v2.3
This commit is contained in:
Luftmensch
@@ -0,0 +1,44 @@
|
||||
# -*- mode: python ; coding: utf-8 -*-
|
||||
|
||||
|
||||
block_cipher = None
|
||||
|
||||
|
||||
a = Analysis(
|
||||
['windows_audit.py'],
|
||||
pathex=[],
|
||||
binaries=[],
|
||||
datas=[('audit_cis_windows.ps1.enc', '.')],
|
||||
hiddenimports=['colorama', 'unidecode', 'Crypto', 'Crypto.Cipher', 'Crypto.PublicKey', 'Crypto.Util.Padding'],
|
||||
hookspath=[],
|
||||
hooksconfig={},
|
||||
runtime_hooks=[],
|
||||
excludes=[],
|
||||
win_no_prefer_redirects=False,
|
||||
win_private_assemblies=False,
|
||||
cipher=block_cipher,
|
||||
noarchive=False,
|
||||
)
|
||||
pyz = PYZ(a.pure, a.zipped_data, cipher=block_cipher)
|
||||
|
||||
exe = EXE(
|
||||
pyz,
|
||||
a.scripts,
|
||||
a.binaries,
|
||||
a.zipfiles,
|
||||
a.datas,
|
||||
[],
|
||||
name='AuditTool',
|
||||
debug=False,
|
||||
bootloader_ignore_signals=False,
|
||||
strip=False,
|
||||
upx=True,
|
||||
upx_exclude=[],
|
||||
runtime_tmpdir=None,
|
||||
console=True,
|
||||
disable_windowed_traceback=False,
|
||||
argv_emulation=False,
|
||||
target_arch=None,
|
||||
codesign_identity=None,
|
||||
entitlements_file=None,
|
||||
)
|
||||
Binary file not shown.
Binary file not shown.
Binary file not shown.
@@ -0,0 +1,201 @@
|
||||
Unnamed: 0,Unnamed: 1,KẾT QUẢ,Unnamed: 3,Unnamed: 4,Unnamed: 5
|
||||
,Hạng mục đánh giá ,Đáp ứng,,,Ghi chú
|
||||
,,Có ,Không,Bắt buộc,
|
||||
1,Thiết lập ban đầu,,,,
|
||||
1.1,Cấu hình filesystem,,,,
|
||||
1.1.1,Cấu hình vô hiệu hoá các filesystem không sử dụng,,,,
|
||||
1.1.1.1,Cấu hình vô hiệu hoá cramfs filesystem,,,,
|
||||
1.1.1.2,Cấu hình vô hiệu hoá freevxfs filesystem,,,,
|
||||
1.1.1.3,Cấu hình vô hiệu hoá hfs filesystem,,,,
|
||||
1.1.1.4,Cấu hình vô hiệu hoá hfsplus filesystem,,,,
|
||||
1.1.1.5,Cấu hình vô hiệu hoá jffs2 filesystem,,,,
|
||||
1.1.1.6,Cấu hình vô hiệu hoá squashfs filesystem,,,,
|
||||
1.1.1.7,Cấu hình vô hiệu hoá udf filesystem,,,,
|
||||
1.1.1.8,Cấu hình vô hiệu hoá usb storage,,,,
|
||||
1.1.2,Cấu hình phân vùng /tmp,,,,
|
||||
1.1.2.1,Cấu hình tuỳ chọn nodev cho phân vùng /tmp,,,,
|
||||
1.1.2.2,Cấu hình tuỳ chọn nosuid cho phân vùng /tmp,,,,
|
||||
1.1.2.3,Cấu hình tuỳ chọn noexec cho phân vùng /tmp,,,,
|
||||
1.1.3,Cấu hình phân vùng /var/tmp,,,,
|
||||
1.1.3.1,Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp,,,,
|
||||
1.1.3.2,Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp,,,,
|
||||
1.1.3.3,Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp,,,,
|
||||
1.1.4,Cấu hình phân vùng /home,,,,
|
||||
1.1.4.1,Cấu hình tuỳ chọn nodev cho phân vùng /home,,,,
|
||||
1.1.4.2,Cấu hình tuỳ chọn nosuid cho phân vùng /home,,,,
|
||||
1.1.5,Cấu hình phân vùng /dev/shm,,,,
|
||||
1.1.5.1,Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm,,,,
|
||||
1.1.5.2,Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm,,,,
|
||||
1.1.5.3,Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm,,,,
|
||||
1.2,Cấu hình cập nhật phần mềm,,,,
|
||||
1.2.1 ,Cấu hình kích hoạt gpgcheck,,,,
|
||||
1.3,Kiểm tra tính toàn vẹn của filesystem,,,,
|
||||
1.3.1,Kiểm tra cài đặt AIDE,,,,
|
||||
1.3.2 ,Cấu hình kiểm tra tính toàn vẹn của filesystem,,,,
|
||||
1.4,Cấu hình khởi động an toàn,,,,
|
||||
1.4.1,Phân quyền đối với file cấu hình bootloader,,,,
|
||||
1.4.2,Cấu hình mật khẩu cho bootloader,,,,
|
||||
1.4.3,Cấu hình xác thực khi truy cập single user mode,,,,
|
||||
1.4.4,Cấu hình vô hiệu hoá interactive boot ,,,,
|
||||
1.5,Additional Process Hardening,,,,
|
||||
1.5.1 ,Cấu hình vô hiệu hoá core dump,,,,
|
||||
1.5.2,Cấu hình kích hoạt ASLR (address space layout randomization),,,,
|
||||
1.5.3,Cấu hình vô hiệu hoá prelink,,,,
|
||||
1.6,Kiểm soát nội dung cảnh báo,,,,
|
||||
1.6.1,Kiểm soát nội dung motd (Message Of The Day),,,,
|
||||
1.6.2,Kiểm soát nội dung thông báo khi đăng nhập,,,,
|
||||
1.6.3,Kiểm soát nội dung thông báo khi đăng nhập từ xa,,,,
|
||||
1.6.4,Cấu hình phân quyền đối với file /etc/motd,,,,
|
||||
1.6.5,Cấu hình phân quyền đối với file /etc/issue,,,,
|
||||
1.6.6,Cấu hình phân quyền đối với file /etc/issue.net,,,,
|
||||
1.6.7,Kiểm soát nội dung thông báo khi truy cập GNOME,,,,
|
||||
2,Service,,,,
|
||||
2.1,Cấu hình Time Synchronization,,,,
|
||||
2.1.1,Cấu hình sử dụng chrony,,,x,
|
||||
2.1.2,Cấu hình sử dụng ntp,,,x,
|
||||
2.2,Các Service với mục đích riêng biệt,,,,
|
||||
2.2.1,Cấu hình vô hiệu hoá xinetd services,,,,
|
||||
2.2.2,Cấu hình vô hiệu hoá chargen services,,,,
|
||||
2.2.3,Cấu hình vô hiệu hoá daytime services,,,,
|
||||
2.2.4,Cấu hình vô hiệu hoá discard services,,,,
|
||||
2.2.5,Cấu hình vô hiệu hoá echo services,,,,
|
||||
2.2.6,Cấu hình vô hiệu hoá time services,,,,
|
||||
2.2.7,Cấu hình vô hiệu hoá rsh server,,,,
|
||||
2.2.8,Cấu hình vô hiệu hoá talk server,,,,
|
||||
2.2.9,Cấu hình vô hiệu hoá autofs services,,,,
|
||||
2.2.10,Cấu hình vô hiệu hoá X window server services,,,,
|
||||
2.2.11,Cấu hình vô hiệu hoá avahi daemon services,,,,
|
||||
2.2.12,Cấu hình vô hiệu hoá cups services,,,,
|
||||
2.2.13,Cấu hình vô hiệu hoá dhcp server services,,,,
|
||||
2.2.14,Cấu hình vô hiệu hoá ldap server services,,,,
|
||||
2.2.15,Cấu hình vô hiệu hoá dns server services,,,,
|
||||
2.2.16,Cấu hình vô hiệu hoá dnsmasq services,,,,
|
||||
2.2.17,Cấu hình vô hiệu hoá ftp server services,,,,
|
||||
2.2.18,Cấu hình vô hiệu hoá tftp server services,,,,
|
||||
2.2.19,Cấu hình vô hiệu hoá web server services,,,,
|
||||
2.2.20,Cấu hình vô hiệu hoá imap and pop3 server services,,,,
|
||||
2.2.21,Cấu hình vô hiệu hoá samba file server services,,,,
|
||||
2.2.22,Cấu hình vô hiệu hoá web proxy server services,,,,
|
||||
2.2.23,Cấu hình vô hiệu hoá snmp services,,,,
|
||||
2.2.24,Cấu hình vô hiệu hoá nis server services,,,,
|
||||
2.2.25,Cấu hình vô hiệu hoá telnet server services,,,,
|
||||
2.2.26,Cấu hình mail transfer agents sang chế độ local-only,,,,
|
||||
2.2.27,Cấu hình vô hiệu hoá network file system services,,,,
|
||||
2.2.28,Cấu hình vô hiệu hoá rpcbind services,,,,
|
||||
2.2.29,Cấu hình vô hiệu hoá rsync services,,,,
|
||||
2.3,Service Clients,,,,
|
||||
2.3.1,Cấu hình vô hiệu hoá nis client,,,,
|
||||
2.3.2,Cấu hình vô hiệu hoá rsh client,,,,
|
||||
2.3.3,Cấu hình vô hiệu hoá talk client,,,,
|
||||
2.3.4,Cấu hình vô hiệu hoá telnet client,,,,
|
||||
2.3.5,Cấu hình vô hiệu hoá ldap client,,,,
|
||||
2.3.6,Cấu hình vô hiệu hoá ftp client,,,,
|
||||
2.3.7,Cấu hình vô hiệu hoá tftp client,,,,
|
||||
3,Cấu hình mạng,,,,
|
||||
3.1,Tham số cấu hình mạng (Host Only),,,,
|
||||
3.1.1 ,Cấu hình vô hiệu hoá IP forwarding,,,,
|
||||
3.1.2,Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect),,,,
|
||||
3.2,Tham số cấu hình mạng (Host và Router),,,,
|
||||
3.2.1 ,Cấu hình từ chối các gói tin với nguồn được định tuyến trước,,,,
|
||||
3.2.2,Cấu hình từ chối các ICMP redirect message,,,,
|
||||
3.2.3,Cấu hình từ chối các secure ICMP redirect message,,,,
|
||||
3.2.4,Cấu hình từ chối các gói tin ICMP request broadcast,,,,
|
||||
3.2.5,Cấu hình bỏ qua phản hồi ICMP không hợp lệ,,,,
|
||||
3.2.6,Cấu hình Reverse Path Filtering,,,,
|
||||
3.2.7,Cấu hình TCP SYN Cookies,,,,
|
||||
3.4,Cấu hình Firewall,,,,
|
||||
3.4.1,Cấu hình firewalld,,,,
|
||||
3.4.1.1,Cấu hình kích hoạt firewalld,,,x,
|
||||
3.4.1.3,Cấu hình firewalld rule cho tất cả các port và protocol đang mở,,,x,
|
||||
3.4.1.4,Cấu hình chính sách từ chối mặc định cho firewalld,,,x,
|
||||
3.4.2,Iptables,,,,
|
||||
3.4.2.1,Cấu hình kích hoạt Iptables,,,x,
|
||||
3.4.2.3,Cấu hình iptables loopback traffic,,,x,
|
||||
3.4.2.4,Cấu hình iptables rule cho tất cả các port và protocol đang mở,,,x,
|
||||
3.4.2.5,Cấu hình chính sách từ chối mặc định cho iptables,,,x,
|
||||
4,Logging và Auditing,,,,
|
||||
4.1,Cấu hình logging,,,,
|
||||
4.1.1,Cấu hình rsyslog,,,,
|
||||
4.1.1.1 ,Cấu hình kích hoạt rsyslog service,,,,
|
||||
4.1.1.2,Phân quyền đối với file log sinh ra từ rsyslog,,,,
|
||||
4.1.1.3,Cấu hình lưu trữ log sinh ra từ rsyslog tập trung,,,x,
|
||||
4.1.1.4,Phân quyền đối với tất cả các file log,,,,
|
||||
5,"Cấu hình truy cập, xác thực và ủy quyền",,,,
|
||||
5.1,Cấu hình cron,,,,
|
||||
5.1.1 ,Cấu hình kích hoạt cron daemon,,,,
|
||||
5.1.2 ,Cấu hình phân quyền cho file /etc/crontab,,,,
|
||||
5.1.3 ,Cấu hình phân quyền cho file /etc/cron.hourly,,,,
|
||||
5.1.4 ,Cấu hình phân quyền cho file /etc/cron.daily,,,,
|
||||
5.1.5 ,Cấu hình phân quyền cho file /etc/cron.weekly,,,,
|
||||
5.1.6 ,Cấu hình phân quyền cho của file /etc/cron.monthly,,,,
|
||||
5.1.7 ,Cấu hình phân quyền cho file /etc/cron.d,,,,
|
||||
5.1.8 ,Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền,,,,
|
||||
5.2,Cấu hình máy chủ SSH,,,,
|
||||
5.2.1 ,Cấu hình phân quyền cho file /etc/ssh/sshd_config,,,,
|
||||
5.2.2,Cấu hình phân quyền cho các file SSH private host key,,,,
|
||||
5.2.3,Cấu hình phân quyền cho các file SSH public host key,,,,
|
||||
5.2.4,Cấu hình giới hạn truy cập cho máy chủ SSH,,,,
|
||||
5.2.5,Cấu hình LogLevel cho máy chủ SSH,,,,
|
||||
5.2.6,Cấu hình sử dụng SSH PAM,,,,
|
||||
5.2.7,Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH,,,,
|
||||
5.2.8,Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH,,,,
|
||||
5.2.9,Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH,,,,
|
||||
5.2.10,Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH,,,,
|
||||
5.2.11,Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH,,,,
|
||||
5.2.12,Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH,,,,
|
||||
5.2.13,Cấu hình vô hiệu hoá SSH AllowTcpForwarding,,,,
|
||||
5.2.14,Cấu hình cảnh báo SSH,,,,
|
||||
5.2.15,Cấu hình SSH MaxAuthTries,,,,
|
||||
5.2.16,Cấu hình SSH MaxStartups,,,,
|
||||
5.2.17,Cấu hình SSH MaxSessions,,,,
|
||||
5.2.18,Cấu hình SSH LoginGraceTime,,,,
|
||||
5.2.19,Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH,,,,
|
||||
5.2.20,Cấu hình các thuật toán MAC được cho phép,,,,
|
||||
5.3,Cấu hình PAM,,,,
|
||||
5.3.1 ,Cấu hình điều kiện tạo mật khẩu,,,x,
|
||||
5.3.2 ,Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại,,,x,
|
||||
5.3.3 ,Giới hạn việc sử dụng lại mật khẩu,,,,
|
||||
5.3.4 ,Cấu hình thuật toán hash mật khẩu sang SHA-512,,,,
|
||||
5.4,Cấu hình tài khoản người dùng và môi trường,,,,
|
||||
5.4.1 ,Cấu hình mật khẩu người dùng,,,,
|
||||
5.4.1.1 ,Cấu hình thời gian hết hạn sử dụng mật khẩu,,,x,
|
||||
5.4.1.2 ,Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu,,,x,
|
||||
5.4.1.3 ,Cấu hình thời gian cảnh báo mật khẩu hết hạn,,,,
|
||||
5.4.1.4 ,Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn,,,,
|
||||
5.4.1.5,Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ,,,,
|
||||
5.4.2 ,Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống,,,,
|
||||
5.4.3,Cấu hình shell timeout mặc định,,,,
|
||||
5.4.4,Cấu hình group mặc định của tài khoản root,,,,
|
||||
5.4.5,Cấu hình user umask mặc định,,,,
|
||||
5.4.6,Cấu hình hạn chế truy cập cho câu lệnh su,,,,
|
||||
6,System Maintenance,,,,
|
||||
6.1,Quyền của file hệ thống,,,,
|
||||
6.1.1,Cấu hình sticky bit cho tất cả các thư mục dùng chung,,,,
|
||||
6.1.2,Cấu hình phân quyền cho file /etc/passwd,,,,
|
||||
6.1.3,Cấu hình phân quyền cho file /etc/shadow,,,,
|
||||
6.1.4,Cấu hình phân quyền cho file /etc/group,,,,
|
||||
6.1.5,Cấu hình phân quyền cho file /etc/gshadow,,,,
|
||||
6.1.6,Cấu hình phân quyền cho file /etc/passwd-,,,,
|
||||
6.1.7,Cấu hình phân quyền cho file /etc/shadow-,,,,
|
||||
6.1.8,Cấu hình phân quyền cho file /etc/group-,,,,
|
||||
6.1.9,Cấu hình phân quyền cho file /etc/gshadow-,,,,
|
||||
6.1.10,Đảm bảo không có file world-writable tồn tại,,,,
|
||||
6.1.11,Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại,,,,
|
||||
6.1.12,Đảm bảo các file hoặc thư mục không có nhóm không tồn tại,,,,
|
||||
6.2,Thiết lập cho người dùng và nhóm,,,,
|
||||
6.2.1 ,Đảm bảo trường mật khẩu không để trống,,,,
|
||||
6.2.2,Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group,,,,
|
||||
6.2.3,Đảm bảo UID không bị lặp,,,,
|
||||
6.2.4,Đảm bảo GID không bị lặp,,,,
|
||||
6.2.5,Đảm bảo tên người dùng không bị lặp,,,,
|
||||
6.2.6,Đảm bảo tên group không bị lặp,,,,
|
||||
6.2.7,Đảm bảo tính toàn vẹn cho biến môi trường PATH của root,,,,
|
||||
6.2.8,Đảm bảo root là tài khoản duy nhất có UID là 0,,,,
|
||||
6.2.9,Đảm bảo mọi người dùng đều tồn tại thư mục home,,,,
|
||||
6.2.10,Đảm bảo người dùng sở hữu thư mục home của chính họ,,,,
|
||||
6.2.11,Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao,,,,
|
||||
6.2.12,Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other,,,,
|
||||
6.2.13,Đảm bảo không người dùng nào có file .forward,,,,
|
||||
6.2.14,Đảm bảo không người dùng nào có file .netrc,,,,
|
||||
6.2.15,Đảm bảo không người dùng nào có file .rhosts,,,,
|
||||
,0,0,0,,
|
||||
|
@@ -0,0 +1,236 @@
|
||||
STT,Hạng mục đánh giá,Unnamed: 2,Unnamed: 3,Unnamed: 4
|
||||
,,KẾT QUẢ,,
|
||||
,,,,
|
||||
,,Đạt,Không,
|
||||
2.1,Thiết lập ban đầu,,,
|
||||
2.1.1,Cấu hình filesystem,,,
|
||||
2.1.1.1,"Cấu hình vô hiệu hoá cramfs, freevxfs, jffs2, hfs, hfsplus, squashfs, udf filesystem",,,
|
||||
,Cấu hình vô hiệu hoá cramfs filesystem,,,
|
||||
,Cấu hình vô hiệu hoá freevxfs filesystem,,,
|
||||
,Cấu hình vô hiệu hoá hfs filesystem,,,
|
||||
,Cấu hình vô hiệu hoá hfsplus filesystem,,,
|
||||
,Cấu hình vô hiệu hoá jffs2 filesystem,,,
|
||||
,Cấu hình vô hiệu hoá squashfs filesystem,,,
|
||||
,Cấu hình vô hiệu hoá udf filesystem,,,
|
||||
,Cấu hình vô hiệu hoá usb storage,,,
|
||||
,Cấu hình phân vùng /tmp,,,
|
||||
2.1.1.2,Cấu hình tuỳ chọn nodev cho phân vùng /tmp,,,
|
||||
2.1.1.3,Cấu hình tuỳ chọn nosuid cho phân vùng /tmp,,,
|
||||
2.1.1.4,Cấu hình tuỳ chọn noexec cho phân vùng /tmp,,,
|
||||
,Cấu hình phân vùng /var/tmp,,,
|
||||
2.1.1.5,Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp,,,
|
||||
2.1.1.6,Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp,,,
|
||||
2.1.1.7,Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp,,,
|
||||
,Cấu hình phân vùng /home,,,
|
||||
2.1.1.8,Cấu hình tuỳ chọn nodev cho phân vùng /home,,,
|
||||
,Cấu hình phân vùng /dev/shm,,,
|
||||
2.1.1.9,Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm,,,
|
||||
2.1.1.10,Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm,,,
|
||||
2.1.1.11,Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm,,,
|
||||
2.1.1.12,Cấu hình sticky bit cho tất cả các thư mục dùng chung,,,
|
||||
2.1.1.13,Cấu hình vô hiệu hoá automounting,,,
|
||||
2.1.2,Cấu hình sudo (áp dụng dành riêng cho Ubuntu),,,
|
||||
2.1.2.1,Kiểm tra việc cài đặt sudo,,,
|
||||
2.1.2.2,Cấu hình các lệnh sudo sử dụng pty,,,
|
||||
2.1.2.3,Đảm bảo file nhật ký của sudo tồn tại,,,
|
||||
2.1.3,Cấu hình cập nhật phần mềm,,,
|
||||
2.1.3.1,Cấu hình kích hoạt gpgcheck,,,
|
||||
2.1.4,Kiểm tra tính toàn vẹn của filesystem,,,
|
||||
2.1.4.1,Kiểm tra việc cài đặt AIDE,,,
|
||||
2.1.4.2,Cấu hình kiểm tra tính toàn vẹn của filesystem,,,
|
||||
2.1.5,Cấu hình khởi động an toàn,,,
|
||||
2.1.5.1,Phân quyền đối với file cấu hình bootloader,,,
|
||||
2.1.5.2,Cấu hình mật khẩu cho bootloader,,,
|
||||
2.1.5.3,Cấu hình xác thực khi truy cập single user mode,,,
|
||||
2.1.5.4,Cấu hình vô hiệu hoá interactive boot,,,
|
||||
2.1.6,Additional Process Hardening,,,
|
||||
2.1.6.1,Cấu hình kiểm soát core dump,,,
|
||||
2.1.6.2,Cấu hình kích hoạt ASLR (address space layout randomization),,,
|
||||
2.1.6.3,Cấu hình vô hiệu hoá prelink,,,
|
||||
2.1.7,Kiểm soát nội dung cảnh báo,,,
|
||||
2.1.7.1,Kiểm soát nội dung motd (Message Of The Day),,,
|
||||
2.1.7.2,Kiểm soát nội dung thông báo khi đăng nhập,,,
|
||||
2.1.7.3,Kiểm soát nội dung thông báo khi đăng nhập từ xa,,,
|
||||
2.1.7.4,Cấu hình phân quyền đối với file /etc/motd,,,
|
||||
2.1.7.5,Cấu hình phân quyền đối với file /etc/issue,,,
|
||||
2.1.7.6,Cấu hình phân quyền đối với file /etc/issue.net,,,
|
||||
2.1.7.7,Kiểm soát nội dung thông báo khi truy cập GNOME,,,
|
||||
2.2,Service,,,
|
||||
2.2.1, Cấu hình inetd Service,,,
|
||||
2.2.1.1,"Cấu hình vô hiệu hoá chargen service, daytime service,",,,
|
||||
,"discard service, echo service, time service, rsh, talk service, telnet, tftp, rsync, xinetd.",,,
|
||||
2.2.2,Các Service với mục đích riêng biệt,,,
|
||||
2.2.2.1,Cấu hình sử dụng NTP,,,
|
||||
2.2.2.2,Cấu hình sử dụng chrony,,,
|
||||
2.2.2.3,"Cấu hình vô hiệu hoá X window, Avahi, CUPS, DHCP, LDAP, NFS, RPC, DNS , FTP, HTTP, POP3, IMAP, Samba, HTTP Proxy, SNMP, NIS",,,
|
||||
,Cấu hình vô hiệu hoá xinetd services,,,
|
||||
,Cấu hình vô hiệu hoá autofs services,,,
|
||||
,Cấu hình vô hiệu hoá X window server services,,,
|
||||
,Cấu hình vô hiệu hoá avahi daemon services,,,
|
||||
,Cấu hình vô hiệu hoá cups services,,,
|
||||
,Cấu hình vô hiệu hoá dhcp server services,,,
|
||||
,Cấu hình vô hiệu hoá ldap server services,,,
|
||||
,Cấu hình vô hiệu hoá dns server services,,,
|
||||
,Cấu hình vô hiệu hoá dnsmasq services,,,
|
||||
,Cấu hình vô hiệu hoá ftp server services,,,
|
||||
,Cấu hình vô hiệu hoá tftp server services,,,
|
||||
,Cấu hình vô hiệu hoá web server services,,,
|
||||
,Cấu hình vô hiệu hoá imap and pop3 server services,,,
|
||||
,Cấu hình vô hiệu hoá samba file server services,,,
|
||||
,Cấu hình vô hiệu hoá web proxy server services,,,
|
||||
,Cấu hình vô hiệu hoá snmp services,,,
|
||||
,Cấu hình vô hiệu hoá nis server services,,,
|
||||
,Cấu hình vô hiệu hoá network file system services,,,
|
||||
,Cấu hình vô hiệu hoá rsync services,,,
|
||||
2.2.2.4,Cấu hình mail transfer agents sang chế độ local-only,,,
|
||||
2.2.3,Service Clients,,,
|
||||
2.2.3.1,"Cấu hình xoá bỏ NIS client, rsh client, talk client, telnet client, LDAP client",,,
|
||||
,Cấu hình vô hiệu hoá nis client,,,
|
||||
,Cấu hình vô hiệu hoá rsh client,,,
|
||||
,Cấu hình vô hiệu hoá talk client,,,
|
||||
,Cấu hình vô hiệu hoá telnet client,,,
|
||||
,Cấu hình vô hiệu hoá ldap client,,,
|
||||
,Cấu hình vô hiệu hoá rpc,,,
|
||||
,Cấu hình vô hiệu hoá ftp client,,,
|
||||
2.3,Cấu hình mạng,,,
|
||||
2.3.1,Tham số cấu hình mạng (Host Only),,,
|
||||
2.3.1.1,Cấu hình vô hiệu hoá IP forwarding,,,
|
||||
2.3.1.2,Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect),,,
|
||||
2.3.2,Tham số cấu hình mạng (Host và Router),,,
|
||||
2.3.2.1,Cấu hình từ chối các gói tin với nguồn được định tuyến trước,,,
|
||||
2.3.2.2,Cấu hình từ chối các ICMP redirect message,,,
|
||||
2.3.2.3,Cấu hình từ chối các secure ICMP redirect message,,,
|
||||
2.3.2.4,Ghi lại các gói tin khả nghi (Suspicious Packets),,,
|
||||
2.3.2.5,Cấu hình từ chối các gói tin ICMP request broadcast,,,
|
||||
2.3.2.6,Cấu hình bỏ qua phản hồi ICMP không hợp lệ,,,
|
||||
2.3.2.7,Cấu hình Reverse Path Filtering,,,
|
||||
2.3.2.8,Cấu hình TCP SYN Cookies,,,
|
||||
2.3.3,TCP Wrappers,,,
|
||||
2.3.3.1,Kiêm tra việc cài đặt TCP Wrappers,,,
|
||||
2.3.3.2,Cấu hình file /etc/host.allow,,,
|
||||
2.3.3.3,Cấu hình file /etc/hosts.deny,,,
|
||||
2.3.3.4,Cấu hình quyền truy cập /etc/hosts.allow,,,
|
||||
2.3.3.5,Cấu hình quyền truy cập /etc/hosts.deny,,,
|
||||
2.3.4,Tưởng lửa (áp dụng dành riêng cho ubuntu),,,
|
||||
2.3.4.1,Cài đặt tưởng lửa mềm (soft firewall),,,
|
||||
2.3.4.1.1,Cài đặt Firewall package ,,,
|
||||
2.3.4.2,Cấu hình ufw (UncomplicatedFirewal),,,
|
||||
2.3.4.2.1,Cấu hình kích hoạt ufw,,,
|
||||
2.3.4.2.2,Cấu hình chính sách từ chối mặc định của tường lửa,,,
|
||||
2.3.4.2.3,Cấu hình loopback traffic,,,
|
||||
2.3.4.3,Cấu hình tường lửa nftable,,,
|
||||
2.3.4.3.1,Cấu hình tạo ít nhất 1 bảng trong nftable,,,
|
||||
2.3.4.3.2,Cấu hình các base chain,,,
|
||||
2.3.4.3.3,Cấu hình loopback traffic,,,
|
||||
2.3.4.3.4,Cấu hình chính sách từ chối mặc định của tường lửa,,,
|
||||
2.3.4.3.5,Cấu hình kích hoạt nftable,,,
|
||||
2.3.4.3.6,Cấu hình nftable rule,,,
|
||||
2.3.5,Iptables,,,
|
||||
2.3.5.1,Cấu hình kích hoạt Iptables,,,
|
||||
2.3.5.2,Cấu hình chính sách từ chối mặc định trên firewall,,,
|
||||
2.3.5.3,Cấu hình loopback traffic,,,
|
||||
2.3.5.4,Cấu hình iptables rule cho tất cả các port và protocol đang mở,,,
|
||||
2.4,Logging và Auditing,,,
|
||||
2.4.1,Cấu hình logging,,,
|
||||
2.4.1.1,Cấu hình rsyslog,,,
|
||||
2.4.1.1.1,Cấu hình kích hoạt rsyslog service,,,
|
||||
2.4.1.1.2,Phân quyền đối với file log sinh ra từ rsyslog,,,
|
||||
2.4.1.1.3,Cấu hình lưu trữ log sinh ra từ rsyslog tập trung,,,
|
||||
2.4.1.2,Phân quyền đối với tất cả các file log,,,
|
||||
,Áp dụng đối với Centos,,,
|
||||
2.4.1.2.1,Cấu hình kích hoạt syslog-ng service,,,
|
||||
2.4.1.2.2,Phân quyền đối với file log sinh ra từ syslog-ng,,,
|
||||
2.4.1.2.3,Cấu hình lưu trữ log tập trung,,,
|
||||
2.4.1.3,Cấu hình journald,,,
|
||||
,Áp dụng riêng cho ubuntu,,,
|
||||
2.4.1.3.1,Cấu hình journald để gửi file log đến rsyslog,,,
|
||||
2.4.1.3.2,Cấu hình journald để nén các file log lớn,,,
|
||||
2.4.1.3.3,Cấu hình journald để viết các logfile vào persistent disk,,,
|
||||
2.4.1.3.4,Đảm bảo các quyền trên toàn bộ logfile được cấu hình,,,
|
||||
2.4.1.4,Đảm bảo rsyslog hoặc syslog-ng được cài đặt,,,
|
||||
2.4.1.5,Phân quyền đối với tất cả các file log,,,
|
||||
2.5,"Cấu hình truy cập, xác thực và ủy quyền",,,
|
||||
2.5.1,Cấu hình cron,,,
|
||||
2.5.1.1,Cấu hình kích hoạt cron daemon,,,
|
||||
2.5.1.2,Cấu hình phân quyền cho file /etc/crontab,,,
|
||||
2.5.1.2.1,Cấu hình phân quyền cho file /etc/cron.hourly,,,
|
||||
2.5.1.3,Cấu hình phân quyền cho file /etc/cron.daily,,,
|
||||
2.5.1.4,Cấu hình phân quyền cho file /etc/cron.weekly,,,
|
||||
2.5.1.5,Cấu hình phân quyền cho của file /etc/cron.monthly,,,
|
||||
2.5.1.6,Cấu hình phân quyền cho file /etc/cron.d,,,
|
||||
2.5.1.7,Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền,,,
|
||||
2.5.2,Cấu hình máy chủ SSH,,,
|
||||
2.5.2.1,Cấu hình quyền cho file /etc/ssh/sshd_config,,,
|
||||
2.5.2.1.1,Cấu hình quyền cho các file SSH private host,,,
|
||||
2.5.2.2,Cấu hình quyền cho các file SSH public host key,,,
|
||||
2.5.2.3,Cấu hình giao thức SSH sử dụng SSHv2,,,
|
||||
2.5.2.4,Cấu hình LogLevel cho máy chủ SSH,,,
|
||||
2.5.2.5,Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH,,,
|
||||
2.5.2.6,Cấu hình SSH MaxAuthTries,,,
|
||||
2.5.2.7,Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH,,,
|
||||
2.5.2.8,Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH,,,
|
||||
2.5.2.9,Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH,,,
|
||||
2.5.2.10,Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH,,,
|
||||
2.5.2.11,Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH,,,
|
||||
2.5.2.12,Cấu hình sử dụng các thuật toán mã hoá được cho phép,,,
|
||||
2.5.2.13,Cấu hình các thuật toán MAC được cho phép,,,
|
||||
2.5.2.14,Đảm bảo chỉ có thuật toán trao đổi khóa mạnh được sử dụng,,,
|
||||
2.5.2.15,Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH,,,
|
||||
2.5.2.16,Cấu hình SSH LoginGraceTime,,,
|
||||
2.5.2.17,Cấu hình giới hạn truy cập cho máy chủ SSH,,,
|
||||
2.5.2.18,Cấu hình cảnh báo SSH,,,
|
||||
2.5.2.19,Cấu hình sử dụng SSH PAM,,,
|
||||
2.5.2.20,Cấu hình SSH MaxStartups,,,
|
||||
2.5.2.21,Cấu hình SSH MaxSessions,,,
|
||||
2.5.3,Cấu hình PAM,,,
|
||||
2.5.3.1,Cấu hình điều kiện tạo mật khẩu,,,
|
||||
2.5.3.2,Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại,,,
|
||||
2.5.3.3,Giới hạn việc sử dụng lại mật khẩu,,,
|
||||
2.5.3.4,Cấu hình thuật toán hash mật khẩu mạnh,,,
|
||||
2.5.4,Cấu hình tài khoản người dùng và môi trường,,,
|
||||
,Cấu hình mật khẩu người dùng,,,
|
||||
2.5.4.1,Cấu hình thời gian hết hạn sử dụng mật khẩu,,,
|
||||
2.5.4.2,Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu,,,
|
||||
2.5.4.3,Cấu hình thời gian cảnh báo mật khẩu hết hạn,,,
|
||||
2.5.4.4,Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn,,,
|
||||
2.5.4.5,Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ,,,
|
||||
2.5.4.6, Đảm bảo group mặc định của tài khoản root là GID 0,,,
|
||||
2.5.4.7,Cấu hình tham số user umask mặc định,,,
|
||||
2.5.4.8,Đảm bảo shell timeout mặc định của người dùng là 900 giây hoặc ít hơn,,,
|
||||
2.5.4.9,Cấu hình hạn chế truy cập cho câu lệnh su,,,
|
||||
2.6,System Maintenance,,,
|
||||
2.6.1,Quyền của file hệ thống,,,
|
||||
2.6.1.1,"Cấu hình quyền cho file /etc/passwd /etc/shadow, /etc/group,",,,
|
||||
,"/etc/gshadow, /etc/passwd-, /etc/shadow-, /etc/group-, /etc/gshadow-",,,
|
||||
,Cấu hình phân quyền cho file /etc/passwd,,,
|
||||
,Cấu hình phân quyền cho file /etc/shadow,,,
|
||||
,Cấu hình phân quyền cho file /etc/group,,,
|
||||
,Cấu hình phân quyền cho file /etc/gshadow,,,
|
||||
,Cấu hình phân quyền cho file /etc/passwd-,,,
|
||||
,Cấu hình phân quyền cho file /etc/shadow-,,,
|
||||
,Cấu hình phân quyền cho file /etc/group-,,,
|
||||
,Cấu hình phân quyền cho file /etc/gshadow-,,,
|
||||
,Đảm bảo không có file world-writable tồn tại,,,
|
||||
2.6.1.2,Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại,,,
|
||||
2.6.1.3,Đảm bảo các file hoặc thư mục không có nhóm không tồn tại,,,
|
||||
2.6.2,Thiết lập cho người dùng và nhóm,,,
|
||||
2.6.2.1,Đảm bảo trường mật khẩu không để trống,,,
|
||||
2.62.2,"Đảm bảo không có bản ghi chứa ""+"" trong file /etc/passwd",,,
|
||||
2.6.2.3,Đảm bảo mọi người dùng đều tồn tại thư mục home,,,
|
||||
2.6.2.4,"Đảm bảo không có bản ghi chứa ""+"" trong file /etc/shadow",,,
|
||||
2.6.2.5,"Đảm bảo không có bản ghi chứa ""+"" trong file /etc/group",,,
|
||||
2.6.2.6,Đảm bảo root là tài khoản duy nhất có UID là 0,,,
|
||||
2.6.2.7,Đảm bảo tính toàn vẹn cho biến môi trường PATH của root,,,
|
||||
2.6.2.8,Đảm bảo người dùng sở hữu thư mục home của chính họ,,,
|
||||
2.6.2.9,Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc world-wide,,,
|
||||
2.6.2.10,Đảm bảo không người dùng nào có file .forward,,,
|
||||
2.6.2.11,Đảm bảo không người dùng nào có file .netrc,,,
|
||||
2.6.2.12,Đảm bảo file netrc của người dùng không cấp quyền cho group hoặc other,,,
|
||||
2.6.2.13,Đảm bảo không người dùng nào có file .rhosts,,,
|
||||
2.6.2.14,Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group,,,
|
||||
2.6.2.15,Đảm bảo UID không bị lặp,,,
|
||||
2.6.2.16,Đảm bảo GID không bị lặp,,,
|
||||
2.6.2.17,Đảm bảo tên người dùng không bị lặp,,,
|
||||
2.6.2.18,Đảm bảo tên group không lặp,,,
|
||||
2.6.2.19,Đảm bảo không có tài khoản trong shadow group,,,
|
||||
Tổng,,,,
|
||||
|
@@ -0,0 +1,595 @@
|
||||
{
|
||||
"data": [
|
||||
{
|
||||
"4": "1. Thiết lập ban đầu"
|
||||
},
|
||||
{
|
||||
"5": "1.1. Cấu hình filesystem"
|
||||
},
|
||||
{
|
||||
"6": "1.1.1. Cấu hình vô hiệu hoá các filesystem không sử dụng"
|
||||
},
|
||||
{
|
||||
"7": "1.1.1.1. Cấu hình vô hiệu hoá cramfs filesystem"
|
||||
},
|
||||
{
|
||||
"8": "1.1.1.2. Cấu hình vô hiệu hoá freevxfs filesystem"
|
||||
},
|
||||
{
|
||||
"9": "1.1.1.3. Cấu hình vô hiệu hoá hfs filesystem"
|
||||
},
|
||||
{
|
||||
"10": "1.1.1.4. Cấu hình vô hiệu hoá hfsplus filesystem"
|
||||
},
|
||||
{
|
||||
"11": "1.1.1.5. Cấu hình vô hiệu hoá jffs2 filesystem"
|
||||
},
|
||||
{
|
||||
"12": "1.1.1.6. Cấu hình vô hiệu hoá squashfs filesystem"
|
||||
},
|
||||
{
|
||||
"13": "1.1.1.7. Cấu hình vô hiệu hoá udf filesystem"
|
||||
},
|
||||
{
|
||||
"14": "1.1.1.8. Cấu hình vô hiệu hoá usb-storage filesystem"
|
||||
},
|
||||
{
|
||||
"15": "1.1.2. Cấu hình phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"16": "1.1.2.1. Cấu hình tuỳ chọn nodev cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"17": "1.1.2.2. Cấu hình tuỳ chọn nosuid cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"18": "1.1.2.3. Cấu hình tuỳ chọn noexec cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"19": "1.1.3. Cấu hình phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"20": "1.1.3.1. Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"21": "1.1.3.2. Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"22": "1.1.3.3. Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"23": "1.1.4. Cấu hình phân vùng /home"
|
||||
},
|
||||
{
|
||||
