dunglh/audit-web
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

v2.3

Browse Source
This commit is contained in:
Luftmensch
2026-08-26 14:11:37 +07:00
commit e528419f9a
135 changed files with 413970 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files
audit_check_script/Checklist/checklist_update.csv
+236
View File
@@ -0,0 +1,236 @@
STT,Hạng mục đánh giá,Unnamed: 2,Unnamed: 3,Unnamed: 4
,,KẾT QUẢ,,
,,,,
,,Đạt,Không,
2.1,Thiết lập ban đầu,,,
2.1.1,Cấu hình filesystem,,,
2.1.1.1,"Cấu hình vô hiệu hoá cramfs, freevxfs, jffs2, hfs, hfsplus, squashfs, udf filesystem",,,
,Cấu hình vô hiệu hoá cramfs filesystem,,,
,Cấu hình vô hiệu hoá freevxfs filesystem,,,
,Cấu hình vô hiệu hoá hfs filesystem,,,
,Cấu hình vô hiệu hoá hfsplus filesystem,,,
,Cấu hình vô hiệu hoá jffs2 filesystem,,,
,Cấu hình vô hiệu hoá squashfs filesystem,,,
,Cấu hình vô hiệu hoá udf filesystem,,,
,Cấu hình vô hiệu hoá usb storage,,,
,Cấu hình phân vùng /tmp,,,
2.1.1.2,Cấu hình tuỳ chọn nodev cho phân vùng /tmp,,,
2.1.1.3,Cấu hình tuỳ chọn nosuid cho phân vùng /tmp,,,
2.1.1.4,Cấu hình tuỳ chọn noexec cho phân vùng /tmp,,,
,Cấu hình phân vùng /var/tmp,,,
2.1.1.5,Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp,,,
2.1.1.6,Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp,,,
2.1.1.7,Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp,,,
,Cấu hình phân vùng /home,,,
2.1.1.8,Cấu hình tuỳ chọn nodev cho phân vùng /home,,,
,Cấu hình phân vùng /dev/shm,,,
2.1.1.9,Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm,,,
2.1.1.10,Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm,,,
2.1.1.11,Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm,,,
2.1.1.12,Cấu hình sticky bit cho tất cả các thư mục dùng chung,,,
2.1.1.13,Cấu hình vô hiệu hoá automounting,,,
2.1.2,Cấu hình sudo (áp dụng dành riêng cho Ubuntu),,,
2.1.2.1,Kiểm tra việc cài đặt sudo,,,
2.1.2.2,Cấu hình các lệnh sudo sử dụng pty,,,
2.1.2.3,Đảm bảo file nhật ký của sudo tồn tại,,,
2.1.3,Cấu hình cập nhật phần mềm,,,
2.1.3.1,Cấu hình kích hoạt gpgcheck,,,
2.1.4,Kiểm tra tính toàn vẹn của filesystem,,,
2.1.4.1,Kiểm tra việc cài đặt AIDE,,,
2.1.4.2,Cấu hình kiểm tra tính toàn vẹn của filesystem,,,
2.1.5,Cấu hình khởi động an toàn,,,
2.1.5.1,Phân quyền đối với file cấu hình bootloader,,,
2.1.5.2,Cấu hình mật khẩu cho bootloader,,,
2.1.5.3,Cấu hình xác thực khi truy cập single user mode,,,
2.1.5.4,Cấu hình vô hiệu hoá interactive boot,,,
2.1.6,Additional Process Hardening,,,
2.1.6.1,Cấu hình kiểm soát core dump,,,
2.1.6.2,Cấu hình kích hoạt ASLR (address space layout randomization),,,
2.1.6.3,Cấu hình vô hiệu hoá prelink,,,
2.1.7,Kiểm soát nội dung cảnh báo,,,
2.1.7.1,Kiểm soát nội dung motd (Message Of The Day),,,
2.1.7.2,Kiểm soát nội dung thông báo khi đăng nhập,,,
2.1.7.3,Kiểm soát nội dung thông báo khi đăng nhập từ xa,,,
2.1.7.4,Cấu hình phân quyền đối với file /etc/motd,,,
2.1.7.5,Cấu hình phân quyền đối với file /etc/issue,,,
2.1.7.6,Cấu hình phân quyền đối với file /etc/issue.net,,,
