lateralblast/lunarUma ferramenta de auditoria de segurança UNIX baseada em várias estruturas de segurança.
Auditoria e Relatório de Bloqueio de UNIX
Versão atual 15.9.3
Consulte lunar.sh e CHANGELOG.md para informações de versão mais atualizadas
CC BY-NC-SA: https://creativecommons.org/licenses/by-nc-sa/4.0/
Financie-me aqui: https://ko-fi.com/richardatlateralblast
Execute este código apenas em modo de auditoria, por exemplo, com o switch -a ou --audit. Execute o bloqueio por sua conta e risco. Como em qualquer alteração de sistema, tenha backups. Estou trabalhando para melhorar o modo de recuperação, mas ainda pode haver bugs.
Tentei limpar este script o máximo possível usando shellcheck, e habilitei a opção de usar os flags de shell -e (errexit) e -u (nounset) para ajudar a proteger contra erros. O flag de shell -x (xtrace) pode ser habilitado usando o script com o flag -Q ou --debug.
Em andamento:
Este script gera um relatório de auditoria pontuado da segurança de um host Unix. Ele é baseado no CIS e em outros frameworks. Onde possível, há referências ao CIS e a outros benchmarks na documentação do código.
Por que um shell script? Eu queria uma ferramenta que fosse capaz de rodar em sistemas bloqueados onde outras ferramentas podem não estar disponíveis. Eu também queria uma ferramenta que rodasse em todas as versões de UNIX. Dito isso, há algumas diferenças entre sh e bash, então usei apenas funções do sh.
Não há garantia implícita ou fornecida com este script. Minha recomendação é usar este script apenas em modo de auditoria, e tratar cada aviso individualmente via política, documentação e gerenciamento de configuração.
Não sou de forma alguma um programador, então certamente haverá bugs e melhores formas de abordar as coisas neste script, então um sincero obrigado às pessoas que forneceram feedback, atualizações e patches para corrigir bugs/recursos no código.
Ele também pode realizar um bloqueio. Diferentemente de alguns outros scripts, adicionei a capacidade de reverter alterações. Os arquivos são copiados com backup usando cpio para um diretório baseado na data.
Embora ele possa realizar um bloqueio, como dito anteriormente, eu recomendaria que você tratasse os avisos via política, documentação e gerenciamento de configuração. É assim que eu uso a ferramenta. A auditoria de Serviços AWS suporta apenas relatórios, não fornece capacidade de bloqueio.
Os seguintes Sistemas Operacionais são suportados:
O suporte ao Windows exigiria a instalação de software adicional, então não investiguei isso. Dito isso, o suporte ao Windows pode vir no futuro via bash.
Os seguintes serviços são suportados:
A auditoria de Serviços AWS usa a AWS CLI e, como tal, requer um usuário com os direitos apropriados. Atualmente não suporta a capacidade de bloqueio, apenas suporta a geração de um relatório de auditoria com base no benchmark CIS.
Há algumas verificações que só podem ser feitas ou resolvidas via GUI. Um exemplo disso é habilitar o faturamento. Consulte o CIS Benchmark para mais informações.
Onde possível, coloquei comandos de correção sugeridos na saída de auditoria detalhada. Novamente, em alguns casos, isso só pode ser feito pela CLI. Consulte o CIS Benchmark para mais informações.
Além disso, adicionei um modo de recomendações que verifica a AWS em relação a boas práticas disponíveis publicamente de empresas como Cloud Conformity.
A seguinte saída de gerenciamento de configuração é suportada:
Esta opção gera exemplos de código/stanzas de gerenciamento de configuração ansible para implementar a recomendação.
Para UNIX:
Para AWS:
Para Azure:
Usage: ./lunar.sh -switch|--switch