os-hardening (Chef cookbook)

描述

本 cookbook 提供了众多与安全相关的配置，提供全面的基础保护。

它配置：

配置包管理，例如仅允许签名包
移除存在已知问题的包
配置 pam 和 pam_limits 模块
Shadow 密码套件配置
配置系统路径权限
通过软限制禁用核心转储
将 Root 登录限制在系统控制台
设置 SUID
通过 sysctl 配置内核参数

它不会：

更新系统包
安装安全补丁

要求

Chef >= 14.13.11

平台

Ubuntu 20.04, 22.04, 24.04, 26.04
CentOS Stream 9, 10
AlmaLinux 8, 9, 10
Rocky Linux 8, 9, 10
Oracle Linux 8, 9, 10
Debian 13
Fedora 43, 44

属性

['os-hardening']['components'][COMPONENT_NAME] - 允许通过默认 recipe 精细控制应执行哪些组件。详见下文
['os-hardening']['desktop']['enable'] = false 如果这是桌面系统（即 Xorg、KDE/GNOME/Unity 等），则为 true
['os-hardening']['network']['forwarding'] = false 如果此系统需要数据包转发（例如路由器），则为 true，否则为 false
['os-hardening']['network']['ipv6']['enable'] = false
['os-hardening']['network']['arp']['restricted'] = true 如果你希望限制 ARP 通告和应答行为，则为 true，否则为 false
['os-hardening']['env']['extra_user_paths'] = [] 向用户的 PATH 变量添加额外路径（默认为空）。
['os-hardening']['env']['umask'] = "027"
['os-hardening']['env']['root_path'] = "/" root 挂载的位置
['os-hardening']['auth']['pw_max_age'] = 60 最大密码年龄
['os-hardening']['auth']['pw_min_age'] = 7 最小密码年龄（在允许任何其他密码更改之前）

控制包含的组件

default.rb 根据系统的 ohai 自动检测属性包含其他组件。例如，不要在非 RHEL 系统上执行 selinux。你可以通过在 override 级别设置 node['os-hardening']['components'] 中的属性来覆盖此行为，并强制执行或不执行组件。示例

# 某个属性文件
# 不包含 sysctl 和 auditd
override['os-hardening']['components']['sysctl'] = false
override['os-hardening']['components']['auditd'] = false

# 强制包含 selinux
override['os-hardening']['components']['selinux'] = true

在当前实现中，不同组件位于不同的 recipes 中。有关可能的组件名称，请参阅可用的 recipes 或 default.rb。

使用方法

将 recipes 添加到 run_list，它应该放在最后：

"recipe[os-hardening]"

配置属性：

"security" : {
  "kernel" : {
    "enable_module_loading" : true
  }
},

本地测试

请安装 chef-dk、VirtualBox 或 VMware Workstation 以及 Vagrant。

使用 rubocop 和 foodcritic 检查代码风格：

$ chef exec rake lint
.....

单元/规范测试使用 chefspec 完成：

$ chef exec rake spec
.....

集成测试使用 test-kitchen 和 inspec 完成：

$ chef exec rake kitchen
.....
# 或者你可以直接使用 kitchen
$ kitchen test

Fork 的 CI 测试

你可以在 Travis CI 中启用对 fork 的测试。默认情况下，你将获得使用 kitchen-dokken 的代码风格检查、规范测试和集成测试。

使用 kitchen-dokken 的集成测试并不能覆盖所有内容，因为它们运行在容器环境中。可以使用 DigitalOcean 执行完整的集成测试。

如果你希望为 fork 运行完整的集成测试，则需要在 fork 的设置中添加以下环境变量：

DIGITALOCEAN_ACCESS_TOKEN - DigitalOcean 的访问令牌
CI_SSH_KEY - 某个 ssh 密钥的私钥部分，可用于 DigitalOcean 上的实例，以 base64 编码形式提供（例如 cat id_rsa | base64 -w0 ; echo）
DIGITALOCEAN_SSH_KEY_IDS - CI_SSH_KEY 在 DigitalOcean 中的 ID，更多信息请参阅此处

贡献者 + 致谢

Dominik Richter arlimus
Bernhard Weisshuhn bkw
Christoph Hartmann chris-rock
Edmund Haselwanter ehaselwanter
Patrick Meier atomic111
Artem Sidorenko artem-sidorenko

本 cookbook 主要基于以下指南：

感谢你们所有人！！

贡献

请参阅贡献者指南。

许可证与作者

作者:: Dominik Richter [email protected]
作者:: Deutsche Telekom AG

根据 Apache 许可证 2.0 版（“许可证”）授权；除非遵守许可证，否则你不得使用此文件。你可以在以下位置获取许可证副本：

http://www.apache.org/licenses/LICENSE-2.0

除非适用法律要求或书面同意，否则根据许可证分发的软件按“原样”分发，不附带任何明示或暗示的保证或条件。请参阅许可证以了解特定语言下的权限和限制。

chef-os-hardening

最受欢迎