Como configurar e verificar a conformidade com o CIS

Este documento explica o que é o comparativo de mercado da CIS, como ele se relaciona ao Container-Optimized OS (COS), como auditar o status de conformidade na instância e como resolver problemas em caso de falha.

Visão geral

O Center for Internet Security (CIS) lança comparativos de mercado para práticas recomendadas de segurança para várias plataformas. O comparativo de mercado da CIS para Container-Optimized OS é um conjunto de recomendações para configurar instâncias que usam o Container-Optimized OS para oferecer uma postura de segurança sólida. As imagens do COS x86 e ARM estão em conformidade com a CIS.

Como acessar o comparativo de mercado

O comparativo de mercado da CIS para Container-Optimized OS está disponível no site da CIS:

• Acesse a página de downloads de comparativos de mercado da CIS.
• Pesquise Comparativo de mercado da CIS para Google Container-Optimized OS.
• Clique em Fazer download do PDF.

Níveis de recomendação de segurança

A CIS define os seguintes níveis de recomendação para o Container-Optimized OS.

Nível 1

As recomendações nesse nível são aplicáveis à maioria dos ambientes. Esse nível inclui recomendações como as seguintes:

• A randomização do layout do espaço de endereço está ativada
• O /tmp não pode ser usado para executar binários executáveis
• O envio de redirecionamento de pacotes está desativado

Nível 2

As recomendações nesse nível estendem as recomendações de nível 1, resultando em um ambiente de segurança mais rigoroso. As recomendações de nível 2 não são necessariamente aplicáveis a todos os casos, porque podem exigir mudanças no aplicativo. Avalie as recomendações no nível 2 para seu ambiente antes de aplicá-las. Esse nível inclui recomendações como as seguintes:

• Existem regras de firewall para todas as portas abertas
• Redirecionamentos de ICMP e anúncios de roteador não são aceitos
• O tempo limite do shell de usuário padrão é de 900 segundos ou menos

Como o Container-Optimized OS está em conformidade com os comparativos de mercado da CIS

A partir do Milestone 97, as imagens do Container-Optimized OS estão em conformidade com o nível 1 da CIS por padrão e oferecem uma opção para estar em conformidade com o nível 2 da CIS. Também oferecemos um scanner que pode ser usado para auditar sua instância em relação aos níveis de recomendação da CIS.

A configuração da CIS que define as recomendações está presente em /usr/share/google/security/cis-compliance/cis_config.textproto. O scanner da CIS usa a configuração para verificar o status de conformidade da instância. Os resultados de cada execução do scanner de conformidade de nível da CIS são gravados em /var/lib/google/cis_scanner_scan_result.textproto. Esse arquivo é substituído em cada execução do scanner da CIS. Se alguma das verificações de nível 1 ou 2 da CIS falhar, o arquivo cis_scanner_scan_result.textproto vai conter uma lista de todas as verificações com falha.

Verificar o status de conformidade da instância

As imagens do Container-Optimized OS fornecem os seguintes serviços do systemd para verificação e configuração de conformidade:

• cis-level1.service: ativado por padrão e iniciado na inicialização. Quando o serviço é iniciado, ele verifica se a instância está em conformidade com o nível 1 da CIS.
• cis-level2.service: desativado por padrão. Esse serviço permite configurar a instância para estar em conformidade com o nível 2 da CIS e verifica o status de conformidade em relação aos níveis 1 e 2.

As seções a seguir explicam como verificar o status de conformidade da instância e como automatizar o processo de auditoria.

Verificar o status de conformidade do nível 1 da CIS

Para saber se a instância está em conformidade com o nível 1 da CIS, verifique o status do cis-level1.service:

systemctl status cis-level1

O resultado será assim:

Reading scan config from /usr/share/google/security/cis-compliance/cis_config.textproto
Running scan of 62 benchmarks
Scan status: SUCCEEDED
Found 0 non-compliant benchmarks
Writing scan results to /var/lib/google/cis_scanner_scan_result.textproto

Se houver verificações não conformes encontradas, consulte Falhas na verificação de conformidade de nível 1/nível 2 da CIS.

O cis-level1.service verifica a conformidade de nível 1 da CIS apenas uma vez, quando a instância é inicializada. Para configurar a verificação de conformidade periódica, consulte Verificação periódica do status de conformidade da CIS.