"24": "1.1.4.1. Cấu hình tuỳ chọn nodev cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"25": "1.1.4.2. Cấu hình tuỳ chọn nosuid cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"26": "1.1.5. Cấu hình phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"27": "1.1.5.1. Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"28": "1.1.5.2. Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"29": "1.1.5.3. Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"30": "1.2. Cấu hình cập nhật phần mềm"
|
||||
},
|
||||
{
|
||||
"31": "1.2.1. Cấu hình kích hoạt gpgcheck"
|
||||
},
|
||||
{
|
||||
"32": "1.3. Kiểm tra tính toàn vẹn của filesystem"
|
||||
},
|
||||
{
|
||||
"33": "1.3.1. Kiểm tra cài đặt AIDE"
|
||||
},
|
||||
{
|
||||
"34": "1.3.2. Cấu hình kiểm tra tính toàn vẹn của filesystem"
|
||||
},
|
||||
{
|
||||
"35": "1.4. Cấu hình khởi động an toàn"
|
||||
},
|
||||
{
|
||||
"36": "1.4.1. Phân quyền đối với file cấu hình bootloader"
|
||||
},
|
||||
{
|
||||
"37": "1.4.2. Cấu hình xác thực khi truy cập rescue mode"
|
||||
},
|
||||
{
|
||||
"38": "1.4.3. Cấu hình xác thực khi truy cập single user mode"
|
||||
},
|
||||
{
|
||||
"39": "1.4.4. Cấu hình vô hiệu hoá interactive boot"
|
||||
},
|
||||
{
|
||||
"40": "1.5. Additional Process Hardening"
|
||||
},
|
||||
{
|
||||
"41": "1.5.1. Cấu hình vô hiệu hoá core dump"
|
||||
},
|
||||
{
|
||||
"42": "1.5.2. Cấu hình kích hoạt ASLR (address space layout randomization)"
|
||||
},
|
||||
{
|
||||
"43": "1.5.3. Cấu hình vô hiệu hoá prelink"
|
||||
},
|
||||
{
|
||||
"44": "1.6. Kiểm soát nội dung cảnh báo"
|
||||
},
|
||||
{
|
||||
"45": "1.6.1. Kiểm soát nội dung motd (Message Of The Day)"
|
||||
},
|
||||
{
|
||||
"46": "1.6.2. Kiểm soát nội dung thông báo khi đăng nhập"
|
||||
},
|
||||
{
|
||||
"47": "1.6.3. Kiểm soát nội dung thông báo khi đăng nhập từ xa"
|
||||
},
|
||||
{
|
||||
"48": "1.6.4. Cấu hình phân quyền đối với file /etc/motd"
|
||||
},
|
||||
{
|
||||
"49": "1.6.5. Cấu hình phân quyền đối với file /etc/issue"
|
||||
},
|
||||
{
|
||||
"50": "1.6.6. Cấu hình phân quyền đối với file /etc/issue.net"
|
||||
},
|
||||
{
|
||||
"51": "1.6.7. Kiểm soát nội dung thông báo khi truy cập GNOME"
|
||||
},
|
||||
{
|
||||
"52": "2. Service"
|
||||
},
|
||||
{
|
||||
"53": "2.1. Cấu hình Time Synchronization"
|
||||
},
|
||||
{
|
||||
"54": "2.1.1. Cấu hình sử dụng chrony"
|
||||
},
|
||||
{
|
||||
"55": "2.1.2. Cấu hình sử dụng NTP"
|
||||
},
|
||||
{
|
||||
"56": "2.2. Các Service với mục đích riêng biệt"
|
||||
},
|
||||
{
|
||||
"57": "2.2.1. Cấu hình vô hiệu hoá xinetd services"
|
||||
},
|
||||
{
|
||||
"58": "2.2.2. Cấu hình vô hiệu hoá chargen services"
|
||||
},
|
||||
{
|
||||
"59": "2.2.3. Cấu hình vô hiệu hoá daytime services"
|
||||
},
|
||||
{
|
||||
"60": "2.2.4. Cấu hình vô hiệu hoá discard services"
|
||||
},
|
||||
{
|
||||
"61": "2.2.5. Cấu hình vô hiệu hoá echo services"
|
||||
},
|
||||
{
|
||||
"62": "2.2.6. Cấu hình vô hiệu hoá time services"
|
||||
},
|
||||
{
|
||||
"63": "2.2.7. Cấu hình vô hiệu hoá rsh server"
|
||||
},
|
||||
{
|
||||
"64": "2.2.8. Cấu hình vô hiệu hoá talk server"
|
||||
},
|
||||
{
|
||||
"65": "2.2.9. Cấu hình vô hiệu hoá autofs services"
|
||||
},
|
||||
{
|
||||
"66": "2.2.10. Cấu hình vô hiệu hoá X window server services"
|
||||
},
|
||||
{
|
||||
"67": "2.2.11. Cấu hình vô hiệu hoá avahi daemon services"
|
||||
},
|
||||
{
|
||||
"68": "2.2.12. Cấu hình vô hiệu hoá cups services"
|
||||
},
|
||||
{
|
||||
"69": "2.2.13. Cấu hình vô hiệu hoá dhcp server services"
|
||||
},
|
||||
{
|
||||
"70": "2.2.14. Cấu hình vô hiệu hoá ldap server services"
|
||||
},
|
||||
{
|
||||
"71": "2.2.15. Cấu hình vô hiệu hoá dns server services"
|
||||
},
|
||||
{
|
||||
"72": "2.2.16. Cấu hình vô hiệu hoá dnsmasq services"
|
||||
},
|
||||
{
|
||||
"73": "2.2.17. Cấu hình vô hiệu hoá ftp server services"
|
||||
},
|
||||
{
|
||||
"74": "2.2.18. Cấu hình vô hiệu hoá tftp server services"
|
||||
},
|
||||
{
|
||||
"75": "2.2.19. Cấu hình vô hiệu hoá web server services"
|
||||
},
|
||||
{
|
||||
"76": "2.2.20. Cấu hình vô hiệu hoá imap and pop3 server services"
|
||||
},
|
||||
{
|
||||
"77": "2.2.21. Cấu hình vô hiệu hoá samba file server services"
|
||||
},
|
||||
{
|
||||
"78": "2.2.22. Cấu hình vô hiệu hoá web proxy server services"
|
||||
},
|
||||
{
|
||||
"79": "2.2.23. Cấu hình vô hiệu hoá snmp services"
|
||||
},
|
||||
{
|
||||
"80": "2.2.24. Cấu hình vô hiệu hoá nis server services"
|
||||
},
|
||||
{
|
||||
"81": "2.2.25. Cấu hình vô hiệu hoá telnet server services"
|
||||
},
|
||||
{
|
||||
"82": "2.2.26. Cấu hình mail transfer agents sang chế độ local-only"
|
||||
},
|
||||
{
|
||||
"83": "2.2.27. Cấu hình vô hiệu hoá network file system services"
|
||||
},
|
||||
{
|
||||
"84": "2.2.28. Cấu hình vô hiệu hoá rpcbind services"
|
||||
},
|
||||
{
|
||||
"85": "2.2.29. Cấu hình vô hiệu hoá rsync services"
|
||||
},
|
||||
{
|
||||
"86": "2.3. Service Clients"
|
||||
},
|
||||
{
|
||||
"87": "2.3.1. Cấu hình vô hiệu hoá NIS Client"
|
||||
},
|
||||
{
|
||||
"88": "2.3.2. Cấu hình vô hiệu hoá rsh client"
|
||||
},
|
||||
{
|
||||
"89": "2.3.3. Cấu hình vô hiệu hoá talk client"
|
||||
},
|
||||
{
|
||||
"90": "2.3.4. Cấu hình vô hiệu hoá telnet client"
|
||||
},
|
||||
{
|
||||
"91": "2.3.5. Cấu hình vô hiệu hoá LDAP client"
|
||||
},
|
||||
{
|
||||
"92": "2.3.6. Cấu hình vô hiệu hoá ftp client"
|
||||
},
|
||||
{
|
||||
"93": "2.3.7. Cấu hình vô hiệu hoá tftp client"
|
||||
},
|
||||
{
|
||||
"94": "3. Cấu hình mạng"
|
||||
},
|
||||
{
|
||||
"95": "3.1. Tham số cấu hình mạng (Host Only)"
|
||||
},
|
||||
{
|
||||
"96": "3.1.1. Cấu hình vô hiệu hoá IP forwarding"
|
||||
},
|
||||
{
|
||||
"97": "3.1.2. Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect)"
|
||||
},
|
||||
{
|
||||
"98": "3.2. Tham số cấu hình mạng (Host và Router)"
|
||||
},
|
||||
{
|
||||
"99": "3.2.1. Cấu hình từ chối các gói tin với nguồn được định tuyến trước"
|
||||
},
|
||||
{
|
||||
"100": "3.2.2. Cấu hình từ chối các ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"101": "3.2.3. Cấu hình từ chối các secure ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"102": "3.2.4. Cấu hình từ chối các gói tin ICMP request broadcast"
|
||||
},
|
||||
{
|
||||
"103": "3.2.5. Cấu hình bỏ qua phản hồi ICMP không hợp lệ"
|
||||
},
|
||||
{
|
||||
"104": "3.2.6. Cấu hình Reverse Path Filtering"
|
||||
},
|
||||
{
|
||||
"105": "3.2.7. Cấu hình TCP SYN Cookies"
|
||||
},
|
||||
{
|
||||
"106": "3.4. Cấu hình Firewall"
|
||||
},
|
||||
{
|
||||
"107": "3.4.1. Cấu hình firewalld"
|
||||
},
|
||||
{
|
||||
"108": "3.4.1.1. Cấu hình kích hoạt firewalld"
|
||||
},
|
||||
{
|
||||
"109": "3.4.1.3. Cấu hình firewalld rule cho tất cả các port và protocol đang mở"
|
||||
},
|
||||
{
|
||||
"110": "3.4.1.4. Cấu hình chính sách từ chối mặc định cho firewalld"
|
||||
},
|
||||
{
|
||||
"111": "3.4.2. Iptables"
|
||||
},
|
||||
{
|
||||
"112": "3.4.2.1. Cấu hình kích hoạt Iptables"
|
||||
},
|
||||
{
|
||||
"113": "3.4.2.3. Cấu hình iptables loopback traffic"
|
||||
},
|
||||
{
|
||||
"114": "3.4.2.4. Cấu hình iptables rule cho tất cả các port và protocol đang mở"
|
||||
},
|
||||
{
|
||||
"115": "3.4.2.5. Cấu hình chính sách từ chối mặc định cho iptables"
|
||||
},
|
||||
{
|
||||
"116": "4. Logging và Auditing"
|
||||
},
|
||||
{
|
||||
"117": "4.1. Cấu hình logging"
|
||||
},
|
||||
{
|
||||
"118": "4.1.1. Cấu hình rsyslog"
|
||||
},
|
||||
{
|
||||
"119": "4.1.1.1. Cấu hình kích hoạt rsyslog service"
|
||||
},
|
||||
{
|
||||
"120": "4.1.1.2. Phân quyền đối với file log sinh ra từ rsyslog"
|
||||
},
|
||||
{
|
||||
"121": "4.1.1.3. Cấu hình lưu trữ log sinh ra từ rsyslog tập trung"
|
||||
},
|
||||
{
|
||||
"122": "4.1.1.4. Phân quyền đối với tất cả các file log"
|
||||
},
|
||||
{
|
||||
"123": "5. Cấu hình truy cập, xác thực và ủy quyền"
|
||||
},
|
||||
{
|
||||
"124": "5.1. Cấu hình cron"
|
||||
},
|
||||
{
|
||||
"125": "5.1.1. Cấu hình kích hoạt cron daemon"
|
||||
},
|
||||
{
|
||||
"126": "5.1.2. Cấu hình phân quyền cho file /etc/crontab"
|
||||
},
|
||||
{
|
||||
"127": "5.1.3. Cấu hình phân quyền cho file /etc/cron.hourly"
|
||||
},
|
||||
{
|
||||
"128": "5.1.4. Cấu hình phân quyền cho file /etc/cron.daily"
|
||||
},
|
||||
{
|
||||
"129": "5.1.5. Cấu hình phân quyền cho file /etc/cron.weekly"
|
||||
},
|
||||
{
|
||||
"130": "5.1.6. Cấu hình phân quyền cho của file /etc/cron.monthly"
|
||||
},
|
||||
{
|
||||
"131": "5.1.7. Cấu hình phân quyền cho file /etc/cron.d"
|
||||
},
|
||||
{
|
||||
"132": "5.1.8. Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền"
|
||||
},
|
||||
{
|
||||
"133": "5.2. Cấu hình máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"134": "5.2.1. Cấu hình phân quyền cho file /etc/ssh/sshd_config"
|
||||
},
|
||||
{
|
||||
"135": "5.2.2. Cấu hình phân quyền cho các file SSH private host key"
|
||||
},
|
||||
{
|
||||
"136": "5.2.3. Cấu hình phân quyền cho các file SSH public host key"
|
||||
},
|
||||
{
|
||||
"137": "5.2.4. Cấu hình giới hạn truy cập cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"138": "5.2.5. Cấu hình LogLevel cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"139": "5.2.6. Cấu hình sử dụng SSH PAM"
|
||||
},
|
||||
{
|
||||
"140": "5.2.7. Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"141": "5.2.8. Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"142": "5.2.9. Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"143": "5.2.10. Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"144": "5.2.11. Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"145": "5.2.12. Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"146": "5.2.13. Cấu hình vô hiệu hoá SSH AllowTcpForwarding"
|
||||
},
|
||||
{
|
||||
"147": "5.2.14. Cấu hình cảnh báo SSH"
|
||||
},
|
||||
{
|
||||
"148": "5.2.15. Cấu hình SSH MaxAuthTries"
|
||||
},
|
||||
{
|
||||
"149": "5.2.16. Cấu hình SSH MaxStartups"
|
||||
},
|
||||
{
|
||||
"150": "5.2.17. Cấu hình SSH MaxSessions"
|
||||
},
|
||||
{
|
||||
"151": "5.2.18. Cấu hình SSH LoginGraceTime"
|
||||
},
|
||||
{
|
||||
"152": "5.2.19. Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"153": "5.2.20. Cấu hình các thuật toán MAC được cho phép"
|
||||
},
|
||||
{
|
||||
"154": "5.3. Cấu hình PAM"
|
||||
},
|
||||
{
|
||||
"155": "5.3.1. Cấu hình điều kiện tạo mật khẩu"
|
||||
},
|
||||
{
|
||||
"156": "5.3.2. Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại"
|
||||
},
|
||||
{
|
||||
"157": "5.3.3. Giới hạn việc sử dụng lại mật khẩu"
|
||||
},
|
||||
{
|
||||
"158": "5.3.4. Cấu hình thuật toán hash mật khẩu sang SHA-512"
|
||||
},
|
||||
{
|
||||
"159": "5.4. Cấu hình tài khoản người dùng và môi trường"
|
||||
},
|
||||
{
|
||||
"160": "5.4.1. Cấu hình mật khẩu người dùng"
|
||||
},
|
||||
{
|
||||
"161": "5.4.1.1. Cấu hình thời gian hết hạn sử dụng mật khẩu"
|
||||
},
|
||||
{
|
||||
"162": "5.4.1.2. Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu"
|
||||
},
|
||||
{
|
||||
"163": "5.4.1.3. Cấu hình thời gian cảnh báo mật khẩu hết hạn"
|
||||
},
|
||||
{
|
||||
"164": "5.4.1.4. Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn"
|
||||
},
|
||||
{
|
||||
"165": "5.4.1.5. Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ"
|
||||
},
|
||||
{
|
||||
"166": "5.4.2. Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống"
|
||||
},
|
||||
{
|
||||
"167": "5.4.3. Cấu hình shell timeout mặc định"
|
||||
},
|
||||
{
|
||||
"168": "5.4.4. Cấu hình group mặc định của tài khoản root"
|
||||
},
|
||||
{
|
||||
"169": "5.4.5. Cấu hình user umask mặc định"
|
||||
},
|
||||
{
|
||||
"170": "5.4.6. Cấu hình hạn chế truy cập cho câu lệnh su"
|
||||
},
|
||||
{
|
||||
"171": "6. System Maintenance"
|
||||
},
|
||||
{
|
||||
"172": "6.1. Quyền của file hệ thống"
|
||||
},
|
||||
{
|
||||
"173": "6.1.1. Cấu hình sticky bit cho tất cả các thư mục dùng chung"
|
||||
},
|
||||
{
|
||||
"174": "6.1.2. Cấu hình phân quyền cho file /etc/passwd"
|
||||
},
|
||||
{
|
||||
"175": "6.1.3. Cấu hình phân quyền cho file /etc/shadow"
|
||||
},
|
||||
{
|
||||
"176": "6.1.4. Cấu hình phân quyền cho file /etc/group"
|
||||
},
|
||||
{
|
||||
"177": "6.1.5. Cấu hình phân quyền cho file /etc/gshadow"
|
||||
},
|
||||
{
|
||||
"178": "6.1.6. Cấu hình phân quyền cho file /etc/passwd-"
|
||||
},
|
||||
{
|
||||
"179": "6.1.7. Cấu hình phân quyền cho file /etc/shadow-"
|
||||
},
|
||||
{
|
||||
"180": "6.1.8. Cấu hình phân quyền cho file /etc/group-"
|
||||
},
|
||||
{
|
||||
"181": "6.1.9. Cấu hình phân quyền cho file /etc/gshadow-"
|
||||
},
|
||||
{
|
||||
"182": "6.1.10. Đảm bảo không có file world-writable tồn tại"
|
||||
},
|
||||
{
|
||||
"183": "6.1.11. Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại"
|
||||
},
|
||||
{
|
||||
"184": "6.1.12. Đảm bảo các file hoặc thư mục không có nhóm không tồn tại"
|
||||
},
|
||||
{
|
||||
"185": "6.2. Thiết lập cho người dùng và nhóm"
|
||||
},
|
||||
{
|
||||
"186": "6.2.1. Đảm bảo trường mật khẩu không để trống"
|
||||
},
|
||||
{
|
||||
"187": "6.2.2. Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group"
|
||||
},
|
||||
{
|
||||
"188": "6.2.3. Đảm bảo UID không bị lặp"
|
||||
},
|
||||
{
|
||||
"189": "6.2.4. Đảm bảo GID không bị lặp"
|
||||
},
|
||||
{
|
||||
"190": "6.2.5. Đảm bảo tên người dùng không bị lặp"
|
||||
},
|
||||
{
|
||||
"191": "6.2.6. Đảm bảo tên group không bị lặp"
|
||||
},
|
||||
{
|
||||
"192": "6.2.7. Đảm bảo tính toàn vẹn cho biến môi trường PATH của root"
|
||||
},
|
||||
{
|
||||
"193": "6.2.8. Đảm bảo root là tài khoản duy nhất có UID là 0"
|
||||
},
|
||||
{
|
||||
"194": "6.2.9. Đảm bảo mọi người dùng đều tồn tại thư mục home"
|
||||
},
|
||||
{
|
||||
"195": "6.2.10. Đảm bảo người dùng sở hữu thư mục home của chính họ"
|
||||
},
|
||||
{
|
||||
"196": "6.2.11. Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao"
|
||||
},
|
||||
{
|
||||
"197": "6.2.12. Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other"
|
||||
},
|
||||
{
|
||||
"198": "6.2.13. Đảm bảo không người dùng nào có file .forward"
|
||||
},
|
||||
{
|
||||
"199": "6.2.14. Đảm bảo không người dùng nào có file .netrc"
|
||||
},
|
||||
{
|
||||
"200": "6.2.15. Đảm bảo không người dùng nào có file .rhosts"
|
||||
}
|
||||
]
|
||||
}
|
||||
@@ -0,0 +1,484 @@
|
||||
{
|
||||
"data": [
|
||||
{
|
||||
"7": "1.1.1.1. Cấu hình vô hiệu hoá cramfs filesystem"
|
||||
},
|
||||
{
|
||||
"8": "1.1.1.2. Cấu hình vô hiệu hoá freevxfs filesystem"
|
||||
},
|
||||
{
|
||||
"9": "1.1.1.3. Cấu hình vô hiệu hoá hfs filesystem"
|
||||
},
|
||||
{
|
||||
"10": "1.1.1.4. Cấu hình vô hiệu hoá hfsplus filesystem"
|
||||
},
|
||||
{
|
||||
"11": "1.1.1.5. Cấu hình vô hiệu hoá jffs2 filesystem"
|
||||
},
|
||||
{
|
||||
"12": "1.1.1.6. Cấu hình vô hiệu hoá squashfs filesystem"
|
||||
},
|
||||
{
|
||||
"13": "1.1.1.7. Cấu hình vô hiệu hoá udf filesystem"
|
||||
},
|
||||
{
|
||||
"14": "1.1.1.8. Cấu hình vô hiệu hoá usb storage"
|
||||
},
|
||||
{
|
||||
"16": "1.1.2.1. Cấu hình tuỳ chọn nodev cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"17": "1.1.2.2. Cấu hình tuỳ chọn nosuid cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"18": "1.1.2.3. Cấu hình tuỳ chọn noexec cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"20": "1.1.3.1. Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"21": "1.1.3.2. Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"22": "1.1.3.3. Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"24": "1.1.4.1. Cấu hình tuỳ chọn nodev cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"25": "1.1.4.2. Cấu hình tuỳ chọn nosuid cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"27": "1.1.5.1. Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"28": "1.1.5.2. Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"29": "1.1.5.3. Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"31": "1.2.1. Cấu hình kích hoạt gpgcheck"
|
||||
},
|
||||
{
|
||||
"33": "1.3.1. Kiểm tra cài đặt AIDE"
|
||||
},
|
||||
{
|
||||
"34": "1.3.2. Cấu hình kiểm tra tính toàn vẹn của filesystem"
|
||||
},
|
||||
{
|
||||
"36": "1.4.1. Phân quyền đối với file cấu hình bootloader"
|
||||
},
|
||||
{
|
||||
"37": "1.4.2. Cấu hình mật khẩu cho bootloader"
|
||||
},
|
||||
{
|
||||
"38": "1.4.3. Cấu hình xác thực khi truy cập single user mode"
|
||||
},
|
||||
{
|
||||
"39": "1.4.4. Cấu hình vô hiệu hoá interactive boot"
|
||||
},
|
||||
{
|
||||
"41": "1.5.1. Cấu hình vô hiệu hoá core dump"
|
||||
},
|
||||
{
|
||||
"42": "1.5.2. Cấu hình kích hoạt ASLR (address space layout randomization)"
|
||||
},
|
||||
{
|
||||
"43": "1.5.3. Cấu hình vô hiệu hoá prelink"
|
||||
},
|
||||
{
|
||||
"45": "1.6.1. Kiểm soát nội dung motd (Message Of The Day)"
|
||||
},
|
||||
{
|
||||
"46": "1.6.2. Kiểm soát nội dung thông báo khi đăng nhập"
|
||||
},
|
||||
{
|
||||
"47": "1.6.3. Kiểm soát nội dung thông báo khi đăng nhập từ xa"
|
||||
},
|
||||
{
|
||||
"48": "1.6.4. Cấu hình phân quyền đối với file /etc/motd"
|
||||
},
|
||||
{
|
||||
"49": "1.6.5. Cấu hình phân quyền đối với file /etc/issue"
|
||||
},
|
||||
{
|
||||
"50": "1.6.6. Cấu hình phân quyền đối với file /etc/issue.net"
|
||||
},
|
||||
{
|
||||
"51": "1.6.7. Kiểm soát nội dung thông báo khi truy cập GNOME"
|
||||
},
|
||||
{
|
||||
"54": "2.1.1. Cấu hình sử dụng chrony"
|
||||
},
|
||||
{
|
||||
"55": "2.1.2. Cấu hình sử dụng ntp"
|
||||
},
|
||||
{
|
||||
"57": "2.2.1. Cấu hình vô hiệu hoá xinetd services"
|
||||
},
|
||||
{
|
||||
"58": "2.2.2. Cấu hình vô hiệu hoá chargen services"
|
||||
},
|
||||
{
|
||||
"59": "2.2.3. Cấu hình vô hiệu hoá daytime services"
|
||||
},
|
||||
{
|
||||
"60": "2.2.4. Cấu hình vô hiệu hoá discard services"
|
||||
},
|
||||
{
|
||||
"61": "2.2.5. Cấu hình vô hiệu hoá echo services"
|
||||
},
|
||||
{
|
||||
"62": "2.2.6. Cấu hình vô hiệu hoá time services"
|
||||
},
|
||||
{
|
||||
"63": "2.2.7. Cấu hình vô hiệu hoá rsh server"
|
||||
},
|
||||
{
|
||||
"64": "2.2.8. Cấu hình vô hiệu hoá talk server"
|
||||
},
|
||||
{
|
||||
"65": "2.2.9. Cấu hình vô hiệu hoá autofs services"
|
||||
},
|
||||
{
|
||||
"66": "2.2.10. Cấu hình vô hiệu hoá X window server services"
|
||||
},
|
||||
{
|
||||
"67": "2.2.11. Cấu hình vô hiệu hoá avahi daemon services"
|
||||
},
|
||||
{
|
||||
"68": "2.2.12. Cấu hình vô hiệu hoá cups services"
|
||||
},
|
||||
{
|
||||
"69": "2.2.13. Cấu hình vô hiệu hoá dhcp server services"
|
||||
},
|
||||
{
|
||||
"70": "2.2.14. Cấu hình vô hiệu hoá ldap server services"
|
||||
},
|
||||
{
|
||||
"71": "2.2.15. Cấu hình vô hiệu hoá dns server services"
|
||||
},
|
||||
{
|
||||
"72": "2.2.16. Cấu hình vô hiệu hoá dnsmasq services"
|
||||
},
|
||||
{
|
||||
"73": "2.2.17. Cấu hình vô hiệu hoá ftp server services"
|
||||
},
|
||||
{
|
||||
"74": "2.2.18. Cấu hình vô hiệu hoá tftp server services"
|
||||
},
|
||||
{
|
||||
"75": "2.2.19. Cấu hình vô hiệu hoá web server services"
|
||||
},
|
||||
{
|
||||
"76": "2.2.20. Cấu hình vô hiệu hoá imap and pop3 server services"
|
||||
},
|
||||
{
|
||||
"77": "2.2.21. Cấu hình vô hiệu hoá samba file server services"
|
||||
},
|
||||
{
|
||||
"78": "2.2.22. Cấu hình vô hiệu hoá web proxy server services"
|
||||
},
|
||||
{
|
||||
"79": "2.2.23. Cấu hình vô hiệu hoá snmp services"
|
||||
},
|
||||
{
|
||||
"80": "2.2.24. Cấu hình vô hiệu hoá nis server services"
|
||||
},
|
||||
{
|
||||
"81": "2.2.25. Cấu hình vô hiệu hoá telnet server services"
|
||||
},
|
||||
{
|
||||
"82": "2.2.26. Cấu hình mail transfer agents sang chế độ local-only"
|
||||
},
|
||||
{
|
||||
"83": "2.2.27. Cấu hình vô hiệu hoá network file system services"
|
||||
},
|
||||
{
|
||||
"84": "2.2.28. Cấu hình vô hiệu hoá rpcbind services"
|
||||
},
|
||||
{
|
||||
"85": "2.2.29. Cấu hình vô hiệu hoá rsync services"
|
||||
},
|
||||
{
|
||||
"87": "2.3.1. Cấu hình vô hiệu hoá nis client"
|
||||
},
|
||||
{
|
||||
"88": "2.3.2. Cấu hình vô hiệu hoá rsh client"
|
||||
},
|
||||
{
|
||||
"89": "2.3.3. Cấu hình vô hiệu hoá talk client"
|
||||
},
|
||||
{
|
||||
"90": "2.3.4. Cấu hình vô hiệu hoá telnet client"
|
||||
},
|
||||
{
|
||||
"91": "2.3.5. Cấu hình vô hiệu hoá ldap client"
|
||||
},
|
||||
{
|
||||
"92": "2.3.6. Cấu hình vô hiệu hoá ftp client"
|
||||
},
|
||||
{
|
||||
"93": "2.3.7. Cấu hình vô hiệu hoá tftp client"
|
||||
},
|
||||
{
|
||||
"96": "3.1.1. Cấu hình vô hiệu hoá IP forwarding"
|
||||
},
|
||||
{
|
||||
"97": "3.1.2. Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect)"
|
||||
},
|
||||
{
|
||||
"99": "3.2.1. Cấu hình từ chối các gói tin với nguồn được định tuyến trước"
|
||||
},
|
||||
{
|
||||
"100": "3.2.2. Cấu hình từ chối các ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"101": "3.2.3. Cấu hình từ chối các secure ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"102": "3.2.4. Cấu hình từ chối các gói tin ICMP request broadcast"
|
||||
},
|
||||
{
|
||||
"103": "3.2.5. Cấu hình bỏ qua phản hồi ICMP không hợp lệ"
|
||||
},
|
||||
{
|
||||
"104": "3.2.6. Cấu hình Reverse Path Filtering"
|
||||
},
|
||||
{
|
||||
"105": "3.2.7. Cấu hình TCP SYN Cookies"
|
||||
},
|
||||
{
|
||||
"108": "3.3.1.1. Cấu hình kích hoạt Iptables"
|
||||
},
|
||||
{
|
||||
"109": "3.3.1.2. Cấu hình iptables loopback traffic"
|
||||
},
|
||||
{
|
||||
"110": "3.3.1.3. Cấu hình iptables rule cho tất cả các port và protocol đang mở"
|
||||
},
|
||||
{
|
||||
"111": "3.3.1.4. Cấu hình chính sách từ chối mặc định cho iptables"
|
||||
},
|
||||
{
|
||||
"115": "4.1.1.1. Cấu hình kích hoạt rsyslog service"
|
||||
},
|
||||
{
|
||||
"116": "4.1.1.2. Phân quyền đối với file log sinh ra từ rsyslog"
|
||||
},
|
||||
{
|
||||
"117": "4.1.1.3. Cấu hình lưu trữ log sinh ra từ rsyslog tập trung"
|
||||
},
|
||||
{
|
||||
"118": "4.1.1.4. Phân quyền đối với tất cả các file log"
|
||||
},
|
||||
{
|
||||
"121": "5.1.1. Cấu hình kích hoạt cron daemon"
|
||||
},
|
||||
{
|
||||
"122": "5.1.2. Cấu hình phân quyền cho file /etc/crontab"
|
||||
},
|
||||
{
|
||||
"123": "5.1.3. Cấu hình phân quyền cho file /etc/cron.hourly"
|
||||
},
|
||||
{
|
||||
"124": "5.1.4. Cấu hình phân quyền cho file /etc/cron.daily"
|
||||
},
|
||||
{
|
||||
"125": "5.1.5. Cấu hình phân quyền cho file /etc/cron.weekly"
|
||||
},
|
||||
{
|
||||
"126": "5.1.6. Cấu hình phân quyền cho file /etc/cron.monthly"
|
||||
},
|
||||
{
|
||||
"127": "5.1.7. Cấu hình phân quyền cho file /etc/cron.d"
|
||||
},
|
||||
{
|
||||
"128": "5.1.8. Cấu hình at/cron hạn chế chỉ cho người dùng được uỷ quyền"
|
||||
},
|
||||
{
|
||||
"130": "5.2.1. Cấu hình phân quyền cho file /etc/ssh/sshd_config"
|
||||
},
|
||||
{
|
||||
"131": "5.2.2. Cấu hình phân quyền cho các file SSH private host key"
|
||||
},
|
||||
{
|
||||
"132": "5.2.3. Cấu hình phân quyền cho các file SSH public host key"
|
||||
},
|
||||
{
|
||||
"133": "5.2.4. Cấu hình giới hạn truy cập cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"134": "5.2.5. Cấu hình LogLevel cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"135": "5.2.6. Cấu hình sử dụng SSH PAM"
|
||||
},
|
||||
{
|
||||
"136": "5.2.7. Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"137": "5.2.8. Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"138": "5.2.9. Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"139": "5.2.10. Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"140": "5.2.11. Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"141": "5.2.12. Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"142": "5.2.13. Cấu hình vô hiệu hoá SSH AllowTcpForwarding"
|
||||
},
|
||||
{
|
||||
"143": "5.2.14. Cấu hình cảnh báo SSH"
|
||||
},
|
||||
{
|
||||
"144": "5.2.15. Cấu hình SSH MaxAuthTries"
|
||||
},
|
||||
{
|
||||
"145": "5.2.16. Cấu hình SSH MaxStartups"
|
||||
},
|
||||
{
|
||||
"146": "5.2.17. Cấu hình SSH MaxSessions"
|
||||
},
|
||||
{
|
||||
"147": "5.2.18. Cấu hình SSH LoginGraceTime"
|
||||
},
|
||||
{
|
||||
"148": "5.2.19. Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"149": "5.2.20. Cấu hình các thuật toán MAC được cho phép"
|
||||
},
|
||||
{
|
||||
"151": "5.3.1. Cấu hình điều kiện tạo mật khẩu"
|
||||
},
|
||||
{
|
||||
"152": "5.3.2. Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại"
|
||||
},
|
||||
{
|
||||
"153": "5.3.3. Giới hạn việc sử dụng lại mật khẩu"
|
||||
},
|
||||
{
|
||||
"154": "5.3.4. Cấu hình thuật toán hash mật khẩu sang SHA-512"
|
||||
},
|
||||
{
|
||||
"157": "5.4.1.1. Cấu hình thời gian hết hạn sử dụng mật khẩu"
|
||||
},
|
||||
{
|
||||
"158": "5.4.1.2. Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu"
|
||||
},
|
||||
{
|
||||
"159": "5.4.1.3. Cấu hình thời gian cảnh báo mật khẩu hết hạn"
|
||||
},
|
||||
{
|
||||
"160": "5.4.1.4. Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn"
|
||||
},
|
||||
{
|
||||
"161": "5.4.1.5. Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ"
|
||||
},
|
||||
{
|
||||
"162": "5.4.2. Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống"
|
||||
},
|
||||
{
|
||||
"163": "5.4.3. Cấu hình shell timeout mặc định"
|
||||
},
|
||||
{
|
||||
"164": "5.4.4. Cấu hình group mặc định của tài khoản root"
|
||||
},
|
||||
{
|
||||
"165": "5.4.5. Cấu hình user umask mặc định"
|
||||
},
|
||||
{
|
||||
"166": "5.4.6. Cấu hình hạn chế truy cập cho câu lệnh su"
|
||||
},
|
||||
{
|
||||
"169": "6.1.1. Cấu hình sticky bit cho tất cả các thư mục dùng chung"
|
||||
},
|
||||
{
|
||||
"170": "6.1.2. Cấu hình phân quyền cho file /etc/passwd"
|
||||
},
|
||||
{
|
||||
"171": "6.1.3. Cấu hình phân quyền cho file /etc/shadow"
|
||||
},
|
||||
{
|
||||
"172": "6.1.4. Cấu hình phân quyền cho file /etc/group"
|
||||
},
|
||||
{
|
||||
"173": "6.1.5. Cấu hình phân quyền cho file /etc/gshadow"
|
||||
},
|
||||
{
|
||||
"174": "6.1.6. Cấu hình phân quyền cho file /etc/passwd-"
|
||||
},
|
||||
{
|
||||
"175": "6.1.7. Cấu hình phân quyền cho file /etc/shadow-"
|
||||
},
|
||||
{
|
||||
"176": "6.1.8. Cấu hình phân quyền cho file /etc/group-"
|
||||
},
|
||||
{
|
||||
"177": "6.1.9. Cấu hình phân quyền cho file /etc/gshadow-"
|
||||
},
|
||||
{
|
||||
"178": "6.1.10. Đảm bảo không có file world-writable tồn tại"
|
||||
},
|
||||
{
|
||||
"179": "6.1.11. Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại"
|
||||
},
|
||||
{
|
||||
"180": "6.1.12. Đảm bảo các file hoặc thư mục không có nhóm không tồn tại"
|
||||
},
|
||||
{
|
||||
"182": "6.2.1. Đảm bảo trường mật khẩu không để trống"
|
||||
},
|
||||
{
|
||||
"183": "6.2.2. Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group"
|
||||
},
|
||||
{
|
||||
"184": "6.2.3. Đảm bảo UID không bị lặp"
|
||||
},
|
||||
{
|
||||
"185": "6.2.4. Đảm bảo GID không bị lặp"
|
||||
},
|
||||
{
|
||||
"186": "6.2.5. Đảm bảo tên người dùng không bị lặp"
|
||||
},
|
||||
{
|
||||
"187": "6.2.6. Đảm bảo tên group không bị lặp"
|
||||
},
|
||||
{
|
||||
"188": "6.2.7. Đảm bảo tính toàn vẹn cho biến môi trường PATH của root"
|
||||
},
|
||||
{
|
||||
"189": "6.2.8. Đảm bảo root là tài khoản duy nhất có UID là 0"
|
||||
},
|
||||
{
|
||||
"190": "6.2.9. Đảm bảo mọi người dùng đều tồn tại thư mục home"
|
||||
},
|
||||
{
|
||||
"191": "6.2.10. Đảm bảo người dùng sở hữu thư mục home của chính họ"
|
||||
},
|
||||
{
|
||||
"192": "6.2.11. Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao"
|
||||
},
|
||||
{
|
||||
"193": "6.2.12. Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other"
|
||||
},
|
||||
{
|
||||
"194": "6.2.13. Đảm bảo không người dùng nào có file .forward"
|
||||
},
|
||||
{
|
||||
"195": "6.2.14. Đảm bảo không người dùng nào có file .netrc"
|
||||
},
|
||||
{
|
||||
"196": "6.2.15. Đảm bảo không người dùng nào có file .rhosts"
|
||||
}
|
||||
]
|
||||
}
|
||||
@@ -0,0 +1,595 @@
|
||||
{
|
||||
"data": [
|
||||
{
|
||||
"": "1. Thiết lập ban đầu"
|
||||
},
|
||||
{
|
||||
"": "1.1. Cấu hình filesystem"
|
||||
},
|
||||
{
|
||||
"": "1.1.1. Cấu hình vô hiệu hoá các filesystem không sử dụng"
|
||||
},
|
||||
{
|
||||
"7": "1.1.1.1. Cấu hình vô hiệu hoá cramfs filesystem"
|
||||
},
|
||||
{
|
||||
"8": "1.1.1.2. Cấu hình vô hiệu hoá freevxfs filesystem"
|
||||
},
|
||||
{
|
||||
"9": "1.1.1.3. Cấu hình vô hiệu hoá hfs filesystem"
|
||||
},
|
||||
{
|
||||
"10": "1.1.1.4. Cấu hình vô hiệu hoá hfsplus filesystem"
|
||||
},
|
||||
{
|
||||
