Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Von Bedeutung
Dieser Artikel bezieht sich nur auf Azure Linux 3.0 und das von AKS verwendete Azure Linux 3.0-Containerhostimage. Die Empfehlungsstatus und -anleitungen spiegeln die CIS Azure Linux 3.0 Benchmark v1.0 und ein Point-in-Time Azure Linux 3.0-Image wider (veröffentlicht am 2. Juli 2025). Sie gelten möglicherweise nicht für andere Azure Linux-Versionen (z. B. Azure Linux 2.0). Überprüfen Sie die Betriebssystemversion und die Benchmark-Version, bevor Sie Anleitungen anwenden.
Die auf den Azure Linux-Containerhost für AKS-Image angewendete Sicherheitsbetriebssystemkonfiguration basiert auf der Azure Linux-Sicherheitsbasislinie, die mit dem CIS-Benchmark übereinstimmt. Als sicherer Service erfüllt AKS die STANDARDS SOC, ISO, PCI DSS und HIPAA. Weitere Informationen zur Sicherheit des Azure Linux-Containerhosts finden Sie unter Sicherheitskonzepte für Cluster in Azure Kubernetes Service (AKS).For more information about the Azure Linux Container Host security, see Security concepts for clusters in Azure Kubernetes Service (AKS). Weitere Informationen zum CIS-Benchmark finden Sie im Center for Internet Security (CIS) Benchmarks. Weitere Informationen zu den Azure-Sicherheitsbaselines für Linux finden Sie unter Linux-Sicherheitsgrundwerte.
Recommendations
Die Tabelle enthält vier Abschnitte:
- CIS-ID: Die zugeordnete Regel-ID mit den einzelnen Basisregeln.
- Beschreibung der Empfehlung: Eine Beschreibung der Empfehlung der CIS-Benchmark.
- Niveau: L1 oder Ebene 1 empfiehlt wesentliche grundlegende Sicherheitsanforderungen, die auf jedem System konfiguriert werden können, und sollte zu einer geringen oder gar keinen Unterbrechung des Dienstes oder einer eingeschränkten Funktionalität führen.
-
Status:
- Pass - Die Empfehlung wurde angewendet.
- Fail - Die Empfehlung wurde nicht angewendet.
- N/A – Die Empfehlung bezieht sich auf Die Berechtigungsanforderungen für Manifestdateien, die für AKS nicht relevant sind.
- Hängt von Der Umgebung ab – Die Empfehlung wird in der spezifischen Umgebung des Benutzers angewendet und wird nicht von AKS gesteuert.
- Gleichwertiges Steuerelement – Die Empfehlung wurde auf eine andere gleichwertige Weise implementiert.
-
Grund:
- Mögliche Auswirkungen des Vorgangs – Die Empfehlung wurde nicht angewendet, da sie negative Auswirkungen auf den Dienst hätte.
- Abgedeckt an anderer Stelle – Die Empfehlung wird von einem anderen Steuerelement in Azure Cloud Compute abgedeckt.
Azure Linux 3.0-Benchmarks
Nachfolgend sind die Ergebnisse der CIS Azure Linux 3.0 Benchmark v1.0-Empfehlungen basierend auf den CIS-Regeln aufgeführt:
| CIS-ID | Empfehlungsbeschreibung | Der Status | Ursache |
|---|---|---|---|
| 1.1.1.1 | Stellen Sie sicher, dass das Cramfs-Kernelmodul nicht verfügbar ist. | Bestehen | |
| 1.1.1.2 | Stellen Sie sicher, dass das Freevxfs-Kernelmodul nicht verfügbar ist. | Bestehen | |
| 1.1.1.3 | Sicherstellen, dass hfs Kernel-Modul nicht verfügbar ist | Bestehen | |
| 1.1.1.4 | Sicherstellen, dass hfsplus-Kernelmodul nicht verfügbar ist | Bestehen | |
| 1.1.1.5 | Stellen Sie sicher, dass das jffs2-Kernelmodul nicht verfügbar ist. | Bestehen | |
| 1.1.1.6 | Sicherstellen, dass nicht verwendete Dateisystem-Kernelmodule nicht verfügbar sind | N/A | |
