← До повного змісту CIS OPNsense Benchmark

CIS Benchmark

CIS Benchmark • OPNsense v1.0.0

1. Загальні налаштування безпеки

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Загальні налаштування безпеки».


Рекомендацій: 8


v1.0.0

1.1 Переконайтеся, що банер попередження SSH налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure SSH warning banner is configured (Manual)

Перш ніж дозволити автентифікацію, файл із його вмістом має бути наданий до віддалений користувач, як зазначено в аргументі Banner.

💡 Обґрунтування безпеки:

Банери використовуються для інформування підключених користувачів про підключення конкретного сайту правил. Відображення a попереджувальне повідомлення перед звичайним входом користувача.

🔍 Аудит (перевірка налаштувань)
💻 Командний рядок (CLI / SSH Console)

Виконайте команду для перевірки параметрів:

cat /etc/ssh/my_banner
Очікуваний результат:
Переконайтеся, що файл існує в каталозі /etc/ssh/ і містить інформацію, яку ви
у вашому банері ssh.
2. Виконайте наведену нижче команду та переконайтеся, що файл існує, і що він посилається на
згаданий вище файл “my_banner” через такий рядок:
Банер /etc/ssh/my_banner

⚙️ Виправлення (Remediation / Налаштування)
💻 Командний рядок (CLI / SSH Console)

Виконайте команду для застосування конфігурації:

    
  
  1. Створіть файл банера в каталозі /etc/ssh/ за допомогою команди:
    
    vi /etc/ssh/my_banner
    

    2. 

  2. Щоб банер зберігався після оновлень, скористайтеся системою цільових оверлеїв (Targeted Overlays) OPNsense, створивши конфігураційний файл:

    vi /usr/local/etc/ssh/sshd_config.d/99-custom.conf
    

    3. 

  3. Додайте посилання на ваш банер у створений файл 99-custom.conf:

    Banner /etc/ssh/my_banner
    

        Збережіть та закрийте файл.
  
    4. 

  4. Перезавантажте OPNsense через веб-інтерфейс (GUI).
    5.
Значення за замовчуванням: За умовчанням банер не відображається.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 14.1
IG 1, 2, 3
Establish and Maintain a Security Awareness Program Establish and maintain a security awareness program. The purpose of a security awareness program is to educate the enterprise’s workforce on how to interact with enterprise assets and data in a secure manner. Conduct training at hire and, at a minimum, annually. Review and update content annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 17.3
IG 1, 2, 3
Implement a Security Awareness Program Create a security awareness program for all workforce members to complete on a regular basis to ensure they understand and exhibit the necessary behaviors and skills to help ensure the security of the organization. The organization’s security awareness program should be communicated in a continuous and engaging manner.

1.2 Переконайтеся, що кількість резервних копій встановлено на 5 або більше. (Інструкція) (Вручну)

Level 1Вручну

Оригінал: Ensure Backup count is set to 5 or more. (Manual)

OPNsense може зберігати визначену користувачем кількість резервних копій у локальному кеші.

💡 Обґрунтування безпеки:

Резервне копіювання зроблено після оцінки змін і переконання, що вони були очікуваний результат. Також корисні періодичні резервні копії, особливо незалежно від змін у випадках, коли ручне резервне копіювання може бути пропущено.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

У графічному інтерфейсі. – Перейдіть до «Система» -> «Конфігурація» -> «Резервні копії». Переконайтеся, що «Кількість резервних копій» встановлено на 5 або більше.

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    У графічному інтерфейсі. – Перейдіть до System -> Configuration -> Backups – Встановіть «Backup Count» на 5 або більше. – Натисніть «Зберегти»

      Значення за замовчуванням: Вимкнено
      📋 CIS Controls & Нормативні посилання
      1. https://docs.opnsense.org/manual/backups.html
      CIS Controls V8: 11.1
      IG 1, 2, 3
      Establish and Maintain a Data Recovery Process Establish and maintain a data recovery process. In the process, address the scope of data recovery activities, recovery prioritization, and the security of backup data. Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

      CIS Controls V7: 10.1
      IG 1, 2, 3
      Ensure Regular Automated Back Ups Ensure that all system data is automatically backed up on regular basis.

      1.3 Переконайтеся, що встановлено «Повідомлення дня (MOTD)» (Вручну)

      Level 1Вручну

      Оригінал: Ensure ‘Message Of The Day (MOTD)’ is set (Manual)

      Встановлює повідомлення MOTD.

