ACK CIS加固使用说明

加固项分类说明

CIS Aliyun Linux 2 Benchmark version 1.0.0

因为Level 2可能会影响性能且Not Scored项不纳入计分，因此对节点的Alibaba Cloud Linux 2操作系统，ACK集群只针对Level 1 Sorced项进行安全加固。

CIS Alibaba Cloud Linux 3 Benchmark v1.0.0

因为Level 2可能会影响性能且Manual项不纳入计分，因此对节点的Alibaba Cloud Linux 3操作系统，ACK集群只针对Level 1 Automated项做安全加固。

使用Alibaba Cloud Linux CIS加固版

Alibaba Cloud Linux 2

在创建ACK集群时，您可以选择启用CIS加固，并将操作系统设置为Alibaba Cloud Linux 2.1903，这样集群在创建时会自动配置对应的CIS加固项，使得ACK集群所有节点的Alibaba Cloud Linux 2镜像满足CIS Aliyun Linux 2 Benchmark version 1.0.0中大部分Level 1 Scored项的加固要求。关于满足的加固项，请参见ACK集群中未加固的CIS Level 1 Scored项清单。

说明 为了满足CIS Level 1的加固要求，ACK会在CIS加固的Alibaba Cloud Linux 2操作系统中默认创建ack_cis这个普通用户。

Alibaba Cloud Linux 3

在创建ACK集群时，您可以选择启用CIS加固，并将操作系统设置为Alibaba Cloud Linux 3.2104，这样集群在创建时会自动配置对应的CIS加固项，使得ACK集群所有节点的Alibaba Cloud Linux 3镜像满足CIS Alibaba Cloud Linux 3 Benchmark v1.0.0中大部分Level 1 Automated项的加固要求。关于满足的加固项，请参见ACK集群中未加固的CIS Level 1 Automated项清单。

ACK CIS加固集群满足的CIS Level 1加固项清单

Alibaba Cloud Linux 2

Alibaba Cloud Linux 3

使用CIS-CAT扫描工具验证ACK集群的CIS加固效果

如果您想验证ACK集群的CIS加固效果，可以使用CIS官网提供的CIS-CAT工具进行扫描验证。CIS-CAT是一个安全配置评估软件工具，即扫描工具，它能够详细地提供目标系统的评估结果。通过运行该工具，可以得到目标系统在指定CIS Benchmark profile的合规分数，同时还会针对不合规的配置给出修复步骤。更多信息，请参见CIS-CAT工具。

CIS-CAT分为Lite和Pro版，Lite提供的功能有限，且仅支持的系统包括Windows 10, Ubuntu 18.04和Google Chrome等，不支持Alibaba Cloud Linux 2操作系统，因此无法扫描ACK集群的CIS加固效果。

CIS-CAT Pro具有v4和v3两个版本系列。以v4为例，本文阐述如何使用CIS-CAT Pro扫描工具验证Alibaba Cloud Linux 2和Alibaba Cloud Linux 3 ACK集群的CIS加固效果。

Alibaba Cloud Linux 2

1. 下载CIS Aliyun Linux 2 Benchmark version 1.0.0，具体操作，请参见下载Alibaba Cloud Linux CIS Benchmarks。
2. 登录CIS SecureSuite，注册成为CIS SecureSuite会员，并下载CIS-CAT Pro工具包（Assessor-CLI-v4.0.23.zip）。
   
3. 登录到ACK集群的任一Alibaba Cloud Linux 2操作系统的节点。
   关于连接ACK集群ECS节点的具体方式，请参见查看节点信息和连接方式概述。
4. 分别执行以下命令安装CIS-CAT需要的Java环境。

   yum -y install java-1.8.0-openjdk java-1.8.0-openjdk-devel

   cat > /etc/profile.d/java8.sh <<EOF 
   export JAVA_HOME=$(dirname $(dirname $(readlink $(readlink $(which javac)))))
   export PATH=$PATH:$JAVA_HOME/bin
   export CLASSPATH=.:$JAVA_HOME/jre/lib:$JAVA_HOME/lib:$JAVA_HOME/lib/tools.jar
   EOF

   source /etc/profile.d/java8.sh

5. 分别执行以下命令使用CIS-CAT Pro工具（Assessor-CLI-v4.0.23.zip）进行扫描。

   unzip Assessor-CLI-v4.0.23.zip

   cd Assessor-CLI

   chmod +x ./Assessor-CLI.sh

   ./Assessor-CLI.sh  -b ./benchmarks/CIS_Aliyun_Linux_2_Benchmark_v1.0.0-xccdf.xml  -p "Level 1" -html

   说明

   • -b：用来选择Benchmark的类型（操作系统和对应的版本类型）。
   • -p：用来选择扫描的Level，因ACK只对CIS Level 1 Scored进行扫描，因此扫描时选择Level 1。
6. 查看扫描结果。
   