2.1.7.7,Kiểm soát nội dung thông báo khi truy cập GNOME,,,
2.2,Service,,,
2.2.1, Cấu hình inetd Service,,,
2.2.1.1,"Cấu hình vô hiệu hoá chargen service, daytime service,",,,
,"discard service, echo service, time service, rsh, talk service, telnet, tftp, rsync, xinetd.",,,
2.2.2,Các Service với mục đích riêng biệt,,,
2.2.2.1,Cấu hình sử dụng NTP,,,
2.2.2.2,Cấu hình sử dụng chrony,,,
2.2.2.3,"Cấu hình vô hiệu hoá X window, Avahi, CUPS, DHCP, LDAP, NFS, RPC, DNS , FTP, HTTP, POP3, IMAP, Samba, HTTP Proxy, SNMP, NIS",,,
,Cấu hình vô hiệu hoá xinetd services,,,
,Cấu hình vô hiệu hoá autofs services,,,
,Cấu hình vô hiệu hoá X window server services,,,
,Cấu hình vô hiệu hoá avahi daemon services,,,
,Cấu hình vô hiệu hoá cups services,,,
,Cấu hình vô hiệu hoá dhcp server services,,,
,Cấu hình vô hiệu hoá ldap server services,,,
,Cấu hình vô hiệu hoá dns server services,,,
,Cấu hình vô hiệu hoá dnsmasq services,,,
,Cấu hình vô hiệu hoá ftp server services,,,
,Cấu hình vô hiệu hoá tftp server services,,,
,Cấu hình vô hiệu hoá web server services,,,
,Cấu hình vô hiệu hoá imap and pop3 server services,,,
,Cấu hình vô hiệu hoá samba file server services,,,
,Cấu hình vô hiệu hoá web proxy server services,,,
,Cấu hình vô hiệu hoá snmp services,,,
,Cấu hình vô hiệu hoá nis server services,,,
,Cấu hình vô hiệu hoá network file system services,,,
,Cấu hình vô hiệu hoá rsync services,,,
2.2.2.4,Cấu hình mail transfer agents sang chế độ local-only,,,
2.2.3,Service Clients,,,
2.2.3.1,"Cấu hình xoá bỏ NIS client, rsh client, talk client, telnet client, LDAP client",,,
,Cấu hình vô hiệu hoá nis client,,,
,Cấu hình vô hiệu hoá rsh client,,,
,Cấu hình vô hiệu hoá talk client,,,
,Cấu hình vô hiệu hoá telnet client,,,
,Cấu hình vô hiệu hoá ldap client,,,
,Cấu hình vô hiệu hoá rpc,,,
,Cấu hình vô hiệu hoá ftp client,,,
2.3,Cấu hình mạng,,,
2.3.1,Tham số cấu hình mạng (Host Only),,,
2.3.1.1,Cấu hình vô hiệu hoá IP forwarding,,,
2.3.1.2,Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect),,,
2.3.2,Tham số cấu hình mạng (Host và Router),,,
2.3.2.1,Cấu hình từ chối các gói tin với nguồn được định tuyến trước,,,
2.3.2.2,Cấu hình từ chối các ICMP redirect message,,,
2.3.2.3,Cấu hình từ chối các secure ICMP redirect message,,,
2.3.2.4,Ghi lại các gói tin khả nghi (Suspicious Packets),,,
2.3.2.5,Cấu hình từ chối các gói tin ICMP request broadcast,,,
2.3.2.6,Cấu hình bỏ qua phản hồi ICMP không hợp lệ,,,
2.3.2.7,Cấu hình Reverse Path Filtering,,,
2.3.2.8,Cấu hình TCP SYN Cookies,,,
2.3.3,TCP Wrappers,,,
2.3.3.1,Kiêm tra việc cài đặt TCP Wrappers,,,
2.3.3.2,Cấu hình file /etc/host.allow,,,
2.3.3.3,Cấu hình file /etc/hosts.deny,,,
2.3.3.4,Cấu hình quyền truy cập /etc/hosts.allow,,,
2.3.3.5,Cấu hình quyền truy cập /etc/hosts.deny,,,
2.3.4,Tưởng lửa (áp dụng dành riêng cho ubuntu),,,
2.3.4.1,Cài đặt tưởng lửa mềm (soft firewall),,,
2.3.4.1.1,Cài đặt Firewall package ,,,
2.3.4.2,Cấu hình ufw (UncomplicatedFirewal),,,
2.3.4.2.1,Cấu hình kích hoạt ufw,,,
