← До повного змісту CIS pfSense Firewall Benchmark

CIS Benchmark

CIS Benchmark • pfSense Firewall v1.1.0

1. Загальні налаштування безпеки

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Загальні налаштування безпеки».


Рекомендацій: 9


v1.1.0

1.1 Переконайтеся, що банер попередження SSH налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure SSH warning banner is configured (Manual)

Перш ніж дозволити автентифікацію, файл із його вмістом має бути наданий до віддалений користувач, як зазначено в аргументі Banner.

💡 Обґрунтування безпеки:

Банери використовуються для інформування підключених користувачів про підключення конкретного сайту правил. Відображення a попереджувальне повідомлення перед звичайним входом користувача.

🔍 Аудит (перевірка налаштувань)
💻 Командний рядок (CLI / SSH Console)

Виконайте команду для перевірки параметрів:

grep "^Banner" /etc/ssh/sshd_config

⚙️ Виправлення (Remediation / Налаштування)
💻 Командний рядок (CLI / SSH Console)

Виконайте команду для застосування конфігурації:

Edit the /etc/ssh/sshd_config file to set the parameter as follows:
Banner /etc/issue.net

Значення за замовчуванням: За умовчанням банер не відображається.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 14.1
IG 1, 2, 3
Establish and Maintain a Security Awareness Program Establish and maintain a security awareness program. The purpose of a security awareness program is to educate the enterprise’s workforce on how to interact with enterprise assets and data in a secure manner. Conduct training at hire and, at a minimum, annually. Review and update content annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 17.3
IG 1, 2, 3
Implement a Security Awareness Program Create a security awareness program for all workforce members to complete on a regular basis to ensure they understand and exhibit the necessary behaviors and skills to help ensure the security of the organization. The organization’s security awareness program should be communicated in a continuous and engaging manner.

1.2 Переконайтеся, що AutoConfigBackup увімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure AutoConfigBackup is enable (Manual)

Створення резервної копії до і після кожної великої зміни або серії змін, а також рекомендована практика після кожної невеликої зміни. Зазвичай це перша резервна копія підготовлені на випадок, якщо внесені зміни матимуть несприятливі наслідки.

💡 Обґрунтування безпеки:

Резервне копіювання зроблено після оцінки змін і переконання, що вони були очікуваний результат. Також корисні періодичні резервні копії, особливо незалежно від змін у випадках, коли ручне резервне копіювання може бути пропущено.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

У графічному інтерфейсі. – Перейдіть до «Служби» > «Резервне копіювання автоматичної конфігурації».

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    У графічному інтерфейсі. – Перейдіть до «Служби» > «Резервне копіювання автоматичної конфігурації». – Клацніть «Налаштування» вгорі. – Поставте прапорець Enable ACB. – НАТИСНІТЬ Зберегти

      Значення за замовчуванням: Вимкнено
      📋 CIS Controls & Нормативні посилання
      1. https://docs.netgate.com/pfsense/en/latest/backup/autoconfigbackup.html
      CIS Controls V8: 11.1
      IG 1, 2, 3
      Establish and Maintain a Data Recovery Process Establish and maintain a data recovery process. In the process, address the scope of data recovery activities, recovery prioritization, and the security of backup data. Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

      CIS Controls V7: 10.1
      IG 1, 2, 3
      Ensure Regular Automated Back Ups Ensure that all system data is automatically backed up on regular basis.

      1.3 Переконайтеся, що встановлено «Повідомлення дня (MOTD)» (Вручну)

      Level 1Вручну

      Оригінал: Ensure ‘Message Of The Day (MOTD)’ is set (Manual)

      Встановлює повідомлення MOTD.

      💡 Обґрунтування безпеки:

      Мережеві банери – це електронні повідомлення, які повідомляють користувачів про законні права комп’ютерні мережі. З юридичної точки зору банери виконують чотири основні функції. • По-перше, банери можуть використовуватися для отримання згоди на моніторинг у режимі реального часу Розділ III. • По-друге, банери можуть використовуватися для отримання згоди на отримання збережених файлів і записи відповідно до ECPA. • По-третє, у випадку державних мереж банери можуть усунути будь-якого Четвертого Поправка “розумне очікування конфіденційності”, що державні службовці або інакше інші користувачі могли б використовувати державну мережу під О’Коннор проти

      🔍 Аудит (перевірка налаштувань)
      💻 Командний рядок (CLI / SSH Console)