| 1.1.2.1.1 | Sicherstellen, dass /tmp eine separate Partition ist | Bestehen | |
| 1.1.2.1.2 | Stellen Sie sicher, dass die Nodev-Option auf der /tmp-Partition festgelegt ist | Bestehen | |
| 1.1.2.1.3 | Stellen Sie sicher, dass die Nosuid-Option auf der /tmp-Partition festgelegt ist. | Bestehen | |
| 1.1.2.2.1 | Sicherstellen, dass /dev/shm eine separate Partition ist | Bestehen | |
| 1.1.2.2.2 | Stellen Sie sicher, dass die nodev-Option auf /dev/shm partition festgelegt ist. | Bestehen | |
| 1.1.2.2.3 | Stellen Sie sicher, dass die Nosuid-Option auf /dev/shm partition festgelegt ist | Bestehen | |
| 1.2.1.1 | Sicherstellen, dass GPG-Schlüssel konfiguriert sind | N/A | |
| 1.2.1.2 | Sicherstellen, dass gpgcheck konfiguriert ist | Bestehen | |
| 1.2.1.3 | Sicherstellen, dass TDNF gpgcheck global aktiviert ist | Bestehen | |
| 1.2.1.4 | Sicherstellen, dass Paket-Manager-Repositorys konfiguriert sind | N/A | |
| 1.3.1 | Sicherstellen, dass die Randomisierung des Adressraumlayouts aktiviert ist | Fehler | DIE CIS-ID 1.3.1 erfordert, dass das Betriebssystem explizit eine Konfiguration zum Aktivieren von ASLR festlegen muss. In Azure Linux 3.0 ist dies das Standardverhalten. Um diesen Benchmark zu erfüllen und sicherzustellen, dass das Betriebssystem gegen upstream-Standardänderungen widerstandsfähig ist, wird diese Konfiguration in einer bevorstehenden Version explizit festgelegt. |
| 1.3.2 | Sicherstellen, dass ptrace_scope eingeschränkt ist | Bestehen | |
| 1.3.3 | Sicherstellen, dass Kernabbild-Backtraces deaktiviert sind | Bestehen | |
| 1.3.4 | Sicherstellen, dass der Kernabbildspeicher deaktiviert ist | Bestehen | |
| 1.4.1 | Sicherstellen, dass das Banner für lokale Anmeldungswarnungen ordnungsgemäß konfiguriert ist | Bestehen | |
| 1.4.2 | Sicherstellen, dass das Warnungsbanner für die Remoteanmeldung ordnungsgemäß konfiguriert ist | Bestehen | |
| 1.4.3 | Sicherstellen, dass der Zugriff auf /etc/motd konfiguriert ist | Bestehen | |
| 1.4.4 | Sicherstellen, dass der Zugriff auf /etc/issue konfiguriert ist | Bestehen | |
| 1.4.5 | Sicherstellen, dass der Zugriff auf /etc/issue.net konfiguriert ist | Bestehen | |
| 2.1.1 | Sicherstellen, dass die Zeitsynchronisierung verwendet wird | Bestehen | |
| 2.1.2 | Sicherstellen, dass die Chronie konfiguriert ist | Bestehen | |
| 2.2.1 | Sicherstellen, dass xinetd nicht installiert ist | Bestehen | |
| 2.2.2 | Sicherstellen, dass "xorg-x11-server-common" nicht installiert ist | Bestehen | |
| 2.2.3 | Sicherstellen, dass avahi nicht installiert ist | Bestehen | |
| 2.2.4 | Sicherstellen, dass kein Druckserver installiert ist | Bestehen | |
| 2.2.5 | Sicherstellen, dass ein DHCP-Server nicht installiert ist | Bestehen | |
| 2.2.6 | Stellen Sie sicher, dass kein DNS-Server installiert ist. | Bestehen | |
| 2.2.7 | Sicherstellen, dass der FTP-Client nicht installiert ist | Bestehen | |
| 2.2.8 | Sicherstellen, dass kein FTP-Server installiert ist | Bestehen | |
| 2.2.9 | Stellen Sie sicher, dass kein Tftp-Server installiert ist. | Bestehen | |
| 2.2.10 | Sicherstellen, dass ein Webserver nicht installiert ist | Bestehen | |
| 2.2.11 | Sicherstellen, dass DER IMAP- und POP3-Server nicht installiert ist | Bestehen | |
