← До повного змісту CIS OPNsense Benchmark

CIS Benchmark

CIS Benchmark • OPNsense v1.0.0

5. Конфігурація системних служб

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Конфігурація системних служб».


Рекомендацій: 3


v1.0.0

5.1.1 Переконайтеся, що часовий пояс правильно налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure time zone is properly configured (Manual)

Встановлює інформацію про місцевий часовий пояс для більш точного відображення часу на пристрої для глядачів.

💡 Обґрунтування безпеки:

Налаштування часу пристрою мають бути точними, зокрема, з двох причин. Перший що цифрові сертифікати використовують цей час для порівняння терміну дії, який вони вказують у своїх Поля «Дійсно від» і «Дійсно до» в певний діапазон часу. Друге виправдання – потреба для точних позначок часу під час реєстрації даних. Під час захоплення пакетів, доставки повідомлення на сервер Syslog, станції моніторингу SNMP або інші завдання, мітки часу лише якщо ви можете бути впевнені в їх точності.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

– Перейдіть до «Служби» > «Мережевий час» > «Загальні» – Переконайтеся, що NTP-сервери налаштовані належним чином і один із них позначено як «Переважний»

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    – Перейдіть до «Служби» > «Мережевий час» > «Загальні» – Додайте сервери NTP у розділі «Сервери часу».

      📋 CIS Controls & Нормативні посилання
      CIS Controls V8: 8.4
      IG 1, 2
      Standardize Time Synchronization Standardize time synchronization. Configure at least two synchronized time sources across enterprise assets, where supported.

      CIS Controls V7: 6.1
      IG 1, 2
      Utilize Three Synchronized Time Sources Use at least three synchronized time sources from which all servers and network devices retrieve time information on a regular basis so that timestamps in logs are consistent.

      5.2 DNS Service Policy

      5.2.1 Переконайтеся, що «DNSSEC» увімкнено в службі DNS (Вручну)

      Level 1Вручну

      Оригінал: Ensure ‘DNSSEC’ is Enable on DNS Service (Manual)

      Увімкніть “DNSSEC” у конфігурації служби DNS.

      💡 Обґрунтування безпеки:

      Увімкніть підтримку DNSSEC. DNSSEC — це засіб захисту даних DNS від атак які використовують підроблені або змінені дані DNS, наприклад, отруєння кешу DNS.

      🔍 Аудит (перевірка налаштувань)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      – Перейдіть до «Служби» > «Незв’язаний DNS» > «Загальні» – Перевірте, чи встановлено прапорець «Увімкнути підтримку DNSSEC».

        ⚙️ Виправлення (Remediation / Налаштування)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        – Перейдіть до «Служби» > «Незв’язаний DNS» > «Загальні» – Поставте прапорець біля «Увімкнути підтримку DNSSEC» – Натисніть «Застосувати»

          📋 CIS Controls & Нормативні посилання
          CIS Controls V8: 9.2
          IG 1, 2, 3
          Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

          CIS Controls V7: 7.7
          IG 1, 2, 3
          Use of DNS Filtering Services Use DNS filtering services to help block access to known malicious domains.

          5.3 VPN Configuration

          5.3.1 Переконайтеся, що WireGuard використовується як метод VPN за умовчанням (Вручну)

          Level 1Вручну

          Оригінал: Ensure WireGuard is used as the default VPN method (Manual)

          WireGuard має використовувати виділену підмережу RFC1918, яка не використовується повторно жодною внутрішньою мережею VLAN. Крім того, WireGuard має залишатися вимкненим, якщо це явно не потрібно для схвалені варіанти використання віддаленого доступу або мережі VPN.

          ⚠️ Вплив на робочий процес (Impact):

          Доступ до VPN недоступний, доки не ввімкнено.

          🔍 Аудит (перевірка налаштувань)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          Перевірте налаштування в графічному веб-інтерфейсі:

          1. Перейдіть до VPN → WireGuard
          2. Переконайтеся, що екземпляри WireGuard не ввімкнено, якщо це не потрібно.
          ⚙️ Виправлення (Remediation / Налаштування)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          Виконайте такі дії в графічному інтерфейсі:

          1. Перейдіть до VPN → WireGuard → Примірники
          2. Натисніть знак плюс, щоб додати екземпляр WireGuard
          3. Натисніть «Зберегти», коли всі ваші дані екземпляра будуть введені
          Значення за замовчуванням: Немає ввімкнених VPN.
          📋 CIS Controls & Нормативні посилання
          CIS Controls V8: 12.7
          IG 1, 2
          Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise’s AAA Infrastructure Require users to authenticate to enterprise-managed VPN and authentication services prior to accessing enterprise resources on end-user devices.

          CIS Controls V7: 12.12
          IG 1
          Manage All Devices Remotely Logging into Internal Network Scan all enterprise devices remotely logging into the organization’s network prior to accessing the network to ensure that each of the organization’s security policies has been enforced in the same manner as local network devices.

          6 Logging

          Потрібні інші розділи стандарту?

          Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


          До повного змісту CIS OPNsense Benchmark →