2.3.4.2.2,Cấu hình chính sách từ chối mặc định của tường lửa,,,
2.3.4.2.3,Cấu hình loopback traffic,,,
2.3.4.3,Cấu hình tường lửa nftable,,,
2.3.4.3.1,Cấu hình tạo ít nhất 1 bảng trong nftable,,,
2.3.4.3.2,Cấu hình các base chain,,,
2.3.4.3.3,Cấu hình loopback traffic,,,
2.3.4.3.4,Cấu hình chính sách từ chối mặc định của tường lửa,,,
2.3.4.3.5,Cấu hình kích hoạt nftable,,,
2.3.4.3.6,Cấu hình nftable rule,,,
2.3.5,Iptables,,,
2.3.5.1,Cấu hình kích hoạt Iptables,,,
2.3.5.2,Cấu hình chính sách từ chối mặc định trên firewall,,,
2.3.5.3,Cấu hình loopback traffic,,,
2.3.5.4,Cấu hình iptables rule cho tất cả các port và protocol đang mở,,,
2.4,Logging và Auditing,,,
2.4.1,Cấu hình logging,,,
2.4.1.1,Cấu hình rsyslog,,,
2.4.1.1.1,Cấu hình kích hoạt rsyslog service,,,
2.4.1.1.2,Phân quyền đối với file log sinh ra từ rsyslog,,,
2.4.1.1.3,Cấu hình lưu trữ log sinh ra từ rsyslog tập trung,,,
2.4.1.2,Phân quyền đối với tất cả các file log,,,
,Áp dụng đối với Centos,,,
2.4.1.2.1,Cấu hình kích hoạt syslog-ng service,,,
2.4.1.2.2,Phân quyền đối với file log sinh ra từ syslog-ng,,,
2.4.1.2.3,Cấu hình lưu trữ log tập trung,,,
2.4.1.3,Cấu hình journald,,,
,Áp dụng riêng cho ubuntu,,,
2.4.1.3.1,Cấu hình journald để gửi file log đến rsyslog,,,
2.4.1.3.2,Cấu hình journald để nén các file log lớn,,,
2.4.1.3.3,Cấu hình journald để viết các logfile vào persistent disk,,,
2.4.1.3.4,Đảm bảo các quyền trên toàn bộ logfile được cấu hình,,,
2.4.1.4,Đảm bảo rsyslog hoặc syslog-ng được cài đặt,,,
2.4.1.5,Phân quyền đối với tất cả các file log,,,
2.5,"Cấu hình truy cập, xác thực và ủy quyền",,,
2.5.1,Cấu hình cron,,,
2.5.1.1,Cấu hình kích hoạt cron daemon,,,
2.5.1.2,Cấu hình phân quyền cho file /etc/crontab,,,
2.5.1.2.1,Cấu hình phân quyền cho file /etc/cron.hourly,,,
2.5.1.3,Cấu hình phân quyền cho file /etc/cron.daily,,,
2.5.1.4,Cấu hình phân quyền cho file /etc/cron.weekly,,,
2.5.1.5,Cấu hình phân quyền cho của file /etc/cron.monthly,,,
2.5.1.6,Cấu hình phân quyền cho file /etc/cron.d,,,
2.5.1.7,Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền,,,
2.5.2,Cấu hình máy chủ SSH,,,
2.5.2.1,Cấu hình quyền cho file /etc/ssh/sshd_config,,,
2.5.2.1.1,Cấu hình quyền cho các file SSH private host,,,
2.5.2.2,Cấu hình quyền cho các file SSH public host key,,,
2.5.2.3,Cấu hình giao thức SSH sử dụng SSHv2,,,
2.5.2.4,Cấu hình LogLevel cho máy chủ SSH,,,
2.5.2.5,Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH,,,
2.5.2.6,Cấu hình SSH MaxAuthTries,,,
2.5.2.7,Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH,,,
2.5.2.8,Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH,,,
2.5.2.9,Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH,,,
2.5.2.10,Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH,,,
2.5.2.11,Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH,,,
2.5.2.12,Cấu hình sử dụng các thuật toán mã hoá được cho phép,,,
2.5.2.13,Cấu hình các thuật toán MAC được cho phép,,,
2.5.2.14,Đảm bảo chỉ có thuật toán trao đổi khóa mạnh được sử dụng,,,