| 2.2.12 | Sicherstellen, dass Samba nicht installiert ist | Bestehen | |
| 2.2.13 | Sicherstellen, dass der HTTP-Proxyserver nicht installiert ist | Bestehen | |
| 2.2.14 | Stellen Sie sicher, dass net-snmp nicht installiert ist oder der snmpd-Dienst nicht aktiviert ist. | Bestehen | |
| 2.2.15 | Stellen Sie sicher, dass der NIS-Server nicht installiert ist. | Bestehen | |
| 2.2.16 | Stellen Sie sicher, dass der Telnet-Server nicht installiert ist. | Bestehen | |
| 2.2.17 | Sicherstellen, dass der E-Mail-Übertragungs-Agent für den modus "Nur lokal" konfiguriert ist | Bestehen | |
| 2.2.18 | Stellen Sie sicher, dass nfs-utils nicht installiert ist oder der nfs-server-Dienst maskiert ist. | Bestehen | |
| 2.2.19 | Stellen Sie sicher, dass der rsync-Daemon nicht installiert ist oder der rsyncd-Dienst maskiert ist. | Bestehen | |
| 2.3.1 | Stellen Sie sicher, dass der NIS-Client nicht installiert ist. | Bestehen | |
| 2.3.2 | Sicherstellen, dass der rsh-Client nicht installiert ist | Bestehen | |
| 2.3.3 | Sicherstellen, dass der Talk-Client nicht installiert ist | Bestehen | |
| 2.3.4 | Sicherstellen, dass der Telnet-Client nicht installiert ist | Bestehen | |
| 2.3.5 | Sicherstellen, dass der LDAP-Client nicht installiert ist | Bestehen | |
| 2.3.6 | Sicherstellen, dass der TFTP-Client nicht installiert ist | Bestehen | |
| 3.1.1 | Sicherstellen, dass das Senden von Paketumleitungen deaktiviert ist | Bestehen | |
| 3.1.2 | Sicherstellen, dass gefälschte Icmp-Antworten ignoriert werden | Bestehen | |
| 3.1.3 | Sicherstellen, dass Übertragungs-Icmp-Anforderungen ignoriert werden | Bestehen | |
| 3.1.4 | Sicherstellen, dass icmp-Umleitungen nicht akzeptiert werden | Bestehen | |
| 3.1.5 | Sicherstellen, dass sichere Icmp-Umleitungen nicht akzeptiert werden | Bestehen | |
| 3.1.6 | Sicherstellen, dass die Filterung des Reversepfads aktiviert ist | Bestehen | |
| 3.1.7 | Sicherstellen, dass routingfähige Quellpakete nicht akzeptiert werden | Bestehen | |
| 3.1.8 | Sicherstellen, dass verdächtige Pakete protokolliert werden | Bestehen | |
| 3.1.9 | Sicherstellen, dass TCP Syn-Cookies aktiviert sind | Bestehen | |
| 3.1.10 | Sicherstellen, dass ipv6 Router-Ankündigungen nicht akzeptiert werden | Bestehen | |
| 4.1.1 | Sicherstellen, dass iptables installiert sind | Bestehen | |
| 4.1.2 | Sicherstellen, dass nftables nicht verwendet werden | Bestehen | |
| 4.1.3 | Sicherstellen, dass firewalld nicht verwendet wird | Bestehen | |
| 5.1.1 | Sicherstellen, dass der Cron-Daemon aktiviert ist | Bestehen | |
| 5.1.2 | Sicherstellen, dass Berechtigungen für /etc/crontab konfiguriert sind | Bestehen | |
| 5.1.3 | Sicherstellen, dass Berechtigungen für /etc/cron.stündlich konfiguriert sind | Bestehen | |
| 5.1.4 | Sicherstellen, dass Berechtigungen für /etc/cron.daily konfiguriert sind | Bestehen | |
| 5.1.5 | Sicherstellen, dass Berechtigungen für /etc/cron.weekly konfiguriert sind | Bestehen | |
| 5.1.6 | Sicherstellen, dass Berechtigungen für /etc/cron.monthly konfiguriert sind | Bestehen | |
| 5.1.7 | Sicherstellen, dass Berechtigungen für /etc/cron.d konfiguriert sind | Bestehen | |
| 5.1.8 | Sicherstellen, dass cron auf autorisierte Benutzer beschränkt ist | Bestehen | |