   扫描结果解释如下。更多信息，请参见CIS-CAT Pro Assessor v4 Report。

   参数	解释
   Total # of Results	所选择的Benchmark的加固项总数，CIS_Aliyun_Linux_2_Benchmark_v1.0.0总共204项。
   Total Scored Results	所选Level的Scored项总数，Level 1一共145项。
   Total Pass	所选Level的Scored项中当前系统通过的总数，CIS加固的ACK集群每个节点通过的Level 1 Scored项为128项。
   Total Fail	所选Level的Scored项中当前系统未通过的总数，CIS加固的ACK集群每个节点未通过的Level 1 Scored项为17项。
   Total Error	所选Level的Scored项中扫描脚本执行出错的项，这里CIS-CAT Pro都正确返回，因此结果为0。
   Total Unknown	所选Level的Scored项中，CIS-CAT无法判断是否满足安全加固标准的项，这里结果为0。
   Total Not Applicable	所选的Benchmark中与当前操作系统不匹配的项。在Alibaba Cloud Linux 2上执行CIS_Aliyun_Linux_2_Benchmark_v1.0.0的CIS-CAT Pro扫描不存在不匹配的项。
   Total Not Checked	与Total Informational一样同属于Not Scored。
   Total Not Selected	所选Benchmark中未检查的加固项。CIS-CAT Pro对Level 1进行检查，因此这里未检查的加固项为所有的Level 2（共36项）。
   Total Informational	需要手动评估是否满足，在所选Level中属于Not Scored。

Alibaba Cloud Linux 3

因为CIS-CAT还没完全支持Alibaba Cloud Linux 3，所以需要用户手动下载Alibaba Cloud Linux 3的XCCDF + OVAL文件，并跳过对linux 3的平台检查。

1. 登录CIS WorkBench，单击Export后找到XCCDF + OVAL，单击Download下载XCCDF + OVAL文件。下载完成后解压文件。
   解压后的文件如下：
2. 登录CIS SecureSuite，注册成为CIS SecureSuite会员，并下载CIS-CAT Pro工具包（Assessor-CLI-v4.0.23.zip）。
   
3. 登录到ACK集群的任一Alibaba Cloud Linux3操作系统的节点。
   关于连接ACK集群ECS节点的具体方式，请参见查看节点信息和连接方式概述。
4. 分别执行以下命令安装CIS-CAT需要的Java环境。

   yum -y install java-1.8.0-openjdk java-1.8.0-openjdk-devel

   cat > /etc/profile.d/java8.sh <<EOF 
   export JAVA_HOME=$(dirname $(dirname $(readlink $(readlink $(which javac)))))
   export PATH=$PATH:$JAVA_HOME/bin
   export CLASSPATH=.:$JAVA_HOME/jre/lib:$JAVA_HOME/lib:$JAVA_HOME/lib/tools.jar
   EOF

   source /etc/profile.d/java8.sh

5. 执行以下命令，手动修改配置文件来忽略平台检查。

   cd Assessor-CLI/config
   sed -i 's/ignore.platform.mismatch=false/ignore.platform.mismatch=true/g' assessor-cli.properties
   cd -

6. 执行以下命令，使用CIS-CAT Pro工具（Assessor-CLI-v4.0.23.zip）进行扫描。

   cp /path/to/CIS_Alibaba_Cloud_Linux_3_Benchmark_v1.0.0-xccdf.xml  Assessor-CLI/benchmarks/
   cd Assessor-CLI
   chmod +x ./Assessor-CLI.sh
   ./Assessor-CLI.sh  -b ./benchmarks/CIS_Alibaba_Cloud_Linux_3_Benchmark_v1.0.0-xccdf.xml -p "Level 1" -txt -html

   说明

   • -b：用来选择Benchmark的类型（操作系统和对应的版本类型）。
   • -p：用来选择扫描的Level，因ACK只对CIS Level 1 Automated进行扫描，因此扫描时选择Level 1。
7. 查看扫描结果。
   

   扫描结果解释如下。更多信息，请参见CIS-CAT Pro Assessor v4中User Guide Assessor文档的Report部分。

   参数	解释
   Total # of Results	所选择的Benchmark的加固项总数，CIS Alibaba Cloud Linux 3 Benchmark v1.0.0总共266项。
   Total Scored Results	所选Level的Scored项总数，Level 1一共183项。
   Total Pass	所选Level的Automated项中当前系统通过的总数，CIS加固的ACK集群每个节点通过的Level 1 Automated项为168项。
   Total Fail	所选Level的Automated项中当前系统未通过的总数，CIS加固的ACK集群每个节点未通过的Level 1 Automated项为15项。
   Total Error	所选Level的Scored项中扫描脚本执行出错的项，这里CIS-CAT Pro都正确返回，因此结果为0。
   Total Unknown	所选Level的Automated项中，CIS-CAT无法判断是否满足安全加固标准的项，这里结果为0。
   Total Not Applicable	所选的Benchmark中与当前操作系统不匹配的项。
   Total Not Checked	与Total Informational一样同属于Manual。
   Total Not Selected	所选Benchmark中未检查的加固项。CIS-CAT Pro对Level 1进行检查，因此这里未检查的加固项为所有的Level 2（共49项）。
   Total Informational	需要手动评估是否满足，在所选Level中属于Manual。