SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场hardening-linux-endpoint-with-cis-benchmark

hardening-linux-endpoint-with-cis-benchmark

安全与审计

查看项目

更新于 10-15 14:00

技能介绍

用途

本技能用于使用 CIS Benchmark 建议对 Linux 端点进行安全加固，支持 Ubuntu、RHEL、CentOS、Debian 等发行版，目的是减少攻击面、强制执行安全基线并满足合规要求。

适用场景包括：

  • 依据 CIS 基准加固 Linux 服务器（Ubuntu、RHEL、CentOS、Debian）
  • 使用 Ansible、OpenSCAP 或 shell 脚本自动化 Linux 安全基线
  • 满足 Linux 端点的合规要求（PCI DSS、HIPAA、SOC 2）
  • 修复漏洞扫描或安全审计发现的问题

不适用于 Windows 加固（应使用 hardening-windows-endpoint-with-cis-benchmark）。

前置条件

  • 目标 Linux 端点上的 root 或 sudo 权限
  • 目标发行版的 CIS Benchmark PDF（来自 cisecurity.org）
  • 用于自动评估的 OpenSCAP 或 CIS-CAT
  • 用于企业级修复的 Ansible（可选）

主要能力与工作流

步骤 1：文件系统配置（第 1 节）

禁用未使用的文件系统：

cat >> /etc/modprobe.d/CIS.conf << 'EOF'
install cramfs /bin/true
install freevxfs /bin/true
install jffs2 /bin/true
install hfs /bin/true
install hfsplus /bin/true
install squashfs /bin/true
install udf /bin/true
EOF

确保 /tmp 为独立分区并带 nodev、nosuid、noexec：

# /etc/fstab entry:
# tmpfs /tmp tmpfs defaults,rw,nosuid,nodev,noexec,relatime 0 0
systemctl unmask tmp.mount
systemctl enable tmp.mount

确保 /dev/shm 带 nodev 选项：

mount -o remount,nodev,nosuid,noexec /dev/shm
echo "tmpfs /dev/shm tmpfs defaults,nodev,nosuid,noexec 0 0" >> /etc/fstab

安全启动设置：

chown root:root /boot/grub/grub.cfg
chmod 600 /boot/grub/grub.cfg
# Set GRUB password
grub-mkpasswd-pbkdf2  # Generate hash, add to /etc/grub.d/40_custom

步骤 2：服务与网络（第 2-3 节）

禁用不必要的服务：

systemctl disable --now avahi-daemon
systemctl disable --now cups
systemctl disable --now rpcbind
systemctl disable --now xinetd

确保配置 NTP：

apt install chrony -y  # or systemd-timesyncd
systemctl enable --now chrony

网络参数（仅主机，非路由器）：

cat >> /etc/sysctl.d/99-cis.conf << 'EOF'
net.ipv4.ip_forward = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
net.ipv4.conf.all.log_martians = 1
net.ipv4.conf.default.log_martians = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.tcp_syncookies = 1
net.ipv6.conf.all.accept_ra = 0
net.ipv6.conf.default.accept_ra = 0
EOF
sysctl --system

配置防火墙（UFW 或 firewalld）：

ufw enable
ufw default deny incoming
ufw default allow outgoing
ufw allow ssh

步骤 3：访问控制（第 4-5 节）

SSH 服务器配置（/etc/ssh/sshd_config）：

sed -i 's/#Protocol 2/Protocol 2/' /etc/ssh/sshd_config
cat >> /etc/ssh/sshd_config << 'EOF'
LogLevel VERBOSE
MaxAuthTries 4
PermitRootLogin no
PermitEmptyPasswords no
PasswordAuthentication no
X11Forwarding no
MaxStartups 10:30:60
LoginGraceTime 60
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 3
EOF
systemctl restart sshd

密码策略（PAM），/etc/security/pwquality.conf：

minlen = 14
dcredit = -1
ucredit = -1
ocredit = -1
lcredit = -1

用户账户设置，/etc/login.defs：

PASS_MAX_DAYS 365
PASS_MIN_DAYS 1
PASS_WARN_AGE 7

锁定非活动账户：

useradd -D -f 30

步骤 4：审计与日志（第 4 节）

安装并配置 auditd：

apt install auditd audispd-plugins -y
systemctl enable --now auditd

/etc/audit/rules.d/cis.rules：

cat > /etc/audit/rules.d/cis.rules << 'EOF'
-w /etc/sudoers -p wa -k scope
-w /etc/sudoers.d/ -p wa -k scope
-w /var/log/sudo.log -p wa -k actions
-a always,exit -F arch=b64 -S adjtimex -S settimeofday -k time-change
-a always,exit -F arch=b64 -S sethostname -S setdomainname -k system-locale
-w /etc/group -p wa -k identity
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /var/log/faillog -p wa -k logins
-w /var/log/lastlog -p wa -k logins
-a always,exit -F arch=b64 -S chmod -S fchmod -S fchmodat -k perm_mod
-a always,exit -F arch=b64 -S unlink -S rmdir -S rename -k delete
-w /sbin/insmod -p x -k modules
-w /sbin/modprobe -p x -k modules
-e 2
EOF
augenrules --load

配置 rsyslog 远程日志：

echo "*.* @@syslog-server.corp.com:514" >> /etc/rsyslog.d/50-remote.conf
systemctl restart rsyslog

步骤 5：使用 OpenSCAP 评估

安装 OpenSCAP：

apt install openscap-scanner scap-security-guide -y

运行 CIS 基准评估：

oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis_level1_server \
  --results /tmp/cis_results.xml \
  --report /tmp/cis_report.html \
  /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml

在浏览器中查看 HTML 报告以获取详细结果。

关键概念

  • OpenSCAP：开源 SCAP（Security Content Automation Protocol）扫描器，用于自动化合规检查
  • auditd：Linux 审计框架，用于监控系统调用和文件访问
  • PAM：可插拔认证模块；Linux 可配置的认证框架
  • sysctl：Linux 内核参数配置，用于网络和系统安全调优
  • AIDE：高级入侵检测环境；Linux 文件完整性检查器

工具与系统

  • OpenSCAP：面向 Linux 的自动化 CIS 基准评估
  • Ansible Lockdown：用于自动化 CIS 基准修复的 Ansible 角色
  • Lynis：面向 Linux/Unix 系统的开源安全审计工具
  • AIDE：Linux 端点的文件完整性监控
  • auditd：用于系统调用监控的 Linux 审计框架

常见陷阱

  • 将服务器基准应用于工作站：CIS 为服务器和工作站配置文件提供不同基准。服务器基准会禁用桌面服务。
  • 破坏 SSH 访问：错误配置 sshd_config（尤其是 PermitRootLogin、PasswordAuthentication）可能将管理员锁在外面。始终从第二个会话测试 SSH 配置更改。
  • 未测试防火墙规则：在未先允许 SSH 的情况下启用 UFW 将永久断开远程会话。
  • 未测试内核参数更改：某些 sysctl 设置可能破坏应用网络。请先在预发布环境测试。