      Виконайте команду для перевірки параметрів:

      cat /etc/motd

      ⚙️ Виправлення (Remediation / Налаштування)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      В оболонці pfSense:Введіть тут повідомлення «Message Of The Day (MOTD)» у vi /etc/motd

        Значення за замовчуванням: [2.5.0-RELEASE][[email protected]]/root: cat /etc/motd FreeBSD ?.?.? (НЕВІДОМО) Ласкаво просимо до FreeBSD! Примітки до випуску, виправлення: https://www.FreeBSD.org/releases/ Поради щодо безпеки: https://www.FreeBSD.org/security/ Довідник FreeBSD: https://www.FreeBSD.org/handbook/ Поширені запитання щодо FreeBSD: https://www.FreeBSD.org/faq/ Список запитань: https://lists.FreeBSD.org/mailman/listinfo/freebsd-questions/ Форуми FreeBSD: https://forums.FreeBSD.org/ Документи, встановлені системою, знаходяться в каталозі /usr/local/share/doc/freebsd/ або можуть бути встановлені пізніше за допомогою: pkg install en-freebsd-doc Для інших мов замініть “en” кодом мови, наприклад de або fr. Показати встановлену версію FreeBSD: freebsd-version ; uname -a Будь ласка, включіть цей результат і будь-які повідомлення про помилки під час публікації запитань. Вступ до сторінок посібника: man man Макет каталогу FreeBSD: man hier Відредагуйте /etc/motd, щоб змінити це повідомлення про вхід. [2.5.0-RELEASE][[email protected]]/корінь:
        📋 CIS Controls & Нормативні посилання
        CIS Controls V8: 14.1
        IG 1, 2, 3
        Establish and Maintain a Security Awareness Program Establish and maintain a security awareness program. The purpose of a security awareness program is to educate the enterprise’s workforce on how to interact with enterprise assets and data in a secure manner. Conduct training at hire and, at a minimum, annually. Review and update content annually, or when significant enterprise changes occur that could impact this Safeguard.

        CIS Controls V7: 17.3
        IG 1, 2, 3
        Implement a Security Awareness Program Create a security awareness program for all workforce members to complete on a regular basis to ensure they understand and exhibit the necessary behaviors and skills to help ensure the security of the organization. The organization’s security awareness program should be communicated in a continuous and engaging manner.

        1.4 Переконайтеся, що ім’я хоста встановлено (Вручну)

        Level 1Вручну

        Оригінал: Ensure Hostname is set (Manual)

        Змінює назву хоста пристрою за замовчуванням.

        💡 Обґрунтування безпеки:

        Ім’я хосту пристрою має вирішальне значення для інвентаризації та ідентифікації активів як потреба безпеки, а також для розгортання відкритих ключів і сертифікатів і для порівняння журналів з різних систем під час вирішення проблеми.

        🔍 Аудит (перевірка налаштувань)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        – Перейдіть до System > General Setup – Перевірте поле Hostname

          💻 Командний рядок (CLI / SSH Console)

          Виконайте команду для перевірки параметрів:

          hostname

          ⚙️ Виправлення (Remediation / Налаштування)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          – Перейдіть до System > General Setup – Оновіть поле “Hostname” новим ім’ям хоста та натисніть “Save”

            Значення за замовчуванням: pfSense
            📋 CIS Controls & Нормативні посилання
            1. https://docs.netgate.com/pfsense/en/latest/config/general.html
            CIS Controls V8: 1.1
            IG 1
            Establish and Maintain Detailed Enterprise Asset Inventory Establish and maintain an accurate, detailed, and up-to-date inventory of all enterprise assets with the potential to store or process data, to include

            1.5 Переконайтеся, що сервер DNS налаштовано (Вручну)

            Level 1Вручну

            Оригінал: Ensure DNS server is configured (Manual)

            Ви повинні вказати головний сервер DNS для вашої системи, щоб увімкнути пошук DNS. Крім того, можна вказати додаткові та сторонні DNS-сервери. Система використовує головний сервер імен для визначення імен хостів. Система перевіряє вторинне сервер імен і, якщо потрібно, третинний сервер, якщо станеться збій або тайм-аут.

            💡 Обґрунтування безпеки:

            Мета полягає в тому, щоб виконати розділення імен хостів системи за протоколом Інтернету (IP) адреси.

