Best practice di sicurezza per Amazon Inspector Classic

Medio

Nel target di valutazione è presente un'istanza EC2 configurata in modo da consentire agli utenti di accedere con le credenziali root tramite SSH. Questo scenario aumenta la probabilità di un attacco di forza bruta riuscito.

Ti consigliamo di configurare l'istanza EC2 in modo che vengano impediti gli accessi di account root tramite SSH. Esegui invece l'accesso come utente non root e usa sudo per eseguire l'escalation dei privilegi quando necessario. Per disabilitare gli accessi di account root tramite SSH, imposta PermitRootLogin su no nel file /etc/ssh/sshd_config, quindi riavvia sshd.

Medio

Un'istanza EC2 nel target di valutazione è configurata per supportare SSH-1. Questo protocollo contiene errori di progettazione intrinseci che riducono notevolmente il livello di sicurezza.

Ti consigliamo di configurare le istanze EC2 incluse nel target di valutazione per il supporto solo di SSH-2 e versioni successive. Per ottenere questo risultato in OpenSSH, puoi impostare Protocol 2 nel file /etc/ssh/sshd_config. Per ulteriori informazioni, consultare man sshd_config.

Medio

Un'istanza EC2 nel target di valutazione è configurata per supportare l'autenticazione tramite password con il protocollo SSH. L'autenticazione tramite password è soggetta ad attacchi di forza bruta e deve essere disabilitata e sostituita dall'autenticazione basata su chiave, laddove possibile.

Ti consigliamo di disabilitare l'autenticazione tramite password con il protocollo SSH sulle istanze EC2 e di abilitare invece il supporto dell'autenticazione basata su chiave. Ciò consente di ridurre sensibilmente la probabilità di un attacco di forza bruta riuscito. Per ulteriori informazioni, consulta l'argomento all'indirizzo https://aws.amazon.com/articles/1233/. Se è supportata l'autenticazione tramite password, è importante consentire l'accesso al server SSH solo agli indirizzi IP affidabili.

Medio

Un'istanza EC2 nel target di valutazione non è configurata una durata massima per le password.

Se utilizzi le password, ti consigliamo di configurare una durata massima per le password su tutte le istanze EC2 incluse nel target di valutazione. Questo scenario prevede che gli utenti modifichino regolarmente la propria password in modo da ridurre la probabilità di un attacco basato sul tentativo di indovinare la password. Per risolvere questo problema per gli utenti esistenti, usa il comando chage. Per configurare la durata massima per le password per tutti gli utenti futuri, modifica il campo PASS_MAX_DAYS nel file /etc/login.defs.

Medio

Un'istanza EC2 nel target di valutazione non è configurata una lunghezza minima per le password.

Se utilizzi le password, ti consigliamo di configurare una lunghezza minima per le password su tutte le istanze EC2 incluse nel target di valutazione. L'applicazione di una lunghezza minima delle password riduce il rischio di un attacco basato sul tentativo di indovinare la password. A questo scopo, utilizza la seguente opzione nelpwquality.conffile: minlen. Per ulteriori informazioni, consultahttps://linux.die.net/man/5/pwquality.conf.

Sepwquality.confnon è disponibile nell'istanza, puoi impostare laminlenopzione utilizzando ilpam_cracklib.soModulo. Per ulteriori informazioni, consultare man pam_cracklib.

LaminlenL'opzione deve essere impostata su 14 o superiore.

Medio

Nessuna limitazione o nessun meccanismo di gestione della complessità delle password è configurato nelle istanze EC2 incluse nel target di valutazione. Ciò consente agli utenti di impostare password poco complesse, aumentando la probabilità di accessi non autorizzati e usi impropri degli account da parte di utenti non autorizzati.

Se utilizzi le password, ti consigliamo di configurare tutte le istanze EC2 incluse nel target di valutazione in modo che venga richiesto un determinato livello di complessità delle password. A questo scopo, puoi utilizzare le opzioni seguenti nel file pwquality.conf: lcredit, ucredit, dcredit e ocredit. Per ulteriori informazioni consulta https://linux.die.net/man/5/pwquality.conf.

Se pwquality.conf non è disponibile nell'istanza, puoi impostare le opzioni lcredit, ucredit, dcredit e ocredit usando il modulo pam_cracklib.so. Per ulteriori informazioni, consultare man pam_cracklib.

Il valore atteso per ciascuna di queste opzioni è inferiore o uguale a -1, come illustrato di seguito:

lcredit <= -1, ucredit <= -1, dcredit<= -1, ocredit <= -1

Inoltre, l'opzione remember deve essere impostata su 12 o su un valore superiore. Per ulteriori informazioni, consultare man pam_unix.

Medio

Un'istanza EC2 nel target di valutazione lo standard ASLR non è abilitato.

Per migliorare la sicurezza del target di valutazione, ti consigliamo di abilitare lo standard ASLR sui sistemi operativi di tutte le istanze EC2 incluse nel target eseguendoecho 2 | sudo tee /proc/sys/kernel/randomize_va_space.

Medio

Un'istanza EC2 nel target di valutazione la funzionalità Protezione esecuzione programmi non è abilitata.

Ti consigliamo di abilitare la funzionalità Protezione esecuzione programmi sui sistemi operativi di tutte le istanze EC2 incluse nel target di valutazione. L'abilitazione della funzionalità Protezione esecuzione programmi consente di proteggere le istanze da possibili problemi di sicurezza mediante tecniche di overflow del buffer.

Elevate

Un'istanza EC2 nel target di valutazione include una directory di sistema in cui gli utenti non root possono scrivere.

Per migliorare la sicurezza del target di valutazione ed evitare l'escalation dei privilegi da parte di utenti locali malintenzionati, configura tutte le directory di sistema in tutte le istanze EC2 incluse nel target in modo che la scrittura sia consentita solo agli utenti che accedono con le credenziali dell'account root.