← До повного змісту CIS pfSense Firewall Benchmark

CIS Benchmark

CIS Benchmark • pfSense Firewall v1.1.0

3. Політика паролів

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Політика паролів».


Рекомендацій: 4


v1.1.0

3.1 Переконайтеся, що для параметра «Статус локального облікового запису» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Local Account status’ is set to ‘Disabled’ (Manual)

Вимкніть обліковий запис «Локального користувача», за винятком адміністратора.

💡 Обґрунтування безпеки:

Локальні облікові записи становлять загрозу безпеці системи, оскільки користувачами не можна керувати із сервера LDAP.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Необхідно вручну перевірити кожен обліковий запис.

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Вимкнено обліковий запис локального користувача.

      📋 CIS Controls & Нормативні посилання
      CIS Controls V8: 5.3
      IG 1, 2, 3
      Disable Dormant Accounts Delete or disable any dormant accounts after a period of 45 days of inactivity, where supported.

      CIS Controls V7: 16.9
      IG 1, 2, 3
      Disable Dormant Accounts Automatically disable dormant accounts after a set period of inactivity.

      3.2 Переконайтеся, що поріг захисту входу встановлено на 30 або менше (Вручну)

      Level 1Вручну

      Оригінал: Ensure Login Protection Threshold is set to 30 or less (Manual)

      Поріг захисту входу — це система на основі балів, яка допомагає запобігти несанкціонований доступ до брандмауера pfSense. Ця оцінка базується на різних критеріях, включаючи кількість невдалих спроб входу з певної IP-адреси. Це контроль гарантує, що поріг захисту входу встановлено на значення 30 або менше.

      💡 Обґрунтування безпеки:

      Встановлення порога захисту входу на значення 30 або менше допомагає запобігти зловмисникам від грубого проникнення в систему. Значення за замовчуванням 30, і це є прийнятним значенням для більшості ситуацій. Обмежуючи кількість невдалих входів спроби, система може захистити від несанкціонованого доступу та підвищити безпеку.

      🔍 Аудит (перевірка налаштувань)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      – Перейдіть до «Система» > «Додатково» – Перевірте поле «Захист входу» > «Порогове значення»

        ⚙️ Виправлення (Remediation / Налаштування)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        – Перейдіть до «Система» > «Додатково» – встановіть 30 у «Захист входу» > «Порогове значення» — натисніть «Зберегти»

          📋 CIS Controls & Нормативні посилання
          CIS Controls V8: 4.10
          IG 1, 2
          Enforce Automatic Device Lockout on Portable End- User Devices Enforce automatic device lockout following a predetermined threshold of local failed authentication attempts on portable end-user devices, where supported. For laptops, do not allow more than 20 failed authentication attempts; for tablets and smartphones, no more than 10 failed authentication attempts. Example implementations include Microsoft® InTune Device Lock and Apple® Configuration Profile maxFailedAttempts.

          CIS Controls V7: 16.13
          IG 1
          Alert on Account Login Behavior Deviation Alert when users deviate from normal login behavior, such as time-of-day, workstation location and duration.

          3.3 Переконайтеся, що «Дозволити доступ» знову після встановлення часу на 300 або більше секунд (Вручну)

          Level 1Вручну

          Оригінал: Ensure Allow access again after time is set to 300 or more second (Manual)

          Блокування пароля облікового запису >= 300 секунд. Знову дозволити доступ після того, як користувач був заблоковано (через невдалі спроби входу). Користувачеві надається доступ після налаштування час, якщо протягом цього часу не було спроб входу).

          💡 Обґрунтування безпеки:

          параметр Дозволити доступ знову після налаштування часу визначає кількість секунд.

          🔍 Аудит (перевірка налаштувань)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          У GUI: – Перейдіть до System > Advanced > Admin Access – Перевірте параметри «Login Protection». – Перевірте, чи значення «Blocktime» перевищує 300 секунд.

            ⚙️ Виправлення (Remediation / Налаштування)
            🖥️ Графічний інтерфейс (GUI / WebUI)

            У GUI: – Перейдіть до System > Advanced > Admin Access – установіть параметри «Login Protection». – встановіть значення «Blocktime» на 300. – НАТИСНІТЬ «Зберегти».

              Значення за замовчуванням: “Час блокування” буде порожнім
              📋 CIS Controls & Нормативні посилання
              CIS Controls V7: 5.1
              IG 1, 2, 3
              Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

              3.4 Переконайтеся, що стандартний пароль адміністратора змінено (Вручну)

              Level 1Вручну

              Оригінал: Ensure default password of admin is changed (Manual)

              Щоб допомогти користувачам змінити пароль за умовчанням для облікового запису адміністратора.

              💡 Обґрунтування безпеки:

              Використання паролів за замовчуванням для облікового запису адміністратора може спричинити компрометацію система.

              ⚠️ Вплив на робочий процес (Impact):

              Неможливість змінити пароль облікового запису адміністратора за замовчуванням створює високий ризик для системи оскільки неавторизовані користувачі можуть зловживати обліковим записом адміністратора, дозволяючи їм повний root доступ до системи.

              🔍 Аудит (перевірка налаштувань)
              🖥️ Графічний інтерфейс (GUI / WebUI)

              Спробуйте увійти до GUI за допомогою: Ім’я користувача: admin Пароль: pfsense

                ⚙️ Виправлення (Remediation / Налаштування)
                🖥️ Графічний інтерфейс (GUI / WebUI)

                – Перейдіть до «Система» > «Диспетчер користувачів» – клацніть піктограму олівця в розділі «Дії» – Змініть пароль облікового запису користувача «адміністратор» за замовчуванням. – Натисніть “Зберегти” внизу сторінки.

                  Значення за замовчуванням: Значення за замовчуванням:Користувач: admin Пароль: pfsense
                  📋 CIS Controls & Нормативні посилання
                  CIS Controls V8: 4.7
                  IG 1
                  Manage Default Accounts on Enterprise Assets and Software Manage default accounts on enterprise assets and software, such as root, administrator, and other pre-configured vendor accounts. Example implementations can include

                  Потрібні інші розділи стандарту?

                  Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


                  До повного змісту CIS pfSense Firewall Benchmark →