2.5.2.15,Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH,,,
2.5.2.16,Cấu hình SSH LoginGraceTime,,,
2.5.2.17,Cấu hình giới hạn truy cập cho máy chủ SSH,,,
2.5.2.18,Cấu hình cảnh báo SSH,,,
2.5.2.19,Cấu hình sử dụng SSH PAM,,,
2.5.2.20,Cấu hình SSH MaxStartups,,,
2.5.2.21,Cấu hình SSH MaxSessions,,,
2.5.3,Cấu hình PAM,,,
2.5.3.1,Cấu hình điều kiện tạo mật khẩu,,,
2.5.3.2,Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại,,,
2.5.3.3,Giới hạn việc sử dụng lại mật khẩu,,,
2.5.3.4,Cấu hình thuật toán hash mật khẩu mạnh,,,
2.5.4,Cấu hình tài khoản người dùng và môi trường,,,
,Cấu hình mật khẩu người dùng,,,
2.5.4.1,Cấu hình thời gian hết hạn sử dụng mật khẩu,,,
2.5.4.2,Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu,,,
2.5.4.3,Cấu hình thời gian cảnh báo mật khẩu hết hạn,,,
2.5.4.4,Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn,,,
2.5.4.5,Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ,,,
2.5.4.6, Đảm bảo group mặc định của tài khoản root là GID 0,,,
2.5.4.7,Cấu hình tham số user umask mặc định,,,
2.5.4.8,Đảm bảo shell timeout mặc định của người dùng là 900 giây hoặc ít hơn,,,
2.5.4.9,Cấu hình hạn chế truy cập cho câu lệnh su,,,
2.6,System Maintenance,,,
2.6.1,Quyền của file hệ thống,,,
2.6.1.1,"Cấu hình quyền cho file /etc/passwd /etc/shadow, /etc/group,",,,
,"/etc/gshadow, /etc/passwd-, /etc/shadow-, /etc/group-, /etc/gshadow-",,,
,Cấu hình phân quyền cho file /etc/passwd,,,
,Cấu hình phân quyền cho file /etc/shadow,,,
,Cấu hình phân quyền cho file /etc/group,,,
,Cấu hình phân quyền cho file /etc/gshadow,,,
,Cấu hình phân quyền cho file /etc/passwd-,,,
,Cấu hình phân quyền cho file /etc/shadow-,,,
,Cấu hình phân quyền cho file /etc/group-,,,
,Cấu hình phân quyền cho file /etc/gshadow-,,,
,Đảm bảo không có file world-writable tồn tại,,,
2.6.1.2,Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại,,,
2.6.1.3,Đảm bảo các file hoặc thư mục không có nhóm không tồn tại,,,
2.6.2,Thiết lập cho người dùng và nhóm,,,
2.6.2.1,Đảm bảo trường mật khẩu không để trống,,,
2.62.2,"Đảm bảo không có bản ghi chứa ""+"" trong file /etc/passwd",,,
2.6.2.3,Đảm bảo mọi người dùng đều tồn tại thư mục home,,,
2.6.2.4,"Đảm bảo không có bản ghi chứa ""+"" trong file /etc/shadow",,,
2.6.2.5,"Đảm bảo không có bản ghi chứa ""+"" trong file /etc/group",,,
2.6.2.6,Đảm bảo root là tài khoản duy nhất có UID là 0,,,
2.6.2.7,Đảm bảo tính toàn vẹn cho biến môi trường PATH của root,,,
2.6.2.8,Đảm bảo người dùng sở hữu thư mục home của chính họ,,,
2.6.2.9,Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc world-wide,,,
2.6.2.10,Đảm bảo không người dùng nào có file .forward,,,
2.6.2.11,Đảm bảo không người dùng nào có file .netrc,,,
2.6.2.12,Đảm bảo file netrc của người dùng không cấp quyền cho group hoặc other,,,
2.6.2.13,Đảm bảo không người dùng nào có file .rhosts,,,
2.6.2.14,Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group,,,
2.6.2.15,Đảm bảo UID không bị lặp,,,
2.6.2.16,Đảm bảo GID không bị lặp,,,