"11": "1.1.1.5. Cấu hình vô hiệu hoá jffs2 filesystem"
|
||||
},
|
||||
{
|
||||
"12": "1.1.1.6. Cấu hình vô hiệu hoá squashfs filesystem"
|
||||
},
|
||||
{
|
||||
"13": "1.1.1.7. Cấu hình vô hiệu hoá udf filesystem"
|
||||
},
|
||||
{
|
||||
"14": "1.1.1.8. Cấu hình vô hiệu hoá usb-storage filesystem"
|
||||
},
|
||||
{
|
||||
"15": "1.1.2. Cấu hình phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"16": "1.1.2.1. Cấu hình tuỳ chọn nodev cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"17": "1.1.2.2. Cấu hình tuỳ chọn nosuid cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"18": "1.1.2.3. Cấu hình tuỳ chọn noexec cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"19": "1.1.3. Cấu hình phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"20": "1.1.3.1. Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"21": "1.1.3.2. Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"22": "1.1.3.3. Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"23": "1.1.4. Cấu hình phân vùng /home"
|
||||
},
|
||||
{
|
||||
"24": "1.1.4.1. Cấu hình tuỳ chọn nodev cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"25": "1.1.4.2. Cấu hình tuỳ chọn nosuid cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"26": "1.1.5. Cấu hình phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"27": "1.1.5.1. Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"28": "1.1.5.2. Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"29": "1.1.5.3. Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"30": "1.2. Cấu hình cập nhật phần mềm"
|
||||
},
|
||||
{
|
||||
"31": "1.2.1. Cấu hình kích hoạt gpgcheck"
|
||||
},
|
||||
{
|
||||
"32": "1.3. Kiểm tra tính toàn vẹn của filesystem"
|
||||
},
|
||||
{
|
||||
"33": "1.3.1. Kiểm tra cài đặt AIDE"
|
||||
},
|
||||
{
|
||||
"34": "1.3.2. Cấu hình kiểm tra tính toàn vẹn của filesystem"
|
||||
},
|
||||
{
|
||||
"35": "1.4. Cấu hình khởi động an toàn"
|
||||
},
|
||||
{
|
||||
"36": "1.4.1. Phân quyền đối với file cấu hình bootloader"
|
||||
},
|
||||
{
|
||||
"37": "1.4.2. Cấu hình xác thực khi truy cập rescue mode"
|
||||
},
|
||||
{
|
||||
"38": "1.4.3. Cấu hình xác thực khi truy cập single user mode"
|
||||
},
|
||||
{
|
||||
"39": "1.4.4. Cấu hình vô hiệu hoá interactive boot"
|
||||
},
|
||||
{
|
||||
"40": "1.5. Additional Process Hardening"
|
||||
},
|
||||
{
|
||||
"41": "1.5.1. Cấu hình vô hiệu hoá core dump"
|
||||
},
|
||||
{
|
||||
"42": "1.5.2. Cấu hình kích hoạt ASLR (address space layout randomization)"
|
||||
},
|
||||
{
|
||||
"43": "1.5.3. Cấu hình vô hiệu hoá prelink"
|
||||
},
|
||||
{
|
||||
"44": "1.6. Kiểm soát nội dung cảnh báo"
|
||||
},
|
||||
{
|
||||
"45": "1.6.1. Kiểm soát nội dung motd (Message Of The Day)"
|
||||
},
|
||||
{
|
||||
"46": "1.6.2. Kiểm soát nội dung thông báo khi đăng nhập"
|
||||
},
|
||||
{
|
||||
"47": "1.6.3. Kiểm soát nội dung thông báo khi đăng nhập từ xa"
|
||||
},
|
||||
{
|
||||
"48": "1.6.4. Cấu hình phân quyền đối với file /etc/motd"
|
||||
},
|
||||
{
|
||||
"49": "1.6.5. Cấu hình phân quyền đối với file /etc/issue"
|
||||
},
|
||||
{
|
||||
"50": "1.6.6. Cấu hình phân quyền đối với file /etc/issue.net"
|
||||
},
|
||||
{
|
||||
"51": "1.6.7. Kiểm soát nội dung thông báo khi truy cập GNOME"
|
||||
},
|
||||
{
|
||||
"52": "2. Service"
|
||||
},
|
||||
{
|
||||
"53": "2.1. Cấu hình Time Synchronization"
|
||||
},
|
||||
{
|
||||
"54": "2.1.1. Cấu hình sử dụng chrony"
|
||||
},
|
||||
{
|
||||
"55": "2.1.2. Cấu hình sử dụng NTP"
|
||||
},
|
||||
{
|
||||
"56": "2.2. Các Service với mục đích riêng biệt"
|
||||
},
|
||||
{
|
||||
"57": "2.2.1. Cấu hình vô hiệu hoá xinetd services"
|
||||
},
|
||||
{
|
||||
"58": "2.2.2. Cấu hình vô hiệu hoá chargen services"
|
||||
},
|
||||
{
|
||||
"59": "2.2.3. Cấu hình vô hiệu hoá daytime services"
|
||||
},
|
||||
{
|
||||
"60": "2.2.4. Cấu hình vô hiệu hoá discard services"
|
||||
},
|
||||
{
|
||||
"61": "2.2.5. Cấu hình vô hiệu hoá echo services"
|
||||
},
|
||||
{
|
||||
"62": "2.2.6. Cấu hình vô hiệu hoá time services"
|
||||
},
|
||||
{
|
||||
"63": "2.2.7. Cấu hình vô hiệu hoá rsh server"
|
||||
},
|
||||
{
|
||||
"64": "2.2.8. Cấu hình vô hiệu hoá talk server"
|
||||
},
|
||||
{
|
||||
"65": "2.2.9. Cấu hình vô hiệu hoá autofs services"
|
||||
},
|
||||
{
|
||||
"66": "2.2.10. Cấu hình vô hiệu hoá X window server services"
|
||||
},
|
||||
{
|
||||
"67": "2.2.11. Cấu hình vô hiệu hoá avahi daemon services"
|
||||
},
|
||||
{
|
||||
"68": "2.2.12. Cấu hình vô hiệu hoá cups services"
|
||||
},
|
||||
{
|
||||
"69": "2.2.13. Cấu hình vô hiệu hoá dhcp server services"
|
||||
},
|
||||
{
|
||||
"70": "2.2.14. Cấu hình vô hiệu hoá ldap server services"
|
||||
},
|
||||
{
|
||||
"71": "2.2.15. Cấu hình vô hiệu hoá dns server services"
|
||||
},
|
||||
{
|
||||
"72": "2.2.16. Cấu hình vô hiệu hoá dnsmasq services"
|
||||
},
|
||||
{
|
||||
"73": "2.2.17. Cấu hình vô hiệu hoá ftp server services"
|
||||
},
|
||||
{
|
||||
"74": "2.2.18. Cấu hình vô hiệu hoá tftp server services"
|
||||
},
|
||||
{
|
||||
"75": "2.2.19. Cấu hình vô hiệu hoá web server services"
|
||||
},
|
||||
{
|
||||
"76": "2.2.20. Cấu hình vô hiệu hoá imap and pop3 server services"
|
||||
},
|
||||
{
|
||||
"77": "2.2.21. Cấu hình vô hiệu hoá samba file server services"
|
||||
},
|
||||
{
|
||||
"78": "2.2.22. Cấu hình vô hiệu hoá web proxy server services"
|
||||
},
|
||||
{
|
||||
"79": "2.2.23. Cấu hình vô hiệu hoá snmp services"
|
||||
},
|
||||
{
|
||||
"80": "2.2.24. Cấu hình vô hiệu hoá nis server services"
|
||||
},
|
||||
{
|
||||
"81": "2.2.25. Cấu hình vô hiệu hoá telnet server services"
|
||||
},
|
||||
{
|
||||
"82": "2.2.26. Cấu hình mail transfer agents sang chế độ local-only"
|
||||
},
|
||||
{
|
||||
"83": "2.2.27. Cấu hình vô hiệu hoá network file system services"
|
||||
},
|
||||
{
|
||||
"84": "2.2.28. Cấu hình vô hiệu hoá rpcbind services"
|
||||
},
|
||||
{
|
||||
"85": "2.2.29. Cấu hình vô hiệu hoá rsync services"
|
||||
},
|
||||
{
|
||||
"86": "2.3. Service Clients"
|
||||
},
|
||||
{
|
||||
"87": "2.3.1. Cấu hình vô hiệu hoá NIS Client"
|
||||
},
|
||||
{
|
||||
"88": "2.3.2. Cấu hình vô hiệu hoá rsh client"
|
||||
},
|
||||
{
|
||||
"89": "2.3.3. Cấu hình vô hiệu hoá talk client"
|
||||
},
|
||||
{
|
||||
"90": "2.3.4. Cấu hình vô hiệu hoá telnet client"
|
||||
},
|
||||
{
|
||||
"91": "Cấu hình vô hiệu hoá LDAP client"
|
||||
},
|
||||
{
|
||||
"92": "2.3.6. Cấu hình vô hiệu hoá ftp client"
|
||||
},
|
||||
{
|
||||
"93": "2.3.7. Cấu hình vô hiệu hoá tftp client"
|
||||
},
|
||||
{
|
||||
"94": "3. Cấu hình mạng"
|
||||
},
|
||||
{
|
||||
"95": "3.1. Tham số cấu hình mạng (Host Only)"
|
||||
},
|
||||
{
|
||||
"96": "3.1.1. Cấu hình vô hiệu hoá IP forwarding"
|
||||
},
|
||||
{
|
||||
"97": "3.1.2. Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect)"
|
||||
},
|
||||
{
|
||||
"98": "3.2. Tham số cấu hình mạng (Host và Router)"
|
||||
},
|
||||
{
|
||||
"99": "3.2.1. Cấu hình từ chối các gói tin với nguồn được định tuyến trước"
|
||||
},
|
||||
{
|
||||
"100": "3.2.2. Cấu hình từ chối các ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"101": "3.2.3. Cấu hình từ chối các secure ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"102": "3.2.4. Cấu hình từ chối các gói tin ICMP request broadcast"
|
||||
},
|
||||
{
|
||||
"103": "3.2.5. Cấu hình bỏ qua phản hồi ICMP không hợp lệ"
|
||||
},
|
||||
{
|
||||
"104": "3.2.6. Cấu hình Reverse Path Filtering"
|
||||
},
|
||||
{
|
||||
"105": "3.2.7. Cấu hình TCP SYN Cookies"
|
||||
},
|
||||
{
|
||||
"106": "3.4. Cấu hình Firewall"
|
||||
},
|
||||
{
|
||||
"107": "3.4.1. Cấu hình firewalld"
|
||||
},
|
||||
{
|
||||
"108": "3.4.1.1. Cấu hình kích hoạt firewalld"
|
||||
},
|
||||
{
|
||||
"109": "3.4.1.3. Cấu hình firewalld rule cho tất cả các port và protocol đang mở"
|
||||
},
|
||||
{
|
||||
"110": "3.4.1.4. Cấu hình chính sách từ chối mặc định cho firewalld"
|
||||
},
|
||||
{
|
||||
"111": "3.4.2. Iptables"
|
||||
},
|
||||
{
|
||||
"112": "3.4.2.1. Cấu hình kích hoạt Iptables"
|
||||
},
|
||||
{
|
||||
"113": "3.4.2.3. Cấu hình iptables loopback traffic"
|
||||
},
|
||||
{
|
||||
"114": "3.4.2.4. Cấu hình iptables rule cho tất cả các port và protocol đang mở"
|
||||
},
|
||||
{
|
||||
"115": "3.4.2.5. Cấu hình chính sách từ chối mặc định cho iptables"
|
||||
},
|
||||
{
|
||||
"116": "4. Logging và Auditing"
|
||||
},
|
||||
{
|
||||
"117": "4.1. Cấu hình logging"
|
||||
},
|
||||
{
|
||||
"118": "4.1.1. Cấu hình rsyslog"
|
||||
},
|
||||
{
|
||||
"119": "4.1.1.1. Cấu hình kích hoạt rsyslog service"
|
||||
},
|
||||
{
|
||||
"120": "4.1.1.2. Phân quyền đối với file log sinh ra từ rsyslog"
|
||||
},
|
||||
{
|
||||
"121": "4.1.1.3. Cấu hình lưu trữ log sinh ra từ rsyslog tập trung"
|
||||
},
|
||||
{
|
||||
"122": "4.1.1.4. Phân quyền đối với tất cả các file log"
|
||||
},
|
||||
{
|
||||
"123": "5. Cấu hình truy cập, xác thực và ủy quyền"
|
||||
},
|
||||
{
|
||||
"124": "5.1. Cấu hình cron"
|
||||
},
|
||||
{
|
||||
"125": "5.1.1. Cấu hình kích hoạt cron daemon"
|
||||
},
|
||||
{
|
||||
"126": "5.1.2. Cấu hình phân quyền cho file /etc/crontab"
|
||||
},
|
||||
{
|
||||
"127": "5.1.3. Cấu hình phân quyền cho file /etc/cron.hourly"
|
||||
},
|
||||
{
|
||||
"128": "5.1.4. Cấu hình phân quyền cho file /etc/cron.daily"
|
||||
},
|
||||
{
|
||||
"129": "5.1.5. Cấu hình phân quyền cho file /etc/cron.weekly"
|
||||
},
|
||||
{
|
||||
"130": "5.1.6. Cấu hình phân quyền cho file /etc/cron.monthly"
|
||||
},
|
||||
{
|
||||
"131": "5.1.7. Cấu hình phân quyền cho file /etc/cron.d"
|
||||
},
|
||||
{
|
||||
"132": "5.1.8. Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền"
|
||||
},
|
||||
{
|
||||
"133": "5.2. Cấu hình máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"134": "5.2.1. Cấu hình phân quyền cho file /etc/ssh/sshd_config"
|
||||
},
|
||||
{
|
||||
"135": "5.2.2. Cấu hình phân quyền cho các file SSH private host key"
|
||||
},
|
||||
{
|
||||
"136": "5.2.3. Cấu hình phân quyền cho các file SSH public host key"
|
||||
},
|
||||
{
|
||||
"137": "5.2.4. Cấu hình giới hạn truy cập cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"138": "5.2.5. Cấu hình LogLevel cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"139": "5.2.6. Cấu hình sử dụng SSH PAM"
|
||||
},
|
||||
{
|
||||
"140": "5.2.7. Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"141": "5.2.8. Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"142": "5.2.9. Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"143": "5.2.10. Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"144": "5.2.11. Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"145": "5.2.12. Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"146": "5.2.13. Cấu hình vô hiệu hoá SSH AllowTcpForwarding"
|
||||
},
|
||||
{
|
||||
"147": "5.2.14. Cấu hình cảnh báo SSH"
|
||||
},
|
||||
{
|
||||
"148": "5.2.15. Cấu hình SSH MaxAuthTries"
|
||||
},
|
||||
{
|
||||
"149": "5.2.16. Cấu hình SSH MaxStartups"
|
||||
},
|
||||
{
|
||||
"150": "5.2.17. Cấu hình SSH MaxSessions"
|
||||
},
|
||||
{
|
||||
"151": "5.2.18. Cấu hình SSH LoginGraceTime"
|
||||
},
|
||||
{
|
||||
"152": "5.2.19. Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"153": "5.2.20. Cấu hình các thuật toán MAC được cho phép"
|
||||
},
|
||||
{
|
||||
"154": "5.3. Cấu hình PAM"
|
||||
},
|
||||
{
|
||||
"155": "5.3.1. Cấu hình điều kiện tạo mật khẩu"
|
||||
},
|
||||
{
|
||||
"156": "5.3.2. Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại"
|
||||
},
|
||||
{
|
||||
"157": "5.3.3. Giới hạn việc sử dụng lại mật khẩu"
|
||||
},
|
||||
{
|
||||
"158": "5.3.4. Cấu hình thuật toán hash mật khẩu sang SHA-512"
|
||||
},
|
||||
{
|
||||
"159": "5.4. Cấu hình tài khoản người dùng và môi trường"
|
||||
},
|
||||
{
|
||||
"160": "5.4.1. Cấu hình mật khẩu người dùng"
|
||||
},
|
||||
{
|
||||
"161": "5.4.1.1. Cấu hình thời gian hết hạn sử dụng mật khẩu"
|
||||
},
|
||||
{
|
||||
"162": "5.4.1.2. Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu"
|
||||
},
|
||||
{
|
||||
"163": "5.4.1.3. Cấu hình thời gian cảnh báo mật khẩu hết hạn"
|
||||
},
|
||||
{
|
||||
"164": "5.4.1.4. Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn"
|
||||
},
|
||||
{
|
||||
"165": "5.4.1.5. Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ"
|
||||
},
|
||||
{
|
||||
"166": "5.4.2. Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống"
|
||||
},
|
||||
{
|
||||
"167": "5.4.3. Cấu hình shell timeout mặc định"
|
||||
},
|
||||
{
|
||||
"168": "5.4.4. Cấu hình group mặc định của tài khoản root"
|
||||
},
|
||||
{
|
||||
"169": "5.4.5. Cấu hình user umask mặc định"
|
||||
},
|
||||
{
|
||||
"170": "5.4.6. Cấu hình hạn chế truy cập cho câu lệnh su"
|
||||
},
|
||||
{
|
||||
"171": "6. System Maintenance"
|
||||
},
|
||||
{
|
||||
"172": "6.1. Quyền của file hệ thống"
|
||||
},
|
||||
{
|
||||
"173": "6.1.1. Cấu hình sticky bit cho tất cả các thư mục dùng chung"
|
||||
},
|
||||
{
|
||||
"174": "6.1.2. Cấu hình phân quyền cho file /etc/passwd"
|
||||
},
|
||||
{
|
||||
"175": "6.1.3. Cấu hình phân quyền cho file /etc/shadow"
|
||||
},
|
||||
{
|
||||
"176": "6.1.4. Cấu hình phân quyền cho file /etc/group"
|
||||
},
|
||||
{
|
||||
"177": "6.1.5. Cấu hình phân quyền cho file /etc/gshadow"
|
||||
},
|
||||
{
|
||||
"178": "6.1.6. Cấu hình phân quyền cho file /etc/passwd-"
|
||||
},
|
||||
{
|
||||
"179": "6.1.7. Cấu hình phân quyền cho file /etc/shadow-"
|
||||
},
|
||||
{
|
||||
"180": "6.1.8. Cấu hình phân quyền cho file /etc/group-"
|
||||
},
|
||||
{
|
||||
"181": "6.1.9. Cấu hình phân quyền cho file /etc/gshadow-"
|
||||
},
|
||||
{
|
||||
"182": "6.1.10. Đảm bảo không có file world-writable tồn tại"
|
||||
},
|
||||
{
|
||||
"183": "6.1.11. Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại"
|
||||
},
|
||||
{
|
||||
"184": "6.1.12. Đảm bảo các file hoặc thư mục không có nhóm không tồn tại"
|
||||
},
|
||||
{
|
||||
"185": "6.2. Thiết lập cho người dùng và nhóm"
|
||||
},
|
||||
{
|
||||
"186": "6.2.1. Đảm bảo trường mật khẩu không để trống"
|
||||
},
|
||||
{
|
||||
"187": "6.2.2. Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group"
|
||||
},
|
||||
{
|
||||
"188": "6.2.3. Đảm bảo UID không bị lặp"
|
||||
},
|
||||
{
|
||||
"189": "6.2.4. Đảm bảo GID không bị lặp"
|
||||
},
|
||||
{
|
||||
"190": "6.2.5. Đảm bảo tên người dùng không bị lặp"
|
||||
},
|
||||
{
|
||||
"191": "6.2.6. Đảm bảo tên group không bị lặp"
|
||||
},
|
||||
{
|
||||
"192": "6.2.7. Đảm bảo tính toàn vẹn cho biến môi trường PATH của root"
|
||||
},
|
||||
{
|
||||
"193": "6.2.8. Đảm bảo root là tài khoản duy nhất có UID là 0"
|
||||
},
|
||||
{
|
||||
"194": "6.2.9. Đảm bảo mọi người dùng đều tồn tại thư mục home"
|
||||
},
|
||||
{
|
||||
"195": "6.2.10. Đảm bảo người dùng sở hữu thư mục home của chính họ"
|
||||
},
|
||||
{
|
||||
"196": "6.2.11. Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao"
|
||||
},
|
||||
{
|
||||
"197": "6.2.12. Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other"
|
||||
},
|
||||
{
|
||||
"198": "6.2.13. Đảm bảo không người dùng nào có file .forward"
|
||||
},
|
||||
{
|
||||
"199": "6.2.14. Đảm bảo không người dùng nào có file .netrc"
|
||||
},
|
||||
{
|
||||
"200": "6.2.15. Đảm bảo không người dùng nào có file .rhosts"
|
||||
}
|
||||
]
|
||||
}
|
||||
@@ -0,0 +1,577 @@
|
||||
{
|
||||
"data": [
|
||||
{
|
||||
"": "1. Thiết lập ban đầu"
|
||||
},
|
||||
{
|
||||
"": "1.1. Cấu hình filesystem"
|
||||
},
|
||||
{
|
||||
"": "1.1.1. Cấu hình vô hiệu hoá các filesystem không sử dụng"
|
||||
},
|
||||
{
|
||||
"7": "1.1.1.1. Cấu hình vô hiệu hoá cramfs filesystem"
|
||||
},
|
||||
{
|
||||
"8": "1.1.1.2. Cấu hình vô hiệu hoá freevxfs filesystem"
|
||||
},
|
||||
{
|
||||
"9": "1.1.1.3. Cấu hình vô hiệu hoá hfs filesystem"
|
||||
},
|
||||
{
|
||||
"10": "1.1.1.4. Cấu hình vô hiệu hoá hfsplus filesystem"
|
||||
},
|
||||
{
|
||||
"11": "1.1.1.5. Cấu hình vô hiệu hoá jffs2 filesystem"
|
||||
},
|
||||
{
|
||||
"12": "1.1.1.6. Cấu hình vô hiệu hoá squashfs filesystem"
|
||||
},
|
||||
{
|
||||
"13": "1.1.1.7. Cấu hình vô hiệu hoá udf filesystem"
|
||||
},
|
||||
{
|
||||
"14": "1.1.8. Cấu hình vô hiệu hoá usb storage"
|
||||
},
|
||||
{
|
||||
"15": "1.1.2. Cấu hình phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"16": "1.1.2.1. Cấu hình tuỳ chọn nodev cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"17": "1.1.2.2. Cấu hình tuỳ chọn nosuid cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"18": "1.1.2.3. Cấu hình tuỳ chọn noexec cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"19": "1.1.3. Cấu hình phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"20": "1.1.3.1. Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"21": "1.1.3.2. Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"22": "1.1.3.3. Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"23": "1.1.4. Cấu hình phân vùng /home"
|
||||
},
|
||||
{
|
||||
"24": "1.1.4.1. Cấu hình tuỳ chọn nodev cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"25": "1.1.4.2. Cấu hình tuỳ chọn nosuid cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"26": "1.1.5. Cấu hình phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"27": "1.1.5.1. Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"28": "1.1.5.2. Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"29": "1.1.5.3. Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"30": "1.2. Kiểm tra tính toàn vẹn của filesystem"
|
||||
},
|
||||
{
|
||||
"31": "1.2.1. Kiểm tra cài đặt AIDE"
|
||||
},
|
||||
{
|
||||
"32": "1.2.2. Cấu hình kiểm tra tính toàn vẹn của filesystem"
|
||||
},
|
||||
{
|
||||
"33": "1.3. Cấu hình khởi động an toàn"
|
||||
},
|
||||
{
|
||||
"34": "1.3.1. Phân quyền đối với file cấu hình bootloader"
|
||||
},
|
||||
{
|
||||
"35": "1.3.1. Phân quyền đối với file cấu hình bootloader"
|
||||
},
|
||||
{
|
||||
"36": "1.3.3. Cấu hình xác thực khi truy cập single user mode"
|
||||
},
|
||||
{
|
||||
"37": "1.4. Additional Process Hardening"
|
||||
},
|
||||
{
|
||||
"38": "1.4.1. Cấu hình kích hoạt ASLR (address space layout randomization)"
|
||||
},
|
||||
{
|
||||
"39": "1.4.2. Cấu hình vô hiệu hoá prelink"
|
||||
},
|
||||
{
|
||||
"40": "1.4.3. Cấu hình vô hiệu hoá core dump"
|
||||
},
|
||||
{
|
||||
"41": "1.5. Kiểm soát nội dung cảnh báo"
|
||||
},
|
||||
{
|
||||
"42": "1.5.1. Kiểm soát nội dung motd (Message Of The Day)"
|
||||
},
|
||||
{
|
||||
"43": "1.5.2. Kiểm soát nội dung thông báo khi đăng nhập"
|
||||
},
|
||||
{
|
||||
"44": "1.5.3. Kiểm soát nội dung thông báo khi đăng nhập từ xa"
|
||||
},
|
||||
{
|
||||
"45": "1.5.4. Cấu hình phân quyền đối với file /etc/motd"
|
||||
},
|
||||
{
|
||||
"46": "1.5.5. Cấu hình phân quyền đối với file /etc/issue"
|
||||
},
|
||||
{
|
||||
"47": "1.5.6. Cấu hình phân quyền đối với file /etc/issue.net"
|
||||
},
|
||||
{
|
||||
"48": "1.5.7. Kiểm soát nội dung thông báo khi truy cập GNOME"
|
||||
},
|
||||
{
|
||||
"49": "2. Service"
|
||||
},
|
||||
{
|
||||
"50": "2.1. Cấu hình Time Synchronization"
|
||||
},
|
||||
{
|
||||
"51": "2.1.1. Cấu hình sử dụng chrony"
|
||||
},
|
||||
{
|
||||
"52": "2.1.2. Cấu hình sử dụng NTP"
|
||||
},
|
||||
{
|
||||
"53": "2.2. Các Service với mục đích riêng biệt"
|
||||
},
|
||||
{
|
||||
"54": "2.2.1. Cấu hình vô hiệu hoá xinetd services"
|
||||
},
|
||||
{
|
||||
"55": "2.2.2. Cấu hình vô hiệu hoá autofs services"
|
||||
},
|
||||
{
|
||||
"56": "2.2.3. Cấu hình vô hiệu hoá X window server services"
|
||||
},
|
||||
{
|
||||
"57": "2.2.4. Cấu hình vô hiệu hoá avahi daemon services"
|
||||
},
|
||||
{
|
||||
"58": "2.2.5. Cấu hình vô hiệu hoá cups services"
|
||||
},
|
||||
{
|
||||
"59": "2.2.6. Cấu hình vô hiệu hoá dhcp server services"
|
||||
},
|
||||
{
|
||||
"60": "2.2.7. Cấu hình vô hiệu hoá ldap server services"
|
||||
},
|
||||
{
|
||||
"61": "2.2.8. Cấu hình vô hiệu hoá dns server services"
|
||||
},
|
||||
{
|
||||
"62": "2.2.9. Cấu hình vô hiệu hoá dnsmasq services"
|
||||
},
|
||||
{
|
||||
"63": "2.2.10. Cấu hình vô hiệu hoá ftp server services"
|
||||
},
|
||||
{
|
||||
"64": "2.2.11. Cấu hình vô hiệu hoá tftp server services"
|
||||
},
|
||||
{
|
||||
"65": "2.2.12. Cấu hình vô hiệu hoá web server services"
|
||||
},
|
||||
{
|
||||
"66": "2.2.13. Cấu hình vô hiệu hoá imap and pop3 server services"
|
||||
},
|
||||
{
|
||||
"67": "2.2.14. Cấu hình vô hiệu hoá samba file server services"
|
||||
},
|
||||
{
|
||||
"68": "2.2.15. Cấu hình vô hiệu hoá web proxy server services"
|
||||
},
|
||||
{
|
||||
"69": "2.2.16. Cấu hình vô hiệu hoá snmp services"
|
||||
},
|
||||
{
|
||||
"70": "2.2.17. Cấu hình vô hiệu hoá nis server services"
|
||||
},
|
||||
{
|
||||
"71": "2.2.18. Cấu hình mail transfer agents sang chế độ local-only"
|
||||
},
|
||||
{
|
||||
"72": "2.2.19. Cấu hình vô hiệu hoá network file system services"
|
||||
},
|
||||
{
|
||||
"73": "2.2.20. Cấu hình vô hiệu hoá rsync services"
|
||||
},
|
||||
{
|
||||
"74": "2.3. Service Clients"
|
||||
},
|
||||
{
|
||||
"75": "2.3.1. Cấu hình vô hiệu hoá nis client"
|
||||
},
|
||||
{
|
||||
"76": "2.3.2. Cấu hình vô hiệu hoá rsh client"
|
||||
},
|
||||
{
|
||||
"77": "2.3.3. Cấu hình vô hiệu hoá talk client"
|
||||
},
|
||||
{
|
||||
"78": "2.3.4. Cấu hình vô hiệu hoá telnet client"
|
||||
},
|
||||
{
|
||||
"79": "2.3.5. Cấu hình vô hiệu hoá ldap client"
|
||||
},
|
||||
{
|
||||
"80": "2.3.6. Cấu hình vô hiệu hoá rpc"
|
||||
},
|
||||
{
|
||||
"81": "2.3.7. Cấu hình vô hiệu hoá ftp client"
|
||||
},
|
||||
{
|
||||
"82": "3. Cấu hình mạng"
|
||||
},
|
||||
{
|
||||
"83": "3.1. Tham số cấu hình mạng (Host Only)"
|
||||
},
|
||||
{
|
||||
"84": "3.1.1. Cấu hình vô hiệu hoá IP forwarding"
|
||||
},
|
||||
{
|
||||
"85": "3.1.2. Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect)"
|
||||
},
|
||||
{
|
||||
"86": "3.2. Tham số cấu hình mạng (Host và Router)"
|
||||
},
|
||||
{
|
||||
"87": "3.2.1. Cấu hình từ chối các gói tin với nguồn được định tuyến trước"
|
||||
},
|
||||
{
|
||||
"88": "3.2.2. Cấu hình từ chối các ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"89": "3.2.3. Cấu hình từ chối các secure ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"90": "3.2.4. Cấu hình từ chối các gói tin ICMP request broadcast"
|
||||
},
|
||||
{
|
||||
"91": "3.2.5. Cấu hình bỏ qua phản hồi ICMP không hợp lệ"
|
||||
},
|
||||
{
|
||||
"92": "3.2.6. Cấu hình Reverse Path Filtering"
|
||||
},
|
||||
{
|
||||
"93": "3.2.7. Cấu hình TCP SYN Cookies"
|
||||
},
|
||||
{
|
||||
"94": "3.4. Cấu hình Firewall"
|
||||
},
|
||||
{
|
||||
"95": "3.4.1. Cấu hình Uncomplicated Firewall"
|
||||
},
|
||||
{
|
||||
"96": "3.4.1.1. Cấu hình kích hoạt ufw"
|
||||
},
|
||||
{
|
||||
"97": "3.4.1.2. Cấu hình vô hiệu hoá iptables-persistent, nftables khi sử dụng ufw"
|
||||
},
|
||||
{
|
||||
"98": "3.4.1.3. Cấu hình ufw loopback traffic"
|
||||
},
|
||||
{
|
||||
"99": "3.4.1.4. Cấu hình ufw rule cho tất cả các port và protocol đang mở"
|
||||
},
|
||||
{
|
||||
"100": "3.4.1.5. Cấu hình chính sách từ chối mặc định cho ufw"
|
||||
},
|
||||
{
|
||||
"101": "3.4.2. Iptables"
|
||||
},
|
||||
{
|
||||
"102": "3.4.2.1. Cấu hình kích hoạt Iptables"
|
||||
},
|
||||
{
|
||||
"103": "3.4.2.2. Cấu hình vô hiệu hoá ufw, nftables khi sử dụng iptables"
|
||||
},
|
||||
{
|
||||
"104": "3.4.2.3. Cấu hình iptables loopback traffic"
|
||||
},
|
||||
{
|
||||
"105": "3.4.2.4. Cấu hình iptables rule cho tất cả các port và protocol đang mở"
|
||||
},
|
||||
{
|
||||
"106": "3.4.2.5. Cấu hình chính sách từ chối mặc định cho iptables"
|
||||
},
|
||||
{
|
||||
"107": "4. Logging và Auditing"
|
||||
},
|
||||
{
|
||||
"108": "4.1. Cấu hình logging"
|
||||
},
|
||||
{
|
||||
"109": "4.1.1. Cấu hình rsyslog"
|
||||
},
|
||||
{
|
||||
"110": "4.1.1.1. Cấu hình kích hoạt rsyslog service"
|
||||
},
|
||||
{
|
||||
"111": "4.1.1.2. Phân quyền đối với file log sinh ra từ rsyslog"
|
||||
},
|
||||
{
|
||||
"112": "4.1.1.3. Cấu hình lưu trữ log sinh ra từ rsyslog tập trung"
|
||||
},
|
||||
{
|
||||
"113": "4.1.1.4. Phân quyền đối với tất cả các file log"
|
||||
},
|
||||
{
|
||||
"114": "5. Cấu hình truy cập, xác thực và ủy quyền"
|
||||
},
|
||||
{
|
||||
"115": "5.1. Cấu hình cron"
|
||||
},
|
||||
{
|
||||
"116": "5.1.1. Cấu hình kích hoạt cron daemon"
|
||||
},
|
||||
{
|
||||
"117": "5.1.2. Cấu hình phân quyền cho file /etc/crontab"
|
||||
},
|
||||
{
|
||||
"118": "5.1.3. Cấu hình phân quyền cho file /etc/cron.hourly"
|
||||
},
|
||||
{
|
||||
"119": "5.1.4. Cấu hình phân quyền cho file /etc/cron.daily"
|
||||
},
|
||||
{
|
||||
"120": "5.1.5. Cấu hình phân quyền cho file /etc/cron.weekly"
|
||||
},
|
||||
{
|
||||
"121": "5.1.6. Cấu hình phân quyền cho của file /etc/cron.monthly"
|
||||
},
|
||||
{
|
||||
"122": "5.1.7. Cấu hình phân quyền cho file /etc/cron.d"
|
||||
},
|
||||
{
|
||||
"123": "5.1.8. Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền"
|
||||
},
|
||||
{
|
||||
"124": "5.2. Cấu hình máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"125": "5.2.1. Cấu hình phân quyền cho file /etc/ssh/sshd_config"
|
||||
},
|
||||
{
|
||||
"126": "5.2.2. Cấu hình phân quyền cho các file SSH private host key"
|
||||
},
|
||||
{
|
||||
"127": "5.2.3. Cấu hình phân quyền cho các file SSH public host key"
|
||||
},
|
||||
{
|
||||
"128": "5.2.4. Cấu hình giới hạn truy cập cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"129": "5.2.5. Cấu hình LogLevel cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"130": "5.2.6. Cấu hình sử dụng SSH PAM"
|
||||
},
|
||||
{
|
||||
"131": "5.2.7. Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"132": "5.2.8. Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"133": "5.2.9. Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"134": "5.2.10. Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"135": "5.2.11. Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"136": "5.2.12. Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"137": "5.2.13. Cấu hình sử dụng các thuật toán mã hoá được cho phép"
|
||||
},
|
||||
{
|
||||
"138": "5.2.14. Cấu hình các thuật toán MAC được cho phép"
|
||||
},
|
||||
{
|
||||
"139": "5.2.15. Cấu hình thuật toán trao đổi khoá được cho phép"
|
||||
},
|
||||
{
|
||||
"140": "5.2.16. Cấu hình vô hiệu hoá SSH AllowTcpForwarding"
|
||||
},
|
||||
{
|
||||
"141": "5.2.17. Cấu hình cảnh báo SSH"
|
||||
},
|
||||
{
|
||||
"142": "5.2.18. Cấu hình SSH MaxAuthTries"
|
||||
},
|
||||
{
|
||||
"143": "5.2.19. Cấu hình SSH MaxStartups"
|
||||
},
|
||||
{
|
||||
"144": "5.2.20. Cấu hình SSH MaxSessions"
|
||||
},
|
||||
{
|
||||
"145": "5.2.21. Cấu hình SSH LoginGraceTime"
|
||||
},
|
||||
{
|
||||
"146": "5.2.22. Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"147": "5.3. Cấu hình PAM"
|
||||
},
|
||||
{
|
||||
"148": "5.3.1. Cấu hình điều kiện tạo mật khẩu"
|
||||
},
|
||||
{
|
||||
"149": "5.3.2. Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại"
|
||||
},
|
||||
{
|
||||
"150": "5.3.3. Giới hạn việc sử dụng lại mật khẩu"
|
||||
},
|
||||
{
|
||||
"151": "5.3.4. Cấu hình thuật toán hash mật khẩu mạnh"
|
||||
},
|
||||
{
|
||||
"152": "5.4. Cấu hình tài khoản người dùng và môi trường"
|
||||
},
|
||||
{
|
||||
"153": "5.4.1. Cấu hình mật khẩu người dùng"
|
||||
},
|
||||
{
|
||||
"154": "5.4.1.1. Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu"
|
||||
},
|
||||
{
|
||||
"155": "5.4.1.2. Cấu hình thời gian hết hạn sử dụng mật khẩu"
|
||||
},
|
||||
{
|
||||
"156": "5.4.1.3. Cấu hình thời gian cảnh báo mật khẩu hết hạn"
|
||||
},
|
||||
{
|
||||
"157": "5.4.1.4. Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn"
|
||||
},
|
||||
{
|
||||
"158": "5.4.1.5. Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ"
|
||||
},
|
||||
{
|
||||
"159": "5.4.2. Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống"
|
||||
},
|
||||
{
|
||||
"160": "5.4.3. Cấu hình group mặc định của tài khoản root"
|
||||
},
|
||||
{
|
||||
"161": "5.4.4. Cấu hình user umask mặc định"
|
||||
},
|
||||
{
|
||||
"162": "5.4.5. Cấu hình shell timeout mặc định"