      💡 Обґрунтування безпеки:

      Мережеві банери – це електронні повідомлення, які повідомляють користувачів про законні права комп’ютерні мережі. З юридичної точки зору банери виконують чотири основні функції. • По-перше, банери можуть використовуватися для отримання згоди на моніторинг у режимі реального часу Розділ III. • По-друге, банери можуть використовуватися для отримання згоди на отримання збережених файлів і записи відповідно до ECPA. • По-третє, у випадку державних мереж банери можуть усунути будь-якого Четвертого Поправка “розумне очікування конфіденційності”, що державні службовці або інакше інші користувачі могли б використовувати державну мережу під О’Коннор проти

      🔍 Аудит (перевірка налаштувань)
      💻 Командний рядок (CLI / SSH Console)

      Виконайте команду для перевірки параметрів:

      cat /var/run/motd

      ⚙️ Виправлення (Remediation / Налаштування)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      В оболонці OPNsense використовуйте vi для редагування повідомлення дня:vi /var/run/motd

        Значення за замовчуванням: root@OPNsense:~ # cat /var/run/motd ———————————————— | Привіт, це OPNsense 25.7 | :::::::. | | :::::::::. | Веб-сайт: https://opnsense.org/ | ::: ::: | Довідник: https://docs.opnsense.org/ | ::: ::: | Форуми: https://forum.opnsense.org/ | ::: ::: | Код: https://github.com/opnsense | `::::::::: | Reddit: https://reddit.com/r/opnsense | `::::::: ———————————————— root@OPNsense:~ #
        📋 CIS Controls & Нормативні посилання
        CIS Controls V8: 14.1
        IG 1, 2, 3
        Establish and Maintain a Security Awareness Program Establish and maintain a security awareness program. The purpose of a security awareness program is to educate the enterprise’s workforce on how to interact with enterprise assets and data in a secure manner. Conduct training at hire and, at a minimum, annually. Review and update content annually, or when significant enterprise changes occur that could impact this Safeguard.

        CIS Controls V7: 17.3
        IG 1, 2, 3
        Implement a Security Awareness Program Create a security awareness program for all workforce members to complete on a regular basis to ensure they understand and exhibit the necessary behaviors and skills to help ensure the security of the organization. The organization’s security awareness program should be communicated in a continuous and engaging manner.

        1.4 Переконайтеся, що ім’я хоста встановлено (Автоматизовано)

        Level 1Автоматизовано

        Оригінал: Ensure Hostname is set (Automated)

        Змінює назву хоста пристрою за замовчуванням.

        💡 Обґрунтування безпеки:

        Ім’я хосту пристрою має вирішальне значення для інвентаризації та ідентифікації активів як потреба безпеки, а також для розгортання відкритих ключів і сертифікатів і для порівняння журналів з різних систем під час вирішення проблеми.

        🔍 Аудит (перевірка налаштувань)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        – Перейдіть до System -> Settings -> General – Перевірте поле Hostname

          💻 Командний рядок (CLI / SSH Console)

          Виконайте команду для перевірки параметрів:

          hostname

          ⚙️ Виправлення (Remediation / Налаштування)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          – Перейдіть до System > Settings -> General – Оновіть поле “Hostname” новим ім’ям хоста та натисніть “Save”

            Значення за замовчуванням: OPNsense.internal
            📋 CIS Controls & Нормативні посилання
            1. https://docs.opnsense.org/manual/settingsmenu.html#general
            CIS Controls V8: 1.1
            IG 1
            Establish and Maintain Detailed Enterprise Asset Inventory Establish and maintain an accurate, detailed, and up-to-date inventory of all enterprise assets with the potential to store or process data, to include

            1.5 Переконайтеся, що сервер DNS налаштовано (Вручну)

            Level 1Вручну

            Оригінал: Ensure DNS server is configured (Manual)

            Ви повинні вказати головний сервер DNS для вашої системи, щоб увімкнути пошук DNS. Крім того, можна вказати додаткові та сторонні DNS-сервери. Система використовує головний сервер імен для визначення імен хостів. Система перевіряє вторинне сервер імен і, якщо потрібно, третинний сервер, якщо станеться збій або тайм-аут.

            💡 Обґрунтування безпеки:

            Мета полягає в тому, щоб виконати розділення імен хостів системи за протоколом Інтернету (IP) адреси.

            🔍 Аудит (перевірка налаштувань)
            🖥️ Графічний інтерфейс (GUI / WebUI)

            – Перейдіть до System -> Settings -> General – Перевірте поля «DNS Server» у таблиці «DNS Server» у розділі «Networking»

              ⚙️ Виправлення (Remediation / Налаштування)
              🖥️ Графічний інтерфейс (GUI / WebUI)

              – Перейдіть до System -> Settings -> General – Оновіть поле “DNS Servers” за допомогою Вашого DNS-сервера та натисніть “Save”

                Значення за замовчуванням: За замовчуванням воно буде порожнім, якщо не ввімкнено динамічний тип глобальної мережі DHCP, ваш провайдер може призначити їх.
                📋 CIS Controls & Нормативні посилання
                1. https://docs.opnsense.org/manual/settingsmenu.html#general
                CIS Controls V8: 4.9
                IG 1
                Configure Trusted DNS Servers on Enterprise Assets Configure trusted DNS servers on enterprise assets. Example implementations include

                1.6 Переконайтеся, що IPv6 вимкнено, якщо не використовується (Вручну)

                Level 1Вручну

                Оригінал: Ensure IPv6 is disabled if not used (Manual)

                Хоча IPv6 має багато переваг перед IPv4, не всі організації мають IPv6 або подвійний протокол реалізовані конфігурації стека.