            🔍 Аудит (перевірка налаштувань)
            🖥️ Графічний інтерфейс (GUI / WebUI)

            – Перейдіть до System > General Setup – Перевірте поле «DNS Servers» у таблиці «DNS Server Settings»

              ⚙️ Виправлення (Remediation / Налаштування)
              🖥️ Графічний інтерфейс (GUI / WebUI)

              – Перейдіть до System (Система) > General Setup (Загальні налаштування) – Оновіть поле DNS Servers (Сервери DNS) за допомогою параметра Your DNS Server (Ваш DNS-сервер) і натисніть «Save» (Зберегти).

                Значення за замовчуванням: За замовчуванням воно буде порожнім, якщо не ввімкнено динамічний тип глобальної мережі DHCP, ваш провайдер може призначити їх.
                📋 CIS Controls & Нормативні посилання
                CIS Controls V8: 4.9
                IG 1
                Configure Trusted DNS Servers on Enterprise Assets Configure trusted DNS servers on enterprise assets. Example implementations include

                1.6 Переконайтеся, що IPv6 вимкнено, якщо не використовується (Вручну)

                Level 1Вручну

                Оригінал: Ensure IPv6 is disabled if not used (Manual)

                Хоча IPv6 має багато переваг перед IPv4, не всі організації мають IPv6 або подвійний протокол реалізовані конфігурації стека.

                💡 Обґрунтування безпеки:

                Якщо IPv6 або подвійний стек не використовуватимуться, рекомендується вимкнути IPv6 зменшити поверхню атаки системи.

                🔍 Аудит (перевірка налаштувань)
                🖥️ Графічний інтерфейс (GUI / WebUI)

                Перейдіть до «Система» > «Додатково» > «Мережа». Перевірте, чи встановлено прапорець «Дозволити IPv6».

                  💻 Командний рядок (CLI / SSH Console)

                  Виконайте команду для перевірки параметрів:

                  cat /etc/sysctl.conf
                  Очікуваний результат у консолі:
                  check below entries:
•
net.ipv6.conf.all.disable_ipv6=1
•
net.ipv6.conf.default.disable_ipv6=1
•
net.ipv6.conf.lo.disable_ipv6 = 1

                  ⚙️ Виправлення (Remediation / Налаштування)
                  🖥️ Графічний інтерфейс (GUI / WebUI)

                  Перейдіть до «Система» > «Додатково» > «Мережа». Зніміть прапорець «Дозволити IPv6».

                    💻 Командний рядок (CLI / SSH Console)

                    Виконайте команду для застосування конфігурації:

                    Add below in the `/etc/sysctl.conf` file and reboot.
- net.ipv6.conf.all.disable_ipv6=1
- net.ipv6.conf.default.disable_ipv6=1
- net.ipv6.conf.lo.disable_ipv6 = 1

                    Значення за замовчуванням: У графічному інтерфейсі користувача:Система > Додатково > Мережа Позначено «Дозволити IPv6».
                    📋 CIS Controls & Нормативні посилання
                    CIS Controls V8: 4.8
                    IG 1, 2
                    Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

                    CIS Controls V7: 9.2
                    IG 1, 2
                    Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

                    1.7 Переконайтеся, що «Перевірка повторного прив’язування DNS» знято (Вручну)

                    Level 1Вручну

                    Оригінал: Ensure ‘DNS Rebind Check’ is unchecked (Manual)

                    Переконайтеся, що функція «Перевірка повторного прив’язування DNS» знята для захисту від DNS повторні атаки.

                    💡 Обґрунтування безпеки:

                    Зловмисники можуть використовувати перезв’язування DNS, щоб використати відповідь DNS-сервера на доменне ім’я запит, який розв’язує приватну IP-адресу. Це може забезпечити хакерський доступ до ресурси приватної мережі, які не повинні бути доступними для широкого загалу. до захистити від такого роду атак, функція pfSense “DNS Rebind Check” вимикається приватні IP-відповіді від серверів DNS. Як радили в бенчмарку СНД, відключення ця функція піддасть систему атакам із переприв’язуванням DNS.

                    🔍 Аудит (перевірка налаштувань)
                    🖥️ Графічний інтерфейс (GUI / WebUI)

                    У графічному інтерфейсі – перейдіть до System > Advance – перевірте поле “DNS Rebind Check”

                      ⚙️ Виправлення (Remediation / Налаштування)
                      🖥️ Графічний інтерфейс (GUI / WebUI)

                      У графічному інтерфейсі користувача перейдіть до пункту «Система» > «Додатково» — зніміть прапорець у полі «Перевірка повторного прив’язування DNS».