|
||||
},
|
||||
{
|
||||
"163": "5.4.6. Cấu hình hạn chế truy cập cho câu lệnh su"
|
||||
},
|
||||
{
|
||||
"164": "6. System Maintenance"
|
||||
},
|
||||
{
|
||||
"165": "6.1. Quyền của file hệ thống"
|
||||
},
|
||||
{
|
||||
"166": "6.1.1. Cấu hình phân quyền cho file /etc/passwd"
|
||||
},
|
||||
{
|
||||
"167": "6.1.2. Cấu hình phân quyền cho file /etc/shadow"
|
||||
},
|
||||
{
|
||||
"168": "6.1.3. Cấu hình phân quyền cho file /etc/group"
|
||||
},
|
||||
{
|
||||
"169": "6.1.4. Cấu hình phân quyền cho file /etc/gshadow"
|
||||
},
|
||||
{
|
||||
"170": "6.1.5. Cấu hình phân quyền cho file /etc/passwd-"
|
||||
},
|
||||
{
|
||||
"171": "6.1.6. Cấu hình phân quyền cho file /etc/shadow-"
|
||||
},
|
||||
{
|
||||
"172": "6.1.7. Cấu hình phân quyền cho file /etc/group-"
|
||||
},
|
||||
{
|
||||
"173": "6.1.8. Cấu hình phân quyền cho file /etc/gshadow-"
|
||||
},
|
||||
{
|
||||
"174": "6.1.9. Đảm bảo không có file world-writable tồn tại"
|
||||
},
|
||||
{
|
||||
"175": "6.1.10. Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại"
|
||||
},
|
||||
{
|
||||
"176": "6.1.11. Đảm bảo các file hoặc thư mục không có nhóm không tồn tại"
|
||||
},
|
||||
{
|
||||
"177": "6.2. Thiết lập cho người dùng và nhóm"
|
||||
},
|
||||
{
|
||||
"178": "6.2.1. Cấu hình tài khoản trong /etc/passwd sử dụng shadowed passwords"
|
||||
},
|
||||
{
|
||||
"179": "6.2.2. Đảm bảo trường mật khẩu không để trống"
|
||||
},
|
||||
{
|
||||
"180": "6.2.3. Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group"
|
||||
},
|
||||
{
|
||||
"181": "6.2.4. Đảm bảo shadow group rỗng"
|
||||
},
|
||||
{
|
||||
"182": "6.2.5. Đảm bảo UID không bị lặp"
|
||||
},
|
||||
{
|
||||
"183": "6.2.6. Đảm bảo GID không bị lặp"
|
||||
},
|
||||
{
|
||||
"184": "6.2.7. Đảm bảo tên người dùng không bị lặp"
|
||||
},
|
||||
{
|
||||
"185": "6.2.8. Đảm bảo tên group không bị lặp"
|
||||
},
|
||||
{
|
||||
"186": "6.2.9. Đảm bảo tính toàn vẹn cho biến môi trường PATH của root"
|
||||
},
|
||||
{
|
||||
"187": "6.2.10. Đảm bảo root là tài khoản duy nhất có UID là 0"
|
||||
},
|
||||
{
|
||||
"188": "6.2.11. Đảm bảo mọi người dùng đều tồn tại thư mục home"
|
||||
},
|
||||
{
|
||||
"189": "6.2.12. Đảm bảo người dùng sở hữu thư mục home của chính họ"
|
||||
},
|
||||
{
|
||||
"190": "6.2.13. Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao"
|
||||
},
|
||||
{
|
||||
"191": "6.2.14. Đảm bảo không người dùng nào có file .netrc"
|
||||
},
|
||||
{
|
||||
"192": "6.2.15. Đảm bảo không người dùng nào có file .forward"
|
||||
},
|
||||
{
|
||||
"193": "6.2.16. Đảm bảo không người dùng nào có file .rhosts"
|
||||
},
|
||||
{
|
||||
"194": "6.2.17. Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other"
|
||||
}
|
||||
]
|
||||
}
|
||||
@@ -0,0 +1,577 @@
|
||||
{
|
||||
"data": [
|
||||
{
|
||||
"": "1. Thiết lập ban đầu"
|
||||
},
|
||||
{
|
||||
"": "1.1. Cấu hình filesystem"
|
||||
},
|
||||
{
|
||||
"": "1.1.1. Cấu hình vô hiệu hoá các filesystem không sử dụng"
|
||||
},
|
||||
{
|
||||
"7": "1.1.1.1. Cấu hình vô hiệu hoá cramfs filesystem"
|
||||
},
|
||||
{
|
||||
"8": "1.1.1.2. Cấu hình vô hiệu hoá freevxfs filesystem"
|
||||
},
|
||||
{
|
||||
"9": "1.1.1.3. Cấu hình vô hiệu hoá hfs filesystem"
|
||||
},
|
||||
{
|
||||
"10": "1.1.1.4. Cấu hình vô hiệu hoá hfsplus filesystem"
|
||||
},
|
||||
{
|
||||
"11": "1.1.1.5. Cấu hình vô hiệu hoá jffs2 filesystem"
|
||||
},
|
||||
{
|
||||
"12": "1.1.1.6. Cấu hình vô hiệu hoá squashfs filesystem"
|
||||
},
|
||||
{
|
||||
"13": "1.1.1.7. Cấu hình vô hiệu hoá udf filesystem"
|
||||
},
|
||||
{
|
||||
"14": "1.1.8. Cấu hình vô hiệu hoá usb storage"
|
||||
},
|
||||
{
|
||||
"15": "1.1.2. Cấu hình phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"16": "1.1.2.1. Cấu hình tuỳ chọn nodev cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"17": "1.1.2.2. Cấu hình tuỳ chọn nosuid cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"18": "1.1.2.3. Cấu hình tuỳ chọn noexec cho phân vùng /tmp"
|
||||
},
|
||||
{
|
||||
"19": "1.1.3. Cấu hình phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"20": "1.1.3.1. Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"21": "1.1.3.2. Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"22": "1.1.3.3. Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp"
|
||||
},
|
||||
{
|
||||
"23": "1.1.4. Cấu hình phân vùng /home"
|
||||
},
|
||||
{
|
||||
"24": "1.1.4.1. Cấu hình tuỳ chọn nodev cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"25": "1.1.4.2. Cấu hình tuỳ chọn nosuid cho phân vùng /home"
|
||||
},
|
||||
{
|
||||
"26": "1.1.5. Cấu hình phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"27": "1.1.5.1. Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"28": "1.1.5.2. Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"29": "1.1.5.3. Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm"
|
||||
},
|
||||
{
|
||||
"30": "1.2. Kiểm tra tính toàn vẹn của filesystem"
|
||||
},
|
||||
{
|
||||
"31": "1.2.1. Kiểm tra cài đặt AIDE"
|
||||
},
|
||||
{
|
||||
"32": "1.2.2. Cấu hình kiểm tra tính toàn vẹn của filesystem"
|
||||
},
|
||||
{
|
||||
"33": "1.3. Cấu hình khởi động an toàn"
|
||||
},
|
||||
{
|
||||
"34": "1.3.1. Phân quyền đối với file cấu hình bootloader"
|
||||
},
|
||||
{
|
||||
"35": "1.3.1. Phân quyền đối với file cấu hình bootloader"
|
||||
},
|
||||
{
|
||||
"36": "1.3.3. Cấu hình xác thực khi truy cập single user mode"
|
||||
},
|
||||
{
|
||||
"37": "1.4. Additional Process Hardening"
|
||||
},
|
||||
{
|
||||
"38": "1.4.1. Cấu hình kích hoạt ASLR (address space layout randomization)"
|
||||
},
|
||||
{
|
||||
"39": "1.4.2. Cấu hình vô hiệu hoá prelink"
|
||||
},
|
||||
{
|
||||
"40": "1.4.3. Cấu hình vô hiệu hoá core dump"
|
||||
},
|
||||
{
|
||||
"41": "1.5. Kiểm soát nội dung cảnh báo"
|
||||
},
|
||||
{
|
||||
"42": "1.5.1. Kiểm soát nội dung motd (Message Of The Day)"
|
||||
},
|
||||
{
|
||||
"43": "1.5.2. Kiểm soát nội dung thông báo khi đăng nhập"
|
||||
},
|
||||
{
|
||||
"44": "1.5.3. Kiểm soát nội dung thông báo khi đăng nhập từ xa"
|
||||
},
|
||||
{
|
||||
"45": "1.5.4. Cấu hình phân quyền đối với file /etc/motd"
|
||||
},
|
||||
{
|
||||
"46": "1.5.5. Cấu hình phân quyền đối với file /etc/issue"
|
||||
},
|
||||
{
|
||||
"47": "1.5.6. Cấu hình phân quyền đối với file /etc/issue.net"
|
||||
},
|
||||
{
|
||||
"48": "1.5.7. Kiểm soát nội dung thông báo khi truy cập GNOME"
|
||||
},
|
||||
{
|
||||
"49": "2. Service"
|
||||
},
|
||||
{
|
||||
"50": "2.1. Cấu hình Time Synchronization"
|
||||
},
|
||||
{
|
||||
"51": "2.1.1. Cấu hình sử dụng chrony"
|
||||
},
|
||||
{
|
||||
"52": "2.1.2. Cấu hình sử dụng NTP"
|
||||
},
|
||||
{
|
||||
"53": "2.2. Các Service với mục đích riêng biệt"
|
||||
},
|
||||
{
|
||||
"54": "2.2.1. Cấu hình vô hiệu hoá xinetd services"
|
||||
},
|
||||
{
|
||||
"55": "2.2.2. Cấu hình vô hiệu hoá autofs services"
|
||||
},
|
||||
{
|
||||
"56": "2.2.3. Cấu hình vô hiệu hoá X window server services"
|
||||
},
|
||||
{
|
||||
"57": "2.2.4. Cấu hình vô hiệu hoá avahi daemon services"
|
||||
},
|
||||
{
|
||||
"58": "2.2.5. Cấu hình vô hiệu hoá cups services"
|
||||
},
|
||||
{
|
||||
"59": "2.2.6. Cấu hình vô hiệu hoá dhcp server services"
|
||||
},
|
||||
{
|
||||
"60": "2.2.7. Cấu hình vô hiệu hoá ldap server services"
|
||||
},
|
||||
{
|
||||
"61": "2.2.8. Cấu hình vô hiệu hoá dns server services"
|
||||
},
|
||||
{
|
||||
"62": "2.2.9. Cấu hình vô hiệu hoá dnsmasq services"
|
||||
},
|
||||
{
|
||||
"63": "2.2.10. Cấu hình vô hiệu hoá ftp server services"
|
||||
},
|
||||
{
|
||||
"64": "2.2.11. Cấu hình vô hiệu hoá tftp server services"
|
||||
},
|
||||
{
|
||||
"65": "2.2.12. Cấu hình vô hiệu hoá web server services"
|
||||
},
|
||||
{
|
||||
"66": "2.2.13. Cấu hình vô hiệu hoá imap and pop3 server services"
|
||||
},
|
||||
{
|
||||
"67": "2.2.14. Cấu hình vô hiệu hoá samba file server services"
|
||||
},
|
||||
{
|
||||
"68": "2.2.15. Cấu hình vô hiệu hoá web proxy server services"
|
||||
},
|
||||
{
|
||||
"69": "2.2.16. Cấu hình vô hiệu hoá snmp services"
|
||||
},
|
||||
{
|
||||
"70": "2.2.17. Cấu hình vô hiệu hoá nis server services"
|
||||
},
|
||||
{
|
||||
"71": "2.2.18. Cấu hình mail transfer agents sang chế độ local-only"
|
||||
},
|
||||
{
|
||||
"72": "2.2.19. Cấu hình vô hiệu hoá network file system services"
|
||||
},
|
||||
{
|
||||
"73": "2.2.20. Cấu hình vô hiệu hoá rsync services"
|
||||
},
|
||||
{
|
||||
"74": "2.3. Service Clients"
|
||||
},
|
||||
{
|
||||
"75": "2.3.1. Cấu hình vô hiệu hoá nis client"
|
||||
},
|
||||
{
|
||||
"76": "2.3.2. Cấu hình vô hiệu hoá rsh client"
|
||||
},
|
||||
{
|
||||
"77": "2.3.3. Cấu hình vô hiệu hoá talk client"
|
||||
},
|
||||
{
|
||||
"78": "2.3.4. Cấu hình vô hiệu hoá telnet client"
|
||||
},
|
||||
{
|
||||
"79": "2.3.5. Cấu hình vô hiệu hoá ldap client"
|
||||
},
|
||||
{
|
||||
"80": "2.3.6. Cấu hình vô hiệu hoá rpc"
|
||||
},
|
||||
{
|
||||
"81": "2.3.7. Cấu hình vô hiệu hoá ftp client"
|
||||
},
|
||||
{
|
||||
"82": "3. Cấu hình mạng"
|
||||
},
|
||||
{
|
||||
"83": "3.1. Tham số cấu hình mạng (Host Only)"
|
||||
},
|
||||
{
|
||||
"84": "3.1.1. Cấu hình vô hiệu hoá IP forwarding"
|
||||
},
|
||||
{
|
||||
"85": "3.1.2. Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect)"
|
||||
},
|
||||
{
|
||||
"86": "3.2. Tham số cấu hình mạng (Host và Router)"
|
||||
},
|
||||
{
|
||||
"87": "3.2.1. Cấu hình từ chối các gói tin với nguồn được định tuyến trước"
|
||||
},
|
||||
{
|
||||
"88": "3.2.2. Cấu hình từ chối các ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"89": "3.2.3. Cấu hình từ chối các secure ICMP redirect message"
|
||||
},
|
||||
{
|
||||
"90": "3.2.4. Cấu hình từ chối các gói tin ICMP request broadcast"
|
||||
},
|
||||
{
|
||||
"91": "3.2.5. Cấu hình bỏ qua phản hồi ICMP không hợp lệ"
|
||||
},
|
||||
{
|
||||
"92": "3.2.6. Cấu hình Reverse Path Filtering"
|
||||
},
|
||||
{
|
||||
"93": "3.2.7. Cấu hình TCP SYN Cookies"
|
||||
},
|
||||
{
|
||||
"94": "3.4. Cấu hình Firewall"
|
||||
},
|
||||
{
|
||||
"95": "3.4.1. Cấu hình Uncomplicated Firewall"
|
||||
},
|
||||
{
|
||||
"96": "3.4.1.1. Cấu hình kích hoạt ufw"
|
||||
},
|
||||
{
|
||||
"97": "3.4.1.2. Cấu hình vô hiệu hoá iptables-persistent, nftables khi sử dụng ufw"
|
||||
},
|
||||
{
|
||||
"98": "3.4.1.3. Cấu hình ufw loopback traffic"
|
||||
},
|
||||
{
|
||||
"99": "3.4.1.4. Cấu hình ufw rule cho tất cả các port và protocol đang mở"
|
||||
},
|
||||
{
|
||||
"100": "3.4.1.5. Cấu hình chính sách từ chối mặc định cho ufw"
|
||||
},
|
||||
{
|
||||
"101": "3.4.2. Iptables"
|
||||
},
|
||||
{
|
||||
"102": "3.4.2.1. Cấu hình kích hoạt Iptables"
|
||||
},
|
||||
{
|
||||
"103": "3.4.2.2. Cấu hình vô hiệu hoá ufw, nftables khi sử dụng iptables"
|
||||
},
|
||||
{
|
||||
"104": "3.4.2.3. Cấu hình iptables loopback traffic"
|
||||
},
|
||||
{
|
||||
"105": "3.4.2.4. Cấu hình iptables rule cho tất cả các port và protocol đang mở"
|
||||
},
|
||||
{
|
||||
"106": "3.4.2.5. Cấu hình chính sách từ chối mặc định cho iptables"
|
||||
},
|
||||
{
|
||||
"107": "4. Logging và Auditing"
|
||||
},
|
||||
{
|
||||
"108": "4.1. Cấu hình logging"
|
||||
},
|
||||
{
|
||||
"109": "4.1.1. Cấu hình rsyslog"
|
||||
},
|
||||
{
|
||||
"110": "4.1.1.1. Cấu hình kích hoạt rsyslog service"
|
||||
},
|
||||
{
|
||||
"111": "4.1.1.2. Phân quyền đối với file log sinh ra từ rsyslog"
|
||||
},
|
||||
{
|
||||
"112": "4.1.1.3. Cấu hình lưu trữ log sinh ra từ rsyslog tập trung"
|
||||
},
|
||||
{
|
||||
"113": "4.1.1.4. Phân quyền đối với tất cả các file log"
|
||||
},
|
||||
{
|
||||
"114": "5. Cấu hình truy cập, xác thực và ủy quyền"
|
||||
},
|
||||
{
|
||||
"115": "5.1. Cấu hình cron"
|
||||
},
|
||||
{
|
||||
"116": "5.1.1. Cấu hình kích hoạt cron daemon"
|
||||
},
|
||||
{
|
||||
"117": "5.1.2. Cấu hình phân quyền cho file /etc/crontab"
|
||||
},
|
||||
{
|
||||
"118": "5.1.3. Cấu hình phân quyền cho file /etc/cron.hourly"
|
||||
},
|
||||
{
|
||||
"119": "5.1.4. Cấu hình phân quyền cho file /etc/cron.daily"
|
||||
},
|
||||
{
|
||||
"120": "5.1.5. Cấu hình phân quyền cho file /etc/cron.weekly"
|
||||
},
|
||||
{
|
||||
"121": "5.1.6. Cấu hình phân quyền cho của file /etc/cron.monthly"
|
||||
},
|
||||
{
|
||||
"122": "5.1.7. Cấu hình phân quyền cho file /etc/cron.d"
|
||||
},
|
||||
{
|
||||
"123": "5.1.8. Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền"
|
||||
},
|
||||
{
|
||||
"124": "5.2. Cấu hình máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"125": "5.2.1. Cấu hình phân quyền cho file /etc/ssh/sshd_config"
|
||||
},
|
||||
{
|
||||
"126": "5.2.2. Cấu hình phân quyền cho các file SSH private host key"
|
||||
},
|
||||
{
|
||||
"127": "5.2.3. Cấu hình phân quyền cho các file SSH public host key"
|
||||
},
|
||||
{
|
||||
"128": "5.2.4. Cấu hình giới hạn truy cập cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"129": "5.2.5. Cấu hình LogLevel cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"130": "5.2.6. Cấu hình sử dụng SSH PAM"
|
||||
},
|
||||
{
|
||||
"131": "5.2.7. Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"132": "5.2.8. Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"133": "5.2.9. Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"134": "5.2.10. Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"135": "5.2.11. Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"136": "5.2.12. Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"137": "5.2.13. Cấu hình sử dụng các thuật toán mã hoá được cho phép"
|
||||
},
|
||||
{
|
||||
"138": "5.2.14. Cấu hình các thuật toán MAC được cho phép"
|
||||
},
|
||||
{
|
||||
"139": "5.2.15. Cấu hình thuật toán trao đổi khoá được cho phép"
|
||||
},
|
||||
{
|
||||
"140": "5.2.16. Cấu hình vô hiệu hoá SSH AllowTcpForwarding"
|
||||
},
|
||||
{
|
||||
"141": "5.2.17. Cấu hình cảnh báo SSH"
|
||||
},
|
||||
{
|
||||
"142": "5.2.18. Cấu hình SSH MaxAuthTries"
|
||||
},
|
||||
{
|
||||
"143": "5.2.19. Cấu hình SSH MaxStartups"
|
||||
},
|
||||
{
|
||||
"144": "5.2.20. Cấu hình SSH MaxSessions"
|
||||
},
|
||||
{
|
||||
"145": "5.2.21. Cấu hình SSH LoginGraceTime"
|
||||
},
|
||||
{
|
||||
"146": "5.2.22. Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH"
|
||||
},
|
||||
{
|
||||
"147": "5.3. Cấu hình PAM"
|
||||
},
|
||||
{
|
||||
"148": "5.3.1. Cấu hình điều kiện tạo mật khẩu"
|
||||
},
|
||||
{
|
||||
"149": "5.3.2. Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại"
|
||||
},
|
||||
{
|
||||
"150": "5.3.3. Giới hạn việc sử dụng lại mật khẩu"
|
||||
},
|
||||
{
|
||||
"151": "5.3.4. Cấu hình thuật toán hash mật khẩu mạnh"
|
||||
},
|
||||
{
|
||||
"152": "5.4. Cấu hình tài khoản người dùng và môi trường"
|
||||
},
|
||||
{
|
||||
"153": "5.4.1. Cấu hình mật khẩu người dùng"
|
||||
},
|
||||
{
|
||||
"154": "5.4.1.1. Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu"
|
||||
},
|
||||
{
|
||||
"155": "5.4.1.2. Cấu hình thời gian hết hạn sử dụng mật khẩu"
|
||||
},
|
||||
{
|
||||
"156": "5.4.1.3. Cấu hình thời gian cảnh báo mật khẩu hết hạn"
|
||||
},
|
||||
{
|
||||
"157": "5.4.1.4. Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn"
|
||||
},
|
||||
{
|
||||
"158": "5.4.1.5. Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ"
|
||||
},
|
||||
{
|
||||
"159": "5.4.2. Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống"
|
||||
},
|
||||
{
|
||||
"160": "5.4.3. Cấu hình group mặc định của tài khoản root"
|
||||
},
|
||||
{
|
||||
"161": "5.4.4. Cấu hình user umask mặc định"
|
||||
},
|
||||
{
|
||||
"162": "5.4.5. Cấu hình shell timeout mặc định"
|
||||
},
|
||||
{
|
||||
"163": "5.4.6. Cấu hình hạn chế truy cập cho câu lệnh su"
|
||||
},
|
||||
{
|
||||
"164": "6. System Maintenance"
|
||||
},
|
||||
{
|
||||
"165": "6.1. Quyền của file hệ thống"
|
||||
},
|
||||
{
|
||||
"166": "6.1.1. Cấu hình phân quyền cho file /etc/passwd"
|
||||
},
|
||||
{
|
||||
"167": "6.1.2. Cấu hình phân quyền cho file /etc/shadow"
|
||||
},
|
||||
{
|
||||
"168": "6.1.3. Cấu hình phân quyền cho file /etc/group"
|
||||
},
|
||||
{
|
||||
"169": "6.1.4. Cấu hình phân quyền cho file /etc/gshadow"
|
||||
},
|
||||
{
|
||||
"170": "6.1.5. Cấu hình phân quyền cho file /etc/passwd-"
|
||||
},
|
||||
{
|
||||
"171": "6.1.6. Cấu hình phân quyền cho file /etc/shadow-"
|
||||
},
|
||||
{
|
||||
"172": "6.1.7. Cấu hình phân quyền cho file /etc/group-"
|
||||
},
|
||||
{
|
||||
"173": "6.1.8. Cấu hình phân quyền cho file /etc/gshadow-"
|
||||
},
|
||||
{
|
||||
"174": "6.1.9. Đảm bảo không có file world-writable tồn tại"
|
||||
},
|
||||
{
|
||||
"175": "6.1.10. Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại"
|
||||
},
|
||||
{
|
||||
"176": "6.1.11. Đảm bảo các file hoặc thư mục không có nhóm không tồn tại"
|
||||
},
|
||||
{
|
||||
"177": "6.2. Thiết lập cho người dùng và nhóm"
|
||||
},
|
||||
{
|
||||
"178": "6.2.1. Cấu hình tài khoản trong /etc/passwd sử dụng shadowed passwords"
|
||||
},
|
||||
{
|
||||
"179": "6.2.2. Đảm bảo trường mật khẩu không để trống"
|
||||
},
|
||||
{
|
||||
"180": "6.2.3. Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group"
|
||||
},
|
||||
{
|
||||
"181": "6.2.4. Đảm bảo shadow group rỗng"
|
||||
},
|
||||
{
|
||||
"182": "6.2.5. Đảm bảo UID không bị lặp"
|
||||
},
|
||||
{
|
||||
"183": "6.2.6. Đảm bảo GID không bị lặp"
|
||||
},
|
||||
{
|
||||
"184": "6.2.7. Đảm bảo tên người dùng không bị lặp"
|
||||
},
|
||||
{
|
||||
"185": "6.2.8. Đảm bảo tên group không bị lặp"
|
||||
},
|
||||
{
|
||||
"186": "6.2.9. Đảm bảo tính toàn vẹn cho biến môi trường PATH của root"
|
||||
},
|
||||
{
|
||||
"187": "6.2.10. Đảm bảo root là tài khoản duy nhất có UID là 0"
|
||||
},
|
||||
{
|
||||
"188": "6.2.11. Đảm bảo mọi người dùng đều tồn tại thư mục home"
|
||||
},
|
||||
{
|
||||
"189": "6.2.12. Đảm bảo người dùng sở hữu thư mục home của chính họ"
|
||||
},
|
||||
{
|
||||
"190": "6.2.13. Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao"
|
||||
},
|
||||
{
|
||||
"191": "6.2.14. Đảm bảo không người dùng nào có file .netrc"
|
||||
},
|
||||
{
|
||||
"192": "6.2.15. Đảm bảo không người dùng nào có file .forward"
|
||||
},
|
||||
{
|
||||
"193": "6.2.16. Đảm bảo không người dùng nào có file .rhosts"
|
||||
},
|
||||
{
|
||||
"194": "6.2.17. Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other"
|
||||
}
|
||||
]
|
||||
}
|
||||
@@ -0,0 +1,619 @@
|
||||
{
|
||||
"data": [
|
||||
{
|
||||
"6": "1.1.1. Cấu hình tham số 'Enforce password history'"
|
||||
},
|
||||
{
|
||||
"7": "1.1.2. Cấu hình tham số 'Maximum password age'"
|
||||
},
|
||||
{
|
||||
"8": "1.1.3. Cấu hình tham số 'Minimum password age'"
|
||||
},
|
||||
{
|
||||
"9": "1.1.4. Cấu hình tham số 'Minimum password length'"
|
||||
},
|
||||
{
|
||||
"10": "1.1.5. Cấu hình chính sách 'Password must meet complexity requirements'"
|
||||
},
|
||||
{
|
||||
"11": "1.1.6. Cấu hình tham số 'Store passwords using reversible encryption'"
|
||||
},
|
||||
{
|
||||
"13": "1.2.1. Cấu hình tham số 'Account lockout duration'"
|
||||
},
|
||||
{
|
||||
"14": "1.2.2. Cấu hình tham số 'Account lockout threshold'"
|
||||
},
|
||||
{
|
||||
"15": "1.2.3. Cấu hình tham số 'Reset account lockout counter after'"
|
||||
},
|
||||
{
|
||||
"18": "2.1.1. Cấu hình chính sách 'Access Credential Manager as a trusted caller'"
|
||||
},
|
||||
{
|
||||
"19": "2.1.2. Cấu hình chính sách 'Access this computer from the network' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"20": "2.1.2. Cấu hình chính sách 'Access this computer from the network' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"21": "2.1.3. Cấu hình chính sách 'Act as part of the operating system'"
|
||||
},
|
||||
{
|
||||
"22": "2.1.4. Cấu hình chỉ định người dùng được thêm các máy trạm vào Domain [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"23": "2.1.5. Cấu hình chính sách 'Adjust memory quotas for a process'"
|
||||
},
|
||||
{
|
||||
"24": "2.1.6. Cấu hình chính sách 'Allow log on locally'"
|
||||
},
|
||||
{
|
||||
"25": "2.1.7. Cấu hình chính sách 'Allow log on through Remote Desktop Services' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"26": "2.1.7. Cấu hình chính sách 'Allow log on through Remote Desktop Services' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"27": "2.1.8. Cấu hình sao lưu tệp và thư mục 'Back up files and directories'"
|
||||
},
|
||||
{
|
||||
"28": "2.1.9. Cấu hình thay đổi thời gian hệ thống 'Change the system time'"
|
||||
},
|
||||
{
|
||||
"29": "2.1.10. Cấu hình thay đổi thời gian hệ thống 'Change the time zone'"
|
||||
},
|
||||
{
|
||||
"30": "2.1.11. Cấu hình chính sách 'Create a pagefile'"
|
||||
},
|
||||
{
|
||||
"31": "2.1.12. Cấu hình chính sách 'Create a token object'"
|
||||
},
|
||||
{
|
||||
"32": "2.1.13. Cấu hình chính sách 'Create global objects'"
|
||||
},
|
||||
{
|
||||
"33": "2.1.14. Cấu hình chính sách 'Create permanent shared objects'"
|
||||
},
|
||||
{
|
||||
"34": "2.1.15. Cấu hình chính sách 'Create symbolic links' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"35": "2.1.15. Cấu hình chính sách 'Create symbolic links' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"36": "2.1.16. Cấu hình chính sách 'Debug programs'"
|
||||
},
|
||||
{
|
||||
"37": "2.1.17. Cấu hình chính sách 'Deny access to this computer from the network' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"38": "2.1.17. Cấu hình chính sách 'Deny access to this computer from the network' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"39": "2.1.18. Cấu hình chính sách 'Deny log on as a batch job'"
|
||||
},
|
||||
{
|
||||
"40": "2.1.19. Cấu hình chính sách 'Deny log on as a service'"
|
||||
},
|
||||
{
|
||||
"41": "2.1.20. Cấu hình chính sách 'Deny log on locally'"
|
||||
},
|
||||
{
|
||||
"42": "2.1.21. Cấu hình chính sách 'Deny log on through Remote Desktop Services' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"43": "2.1.21. Cấu hình chính sách 'Deny log on through Remote Desktop Services' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"44": "2.1.22. Cấu hình chính sách 'Enable computer and user accounts to be trusted for delegation' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"45": "2.1.22. Cấu hình chính sách 'Enable computer and user accounts to be trusted for delegation' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"46": "2.1.23. Cấu hình chính sách 'Force shutdown from a remote system'"
|
||||
},
|
||||
{
|
||||
"47": "2.1.24. Cấu hình chính sách 'Generate security audits'"
|
||||
},
|
||||
{
|
||||
"48": "2.1.25. Cấu hình chính sách 'Impersonate a client after authentication' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"49": "2.1.25. Cấu hình chính sách 'Impersonate a client after authentication' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"50": "2.1.26. Cấu hình chính sách 'Increase scheduling priority'"
|
||||
},
|
||||
{
|
||||
"51": "2.1.27. Cấu hình chính sách 'Load and unload device drivers'"
|
||||
},
|
||||
{
|
||||
"52": "2.1.28. Cấu hình chính sách 'Lock pages in memory'"
|
||||
},
|
||||
{
|
||||
"53": "2.1.29. Cấu hình chính sách 'Manage auditing and security log' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"54": "2.1.29. Cấu hình chính sách 'Manage auditing and security log' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"55": "2.1.30. Cấu hình chính sách 'Modify an object label'"
|
||||
},
|
||||
{
|
||||
"56": "2.1.31. Cấu hình giá trị 'Modify firmware environment values'"
|
||||
},
|
||||
{
|
||||
"57": "2.1.32. Cấu hình chính sách 'Perform volume maintenance tasks'"
|
||||
},
|
||||
{
|
||||
"58": "2.1.33. Cấu hình chính sách 'Profile single process'"
|
||||
},
|
||||
{
|
||||
"59": "2.1.34. Cấu hình chính sách 'Profile system performance'"
|
||||
},
|
||||
{
|
||||
"60": "2.1.35. Cấu hình chính sách 'Replace a process level token'"
|
||||
},
|
||||
{
|
||||
"61": "2.1.36. Cấu hình chính sách 'Restore files and directories'"
|
||||
},
|
||||
{
|
||||
"62": "2.1.37. Cấu hình chính sách 'Shut down the system'"
|
||||
},
|
||||
{
|
||||
"63": "2.1.38. Cấu hình chính sách 'Synchronize directory service data' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"64": "2.1.39. Cấu hình chính sách 'Take ownership of files or other objects'"
|
||||
},
|
||||
{
|
||||
"66": "2.2.1.1. Cấu hình trạng thái tài khoản 'Administrator account status'"
|
||||
},
|
||||
{
|
||||
"67": "2.2.1.2. Cấu hình chính sách tài khoản 'Block Microsoft accounts'"
|
||||
},
|
||||
{
|
||||
"68": "2.2.1.3. Cấu hình trạng thái tài khoản 'Guest account status' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"69": "2.2.1.4. Cấu hình chính sách tài khoản 'Limit local account use of blank passwords to console logon only'"
|
||||
},
|
||||
{
|
||||
"70": "2.2.1.5. Cấu hình thay đổi tên mặc định tài khoản quản trị 'Rename administrator account'"
|
||||
},
|
||||
{
|
||||
"71": "2.2.1.6. Cấu hình thay đổi tên mặc định tài khoản Guests 'Rename guest account'"
|
||||
},
|
||||
{
|
||||
"73": "2.2.2.1. Cấu hình chính sách 'Audit: Force audit policy subcategory settings to override audit policy category settings'"
|
||||
},
|
||||
{
|
||||
"74": "2.2.2.2. Cấu hình chính sách 'Audit: Shut down system immediately if unable to log security audits'"
|
||||
},
|
||||
{
|
||||
"76": "2.2.3.1. Cấu hình chính sách 'Devices: Allowed to format and eject removable media'"
|
||||
},
|
||||
{
|
||||
"77": "2.2.3.2. Cấu hình chính sách 'Devices: Prevent users from installing printer drivers'"
|
||||
},
|
||||
{
|
||||
"79": "2.2.4.1. Cấu hình chính sách 'Domain controller: Allow server operators to schedule tasks' is set to 'Disabled'"
|
||||
},
|
||||
{
|
||||
"80": "2.2.4.2. Cấu hình chính sách 'Domain controller: Refuse machine account password changes'"
|
||||
},
|
||||
{
|
||||
"82": "2.2.5.1. Cấu hình chính sách 'Domain member: Digitally encrypt or sign secure channel data (always)'"
|
||||
},
|
||||
{
|
||||
"83": "2.2.5.2. Cấu hình chính sách 'Domain member: Digitally encrypt secure channel data (when possible)'"
|
||||
},
|
||||
{
|
||||
"84": "2.2.5.3. Cấu hình chính sách 'Domain member: Digitally sign secure channel data (when possible)'"
|
||||
},
|
||||
{
|
||||
"85": "2.2.5.4. Cấu hình chính sách 'Domain member: Disable machine account password changes'"
|
||||
},
|
||||
{
|
||||
"86": "2.2.5.5. Cấu hình chính sách 'Domain member: Maximum machine account password age'"
|
||||
},
|
||||
{
|
||||
"87": "2.2.5.6. Cấu hình chính sách 'Domain member: Require strong (Windows 2000 or later) session key'"
|
||||
},
|
||||
{
|
||||
"89": "2.2.6.1. Thiết lập 'Interactive logon: Do not display last user name'"
|
||||
},
|
||||
{
|
||||
"90": "2.2.6.2. Thiết lập 'CTRL+ALT+DEL'"
|
||||
},
|
||||
{
|
||||
"91": "2.2.6.3. Thiết lập 'Interactive logon: Machine inactivity limit'"
|
||||
},
|
||||
{
|
||||
"92": "2.2.6.4. Cấu hình 'Interactive logon: Message text for users attempting to log on'"
|
||||
},
|
||||
{
|
||||
"93": "2.2.6.5. Thiết lập 'Interactive logon: Message title for users attempting to log on'"
|
||||
},
|
||||
{
|
||||
"94": "2.2.6.6. Thiết lập 'Interactive logon: Prompt user to change password before expiration'"
|
||||
},
|
||||
{
|
||||
"95": "2.2.6.7. Thiết lập 'Interactive logon: Require Domain Controller Authentication to unlock workstation' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"96": "2.2.6.8. Thiết lập 'Interactive logon: Smart card removal behavior' is set to 'Lock Workstation'"
|
||||
},
|
||||
{
|
||||
"98": "2.2.7.1. Thiết lập 'Microsoft network client: Digitally sign communications (if server agrees)'"
|
||||
},
|
||||
{
|
||||
"99": "2.2.7.2. Thiết lập 'Microsoft network client: Send unencrypted password to third-party SMB servers'"
|
||||
},
|
||||
{
|
||||
"100": "2.2.7.3. Thiết lập 'Microsoft network client: Digitally sign communications (if server always)'"
|
||||
},
|
||||
{
|
||||
"102": "2.2.8.1. Thiết lập 'Microsoft network server: Amount of idle time required before suspending session'"
|
||||
},
|
||||
{
|
||||
