“Bilgi ve İletişim Güvenliği Rehberi” Linux İşletim Sistemi Sıkılaştırma Tedbirleri – Debian Linux 10 – CIS Benchmark
Bilgi ve İletişim Güvenliği Rehberi uyum çalışmalarını yürüten kurumlara destek olmak amacıyla bir dizi yazı yayınlıyorum. CIS Benchmark’lar ile Bilgi ve İletişim Güvenliği tedbirlerinin eşleştirmelerini sunmayı hedefliyorum. Bu yazımda “Debian Linux 10” işletim sistemi sıkılaştırmalarının Nessus gibi otomatize araçlarla uygulanma durumunu CIS kontrolleri ile yapabilmenize yardımcı olmayı hedefliyorum.
| Tedbir Alt Başlık | Tedbir No. | Tedbir Adı | Tedbir Tanımı | CIS Debian 10 CIS_Debian_Linux_10_Benchmark_v1.0.0 |
| 5.1.2. Linux İşletim Sistemi Sıkılaştırma Tedbirleri | 5.1.2.1 | Kullanılmayan Dosya Sistemlerinin Pasif Hale Getirilmesi | Kullanılmayan dosya sistemleri (cramfs, freevxfs, hfs vb.) pasif hale getirilmelidir. | 1.1.1.1 Ensure mounting of freevxfs filesystems is disabled (Scored) 1.1.1.2 Ensure mounting of jffs2 filesystems is disabled (Scored) 1.1.1.3 Ensure mounting of hfs filesystems is disabled (Scored) 1.1.1.4 Ensure mounting of hfsplus filesystems is disabled (Scored) 1.1.1.5 Ensure mounting of squashfs filesystems is disabled (Scored) 1.1.1.6 Ensure mounting of udf filesystems is disabled (Scored) |
| 5.1.2. Linux İşletim Sistemi Sıkılaştırma Tedbirleri | 5.1.2.2 | Yetkili Kullanıcı Hesap Yönetimi | Sisteme erişecek her kişi için ayrı bir kullanıcı hesabı oluşturulmalıdır. Oluşturulan kullanıcılar için yetkiler belirlenmelidir. Kullanılmayan hesaplar kaldırılmalıdır. Sistem kullanıcılarının kabuğu /sbin/nologin olmalıdır. Root login mümkünse engellenmelidir. Tüm makinelerde UID değeri 0 olan tek kullanıcı root olmalıdır. Ayrıca aynı isme veya UID değerine sahip kullanıcı veya grup bulunmamalıdır. Servis ve sistem kullanıcıları hariç parolasız kullanıcılar bulunmamalıdır. Sudoers kullanıcıları değişikliklere karşı takip edilmelidir. | 4.1.7 Ensure login and logout events are collected (Scored) 4.1.14 Ensure changes to system administration scope (sudoers) is collected (Scored) 4.1.15 Ensure system administrator actions (sudolog) are collected (Scored) 5.2.10 Ensure SSH root login is disabled (Scored) 5.2.11 Ensure SSH PermitEmptyPasswords is disabled (Scored) 5.3.1 Ensure password creation requirements are configured (Scored) 5.3.2 Ensure lockout for failed password attempts is configured (Scored) 5.3.3 Ensure password reuse is limited (Scored) 5.3.4 Ensure password hashing algorithm is SHA-512 (Scored) 5.4.1.1 Ensure password expiration is 365 days or less (Scored) 5.4.1.2 Ensure minimum days between password changes is configured (Scored) 5.4.1.3 Ensure password expiration warning days is 7 or more (Scored) 5.4.2 Ensure system accounts are secured (Scored) 5.4.3 Ensure default group for the root account is GID 0 (Scored) 5.5 Ensure root login is restricted to system console (Not Scored) 6.2.6 Ensure root is the only UID 0 account (Scored) |
| 5.1.2. Linux İşletim Sistemi Sıkılaştırma Tedbirleri | 5.1.2.3 | Dosya Sistemi Güvenli Erişim Düzenlemeleri | İçeriği değiştiğinde, silindiğinde veya taşındığında sistemin çalışmasını olumsuz yönde etkileyebilecek çalışma dosyalarının, kütüphanelerin ve yapılandırma dosyalarının (SUID ve SGID dosyaları, kayıt dosyaları, cron dosyaları, başlangıç betikleri, /etc/passwd, /etc/shadow vb.) yetkilendirmeleri amacına uygun şekilde düzenlenmeli ve kurum politikaları doğrultusunda denetlenmelidir. Varsayılan kullanıcı umask değeri en az yetki prensibine göre ayarlanmalıdır. | 4.1.4 Ensure events that modify user/group information are collected (Scored) 4.1.5 Ensure events that modify the system’s network environment are collected (Scored) 4.1.6 Ensure events that modify the system’s Mandatory Access Controls are collected (Scored) 5.1.1 Ensure cron daemon is enabled (Scored) 5.1.2 Ensure permissions on /etc/crontab are configured (Scored) 5.1.7 Ensure permissions on /etc/cron.d are configured (Scored) 5.1.8 Ensure at/cron