dev-sec/chef-os-hardeningThis chef cookbook proporciona numerosas configuraciones relacionadas con la seguridad, ofreciendo una protección base integral.
[
][1]
[
][2]
Este cookbook proporciona numerosas configuraciones relacionadas con la seguridad, ofreciendo una protección base integral.
Configura:
pam y pam_limitsNo:
['os-hardening']['components'][COMPONENT_NAME] - permite el control fino sobre qué componentes deben ejecutarse mediante la receta predeterminada. Consulta más detalles a continuación['os-hardening']['desktop']['enable'] = false
true si es un sistema de escritorio, es decir, Xorg, KDE/GNOME/Unity/etc['os-hardening']['network']['forwarding'] = false
true si este sistema requiere reenvío de paquetes (p. ej. Router), false en caso contrario['os-hardening']['network']['ipv6']['enable'] = false['os-hardening']['network']['arp']['restricted'] = true
true si deseas que el comportamiento de anunciar y responder a ARP esté restringido, false en caso contrario['os-hardening']['env']['extra_user_paths'] = []
añade rutas adicionales a la variable PATH del usuario (por defecto está vacío).['os-hardening']['env']['umask'] = "027"['os-hardening']['env']['root_path'] = "/"
donde está montada la raíz['os-hardening']['auth']['pw_max_age'] = 60
edad máxima de la contraseña['os-hardening']['auth']['pw_min_age'] = 7
edad mínima de la contraseña (antes de permitir cualquier otro cambio de contraseña)['os-hardening']['auth']['pw_warn_age'] = 7
número de días antes de que ocurra la edad máxima de la contraseña para advertir del cambio
inminente['os-hardening']['auth']['uid_min'] = 1000
límite inferior de UIDs asignados por useradd['os-hardening']['auth']['uid_max'] = 60000
límite superior de UIDs asignados por useradd['os-hardening']['auth']['gid_min'] = 1000
límite inferior de GIDs asignados por groupadd['os-hardening']['auth']['gid_max'] = 60000
límite superior de GIDs asignados por groupadd['os-hardening']['auth']['retries'] = 5
el número máximo de intentos de autenticación, antes de que la cuenta se bloquee durante un tiempo['os-hardening']['auth']['lockout_time'] = 600
tiempo en segundos que debe pasar, si la cuenta se bloqueó debido a demasiados intentos de autenticación fallidos['os-hardening']['auth']['timeout'] = 60
tiempo de espera de autenticación en segundos, por lo que el inicio de sesión saldrá si este tiempo pasa['os-hardening']['auth']['allow_homeless'] = false
true si se permite iniciar sesión a usuarios sin directorio home['os-hardening']['auth']['pam']['passwdqc']['enable'] = true
true si deseas utilizar una verificación de contraseñas fuerte en PAM usando passwdqc['os-hardening']['auth']['pam']['passwdqc']['options'] = "min=disabled,disabled,16,12,8"
establece cualquier línea de opciones (como cadena) que desees pasar a passwdqc['os-hardening']['auth']['pam']['passwdqc']['template_cookbook'] = 'os-hardening'
establece el nombre del cookbook del cual se obtiene la plantilla para el archivo /usr/share/pam-configs/passwdqc['os-hardening']['auth']['pam']['tally2']['template_cookbook'] = 'os-hardening'
establece el nombre del cookbook del cual se obtiene la plantilla para el archivo /usr/share/pam-configs/tally2['os-hardening']['auth']['pam']['system-auth']['template_cookbook'] = 'os-hardening'
establece el nombre del cookbook del cual se obtiene la plantilla para el archivo /etc/pam.d/system-auth-ac['os-hardening']['security']['users']['allow'] = []
lista de cosas que un usuario puede hacer. Puede contener: change_user['os-hardening']['security']['kernel']['enable_module_loading'] = true
true si deseas poder cambiar los módulos del kernel una vez que el sistema está en ejecución (p. ej. modprobe, rmmod)['os-hardening']['security']['kernel']['disable_filesystems'] = ['cramfs', 'freevxfs', 'jffs2', 'hfs', 'hfsplus', 'squashfs', 'udf', 'vfat']
lista de módulos de sistemas de archivos del kernel que están en la lista negra para su carga (p. ej. no se utilizan y pueden desactivarse). Establece esto en [] para evitar completamente esta lista negra['os-hardening']['security']['kernel']['enable_sysrq'] = false['os-hardening']['security']['kernel']['enable_core_dump'] = false['os-hardening']['security']['suid_sgid']['enforce'] = true
true si deseas reducir los bits SUID/SGID. Ya existe una lista de elementos que se buscan configurados, pero también puedes añadir los tuyos propios['os-hardening']['security']['suid_sgid']['blacklist'] = []
una lista de rutas a las que se les deben eliminar los bits SUID/SGID['os-hardening']['security']['suid_sgid']['whitelist'] = []
una lista de rutas que no deben tener alterados sus bits SUID/SGID['os-hardening']['security']['suid_sgid']['remove_from_unknown'] = false
true si deseas eliminar los bits SUID/SGID de cualquier archivo que no esté configurado explícitamente en una blacklist. Esto hará que cada ejecución de Chef busque a través de los sistemas de archivos montados bits SUID/SGID que no estén configurados en la lista negra predeterminada y del usuario. Si encuentra un bit SUID/SGID, se eliminará, a menos que este archivo esté en tu whitelist.['os-hardening']['security']['suid_sgid']['dry_run_on_unknown'] = false
como remove_from_unknown anterior, solo que los bits SUID/SGID no se eliminan.
Aún buscará en los sistemas de archivos bits SUID/SGID, pero solo los imprimirá en tu registro. Esta opción solo se recomienda cuando configuras por primera vez remove_from_unknown para bits SUID/SGID, para que puedas ver los archivos que se están cambiando y realizar ajustes en tu whitelist y blacklist.['os-hardening']['security']['packages']['clean'] = true
elimina paquetes con problemas conocidos.['os-hardening']['security']['packages']['list'] = ['xinetd','inetd','ypserv','telnet-server','rsh-server']
lista de paquetes a eliminar, por defecto eliminamos los siguientes paquetes:
['os-hardening']['security']['selinux_mode'] = 'unmanaged'
establece en unmanaged si deseas dejar la configuración de selinux como está. Establece en enforcing para aplicar o permissive para SELinux permisivo.