CIS Benchmarks

Avalie um benchmark/versão selecionado contra sistemas explicitamente autorizados. A saída do scanner é evidência parcial, não certificação; verifique a aplicabilidade, exceções documentadas e impacto operacional antes da remediação.

Quando Usar Esta Habilidade

Use esta habilidade quando:

• Avaliando conformidade de segurança
• Implementando linhas de base de segurança
• Atendendo a requisitos regulatórios
• Fortalecendo sistemas para padrões

Ferramentas de Avaliação

OpenSCAP

# Install
apt install openscap-scanner scap-security-guide

# Confirm installed content matches the actual OS and required benchmark/version.
SCAP_FILE="<approved-installed-datastream.xml>"
oscap info "$SCAP_FILE"
PROFILE_ID="<exact-CIS-profile-listed-by-oscap-info>"
# Run the selected assessment only after scope and report-location approval.
oscap xccdf eval \
  --profile "$PROFILE_ID" \
  --results results.xml \
  --report report.html \
  "$SCAP_FILE"

Lynis

# Install
apt install lynis

# Run audit
lynis audit system

# Generate report
lynis audit system --report-file "$PRIVATE_AUDIT_DIR/lynis-report.dat"

InSpec

# cis-profile/controls/ssh.rb
control 'cis-ssh-1' do
  impact 1.0
  title 'Ensure SSH root login is disabled'
  
  describe sshd_config do
    its('PermitRootLogin') { should eq 'no' }
  end
end

control 'cis-ssh-2' do
  impact 0.7
  title 'Ensure SSH password authentication is disabled'
  
  describe sshd_config do
    its('PasswordAuthentication') { should eq 'no' }
  end
end

# Run InSpec
inspec exec cis-profile -t ssh://user@target

Kubernetes CIS

# kube-bench
docker run --rm -v /etc:/etc:ro -v /var:/var:ro \
  aquasec/kube-bench@sha256:<reviewed-image-digest> run --targets node

# Check specific sections
kube-bench --help
# Select role/sections supported by the reviewed version and actual cluster; do not assume master is a current target name.

Fluxo de Trabalho de Remediação

workflow:
  1_scan:
    - Run automated assessment
    - Generate baseline report
    
  2_analyze:
    - Review findings
    - Identify false positives
    - Prioritize by risk
    
  3_remediate:
    - Apply fixes
    - Document exceptions
    - Verify changes
    
  4_validate:
    - Re-run assessment
    - Confirm remediation
    - Generate compliance report

Melhores Práticas

• Estabeleça uma linha de base antes de fortalecer
• Documente exceções
• Automatize avaliações
• Acompanhe a conformidade ao longo do tempo
• Reavaliação regular
• Controle de versão de configurações

Habilidades Relacionadas

• linux-hardening (linux-hardening) - Segurança Linux
• vulnerability-scanning (vulnerability-scanning) - Verificação de segurança

Limitações

• Uma avaliação OpenSCAP/Lynis pode exigir privilégios e ler configurações sensíveis do host; aprove o host exato, perfil, privilégios, saídas privadas e limites primeiro. Não ative a auto-remediação ou monte todos os caminhos do host sem revisar a necessidade. Uma auditoria genérica do Lynis não é um benchmark CIS completo.
• Identificadores de benchmark/perfil e conteúdo SCAP instalado variam; use o fluxo de informações/avaliação documentado do OpenSCAP. Teste as alterações e preserve o rollback/acesso antes de fortalecer a produção.
• Importação apenas de documentação: scripts e modelos upstream não estão incluídos.

Exemplo

# Read-only first: inventory before any active step.
command -v oscap
oscap --version

Adaptado de BagelHole/DevOps-Security-Agent-Skills (MIT); frontmatter, Quando Usar/Limitações e limites de segurança adicionados para conformidade upstream. Importação apenas de documentação: scripts e modelos auxiliares não estão incluídos.