodus, aber es können noch Fehler vorhanden sein.
Ich habe versucht, dieses Skript mit shellcheck so weit wie möglich zu bereinigen, und ich habe die Option aktiviert, die Shell-Flags -e (errexit) und -u (nounset) zu verwenden, um vor Fehlern zu schützen. Das Shell-Flag -x (xtrace) kann durch Verwendung des Skripts mit dem Flag -Q oder --debug aktiviert werden.
In Bearbeitung:
Dieses Skript erzeugt einen bewerteten Audit-Bericht zur Sicherheit eines Unix-Hosts. Es basiert auf CIS und anderen Frameworks. Wo möglich, gibt es Verweise auf CIS und andere Benchmarks in der Code-Dokumentation.
Warum ein Shell-Skript? Ich wollte ein Tool, das auf abgesicherten Systemen ausgeführt werden kann, auf denen andere Tools möglicherweise nicht verfügbar sind. Ich wollte auch ein Tool, das auf allen UNIX-Versionen läuft. Allerdings gibt es einige Unterschiede zwischen sh und bash, daher habe ich nur Funktionen aus sh verwendet.
Für dieses Skript wird keine Gewährleistung implizit oder ausdrücklich gegeben. Meine Empfehlung ist, dieses Skript nur im Audit-Modus zu verwenden und jede Warnung einzeln über Richtlinien, Dokumentation und Konfigurationsmanagement anzugehen.
Ich bin keineswegs ein Programmierer, daher gibt es zwangsläufig Fehler und bessere Wege, Dinge in diesem Skript anzugehen. Daher ein aufrichtiges Dankeschön an die Personen, die Feedback, Updates und Patches zur Behebung von Fehlern/Features im Code beigetragen haben.
Es kann auch einen Lockdown durchführen. Im Gegensatz zu einigen anderen Skripten habe ich die Möglichkeit hinzugefügt, Änderungen rückgängig zu machen. Dateien werden mit cpio in ein Verzeichnis basierend auf dem Datum gesichert.
Obwohl es einen Lockdown durchführen kann, würde ich, wie bereits erwähnt, empfehlen, die Warnungen über Richtlinien, Dokumentation und Konfigurationsmanagement anzugehen. So verwende ich das Tool. Das AWS-Services-Audit unterstützt nur die Berichterstellung, es bietet keine Lockdown-Funktion.
Die folgenden Betriebssysteme werden unterstützt:
Windows-Unterstützung würde die Installation zusätzlicher Software erfordern, daher habe ich mich damit nicht befasst. Allerdings könnte Windows-Unterstützung in Zukunft über bash kommen.
Die folgenden Dienste werden unterstützt:
Das AWS-Services-Audit verwendet die AWS CLI und erfordert daher einen Benutzer mit den entsprechenden Rechten. Es unterstützt derzeit keine Lockdown-Funktion, es unterstützt nur die Erstellung eines Audit-Berichts gegen den CIS-Benchmark.
Es gibt ein paar Prüfungen, die nur über die GUI durchgeführt oder gelöst werden können. Ein Beispiel dafür ist die Aktivierung der Abrechnung. Weitere Informationen finden Sie im CIS-Benchmark.
Wo möglich, habe ich vorgeschlagene Korrekturbefehle in der ausführlichen Audit-Ausgabe eingefügt. Auch hier können diese in einigen Fällen nur über die CLI durchgeführt werden. Weitere Informationen finden Sie im CIS- Benchmark.
Darüber hinaus habe ich einen Empfehlungsmodus hinzugefügt, der AWS gegen öffentlich verfügbare Best Practices von Unternehmen wie Cloud Conformity prüft.
Die folgende Konfigurationsmanagement-Ausgabe wird unterstützt:
Diese Option gibt Beispielcode/-stanzas für das Ansible-Konfigurationsmanagement zur Umsetzung der Empfehlung aus.
Für UNIX:
Für AWS:
Für Azure:
Usage: ./lunar.sh -switch|--switch