← До повного змісту CIS OPNsense Benchmark

CIS Benchmark

CIS Benchmark • OPNsense v1.0.0

3. Політика паролів

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Політика паролів».


Рекомендацій: 3


v1.0.0

3.1 Переконайтеся, що для параметра «Статус локального облікового запису» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Local Account status’ is set to ‘Disabled’ (Manual)

Вимкніть обліковий запис «Локального користувача», за винятком адміністратора.

💡 Обґрунтування безпеки:

Локальні облікові записи становлять загрозу безпеці системи, оскільки користувачами не можна керувати із сервера LDAP.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Необхідно вручну перевірити кожен обліковий запис.

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Вимкнено обліковий запис локального користувача.

      📋 CIS Controls & Нормативні посилання
      CIS Controls V8: 5.3
      IG 1, 2, 3
      Disable Dormant Accounts Delete or disable any dormant accounts after a period of 45 days of inactivity, where supported.

      CIS Controls V7: 16.9
      IG 1, 2, 3
      Disable Dormant Accounts Automatically disable dormant accounts after a set period of inactivity.

      3.2 Переконайтеся, що методи захисту входу ввімкнено. (Інструкція) (Вручну)

      Level 1Вручну

      Оригінал: Ensure Login Protection methods are enabled. (Manual)

      OPNsense наполегливо рекомендує ввімкнути двофакторну автентифікацію (наприклад, за допомогою TOTP) для захисту облікових записів користувачів, що дуже ефективно проти підбору паролів напади.

      🔍 Аудит (перевірка налаштувань)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      – Перейдіть до System > Access > Servers – Перевірте, чи налаштовано сервер TOTP

        ⚙️ Виправлення (Remediation / Налаштування)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        – Перейдіть до «Система» > «Доступ» > «Сервери» – Натисніть знак «Плюс», щоб додати сервер TOTP. – Дайте серверу описове ім’я. Потім виберіть Створити новий (160-бітний) секрет у розділі початкового пароля OTP. – Натисніть Зберегти – Для тестування автентифікації користувача OPNsense пропонує простий тестер. Перейдіть до System ‣ Access ‣ Tester – виберіть сервер автентифікації, який ви налаштували, і введіть ім’я користувача. Потім введіть *токен + пароль, запам’ятайте, що порядок – це маркер, а потім пароль у тому ж полі. – Натисніть кнопку перевірки, і якщо все піде добре, ви побачите успішну автентифікацію. – За замовчуванням система перевіряє облікові дані користувача в «Локальній базі даних». У розділі «Система ‣ Налаштування ‣ Адміністрування» вам слід змінити це на щойно доданий сервер автентифікації, щоб переконатися, що жоден локальний користувач не зможе отримати доступ без 2FA.

          Значення за замовчуванням: 2FA не ввімкнено.
          📋 CIS Controls & Нормативні посилання
          1. https://docs.opnsense.org/manual/how-tos/two_factor.html
          CIS Controls V8: 4.10
          IG 1, 2
          Enforce Automatic Device Lockout on Portable End- User Devices Enforce automatic device lockout following a predetermined threshold of local failed authentication attempts on portable end-user devices, where supported. For laptops, do not allow more than 20 failed authentication attempts; for tablets and smartphones, no more than 10 failed authentication attempts. Example implementations include Microsoft® InTune Device Lock and Apple® Configuration Profile maxFailedAttempts.

          CIS Controls V7: 16.13
          IG 1
          Alert on Account Login Behavior Deviation Alert when users deviate from normal login behavior, such as time-of-day, workstation location and duration.

          3.3 Переконайтеся, що стандартний пароль адміністратора змінено (Вручну)

          Level 1Вручну

          Оригінал: Ensure default password of admin is changed (Manual)

          Переконайтеся, що стандартний пароль для користувача root змінено.

          💡 Обґрунтування безпеки:

          Використання стандартних паролів для облікового запису root може призвести до злому системи.

          ⚠️ Вплив на робочий процес (Impact):

          Неможливість змінити пароль облікового запису root за замовчуванням створює високий ризик для системи оскільки «кореневий» обліковий запис може бути зловживаний неавторизованими користувачами, дозволяючи їм повний root доступ до системи.

          🔍 Аудит (перевірка налаштувань)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          Спробуйте увійти в GUI за допомогою: Ім’я користувача: root Пароль: opnsense

            ⚙️ Виправлення (Remediation / Налаштування)
            🖥️ Графічний інтерфейс (GUI / WebUI)

            – Перейдіть до Система > Доступ > Користувачі – Клацніть піктограму олівця в розділі «Команди» – Змініть пароль облікового запису користувача root за замовчуванням. – Натисніть «Зберегти» внизу сторінки.

              Значення за замовчуванням: безглуздо
              📋 CIS Controls & Нормативні посилання
              CIS Controls V8: 4.7
              IG 1
              Manage Default Accounts on Enterprise Assets and Software Manage default accounts on enterprise assets and software, such as root, administrator, and other pre-configured vendor accounts. Example implementations can include

              Потрібні інші розділи стандарту?

              Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


              До повного змісту CIS OPNsense Benchmark →