Configurar a conformidade de nível 2 da CIS e verificar o status

É possível usar o serviço cis-level2 para configurar a instância para estar em conformidade com o nível 2 da CIS e verificar o status de conformidade em relação aos níveis 1 e 2. O serviço do systemd oferece suporte a todas as recomendações de nível 2 da CIS exceto as seguintes:

• 4.1.1.2 Verifique se o registro está em execução (ID: logging-service-running)

  Essa recomendação é desativada por padrão, mas pode ser reativada excluindo o ID da lista de desativação, que pode ser encontrada no arquivo /etc/cis-scanner/env_vars. Essa verificação só existe nos marcos 109 e mais recentes. Em marcos anteriores, ativar o registro por conta própria faz com que você esteja em conformidade com essa recomendação. Se você desfizer a desativação, a execução do serviço cis-level2 vai executar um script que inicia o registro do fluent-bit. Mantenha logging-service-running desativado se não quiser usar nosso registro padrão ou se quiser usar seu próprio registro.

Para as recomendações a seguir, o serviço cis-level2 configura a instância, mas não verifica o status de conformidade:

• 105 e versões anteriores:

  • 3.3.1.1 Verifique se a política de firewall de negação padrão IPv6
  • 3.3.1.2 Verifique se o tráfego de loopback do IPv6 está configurado
  • 3.3.1.3 Verifique se as conexões de saída e estabelecidas do IPv6 estão configuradas
  • 3.3.1.4 Verifique se existem regras de firewall IPv6 para todas as portas abertas
  • 3.3.2.1 Verifique se a política de firewall de negação padrão
  • 3.3.2.2 Verifique se o tráfego de loopback está configurado
  • 3.3.2.3 Verifique se as conexões de saída e estabelecidas estão configuradas

• 109 e versões mais recentes:

  • 3.3.1.4 Verifique se existem regras de firewall IPv6 para todas as portas abertas

O serviço cis-level2 está desativado por padrão. Para iniciar o serviço, execute o seguinte comando:

systemctl start cis-level2.service

Para saber se a instância foi configurada corretamente e está em conformidade com as recomendações de nível 2 da CIS, verifique o status de cis-level2.service:

systemctl status cis-level2

O resultado será assim:

Reading scan config from /usr/share/google/security/cis-compliance/cis_config.textproto
Running scan of 112 benchmarks
Scan status: SUCCEEDED
Found 0 non-compliant benchmarks
Writing scan results to /var/lib/google/cis_scanner_scan_result.textproto

Se a configuração da instância falhar ou se houver verificações não conformes encontradas, consulte Solução de problemas.

O serviço cis-level2 configura a instância e verifica a conformidade de nível 2 da CIS apenas uma vez. Para configurar a verificação de conformidade periódica, consulte Verificação periódica do status de conformidade da CIS.

Verificação periódica do status de conformidade da CIS

As imagens do Container-Optimized OS incluem os seguintes serviços para verificar periodicamente a conformidade da CIS:

• cis-compliance-scanner.service: verifica o status de conformidade com base nas variáveis de ambiente definidas em /etc/cis-scanner/env_vars. Por padrão, esse serviço verifica a conformidade de nível 1 da CIS e está desativado.
• cis-compliance-scanner.timer: executa cis-compliance-scanner.service periodicamente. O período padrão é uma vez por dia.

Configurar o serviço do scanner

O cis-compliance-scanner.service é responsável por verificar o status de conformidade da CIS com base nas variáveis de ambiente definidas em /etc/cis-scanner/env_vars. Por padrão, esse serviço verifica a conformidade de nível 1 da CIS.