"103": "2.2.8.2. Thiết lập 'Microsoft network server: Disconnect clients when logon hours expire'"
|
||||
},
|
||||
{
|
||||
"104": "2.2.8.3. Thiết lập 'Microsoft network server: Digitally sign communications (always)'"
|
||||
},
|
||||
{
|
||||
"105": "2.2.8.4. Thiết lập 'Microsoft network server: Digitally sign communications (if client agrees)'"
|
||||
},
|
||||
{
|
||||
"106": "2.2.8.5. Thiết lập 'Microsoft network server: Server SPN target name validation level' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"108": "2.2.9.1. Thiết lập 'Network access: Allow anonymous SID/Name translation'"
|
||||
},
|
||||
{
|
||||
"109": "2.2.9.2. Thiết lập 'Network access: Do not allow anonymous enumeration of SAM accounts' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"110": "2.2.9.3. Thiết lập 'Network access: Do not allow anonymous enumeration of SAM accounts and shares' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"111": "2.2.9.4. Thiết lập 'Network access: Let Everyone permissions apply to anonymous users'"
|
||||
},
|
||||
{
|
||||
"112": "2.2.9.5. Cấu hình 'Network access: Named Pipes that can be accessed anonymously' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"113": "2.2.9.5. Cấu hình 'Network access: Named Pipes that can be accessed anonymously' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"114": "2.2.9.6. Cấu hình 'Network access: Remotely accessible registry paths'"
|
||||
},
|
||||
{
|
||||
"115": "2.2.9.7. Cấu hình 'Network access: Remotely accessible registry paths and sub-paths'"
|
||||
},
|
||||
{
|
||||
"116": "2.2.9.8. Cấu hình 'Network access: Restrict anonymous access to Named Pipes and Shares'"
|
||||
},
|
||||
{
|
||||
"117": "2.2.9.9. Cấu hình 'Network access: Shares that can be accessed anonymously'"
|
||||
},
|
||||
{
|
||||
"118": "2.2.9.10. Cấu hình 'Network access: Sharing and security model for local accounts'"
|
||||
},
|
||||
{
|
||||
"120": "2.2.10.1. Thiết lập 'Network security: Allow LocalSystem NULL session fallback'"
|
||||
},
|
||||
{
|
||||
"121": "2.2.10.2. Thiết lập 'Network Security: Allow PKU2U authentication requests to this computer to use online identities'"
|
||||
},
|
||||
{
|
||||
"122": "2.2.10.3. Thiết lập 'Network security: Configure encryption types allowed for Kerberos'"
|
||||
},
|
||||
{
|
||||
"123": "2.2.10.4. Thiết lập 'Network security: Do not store LAN Manager hash value on next password change'"
|
||||
},
|
||||
{
|
||||
"124": "2.2.10.5. Thiết lập 'Network security: Force logoff when logon hours expire'"
|
||||
},
|
||||
{
|
||||
"125": "2.2.10.6. Thiết lập 'Network security: Allow Local System to use computer identity for NTLM'"
|
||||
},
|
||||
{
|
||||
"126": "2.2.10.7. Thiết lập 'Network security: LAN Manager authentication level'"
|
||||
},
|
||||
{
|
||||
"127": "2.2.10.8. Thiết lập 'Network security: LDAP client signing requirements'"
|
||||
},
|
||||
{
|
||||
"128": "2.2.10.9. Thiết lập 'Network security: Minimum session security for NTLM SSP based (including secure RPC) clients'"
|
||||
},
|
||||
{
|
||||
"129": "2.2.10.10. Thiết lập 'Network security: Minimum session security for NTLM SSP based (including secure RPC) servers'"
|
||||
},
|
||||
{
|
||||
"131": "2.2.11.1. Thiết lập cơ chế 'Shutdown: Allow system to be shut down without having to log on'"
|
||||
},
|
||||
{
|
||||
"133": "2.2.12.1. Cấu hình chính sách 'System objects: Require case insensitivity for non-Windows subsystems'"
|
||||
},
|
||||
{
|
||||
"134": "2.2.12.2. Cấu hình chính sách 'System objects: Strengthen default permissions of internal system objects (e.g. Symbolic Links)'"
|
||||
},
|
||||
{
|
||||
"136": "2.2.13.1. Thiết lập 'User Account Control: Admin Approval Mode for the Built-in Administrator account'"
|
||||
},
|
||||
{
|
||||
"137": "2.2.13.2. Thiết lập 'User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode'"
|
||||
},
|
||||
{
|
||||
"138": "2.2.13.3. Thiết lập 'User Account Control: Detect application installations and prompt for elevation'"
|
||||
},
|
||||
{
|
||||
"139": "2.2.13.4. Thiết lập 'User Account Control: Only elevate UIAccess applications that are installed in secure locations'"
|
||||
},
|
||||
{
|
||||
"140": "2.2.13.5. Thiết lập 'User Account Control: Run all administrators in Admin Approval Mode'"
|
||||
},
|
||||
{
|
||||
"141": "2.2.13.6. Thiết lập 'User Account Control: Switch to the secure desktop when prompting for elevation'"
|
||||
},
|
||||
{
|
||||
"142": "2.2.13.7. Thiết lập 'User Account Control: Virtualize file and registry write failures to per-user locations'"
|
||||
},
|
||||
{
|
||||
"143": "2.2.13.8. Thiết lập 'User Account Control: Behavior of the elevation prompt for standard users' is set to 'Automatically deny elevation requests'"
|
||||
},
|
||||
{
|
||||
"146": "3.1.1. Thiết lập trạng thái 'Windows Firewall: Domain: Firewall state'"
|
||||
},
|
||||
{
|
||||
"147": "3.1.2. Thiết lập trạng thái 'Windows Firewall: Domain: Inbound connections'"
|
||||
},
|
||||
{
|
||||
"148": "3.1.3. Thiết lập trạng thái 'Windows Firewall: Domain: Outbound connections'"
|
||||
},
|
||||
{
|
||||
"149": "3.1.4. Cấu hình vị trí lưu trữ nhật ký 'Windows Firewall: Domain: Logging: Name'"
|
||||
},
|
||||
{
|
||||
"150": "3.1.5. Cấu hình kích thước giới hạn 'Windows Firewall: Domain: Logging: Size limit (KB)'"
|
||||
},
|
||||
{
|
||||
"151": "3.1.6. Thiết lập chính sách 'Windows Firewall: Domain: Logging: Log dropped packets'"
|
||||
},
|
||||
{
|
||||
"152": "3.1.7. Thiết lập chính sách 'Windows Firewall: Domain: Logging: Log successful connections'"
|
||||
},
|
||||
{
|
||||
"153": "3.1.8. Thiết lập chính sách 'Windows Firewall: Domain: Settings: Display a notification'"
|
||||
},
|
||||
{
|
||||
"155": "3.2.1. Thiết lập trạng thái 'Windows Firewall: Private: Firewall state'"
|
||||
},
|
||||
{
|
||||
"156": "3.2.2. Thiết lập trạng thái 'Windows Firewall: Private: Inbound connections'"
|
||||
},
|
||||
{
|
||||
"157": "3.2.3. Thiết lập trạng thái 'Windows Firewall: Private: Outbound connections'"
|
||||
},
|
||||
{
|
||||
"158": "3.2.4. Cấu hình vị trí lưu trữ nhật ký 'Windows Firewall: Private: Logging: Name'"
|
||||
},
|
||||
{
|
||||
"159": "3.2.5. Cấu hình kích thước giới hạn 'Windows Firewall: Private: Logging: Size limit (KB)'"
|
||||
},
|
||||
{
|
||||
"160": "3.2.6. Thiết lập chính sách 'Windows Firewall: Private: Logging: Log dropped packets'"
|
||||
},
|
||||
{
|
||||
"161": "3.2.7. Thiết lập chính sách 'Windows Firewall: Private: Logging: Log successful connections'"
|
||||
},
|
||||
{
|
||||
"162": "3.2.8. Thiết lập trạng thái 'Windows Firewall: Private: Settings: Display a notification'"
|
||||
},
|
||||
{
|
||||
"164": "3.3.1. Thiết lập trạng thái 'Windows Firewall: Public: Firewall state'"
|
||||
},
|
||||
{
|
||||
"165": "3.3.2. Thiết lập trạng thái 'Windows Firewall: Public: Inbound connections'"
|
||||
},
|
||||
{
|
||||
"166": "3.3.3. Thiết lập trạng thái 'Windows Firewall: Public: Outbound connections'"
|
||||
},
|
||||
{
|
||||
"167": "3.3.4. Cấu hình vị trí lưu trữ nhật ký 'Windows Firewall: Public: Logging: Name'"
|
||||
},
|
||||
{
|
||||
"168": "3.3.5. Cấu hình kích thước giới hạn 'Windows Firewall: Public: Logging: Size limit (KB)'"
|
||||
},
|
||||
{
|
||||
"169": "3.3.6. Thiết lập chính sách 'Windows Firewall: Public: Logging: Log dropped packets'"
|
||||
},
|
||||
{
|
||||
"170": "3.3.7. Thiết lập chính sách 'Windows Firewall: Public: Logging: Log successful connections'"
|
||||
},
|
||||
{
|
||||
"171": "3.3.8. Thiết lập trạng thái 'Windows Firewall: Public: Settings: Display a notification'"
|
||||
},
|
||||
{
|
||||
"172": "3.3.9. Thiết lập trạng thái 'Windows Firewall: Public: Settings: Apply local connection security rules'"
|
||||
},
|
||||
{
|
||||
"175": "4.1.1. Cấu hình chính sách 'Audit Credential Validation'"
|
||||
},
|
||||
{
|
||||
"176": "4.1.2. Cấu hình chính sách 'Audit Kerberos Authentication Service' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"177": "4.1.3. Cấu hình chính sách 'Audit Kerberos Service Ticket Operations' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"179": "4.2.1. Cấu hình chính sách 'Audit Application Group Management'"
|
||||
},
|
||||
{
|
||||
"180": "4.2.2. Cấu hình chính sách 'Audit Computer Account Management' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"181": "4.2.3. Cấu hình chính sách 'Audit Distribution Group Management' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"182": "4.2.4. Cấu hình chính sách 'Audit Other Account Management Events' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"183": "4.2.5. Cấu hình chính sách 'Audit Security Group Management'"
|
||||
},
|
||||
{
|
||||
"184": "4.2.6. Cấu hình chính sách 'Audit User Account Management'"
|
||||
},
|
||||
{
|
||||
"186": "4.3.1. Cấu hình chính sách 'Audit Process Creation'"
|
||||
},
|
||||
{
|
||||
"187": "4.3.2. Cấu hình chính sách 'Audit PNP Activity'"
|
||||
},
|
||||
{
|
||||
"189": "4.4.1. Cấu hình chính sách 'Audit Directory Service Access' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"190": "4.4.2. Cấu hình chính sách 'Audit Directory Service Changes' [Chỉ DC]"
|
||||
},
|
||||
{
|
||||
"192": "4.5.1. Cấu hình chính sách 'Audit Account Lockout'"
|
||||
},
|
||||
{
|
||||
"193": "4.5.2. Cấu hình chính sách 'Audit Logoff'"
|
||||
},
|
||||
{
|
||||
"194": "4.5.3. Cấu hình chính sách 'Audit Logon'"
|
||||
},
|
||||
{
|
||||
"195": "4.5.4. Cấu hình chính sách 'Audit Other Logon/Logoff Events'"
|
||||
},
|
||||
{
|
||||
"196": "4.5.5. Cấu hình chính sách 'Audit Special Logon'"
|
||||
},
|
||||
{
|
||||
"197": "4.5.6. Cấu hình chính sách 'Audit Group Membership'"
|
||||
},
|
||||
{
|
||||
"199": "4.6.1. Cấu hình chính sách 'Audit Detailed File Share'"
|
||||
},
|
||||
{
|
||||
"200": "4.6.2. Cấu hình chính sách 'Audit File Share'"
|
||||
},
|
||||
{
|
||||
"201": "4.6.3. Cấu hình chính sách 'Audit Other Object Access Events'"
|
||||
},
|
||||
{
|
||||
"202": "4.6.4. Cấu hình chính sách 'Audit Removable Storage'"
|
||||
},
|
||||
{
|
||||
"204": "4.7.1. Cấu hình chính sách 'Audit Audit Policy Change'"
|
||||
},
|
||||
{
|
||||
"205": "4.7.2. Cấu hình chính sách 'Audit Authentication Policy Change'"
|
||||
},
|
||||
{
|
||||
"206": "4.7.3. Cấu hình chính sách 'Audit Authorization Policy Change'"
|
||||
},
|
||||
{
|
||||
"207": "4.7.4. Cấu hình chính sách 'Audit MPSSVC Rule-Level Policy Change'"
|
||||
},
|
||||
{
|
||||
"208": "4.7.5. Cấu hình chính sách 'Audit Other Policy Change Events'"
|
||||
},
|
||||
{
|
||||
"210": "4.8.1. Cấu hình chính sách 'Audit Sensitive Privilege Use'"
|
||||
},
|
||||
{
|
||||
"212": "4.9.1. Cấu hình chính sách 'Audit IPsec Driver'"
|
||||
},
|
||||
{
|
||||
"213": "4.9.2. Cấu hình chính sách 'Audit Other System Events'"
|
||||
},
|
||||
{
|
||||
"214": "4.9.3. Cấu hình chính sách 'Audit Security State Change'"
|
||||
},
|
||||
{
|
||||
"215": "4.9.4. Cấu hình chính sách 'Audit Security System Extension'"
|
||||
},
|
||||
{
|
||||
"216": "4.9.5. Cấu hình chính sách 'Audit System Integrity'"
|
||||
},
|
||||
{
|
||||
"219": "5.1.1. Cấu hình chính sách 'Turn off app notifications on the lock screen'"
|
||||
},
|
||||
{
|
||||
"220": "5.1.2. Cấu hình chính sách 'Turn off picture password sign-in'"
|
||||
},
|
||||
{
|
||||
"221": "5.1.3. Cấu hình chính sách 'Turn on convenience PIN sign-in'"
|
||||
},
|
||||
{
|
||||
"222": "5.1.4. Cấu hình chính sách 'Block user from showing account details on sign-in'"
|
||||
},
|
||||
{
|
||||
"223": "5.1.5. Cấu hình chính sách 'Do not display network selection UI'"
|
||||
},
|
||||
{
|
||||
"224": "5.1.6. Cấu hình chính sách 'Do not enumerate connected users on domain joined computers'"
|
||||
},
|
||||
{
|
||||
"225": "5.1.7. Cấu hình chính sách 'Enumerate local users on domain-joined computers' [Chỉ MS]"
|
||||
},
|
||||
{
|
||||
"227": "5.2.1. Cấu hình chính sách 'Require a password when a computer wakes (on battery)'"
|
||||
},
|
||||
{
|
||||
"228": "5.2.2. Cấu hình chính sách 'Require a password when a computer wakes (plugged in)'"
|
||||
},
|
||||
{
|
||||
"230": "5.3.1. Cấu hình chính sách 'Disallow Autoplay for non-volume devices'"
|
||||
},
|
||||
{
|
||||
"231": "5.3.2. Cấu hình chính sách 'Set the default behavior for AutoRun'"
|
||||
},
|
||||
{
|
||||
"232": "5.3.3. Cấu hình chính sách 'Turn off Autoplay'"
|
||||
},
|
||||
{
|
||||
"235": "5.4.1.1. Thiết lập chính sách 'Application: Control Event Log behavior when the log file reaches its maximum size'"
|
||||
},
|
||||
{
|
||||
"236": "5.4.1.2. Thiết lập chính sách 'Application: Specify the maximum log file size (KB)'"
|
||||
},
|
||||
{
|
||||
"238": "5.4.2.1. Thiết lập chính sách 'Security: Control Event Log behavior when the log file reaches its maximum size'"
|
||||
},
|
||||
{
|
||||
"239": "5.4.2.2. Thiết lập chính sách 'Security: Specify the maximum log file size (KB)'"
|
||||
},
|
||||
{
|
||||
"241": "5.4.3.1. Thiết lập chính sách 'Setup: Control Event Log behavior when the log file reaches its maximum size'"
|
||||
},
|
||||
{
|
||||
"242": "5.4.3.2. Thiết lập chính sách 'Setup: Specify the maximum log file size (KB)'"
|
||||
},
|
||||
{
|
||||
"244": "5.4.4.1. Thiết lập chính sách 'System: Control Event Log behavior when the log file reaches its maximum size'"
|
||||
},
|
||||
{
|
||||
"245": "5.4.4.2. Thiết lập chính sách 'System: Specify the maximum log file size (KB)'"
|
||||
},
|
||||
{
|
||||
"247": "6.1. Cài đặt và cập nhật các bản vá bảo mật"
|
||||
},
|
||||
{
|
||||
"249": "7.1. Kiểm tra trạng thái phần mềm"
|
||||
},
|
||||
{
|
||||
"250": "7.2. Kiểm tra tính năng tự động cập nhật của phần mềm"
|
||||
},
|
||||
{
|
||||
"251": "7.3. Thực hiện lịch quét định kỳ máy chủ"
|
||||
}
|
||||
]
|
||||
}
|
||||
@@ -0,0 +1,195 @@
|
||||
Unnamed: 0,Unnamed: 1,KẾT QUẢ,Unnamed: 3,Unnamed: 4,Unnamed: 5
|
||||
,Hạng mục đánh giá ,Đáp ứng,,,Ghi chú
|
||||
,,Có ,Không,Bắt buộc,
|
||||
1,Thiết lập ban đầu,,,,
|
||||
1.1,Cấu hình filesystem,,,,
|
||||
1.1.1,Cấu hình vô hiệu hoá các filesystem không sử dụng,,,,
|
||||
1.1.1.1,Cấu hình vô hiệu hoá cramfs filesystem,,,,
|
||||
1.1.1.2,Cấu hình vô hiệu hoá freevxfs filesystem,,,,
|
||||
1.1.1.3,Cấu hình vô hiệu hoá hfs filesystem,,,,
|
||||
1.1.1.4,Cấu hình vô hiệu hoá hfsplus filesystem,,,,
|
||||
1.1.1.5,Cấu hình vô hiệu hoá jffs2 filesystem,,,,
|
||||
1.1.1.6,Cấu hình vô hiệu hoá squashfs filesystem,,,,
|
||||
1.1.1.7,Cấu hình vô hiệu hoá udf filesystem,,,,
|
||||
1.1.1.8,Cấu hình vô hiệu hoá usb storage,,,,
|
||||
1.1.2,Cấu hình phân vùng /tmp,,,,
|
||||
1.1.2.1,Cấu hình tuỳ chọn nodev cho phân vùng /tmp,,,,
|
||||
1.1.2.2,Cấu hình tuỳ chọn nosuid cho phân vùng /tmp,,,,
|
||||
1.1.2.3,Cấu hình tuỳ chọn noexec cho phân vùng /tmp,,,,
|
||||
1.1.3,Cấu hình phân vùng /var/tmp,,,,
|
||||
1.1.3.1,Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp,,,,
|
||||
1.1.3.2,Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp,,,,
|
||||
1.1.3.3,Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp,,,,
|
||||
1.1.4,Cấu hình phân vùng /home,,,,
|
||||
1.1.4.1,Cấu hình tuỳ chọn nodev cho phân vùng /home,,,,
|
||||
1.1.4.2,Cấu hình tuỳ chọn nosuid cho phân vùng /home,,,,
|
||||
1.1.5,Cấu hình phân vùng /dev/shm,,,,
|
||||
1.1.5.1,Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm,,,,
|
||||
1.1.5.2,Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm,,,,
|
||||
1.1.5.3,Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm,,,,
|
||||
1.2,Kiểm tra tính toàn vẹn của filesystem,,,,
|
||||
1.2.1 ,Kiểm tra cài đặt AIDE,,,,
|
||||
1.2.2,Cấu hình kiểm tra tính toàn vẹn của filesystem,,,,
|
||||
1.3,Cấu hình khởi động an toàn,,,,
|
||||
1.3.1,Phân quyền đối với file cấu hình bootloader,,,,
|
||||
1.3.2,Cấu hình mật khẩu cho bootloader,,,,
|
||||
1.3.3,Cấu hình xác thực khi truy cập single user mode,,,,
|
||||
1.4,Additional Process Hardening,,,,
|
||||
1.4.1 ,Cấu hình kích hoạt ASLR (address space layout randomization),,,,
|
||||
1.4.2,Cấu hình vô hiệu hoá prelink,,,,
|
||||
1.4.3,Cấu hình vô hiệu hoá core dump,,,,
|
||||
1.5,Kiểm soát nội dung cảnh báo,,,,
|
||||
1.5.1,Kiểm soát nội dung motd (Message Of The Day),,,,
|
||||
1.5.2,Kiểm soát nội dung thông báo khi đăng nhập,,,,
|
||||
1.5.3,Kiểm soát nội dung thông báo khi đăng nhập từ xa,,,,
|
||||
1.5.4,Cấu hình phân quyền đối với file /etc/motd,,,,
|
||||
1.5.5,Cấu hình phân quyền đối với file /etc/issue,,,,
|
||||
1.5.6,Cấu hình phân quyền đối với file /etc/issue.net,,,,
|
||||
1.5.7,Kiểm soát nội dung thông báo khi truy cập GNOME,,,,
|
||||
2,Service,,,,
|
||||
2.1,Cấu hình Time Synchronization,,,,
|
||||
2.1.1,Cấu hình sử dụng chrony,,,x,
|
||||
2.1.2,Cấu hình sử dụng ntp,,,x,
|
||||
2.2,Các Service với mục đích riêng biệt,,,,
|
||||
2.2.1,Cấu hình vô hiệu hoá xinetd services,,,,
|
||||
2.2.2,Cấu hình vô hiệu hoá autofs services,,,,
|
||||
2.2.3,Cấu hình vô hiệu hoá X window server services,,,,
|
||||
2.2.4,Cấu hình vô hiệu hoá avahi daemon services,,,,
|
||||
2.2.5,Cấu hình vô hiệu hoá cups services,,,,
|
||||
2.2.6,Cấu hình vô hiệu hoá dhcp server services,,,,
|
||||
2.2.7,Cấu hình vô hiệu hoá ldap server services,,,,
|
||||
2.2.8,Cấu hình vô hiệu hoá dns server services,,,,
|
||||
2.2.9,Cấu hình vô hiệu hoá dnsmasq services,,,,
|
||||
2.2.10,Cấu hình vô hiệu hoá ftp server services,,,,
|
||||
2.2.11,Cấu hình vô hiệu hoá tftp server services,,,,
|
||||
2.2.12,Cấu hình vô hiệu hoá web server services,,,,
|
||||
2.2.13,Cấu hình vô hiệu hoá imap and pop3 server services,,,,
|
||||
2.2.14,Cấu hình vô hiệu hoá samba file server services,,,,
|
||||
2.2.15,Cấu hình vô hiệu hoá web proxy server services,,,,
|
||||
2.2.16,Cấu hình vô hiệu hoá snmp services,,,,
|
||||
2.2.17,Cấu hình vô hiệu hoá nis server services,,,,
|
||||
2.2.18,Cấu hình mail transfer agents sang chế độ local-only,,,,
|
||||
2.2.19,Cấu hình vô hiệu hoá network file system services,,,,
|
||||
2.2.20,Cấu hình vô hiệu hoá rsync services,,,,
|
||||
2.3,Service Clients,,,,
|
||||
2.3.1,Cấu hình vô hiệu hoá nis client,,,,
|
||||
2.3.2,Cấu hình vô hiệu hoá rsh client,,,,
|
||||
2.3.3,Cấu hình vô hiệu hoá talk client,,,,
|
||||
2.3.4,Cấu hình vô hiệu hoá telnet client,,,,
|
||||
2.3.5,Cấu hình vô hiệu hoá ldap client,,,,
|
||||
2.3.6,Cấu hình vô hiệu hoá rpc,,,,
|
||||
2.3.7,Cấu hình vô hiệu hoá ftp client,,,,
|
||||
3,Cấu hình mạng,,,,
|
||||
3.1,Tham số cấu hình mạng (Host Only),,,,
|
||||
3.1.1 ,Cấu hình vô hiệu hoá IP forwarding,,,,
|
||||
3.1.2,Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect),,,,
|
||||
3.2,Tham số cấu hình mạng (Host và Router),,,,
|
||||
3.2.1 ,Cấu hình từ chối các gói tin với nguồn được định tuyến trước,,,,
|
||||
3.2.2,Cấu hình từ chối các ICMP redirect message,,,,
|
||||
3.2.3,Cấu hình từ chối các secure ICMP redirect message,,,,
|
||||
3.2.4,Cấu hình từ chối các gói tin ICMP request broadcast,,,,
|
||||
3.2.5,Cấu hình bỏ qua phản hồi ICMP không hợp lệ,,,,
|
||||
3.2.6,Cấu hình Reverse Path Filtering,,,,
|
||||
3.2.7,Cấu hình TCP SYN Cookies,,,,
|
||||
3.4,Cấu hình Firewall,,,,
|
||||
3.4.1,Cấu hình Uncomplicated Firewall,,,,
|
||||
3.4.1.1,Cấu hình kích hoạt ufw,,,x,
|
||||
3.4.1.2,"Cấu hình vô hiệu hoá iptables-persistent, nftables khi sử dụng ufw",,,x,
|
||||
3.4.1.3,Cấu hình ufw loopback traffic,,,x,
|
||||
3.4.1.4,Cấu hình ufw rule cho tất cả các port và protocol đang mở,,,x,
|
||||
3.4.1.5,Cấu hình chính sách từ chối mặc định cho ufw,,,x,
|
||||
3.4.2,Iptables,,,,
|
||||
3.4.2.1,Cấu hình kích hoạt Iptables,,,x,
|
||||
3.4.2.2,"Cấu hình vô hiệu hoá ufw, nftables khi sử dụng iptables",,,x,
|
||||
3.4.2.3,Cấu hình iptables loopback traffic,,,x,
|
||||
3.4.2.4,Cấu hình iptables rule cho tất cả các port và protocol đang mở,,,x,
|
||||
3.4.2.5,Cấu hình chính sách từ chối mặc định cho iptables,,,x,
|
||||
4,Logging và Auditing,,,,
|
||||
4.1,Cấu hình logging,,,,
|
||||
4.1.1,Cấu hình rsyslog,,,,
|
||||
4.1.1.1 ,Cấu hình kích hoạt rsyslog service,,,,
|
||||
4.1.1.2,Phân quyền đối với file log sinh ra từ rsyslog,,,,
|
||||
4.1.1.3,Cấu hình lưu trữ log sinh ra từ rsyslog tập trung,,,x,
|
||||
4.1.1.4,Phân quyền đối với tất cả các file log,,,,
|
||||
5,"Cấu hình truy cập, xác thực và ủy quyền",,,,
|
||||
5.1,Cấu hình cron,,,,
|
||||
5.1.1 ,Cấu hình kích hoạt cron daemon,,,,
|
||||
5.1.2,Cấu hình phân quyền cho file /etc/crontab,,,,
|
||||
5.1.3,Cấu hình phân quyền cho file /etc/cron.hourly,,,,
|
||||
5.1.4,Cấu hình phân quyền cho file /etc/cron.daily,,,,
|
||||
5.1.5,Cấu hình phân quyền cho file /etc/cron.weekly,,,,
|
||||
5.1.6,Cấu hình phân quyền cho của file /etc/cron.monthly,,,,
|
||||
5.1.7,Cấu hình phân quyền cho file /etc/cron.d,,,,
|
||||
5.1.8,Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền,,,,
|
||||
5.2,Cấu hình máy chủ SSH,,,,
|
||||
5.2.1 ,Cấu hình phân quyền cho file /etc/ssh/sshd_config,,,,
|
||||
5.2.2,Cấu hình phân quyền cho các file SSH private host key,,,,
|
||||
5.2.3,Cấu hình phân quyền cho các file SSH public host key,,,,
|
||||
5.2.4,Cấu hình giới hạn truy cập cho máy chủ SSH,,,,
|
||||
5.2.5,Cấu hình LogLevel cho máy chủ SSH,,,,
|
||||
5.2.6,Cấu hình sử dụng SSH PAM,,,,
|
||||
5.2.7,Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH,,,,
|
||||
5.2.8,Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH,,,,
|
||||
5.2.9,Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH,,,,
|
||||
5.2.10,Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH,,,,
|
||||
5.2.11,Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH,,,,
|
||||
5.2.12,Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH,,,,
|
||||
5.2.13,Cấu hình sử dụng các thuật toán mã hoá được cho phép,,,,
|
||||
5.2.14,Cấu hình các thuật toán MAC được cho phép,,,,
|
||||
5.2.15,Cấu hình thuật toán trao đổi khoá được cho phép,,,,
|
||||
5.2.16,Cấu hình vô hiệu hoá SSH AllowTcpForwarding,,,,
|
||||
5.2.17,Cấu hình cảnh báo SSH,,,,
|
||||
5.2.18,Cấu hình SSH MaxAuthTries,,,,
|
||||
5.2.19,Cấu hình SSH MaxStartups,,,,
|
||||
5.2.20,Cấu hình SSH MaxSessions,,,,
|
||||
5.2.21,Cấu hình SSH LoginGraceTime,,,,
|
||||
5.2.22,Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH,,,,
|
||||
5.3,Cấu hình PAM,,,,
|
||||
5.3.1 ,Cấu hình điều kiện tạo mật khẩu,,,x,
|
||||
5.3.2 ,Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại,,,x,
|
||||
5.3.3 ,Giới hạn việc sử dụng lại mật khẩu,,,,
|
||||
5.3.4 ,Cấu hình thuật toán hash mật khẩu mạnh,,,,
|
||||
5.4,Cấu hình tài khoản người dùng và môi trường,,,,
|
||||
5.4.1 ,Cấu hình mật khẩu người dùng,,,,
|
||||
5.4.1.1 ,Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu,,,x,
|
||||
5.4.1.2 ,Cấu hình thời gian hết hạn sử dụng mật khẩu,,,x,
|
||||
5.4.1.3 ,Cấu hình thời gian cảnh báo mật khẩu hết hạn,,,,
|
||||
5.4.1.4 ,Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn,,,,
|
||||
5.4.1.5,Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ,,,,
|
||||
5.4.2 ,Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống,,,,
|
||||
5.4.3,Cấu hình group mặc định của tài khoản root,,,,
|
||||
5.4.4,Cấu hình user umask mặc định,,,,
|
||||
5.4.5,Cấu hình shell timeout mặc định,,,,
|
||||
5.4.6,Cấu hình hạn chế truy cập cho câu lệnh su,,,,
|
||||
6,System Maintenance,,,,
|
||||
6.1,Quyền của file hệ thống,,,,
|
||||
6.1.1,Cấu hình phân quyền cho file /etc/passwd,,,,
|
||||
6.1.2,Cấu hình phân quyền cho file /etc/shadow,,,,
|
||||
6.1.3,Cấu hình phân quyền cho file /etc/group,,,,
|
||||
6.1.4,Cấu hình phân quyền cho file /etc/gshadow,,,,
|
||||
6.1.5,Cấu hình phân quyền cho file /etc/passwd-,,,,
|
||||
6.1.6,Cấu hình phân quyền cho file /etc/shadow-,,,,
|
||||
6.1.7,Cấu hình phân quyền cho file /etc/group-,,,,
|
||||
6.1.8,Cấu hình phân quyền cho file /etc/gshadow-,,,,
|
||||
6.1.9,Đảm bảo không có file world-writable tồn tại,,,,
|
||||
6.1.10,Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại,,,,
|
||||
6.1.11,Đảm bảo các file hoặc thư mục không có nhóm không tồn tại,,,,
|
||||
6.2,Thiết lập cho người dùng và nhóm,,,,
|
||||
6.2.1 ,Cấu hình tài khoản trong /etc/passwd sử dụng shadowed passwords,,,,
|
||||
6.2.2,Đảm bảo trường mật khẩu không để trống,,,,
|
||||
6.2.3,Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group,,,,
|
||||
6.2.4,Đảm bảo shadow group rỗng,,,,
|
||||
6.2.5,Đảm bảo UID không bị lặp,,,,
|
||||
6.2.6,Đảm bảo GID không bị lặp,,,,
|
||||
6.2.7,Đảm bảo tên người dùng không bị lặp,,,,
|
||||
6.2.8,Đảm bảo tên group không bị lặp,,,,
|
||||
6.2.9,Đảm bảo tính toàn vẹn cho biến môi trường PATH của root,,,,
|
||||
6.2.10,Đảm bảo root là tài khoản duy nhất có UID là 0,,,,
|
||||
6.2.11,Đảm bảo mọi người dùng đều tồn tại thư mục home,,,,
|
||||
6.2.12,Đảm bảo người dùng sở hữu thư mục home của chính họ,,,,
|
||||
6.2.13,Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao,,,,
|
||||
6.2.14,Đảm bảo không người dùng nào có file .netrc,,,,
|
||||
6.2.15,Đảm bảo không người dùng nào có file .forward,,,,
|
||||
6.2.16,Đảm bảo không người dùng nào có file .rhosts,,,,
|
||||
6.2.17,Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other,,,,
|
||||
,0,0,0,17,
|
||||
|
File diff suppressed because it is too large
Load Diff
File diff suppressed because it is too large
Load Diff
File diff suppressed because it is too large
Load Diff
File diff suppressed because it is too large
Load Diff
File diff suppressed because it is too large
Load Diff
File diff suppressed because it is too large
Load Diff
File diff suppressed because it is too large
Load Diff
File diff suppressed because it is too large
Load Diff
File diff suppressed because it is too large
Load Diff
File diff suppressed because it is too large
Load Diff
@@ -0,0 +1,206 @@
|
||||
#!/bin/bash
|
||||
##############################################################################
|
||||
# SCRIPT CHẨN ĐOÁN CHI TIẾT NGUYÊN NHÂN FAILED CÁC TIÊU CHÍ CIS RHEL
|
||||
# Tiêu chí: 1.3.1, 1.3.2, 5.1.6, 5.1.8
|
||||
##############################################################################
|
||||
|
||||
# Màu sắc hiển thị
|
||||
RED='\033[0;31m'
|
||||
GREEN='\033[0;32m'
|
||||
YELLOW='\033[1;33m'
|
||||
CYAN='\033[0;36m'
|
||||
NC='\033[0m' # No Color
|
||||
|
||||
echo "=============================================================================="
|
||||
echo " KIỂM TRA & CHẨN ĐOÁN CHI TIẾT CÁC ĐIỀU KIỆN FAILED"
|
||||
echo "=============================================================================="
|
||||
echo -e "Thời gian kiểm tra : $(date)"
|
||||
echo -e "Hostname : $(hostname)"
|
||||
echo -e "Hệ điều hành : $(cat /etc/redhat-release 2>/dev/null || cat /etc/os-release 2>/dev/null | grep PRETTY_NAME | cut -d= -f2 | tr -d '"')"
|
||||
echo "=============================================================================="
|
||||
echo ""
|
||||
|
||||
##############################################################################
|
||||
# 1. KIỂM TRA TIÊU CHÍ 1.3.1: Cài đặt AIDE
|
||||
##############################################################################
|
||||
echo -e "${CYAN}--- [TIÊU CHÍ 1.3.1] Kiểm tra cài đặt gói AIDE ---${NC}"
|
||||
echo "Lệnh thực hiện: rpm -q aide"
|
||||
|
||||
aide_pkg=$(rpm -q aide 2>&1)
|
||||
if rpm -q aide >/dev/null 2>&1 || rpm -qa | grep -qi "^aide"; then
|
||||
echo -e "Kết quả: ${GREEN}[PASSED]${NC} Gói AIDE đã được cài đặt ($aide_pkg)."
|
||||
aide_installed=1
|
||||
else
|
||||
echo -e "Kết quả: ${RED}[FAILED]${NC} Gói AIDE chưa được cài đặt trên hệ thống."
|
||||
echo -e "${YELLOW}-> Lý do FAILED:${NC} Lệnh 'rpm -q aide' trả về: $aide_pkg"
|
||||
echo -e "${YELLOW}-> Cách khắc phục:${NC}"
|
||||
echo " yum install aide # (hoặc dnf install aide)"
|
||||
aide_installed=0
|
||||
fi
|
||||
echo ""
|
||||
|
||||
##############################################################################
|
||||
# 2. KIỂM TRA TIÊU CHÍ 1.3.2: Cấu hình lịch chạy kiểm tra tính toàn vẹn (AIDE cron)
|
||||
##############################################################################
|
||||
echo -e "${CYAN}--- [TIÊU CHÍ 1.3.2] Cấu hình kiểm tra tính toàn vẹn filesystem ---${NC}"
|
||||
echo "Yêu cầu: Gói AIDE phải được cài đặt VÀ có cấu hình crontab hoặc systemd timer chạy 'aide --check'."