                        Значення за замовчуванням: За замовчуванням «Перевірка повторного прив’язування DNS» не позначена.
                        📋 CIS Controls & Нормативні посилання
                        CIS Controls V8: 9.2
                        IG 1, 2, 3
                        Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

                        CIS Controls V7: 7.7
                        IG 1, 2, 3
                        Use of DNS Filtering Services Use DNS filtering services to help block access to known malicious domains.

                        1.8 Переконайтеся, що веб-керування налаштовано на використання HTTPS (Вручну)

                        Level 1Вручну

                        Оригінал: Ensure Web Management is Set to use HTTPS (Manual)

                        Доступ до порталу керування веб-адміністратора має здійснюватися лише за допомогою протоколу HTTPS.

                        💡 Обґрунтування безпеки:

                        HTTP передає всі дані (включаючи паролі) у вигляді відкритого тексту через мережу та не гарантує ідентифікацію залучених хостів. Через цей HTTP ніколи не слід використовувати для конфіденційних завдань, таких як керування мережевими пристроями або вхід замість цього слід налаштувати облікові дані для входу та HTTPS для керування веб-порталом

                        🔍 Аудит (перевірка налаштувань)
                        🖥️ Графічний інтерфейс (GUI / WebUI)

                        – Перейдіть до System > Advance > Admin Access – Перевірте таблицю ‘webConfigurator’ для ввімкнення HTTPS.

                          ⚙️ Виправлення (Remediation / Налаштування)
                          🖥️ Графічний інтерфейс (GUI / WebUI)

                          – Перейдіть до System > Advanced > Admin Access – Виберіть «HTTPS» у «webConfigurator». – Натисніть “Зберегти”

                            Значення за замовчуванням: У графічному інтерфейсі користувача: «Система» > «Додатково» > «Протокол доступу адміністратора» буде «HTTPS (SSL/TLS)».
                            📋 CIS Controls & Нормативні посилання
                            CIS Controls V8: 12.3
                            IG 1, 2
                            Securely Manage Network Infrastructure Securely manage network infrastructure. Example implementations include version-controlled-infrastructure-as-code, and the use of secure network protocols, such as SSH and HTTPS.

                            CIS Controls V7: 11.1
                            IG 1, 2
                            Maintain Standard Security Configurations for Network Devices Maintain standard, documented security configuration standards for all authorized network devices.

                            1.9 Переконайтеся, що налаштовано синхронізований вузол високої доступності (Вручну)

                            Level 1Вручну

                            Оригінал: Ensure a synchronized High Availability peer is configured (Manual)

                            Переконайтеся, що вузол високої доступності повністю синхронізований і перебуває в пасивному або активному стані.

                            💡 Обґрунтування безпеки:

                            Щоб забезпечити доступність як брандмауера, так і ресурсів, які він захищає, Високий Потрібен одноранговий доступ. У разі виходу з ладу одного брандмауера або під час обслуговування наприклад, потрібне оновлення програмного забезпечення, вузол високої доступності можна використовувати для автоматичного виходу з ладу над станами сеансу та підтримувати загальну доступність

                            🔍 Аудит (перевірка налаштувань)
                            🖥️ Графічний інтерфейс (GUI / WebUI)

                            – Перейдіть до System > High Avail. Синхронізація – перевірте, чи налаштовано «Синхронізувати конфігурацію з IP».

                              ⚙️ Виправлення (Remediation / Налаштування)
                              🖥️ Графічний інтерфейс (GUI / WebUI)

                              – Перейдіть до System > High Avail. Синхронізація – налаштуйте кожне поле та натисніть «Зберегти».

                                Значення за замовчуванням: Усі поля порожні
                                📋 CIS Controls & Нормативні посилання
                                CIS Controls V8: 4.2
                                IG 1, 2, 3
                                Establish and Maintain a Secure Configuration Process for Network Infrastructure Establish and maintain a secure configuration process for network devices. Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

                                CIS Controls V7: 11.1
                                IG 1, 2
                                Maintain Standard Security Configurations for Network Devices Maintain standard, documented security configuration standards for all authorized network devices.

                                2 Users Management

                                Потрібні інші розділи стандарту?

                                Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


                                До повного змісту CIS pfSense Firewall Benchmark →