                💡 Обґрунтування безпеки:

                Якщо IPv6 або подвійний стек не використовуватимуться, рекомендується вимкнути IPv6 зменшити поверхню атаки системи.

                🔍 Аудит (перевірка налаштувань)
                🖥️ Графічний інтерфейс (GUI / WebUI)

                Перейдіть до Інтерфейси -> Параметри Переконайтеся, що прапорець «Дозволити IPv6» знято.

                  ⚙️ Виправлення (Remediation / Налаштування)
                  🖥️ Графічний інтерфейс (GUI / WebUI)

                  Перейдіть до Інтерфейси -> Налаштування Зніміть прапорець «Дозволити IPv6»

                    Значення за замовчуванням: У графічному інтерфейсі: Інтерфейси -> Параметри «Дозволити IPv6» позначено.
                    📋 CIS Controls & Нормативні посилання
                    CIS Controls V8: 4.8
                    IG 1, 2
                    Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

                    CIS Controls V7: 9.2
                    IG 1, 2
                    Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

                    1.7 Переконайтеся, що прапорець «Вимкнути перевірку повторного прив’язування DNS» знято (Вручну)

                    Level 1Вручну

                    Оригінал: Ensure ‘Disable DNS Rebinding Checks’ is unchecked (Manual)

                    Переконайтеся, що прапорець «Вимкнути перевірку повторного прив’язування DNS» знято для захисту від DNS повторні атаки.

                    💡 Обґрунтування безпеки:

                    Зловмисники можуть використовувати перезв’язування DNS, щоб використати відповідь DNS-сервера на доменне ім’я запит, який розв’язує приватну IP-адресу. Це може забезпечити хакерський доступ до ресурси приватної мережі, які не повинні бути доступними для широкого загалу. до для захисту від такого роду атак функція OPNsense «Перевірка DNS Rebind» вимикається приватні IP-відповіді від серверів DNS. Як радили в бенчмарку СНД, відключення ця функція піддасть систему атакам із переприв’язуванням DNS.

                    🔍 Аудит (перевірка налаштувань)
                    🖥️ Графічний інтерфейс (GUI / WebUI)

                    У графічному інтерфейсі користувача перейдіть до пункту Система -> Налаштування -> Адміністрування – переконайтеся, що в полі «Вимкнути перевірку повторного прив’язування DNS» не встановлено прапорець

                      ⚙️ Виправлення (Remediation / Налаштування)
                      🖥️ Графічний інтерфейс (GUI / WebUI)

                      У графічному інтерфейсі – перейдіть до System -> Settings -> Administration – зніміть прапорець у полі “Disable DNS Rebinding Checks” – натисніть кнопку зберегти

                        Значення за замовчуванням: За умовчанням прапорець «Вимкнути перевірку повторного прив’язування DNS» знято.
                        📋 CIS Controls & Нормативні посилання
                        CIS Controls V8: 9.2
                        IG 1, 2, 3
                        Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

                        CIS Controls V7: 7.7
                        IG 1, 2, 3
                        Use of DNS Filtering Services Use DNS filtering services to help block access to known malicious domains.

                        1.8 Переконайтеся, що веб-керування налаштовано на використання HTTPS (Вручну)

                        Level 1Вручну

                        Оригінал: Ensure Web Management is Set to use HTTPS (Manual)

                        Доступ до порталу керування веб-адміністратора має здійснюватися лише за допомогою протоколу HTTPS.

                        💡 Обґрунтування безпеки:

                        HTTP передає всі дані (включаючи паролі) у вигляді відкритого тексту через мережу та не гарантує ідентифікацію залучених хостів. Через цей HTTP ніколи не слід використовувати для конфіденційних завдань, таких як керування мережевими пристроями або вхід замість цього слід налаштувати облікові дані для входу та HTTPS для керування веб-порталом

                        🔍 Аудит (перевірка налаштувань)
                        🖥️ Графічний інтерфейс (GUI / WebUI)

                        – Перейдіть до «Система» -> «Налаштування» -> «Адміністрування» – Переконайтеся, що параметр «Увімкнути сувору безпеку транспортування HTTP» увімкнено

                          ⚙️ Виправлення (Remediation / Налаштування)
                          🖥️ Графічний інтерфейс (GUI / WebUI)

                          – Перейдіть до System -> Settings -> Administration – Виберіть опцію “Enable HTTP Strict Transport Security” – Натисніть “Save”

                            Значення за замовчуванням: У графічному інтерфейсі: – Система -> Налаштування -> Адміністрування – Опція «Увімкнути сувору безпеку транспортування HTTP» буде знята.
                            📋 CIS Controls & Нормативні посилання
                            CIS Controls V8: 12.3
                            IG 1, 2
                            Securely Manage Network Infrastructure Securely manage network infrastructure. Example implementations include version-controlled-infrastructure-as-code, and the use of secure network protocols, such as SSH and HTTPS.

                            CIS Controls V7: 11.1
                            IG 1, 2
                            Maintain Standard Security Configurations for Network Devices Maintain standard, documented security configuration standards for all authorized network devices.

                            Потрібні інші розділи стандарту?

                            Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


                            До повного змісту CIS OPNsense Benchmark →