os-hardening (Chef cookbook)

説明

このcookbookは、数多くのセキュリティ関連設定を提供し、全体的な基本保護を実現します。

以下の設定を行います:

パッケージ管理の設定（例: 署名済みパッケージのみを許可）
既知の問題があるパッケージの削除
pam および pam_limits モジュールの設定
Shadow password suite の設定
システムパス権限の設定
ソフトリミットによるコアダンプの無効化
システムコンソールへのrootログインの制限
SUIDの設定
sysctlによるカーネルパラメータの設定

以下のことは行いません:

システムパッケージの更新
セキュリティパッチのインストール

要件

Chef >= 14.13.11

プラットフォーム

Ubuntu 20.04, 22.04, 24.04, 26.04
CentOS Stream 9, 10
AlmaLinux 8, 9, 10
Rocky Linux 8, 9, 10
Oracle Linux 8, 9, 10
Debian 13
Fedora 43, 44

属性

['os-hardening']['components'][COMPONENT_NAME] - デフォルトレシピを介して実行されるコンポーネントを細かく制御できます。詳細は以下を参照してください
['os-hardening']['desktop']['enable'] = false デスクトップシステム（Xorg、KDE/GNOME/Unityなど）の場合はtrue
['os-hardening']['network']['forwarding'] = false このシステムがパケット転送を必要とする場合（ルーターなど）はtrue、それ以外はfalse
['os-hardening']['network']['ipv6']['enable'] = false
['os-hardening']['network']['arp']['restricted'] = true ARPの通知および応答を制限する場合はtrue、それ以外はfalse
['os-hardening']['env']['extra_user_paths'] = [] ユーザーの PATH 変数に追加のパスを追加します（デフォルトは空）。
['os-hardening']['env']['umask'] = "027"
['os-hardening']['env']['root_path'] = "/" rootがマウントされている場所
['os-hardening']['auth']['pw_max_age'] = 60 パスワードの最大有効期間
['os-hardening']['auth']['pw_min_age'] = 7 パスワードの最小有効期間（他のパスワード変更を許可する前）

含まれるコンポーネントの制御

default.rb は、システムのohai自動検出属性に基づいて他のコンポーネントを含めます。例: 非RHELシステムではselinuxを実行しません。この動作をオーバーライドし、オーバーライドレベルで node['os-hardening']['components'] に属性を設定することで、コンポーネントの実行を強制または無効化できます。例

# 一部の属性ファイル
# sysctlとauditdを含めない
override['os-hardening']['components']['sysctl'] = false
override['os-hardening']['components']['auditd'] = false

# selinuxを強制的に含める
override['os-hardening']['components']['selinux'] = true

現在の実装では、異なるコンポーネントは異なるレシピに配置されています。利用可能なレシピまたは default.rb を参照して、可能なコンポーネント名を確認してください。

使用方法

レシピを run_list に追加します。最後に配置する必要があります:

"recipe[os-hardening]"

属性を設定します:

"security" : {
  "kernel" : {
    "enable_module_loading" : true
  }
},

ローカルテスト

chef-dk、VirtualBox または VMware Workstation、および Vagrant をインストールしてください。

Lintチェックは rubocop と foodcritic で行われます:

$ chef exec rake lint
.....

ユニット/スペックテストは chefspec で行われます:

$ chef exec rake spec
.....

統合テストは test-kitchen と inspec で行われます:

$ chef exec rake kitchen
.....
# またはkitchenを直接使用できます
$ kitchen test

フォークのCIテスト

Travis CI でフォークのテストを有効にできます。デフォルトでは、lint、スペックテスト、および kitchen-dokken による統合テストが実行されます。

kitchen-dokken による統合テストは、コンテナ環境で実行されるため、すべてをカバーするわけではありません。完全な統合テストは DigitalOcean を使用して実行できます。

フォークで完全な統合テストを実行したい場合は、フォークの設定に以下の環境変数を追加する必要があります:

DIGITALOCEAN_ACCESS_TOKEN - DigitalOceanのアクセストークン
CI_SSH_KEY - DigitalOceanでインスタンスに利用可能なSSHキーの秘密鍵部分。base64エンコード形式（例: cat id_rsa | base64 -w0 ; echo）
DIGITALOCEAN_SSH_KEY_IDS - CI_SSH_KEY のDigitalOceanでのID。詳細はこちらを参照してください

貢献者 + 謝辞

Dominik Richter arlimus
Bernhard Weisshuhn bkw
Christoph Hartmann chris-rock
Edmund Haselwanter ehaselwanter
Patrick Meier atomic111
Artem Sidorenko artem-sidorenko

このcookbookは主に以下のガイドに基づいています:

皆さんに感謝します!!

貢献

貢献者ガイドラインを参照してください。

ライセンスと作者

Author:: Dominik Richter [email protected]
Author:: Deutsche Telekom AG

Licensed under the Apache License, Version 2.0 (the "License"); you may not use this file except in compliance with the License. You may obtain a copy of the License at

http://www.apache.org/licenses/LICENSE-2.0

Unless required by applicable law or agreed to in writing, software distributed under the License is distributed on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. See the License for the specific language governing permissions and limitations under the License.

chef-os-hardening

人気