← До повного змісту CIS pfSense Firewall Benchmark

CIS Benchmark

CIS Benchmark • pfSense Firewall v1.1.0

2. Керування користувачами та доступом

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Керування користувачами та доступом».


Рекомендацій: 4


v1.1.0

2.1 Переконайтеся, що час очікування сеансів не перевищує 10 хвилин (Вручну)

Level 1Вручну

Оригінал: Ensure Sessions Timeout is set to less than or equal to 10 Minutes (Manual)

Налаштування тайм-ауту бездіяльності сеансу відображає кількість часу, протягом якого користувач може бути неактивний до завершення сеансу користувача. Це стосується лише браузера користувача сесії.

💡 Обґрунтування безпеки:

Невизначений або навіть тривалий час очікування сеансу підвищує ризик зловживання зловмисниками перерваних сеансів

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

У графічному інтерфейсі: – Перейдіть до System (Система) > User Manager (Диспетчер користувачів) – CLICK (Налаштування) у верхній частині. – Перевірте поле «Тайм-аут сеансу».

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    У графічному інтерфейсі: – Перейдіть до System (Система) > User Manager (Диспетчер користувачів) – CLICK (Налаштування) у верхній частині. – встановіть 10 у полі «Тайм-аут сеансу». – НАТИСНІТЬ Зберегти

      Значення за замовчуванням: Ім’я користувача в списку буде: ‘admin’
      📋 CIS Controls & Нормативні посилання
      CIS Controls V8: 4.3
      IG 1, 2, 3
      Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

      CIS Controls V7: 16.11
      IG 1, 2, 3
      Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

      2.2 Переконайтеся, що сервер LDAP або RADIUS налаштовано (Вручну)

      Level 1Вручну

      Оригінал: Ensure LDAP or RADIUS server configured (Manual)

      Налаштовано сервери LDAP або сервер Radius для централізованої автентифікації.

      💡 Обґрунтування безпеки:

      Схема автентифікації, авторизації та обліку (AAA) забезпечує авторитетність джерело для керування та моніторингу доступу для пристроїв.

      🔍 Аудит (перевірка налаштувань)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      – Перейдіть до System > User Manager. – Клацніть Сервери автентифікації вгорі. – Перевірте параметр “Сервери автентифікації”.

        ⚙️ Виправлення (Remediation / Налаштування)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        – Перейдіть до System > User Manager. – Клацніть Сервери автентифікації вгорі. – Налаштувати параметр “Сервери автентифікації”.

          Значення за замовчуванням: “Ім’я сервера” буде “Локальна база даних”
          📋 CIS Controls & Нормативні посилання
          CIS Controls V8: 5.6
          IG 1, 2
          Centralize Account Management Centralize account management through a directory or identity service.

          CIS Controls V7: 16.2
          IG 1, 2
          Configure Centralized Point of Authentication Configure access for all accounts through as few centralized points of authentication as possible, including network, security, and cloud systems.

          2.3 Переконайтеся, що меню консолі захищено паролем (Вручну)

          Level 1Вручну

          Оригінал: Ensure Console Menu is Password Protected (Manual)

          Захистіть меню консолі паролем.

          💡 Обґрунтування безпеки:

          Комп’ютер без нагляду з відкритим сеансом меню консолі пристрою може дозволити неавторизований доступ користувача до управління брандмауером.

          🔍 Аудит (перевірка налаштувань)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          – Перейдіть до Система > Додатково > Доступ адміністратора. – Перевірте налаштування «Параметри консолі».

            ⚙️ Виправлення (Remediation / Налаштування)
            🖥️ Графічний інтерфейс (GUI / WebUI)

            – Перейдіть до Система > Додатково > Доступ адміністратора. – Встановіть налаштування «Параметри консолі» – натисніть «Зберегти»

              Значення за замовчуванням: «Меню консолі» буде знято
              📋 CIS Controls & Нормативні посилання
              CIS Controls V8: 5.2
              IG 1, 2, 3
              Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

              CIS Controls V7: 4.4
              IG 1, 2
              Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

              2.4 Переконайтеся, що всі облікові записи за замовчуванням вимкнено або використовуйте надійні паролі (Вручну)

              Level 1Вручну

              Оригінал: Ensure all default accounts are either disabled or utilize strong passwords (Manual)

              Вимкніть налаштовані облікові записи за умовчанням. Примітка. Обліковий запис адміністратора за умовчанням повинен залишаються ввімкненими для роботи синхронізації високої доступності. Вимкнення може спричинити питань.

              💡 Обґрунтування безпеки:

              Облікові записи за замовчуванням – це облікові записи з попередньо визначеними іменами користувачів і паролями зазвичай входить до складу програмного забезпечення та апаратних пристроїв. Зловмисники часто націлені на дефолт облікові записи, оскільки вони широко відомі та можуть бути використані для отримання несанкціонованого доступу до системи. Щоб запобігти несанкціонованому доступу, усі облікові записи за замовчуванням мають бути такими вимкнути або змінити їхні паролі.

              🔍 Аудит (перевірка налаштувань)
              🖥️ Графічний інтерфейс (GUI / WebUI)

              У GUI: – Перейдіть до System > User Manager > Users – Перегляньте користувачів за умовчанням

                ⚙️ Виправлення (Remediation / Налаштування)
                ℹ️ Примітка: Обліковий запис адміністратора за замовчуванням має залишатися ввімкненим для високої доступності
                синхронізація для роботи. Його вимкнення може спричинити проблеми.

                Значення за замовчуванням: Єдиним користувачем за умовчанням є користувач «адміністратор». Додаткова інформація: відомі облікові записи за замовчуванням часто (без обмеження) такі: «admin», «guest», «user», «root», «administrator», «operator», «supervisor» і «demo». Важливо змінити паролі цих облікових записів, щоб зловмисники не могли використовувати їх для отримання несанкціонованого доступу до системи. Для подальшого підвищення безпеки також рекомендується використовувати надійні унікальні паролі для всіх облікових записів користувачів.
                ℹ️ Додаткова інженерна інформація (Additional Information):

                Відомі облікові записи за замовчуванням часто (не обмежуючись) такими: «admin», «guest», «user», «root», «administrator», «operator», «supervisor» і «demo». It is important to change the passwords of these accounts to prevent attackers from using them to gain unauthorized access to the system. The use Використання надійних, унікальних паролів для всіх облікових записів користувачів також рекомендується для додаткового підвищення безпеки.

                📋 CIS Controls & Нормативні посилання
                CIS Controls V8: 4.7
                IG 1
                Manage Default Accounts on Enterprise Assets and Software Manage default accounts on enterprise assets and software, such as root, administrator, and other pre-configured vendor accounts. Example implementations can include

                Потрібні інші розділи стандарту?

                Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


                До повного змісту CIS pfSense Firewall Benchmark →