← До повного змісту CIS OPNsense Benchmark

CIS Benchmark

CIS Benchmark • OPNsense v1.0.0

2. Керування користувачами та доступом

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Керування користувачами та доступом».


Рекомендацій: 4


v1.0.0

2.1 Переконайтеся, що час очікування сеансів не перевищує 10 хвилин (Вручну)

Level 1Вручну

Оригінал: Ensure Sessions Timeout is set to less than or equal to 10 Minutes (Manual)

Налаштування тайм-ауту бездіяльності сеансу відображає кількість часу, протягом якого користувач може бути неактивний до завершення сеансу користувача. Це стосується лише браузера користувача сесії.

💡 Обґрунтування безпеки:

Невизначений або навіть тривалий час очікування сеансу підвищує ризик зловживання зловмисниками перерваних сеансів

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

У графічному інтерфейсі користувача: – Перейдіть до «Система» > «Параметри» > «Адміністрування» – Прокрутіть до «Тайм-аут сеансу» – Позначте поле «Тайм-аут сеансу».

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    У графічному інтерфейсі користувача: – Перейдіть до «Система» > «Параметри» > «Адміністрування» – Перейдіть до «Час очікування сеансу» – Встановіть 10 у полі «Тайм-аут сеансу» – Натисніть «Зберегти».

      Значення за замовчуванням: 240 хвилин
      📋 CIS Controls & Нормативні посилання
      CIS Controls V8: 4.3
      IG 1, 2, 3
      Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

      CIS Controls V7: 16.11
      IG 1, 2, 3
      Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

      2.2 Переконайтеся, що сервер LDAP або RADIUS налаштовано (Вручну)

      Level 1Вручну

      Оригінал: Ensure LDAP or RADIUS server configured (Manual)

      Налаштовано сервери LDAP або сервер Radius для централізованої автентифікації.

      💡 Обґрунтування безпеки:

      Схема автентифікації, авторизації та обліку (AAA) забезпечує авторитетність джерело для керування та моніторингу доступу для пристроїв.

      🔍 Аудит (перевірка налаштувань)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      – Перейдіть до Система > Доступ > Сервери – Подивіться, чи налаштовано сервер LDAP або RADIUS

        ⚙️ Виправлення (Remediation / Налаштування)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        – Перейдіть до «Система» > «Доступ» > «Сервери» – натисніть «помаранчевий плюс» у верхньому правому куті – введіть дані, необхідні для вашого сервера LDAP. – натисніть «Зберегти» внизу

          Значення за замовчуванням: Ім’я сервера: локальна база даних
          📋 CIS Controls & Нормативні посилання
          CIS Controls V8: 5.6
          IG 1, 2
          Centralize Account Management Centralize account management through a directory or identity service.

          CIS Controls V7: 16.2
          IG 1, 2
          Configure Centralized Point of Authentication Configure access for all accounts through as few centralized points of authentication as possible, including network, security, and cloud systems.

          2.3 Переконайтеся, що меню консолі захищено паролем (Вручну)

          Level 1Вручну

          Оригінал: Ensure Console Menu is Password Protected (Manual)

          Захистіть меню консолі паролем.

          💡 Обґрунтування безпеки:

          Комп’ютер без нагляду з відкритим сеансом меню консолі пристрою може дозволити неавторизований доступ користувача до управління брандмауером.

          🔍 Аудит (перевірка налаштувань)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          – Перейдіть до «Система» > «Параметри» > «Адміністрування». Перевірте налаштування «Меню консолі».

            ⚙️ Виправлення (Remediation / Налаштування)
            🖥️ Графічний інтерфейс (GUI / WebUI)

            – Перейдіть до «Система» > «Параметри» > «Адміністрування» – Перейдіть до розділу «Консоль» – Переконайтеся, що позначено пункт «Захистити меню консолі паролем» – Натисніть «Зберегти»

              Значення за замовчуванням: Значення за замовчуванням: “Позначено”
              📋 CIS Controls & Нормативні посилання
              CIS Controls V8: 5.2
              IG 1, 2, 3
              Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

              CIS Controls V7: 4.4
              IG 1, 2
              Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

              2.4 Переконайтеся, що всі облікові записи за замовчуванням вимкнено або використовуйте надійні паролі (Вручну)

              Level 1Вручну

              Оригінал: Ensure all default accounts are either disabled or utilize strong passwords (Manual)

              Вимкніть налаштовані облікові записи за умовчанням. Примітка. Обліковий запис адміністратора за умовчанням повинен залишаються ввімкненими для роботи синхронізації високої доступності. Вимкнення може спричинити питань.

              💡 Обґрунтування безпеки:

              Облікові записи за замовчуванням – це облікові записи з попередньо визначеними іменами користувачів і паролями зазвичай входить до складу програмного забезпечення та апаратних пристроїв. Зловмисники часто націлені на дефолт облікові записи, оскільки вони широко відомі та можуть бути використані для отримання несанкціонованого доступу до системи. Щоб запобігти несанкціонованому доступу, усі облікові записи за замовчуванням мають бути такими вимкнути або змінити їхні паролі.

              🔍 Аудит (перевірка налаштувань)
              🖥️ Графічний інтерфейс (GUI / WebUI)

              У GUI: – Перейдіть до System > Access > Users – Перегляньте користувачів за умовчанням

                ⚙️ Виправлення (Remediation / Налаштування)
                ℹ️ Примітка: Обліковий запис адміністратора за замовчуванням має залишатися ввімкненим для високої доступності
                синхронізація для роботи. Його вимкнення може спричинити проблеми.

                Значення за замовчуванням: Єдиним користувачем за замовчуванням є користувач “root”. Додаткова інформація: відомі облікові записи за замовчуванням часто (без обмеження) такі: «admin», «guest», «user», «root», «administrator», «operator», «supervisor» і «demo». Важливо змінити паролі цих облікових записів, щоб зловмисники не могли використовувати їх для отримання несанкціонованого доступу до системи. Для подальшого підвищення безпеки також рекомендується використовувати надійні унікальні паролі для всіх облікових записів користувачів.
                ℹ️ Додаткова інженерна інформація (Additional Information):

                Відомі облікові записи за замовчуванням часто (не обмежуючись) такими: «admin», «guest», «user», «root», «administrator», «operator», «supervisor» і «demo». Важливо змінити паролі цих облікових записів, щоб зловмисники не могли використовувати їх для отримання несанкціонованого доступу до системи. Для подальшого підвищення безпеки також рекомендується використовувати надійні унікальні паролі для всіх облікових записів користувачів.

                📋 CIS Controls & Нормативні посилання
                CIS Controls V8: 4.7
                IG 1
                Manage Default Accounts on Enterprise Assets and Software Manage default accounts on enterprise assets and software, such as root, administrator, and other pre-configured vendor accounts. Example implementations can include

                Потрібні інші розділи стандарту?

                Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


                До повного змісту CIS OPNsense Benchmark →