2.6.2.17,Đảm bảo tên người dùng không bị lặp,,,
2.6.2.18,Đảm bảo tên group không lặp,,,
2.6.2.19,Đảm bảo không có tài khoản trong shadow group,,,
Tổng,,,,
1 STT Hạng mục đánh giá Unnamed: 2 Unnamed: 3 Unnamed: 4
2 KẾT QUẢ
3
4 Đạt Không
5 2.1 Thiết lập ban đầu
6 2.1.1 Cấu hình filesystem
7 2.1.1.1 Cấu hình vô hiệu hoá cramfs, freevxfs, jffs2, hfs, hfsplus, squashfs, udf filesystem
8 Cấu hình vô hiệu hoá cramfs filesystem
9 Cấu hình vô hiệu hoá freevxfs filesystem
10 Cấu hình vô hiệu hoá hfs filesystem
11 Cấu hình vô hiệu hoá hfsplus filesystem
12 Cấu hình vô hiệu hoá jffs2 filesystem
13 Cấu hình vô hiệu hoá squashfs filesystem
14 Cấu hình vô hiệu hoá udf filesystem
15 Cấu hình vô hiệu hoá usb storage
16 Cấu hình phân vùng /tmp
17 2.1.1.2 Cấu hình tuỳ chọn nodev cho phân vùng /tmp
18 2.1.1.3 Cấu hình tuỳ chọn nosuid cho phân vùng /tmp
19 2.1.1.4 Cấu hình tuỳ chọn noexec cho phân vùng /tmp
20 Cấu hình phân vùng /var/tmp
21 2.1.1.5 Cấu hình tuỳ chọn nodev cho phân vùng /var/tmp
22 2.1.1.6 Cấu hình tuỳ chọn nosuid cho phân vùng /var/tmp
23 2.1.1.7 Cấu hình tuỳ chọn noexec cho phân vùng /var/tmp
24 Cấu hình phân vùng /home
25 2.1.1.8 Cấu hình tuỳ chọn nodev cho phân vùng /home
26 Cấu hình phân vùng /dev/shm
27 2.1.1.9 Cấu hình tuỳ chọn nodev cho phân vùng /dev/shm
28 2.1.1.10 Cấu hình tuỳ chọn nosuid cho phân vùng /dev/shm
29 2.1.1.11 Cấu hình tuỳ chọn noexec cho phân vùng /dev/shm
30 2.1.1.12 Cấu hình sticky bit cho tất cả các thư mục dùng chung
31 2.1.1.13 Cấu hình vô hiệu hoá automounting
32 2.1.2 Cấu hình sudo (áp dụng dành riêng cho Ubuntu)
33 2.1.2.1 Kiểm tra việc cài đặt sudo
34 2.1.2.2 Cấu hình các lệnh sudo sử dụng pty
35 2.1.2.3 Đảm bảo file nhật ký của sudo tồn tại
36 2.1.3 Cấu hình cập nhật phần mềm
37 2.1.3.1 Cấu hình kích hoạt gpgcheck
38 2.1.4 Kiểm tra tính toàn vẹn của filesystem
39 2.1.4.1 Kiểm tra việc cài đặt AIDE
40 2.1.4.2 Cấu hình kiểm tra tính toàn vẹn của filesystem
41 2.1.5 Cấu hình khởi động an toàn
42 2.1.5.1 Phân quyền đối với file cấu hình bootloader
43 2.1.5.2 Cấu hình mật khẩu cho bootloader
44 2.1.5.3 Cấu hình xác thực khi truy cập single user mode
45 2.1.5.4 Cấu hình vô hiệu hoá interactive boot
46 2.1.6 Additional Process Hardening
47 2.1.6.1 Cấu hình kiểm soát core dump
48 2.1.6.2 Cấu hình kích hoạt ASLR (address space layout randomization)
49 2.1.6.3 Cấu hình vô hiệu hoá prelink
50 2.1.7 Kiểm soát nội dung cảnh báo
51 2.1.7.1 Kiểm soát nội dung motd (Message Of The Day)
52 2.1.7.2 Kiểm soát nội dung thông báo khi đăng nhập
53 2.1.7.3 Kiểm soát nội dung thông báo khi đăng nhập từ xa
54 2.1.7.4 Cấu hình phân quyền đối với file /etc/motd
55 2.1.7.5 Cấu hình phân quyền đối với file /etc/issue
56 2.1.7.6 Cấu hình phân quyền đối với file /etc/issue.net
57 2.1.7.7 Kiểm soát nội dung thông báo khi truy cập GNOME
58 2.2 Service
59 2.2.1 Cấu hình inetd Service
60 2.2.1.1 Cấu hình vô hiệu hoá chargen service, daytime service,
61 discard service, echo service, time service, rsh, talk service, telnet, tftp, rsync, xinetd.