|
||||
|
||||
cron_check=0
|
||||
timer_check=0
|
||||
|
||||
# Kiểm tra crontab của root và file hệ thống
|
||||
cron_matches=$(crontab -l 2>/dev/null | grep -E '^\s*[^#].*\baide\b.*--check')
|
||||
sys_cron_matches=$(grep -rsE '^\s*[^#].*\baide\b.*--check' /etc/cron* /var/spool/cron 2>/dev/null)
|
||||
|
||||
if [ -n "$cron_matches" ] || [ -n "$sys_cron_matches" ]; then
|
||||
cron_check=1
|
||||
fi
|
||||
|
||||
# Kiểm tra systemd timer
|
||||
if systemctl is-enabled aidecheck.timer 2>/dev/null | grep -q "^enabled" || \
|
||||
systemctl is-enabled aide-check.timer 2>/dev/null | grep -q "^enabled"; then
|
||||
timer_check=1
|
||||
fi
|
||||
|
||||
if [ $aide_installed -eq 1 ] && { [ $cron_check -eq 1 ] || [ $timer_check -eq 1 ]; }; then
|
||||
echo -e "Kết quả: ${GREEN}[PASSED]${NC} Đã cấu hình lịch kiểm tra AIDE định kỳ."
|
||||
else
|
||||
echo -e "Kết quả: ${RED}[FAILED]${NC} Chưa thỏa mãn yêu cầu tiêu chí 1.3.2."
|
||||
echo -e "${YELLOW}-> Chi tiết chẩn đoán:${NC}"
|
||||
if [ $aide_installed -eq 0 ]; then
|
||||
echo " [X] Gói AIDE chưa được cài đặt (Tiền đề bắt buộc)."
|
||||
else
|
||||
echo " [V] Gói AIDE đã được cài đặt."
|
||||
fi
|
||||
|
||||
if [ $cron_check -eq 1 ]; then
|
||||
echo " [V] Tìm thấy lệnh chạy trong cron:"
|
||||
[ -n "$cron_matches" ] && echo " + crontab: $cron_matches"
|
||||
[ -n "$sys_cron_matches" ] && echo " + system cron: $sys_cron_matches"
|
||||
else
|
||||
echo " [X] Không tìm thấy dòng lệnh 'aide --check' trong crontab hoặc /etc/cron*."
|
||||
fi
|
||||
|
||||
if [ $timer_check -eq 1 ]; then
|
||||
echo " [V] Systemd timer aidecheck.timer đang enabled."
|
||||
else
|
||||
echo " [X] Systemd timer aidecheck.timer không được enable."
|
||||
fi
|
||||
|
||||
echo -e "${YELLOW}-> Cách khắc phục:${NC}"
|
||||
echo " 1. Cài đặt và khởi tạo AIDE:"
|
||||
echo " yum install aide"
|
||||
echo " aide --init"
|
||||
echo " mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz"
|
||||
echo " 2. Thêm lịch chạy vào crontab (chạy lúc 5h sáng mỗi ngày):"
|
||||
echo " crontab -u root -e"
|
||||
echo " # Thêm dòng sau:"
|
||||
echo " 0 5 * * * /usr/sbin/aide --check"
|
||||
fi
|
||||
echo ""
|
||||
|
||||
##############################################################################
|
||||
# 3. KIỂM TRA TIÊU CHÍ 5.1.6: Phân quyền file /etc/cron.monthly
|
||||
##############################################################################
|
||||
echo -e "${CYAN}--- [TIÊU CHÍ 5.1.6] Cấu hình phân quyền cho file /etc/cron.monthly ---${NC}"
|
||||
target_file="/etc/cron.monthly"
|
||||
|
||||
if [ ! -e "$target_file" ]; then
|
||||
echo -e "Kết quả: ${GREEN}[PASSED]${NC} Thư mục/file $target_file không tồn tại (Không bị đánh giá lỗi)."
|
||||
else
|
||||
file_stat=$(stat -c "%a:%u:%g" "$target_file" 2>/dev/null)
|
||||
file_mode=$(stat -c "%a" "$target_file" 2>/dev/null)
|
||||
file_owner=$(stat -c "%U (%u)" "$target_file" 2>/dev/null)
|
||||
file_group=$(stat -c "%G (%g)" "$target_file" 2>/dev/null)
|
||||
ls_info=$(ls -ld "$target_file" 2>/dev/null)
|
||||
|
||||
echo "Thông tin hiện tại của $target_file:"
|
||||
echo " + Quyền (Permissions): $file_mode (Yêu cầu: Group và Other KHÔNG được có quyền write - tối đa 755 hoặc 700)"
|
||||
echo " + Chủ sở hữu (Owner) : $file_owner (Yêu cầu: root / 0)"
|
||||
echo " + Nhóm (Group) : $file_group (Yêu cầu: root / 0)"
|
||||
echo " + Chi tiết ls -ld : $ls_info"
|
||||
|
||||
if echo "$file_stat" | grep -qE "^[0-7][0-5][0-5]:0:0$"; then
|
||||
echo -e "Kết quả: ${GREEN}[PASSED]${NC} Phân quyền thỏa mãn điều kiện chuẩn CIS."
|
||||
else
|
||||
echo -e "Kết quả: ${RED}[FAILED]${NC} Phân quyền hoặc chủ sở hữu chưa đạt chuẩn."
|
||||
echo -e "${YELLOW}-> Lý do FAILED:${NC}"
|
||||
if ! echo "$file_mode" | grep -qE "^[0-7][0-5][0-5]$"; then
|
||||
echo " [X] Quyền $file_mode đang cho phép Group hoặc Other có quyền ghi (write)."
|
||||
fi
|
||||
if [ "$(stat -c "%u" "$target_file")" != "0" ] || [ "$(stat -c "%g" "$target_file")" != "0" ]; then
|
||||
echo " [X] Owner hoặc Group không phải là root (0:0)."
|
||||
fi
|
||||
echo -e "${YELLOW}-> Cách khắc phục:${NC}"
|
||||
echo " chown root:root $target_file"
|
||||
echo " chmod og-rwx $target_file # (Đưa về 700 hoặc 750/755 tùy hệ thống)"
|
||||
fi
|
||||
fi
|
||||
echo ""
|
||||
|
||||
##############################################################################
|
||||
# 4. KIỂM TRA TIÊU CHÍ 5.1.8: Giới hạn truy cập at/cron (cron.allow, cron.deny...)
|
||||
##############################################################################
|
||||
echo -e "${CYAN}--- [TIÊU CHÍ 5.1.8] Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền ---${NC}"
|
||||
echo "Yêu cầu CIS: /etc/cron.allow & /etc/at.allow PHẢI TỒN TẠI | /etc/cron.deny & /etc/at.deny KHÔNG ĐƯỢC TỒN TẠI."
|
||||
|
||||
cron_allow_exist=0
|
||||
cron_deny_exist=0
|
||||
at_allow_exist=0
|
||||
at_deny_exist=0
|
||||
|
||||
[ -f /etc/cron.allow ] && cron_allow_exist=1
|
||||
[ -f /etc/cron.deny ] && cron_deny_exist=1
|
||||
[ -f /etc/at.allow ] && at_allow_exist=1
|
||||
[ -f /etc/at.deny ] && at_deny_exist=1
|
||||
|
||||
echo "Trạng thái các file trên hệ thống:"
|
||||
if [ $cron_allow_exist -eq 1 ]; then
|
||||
echo -e " + /etc/cron.allow : ${GREEN}Tồn tại${NC} ($(ls -l /etc/cron.allow 2>/dev/null | awk '{print $1, $3":"$4}'))"
|
||||
else
|
||||
echo -e " + /etc/cron.allow : ${RED}KHÔNG tồn tại (Bắt buộc phải có)${NC}"
|
||||
fi
|
||||
|
||||
if [ $cron_deny_exist -eq 1 ]; then
|
||||
echo -e " + /etc/cron.deny : ${RED}ĐANG TỒN TẠI (Bắt buộc phải XÓA bỏ)${NC} ($(ls -l /etc/cron.deny 2>/dev/null | awk '{print $1, $5" bytes"}'))"
|
||||
else
|
||||
echo -e " + /etc/cron.deny : ${GREEN}Không tồn tại (Đúng)${NC}"
|
||||
fi
|
||||
|
||||
if [ $at_allow_exist -eq 1 ]; then
|
||||
echo -e " + /etc/at.allow : ${GREEN}Tồn tại${NC} ($(ls -l /etc/at.allow 2>/dev/null | awk '{print $1, $3":"$4}'))"
|
||||
else
|
||||
echo -e " + /etc/at.allow : ${RED}KHÔNG tồn tại (Bắt buộc phải có)${NC}"
|
||||
fi
|
||||
|
||||
if [ $at_deny_exist -eq 1 ]; then
|
||||
echo -e " + /etc/at.deny : ${RED}ĐANG TỒN TẠI (Bắt buộc phải XÓA bỏ)${NC} ($(ls -l /etc/at.deny 2>/dev/null | awk '{print $1, $5" bytes"}'))"
|
||||
else
|
||||
echo -e " + /etc/at.deny : ${GREEN}Không tồn tại (Đúng)${NC}"
|
||||
fi
|
||||
|
||||
if [ $cron_allow_exist -eq 1 ] && [ $cron_deny_exist -eq 0 ] && [ $at_allow_exist -eq 1 ] && [ $at_deny_exist -eq 0 ]; then
|
||||
echo -e "Kết quả: ${GREEN}[PASSED]${NC} Cấu hình giới hạn at/cron hoàn toàn tuân thủ CIS."
|
||||
else
|
||||
echo -e "Kết quả: ${RED}[FAILED]${NC} Cấu hình at/cron chưa đạt chuẩn CIS."
|
||||
echo -e "${YELLOW}-> Nguyên nhân chính khiến bạn FAILED:${NC}"
|
||||
[ $cron_deny_exist -eq 1 ] && echo " [X] File /etc/cron.deny vẫn đang tồn tại (dù là file 0 bytes thì CIS vẫn đánh giá FAILED)."
|
||||
[ $at_deny_exist -eq 1 ] && echo " [X] File /etc/at.deny vẫn đang tồn tại."
|
||||
[ $cron_allow_exist -eq 0 ] && echo " [X] Thiếu file /etc/cron.allow."
|
||||
[ $at_allow_exist -eq 0 ] && echo " [X] Thiếu file /etc/at.allow."
|
||||
|
||||
echo -e "${YELLOW}-> Cách khắc phục triệt để:${NC}"
|
||||
echo " # Xóa file deny (Bắt buộc):"
|
||||
echo " rm -f /etc/cron.deny /etc/at.deny"
|
||||
echo " # Tạo file allow (Bắt buộc):"
|
||||
echo " touch /etc/cron.allow /etc/at.allow"
|
||||
echo " # Phân quyền chuẩn 600 root:root:"
|
||||
echo " chown root:root /etc/cron.allow /etc/at.allow"
|
||||
echo " chmod 600 /etc/cron.allow /etc/at.allow"
|
||||
fi
|
||||
echo ""
|
||||
echo "=============================================================================="
|
||||
echo "LƯU Ý QUAN TRỌNG VỀ CÔNG CỤ AUDIT:"
|
||||
echo "Nếu bạn chạy script audit được mã hóa (.enc), hãy chắc chắn rằng file mã hóa"
|
||||
echo "đã được tạo lại từ file .sh mới nhất sau khi sửa mã nguồn."
|
||||
echo "=============================================================================="
|
||||
@@ -0,0 +1,191 @@
|
||||
1.1|Cấu hình filesystem
|
||||
1.1.1|Cấu hình vô hiệu hoá các filesystem không sử dụng
|
||||
1.1.1.1|Cấu hình vô hiệu hoá cramfs filesystem
|
||||
1.1.1.2|Cấu hình vô hiệu hoá freevxfs filesystem
|
||||
1.1.1.3|Cấu hình vô hiệu hoá hfs filesystem
|
||||
1.1.1.4|Cấu hình vô hiệu hoá hfsplus filesystem
|
||||
1.1.1.5|Cấu hình vô hiệu hoá jffs2 filesystem
|
||||
1.1.1.6|Cấu hình vô hiệu hoá squashfs filesystem
|
||||
1.1.1.7|Cấu hình vô hiệu hoá udf filesystem
|
||||
1.1.1.8|Cấu hình vô hiệu hoá usb storage
|
||||
1.1.2|Cấu hình phân vùng /tmp
|
||||
1.1.2.1|Cấu hình tuỳ chọn nodev cho phân vùng /tmp
|
||||
1.1.2.2|Cấu hình tuỳ chọn nosuid cho phân vùng /tmp
|
||||
1.1.2.3|Cấu hình tuỳ chọn noexec cho phân vùng /tmp
|
||||
1.1.3|Cấu hình phân vùng /var/tmp
|
||||
1.1.3.1|Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp
|
||||
1.1.3.2|Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp
|
||||
1.1.3.3|Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp
|
||||
1.1.4|Cấu hình phân vùng /home
|
||||
1.1.4.1|Cấu hình tuỳ chọn nodev cho phân vùng /home
|
||||
1.1.4.2|Cấu hình tuỳ chọn nosuid cho phân vùng /home
|
||||
1.1.5|Cấu hình phân vùng /dev/shm
|
||||
1.1.5.1|Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm
|
||||
1.1.5.2|Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm
|
||||
1.1.5.3|Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm
|
||||
1.2|Cấu hình cập nhật phần mềm
|
||||
1.2.1|Cấu hình kích hoạt gpgcheck
|
||||
1.3|Kiểm tra tính toàn vẹn của filesystem
|
||||
1.3.1|Kiểm tra cài đặt AIDE
|
||||
1.3.2|Cấu hình kiểm tra tính toàn vẹn của filesystem
|
||||
1.4|Cấu hình khởi động an toàn
|
||||
1.4.1|Phân quyền đối với file cấu hình bootloader
|
||||
1.4.2|Cấu hình mật khẩu cho bootloader
|
||||
1.4.3|Cấu hình xác thực khi truy cập single user mode
|
||||
1.4.4|Cấu hình vô hiệu hoá interactive boot
|
||||
1.5|Additional Process Hardening
|
||||
1.5.1|Cấu hình vô hiệu hoá core dump
|
||||
1.5.2|Cấu hình kích hoạt ASLR (address space layout randomization)
|
||||
1.5.3|Cấu hình vô hiệu hoá prelink
|
||||
1.6|Kiểm soát nội dung cảnh báo
|
||||
1.6.1|Kiểm soát nội dung motd (Message Of The Day)
|
||||
1.6.2|Kiểm soát nội dung thông báo khi đăng nhập
|
||||
1.6.3|Kiểm soát nội dung thông báo khi đăng nhập từ xa
|
||||
1.6.4|Cấu hình phân quyền đối với file /etc/motd
|
||||
1.6.5|Cấu hình phân quyền đối với file /etc/issue
|
||||
1.6.6|Cấu hình phân quyền đối với file /etc/issue.net
|
||||
1.6.7|Kiểm soát nội dung thông báo khi truy cập GNOME
|
||||
2.1|Cấu hình Time Synchronization
|
||||
2.1.1|Cấu hình sử dụng chrony
|
||||
2.1.2|Cấu hình sử dụng ntp
|
||||
2.2|Các Service với mục đích riêng biệt
|
||||
2.2.1|Cấu hình vô hiệu hoá xinetd services
|
||||
2.2.2|Cấu hình vô hiệu hoá chargen services
|
||||
2.2.3|Cấu hình vô hiệu hoá daytime services
|
||||
2.2.4|Cấu hình vô hiệu hoá discard services
|
||||
2.2.5|Cấu hình vô hiệu hoá echo services
|
||||
2.2.6|Cấu hình vô hiệu hoá time services
|
||||
2.2.7|Cấu hình vô hiệu hoá rsh server
|
||||
2.2.8|Cấu hình vô hiệu hoá talk server
|
||||
2.2.9|Cấu hình vô hiệu hoá autofs services
|
||||
2.2.10|Cấu hình vô hiệu hoá X window server services
|
||||
2.2.11|Cấu hình vô hiệu hoá avahi daemon services
|
||||
2.2.12|Cấu hình vô hiệu hoá cups services
|
||||
2.2.13|Cấu hình vô hiệu hoá dhcp server services
|
||||
2.2.14|Cấu hình vô hiệu hoá ldap server services
|
||||
2.2.15|Cấu hình vô hiệu hoá dns server services
|
||||
2.2.16|Cấu hình vô hiệu hoá dnsmasq services
|
||||
2.2.17|Cấu hình vô hiệu hoá ftp server services
|
||||
2.2.18|Cấu hình vô hiệu hoá tftp server services
|
||||
2.2.19|Cấu hình vô hiệu hoá web server services
|
||||
2.2.20|Cấu hình vô hiệu hoá imap and pop3 server services
|
||||
2.2.21|Cấu hình vô hiệu hoá samba file server services
|
||||
2.2.22|Cấu hình vô hiệu hoá web proxy server services
|
||||
2.2.23|Cấu hình vô hiệu hoá snmp services
|
||||
2.2.24|Cấu hình vô hiệu hoá nis server services
|
||||
2.2.25|Cấu hình vô hiệu hoá telnet server services
|
||||
2.2.26|Cấu hình mail transfer agents sang chế độ local-only
|
||||
2.2.27|Cấu hình vô hiệu hoá network file system services
|
||||
2.2.28|Cấu hình vô hiệu hoá rpcbind services
|
||||
2.2.29|Cấu hình vô hiệu hoá rsync services
|
||||
2.3|Service Clients
|
||||
2.3.1|Cấu hình vô hiệu hoá nis client
|
||||
2.3.2|Cấu hình vô hiệu hoá rsh client
|
||||
2.3.3|Cấu hình vô hiệu hoá talk client
|
||||
2.3.4|Cấu hình vô hiệu hoá telnet client
|
||||
2.3.5|Cấu hình vô hiệu hoá ldap client
|
||||
2.3.6|Cấu hình vô hiệu hoá ftp client
|
||||
2.3.7|Cấu hình vô hiệu hoá tftp client
|
||||
3.1|Tham số cấu hình mạng (Host Only)
|
||||
3.1.1|Cấu hình vô hiệu hoá IP forwarding
|
||||
3.1.2|Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect)
|
||||
3.2|Tham số cấu hình mạng (Host và Router)
|
||||
3.2.1|Cấu hình từ chối các gói tin với nguồn được định tuyến trước
|
||||
3.2.2|Cấu hình từ chối các ICMP redirect message
|
||||
3.2.3|Cấu hình từ chối các secure ICMP redirect message
|
||||
3.2.4|Cấu hình từ chối các gói tin ICMP request broadcast
|
||||
3.2.5|Cấu hình bỏ qua phản hồi ICMP không hợp lệ
|
||||
3.2.6|Cấu hình Reverse Path Filtering
|
||||
3.2.7|Cấu hình TCP SYN Cookies
|
||||
3.4|Cấu hình Firewall
|
||||
3.4.1|Cấu hình firewalld
|
||||
3.4.1.1|Cấu hình kích hoạt firewalld
|
||||
3.4.1.3|Cấu hình firewalld rule cho tất cả các port và protocol đang mở
|
||||
3.4.1.4|Cấu hình chính sách từ chối mặc định cho firewalld
|
||||
3.4.2|Iptables
|
||||
3.4.2.1|Cấu hình kích hoạt Iptables
|
||||
3.4.2.3|Cấu hình iptables loopback traffic
|
||||
3.4.2.4|Cấu hình iptables rule cho tất cả các port và protocol đang mở
|
||||
3.4.2.5|Cấu hình chính sách từ chối mặc định cho iptables
|
||||
4.1|Cấu hình logging
|
||||
4.1.1|Cấu hình rsyslog
|
||||
4.1.1.1|Cấu hình kích hoạt rsyslog service
|
||||
4.1.1.2|Phân quyền đối với file log sinh ra từ rsyslog
|
||||
4.1.1.3|Cấu hình lưu trữ log sinh ra từ rsyslog tập trung
|
||||
4.1.1.4|Phân quyền đối với tất cả các file log
|
||||
5.1|Cấu hình cron
|
||||
5.1.1|Cấu hình kích hoạt cron daemon
|
||||
5.1.2|Cấu hình phân quyền cho file /etc/crontab
|
||||
5.1.3|Cấu hình phân quyền cho file /etc/cron.hourly
|
||||
5.1.4|Cấu hình phân quyền cho file /etc/cron.daily
|
||||
5.1.5|Cấu hình phân quyền cho file /etc/cron.weekly
|
||||
5.1.6|Cấu hình phân quyền cho của file /etc/cron.monthly
|
||||
5.1.7|Cấu hình phân quyền cho file /etc/cron.d
|
||||
5.1.8|Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền
|
||||
5.2|Cấu hình máy chủ SSH
|
||||
5.2.1|Cấu hình phân quyền cho file /etc/ssh/sshd_config
|
||||
5.2.2|Cấu hình phân quyền cho các file SSH private host key
|
||||
5.2.3|Cấu hình phân quyền cho các file SSH public host key
|
||||
5.2.4|Cấu hình giới hạn truy cập cho máy chủ SSH
|
||||
5.2.5|Cấu hình LogLevel cho máy chủ SSH
|
||||
5.2.6|Cấu hình sử dụng SSH PAM
|
||||
5.2.7|Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH
|
||||
5.2.8|Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH
|
||||
5.2.9|Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH
|
||||
5.2.10|Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH
|
||||
5.2.11|Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH
|
||||
5.2.12|Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH
|
||||
5.2.13|Cấu hình vô hiệu hoá SSH AllowTcpForwarding
|
||||
5.2.14|Cấu hình cảnh báo SSH
|
||||
5.2.15|Cấu hình SSH MaxAuthTries
|
||||
5.2.16|Cấu hình SSH MaxStartups
|
||||
5.2.17|Cấu hình SSH MaxSessions
|
||||
5.2.18|Cấu hình SSH LoginGraceTime
|
||||
5.2.19|Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH
|
||||
5.2.20|Cấu hình các thuật toán MAC được cho phép
|
||||
5.3|Cấu hình PAM
|
||||
5.3.1|Cấu hình điều kiện tạo mật khẩu
|
||||
5.3.2|Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại
|
||||
5.3.3|Giới hạn việc sử dụng lại mật khẩu
|
||||
5.3.4|Cấu hình thuật toán hash mật khẩu sang SHA-512
|
||||
5.4|Cấu hình tài khoản người dùng và môi trường
|
||||
5.4.1|Cấu hình mật khẩu người dùng
|
||||
5.4.1.1|Cấu hình thời gian hết hạn sử dụng mật khẩu
|
||||
5.4.1.2|Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu
|
||||
5.4.1.3|Cấu hình thời gian cảnh báo mật khẩu hết hạn
|
||||
5.4.1.4|Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn
|
||||
5.4.1.5|Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ
|
||||
5.4.2|Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống
|
||||
5.4.3|Cấu hình shell timeout mặc định
|
||||
5.4.4|Cấu hình group mặc định của tài khoản root
|
||||
5.4.5|Cấu hình user umask mặc định
|
||||
5.4.6|Cấu hình hạn chế truy cập cho câu lệnh su
|
||||
6.1|Quyền của file hệ thống
|
||||
6.1.1|Cấu hình sticky bit cho tất cả các thư mục dùng chung
|
||||
6.1.2|Cấu hình phân quyền cho file /etc/passwd
|
||||
6.1.3|Cấu hình phân quyền cho file /etc/shadow
|
||||
6.1.4|Cấu hình phân quyền cho file /etc/group
|
||||
6.1.5|Cấu hình phân quyền cho file /etc/gshadow
|
||||
6.1.6|Cấu hình phân quyền cho file /etc/passwd-
|
||||
6.1.7|Cấu hình phân quyền cho file /etc/shadow-
|
||||
6.1.8|Cấu hình phân quyền cho file /etc/group-
|
||||
6.1.9|Cấu hình phân quyền cho file /etc/gshadow-
|
||||
6.1.10|Đảm bảo không có file world-writable tồn tại
|
||||
6.1.11|Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại
|
||||
6.1.12|Đảm bảo các file hoặc thư mục không có nhóm không tồn tại
|
||||
6.2|Thiết lập cho người dùng và nhóm
|
||||
6.2.1|Đảm bảo trường mật khẩu không để trống
|
||||
6.2.2|Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group
|
||||
6.2.3|Đảm bảo UID không bị lặp
|
||||
6.2.4|Đảm bảo GID không bị lặp
|
||||
6.2.5|Đảm bảo tên người dùng không bị lặp
|
||||
6.2.6|Đảm bảo tên group không bị lặp
|
||||
6.2.7|Đảm bảo tính toàn vẹn cho biến môi trường PATH của root
|
||||
6.2.8|Đảm bảo root là tài khoản duy nhất có UID là 0
|
||||
6.2.9|Đảm bảo mọi người dùng đều tồn tại thư mục home
|
||||
6.2.10|Đảm bảo người dùng sở hữu thư mục home của chính họ
|
||||
6.2.11|Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao
|
||||
6.2.12|Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other
|
||||
6.2.13|Đảm bảo không người dùng nào có file .forward
|
||||
6.2.14|Đảm bảo không người dùng nào có file .netrc
|
||||
6.2.15|Đảm bảo không người dùng nào có file .rhosts
|
||||
@@ -0,0 +1,46 @@
|
||||
import argparse
|
||||
import os
|
||||
import base64
|
||||
from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
|
||||
from cryptography.hazmat.primitives import padding
|
||||
|
||||
|
||||
def decrypt_file(encrypted_file_path, output_file_path=None):
|
||||
key_Mes = "fb8MH7yIuVUeCp5W4S9cKFtsHaxXIP/zvkO36wNNcO4="
|
||||
key = base64.b64decode(key_Mes.encode("ascii"))
|
||||
|
||||
with open(encrypted_file_path, 'rb') as f:
|
||||
encrypted_data = f.read()
|
||||
|
||||
cipher = Cipher(
|
||||
algorithms.AES(key),
|
||||
modes.ECB()
|
||||
)
|
||||
|
||||
decryptor = cipher.decryptor()
|
||||
padded_data = decryptor.update(encrypted_data) + decryptor.finalize()
|
||||
|
||||
# Remove PKCS7 padding
|
||||
unpadder = padding.PKCS7(128).unpadder()
|
||||
data = unpadder.update(padded_data) + unpadder.finalize()
|
||||
|
||||
if output_file_path is None:
|
||||
output_file_path = encrypted_file_path.replace('.enc', '.dec')
|
||||
|
||||
with open(output_file_path, 'wb') as output_file:
|
||||
output_file.write(data)
|
||||
|
||||
print(f"Decrypted to: {output_file_path}")
|
||||
|
||||
|
||||
def main():
|
||||
parser = argparse.ArgumentParser(description='Decrypt file')
|
||||
parser.add_argument('-p', '--path', help='Path to encrypted file', required=True)
|
||||
parser.add_argument('-o', '--out_file', help='Output file path', default=None)
|
||||
args = parser.parse_args()
|
||||
return args
|
||||
|
||||
|
||||
if __name__ == '__main__':
|
||||
args = main()
|
||||
decrypt_file(args.path, args.out_file)
|
||||
Binary file not shown.
@@ -0,0 +1,62 @@
|
||||
import argparse
|
||||
import os
|
||||
import base64
|
||||
from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
|
||||
from cryptography.hazmat.primitives.kdf.hkdf import HKDF
|
||||
from cryptography.hazmat.primitives import hashes, padding
|
||||
|
||||
|
||||
def genSecretKey(key, salt):
|
||||
hkdf = HKDF(
|
||||
algorithm=hashes.SHA256(),
|
||||
length=32,
|
||||
salt=salt,
|
||||
info=None
|
||||
)
|
||||
secret_key = hkdf.derive(key)
|
||||
return secret_key
|
||||
|
||||
|
||||
def encrypt_file(file_path, encrypted_file_path=None):
|
||||
file_name = os.path.basename(file_path)
|
||||
key_Mes = "fb8MH7yIuVUeCp5W4S9cKFtsHaxXIP/zvkO36wNNcO4="
|
||||
key = base64.b64decode(key_Mes.encode("ascii"))
|
||||
|
||||
with open(file_path, 'rb') as f:
|
||||
data = f.read()
|
||||
|
||||
padder = padding.PKCS7(128).padder()
|
||||
padded_data = padder.update(data)
|
||||
padded_data += padder.finalize()
|
||||
|
||||
cipher = Cipher(
|
||||
algorithms.AES(key),
|
||||
modes.ECB()
|
||||
)
|
||||
|
||||
encryptor = cipher.encryptor()
|
||||
ct = encryptor.update(padded_data) + encryptor.finalize()
|
||||
if encrypted_file_path is None:
|
||||
encrypted_file_path = f"{file_name}.enc"
|
||||
with open(encrypted_file_path, 'wb') as encrypted_file:
|
||||
encrypted_file.write(ct)
|
||||
|
||||
|
||||
def main():
|
||||
# Parse Arguments
|
||||
parser = argparse.ArgumentParser(description='Encrypt file')
|
||||
parser.add_argument('-p', '--path', help='Path to file', required=True)
|
||||
parser.add_argument('-o', '--out_file', help='Write to file', default=None)
|
||||
args = parser.parse_args()
|
||||
|
||||
return args
|
||||
|
||||
|
||||
if __name__ == '__main__':
|
||||
args = main()
|
||||
file_path = args.path
|
||||
if args.out_file is not None:
|
||||
encrypted_file_path = args.out_file
|
||||
encrypt_file(file_path, encrypted_file_path)
|
||||
else:
|
||||
encrypt_file(file_path)
|
||||
Binary file not shown.
Binary file not shown.
Binary file not shown.
Binary file not shown.
Binary file not shown.
Binary file not shown.
Binary file not shown.
Binary file not shown.
