lateralblast/lunarИнструмент аудита безопасности UNIX, основанный на нескольких фреймворках безопасности.
Аудит и отчётность по блокировке UNIX
Текущая версия 16.6.1
Актуальную информацию о версии смотрите в lunar.sh и CHANGELOG.md
CC BY-NC-SA: https://creativecommons.org/licenses/by-nc-sa/4.0/
Поддержать меня здесь: https://ko-fi.com/richardatlateralblast
Запускайте этот код только в режиме аудита, например, с ключом -a или --audit. Запускайте блокировку на свой страх и риск. Как и при любом изменении системы, делайте резервные копии. Я работаю над улучшением режима восстановления, но ошибки всё ещё могут быть.
Я постарался максимально очистить этот скрипт с помощью shellcheck и включил возможность использования флагов оболочки -e (errexit) и -u (nounset) для защиты от ошибок. Флаг оболочки -x (xtrace) можно включить, запустив скрипт с флагом -Q или --debug.
В процессе:
Этот скрипт генерирует оценённый отчёт об аудите безопасности Unix-хоста. Он основан на CIS и других фреймворках. Где возможно, в документации кода есть ссылки на CIS и другие бенчмарки.
Почему shell-скрипт? Я хотел инструмент, способный работать на заблокированных системах, где другие инструменты могут быть недоступны. Я также хотел инструмент, работающий на всех версиях UNIX. При этом есть некоторые различия между sh и bash, поэтому я использовал только функции из sh.
Этот скрипт не даёт никаких гарантий, явных или подразумеваемых. Моя рекомендация — использовать этот скрипт только в режиме аудита и устранять каждое предупреждение индивидуально через политику, документацию и управление конфигурацией.
Я отнюдь не программист, поэтому в этом скрипте неизбежно есть ошибки и лучшие способы подхода к вещам, поэтому искренняя благодарность людям, которые предоставили отзывы, обновления и патчи для исправления ошибок/функций в коде.
Он также может выполнять блокировку. В отличие от некоторых других скриптов, я добавил возможность откатывать изменения. Файлы резервируются с помощью cpio в каталог на основе даты.
Хотя он может выполнять блокировку, как уже говорилось, я рекомендую вам устранять предупреждения через политику, документацию и управление конфигурацией. Именно так я использую этот инструмент. Аудит AWS Services поддерживает только отчётность, он не предоставляет возможность блокировки.
Поддерживаются следующие операционные системы:
Поддержка Windows потребовала бы установки дополнительного программного обеспечения, поэтому я не рассматривал её. При этом поддержка Windows может появиться в будущем через bash.
Поддерживаются следующие сервисы:
Аудит AWS Services использует AWS CLI и, соответственно, требует пользователя с соответствующими правами. В настоящее время он не поддерживает возможность блокировки, он поддерживает только генерацию отчёта об аудите по бенчмарку CIS.
Есть пара проверок, которые можно выполнить или устранить только через GUI. Пример этого — включение биллинга. Дополнительную информацию смотрите в CIS Benchmark.
Где возможно, я поместил предлагаемые команды исправления в подробный вывод аудита. Опять же, в некоторых случаях их можно выполнить только через CLI. Дополнительную информацию смотрите в CIS Benchmark.
Кроме того, я добавил режим рекомендаций, который проверяет AWS на соответствие публично доступным лучшим практикам от таких компаний, как Cloud Conformity.
Поддерживается следующий вывод управления конфигурацией:
Эта опция выводит пример кода/блоков управления конфигурацией ansible для реализации рекомендации.
Для UNIX:
Для AWS:
Для Azure:
Usage: ./lunar.sh -switch|--switch
switch(es):
-----------
-1|--list)
List changes/backups
-2|--tests)
Print tests
-3|--printfunct)
Print function
-4|--dryrun)
Run in dryrun mode
-6|--format)
Outpt format/type
-7|--file)
Output file
-8|--usesudo)
Use sudo
-9|--checkenv)
Run a selected environment check (for example, shellcheck)
-0|--force)
Force action
-a|--audit)
Run in audit mode (for Operating Systems - no changes made to system)
-A|--fullaudit)
Run in audit mode and include filesystems (for Operating Systems - no changes made to system)
-b|--backups|--listbackups)
List backups
-B|--basedir)
Set base directory
-c|--codename|--distro)
Docker image name, or Multipass release codename
-C|--shell)
Run docker-compose testing suite (drops to shell in order to do more testing)
-d|--dockeraudit)
Run in audit mode (for Docker - no changes made to system)
-D|--dockertests)
List all Docker functions available to selective mode
-e|--host)
Run in audit mode on external host (for Operating Systems - no changes made to system)
-E|--hash|--passwordhash)
Password hash
-f|--action)
Action (e.g delete - used with multipass)
-F|--tempfile)
Temporary file to use for operations
-g|--giturl)
Git URL for code to copy to container
-G|--wheelgroup)
Set wheel group
-h|--help)
Display help
-H|--usage)
Display usage
-i|--anacron)
Enable/Disable anacron
-I|--type)
Audit type
-k|--kubeaudit)
Run in audit mode (for Kubernetes - no changes made to system)
-K|--function|--test)
Do a specific function
-l|--lockdown)
Run in lockdown mode (for Operating Systems - changes made to system)
-L|--fulllockdown|fulllock)
Run in lockdown mode (for Operating Systems - changes made to system)
-m|--machine|--vm)
Set virtualisation type
-M|--workdir)
Set work directory
-n|--ansible)
Output ansible
-N|--nocat)
Do output cat in score
-o|--os|--osver)
Set OS version
-O|--osinfo|--systeminfo)
Print OS/System information
-p|--previous)
Print previous audit information
-P|--sshsandbox|--sandbox)
Enable/Disabe SSH sandbox
-q|--quiet|--nostrict)
Run in quiet mode
-Q|--debug)
Run in debug mode
-r|--awsregion|--region)
Set AWS region
-R|--moduleinfo|--testinfo)
Print information about a module
-s|--select|--check)
Run in selective mode (only run tests you want to)
-S|--unixtests|--unix)
List UNIX tests
-t|--tag|--name)
Set docker tag
-T|--tempdir)
Set temp directoru
-u|--undo)
Undo lockdown (for Operating Systems - changes made to system)
-U|--dofiles)
Include filesystems
-v|--verbose)
Run in verbose mode
-V|--version)
Print version
-w|--awsaudit)
Run in audit mode (for AWS - no changes made to system)
-W|--awstests|--aws)
List all AWS functions available to selective mode
-x|--awsrec)
Run in recommendations mode (for AWS - no changes made to system)
-X|--strict|--shellcheck)
Run shellcheck against script
-z)
Run specified audit function in lockdown mode
-Z|--changes|--listchanges)
List changes