62 2.2.2 Các Service với mục đích riêng biệt
63 2.2.2.1 Cấu hình sử dụng NTP
64 2.2.2.2 Cấu hình sử dụng chrony
65 2.2.2.3 Cấu hình vô hiệu hoá X window, Avahi, CUPS, DHCP, LDAP, NFS, RPC, DNS , FTP, HTTP, POP3, IMAP, Samba, HTTP Proxy, SNMP, NIS
66 Cấu hình vô hiệu hoá xinetd services
67 Cấu hình vô hiệu hoá autofs services
68 Cấu hình vô hiệu hoá X window server services
69 Cấu hình vô hiệu hoá avahi daemon services
70 Cấu hình vô hiệu hoá cups services
71 Cấu hình vô hiệu hoá dhcp server services
72 Cấu hình vô hiệu hoá ldap server services
73 Cấu hình vô hiệu hoá dns server services
74 Cấu hình vô hiệu hoá dnsmasq services
75 Cấu hình vô hiệu hoá ftp server services
76 Cấu hình vô hiệu hoá tftp server services
77 Cấu hình vô hiệu hoá web server services
78 Cấu hình vô hiệu hoá imap and pop3 server services
79 Cấu hình vô hiệu hoá samba file server services
80 Cấu hình vô hiệu hoá web proxy server services
81 Cấu hình vô hiệu hoá snmp services
82 Cấu hình vô hiệu hoá nis server services
83 Cấu hình vô hiệu hoá network file system services
84 Cấu hình vô hiệu hoá rsync services
85 2.2.2.4 Cấu hình mail transfer agents sang chế độ local-only
86 2.2.3 Service Clients
87 2.2.3.1 Cấu hình xoá bỏ NIS client, rsh client, talk client, telnet client, LDAP client
88 Cấu hình vô hiệu hoá nis client
89 Cấu hình vô hiệu hoá rsh client
90 Cấu hình vô hiệu hoá talk client
91 Cấu hình vô hiệu hoá telnet client
92 Cấu hình vô hiệu hoá ldap client
93 Cấu hình vô hiệu hoá rpc
94 Cấu hình vô hiệu hoá ftp client
95 2.3 Cấu hình mạng
96 2.3.1 Tham số cấu hình mạng (Host Only)
97 2.3.1.1 Cấu hình vô hiệu hoá IP forwarding
98 2.3.1.2 Cấu hình vô hiệu hoá tính năng chuyển hướng gói tin (packet redirect)
99 2.3.2 Tham số cấu hình mạng (Host và Router)
100 2.3.2.1 Cấu hình từ chối các gói tin với nguồn được định tuyến trước
101 2.3.2.2 Cấu hình từ chối các ICMP redirect message
102 2.3.2.3 Cấu hình từ chối các secure ICMP redirect message
103 2.3.2.4 Ghi lại các gói tin khả nghi (Suspicious Packets)
104 2.3.2.5 Cấu hình từ chối các gói tin ICMP request broadcast
105 2.3.2.6 Cấu hình bỏ qua phản hồi ICMP không hợp lệ
106 2.3.2.7 Cấu hình Reverse Path Filtering
107 2.3.2.8 Cấu hình TCP SYN Cookies
108 2.3.3 TCP Wrappers
109 2.3.3.1 Kiêm tra việc cài đặt TCP Wrappers
110 2.3.3.2 Cấu hình file /etc/host.allow
111 2.3.3.3 Cấu hình file /etc/hosts.deny
112 2.3.3.4 Cấu hình quyền truy cập /etc/hosts.allow
113 2.3.3.5 Cấu hình quyền truy cập /etc/hosts.deny
114 2.3.4 Tưởng lửa (áp dụng dành riêng cho ubuntu)
115 2.3.4.1 Cài đặt tưởng lửa mềm (soft firewall)
116 2.3.4.1.1 Cài đặt Firewall package
117 2.3.4.2 Cấu hình ufw (UncomplicatedFirewal)
118 2.3.4.2.1 Cấu hình kích hoạt ufw
119 2.3.4.2.2 Cấu hình chính sách từ chối mặc định của tường lửa
120 2.3.4.2.3 Cấu hình loopback traffic
121 2.3.4.3 Cấu hình tường lửa nftable
122 2.3.4.3.1 Cấu hình tạo ít nhất 1 bảng trong nftable
123 2.3.4.3.2 Cấu hình các base chain
124 2.3.4.3.3 Cấu hình loopback traffic