File diff suppressed because it is too large
Load Diff
@@ -0,0 +1,466 @@
|
||||
============================================================================
|
||||
THÔNG TIN HỆ THỐNG
|
||||
============================================================================
|
||||
|
||||
Script Version: 2.0.2
|
||||
|
||||
--- Thông tin cơ bản ---
|
||||
Operating System: Ubuntu 24.04.4 LTS
|
||||
Kernel Version: 6.8.0-124-generic
|
||||
Architecture: x86_64
|
||||
Hostname: antt-ksc01
|
||||
FQDN: antt-ksc01.vascloud.vnpt.vn
|
||||
IP Address: 10.144.82.37
|
||||
All IP Addresses: 10.144.82.37
|
||||
Audit Time: 2026-07-16 16:14:20
|
||||
Timezone: Asia/Ho_Chi_Minh
|
||||
Uptime: up 1 week, 1 day, 5 hours, 41 minutes
|
||||
|
||||
--- Thông tin CPU ---
|
||||
CPU Model: Intel(R) Xeon(R) Gold 5220R CPU @ 2.20GHz
|
||||
CPU Cores: 16
|
||||
CPU Architecture: x86_64
|
||||
|
||||
--- Thông tin Memory ---
|
||||
Total Memory: 15Gi
|
||||
Used Memory: 1.5Gi
|
||||
Free Memory: 7.9Gi
|
||||
Swap Total: 15Gi
|
||||
|
||||
--- Thông tin Disk ---
|
||||
Disk Usage:
|
||||
/ 16G used of 482G (4%)
|
||||
/ 16G used of 482G (4%)
|
||||
/ 16G used of 482G (4%)
|
||||
/tmp 0 used of 7.8G (0%)
|
||||
|
||||
--- Thông tin Network Interfaces ---
|
||||
Primary Interface: ens160
|
||||
MAC Address: 00:50:56:9e:6d:4a
|
||||
Default Gateway: 10.144.82.33
|
||||
DNS Servers: 127.0.0.53
|
||||
|
||||
--- Thông tin bổ sung ---
|
||||
AppArmor Status: Enabled
|
||||
UFW Status: Status: active
|
||||
Last Boot: 2026-07-08 10:33
|
||||
Current Users: 3
|
||||
Load Average: 0.76 0.40 0.50
|
||||
Ubuntu Version Detected: 24.04
|
||||
|
||||
============================================================================
|
||||
IPv6 Status: DISABLED (kernel support not available)
|
||||
############################################################################
|
||||
{"1.1.1.1. Cấu hình vô hiệu hoá cramfs filesystem" : "PASSED"}
|
||||
{"1.1.1.2. Cấu hình vô hiệu hoá freevxfs filesystem" : "PASSED"}
|
||||
{"1.1.1.3. Cấu hình vô hiệu hoá hfs filesystem" : "PASSED"}
|
||||
{"1.1.1.4. Cấu hình vô hiệu hoá hfsplus filesystem" : "PASSED"}
|
||||
{"1.1.1.5. Cấu hình vô hiệu hoá jffs2 filesystem" : "PASSED"}
|
||||
{"1.1.1.6. Cấu hình vô hiệu hoá squashfs filesystem" : "PASSED"}
|
||||
{"1.1.1.7. Cấu hình vô hiệu hoá udf filesystem" : "PASSED"}
|
||||
{"1.1.2.1. Cấu hình tuỳ chọn nodev cho phân vùng /tmp" : "PASSED"}
|
||||
{"1.1.2.2. Cấu hình tuỳ chọn nosuid cho phân vùng /tmp" : "PASSED"}
|
||||
{"1.1.2.3. Cấu hình tuỳ chọn noexec cho phân vùng /tmp" : "PASSED"}
|
||||
-------------------
|
||||
# Chỉnh sửa file /etc/fstab và thêm tùy chọn nodev, nosuid, noexec vào trường thứ 4 trong cấu hình của phân vùng /tmp. Ví dụ:
|
||||
# tmpfs /tmp tmpfs defaults,nodev,nosuid,noexec 0 0
|
||||
# Thực hiện các lệnh sau để mount phân vùng /tmp và cập nhật cấu hình fstab:
|
||||
# mount /tmp
|
||||
# mount -o remount /tmp
|
||||
-------------------
|
||||
######################################
|
||||
{"1.1.3.1. Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp" : "PASSED"}
|
||||
{"1.1.3.2. Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp" : "PASSED"}
|
||||
{"1.1.3.3. Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp" : "PASSED"}
|
||||
-------------------
|
||||
# Chỉnh sửa file /etc/fstab và thêm tùy chọn nodev, nosuid, noexec vào trường thứ 4 trong cấu hình của phân vùng /var/tmp. Ví dụ:
|
||||
# tmpfs /var/tmp tmpfs defaults,nodev,nosuid,noexec 0 0
|
||||
# Thực hiện các lệnh sau để mount phân vùng /var/tmp và cập nhật cấu hình fstab:
|
||||
# mount /var/tmp
|
||||
# mount -o remount /var/tmp
|
||||
-------------------
|
||||
######################################
|
||||
{"1.1.4.1. Cấu hình tuỳ chọn nodev cho phân vùng /home" : "PASSED"}
|
||||
{"1.1.4.2. Cấu hình tuỳ chọn nosuid cho phân vùng /home" : "PASSED"}
|
||||
-------------------
|
||||
# Chỉnh sửa file /etc/fstab và thêm tùy chọn nodev, nosuid, noexec vào trường thứ 4 trong cấu hình của phân vùng /home. Ví dụ:
|
||||
# <device> /home <fstype> defaults,nodev,nosuid 0 0
|
||||
# Thực hiện các lệnh sau để cập nhật cấu hình fstab:
|
||||
# mount -o remount /home
|
||||
-------------------
|
||||
######################################
|
||||
{"1.1.5.1. Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm" : "PASSED"}
|
||||
{"1.1.5.2. Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm" : "PASSED"}
|
||||
{"1.1.5.3. Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm" : "PASSED"}
|
||||
-------------------
|
||||
# Chỉnh sửa file /etc/fstab và thêm tùy chọn nodev, nosuid, noexec vào trường thứ 4 trong cấu hình của phân vùng /dev/shm. Ví dụ:
|
||||
# tmpfs /dev/shm tmpfs defaults,nodev,nosuid,noexec 0 0
|
||||
# Thực hiện các lệnh sau để mount phân vùng /dev/shm và cập nhật cấu hình fstab:
|
||||
# mount /dev/shm
|
||||
# mount -o remount /dev/shm
|
||||
-------------------
|
||||
######################################
|
||||
{"1.1.6. Cấu hình sticky bit cho tất cả các thư mục dùng chung" : "PASSED"}
|
||||
{"2.2.2. Cấu hình vô hiệu hoá autofs services" : "PASSED"}
|
||||
{"1.1.8. Cấu hình vô hiệu hoá usb storage" : "PASSED"}
|
||||
{"1.2.1. Kiểm tra cài đặt AIDE" : "PASSED"}
|
||||
{"1.2.2. Cấu hình kiểm tra tính toàn vẹn của filesystem" : "PASSED"}
|
||||
{"1.3.1. Phân quyền đối với file cấu hình bootloader" : "PASSED"}
|
||||
{"1.3.2. Cấu hình xác thực khi truy cập single user mode" : "PASSED"}
|
||||
{"1.3.3. Cấu hình xác thực khi truy cập single user mode" : "PASSED"}
|
||||
{"1.4.1. Cấu hình kích hoạt ASLR (address space layout randomization)" : "PASSED"}
|
||||
{"1.4.2. Cấu hình vô hiệu hoá prelink" : "PASSED"}
|
||||
{"1.4.3. Cấu hình vô hiệu hoá core dump" : "PASSED"}
|
||||
{"1.5.1. Kiểm soát nội dung motd (Message Of The Day)" : "PASSED"}
|
||||
{"1.5.2. Kiểm soát nội dung thông báo khi đăng nhập" : "PASSED"}
|
||||
{"1.5.3. Kiểm soát nội dung thông báo khi đăng nhập từ xa" : "PASSED"}
|
||||
{"1.5.4. Cấu hình phân quyền đối với file /etc/motd" : "PASSED"}
|
||||
######################################
|
||||
{"1.5.5. Cấu hình phân quyền đối với file /etc/issue" : "PASSED"}
|
||||
{"1.5.6. Cấu hình phân quyền đối với file /etc/issue.net" : "PASSED"}
|
||||
{"1.5.7. Kiểm soát nội dung thông báo khi truy cập GNOME" : "PASSED"}
|
||||
{"2.1.1. Cấu hình sử dụng chrony" : "PASSED"}
|
||||
{"2.1.2. Cấu hình sử dụng NTP" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"2.2.1. Cấu hình vô hiệu hoá xinetd services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep xinetd
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled xinetd.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active xinetd.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
#systemctl is-enabled xinetd.service
|
||||
not-found
|
||||
#systemctl is-active xinetd.service
|
||||
inactive
|
||||
{"2.2.3. Cấu hình vô hiệu hoá X window server services" : "PASSED"}
|
||||
{"2.2.4. Cấu hình vô hiệu hoá avahi daemon services" : "PASSED"}
|
||||
{"2.2.5. Cấu hình vô hiệu hoá cups services" : "PASSED"}
|
||||
{"2.2.6. Cấu hình vô hiệu hoá dhcp server services" : "PASSED"}
|
||||
{"2.2.7. Cấu hình vô hiệu hoá ldap server services" : "PASSED"}
|
||||
{"2.2.6. Cấu hình vô hiệu hoá NFS" : "PASSED"}
|
||||
{"2.2.8. Cấu hình vô hiệu hoá dns server services" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"2.2.9. Cấu hình vô hiệu hoá dnsmasq services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#grep -E "\s[7-9].[0-9]" /etc/os-release
|
||||
----------[PASSED]----------
|
||||
#dpkg-query -l dnsmasq
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled dnsmasq.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active dnsmasq.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
PRETTY_NAME="Ubuntu 24.04.4 LTS"
|
||||
NAME="Ubuntu"
|
||||
VERSION_ID="24.04"
|
||||
VERSION="24.04.4 LTS (Noble Numbat)"
|
||||
VERSION_CODENAME=noble
|
||||
ID=ubuntu
|
||||
ID_LIKE=debian
|
||||
HOME_URL="https://www.ubuntu.com/"
|
||||
SUPPORT_URL="https://help.ubuntu.com/"
|
||||
BUG_REPORT_URL="https://bugs.launchpad.net/ubuntu/"
|
||||
PRIVACY_POLICY_URL="https://www.ubuntu.com/legal/terms-and-policies/privacy-policy"
|
||||
UBUNTU_CODENAME=noble
|
||||
LOGO=ubuntu-logo
|
||||
{"2.2.10. Cấu hình vô hiệu hoá ftp server services" : "PASSED"}
|
||||
{"2.2.12. Cấu hình vô hiệu hoá web server services" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"2.2.11. Cấu hình vô hiệu hoá tftp server services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#grep -E "\s[7-9].[0-9]" /etc/os-release
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep tftpd-hpa
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled tftp.socket
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled tftpd-hpa.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active tftp.socket
|
||||
inactive
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active tftpd-hpa.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
{"2.2.13. Cấu hình vô hiệu hoá imap and pop3 server services" : "PASSED"}
|
||||
{"2.2.14. Cấu hình vô hiệu hoá samba file server services" : "PASSED"}
|
||||
{"2.2.15. Cấu hình vô hiệu hoá web proxy server services" : "PASSED"}
|
||||
{"2.2.16. Cấu hình vô hiệu hoá snmp services" : "PASSED"}
|
||||
{"2.2.14. Cấu hình vô hiệu hoá telnetd" : "PASSED"}
|
||||
{"2.2.15. Cấu hình vô hiệu hoá rsh-server" : "PASSED"}
|
||||
{"2.2.18. Cấu hình mail transfer agents sang chế độ local-only" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"2.2.17. Cấu hình vô hiệu hoá nis server services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep ypserv
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled ypserv.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active ypserv.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
#systemctl is-enabled ypserv.service
|
||||
not-found
|
||||
#systemctl is-active ypserv.service
|
||||
inactive
|
||||
|
||||
######################################
|
||||
{"2.2.19. Cấu hình vô hiệu hoá network file system services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep nfs-kernel-server
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled nfs-server.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active nfs-server.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
#systemctl is-enabled nfs-server.service
|
||||
not-found
|
||||
#systemctl is-active nfs-server.service
|
||||
inactive
|
||||
{"2.2.20. Cấu hình vô hiệu hoá rsync services" : "PASSED"}
|
||||
{"2.3.1. Cấu hình vô hiệu hoá nis client" : "PASSED"}
|
||||
{"2.3.2. Cấu hình vô hiệu hoá rsh client" : "PASSED"}
|
||||
{"2.3.3. Cấu hình vô hiệu hoá talk client" : "PASSED"}
|
||||
{"2.3.4. Cấu hình vô hiệu hoá telnet client" : "PASSED"}
|
||||
{"2.3.5. Cấu hình vô hiệu hoá ldap client" : "PASSED"}
|
||||
{"2.3.6. Cấu hình vô hiệu hoá rpc" : "PASSED"}
|
||||
{"2.3.7. Cấu hình vô hiệu hoá ftp client" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#grep -E "\s[7-9].[0-9]" /etc/os-release
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep ftp
|
||||
ii openssh-sftp-server 1:9.6p1-3ubuntu13.18 amd64 secure shell (SSH) sftp server module, for SFTP access from remote machines
|
||||
ii tnftp 20230507-2build3 amd64 enhanced ftp client
|
||||
----------LOG----------
|
||||
|
||||
######################################
|
||||
{"3.1.1. Cấu hình vô hiệu hoá IP forwarding" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.1.2. Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect)" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.1. Cấu hình từ chối các gói tin với nguồn được định tuyến trước" : "PASSED"}
|
||||
|
||||
########## STDERR BEGIN ##########
|
||||
/bin/bash: line 2: f: command not found
|
||||
|
||||
########## STDERR END ##########
|
||||
|
||||
######################################
|
||||
{"3.2.2. Cấu hình từ chối các ICMP redirect message" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.3. Cấu hình từ chối các secure ICMP redirect message" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.4. Cấu hình từ chối các gói tin ICMP request broadcast" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.5. Cấu hình bỏ qua phản hồi ICMP không hợp lệ" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.6. Cấu hình Reverse Path Filtering" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.3.1. Cấu hình từ chối các gói tin với nguồn được định tuyến trước (Source Routed Packet Acceptance)" : "PASSED"}
|
||||
{"3.3.2. Cấu hình từ chối các ICMP redirect message" : "PASSED"}
|
||||
{"3.3.3. Cấu hình từ chối các secure ICMP redirect message" : "PASSED"}
|
||||
{"3.3.4. Cấu hình từ chối các gói tin ICMP request broadcast" : "PASSED"}
|
||||
{"3.3.5. Cấu hình bỏ qua phản hồi ICMP không hợp lệ" : "PASSED"}
|
||||
{"3.3.6. Cấu hình Reverse Path Filtering" : "PASSED"}
|
||||
{"3.2.7. Cấu hình TCP SYN Cookies" : "PASSED"}
|
||||
{"3.3.8. Cấu hình từ chối IPv6 router advertisements" : "PASSED"}
|
||||
{"3.4.1.1. Cấu hình kích hoạt ufw" : "PASSED"}
|
||||
{"3.4.2.1. Cấu hình kích hoạt Iptables" : "PASSED"}
|
||||
{"3.4.1.2. Cấu hình vô hiệu hoá iptables-persistent, nftables khi sử dụng ufw" : "PASSED"}
|
||||
{"3.4.1.3. Cấu hình ufw loopback traffic" : "PASSED"}
|
||||
{"3.4.1.4. Cấu hình ufw rule cho tất cả các port và protocol đang mở" : "PASSED"}
|
||||
######################################
|
||||
# Các rule UFW hiện tại:
|
||||
-------------------
|
||||
Status: active
|
||||
|
||||
To Action From
|
||||
-- ------ ----
|
||||
[ 1] Anywhere on lo ALLOW IN Anywhere
|
||||
[ 2] Anywhere ALLOW OUT Anywhere on lo (out)
|
||||
[ 3] Anywhere DENY IN 127.0.0.0/8
|
||||
[ 4] 22/tcp ALLOW IN Anywhere
|
||||
[ 5] 53 ALLOW OUT Anywhere (out)
|
||||
[ 6] 80/tcp ALLOW OUT Anywhere (out)
|
||||
[ 7] 443/tcp ALLOW OUT Anywhere (out)
|
||||
[ 8] 123/udp ALLOW OUT Anywhere (out)
|
||||
[ 9] 11371/tcp ALLOW OUT Anywhere (out)
|
||||
[10] Anywhere (v6) on lo ALLOW IN Anywhere (v6)
|
||||
[11] Anywhere (v6) ALLOW OUT Anywhere (v6) on lo (out)
|
||||
[12] Anywhere (v6) DENY IN ::1
|
||||
[13] 22/tcp (v6) ALLOW IN Anywhere (v6)
|
||||
[14] 53 (v6) ALLOW OUT Anywhere (v6) (out)
|
||||
[15] 80/tcp (v6) ALLOW OUT Anywhere (v6) (out)
|
||||
[16] 443/tcp (v6) ALLOW OUT Anywhere (v6) (out)
|
||||
[17] 123/udp (v6) ALLOW OUT Anywhere (v6) (out)
|
||||
[18] 11371/tcp (v6) ALLOW OUT Anywhere (v6) (out)
|
||||
|
||||
-------------------
|
||||
# Inbound rules (ALLOW):
|
||||
Anywhere on lo ALLOW Anywhere
|
||||
22/tcp ALLOW Anywhere
|
||||
Anywhere (v6) on lo ALLOW Anywhere (v6)
|
||||
22/tcp (v6) ALLOW Anywhere (v6)
|
||||
-------------------
|
||||
# Outbound rules (ALLOW OUT):
|
||||
Anywhere ALLOW OUT Anywhere on lo
|
||||
53 ALLOW OUT Anywhere
|
||||
80/tcp ALLOW OUT Anywhere
|
||||
443/tcp ALLOW OUT Anywhere
|
||||
123/udp ALLOW OUT Anywhere
|
||||
11371/tcp ALLOW OUT Anywhere
|
||||
Anywhere (v6) ALLOW OUT Anywhere (v6) on lo
|
||||
53 (v6) ALLOW OUT Anywhere (v6)
|
||||
80/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
443/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
123/udp (v6) ALLOW OUT Anywhere (v6)
|
||||
11371/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
-------------------
|
||||
# IPv6 rules:
|
||||
Anywhere (v6) on lo ALLOW Anywhere (v6)
|
||||
Anywhere (v6) DENY ::1
|
||||
22/tcp (v6) ALLOW Anywhere (v6)
|
||||
Anywhere (v6) ALLOW OUT Anywhere (v6) on lo
|
||||
53 (v6) ALLOW OUT Anywhere (v6)
|
||||
80/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
443/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
123/udp (v6) ALLOW OUT Anywhere (v6)
|
||||
11371/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
######################################
|
||||
{"3.4.1.5. Cấu hình chính sách từ chối mặc định cho ufw" : "PASSED"}
|
||||
{"3.4.2.2. Cấu hình vô hiệu hoá ufw, nftables khi sử dụng iptables" : "PASSED"}
|
||||
{"3.4.2.3. Cấu hình iptables loopback traffic" : "PASSED"}
|
||||
{"3.4.2.4. Cấu hình iptables rule cho tất cả các port và protocol đang mở" : "PASSED"}
|
||||
{"3.4.2.5. Cấu hình chính sách từ chối mặc định cho iptables" : "PASSED"}
|
||||
{"4.1.1.1. Cấu hình kích hoạt rsyslog service" : "PASSED"}
|
||||
{"4.1.1.2. Phân quyền đối với file log sinh ra từ rsyslog" : "PASSED"}
|
||||
{"4.1.1.3. Cấu hình lưu trữ log sinh ra từ rsyslog tập trung" : "FAILED"}
|
||||
######################################
|
||||
# Chỉnh sửa file /etc/rsyslog.conf và /etc/rsyslog.d/*.conf và thêm vào 1 trong các dòng sau:
|
||||
# <files to sent to the remote log server> action(type="omfwd" target="<FQDN or ip of loghost>" port="<port number>" protocol="tcp" action.resumeRetryCount="<number of re-tries>" queue.type="LinkedList" queue.size=<number of messages to queue>") # Hoặc
|
||||
# *.* @@< FQDN or ip of loghost >
|
||||
# Thực hiện câu lệnh sau để khởi động lại rsyslog:
|
||||
# systemctl restart rsyslog
|
||||
-------------------
|
||||
#grep -E '^\h*([^#]+\s+)?action\(([^#]+\s+)?\btarget=\?[^#"]+\?\b' /etc/rsyslog.conf /etc/rsyslog.d/*.conf 2>/dev/null -ne 0
|
||||
######################################
|
||||
|
||||
######################################
|
||||
{"4.1.1.4. Phân quyền đối với tất cả các file log" : "PASSED"}
|
||||
{"4.1.2. Phân quyền đối với tất cả các file log" : "PASSED"}
|
||||
{"5.1.1. Cấu hình kích hoạt cron daemon" : "PASSED"}
|
||||
{"5.1.2. Cấu hình phân quyền cho file /etc/crontab" : "PASSED"}
|
||||
{"5.1.3. Cấu hình phân quyền cho file /etc/cron.hourly" : "PASSED"}
|
||||
{"5.1.4. Cấu hình phân quyền cho file /etc/cron.daily" : "PASSED"}
|
||||
{"5.1.5. Cấu hình phân quyền cho file /etc/cron.weekly" : "PASSED"}
|
||||
{"5.1.6. Cấu hình phân quyền cho của file /etc/cron.monthly" : "PASSED"}
|
||||
{"5.1.7. Cấu hình phân quyền cho file /etc/cron.d" : "PASSED"}
|
||||
{"5.1.8. Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền" : "PASSED"}
|
||||
{"5.2.1. Cấu hình phân quyền cho file /etc/ssh/sshd_config" : "PASSED"}
|
||||
{"5.2.2. Cấu hình phân quyền cho các file SSH private host key" : "PASSED"}
|
||||
{"5.2.3. Cấu hình phân quyền cho các file SSH public host key" : "PASSED"}
|
||||
{"5.2.4. Cấu hình giới hạn truy cập cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.5. Cấu hình LogLevel cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.6. Cấu hình sử dụng SSH PAM" : "PASSED"}
|
||||
{"5.2.7. Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.8. Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.9. Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.10. Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.11. Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.12. Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.13. Cấu hình sử dụng các thuật toán mã hoá được cho phép" : "PASSED"}
|
||||
{"5.2.14. Cấu hình các thuật toán MAC được cho phép" : "PASSED"}
|
||||
{"5.2.15. Cấu hình thuật toán trao đổi khoá được cho phép" : "PASSED"}
|
||||
{"5.2.16. Cấu hình vô hiệu hoá SSH AllowTcpForwarding" : "PASSED"}
|
||||
{"5.2.17. Cấu hình cảnh báo SSH" : "PASSED"}
|
||||
{"5.2.18. Cấu hình SSH MaxAuthTries" : "PASSED"}
|
||||
{"5.2.19. Cấu hình SSH MaxStartups" : "PASSED"}
|
||||
{"5.2.20. Cấu hình SSH MaxSessions" : "PASSED"}
|
||||
{"5.2.21. Cấu hình SSH LoginGraceTime" : "PASSED"}
|
||||
{"5.2.22. Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH" : "PASSED"}
|
||||
{"5.3.1. Cấu hình điều kiện tạo mật khẩu" : "PASSED"}
|
||||
{"5.3.2. Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại" : "PASSED"}
|
||||
{"5.3.3. Giới hạn việc sử dụng lại mật khẩu" : "PASSED"}
|
||||
{"5.3.4. Cấu hình thuật toán hash mật khẩu mạnh" : "FAILED"}
|
||||
######################################
|
||||
# Đối với phiên bản 22.04 trở lên:
|
||||
# Chỉnh sửa file /etc/pam.d/common-password đảm bảo rằng không có bất cứ thuật toán hash nào được cấu hình trong pam_unix.so như dưới đây:
|
||||
# password [success=1 default=ignore] pam_unix.so remember=5
|
||||
# Thêm hoặc chỉnh sửa ENCRYPT_METHOD trong file /etc/login.defs như sau:
|
||||
# ENCRYPT_METHOD yescrypt
|
||||
# Đối với phiên bản 20.04 trở về trước: Chỉnh sửa file /etc/pam.d/common-password để có tuỳ chọn sha512 cho pam_unix.so như dưới đây:
|
||||
# password [success=1 default=ignore] pam_unix.so sha512 remember=5
|
||||
-------------------
|
||||
#grep -P "^\h*password\h*\[success=1 default=ignore\]\h*pam_unix.so.*sha512" /etc/pam.d/common-password -ne 0
|
||||
-------------------
|
||||
#grep -v ^# /etc/pam.d/common-password | grep -E "(yescrypt|md5|bigcrypt|sha256|sha512|blowfish)" -eq 0
|
||||
password [success=1 default=ignore] pam_unix.so obscure use_authtok try_first_pass yescrypt
|
||||
######################################
|
||||
{"5.4.1.1. Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu" : "PASSED"}
|
||||
{"5.4.1.2. Cấu hình thời gian hết hạn sử dụng mật khẩu" : "PASSED"}
|
||||
{"5.4.1.3. Cấu hình thời gian cảnh báo mật khẩu hết hạn" : "PASSED"}
|
||||
{"5.4.1.4. Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn" : "PASSED"}
|
||||
{"5.4.1.5. Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ" : "PASSED"}
|
||||
{"5.4.2. Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống" : "PASSED"}
|
||||
{"5.4.3. Cấu hình group mặc định của tài khoản root" : "PASSED"}
|
||||
{"5.4.4. Cấu hình user umask mặc định" : "PASSED"}
|
||||
{"5.4.5. Cấu hình shell timeout mặc định" : "PASSED"}
|
||||
{"5.4.6. Cấu hình hạn chế truy cập cho câu lệnh su" : "PASSED"}
|
||||
{"6.1.1. Cấu hình phân quyền cho file /etc/passwd" : "PASSED"}
|
||||
{"6.1.2. Cấu hình phân quyền cho file /etc/shadow" : "PASSED"}
|
||||
{"6.1.3. Cấu hình phân quyền cho file /etc/group" : "PASSED"}
|
||||
{"6.1.4. Cấu hình phân quyền cho file /etc/gshadow" : "PASSED"}
|
||||
{"6.1.5. Cấu hình phân quyền cho file /etc/passwd-" : "PASSED"}
|
||||
{"6.1.6. Cấu hình phân quyền cho file /etc/shadow-" : "PASSED"}
|
||||
{"6.1.7. Cấu hình phân quyền cho file /etc/group-" : "PASSED"}
|
||||
{"6.1.8. Cấu hình phân quyền cho file /etc/gshadow-" : "PASSED"}
|
||||
{"6.1.9. Đảm bảo không có file world-writable tồn tại" : "PASSED"}
|
||||
{"6.1.10. Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại" : "PASSED"}
|
||||
{"6.1.11. Đảm bảo các file hoặc thư mục không có nhóm không tồn tại" : "PASSED"}
|
||||
{"6.2.1. Cấu hình tài khoản trong /etc/passwd sử dụng shadowed passwords" : "PASSED"}
|
||||
{"6.2.2. Đảm bảo trường mật khẩu không để trống" : "FAILED"}
|
||||
######################################
|
||||
# Nếu có tài khoản nào trong file /etc/shadow không có mật khẩu, thực hiện câu lệnh sau để khoá tài khoản đến khi xác định được nguyên nhân tài khoản đó không có mật khẩu:
|
||||
# passwd -l <username>
|
||||
# Đồng thời, kiểm tra tài khoản đó được đăng nhập hay chưa và tìm hiểu xem tài khoản đó được sử dụng với mục đích gì để nếu nó cần phải bị xóa.
|
||||
-------------------
|
||||
#awk -F: '$5==90 && $6==7 {print}' /etc/shadow | awk -F: ' $2=="!" || $2=="" || $2=="!!"{print $1 " " $2}' -eq 0
|
||||
ldnobody !
|
||||
######################################
|
||||
{"6.2.3. Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group" : "PASSED"}
|
||||
{"6.2.4. Đảm bảo shadow group rỗng" : "PASSED"}
|
||||
{"6.2.5. Đảm bảo UID không bị lặp" : "PASSED"}
|
||||
{"6.2.6. Đảm bảo GID không bị lặp" : "PASSED"}
|
||||
{"6.2.7. Đảm bảo tên người dùng không bị lặp" : "PASSED"}
|
||||
{"6.2.8. Đảm bảo tên group không bị lặp" : "PASSED"}
|
||||
{"6.2.9. Đảm bảo tính toàn vẹn cho biến môi trường PATH của root" : "PASSED"}
|
||||
{"6.2.10. Đảm bảo root là tài khoản duy nhất có UID là 0" : "PASSED"}
|
||||
{"6.2.11. Đảm bảo mọi người dùng đều tồn tại thư mục home" : "PASSED"}
|
||||
{"6.2.12. Đảm bảo người dùng sở hữu thư mục home của chính họ" : "PASSED"}
|
||||
{"6.2.13. Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao" : "PASSED"}
|
||||
{"6.2.14. Đảm bảo không người dùng nào có file .netrc" : "PASSED"}
|
||||
{"6.2.15. Đảm bảo không người dùng nào có file .forward" : "PASSED"}
|
||||
{"6.2.16. Đảm bảo không người dùng nào có file .rhosts" : "PASSED"}
|
||||
{"6.2.17. Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other" : "PASSED"}
|
||||
@@ -0,0 +1,464 @@
|
||||
============================================================================
|
||||
THÔNG TIN HỆ THỐNG
|
||||
============================================================================
|
||||
|
||||
Script Version: 2.0.2
|
||||
|
||||
--- Thông tin cơ bản ---
|
||||
Operating System: Ubuntu 24.04.4 LTS
|
||||
Kernel Version: 6.8.0-124-generic
|
||||
Architecture: x86_64
|
||||
Hostname: antt-ksc01
|
||||
FQDN: antt-ksc01.vascloud.vnpt.vn
|
||||
IP Address: 10.144.82.37
|
||||
All IP Addresses: 10.144.82.37
|
||||
Audit Time: 2026-07-16 14:18:53
|
||||
Timezone: Asia/Ho_Chi_Minh
|
||||
Uptime: up 1 week, 1 day, 3 hours, 45 minutes
|
||||
|
||||
--- Thông tin CPU ---
|
||||
CPU Model: Intel(R) Xeon(R) Gold 5220R CPU @ 2.20GHz
|
||||
CPU Cores: 16
|
||||
CPU Architecture: x86_64
|
||||
|
||||
--- Thông tin Memory ---
|
||||
Total Memory: 15Gi
|
||||
Used Memory: 1.5Gi
|
||||
Free Memory: 8.5Gi
|
||||
Swap Total: 15Gi
|
||||
|
||||
--- Thông tin Disk ---
|
||||
Disk Usage:
|
||||
/ 15G used of 482G (4%)
|
||||
/ 15G used of 482G (4%)
|
||||
/ 15G used of 482G (4%)
|
||||
/tmp 0 used of 7.8G (0%)
|
||||
|
||||
--- Thông tin Network Interfaces ---
|
||||
Primary Interface: ens160
|
||||
MAC Address: 00:50:56:9e:6d:4a
|
||||
Default Gateway: 10.144.82.33
|
||||
DNS Servers: 127.0.0.53
|
||||
|
||||
--- Thông tin bổ sung ---
|
||||
AppArmor Status: Enabled
|
||||
UFW Status: Status: active
|
||||
Last Boot: 2026-07-08 10:33
|
||||
Current Users: 3
|
||||
Load Average: 0.20 0.09 0.08
|
||||
Ubuntu Version Detected: 24.04
|
||||
|
||||
============================================================================
|
||||
IPv6 Status: DISABLED (kernel support not available)
|
||||
############################################################################
|
||||
{"1.1.1.1. Cấu hình vô hiệu hoá cramfs filesystem" : "PASSED"}
|
||||
{"1.1.1.2. Cấu hình vô hiệu hoá freevxfs filesystem" : "PASSED"}
|
||||
{"1.1.1.3. Cấu hình vô hiệu hoá hfs filesystem" : "PASSED"}
|
||||
{"1.1.1.4. Cấu hình vô hiệu hoá hfsplus filesystem" : "PASSED"}
|
||||
{"1.1.1.5. Cấu hình vô hiệu hoá jffs2 filesystem" : "PASSED"}
|
||||
{"1.1.1.6. Cấu hình vô hiệu hoá squashfs filesystem" : "PASSED"}
|
||||
{"1.1.1.7. Cấu hình vô hiệu hoá udf filesystem" : "PASSED"}
|
||||
{"1.1.2.1. Cấu hình tuỳ chọn nodev cho phân vùng /tmp" : "PASSED"}
|
||||
{"1.1.2.2. Cấu hình tuỳ chọn nosuid cho phân vùng /tmp" : "PASSED"}
|
||||
{"1.1.2.3. Cấu hình tuỳ chọn noexec cho phân vùng /tmp" : "PASSED"}
|
||||
-------------------
|
||||
# Chỉnh sửa file /etc/fstab và thêm tùy chọn nodev, nosuid, noexec vào trường thứ 4 trong cấu hình của phân vùng /tmp. Ví dụ:
|
||||
# tmpfs /tmp tmpfs defaults,nodev,nosuid,noexec 0 0
|
||||
# Thực hiện các lệnh sau để mount phân vùng /tmp và cập nhật cấu hình fstab:
|
||||
# mount /tmp
|
||||
# mount -o remount /tmp
|
||||
-------------------
|
||||
######################################
|
||||
{"1.1.3.1. Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp" : "PASSED"}
|
||||
{"1.1.3.2. Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp" : "PASSED"}
|
||||
{"1.1.3.3. Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp" : "PASSED"}
|
||||
-------------------
|
||||
# Chỉnh sửa file /etc/fstab và thêm tùy chọn nodev, nosuid, noexec vào trường thứ 4 trong cấu hình của phân vùng /var/tmp. Ví dụ:
|
||||
# tmpfs /var/tmp tmpfs defaults,nodev,nosuid,noexec 0 0
|
||||
# Thực hiện các lệnh sau để mount phân vùng /var/tmp và cập nhật cấu hình fstab:
|
||||
# mount /var/tmp
|
||||
# mount -o remount /var/tmp
|
||||
-------------------
|
||||
######################################
|
||||
{"1.1.4.1. Cấu hình tuỳ chọn nodev cho phân vùng /home" : "PASSED"}
|
||||
{"1.1.4.2. Cấu hình tuỳ chọn nosuid cho phân vùng /home" : "PASSED"}
|
||||
-------------------
|
||||
# Chỉnh sửa file /etc/fstab và thêm tùy chọn nodev, nosuid, noexec vào trường thứ 4 trong cấu hình của phân vùng /home. Ví dụ:
|
||||
# <device> /home <fstype> defaults,nodev,nosuid 0 0
|
||||
# Thực hiện các lệnh sau để cập nhật cấu hình fstab:
|
||||
# mount -o remount /home
|
||||
-------------------
|
||||
######################################
|
||||
{"1.1.5.1. Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm" : "PASSED"}
|
||||
{"1.1.5.2. Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm" : "PASSED"}
|
||||
{"1.1.5.3. Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm" : "PASSED"}
|
||||
-------------------
|
||||
# Chỉnh sửa file /etc/fstab và thêm tùy chọn nodev, nosuid, noexec vào trường thứ 4 trong cấu hình của phân vùng /dev/shm. Ví dụ:
|
||||
# tmpfs /dev/shm tmpfs defaults,nodev,nosuid,noexec 0 0
|
||||
# Thực hiện các lệnh sau để mount phân vùng /dev/shm và cập nhật cấu hình fstab:
|
||||
# mount /dev/shm
|
||||
# mount -o remount /dev/shm
|
||||
-------------------
|
||||
######################################
|
||||
{"1.1.6. Cấu hình sticky bit cho tất cả các thư mục dùng chung" : "PASSED"}
|
||||
{"2.2.2. Cấu hình vô hiệu hoá autofs services" : "PASSED"}
|
||||
{"1.1.8. Cấu hình vô hiệu hoá usb storage" : "PASSED"}
|
||||
{"1.2.1. Kiểm tra cài đặt AIDE" : "PASSED"}
|
||||
{"1.2.2. Cấu hình kiểm tra tính toàn vẹn của filesystem" : "PASSED"}
|
||||
{"1.3.1. Phân quyền đối với file cấu hình bootloader" : "PASSED"}
|
||||
{"1.3.2. Cấu hình xác thực khi truy cập single user mode" : "PASSED"}
|
||||
{"1.3.3. Cấu hình xác thực khi truy cập single user mode" : "PASSED"}
|
||||
{"1.4.1. Cấu hình kích hoạt ASLR (address space layout randomization)" : "PASSED"}
|
||||
{"1.4.2. Cấu hình vô hiệu hoá prelink" : "PASSED"}
|
||||
{"1.4.3. Cấu hình vô hiệu hoá core dump" : "PASSED"}
|
||||
{"1.5.1. Kiểm soát nội dung motd (Message Of The Day)" : "PASSED"}
|
||||
{"1.5.2. Kiểm soát nội dung thông báo khi đăng nhập" : "PASSED"}
|
||||
{"1.5.3. Kiểm soát nội dung thông báo khi đăng nhập từ xa" : "PASSED"}
|
||||
{"1.5.4. Cấu hình phân quyền đối với file /etc/motd" : "PASSED"}
|
||||
######################################
|
||||
{"1.5.5. Cấu hình phân quyền đối với file /etc/issue" : "PASSED"}
|
||||
{"1.5.6. Cấu hình phân quyền đối với file /etc/issue.net" : "PASSED"}
|
||||
{"1.5.7. Kiểm soát nội dung thông báo khi truy cập GNOME" : "PASSED"}
|
||||
{"2.1.1. Cấu hình sử dụng chrony" : "PASSED"}
|
||||
{"2.1.2. Cấu hình sử dụng NTP" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"2.2.1. Cấu hình vô hiệu hoá xinetd services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep xinetd
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled xinetd.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active xinetd.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
#systemctl is-enabled xinetd.service
|
||||
not-found
|
||||
#systemctl is-active xinetd.service
|
||||
inactive
|
||||
{"2.2.3. Cấu hình vô hiệu hoá X window server services" : "PASSED"}
|
||||
{"2.2.4. Cấu hình vô hiệu hoá avahi daemon services" : "PASSED"}
|
||||
{"2.2.5. Cấu hình vô hiệu hoá cups services" : "PASSED"}
|
||||
{"2.2.6. Cấu hình vô hiệu hoá dhcp server services" : "PASSED"}
|
||||
{"2.2.7. Cấu hình vô hiệu hoá ldap server services" : "PASSED"}
|
||||
{"2.2.6. Cấu hình vô hiệu hoá NFS" : "PASSED"}
|
||||
{"2.2.8. Cấu hình vô hiệu hoá dns server services" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"2.2.9. Cấu hình vô hiệu hoá dnsmasq services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#grep -E "\s[7-9].[0-9]" /etc/os-release
|
||||
----------[PASSED]----------
|
||||
#dpkg-query -l dnsmasq
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled dnsmasq.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active dnsmasq.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
PRETTY_NAME="Ubuntu 24.04.4 LTS"
|
||||
NAME="Ubuntu"
|
||||
VERSION_ID="24.04"
|
||||
VERSION="24.04.4 LTS (Noble Numbat)"
|
||||
VERSION_CODENAME=noble
|
||||
ID=ubuntu
|
||||
ID_LIKE=debian
|
||||
HOME_URL="https://www.ubuntu.com/"
|
||||
SUPPORT_URL="https://help.ubuntu.com/"
|
||||
BUG_REPORT_URL="https://bugs.launchpad.net/ubuntu/"
|
||||
PRIVACY_POLICY_URL="https://www.ubuntu.com/legal/terms-and-policies/privacy-policy"
|
||||
UBUNTU_CODENAME=noble
|
||||
LOGO=ubuntu-logo
|
||||
{"2.2.10. Cấu hình vô hiệu hoá ftp server services" : "PASSED"}
|
||||
{"2.2.12. Cấu hình vô hiệu hoá web server services" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"2.2.11. Cấu hình vô hiệu hoá tftp server services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#grep -E "\s[7-9].[0-9]" /etc/os-release
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep tftpd-hpa
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled tftp.socket
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled tftpd-hpa.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active tftp.socket
|
||||
inactive
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active tftpd-hpa.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
{"2.2.13. Cấu hình vô hiệu hoá imap and pop3 server services" : "PASSED"}
|
||||
{"2.2.14. Cấu hình vô hiệu hoá samba file server services" : "PASSED"}
|
||||
{"2.2.15. Cấu hình vô hiệu hoá web proxy server services" : "PASSED"}
|
||||
{"2.2.16. Cấu hình vô hiệu hoá snmp services" : "PASSED"}
|
||||
{"2.2.14. Cấu hình vô hiệu hoá telnetd" : "PASSED"}
|
||||
{"2.2.15. Cấu hình vô hiệu hoá rsh-server" : "PASSED"}
|
||||
{"2.2.18. Cấu hình mail transfer agents sang chế độ local-only" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"2.2.17. Cấu hình vô hiệu hoá nis server services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep ypserv
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled ypserv.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active ypserv.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
#systemctl is-enabled ypserv.service
|
||||
not-found
|
||||
#systemctl is-active ypserv.service
|
||||
inactive
|
||||
|
||||
######################################
|
||||
{"2.2.19. Cấu hình vô hiệu hoá network file system services" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep nfs-kernel-server
|
||||
----------[PASSED]----------
|
||||
#systemctl is-enabled nfs-server.service
|
||||
not-found
|
||||
----------[PASSED]----------
|
||||
#systemctl is-active nfs-server.service
|
||||
inactive
|
||||
----------LOG----------
|
||||
#systemctl is-enabled nfs-server.service
|
||||
not-found
|
||||
#systemctl is-active nfs-server.service
|
||||
inactive
|
||||
{"2.2.20. Cấu hình vô hiệu hoá rsync services" : "PASSED"}
|
||||
{"2.3.1. Cấu hình vô hiệu hoá nis client" : "PASSED"}
|
||||
{"2.3.2. Cấu hình vô hiệu hoá rsh client" : "PASSED"}
|
||||
{"2.3.3. Cấu hình vô hiệu hoá talk client" : "PASSED"}
|
||||
{"2.3.4. Cấu hình vô hiệu hoá telnet client" : "PASSED"}
|
||||
{"2.3.5. Cấu hình vô hiệu hoá ldap client" : "PASSED"}
|
||||
{"2.3.6. Cấu hình vô hiệu hoá rpc" : "PASSED"}
|
||||
{"2.3.7. Cấu hình vô hiệu hoá ftp client" : "PASSED"}
|
||||
----------[PASSED]----------
|
||||
#grep -E "\s[7-9].[0-9]" /etc/os-release
|
||||
----------[PASSED]----------
|
||||
#dpkg -l | grep ftp
|
||||
ii openssh-sftp-server 1:9.6p1-3ubuntu13.16 amd64 secure shell (SSH) sftp server module, for SFTP access from remote machines
|
||||
ii tnftp 20230507-2build3 amd64 enhanced ftp client
|
||||
----------LOG----------
|
||||
|
||||
######################################
|
||||
{"3.1.1. Cấu hình vô hiệu hoá IP forwarding" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.1.2. Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect)" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.1. Cấu hình từ chối các gói tin với nguồn được định tuyến trước" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.2. Cấu hình từ chối các ICMP redirect message" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.3. Cấu hình từ chối các secure ICMP redirect message" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.4. Cấu hình từ chối các gói tin ICMP request broadcast" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.5. Cấu hình bỏ qua phản hồi ICMP không hợp lệ" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.2.6. Cấu hình Reverse Path Filtering" : "PASSED"}
|
||||
|
||||
######################################
|
||||
{"3.3.1. Cấu hình từ chối các gói tin với nguồn được định tuyến trước (Source Routed Packet Acceptance)" : "PASSED"}
|
||||
{"3.3.2. Cấu hình từ chối các ICMP redirect message" : "PASSED"}
|
||||
{"3.3.3. Cấu hình từ chối các secure ICMP redirect message" : "PASSED"}
|
||||
{"3.3.4. Cấu hình từ chối các gói tin ICMP request broadcast" : "PASSED"}
|
||||
{"3.3.5. Cấu hình bỏ qua phản hồi ICMP không hợp lệ" : "PASSED"}
|
||||
{"3.3.6. Cấu hình Reverse Path Filtering" : "PASSED"}
|
||||
{"3.2.7. Cấu hình TCP SYN Cookies" : "PASSED"}
|
||||
{"3.3.8. Cấu hình từ chối IPv6 router advertisements" : "PASSED"}
|
||||
{"3.4.1.1. Cấu hình kích hoạt ufw" : "PASSED"}
|
||||
{"3.4.2.1. Cấu hình kích hoạt Iptables" : "PASSED"}
|
||||
{"3.4.1.2. Cấu hình vô hiệu hoá iptables-persistent, nftables khi sử dụng ufw" : "PASSED"}
|
||||
{"3.4.1.3. Cấu hình ufw loopback traffic" : "PASSED"}
|
||||
{"3.4.1.4. Cấu hình ufw rule cho tất cả các port và protocol đang mở" : "PASSED"}
|
||||
######################################
|
||||
# Các rule UFW hiện tại:
|
||||
-------------------
|
||||
Status: active
|
||||
|
||||
To Action From
|
||||
-- ------ ----
|
||||
[ 1] Anywhere on lo ALLOW IN Anywhere
|
||||
[ 2] Anywhere ALLOW OUT Anywhere on lo (out)
|
||||
[ 3] Anywhere DENY IN 127.0.0.0/8
|
||||
[ 4] 22/tcp ALLOW IN Anywhere
|
||||
[ 5] 53 ALLOW OUT Anywhere (out)
|
||||
[ 6] 80/tcp ALLOW OUT Anywhere (out)
|
||||
[ 7] 443/tcp ALLOW OUT Anywhere (out)
|
||||
[ 8] 123/udp ALLOW OUT Anywhere (out)
|
||||
[ 9] Anywhere (v6) on lo ALLOW IN Anywhere (v6)
|
||||
[10] Anywhere (v6) ALLOW OUT Anywhere (v6) on lo (out)
|
||||
[11] Anywhere (v6) DENY IN ::1
|
||||
[12] 22/tcp (v6) ALLOW IN Anywhere (v6)
|
||||
[13] 53 (v6) ALLOW OUT Anywhere (v6) (out)
|
||||
[14] 80/tcp (v6) ALLOW OUT Anywhere (v6) (out)
|
||||
[15] 443/tcp (v6) ALLOW OUT Anywhere (v6) (out)
|
||||
[16] 123/udp (v6) ALLOW OUT Anywhere (v6) (out)
|
||||
|
||||
-------------------
|
||||
# Inbound rules (ALLOW):
|
||||
Anywhere on lo ALLOW Anywhere
|
||||
22/tcp ALLOW Anywhere
|
||||
Anywhere (v6) on lo ALLOW Anywhere (v6)
|
||||
22/tcp (v6) ALLOW Anywhere (v6)
|
||||
-------------------
|
||||
# Outbound rules (ALLOW OUT):
|
||||
Anywhere ALLOW OUT Anywhere on lo
|
||||
53 ALLOW OUT Anywhere
|
||||
80/tcp ALLOW OUT Anywhere
|
||||
443/tcp ALLOW OUT Anywhere
|
||||
123/udp ALLOW OUT Anywhere
|
||||
Anywhere (v6) ALLOW OUT Anywhere (v6) on lo
|
||||
53 (v6) ALLOW OUT Anywhere (v6)
|
||||
80/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
443/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
123/udp (v6) ALLOW OUT Anywhere (v6)
|
||||
-------------------
|
||||
# IPv6 rules:
|
||||
Anywhere (v6) on lo ALLOW Anywhere (v6)
|
||||
Anywhere (v6) DENY ::1
|
||||
22/tcp (v6) ALLOW Anywhere (v6)
|
||||
Anywhere (v6) ALLOW OUT Anywhere (v6) on lo
|
||||
53 (v6) ALLOW OUT Anywhere (v6)
|
||||
80/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
443/tcp (v6) ALLOW OUT Anywhere (v6)
|
||||
123/udp (v6) ALLOW OUT Anywhere (v6)
|
||||
######################################
|
||||
{"3.4.1.5. Cấu hình chính sách từ chối mặc định cho ufw" : "PASSED"}
|
||||
{"3.4.2.2. Cấu hình vô hiệu hoá ufw, nftables khi sử dụng iptables" : "PASSED"}
|
||||
{"3.4.2.3. Cấu hình iptables loopback traffic" : "PASSED"}
|
||||
{"3.4.2.4. Cấu hình iptables rule cho tất cả các port và protocol đang mở" : "PASSED"}
|
||||
{"3.4.2.5. Cấu hình chính sách từ chối mặc định cho iptables" : "PASSED"}
|
||||
{"4.1.1.1. Cấu hình kích hoạt rsyslog service" : "PASSED"}
|
||||
{"4.1.1.2. Phân quyền đối với file log sinh ra từ rsyslog" : "PASSED"}
|
||||
{"4.1.1.3. Cấu hình lưu trữ log sinh ra từ rsyslog tập trung" : "FAILED"}
|
||||
######################################
|
||||
# Chỉnh sửa file /etc/rsyslog.conf và /etc/rsyslog.d/*.conf và thêm vào 1 trong các dòng sau:
|
||||
# <files to sent to the remote log server> action(type="omfwd" target="<FQDN or ip of loghost>" port="<port number>" protocol="tcp" action.resumeRetryCount="<number of re-tries>" queue.type="LinkedList" queue.size=<number of messages to queue>") # Hoặc
|
||||
# *.* @@< FQDN or ip of loghost >
|
||||
# Thực hiện câu lệnh sau để khởi động lại rsyslog:
|
||||
# systemctl restart rsyslog
|
||||
-------------------
|
||||
#grep -E '^\h*([^#]+\s+)?action\(([^#]+\s+)?\btarget=\?[^#"]+\?\b' /etc/rsyslog.conf /etc/rsyslog.d/*.conf 2>/dev/null -ne 0
|
||||
######################################
|
||||
|
||||
######################################
|
||||
{"4.1.1.4. Phân quyền đối với tất cả các file log" : "PASSED"}
|
||||
{"4.1.2. Phân quyền đối với tất cả các file log" : "PASSED"}
|
||||
{"5.1.1. Cấu hình kích hoạt cron daemon" : "PASSED"}
|
||||
{"5.1.2. Cấu hình phân quyền cho file /etc/crontab" : "PASSED"}
|
||||
{"5.1.3. Cấu hình phân quyền cho file /etc/cron.hourly" : "PASSED"}
|
||||
{"5.1.4. Cấu hình phân quyền cho file /etc/cron.daily" : "PASSED"}
|
||||
{"5.1.5. Cấu hình phân quyền cho file /etc/cron.weekly" : "PASSED"}
|
||||
{"5.1.6. Cấu hình phân quyền cho của file /etc/cron.monthly" : "PASSED"}
|
||||
{"5.1.7. Cấu hình phân quyền cho file /etc/cron.d" : "PASSED"}
|
||||
{"5.1.8. Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền" : "PASSED"}
|
||||
{"5.2.1. Cấu hình phân quyền cho file /etc/ssh/sshd_config" : "PASSED"}
|
||||
{"5.2.2. Cấu hình phân quyền cho các file SSH private host key" : "PASSED"}
|
||||
{"5.2.3. Cấu hình phân quyền cho các file SSH public host key" : "PASSED"}
|
||||
{"5.2.4. Cấu hình giới hạn truy cập cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.5. Cấu hình LogLevel cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.6. Cấu hình sử dụng SSH PAM" : "PASSED"}
|
||||
{"5.2.7. Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.8. Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.9. Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.10. Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.11. Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.12. Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH" : "PASSED"}
|
||||
{"5.2.13. Cấu hình sử dụng các thuật toán mã hoá được cho phép" : "PASSED"}
|
||||
{"5.2.14. Cấu hình các thuật toán MAC được cho phép" : "PASSED"}
|
||||
{"5.2.15. Cấu hình thuật toán trao đổi khoá được cho phép" : "PASSED"}
|
||||
{"5.2.16. Cấu hình vô hiệu hoá SSH AllowTcpForwarding" : "PASSED"}
|
||||
{"5.2.17. Cấu hình cảnh báo SSH" : "PASSED"}
|
||||
{"5.2.18. Cấu hình SSH MaxAuthTries" : "PASSED"}
|
||||
{"5.2.19. Cấu hình SSH MaxStartups" : "PASSED"}
|
||||
{"5.2.20. Cấu hình SSH MaxSessions" : "PASSED"}
|
||||
{"5.2.21. Cấu hình SSH LoginGraceTime" : "PASSED"}
|
||||
{"5.2.22. Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH" : "PASSED"}
|
||||
{"5.3.1. Cấu hình điều kiện tạo mật khẩu" : "PASSED"}
|
||||
{"5.3.2. Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại" : "PASSED"}
|
||||
{"5.3.3. Giới hạn việc sử dụng lại mật khẩu" : "PASSED"}
|
||||
{"5.3.4. Cấu hình thuật toán hash mật khẩu mạnh" : "FAILED"}
|
||||
######################################
|
||||
# Đối với phiên bản 22.04 trở lên:
|
||||
# Chỉnh sửa file /etc/pam.d/common-password đảm bảo rằng không có bất cứ thuật toán hash nào được cấu hình trong pam_unix.so như dưới đây:
|
||||
# password [success=1 default=ignore] pam_unix.so remember=5
|
||||
# Thêm hoặc chỉnh sửa ENCRYPT_METHOD trong file /etc/login.defs như sau:
|
||||
# ENCRYPT_METHOD yescrypt
|
||||
# Đối với phiên bản 20.04 trở về trước: Chỉnh sửa file /etc/pam.d/common-password để có tuỳ chọn sha512 cho pam_unix.so như dưới đây:
|
||||
# password [success=1 default=ignore] pam_unix.so sha512 remember=5
|
||||
-------------------
|
||||
#grep -P "^\h*password\h*\[success=1 default=ignore\]\h*pam_unix.so.*sha512" /etc/pam.d/common-password -ne 0
|
||||
-------------------
|
||||
#grep -v ^# /etc/pam.d/common-password | grep -E "(yescrypt|md5|bigcrypt|sha256|sha512|blowfish)" -eq 0
|
||||
password [success=1 default=ignore] pam_unix.so obscure use_authtok try_first_pass yescrypt
|
||||
######################################
|
||||
{"5.4.1.1. Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu" : "PASSED"}
|
||||
{"5.4.1.2. Cấu hình thời gian hết hạn sử dụng mật khẩu" : "PASSED"}
|
||||
{"5.4.1.3. Cấu hình thời gian cảnh báo mật khẩu hết hạn" : "PASSED"}
|
||||
{"5.4.1.4. Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn" : "PASSED"}
|
||||
{"5.4.1.5. Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ" : "PASSED"}
|
||||
{"5.4.2. Cấu hình vô hiệu hoá đăng nhập bằng tài khoản hệ thống" : "PASSED"}
|
||||
{"5.4.3. Cấu hình group mặc định của tài khoản root" : "PASSED"}
|
||||
{"5.4.4. Cấu hình user umask mặc định" : "PASSED"}
|
||||
{"5.4.5. Cấu hình shell timeout mặc định" : "PASSED"}
|
||||
{"5.4.6. Cấu hình hạn chế truy cập cho câu lệnh su" : "PASSED"}
|
||||
{"6.1.1. Cấu hình phân quyền cho file /etc/passwd" : "PASSED"}
|
||||
{"6.1.2. Cấu hình phân quyền cho file /etc/shadow" : "PASSED"}
|
||||
{"6.1.3. Cấu hình phân quyền cho file /etc/group" : "PASSED"}
|
||||
{"6.1.4. Cấu hình phân quyền cho file /etc/gshadow" : "PASSED"}
|
||||
{"6.1.5. Cấu hình phân quyền cho file /etc/passwd-" : "PASSED"}
|
||||
{"6.1.6. Cấu hình phân quyền cho file /etc/shadow-" : "PASSED"}
|
||||
{"6.1.7. Cấu hình phân quyền cho file /etc/group-" : "PASSED"}
|
||||
{"6.1.8. Cấu hình phân quyền cho file /etc/gshadow-" : "PASSED"}
|
||||
{"6.1.9. Đảm bảo không có file world-writable tồn tại" : "PASSED"}
|
||||
{"6.1.10. Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại" : "PASSED"}
|
||||
{"6.1.11. Đảm bảo các file hoặc thư mục không có nhóm không tồn tại" : "PASSED"}
|
||||
{"6.2.1. Cấu hình tài khoản trong /etc/passwd sử dụng shadowed passwords" : "PASSED"}
|
||||
{"6.2.2. Đảm bảo trường mật khẩu không để trống" : "PASSED"}
|
||||
{"6.2.3. Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group" : "PASSED"}
|
||||
{"6.2.4. Đảm bảo shadow group rỗng" : "PASSED"}
|
||||
{"6.2.5. Đảm bảo UID không bị lặp" : "PASSED"}
|
||||
{"6.2.6. Đảm bảo GID không bị lặp" : "PASSED"}
|
||||
{"6.2.7. Đảm bảo tên người dùng không bị lặp" : "PASSED"}
|
||||
{"6.2.8. Đảm bảo tên group không bị lặp" : "PASSED"}
|
||||
{"6.2.9. Đảm bảo tính toàn vẹn cho biến môi trường PATH của root" : "FAILED"}
|
||||
######################################
|
||||
# Thực hiện đoạn script sau để kiểm tra tính toàn vẹn cho môi trường PATH của root:
|
||||
# RPCV="$(sudo -Hiu root env 2>/dev/null | grep '^PATH=' | cut -d= -f2)"; echo "$RPCV" | grep -q "::" && echo "root's path contains a empty directory (::)"; echo "$RPCV" | grep -q ":$" && echo "root's path contains a trailing (:)" ; for x in $(echo "$RPCV" | tr ":" " "); do if [ -d "$x" ]; then ls -ldH "$x" | awk '$9 == "." {print "PATH contains current working directory (.)"} $3 != "root" {print $9, "is not owned by root"} substr($1,6,1) != "-" {print $9, "is group writable"} substr($1,9,1) != "-" {print $9, "is world writable"}'; else echo "$x is not a directory"; fi; done
|
||||
# Sửa chữa hoặc lý giải kết quả tìm được.
|
||||
-------------------
|
||||
#RPCV="$(sudo -Hiu root env 2>/dev/null | grep '^PATH=' | cut -d= -f2)"; echo "$RPCV" | grep -q "::" && echo "root's path contains a empty directory (::)"; echo "$RPCV" | grep -q ":$" && echo "root's path contains a trailing (:)" ; for x in $(echo "$RPCV" | tr ":" " "); do if [ -d "$x" ]; then ls -ldH "$x" | awk '$9 == "." {print "PATH contains current working directory (.)"} $3 != "root" {print $9, "is not owned by root"} substr($1,6,1) != "-" {print $9, "is group writable"} substr($1,9,1) != "-" {print $9, "is world writable"}'; else echo "$x is not a directory"; fi; done | grep -v "/root/bin" -eq 0
|
||||
/snap/bin is not a directory
|
||||
######################################
|
||||
{"6.2.10. Đảm bảo root là tài khoản duy nhất có UID là 0" : "PASSED"}
|
||||
{"6.2.11. Đảm bảo mọi người dùng đều tồn tại thư mục home" : "PASSED"}
|
||||
{"6.2.12. Đảm bảo người dùng sở hữu thư mục home của chính họ" : "PASSED"}
|
||||
{"6.2.13. Đảm bảo quyền thư mục home của người dùng có mức bảo mật cao" : "FAILED"}
|
||||
######################################
|
||||
# Thực hiện đoạn script sau để đặt quyền cho thư mục home của tất cả người dùng là 750:
|
||||
# awk -F: '($1\!~/(halt|sync|shutdown|nfsnobody)/ && $7\!~/^(\/usr)?\/sbin\/nologin(\/)?$/ && $7\!~/(\/usr)?\/bin\/false(\/)?$/) {print $6}' /etc/passwd | while read -r dir; do if [ -d "$dir" ]; then dirperm=$(stat -L -c "%A" "$dir"); if [ "$(echo "$dirperm" | cut -c6)" != "-" ] || [ "$(echo "$dirperm" | cut -c8)" != "-" ] || [ "$(echo "$dirperm" | cut -c9)" != "-" ] || [ "$(echo "$dirperm" | cut -c10)" != "-" ]; then chmod g-w,o-rwx "$dir"; fi; fi; done
|
||||
-------------------
|
||||
#awk -F: '($1\!~/(halt|sync|shutdown|nfsnobody)/ && $7\!~/^(\/usr)?\/sbin\/nologin(\/)?$/ && $7\!~/(\/usr)?\/bin\/false(\/)?$/) {print $1 " " $6}' /etc/passwd | while read -r user dir; do if [ ! -d "$dir" ]; then echo "User: \"$user\" home directory: \"$dir\" doesn't exist"; else dirperm=$(stat -L -c "%A" "$dir"); if [ "$(echo "$dirperm" | cut -c6)" != "-" ] || [ "$(echo "$dirperm" | cut -c8)" != "-" ] || [ "$(echo "$dirperm" | cut -c9)" != "-" ] || [ "$(echo "$dirperm" | cut -c10)" != "-" ]; then echo "User: \"$user\" home directory: \"$dir\" has permissions: \"$(stat -L -c "%a" "$dir")\""; fi; fi; done -eq 0
|
||||
User: "cicd_to2" home directory: "/home/cicd_to2" has permissions: "755"
|
||||
User: "landesk" home directory: "/opt/landesk" has permissions: "755"
|
||||
######################################
|
||||
{"6.2.14. Đảm bảo không người dùng nào có file .netrc" : "PASSED"}
|
||||
{"6.2.15. Đảm bảo không người dùng nào có file .forward" : "PASSED"}
|
||||
{"6.2.16. Đảm bảo không người dùng nào có file .rhosts" : "PASSED"}
|
||||
{"6.2.17. Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc other" : "PASSED"}
|
||||
+1
File diff suppressed because one or more lines are too long
File diff suppressed because it is too large
Load Diff
@@ -0,0 +1,60 @@
|
||||
#!/bin/bash
|
||||
# Script chẩn đoán và kiểm tra chi tiết điều kiện AIDE (1.3.1 & 1.3.2)
|
||||
|
||||
echo "=========================================================="
|
||||
echo " KIỂM TRA CHẨN ĐOÁN CHI TIẾT AIDE"
|
||||
echo "=========================================================="
|
||||
echo "Thời gian: $(date)"
|
||||
echo "Người dùng chạy script: $(whoami)"
|
||||
echo ""
|
||||
|
||||
echo "--- [BƯỚC 1] Kiểm tra gói phần mềm AIDE (Điều kiện 1.3.1) ---"
|
||||
echo "1.1 Kiểm tra bằng lệnh 'rpm -q aide':"
|
||||
rpm -q aide 2>&1 | sed 's/^/ -> /'
|
||||
if rpm -q aide >/dev/null 2>&1 || rpm -qa | grep -qi "^aide"; then
|
||||
echo " => [PASSED] Gói AIDE đã được cài đặt."
|
||||
else
|
||||
echo " => [FAILED] Gói AIDE chưa được cài đặt."
|
||||
fi
|
||||
echo ""
|
||||
|
||||
echo "--- [BƯỚC 2] Kiểm tra lịch chạy định kỳ (Điều kiện 1.3.2) ---"
|
||||
|
||||
echo "2.1 Kiểm tra 'crontab -l' của user hiện tại ($(whoami)):"
|
||||
crontab -l 2>/dev/null | grep -v "^#" | sed 's/^/ -> /'
|
||||
if crontab -l 2>/dev/null | grep -Eq '^\s*[^#].*\baide\b.*--check'; then
|
||||
echo " => [PASSED] Tìm thấy lệnh chạy AIDE trong crontab hiện tại!"
|
||||
else
|
||||
echo " => [KHÔNG TÌM THẤY] Không khớp lệnh aide --check trong crontab -l."
|
||||
fi
|
||||
echo ""
|
||||
|
||||
echo "2.2 Kiểm tra trong các file hệ thống /etc/crontab và /etc/cron* và /var/spool/cron:"
|
||||
grep -rnE '^\s*[^#].*\baide\b' /etc/cron* /var/spool/cron 2>/dev/null | sed 's/^/ -> /'
|
||||
if grep -rsEq '^\s*[^#].*\baide\b.*--check' /etc/cron* /var/spool/cron 2>/dev/null; then
|
||||
echo " => [PASSED] Tìm thấy lệnh chạy AIDE trong các file cron hệ thống!"
|
||||
else
|
||||
echo " => [KHÔNG TÌM THẤY] Không có lệnh aide --check trong /etc/cron* hoặc /var/spool/cron."
|
||||
fi
|
||||
echo ""
|
||||
|
||||
echo "2.3 Kiểm tra systemd timer cho AIDE:"
|
||||
systemctl list-timers --all 2>/dev/null | grep -i aide | sed 's/^/ -> /'
|
||||
if systemctl is-enabled aidecheck.timer >/dev/null 2>&1 || systemctl is-enabled aide-check.timer >/dev/null 2>&1; then
|
||||
echo " => [PASSED] Tìm thấy systemd timer cho AIDE được kích hoạt!"
|
||||
else
|
||||
echo " => [KHÔNG TÌM THẤY] Không có systemd timer aidecheck."
|
||||
fi
|
||||
echo ""
|
||||
|
||||
echo "=========================================================="
|
||||
echo "--- TỔNG KẾT ĐÁNH GIÁ 1.3.2 ---"
|
||||
if (crontab -l 2>/dev/null | grep -Eq '^\s*[^#].*\baide\b.*--check') || \
|
||||
grep -rsEq '^\s*[^#].*\baide\b.*--check' /etc/cron* /var/spool/cron 2>/dev/null || \
|
||||
systemctl is-enabled aidecheck.timer 2>/dev/null | grep -q "^enabled" || \
|
||||
systemctl is-enabled aide-check.timer 2>/dev/null | grep -q "^enabled"; then
|
||||
echo "=> KẾT QUẢ CUỐI CÙNG: PASSED (Đủ điều kiện 1.3.2)"
|
||||
else
|
||||
echo "=> KẾT QUẢ CUỐI CÙNG: FAILED (Chưa thỏa mãn điều kiện 1.3.2)"
|
||||
fi
|
||||
echo "=========================================================="
|
||||
@@ -0,0 +1,79 @@
|
||||
#!/bin/bash
|
||||
|
||||
echo "=========================================================="
|
||||
echo " TEST SCRIPT: KIỂM TRA LỖI FIREWALL DEFAULT DENY "
|
||||
echo "=========================================================="
|
||||
|
||||
echo "[1] Trạng thái của firewalld theo systemctl:"
|
||||
raw_status=$(systemctl is-active firewalld 2>&1)
|
||||
echo " -> Output trả về: [$raw_status]"
|
||||
|
||||
FIREWALLD_ACTIVE=0
|
||||
if echo "$raw_status" | grep -q "^active"; then
|
||||
FIREWALLD_ACTIVE=1
|
||||
echo " -> Đánh giá: FIREWALLD_ACTIVE = 1 (Đã nhận diện đang chạy)"
|
||||
else
|
||||
echo " -> Đánh giá: FIREWALLD_ACTIVE = 0 (Không nhận diện được firewalld qua systemctl)"
|
||||
fi
|
||||
echo "----------------------------------------------------------"
|
||||
|
||||
echo "[2] Đọc các active zone từ firewall-cmd:"
|
||||
active_zones=$(firewall-cmd --list-all-zones 2>/dev/null | grep "active")
|
||||
if [ -z "$active_zones" ]; then
|
||||
echo " -> KHÔNG TÌM THẤY BẤT KỲ ACTIVE ZONE NÀO! (Hoặc firewall-cmd bị lỗi)"
|
||||
else
|
||||
echo " -> Các zone đang active tìm thấy:"
|
||||
echo "$active_zones" | while read -r line; do
|
||||
echo " - $line"
|
||||
done
|
||||
fi
|
||||
echo "----------------------------------------------------------"
|
||||
|
||||
echo "[3] Phân tích chi tiết qua awk (chế độ DEBUG):"
|
||||
fw_default_deny=$(firewall-cmd --list-all-zones 2>/dev/null | awk '
|
||||
BEGIN {
|
||||
print " [AWK] Bắt đầu đọc output từ firewall-cmd..." > "/dev/stderr"
|
||||
bad=0
|
||||
}
|
||||
/\(active\)/ {
|
||||
in_active=1;
|
||||
print " [AWK] >> Vào active zone: " $0 > "/dev/stderr"
|
||||
next
|
||||
}
|
||||
/^[^ \t\r\n]/ && !/\(active\)/ {
|
||||
if (in_active == 1) {
|
||||
print " [AWK] << Thoát active zone vì gặp dòng: " $0 > "/dev/stderr"
|
||||
}
|
||||
in_active=0
|
||||
}
|
||||
in_active && /target:/ {
|
||||
t = $2
|
||||
gsub(/%%/, "", t)
|
||||
print " [AWK] -- Bắt được target: [" t "]" > "/dev/stderr"
|
||||
if (t != "DROP" && t != "REJECT") {
|
||||
print " [AWK] -- [!] PHÁT HIỆN VI PHẠM: [" t "] không phải là DROP hay REJECT" > "/dev/stderr"
|
||||
bad=1
|
||||
} else {
|
||||
print " [AWK] -- [v] ĐẠT: [" t "] hợp lệ" > "/dev/stderr"
|
||||
}
|
||||
}
|
||||
END {
|
||||
print " [AWK] Kết thúc phân tích. Giá trị biến bad = " bad > "/dev/stderr"
|
||||
print (bad ? "0" : "1")
|
||||
}
|
||||
')
|
||||
|
||||
echo "----------------------------------------------------------"
|
||||
echo "[4] TỔNG HỢP KẾT QUẢ:"
|
||||
echo " -> Giá trị biến fw_default_deny: [$fw_default_deny]"
|
||||
|
||||
if [ "$FIREWALLD_ACTIVE" -eq 1 ]; then
|
||||
if [ "$fw_default_deny" = "1" ]; then
|
||||
echo " -> KẾT QUẢ CUỐI CÙNG: PASSED (Đạt chuẩn)"
|
||||
else
|
||||
echo " -> KẾT QUẢ CUỐI CÙNG: FAILED (Vi phạm)"
|
||||
fi
|
||||
else
|
||||
echo " -> KẾT QUẢ CUỐI CÙNG: FAILED (Bị fail ngay từ bước check firewalld active)"
|
||||
fi
|
||||
echo "=========================================================="
|
||||
@@ -0,0 +1,286 @@
|
||||
"""
|
||||
Windows Audit Hardening Tool - v2.0
|
||||
Usage: AuditTool.exe -p audit_cis_windows.ps1.enc
|
||||
AuditTool.exe (uses bundled .enc file)
|
||||
|
||||
Build: python -m PyInstaller --onefile --console -n AuditTool ^
|
||||
--add-data "audit_cis_windows.ps1.enc;." ^
|
||||
windows_audit.py
|
||||
|
||||
Environment: Python 3.8+ (3.8 for Windows Server 2012 compatibility)
|
||||
"""
|
||||
|
||||
import argparse
|
||||
import base64
|
||||
import os
|
||||
import socket
|
||||
import subprocess
|
||||
import sys
|
||||
import tempfile
|
||||
import traceback
|
||||
|
||||
from Crypto.Cipher import PKCS1_OAEP, AES
|
||||
from Crypto.PublicKey import RSA
|
||||
from Crypto.Util.Padding import unpad
|
||||
from colorama import Fore, init as colorama_init
|
||||
from unidecode import unidecode
|
||||
|
||||
|
||||
# ----------------------------------------------------------
|
||||
# Globals
|
||||
# ----------------------------------------------------------
|
||||
colorama_init(strip=False, autoreset=True)
|
||||
|
||||
HOSTNAME = socket.gethostname()
|
||||
try:
|
||||
IP_ADDR = socket.gethostbyname(HOSTNAME)
|
||||
except Exception:
|
||||
IP_ADDR = "127.0.0.1"
|
||||
|
||||
AES_KEY_B64 = "fb8MH7yIuVUeCp5W4S9cKFtsHaxXIP/zvkO36wNNcO4="
|
||||
BUNDLED_ENC = "audit_cis_windows.ps1.enc"
|
||||
PUBLIC_KEY_FILE = "public_key.pem"
|
||||
|
||||
BANNER = r"""
|
||||
_ _ _____ _____ _______ _ _ _____ _____ ______ _ _ _____ _ _ _____
|
||||
/\ | | | | __ \_ _|__ __| | | | | /\ | __ \| __ \| ____| \ | |_ _| \ | |/ ____|
|
||||
/ \ | | | | | | || | | | ______ | |__| | / \ | |__) | | | | |__ | \| | | | | \| | | __
|
||||
/ /\ \| | | | | | || | | | |______| | __ | / /\ \ | _ /| | | | __| | . ` | | | | . ` | | |_ |
|
||||
/ ____ \ |__| | |__| || |_ | | | | | |/ ____ \| | \ \| |__| | |____| |\ |_| |_| |\ | |__| |
|
||||
/_/ \_\____/|_____/_____| |_| |_| |_/_/ \_\_| \_\_____/|______|_| \_|_____|_| \_|\_____|
|
||||
"""
|
||||
|
||||
|
||||
# ----------------------------------------------------------
|
||||
# Path resolution (supports PyInstaller bundle)
|
||||
# ----------------------------------------------------------
|
||||
def resource_path(relative_path):
|
||||
"""Get absolute path to resource, works for dev and PyInstaller."""
|
||||
if getattr(sys, "frozen", False):
|
||||
base = sys._MEIPASS
|
||||
else:
|
||||
base = os.path.dirname(os.path.abspath(__file__))
|
||||
return os.path.join(base, relative_path)
|
||||
|
||||
|
||||
def resolve_enc_path(user_path=None):
|
||||
"""
|
||||
Resolve the .enc file path.
|
||||
Priority: user-supplied arg > bundled file > same-dir file.
|
||||
Returns absolute path or None.
|
||||
"""
|
||||
if user_path:
|
||||
if os.path.isfile(user_path):
|
||||
return os.path.abspath(user_path)
|
||||
print(Fore.YELLOW + "[WARNING] Provided path not found: {}".format(user_path) + Fore.RESET)
|
||||
|
||||
# Try PyInstaller bundled location
|
||||
bundled = resource_path(BUNDLED_ENC)
|
||||
if os.path.isfile(bundled):
|
||||
return bundled
|
||||
|
||||
# Try same directory
|
||||
same_dir = os.path.join(os.getcwd(), BUNDLED_ENC)
|
||||
if os.path.isfile(same_dir):
|
||||
return same_dir
|
||||
|
||||
return None
|
||||
|
||||
|
||||
def resolve_public_key():
|
||||
"""Find public_key.pem - bundled, same dir, or current dir."""
|
||||
for loc in [
|
||||
resource_path(PUBLIC_KEY_FILE),
|
||||
os.path.join(os.getcwd(), PUBLIC_KEY_FILE),
|
||||
]:
|
||||
if os.path.isfile(loc):
|
||||
return loc
|
||||
return None
|
||||
|
||||
|
||||
# ----------------------------------------------------------
|
||||
# Crypto helpers
|
||||
# ----------------------------------------------------------
|
||||
def decrypt_aes(file_path, key_b64):
|
||||
"""Decrypt an AES-ECB (PKCS7 padded) encrypted file."""
|
||||
key = base64.b64decode(key_b64)
|
||||
with open(file_path, "rb") as fh:
|
||||
ct = fh.read()
|
||||
cipher = AES.new(key, AES.MODE_ECB)
|
||||
padded = cipher.decrypt(ct)
|
||||
data = unpad(padded, AES.block_size, style="pkcs7")
|
||||
return data.decode("utf-8")
|
||||
|
||||
|
||||
def encrypt_output_rsa(content):
|
||||
"""Encrypt output with RSA-OAEP; fall back to plaintext if no key."""
|
||||
pk_path = resolve_public_key()
|
||||
if pk_path is None:
|
||||
return "PLAINTEXT:" + content
|
||||
try:
|
||||
pub_key = RSA.import_key(open(pk_path, "rb").read())
|
||||
cipher = PKCS1_OAEP.new(pub_key)
|
||||
raw = content.encode("utf-8")
|
||||
block_size = 190
|
||||
ciphertext = b""
|
||||
for i in range(0, len(raw), block_size):
|
||||
ciphertext += cipher.encrypt(raw[i : i + block_size])
|
||||
return base64.b64encode(ciphertext).decode("utf-8")
|
||||
except Exception as e:
|
||||
print(Fore.YELLOW + "[WARNING] RSA encrypt failed: {}".format(e) + Fore.RESET)
|
||||
return "PLAINTEXT:" + content
|
||||
|
||||
|
||||
# ----------------------------------------------------------
|
||||
# PowerShell runner
|
||||
# ----------------------------------------------------------
|
||||
def run_powershell_script(script_content, timeout_sec=600):
|
||||
"""
|
||||
Write script to temp .ps1 file, execute via 'powershell -File',
|
||||
return (stdout, stderr, returncode).
|
||||
"""
|
||||
tmp_path = None
|
||||
try:
|
||||
fd, tmp_path = tempfile.mkstemp(suffix=".ps1", prefix="audit_")
|
||||
with os.fdopen(fd, "w", encoding="utf-8") as fh:
|
||||
fh.write(script_content)
|
||||
|
||||
proc = subprocess.run(
|
||||
[
|
||||
"powershell.exe",
|
||||
"-NoProfile",
|
||||
"-ExecutionPolicy", "Bypass",
|
||||
"-File", tmp_path,
|
||||
],
|
||||
capture_output=True,
|
||||
text=True,
|
||||
timeout=timeout_sec,
|
||||
encoding="utf-8",
|
||||
errors="replace",
|
||||
)
|
||||
return proc.stdout, proc.stderr, proc.returncode
|
||||
except subprocess.TimeoutExpired:
|
||||
return "", "PowerShell execution timed out ({}s)".format(timeout_sec), -1
|
||||
except Exception:
|
||||
return "", traceback.format_exc(), -1
|
||||
finally:
|
||||
if tmp_path and os.path.exists(tmp_path):
|
||||
try:
|
||||
os.remove(tmp_path)
|
||||
except Exception:
|
||||
pass
|
||||
|
||||
|
||||
# ----------------------------------------------------------
|
||||
# Output parsing
|
||||
# ----------------------------------------------------------
|
||||
def extract_audit_info(output):
|
||||
"""Extract hostname + timestamp from audit output lines."""
|
||||
hostname = HOSTNAME
|
||||
timestamp = "unknown"
|
||||
for line in output.splitlines():
|
||||
if line.startswith("Hostname:"):
|
||||
val = line.replace("Hostname:", "").strip()
|
||||
hostname = val if val else HOSTNAME
|
||||
elif line.startswith("Time:"):
|
||||
val = line.replace("Time:", "").strip()
|
||||
timestamp = val.replace("-", "_").replace(":", "_").replace(" ", "-") if val else "unknown"
|
||||
return hostname, timestamp
|
||||
|
||||
|
||||
def count_pass_fail(output):
|
||||
"""Count PASSED/FAILED from JSON lines."""
|
||||
passed = failed = 0
|
||||
for line in output.splitlines():
|
||||
line = line.strip()
|
||||
if line.startswith("{") and line.endswith("}"):
|
||||
if '"PASSED"' in line or "'PASSED'" in line:
|
||||
passed += 1
|
||||
elif '"FAILED"' in line or "'FAILED'" in line:
|
||||
failed += 1
|
||||
return passed, failed
|
||||
|
||||
|
||||
# ----------------------------------------------------------
|
||||
# Main audit flow
|
||||
# ----------------------------------------------------------
|
||||
def run_audit(enc_path=None):
|
||||
"""Decrypt .enc, run PowerShell audit, encrypt+save results."""
|
||||
print(Fore.BLUE + BANNER + Fore.RESET)
|
||||
print(Fore.RED + "Running Audit Hardening v2.0" + Fore.RESET)
|
||||
print(" Hostname : {}".format(HOSTNAME))
|
||||
print(" IP : {}".format(IP_ADDR))
|
||||
print("-" * 70)
|
||||
|
||||
# Step 0 – Resolve input file
|
||||
enc_path = resolve_enc_path(enc_path)
|
||||
if enc_path is None:
|
||||
print(Fore.RED + "ERROR: No .enc file found.")
|
||||
print(" Provide path: AuditTool.exe -p audit_cis_windows.ps1.enc")
|
||||
print(" Or place {} in the same directory.".format(BUNDLED_ENC) + Fore.RESET)
|
||||
return
|
||||
|
||||
print(" Source : {}".format(enc_path))
|
||||
|
||||
# Step 1 – Decrypt
|
||||
print(" [1/4] Decrypting...")
|
||||
try:
|
||||
ps_content = decrypt_aes(enc_path, AES_KEY_B64)
|
||||
except Exception as e:
|
||||
print(Fore.RED + " FAILED: {}".format(e) + Fore.RESET)
|
||||
return
|
||||
print(" [1/4] OK - {} bytes".format(len(ps_content)))
|
||||
|
||||
# Step 2 – Execute PowerShell
|
||||
print(" [2/4] Running PowerShell...")
|
||||
stdout, stderr, rc = run_powershell_script(ps_content)
|
||||
if rc != 0:
|
||||
print(Fore.YELLOW + " [2/4] PowerShell rc={}: {}".format(rc, (stderr or "")[:200]) + Fore.RESET)
|
||||
else:
|
||||
print(" [2/4] OK - {} output lines".format(len(stdout.splitlines())))
|
||||
|
||||
# Step 3 – Combine
|
||||
full_output = stdout
|
||||
if stderr:
|
||||
full_output += "\n[STDERR]\n" + stderr
|
||||
if not full_output.strip():
|
||||
print(Fore.RED + "ERROR: No output from PowerShell" + Fore.RESET)
|
||||
return
|
||||
|
||||
passed, failed = count_pass_fail(full_output)
|
||||
print(" [3/4] Audit: {} PASSED / {} FAILED".format(passed, failed))
|
||||
|
||||
# Step 4 – Encrypt & save
|
||||
hostname_out, timestamp = extract_audit_info(stdout)
|
||||
out_filename = "{}_{}.txt.enc".format(hostname_out, timestamp)
|
||||
print(" [4/4] Encrypting -> {}".format(out_filename))
|
||||
|
||||
encrypted = encrypt_output_rsa(full_output)
|
||||
with open(out_filename, "w", encoding="utf-8") as fh:
|
||||
fh.write(encrypted)
|
||||
|
||||
if os.path.isfile(out_filename):
|
||||
print(Fore.GREEN + "=" * 70 + Fore.RESET)
|
||||
print(Fore.GREEN + " SUCCESS: {} | {} PASS / {} FAIL".format(
|
||||
out_filename, passed, failed) + Fore.RESET)
|
||||
print(Fore.GREEN + "=" * 70 + Fore.RESET)
|
||||
else:
|
||||
print(Fore.RED + " FAILED: Could not write output file" + Fore.RESET)
|
||||
|
||||
|
||||
# ----------------------------------------------------------
|
||||
# CLI
|
||||
# ----------------------------------------------------------
|
||||
def main():
|
||||
parser = argparse.ArgumentParser(description="Audit Hardening v2.0")
|
||||
parser.add_argument(
|
||||
"-p", "--path",
|
||||
help="Path to encrypted .ps1.enc file (optional if bundled or in same dir)",
|
||||
default=None,
|
||||
)
|
||||
return parser.parse_args()
|
||||
|
||||
|
||||
if __name__ == "__main__":
|
||||
args = main()
|
||||
run_audit(args.path)
|
||||
Reference in New Issue
Block a user