| 5.1.9 | Sicherstellen, dass "at" auf autorisierte Benutzer beschränkt ist | Bestehen | |
| 5.2.1 | Sicherstellen, dass der Zugriff auf /etc/ssh/sshd_config konfiguriert ist | Bestehen | |
| 5.2.2 | Sicherstellen, dass der Zugriff auf ssh private Hostschlüsseldateien konfiguriert ist | Bestehen | |
| 5.2.3 | Sicherstellen, dass der Zugriff auf SSH-Dateien für öffentliche Hostschlüssel konfiguriert ist | Bestehen | |
| 5.2.4 | Sicherstellen, dass sshd Ciphers konfiguriert sind | Bestehen | |
| 5.2.5 | Sicherstellen, dass sshd KexAlgorithms konfiguriert ist | Bestehen | |
| 5.2.6 | Sicherstellen, dass sshd MACs konfiguriert sind | Bestehen | |
| 5.2.7 | Sicherstellen, dass der sshd-Zugriff konfiguriert ist | Bestehen | |
| 5.2.8 | Sicherstellen, dass sshd Banner konfiguriert ist | Bestehen | |
| 5.2.9 | Sicherstellen, dass sshd ClientAliveInterval und ClientAliveCountMax konfiguriert sind | Bestehen | |
| 5.2.10 | Sicherstellen, dass sshd HostbasedAuthentication deaktiviert ist | Bestehen | |
| 5.2.11 | Sicherstellen, dass sshd IgnoreRhosts aktiviert ist | Bestehen | |
| 5.2.12 | Sicherstellen, dass sshd LoginGraceTime konfiguriert ist | Bestehen | |
| 5.2.13 | Sicherstellen, dass sshd LogLevel konfiguriert ist | Bestehen | |
| 5.2.14 | Sicherstellen, dass sshd MaxAuthTries konfiguriert ist | Bestehen | |
| 5.2.15 | Sicherstellen, dass sshd MaxStartups konfiguriert ist | Bestehen | |
| 5.2.16 | Sicherstellen, dass sshd MaxSessions konfiguriert ist | Bestehen | |
| 5.2.17 | Sicherstellen, dass sshd PermitEmptyPasswords deaktiviert ist | Bestehen | |
| 5.2.18 | Sicherstellen, dass sshd PermitRootLogin deaktiviert ist | Bestehen | |
| 5.2.19 | Sicherstellen, dass sshd PermitUserEnvironment deaktiviert ist | Bestehen | |
| 5.2.20 | Sicherstellen, dass sshd UsePAM aktiviert ist | Bestehen | |
| 5.3.1 | Sicherstellen, dass sudo installiert ist | Bestehen | |
| 5.3.2 | Sicherstellen, dass die erneute Authentifizierung für die Berechtigungseskalation global nicht deaktiviert ist | Bestehen | |
| 5.3.3 | Sicherstellen, dass Sudo-Authentifizierungstimeout ordnungsgemäß konfiguriert ist | Bestehen | |
| 5.4.1 | Sicherstellen, dass kennworterstellungsanforderungen konfiguriert sind | Bestehen | |
| 5.4.2 | Stellen Sie sicher, dass die Sperrung für fehlgeschlagene Kennwortversuche konfiguriert ist. | Bestehen | |
| 5.4.3 | Sicherstellen, dass der Kennworthashingalgorithmus SHA-512 ist | Bestehen | |
| 5.4.4 | Sicherstellen, dass die Kennwortwiederverwendung eingeschränkt ist | Bestehen | |
| 5.5.1.1 | Sicherstellen, dass der Ablauf des Kennworts 365 Tage oder weniger beträgt | Bestehen | |
| 5.5.1.2 | Sicherstellen, dass mindesttage zwischen Kennwortänderungen konfiguriert sind | Bestehen | |
| 5.5.1.3 | Sicherstellen, dass die Ablaufwarnungstage für Kennwörter 7 oder mehr sind | Bestehen | |
| 5.5.1.4 | Sicherstellen, dass die inaktive Kennwortsperre 30 Tage oder weniger beträgt | Bestehen | |
| 5.5.1.5 | Stellen Sie sicher, dass alle Benutzer das Datum der letzten Kennwortänderung in der Vergangenheit haben. | Bestehen | |
| 5.5.2 | Sicherstellen, dass Systemkonten gesichert sind | Bestehen | |
| 5.5.3 | Sicherstellen, dass die Standardgruppe für das Stammkonto GID 0 ist | Bestehen | |
| 5.5.4 | Sicherstellen, dass standardbenutzerumask 027 oder restriktiver ist | Bestehen | |