125 2.3.4.3.4 Cấu hình chính sách từ chối mặc định của tường lửa
126 2.3.4.3.5 Cấu hình kích hoạt nftable
127 2.3.4.3.6 Cấu hình nftable rule
128 2.3.5 Iptables
129 2.3.5.1 Cấu hình kích hoạt Iptables
130 2.3.5.2 Cấu hình chính sách từ chối mặc định trên firewall
131 2.3.5.3 Cấu hình loopback traffic
132 2.3.5.4 Cấu hình iptables rule cho tất cả các port và protocol đang mở
133 2.4 Logging và Auditing
134 2.4.1 Cấu hình logging
135 2.4.1.1 Cấu hình rsyslog
136 2.4.1.1.1 Cấu hình kích hoạt rsyslog service
137 2.4.1.1.2 Phân quyền đối với file log sinh ra từ rsyslog
138 2.4.1.1.3 Cấu hình lưu trữ log sinh ra từ rsyslog tập trung
139 2.4.1.2 Phân quyền đối với tất cả các file log
140 Áp dụng đối với Centos
141 2.4.1.2.1 Cấu hình kích hoạt syslog-ng service
142 2.4.1.2.2 Phân quyền đối với file log sinh ra từ syslog-ng
143 2.4.1.2.3 Cấu hình lưu trữ log tập trung
144 2.4.1.3 Cấu hình journald
145 Áp dụng riêng cho ubuntu
146 2.4.1.3.1 Cấu hình journald để gửi file log đến rsyslog
147 2.4.1.3.2 Cấu hình journald để nén các file log lớn
148 2.4.1.3.3 Cấu hình journald để viết các logfile vào persistent disk
149 2.4.1.3.4 Đảm bảo các quyền trên toàn bộ logfile được cấu hình
150 2.4.1.4 Đảm bảo rsyslog hoặc syslog-ng được cài đặt
151 2.4.1.5 Phân quyền đối với tất cả các file log
152 2.5 Cấu hình truy cập, xác thực và ủy quyền
153 2.5.1 Cấu hình cron
154 2.5.1.1 Cấu hình kích hoạt cron daemon
155 2.5.1.2 Cấu hình phân quyền cho file /etc/crontab
156 2.5.1.2.1 Cấu hình phân quyền cho file /etc/cron.hourly
157 2.5.1.3 Cấu hình phân quyền cho file /etc/cron.daily
158 2.5.1.4 Cấu hình phân quyền cho file /etc/cron.weekly
159 2.5.1.5 Cấu hình phân quyền cho của file /etc/cron.monthly
160 2.5.1.6 Cấu hình phân quyền cho file /etc/cron.d
161 2.5.1.7 Cấu hình at/cron hạn chế chỉ cho người dùng được ủy quyền
162 2.5.2 Cấu hình máy chủ SSH
163 2.5.2.1 Cấu hình quyền cho file /etc/ssh/sshd_config
164 2.5.2.1.1 Cấu hình quyền cho các file SSH private host
165 2.5.2.2 Cấu hình quyền cho các file SSH public host key
166 2.5.2.3 Cấu hình giao thức SSH sử dụng SSHv2
167 2.5.2.4 Cấu hình LogLevel cho máy chủ SSH
168 2.5.2.5 Cấu hình vô hiệu hoá X11 Forwarding cho máy chủ SSH
169 2.5.2.6 Cấu hình SSH MaxAuthTries
170 2.5.2.7 Cấu hình vô hiệu hoá IgnoreRhosts cho máy chủ SSH
171 2.5.2.8 Cấu hình vô hiệu hoá HostbasedAuthentication cho máy chủ SSH
172 2.5.2.9 Cấu hình vô hiệu hoá đăng nhập bằng root cho máy chủ SSH
173 2.5.2.10 Cấu hình vô hiệu hoá PermitEmptyPasswords cho máy chủ SSH
174 2.5.2.11 Cấu hình vô hiệu hoá PermitUserEnviroment cho máy chủ SSH
175 2.5.2.12 Cấu hình sử dụng các thuật toán mã hoá được cho phép
176 2.5.2.13 Cấu hình các thuật toán MAC được cho phép
177 2.5.2.14 Đảm bảo chỉ có thuật toán trao đổi khóa mạnh được sử dụng
178 2.5.2.15 Cấu hình khoảng thời gian chờ không hoạt động cho máy chủ SSH
179 2.5.2.16 Cấu hình SSH LoginGraceTime
180 2.5.2.17 Cấu hình giới hạn truy cập cho máy chủ SSH
181 2.5.2.18 Cấu hình cảnh báo SSH
182 2.5.2.19 Cấu hình sử dụng SSH PAM
