lateralblast/lunarUno strumento di audit di sicurezza per UNIX basato su diversi framework di sicurezza.
Lockdown UNix Auditing and Reporting
Versione attuale 15.9.3
Fare riferimento a lunar.sh e CHANGELOG.md per informazioni più aggiornate sulla versione
CC BY-NC-SA: https://creativecommons.org/licenses/by-nc-sa/4.0/
Sostienimi qui: https://ko-fi.com/richardatlateralblast
Esegui questo codice solo in modalità audit, ad esempio con lo switch -a o --audit. Esegui il lockdown a tuo rischio. Come per qualsiasi modifica al sistema, effettua dei backup. Sto lavorando per migliorare la modalità di ripristino, ma potrebbero esserci ancora dei bug.
Ho cercato di ripulire questo script il più possibile usando shellcheck, e ho abilitato l'opzione per usare i flag shell -e (errexit) e -u (nounset) per aiutare a proteggersi dagli errori. Il flag shell -x (xtrace) può essere abilitato usando lo script con il flag -Q o --debug.
In corso:
Questo script genera un report di audit con punteggio sulla sicurezza di un host Unix. È basato sui framework CIS e altri. Dove possibile ci sono riferimenti ai benchmark CIS e altri nella documentazione del codice.
Perché uno script shell? Volevo uno strumento in grado di funzionare su sistemi bloccati dove altri strumenti potrebbero non essere disponibili. Volevo anche uno strumento che funzionasse su tutte le versioni di UNIX. Detto questo, ci sono alcune differenze tra sh e bash, quindi ho usato solo funzioni di sh.
Non c'è alcuna garanzia implicita o esplicita con questo script. La mia raccomandazione è di usare questo script solo in modalità audit, e di affrontare ogni avviso individualmente tramite policy, documentazione e configuration management.
Non sono assolutamente un programmatore, quindi ci saranno sicuramente bug e modi migliori per affrontare le cose in questo script, quindi un sincero ringraziamento alle persone che hanno fornito feedback, aggiornamenti e patch per correggere bug/funzionalità nel codice.
Può anche eseguire un lockdown. A differenza di altri script, ho aggiunto la capacità di annullare le modifiche. I file vengono salvati tramite cpio in una directory basata sulla data.
Sebbene possa eseguire un lockdown, come detto in precedenza, ti consiglio di affrontare gli avvisi tramite policy, documentazione e configuration management. È così che uso lo strumento. L'audit dei Servizi AWS supporta solo il reporting, non fornisce la capacità di lockdown.
I seguenti Sistemi Operativi sono supportati:
Il supporto Windows richiederebbe l'installazione di software aggiuntivo, quindi non l'ho considerato. Detto questo, il supporto Windows potrebbe arrivare in futuro tramite bash.
I seguenti servizi sono supportati:
L'audit dei Servizi AWS usa la AWS CLI, e come tale richiede un utente con i diritti appropriati. Attualmente non supporta la capacità di lockdown, supporta solo la generazione di un report di audit rispetto al benchmark CIS.
Ci sono un paio di controlli che possono essere eseguiti o risolti solo tramite la GUI. Un esempio è l'abilitazione della fatturazione. Fare riferimento al Benchmark CIS per maggiori informazioni.
Dove possibile ho inserito comandi di correzione suggeriti nell'output dell'audit verboso. Anche in questo caso, in alcuni casi questi possono essere eseguiti solo tramite la CLI. Fare riferimento al Benchmark CIS per maggiori informazioni.
Inoltre ho aggiunto una modalità raccomandazioni che verifica AWS rispetto alle best practice disponibili pubblicamente da aziende come Cloud Conformity.
Il seguente output di configuration management è supportato:
Questa opzione produce codice/stanza di esempio di configuration management ansible per implementare la raccomandazione.
Per UNIX:
Per AWS:
Per Azure:
Usage: ./lunar.sh -switch|--switch