is restricted to authorized users (Scored) 6.1.2 Ensure permissions on /etc/passwd are configured (Scored) 6.1.3 Ensure permissions on /etc/gshadow- are configured (Scored) 6.1.4 Ensure permissions on /etc/shadow are configured (Scored) 6.1.5 Ensure permissions on /etc/group are configured (Scored) 6.1.6 Ensure permissions on /etc/passwd- are configured (Scored) 6.1.7 Ensure permissions on /etc/shadow- are configured (Scored) 6.1.8 Ensure permissions on /etc/group- are configured (Scored) 6.1.9 Ensure permissions on /etc/gshadow are configured (Scored) 6.1.13 Audit SUID executables (Not Scored) 6.1.14 Audit SGID executables (Not Scored) 6.1.10 Ensure no world writable files exist (Scored) |
| 5.1.2. Linux İşletim Sistemi Sıkılaştırma Tedbirleri | 5.1.2.4 | Güvenli Disk Bölümlendirme | İşletim sistemi dosyaları ile kullanıcı dosyaları, /home, /root, /boot, /tmp vb. birimler ayrı disk bölümlerinde tutulmalıdır. | 1.1.6 Ensure separate partition exists for /var (Scored) 1.1.7 Ensure separate partition exists for /var/tmp (Scored) 1.1.11 Ensure separate partition exists for /var/log (Scored) 1.1.12 Ensure separate partition exists for /var/log/audit (Scored) 1.1.13 Ensure separate partition exists for /home (Scored) |
| 5.1.2. Linux İşletim Sistemi Sıkılaştırma Tedbirleri | 5.1.2.5 | Otomatik Başlatma (Mount) Özelliğinin Pasif Hale Getirilmesi | CD/DVD ve USB gibi harici medyanın otomatik olarak mount edilmesini önlemek adına otomatik mount özelliği pasif hale getirilmelidir. Ayrıca /tmp dizini gibi mount noktalarında noexec, nodev, nosuid parametreleriyle çalıştırılabilir dosyalar pasif hale getirilmelidir. | 1.1.1.1 Ensure mounting of freevxfs filesystems is disabled (Scored) 1.1.1.2 Ensure mounting of jffs2 filesystems is disabled (Scored) 1.1.1.3 Ensure mounting of hfs filesystems is disabled (Scored) 1.1.1.4 Ensure mounting of hfsplus filesystems is disabled (Scored) 1.1.1.5 Ensure mounting of squashfs filesystems is disabled (Scored) 1.1.1.6 Ensure mounting of udf filesystems is disabled (Scored) 1.1.1.7 Ensure mounting of FAT filesystems is limited (Not Scored) 1.1.3 Ensure nodev option set on /tmp partition (Scored) 1.1.4 Ensure nosuid option set on /tmp partition (Scored) 1.1.5 Ensure noexec option set on /tmp partition (Scored) 1.1.22 Disable Automounting (Scored) 1.1.23 Disable USB Storage (Scored) |
| 5.1.2. Linux İşletim Sistemi Sıkılaştırma Tedbirleri | 5.1.2.6 | Dosya Sistemi Bütünlük Kontrollerinin Düzenli Olarak Yapılması | Önemli görülen dosyaların bütünlüğü düzenli olarak kontrol edilmelidir. | 1.4.1 Ensure AIDE is installed (Scored) 1.4.2 Ensure filesystem integrity is regularly checked (Scored) 6.2.7 Ensure root PATH Integrity (Scored) |
| 5.1.2. Linux İşletim Sistemi Sıkılaştırma Tedbirleri | 5.1.2.7 | Önyükleme (Boot) Ayarlarının Güvenli Şekilde Yapılandırılması | Kullanılan makinelerde önyükleyici (bootloader) parolası belirlenmeli ve zorunlu tutulmalıdır. Ayrıca tek kullanıcı modu için kimlik doğrulaması yapılmalıdır. Boot edilebilir cihazlar listesi kısıtlanmalıdır. Kullanılmıyorsa USB, Firewire, Thunderbolt, PCMCIA vb. cihazlar iptal edilmelidir. | 1.5.1 Ensure permissions on bootloader config are configured (Scored) 1.5.2 Ensure bootloader password is set (Scored) 1.5.3 Ensure authentication required for single user mode (Scored |
06.07.2019 tarihli ve 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri konulu Cumhurbaşkanlığı Genelgesi’ndeki; “… kamu kurum ve kuruluşları ile kritik altyapı niteliğinde hizmet veren işletmelerde uygulanmak üzere farklı güvenlik seviyeleri içeren”, “Bilgi ve İletişim Güvenliği Rehberi“, T.C. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi Başkanlığı tarafından 27.07.2020 tarihinde https://cbddo.gov.tr/bgrehber adresinden yayımlanarak erişime sunulmuştur.
CIS kıyas dokümanları ile Bilgi ve İletişim Güvenliği Rehberi Tedbirleri eşleştirmelerinde eksiklik, hata ya da yanlışlık tespit ederseniz lütfen iletişime geçiniz, teşekkürler.