Para verificar a conformidade de nível 2 da CIS, defina a variável de ambiente LEVEL em /etc/cis-scanner/env_vars como 2. O arquivo /etc/cis-scanner/env_vars é semelhante ao seguinte:

# cis-compliance-scanner.service environment variables
# The config file defines which checks to perform by cis_scanner
CONFIG="/usr/share/google/security/cis-compliance/cis_config.textproto"
# Where to store the result of the scan
RESULT="/var/lib/google/cis_scanner_scan_result.textproto"
# Upto which level to scan. It can be 1 or 2
LEVEL="2"
# Extra options that can be passed to cis_scanner
# For valid options, see output of `cis_scanner -h`
EXTRA_OPTIONS=""

Configurar o timer

Para configurar a verificação de conformidade periódica, inicie a unidade cis-compliance-scanner.timer:

systemctl start cis-compliance-scanner.timer

Por padrão, cis-compliance-scanner.timer inicia cis-compliance-scanner.service uma vez por dia. Para mudar o período de verificação, substitua o campo OnUnitActiveSec da unidade cis-compliance-scanner.timer:

sudo mkdir /etc/systemd/system/cis-compliance-scanner.timer.d
sudo tee /etc/systemd/system/cis-compliance-scanner.timer.d/override.conf <<EOF
[Unit]
Description=Run CIS Scanner once an hour
[Timer]
OnUnitActiveSec=1h
EOF

Este exemplo define o período do scanner como uma vez por hora.

Para aplicar as mudanças, recarregue as unidades do systemd:

systemctl daemon-reload

Como desativar verificações de conformidade específicas da CIS

As recomendações de nível 1 e 2 da CIS são feitas para serem aplicáveis à maioria dos ambientes. No entanto ,algumas recomendações podem não ser aplicáveis ao seu ambiente específico. Para desativar recomendações específicas, use a variável de ambiente EXTRA_OPTIONS em /etc/cis-scanner/env_vars.

O exemplo de arquivo env_vars a seguir desativa a recomendação etc-passwd-permissions:

# cis-compliance-scanner.service environment variables
# The config file defines which checks to perform by cis_scanner
CONFIG="/usr/share/google/security/cis-compliance/cis_config.textproto"
# Where to store the result of the scan
RESULT="/var/lib/google/cis_scanner_scan_result.textproto"
# Upto which level to scan. It can be 1 or 2
LEVEL="1"
# Extra options that can be passed to cis_scanner
# For valid options:`cis_scanner -h`
EXTRA_OPTIONS="--benchmark-opt-out-ids=etc-passwd-permissions"

Automatizar a ativação e a verificação do status de conformidade da CIS

É possível automatizar o processo de verificação de conformidade das instâncias usando o cloud-init ou a política do SO. Os exemplos a seguir mostram alguns casos de uso com cada ferramenta:

• Exemplo 1: verificar a conformidade de nível 1 da CIS uma vez por dia.
• Exemplo 2: verificar a conformidade de nível 1 da CIS uma vez por hora.
• Exemplo 3: verificar a conformidade de nível 2 da CIS uma vez por dia.
• Exemplo 4: desativar uma verificação de conformidade específica da CIS.

Como usar o cloud-init

Antes de tentar os exemplos a seguir, verifique se você está familiarizado com a configuração de uma instância do COS com o cloud-init seguindo as instruções em Como usar o cloud-init com o formato de configuração do Cloud.

#cloud-config

runcmd:
# Check the compliance status of the instance once a day.
- systemctl start cis-compliance-scanner.timer

#cloud-config

# Override cis-compliance-scanner.timer with 1 hour frequency.
write_files:

- path: /etc/systemd/system/cis-compliance-scanner.timer.d/override.conf
  permissions: 0600
  owner: root
  content: |
    [Unit]
    Description=Run CIS Scanner once an hour

    [Timer]
    OnUnitActiveSec=1h

runcmd:
# Reload systemd units.
- systemctl daemon-reload
# Check the compliance status of the instance once an hour.
- systemctl start cis-compliance-scanner.timer

#cloud-config

runcmd:
# Configure the instance for CIS level 2.
- systemctl start cis-level2.service
# Change the scan level to CIS Level 2.
- sed -i 's/^LEVEL=.*$/LEVEL="2"/' /etc/cis-scanner/env_vars
# Check the compliance status of the instance once a day.
- systemctl start cis-compliance-scanner.timer

#cloud-config

runcmd:
# Opt-out of the etc-passwd-permissions check.
- sed -i 's/^EXTRA.*$/EXTRA_OPTIONS="--benchmark-opt-out-ids=etc-passwd-permissions"/' /etc/cis-scanner/env_vars
# Check the compliance of the instance once a day.
- systemctl start cis-compliance-scanner.timer

Como usar a política do SO

É possível usar uma política do SO para configurar a verificação de comparativo de mercado da CIS. Antes de começar, verifique se você está familiarizado com a política do SO, incluindo o seguinte:

• Como escrever uma política do SO
• Atribuição de política do SO
• Como visualizar relatórios de atribuição de política do SO

Além disso, é necessário adicionar as opções instanceFilter e rollout nos exemplos a seguir para a implantação.

# An OS policy to check CIS level 1 compliance once a day.
id: ensure-cis-level1-compliance-once-a-day-policy
mode: ENFORCEMENT
resourceGroups:
  - resources:
      id: ensure-cis-level1-compliance-once-a-day
      exec:
        validate:
          interpreter: SHELL
          # If cis-compliance-scanner.service is active, return an exit code
          # 100 to indicate that the instance is in compliant state.
          # Otherwise, return an exit code of 101 to run `enforce` step.
          script: |-
            is_active=$(systemctl is-active cis-compliance-scanner.timer)
            result=$(systemctl show -p Result --value cis-compliance-scanner.service)

            if [ "$is_active" == "active" ] && [ "$result" == "success" ]; then
              exit 100;
            else
              exit 101;
            fi
        enforce:
          interpreter: SHELL
          # COS 97 images are by-default CIS Level 1 compliant and there is no
          # additional configuration needed. However, if certain changes
          # cause non-compliance because of the workload on the instance, this
          # section can be used to automate to make fixes. For example, the
          # workload might generate a file that does not comply with the
          # recommended file permissions.
          # Return an exit code of 100 to indicate that the desired changes
          # successfully applied.
          script: |-
            # optional <your code>
            # Check the compliance of the instance once a day.
            systemctl start cis-compliance-scanner.timer && exit 100

# An OS policy to check CIS level 1 compliance once an hour.
id: ensure-cis-level1-compliance-once-an-hour-policy
mode: ENFORCEMENT
resourceGroups:
  - resources:
      id: ensure-cis-level1-compliance-once-an-hour
      exec:
        validate:
          interpreter: SHELL
          # If cis-compliance-scanner.service is active, return an exit code
          # 100 to indicate that the instance is in compliant state.
          # Otherwise, return an exit code of 101 to run `enforce` step.
          script: |-
            is_active=$(systemctl is-active cis-compliance-scanner.timer)
            result=$(systemctl show -p Result --value cis-compliance-scanner.service)

            if [ "$is_active" == "active" ] && [ "$result" == "success" ]; then
              exit 100;
            else
              exit 101;
            fi
        enforce:
          interpreter: SHELL
          # Return an exit code of 100 to indicate that the desired changes
          # were successfully applied.
          script: |-
            # Overwrite "OnUnitActiveSec" field of the
            # cis-compliance-scanner.timer to trigger
            # cis-compliance-scanner.service once an hour
            # instead of once a day.
            mkdir /etc/systemd/system/cis-compliance-scanner.timer.d
            tee /etc/systemd/system/cis-compliance-scanner.timer.d/override.conf <<EOF
            [Unit]
            Description=Run CIS Scanner once an hour

            [Timer]
            OnUnitActiveSec=1h
            EOF
            # Reload systemd units.
            systemctl daemon-reload
            # Check the compliance of the instance once an hour.
            systemctl start cis-compliance-scanner.timer && exit 100

# An OS policy to check CIS level 2 compliance once a day.
id: ensure-cis-level2-compliance-once-a-day-policy
mode: ENFORCEMENT
resourceGroups:
  - resources:
      id: ensure-cis-level2-compliance-once-a-day
      exec:
        validate:
          interpreter: SHELL
          # If cis-compliance-scanner.service is active, return an exit code
          # 100 to indicate that the instance is in compliant state.
          # Otherwise, return an exit code of 101 to run `enforce` step.
          script: |-
            is_active=$(systemctl is-active cis-compliance-scanner.timer)
            result=$(systemctl show -p Result --value cis-compliance-scanner.service)

            if [ "$is_active" == "active" ] && [ "$result" == "success" ]; then
              exit 100;
            else
              exit 101;
            fi
        enforce:
          interpreter: SHELL
          # Return an exit code of 100 to indicate that the desired changes
          # were successfully applied.
          script: |-
            # Configure the instance for CIS level 2.
            systemctl start cis-level2.service
            # Change the scan level to 2.
            sed -i 's/^LEVEL=.*$/LEVEL="2"/' /etc/cis-scanner/env_vars
            # Check the compliance of the instance once a day.
            systemctl start cis-compliance-scanner.timer && exit 100

# An OS policy to opt-out of CIS check and check compliance status once a day.
id: exclude-cis-check-and-check-compliance-once-a-day-policy
mode: ENFORCEMENT
resourceGroups:
  - resources:
      id: exclude-cis-check-and-check-compliance-once-a-day
      exec:
        validate:
          interpreter: SHELL
          # If cis-compliance-scanner.service is active, return an exit code
          # 100 to indicate that the instance is in compliant state.
          # Otherwise, return an exit code of 101 to run `enforce` step.
          script: |-
            is_active=$(systemctl is-active cis-compliance-scanner.timer)
            result=$(systemctl show -p Result --value cis-compliance-scanner.service)

            if [ "$is_active" == "active" ] && [ "$result" == "success" ]; then
              exit 100;
            else
              exit 101;
            fi
        enforce:
          interpreter: SHELL
          # Return an exit code of 100 to indicate that the desired changes
          # were successfully applied.
          script: |-
            # Opt-out of the etc-passwd-permissions check.
            sed -i 's/^EXTRA.*$/EXTRA_OPTIONS="--benchmark-opt-out-ids=etc-passwd-permissions"/' /etc/cis-scanner/env_vars &&
            # Check the compliance of the instance once a day.
            systemctl start cis-compliance-scanner.timer
            # Ensure cis-compliance-scanner completes before exiting
            PID=$(systemctl show --property MainPID --value cis-compliance-scanner.service) &&
            timeout 5m bash -c -- 'while [ -e /proc/'$PID' ]; do echo "CIS Scanner with PID:'$PID' is still running"; sleep 1; done' &&
            exit 100

Solução de problemas

Esta seção descreve como resolver problemas relacionados à verificação de comparativo de mercado da CIS.

A configuração de uma instância para estar em conformidade com as recomendações de nível 2 da CIS falha

O serviço cis-level2 primeiro configura a instância para estar em conformidade com as recomendações de nível 2 da CIS e, em seguida, verifica a conformidade com os níveis 1 e 2 da CIS. Caso a configuração da instância falhe, o serviço cis-level2 será encerrado com a seguinte mensagem de erro:

Job for cis-level2.service failed because the control process exited with error code.
See "systemctl status cis-level2.service" and "journalctl -xeu cis-level2.service" for details.

Os registros do journal vão mencionar as recomendações que não foram aplicadas na instância e que resultaram na falha do serviço do systemd cis-level2.

Falhas na verificação de conformidade de nível 1 ou 2 da CIS

Os resultados da verificação de cada execução de conformidade de nível da CIS são gravados em /var/lib/google/cis_scanner_scan_result.textproto. Se alguma das verificações de nível 1 ou 2 da CIS falhar, o arquivo textproto vai conter a lista de todas as verificações com falha, como no exemplo a seguir:

cat /var/lib/google/cis_scanner_scan_result.textproto

# Output
start_time: {
  seconds: 1648241700
  nanos: 763152171
}
end_time: {
  seconds: 1648241700
  nanos: 812992527
}
scanner_version: "1.1.4.3"
benchmark_version: "1.0.0"
status: {
  status: SUCCEEDED
}
non_compliant_benchmarks: {
  id: "etc-passwd-permissions"
  compliance_occurrence: {
    non_compliant_files: {
      path: "/etc/passwd"
      reason: "File permission is 0664, expected the following bits to be set: 0444 and the following bits to be clear: 0133"
    }
  }
}
compliant_benchmarks:  {
  id:  "etc-passwd-permissions"
  compliance_occurrence:  {}
}

Para atenuar as verificações com falha, use o comparativo de mercado da CIS e siga as etapas na seção Remediation para a verificação com falha para deixar a instância em conformidade. Para encontrar qual recomendação corresponde a uma verificação com falha no comparativo de mercado da CIS, procure o non_compliant_benchmark's ID no arquivo de configuração do scanner da CIS localizado em /usr/share/google/security/cis-compliance/cis_config.textproto.