183 2.5.2.20 Cấu hình SSH MaxStartups
184 2.5.2.21 Cấu hình SSH MaxSessions
185 2.5.3 Cấu hình PAM
186 2.5.3.1 Cấu hình điều kiện tạo mật khẩu
187 2.5.3.2 Cấu hình khoá truy cập do nhiều lần nhập mật khẩu thất bại
188 2.5.3.3 Giới hạn việc sử dụng lại mật khẩu
189 2.5.3.4 Cấu hình thuật toán hash mật khẩu mạnh
190 2.5.4 Cấu hình tài khoản người dùng và môi trường
191 Cấu hình mật khẩu người dùng
192 2.5.4.1 Cấu hình thời gian hết hạn sử dụng mật khẩu
193 2.5.4.2 Cấu hình thời gian tối thiểu giữa những lần thay đổi mật khẩu
194 2.5.4.3 Cấu hình thời gian cảnh báo mật khẩu hết hạn
195 2.5.4.4 Cấu hình thời gian khoá tài khoản không thay mật khẩu sau khi hết hạn
196 2.5.4.5 Đảm bảo thời gian thay đổi mật khẩu lần cuối hợp lệ
197 2.5.4.6 Đảm bảo group mặc định của tài khoản root là GID 0
198 2.5.4.7 Cấu hình tham số user umask mặc định
199 2.5.4.8 Đảm bảo shell timeout mặc định của người dùng là 900 giây hoặc ít hơn
200 2.5.4.9 Cấu hình hạn chế truy cập cho câu lệnh su
201 2.6 System Maintenance
202 2.6.1 Quyền của file hệ thống
203 2.6.1.1 Cấu hình quyền cho file /etc/passwd /etc/shadow, /etc/group,
204 /etc/gshadow, /etc/passwd-, /etc/shadow-, /etc/group-, /etc/gshadow-
205 Cấu hình phân quyền cho file /etc/passwd
206 Cấu hình phân quyền cho file /etc/shadow
207 Cấu hình phân quyền cho file /etc/group
208 Cấu hình phân quyền cho file /etc/gshadow
209 Cấu hình phân quyền cho file /etc/passwd-
210 Cấu hình phân quyền cho file /etc/shadow-
211 Cấu hình phân quyền cho file /etc/group-
212 Cấu hình phân quyền cho file /etc/gshadow-
213 Đảm bảo không có file world-writable tồn tại
214 2.6.1.2 Đảm bảo các file hoặc thư mục không có chủ sở hữu không tồn tại
215 2.6.1.3 Đảm bảo các file hoặc thư mục không có nhóm không tồn tại
216 2.6.2 Thiết lập cho người dùng và nhóm
217 2.6.2.1 Đảm bảo trường mật khẩu không để trống
218 2.62.2 Đảm bảo không có bản ghi chứa "+" trong file /etc/passwd
219 2.6.2.3 Đảm bảo mọi người dùng đều tồn tại thư mục home
220 2.6.2.4 Đảm bảo không có bản ghi chứa "+" trong file /etc/shadow
221 2.6.2.5 Đảm bảo không có bản ghi chứa "+" trong file /etc/group
222 2.6.2.6 Đảm bảo root là tài khoản duy nhất có UID là 0
223 2.6.2.7 Đảm bảo tính toàn vẹn cho biến môi trường PATH của root
224 2.6.2.8 Đảm bảo người dùng sở hữu thư mục home của chính họ
225 2.6.2.9 Đảm bảo các file dot của người dùng không cấp quyền write cho group hoặc world-wide
226 2.6.2.10 Đảm bảo không người dùng nào có file .forward
227 2.6.2.11 Đảm bảo không người dùng nào có file .netrc
228 2.6.2.12 Đảm bảo file netrc của người dùng không cấp quyền cho group hoặc other
229 2.6.2.13 Đảm bảo không người dùng nào có file .rhosts
230 2.6.2.14 Đảm bảo mọi nhóm trong file /etc/passwd tồn tại trong file /etc/group
231 2.6.2.15 Đảm bảo UID không bị lặp
232 2.6.2.16 Đảm bảo GID không bị lặp
233 2.6.2.17 Đảm bảo tên người dùng không bị lặp
234 2.6.2.18 Đảm bảo tên group không lặp
235 2.6.2.19 Đảm bảo không có tài khoản trong shadow group
236 Tổng