| 6.1.1.1.1 | Sicherstellen, dass der Journaldienst aktiv ist | Bestehen | |
| 6.1.1.1.2 | Sicherstellen, dass der Zugriff auf aufgezeichnete Protokolldateien konfiguriert ist | N/A | |
| 6.1.1.1.3 | Sicherstellen, dass journalierte ForwardToSyslog konfiguriert ist | Bestehen | |
| 6.1.1.1.4 | Sicherstellen, dass der systemd-journal-remote-Dienst nicht verwendet wird | Bestehen | |
| 6.1.1.1.5 | Sicherstellen, dass journalierter Speicher konfiguriert ist | Bestehen | |
| 6.1.1.1.6 | Sicherstellen, dass journalierte Komprimierung konfiguriert ist | Bestehen | |
| 6.1.2.1 | Sicherstellen, dass der rsyslog-Dienst aktiviert und aktiv ist | Bestehen | |
| 6.1.2.2 | Stellen Sie sicher, dass der Erstellungsmodus für rsyslog-Protokolldateien konfiguriert ist. | Bestehen | |
| 6.1.2.3 | Stellen Sie sicher, dass rsyslog nicht für den Empfang von Protokollen von einem Remoteclient konfiguriert ist. | Bestehen | |
| 6.1.3.1 | Sicherstellen, dass der Zugriff auf alle Protokolldateien konfiguriert wurde | Bestehen | |
| 6.2 | Sicherstellen, dass logrotate konfiguriert ist | N/A | |
| 7.1.1 | Sicherstellen, dass der Zugriff auf /etc/passwd konfiguriert ist | Bestehen | |
| 7.1.2 | Sicherstellen, dass der Zugriff auf /etc/passwd- konfiguriert ist | Bestehen | |
| 7.1.3 | Sicherstellen, dass der Zugriff auf /etc/group konfiguriert ist | Bestehen | |
| 7.1.4 | Sicherstellen, dass der Zugriff auf /etc/group- konfiguriert ist | Bestehen | |
| 7.1.5 | Sicherstellen, dass der Zugriff auf /etc/shadow konfiguriert ist | Bestehen | |
| 7.1.6 | Sicherstellen, dass der Zugriff auf /etc/shadow- konfiguriert ist | Bestehen | |
| 7.1.7 | Sicherstellen, dass der Zugriff auf /etc/gshadow konfiguriert ist | Bestehen | |
| 7.1.8 | Sicherstellen, dass der Zugriff auf /etc/gshadow- konfiguriert ist | Bestehen | |
| 7.1.9 | Sicherstellen, dass der Zugriff auf /etc/shells konfiguriert ist | Bestehen | |
| 7.1.10 | Sicherstellen, dass der Zugriff auf /etc/security/opasswd konfiguriert ist | Bestehen | |
| 7.1.11 | Sicherstellen, dass beschreibbare Dateien und Verzeichnisse der Welt gesichert sind | Bestehen | |
| 7.1.12 | Sicherstellen, dass keine Dateien oder Verzeichnisse ohne Besitzer und Gruppe vorhanden sind | Bestehen | |
| 7.2.1 | Sicherstellen, dass Konten in /etc/passwd schattierte Kennwörter verwenden | Bestehen | |
| 7.2.2 | Stellen Sie sicher, dass /etc/shadow-Kennwortfelder nicht leer sind. | Bestehen | |
| 7.2.3 | Sicherstellen, dass alle Gruppen in /etc/passwd in /etc/group vorhanden sind | Bestehen | |
| 7.2.4 | Sicherstellen, dass keine doppelten UIDs vorhanden sind | Bestehen | |
| 7.2.5 | Sicherstellen, dass keine doppelten GIDs vorhanden sind | Bestehen | |
| 7.2.6 | Sicherstellen, dass keine doppelten Benutzernamen vorhanden sind | Bestehen | |
| 7.2.7 | Sicherstellen, dass keine doppelten Gruppennamen vorhanden sind | Bestehen | |
| 7.2.8 | Sicherstellen, dass lokale interaktive Benutzerstartverzeichnisse konfiguriert sind | Bestehen | |
| 7.2.9 | Stellen Sie sicher, dass der Zugriff auf lokale interaktive Benutzerpunktedateien konfiguriert ist. | Bestehen |
Nächste Schritte
Weitere Informationen zur Sicherheit des Azure Linux-Containerhosts finden Sie in den folgenden Artikeln: