debian/ossec-hids/var/ossec/etc/shared/cis_debian_linux_rcl.txt

   1 # OSSEC Linux Audit - (C) 2018 OSSEC Project
   2 #
   3 # Released under the same license as OSSEC.
   4 # More details at the LICENSE file included with OSSEC or online
   5 # at: https://github.com/ossec/ossec-hids/blob/master/LICENSE
   6 #
   7 # [Application name] [any or all] [reference]
   8 # type:<entry name>;
   9 #
  10 # Type can be:
  11 #             - f (for file or directory)
  12 #             - p (process running)
  13 #             - d (any file inside the directory)
  14 #
  15 # Additional values:
  16 # For the registry , use "->" to look for a specific entry and another
  17 # "->" to look for the value.
  18 # For files, use "->" to look for a specific value in the file.
  19 #
  20 # Values can be preceded by: =: (for equal) - default
  21 #                             r: (for ossec regexes)
  22 #                             >: (for strcmp greater)
  23 #                             <: (for strcmp  lower)
  24 # Multiple patterns can be specified by using " && " between them.
  25 # (All of them must match for it to return true).
  26
  27 # CIS Checks for Debian/Ubuntu
  28 # Based on Center for Internet Security Benchmark for Debian Linux v1.0
  29
  30 # Main one. Only valid for Debian/Ubuntu.
  31 [CIS - Testing against the CIS Debian Linux Benchmark v1.0] [all required] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  32 f:/etc/debian_version;
  33 f:/proc/sys/kernel/ostype -> Linux;
  34
  35
  36 # Section 1.4 - Partition scheme.
  37 [CIS - Debian Linux - 1.4 - Robust partition scheme - /tmp is not on its own partition {CIS: 1.4 Debian Linux}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  38 f:/etc/fstab -> !r:/tmp;
  39
  40 [CIS - Debian Linux - 1.4 - Robust partition scheme - /opt is not on its own partition {CIS: 1.4 Debian Linux}] [all] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  41 f:/opt;
  42 f:/etc/fstab -> !r:/opt;
  43
  44 [CIS - Debian Linux - 1.4 - Robust partition scheme - /var is not on its own partition {CIS: 1.4 Debian Linux}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  45 f:/etc/fstab -> !r:/var;
  46
  47
  48 # Section 2.3 - SSH configuration
  49 [CIS - Debian Linux - 2.3 - SSH Configuration - Protocol version 1 enabled {CIS: 2.3 Debian Linux} {PCI_DSS: 4.1}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  50 f:/etc/ssh/sshd_config -> !r:^# && r:Protocol\.+1;
  51
  52 [CIS - Debian Linux - 2.3 - SSH Configuration - IgnoreRHosts disabled {CIS: 2.3 Debian Linux} {PCI_DSS: 4.1}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  53 f:/etc/ssh/sshd_config -> !r:^# && r:IgnoreRhosts\.+no;
  54
  55 [CIS - Debian Linux - 2.3 - SSH Configuration - Empty passwords permitted {CIS: 2.3 Debian Linux} {PCI_DSS: 4.1}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  56 f:/etc/ssh/sshd_config -> !r:^# && r:^PermitEmptyPasswords\.+yes;
  57
  58 [CIS - Debian Linux - 2.3 - SSH Configuration - Host based authentication enabled {CIS: 2.3 Debian Linux} {PCI_DSS: 4.1}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  59 f:/etc/ssh/sshd_config -> !r:^# && r:HostbasedAuthentication\.+yes;
  60
  61 [CIS - Debian Linux - 2.3 - SSH Configuration - Root login allowed {CIS: 2.3 Debian Linux} {PCI_DSS: 4.1}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  62 f:/etc/ssh/sshd_config -> !r:^# && r:PermitRootLogin\.+yes;
  63
  64
  65 # Section 2.4 Enable system accounting
  66 #[CIS - Debian Linux - 2.4 - System Accounting - Sysstat not installed {CIS: 2.4 Debian Linux}] [all] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  67 #f:!/etc/default/sysstat;
  68 #f:!/var/log/sysstat;
  69
  70 #[CIS - Debian Linux - 2.4 - System Accounting - Sysstat not enabled {CIS: 2.4 Debian Linux}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  71 #f:!/etc/default/sysstat;
  72 #f:/etc/default/sysstat -> !r:^# && r:ENABLED="false";
  73
  74
  75 # Section 2.5 Install and run Bastille
  76 #[CIS - Debian Linux - 2.5 - System harderning - Bastille is not installed {CIS: 2.5 Debian Linux}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  77 #f:!/etc/Bastille;
  78
  79
  80 # Section 2.6 Ensure sources.list Sanity
  81 [CIS - Debian Linux - 2.6 - Sources list sanity - Security updates not enabled {CIS: 2.6 Debian Linux} {PCI_DSS: 6.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  82 f:!/etc/apt/sources.list;
  83 f:!/etc/apt/sources.list -> !r:^# && r:http://security.debian|http://security.ubuntu;
  84
  85
  86 # Section 3 - Minimize inetd services
  87 [CIS - Debian Linux - 3.3 - Telnet enabled on inetd {CIS: 3.3 Debian Linux} {PCI_DSS: 2.2.3}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  88 f:/etc/inetd.conf -> !r:^# && r:telnet;
  89
  90 [CIS - Debian Linux - 3.4 - FTP enabled on inetd {CIS: 3.4 Debian Linux} {PCI_DSS: 2.2.3}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  91 f:/etc/inetd.conf -> !r:^# && r:/ftp;
  92
  93 [CIS - Debian Linux - 3.5 - rsh/rlogin/rcp enabled on inetd {CIS: 3.5 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  94 f:/etc/inetd.conf -> !r:^# && r:shell|login;
  95
  96 [CIS - Debian Linux - 3.6 - tftpd enabled on inetd {CIS: 3.6 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
  97 f:/etc/inetd.conf -> !r:^# && r:tftp;
  98
  99 [CIS - Debian Linux - 3.7 - imap enabled on inetd {CIS: 3.7 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 100 f:/etc/inetd.conf -> !r:^# && r:imap;
 101
 102 [CIS - Debian Linux - 3.8 - pop3 enabled on inetd {CIS: 3.8 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 103 f:/etc/inetd.conf -> !r:^# && r:pop;
 104
 105 [CIS - Debian Linux - 3.9 - Ident enabled on inetd {CIS: 3.9 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 106 f:/etc/inetd.conf -> !r:^# && r:ident;
 107
 108
 109 # Section 4 - Minimize boot services
 110 [CIS - Debian Linux - 4.1 - Disable inetd - Inetd enabled but no services running {CIS: 4.1 Debian Linux} {PCI_DSS: 2.2.2}] [all] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 111 p:inetd;
 112 f:!/etc/inetd.conf -> !r:^# && r:wait;
 113
 114 [CIS - Debian Linux - 4.3 - GUI login enabled {CIS: 4.3 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 115 f:/etc/inittab -> !r:^# && r:id:5;
 116
 117 [CIS - Debian Linux - 4.6 - Disable standard boot services - Samba Enabled {CIS: 4.6 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 118 f:/etc/init.d/samba;
 119
 120 [CIS - Debian Linux - 4.7 - Disable standard boot services - NFS Enabled {CIS: 4.7 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 121 f:/etc/init.d/nfs-common;
 122 f:/etc/init.d/nfs-user-server;
 123 f:/etc/init.d/nfs-kernel-server;
 124
 125 [CIS - Debian Linux - 4.9 - Disable standard boot services - NIS Enabled {CIS: 4.9 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 126 f:/etc/init.d/nis;
 127
 128 [CIS - Debian Linux - 4.13 - Disable standard boot services - Web server Enabled {CIS: 4.13 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 129 f:/etc/init.d/apache;
 130 f:/etc/init.d/apache2;
 131
 132 [CIS - Debian Linux - 4.15 - Disable standard boot services - DNS server Enabled {CIS: 4.15 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 133 f:/etc/init.d/bind;
 134
 135 [CIS - Debian Linux - 4.16 - Disable standard boot services - MySQL server Enabled {CIS: 4.16 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 136 f:/etc/init.d/mysql;
 137
 138 [CIS - Debian Linux - 4.16 - Disable standard boot services - PostgreSQL server Enabled {CIS: 4.16 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 139 f:/etc/init.d/postgresql;
 140
 141 [CIS - Debian Linux - 4.17 - Disable standard boot services - Webmin Enabled {CIS: 4.17 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 142 f:/etc/init.d/webmin;
 143
 144 [CIS - Debian Linux - 4.18 - Disable standard boot services - Squid Enabled {CIS: 4.18 Debian Linux} {PCI_DSS: 2.2.2}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 145 f:/etc/init.d/squid;
 146
 147
 148 # Section 5 - Kernel tuning
 149 [CIS - Debian Linux - 5.1 - Network parameters - Source routing accepted {CIS: 5.1 Debian Linux}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 150 f:/proc/sys/net/ipv4/conf/all/accept_source_route -> 1;
 151
 152 [CIS - Debian Linux - 5.1 - Network parameters - ICMP broadcasts accepted {CIS: 5.1 Debian Linux}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 153 f:/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts -> 0;
 154
 155 [CIS - Debian Linux - 5.2 - Network parameters - IP Forwarding enabled {CIS: 5.2 Debian Linux}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 156 f:/proc/sys/net/ipv4/ip_forward -> 1;
 157 f:/proc/sys/net/ipv6/ip_forward -> 1;
 158
 159
 160 # Section 7 - Permissions
 161 [CIS - Debian Linux - 7.1 - Partition /var without 'nodev' set {CIS: 7.1 Debian Linux} {PCI_DSS: 2.2.4}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 162 f:/etc/fstab -> !r:^# && r:ext2|ext3 && r:/var && !r:nodev;
 163
 164 [CIS - Debian Linux - 7.1 - Partition /tmp without 'nodev' set {CIS: 7.1 Debian Linux} {PCI_DSS: 2.2.4}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 165 f:/etc/fstab -> !r:^# && r:ext2|ext3 && r:/tmp && !r:nodev;
 166
 167 [CIS - Debian Linux - 7.1 - Partition /opt without 'nodev' set {CIS: 7.1 Debian Linux} {PCI_DSS: 2.2.4}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 168 f:/etc/fstab -> !r:^# && r:ext2|ext3 && r:/opt && !r:nodev;
 169
 170 [CIS - Debian Linux - 7.1 - Partition /home without 'nodev' set {CIS: 7.1 Debian Linux} {PCI_DSS: 2.2.4}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 171 f:/etc/fstab -> !r:^# && r:ext2|ext3 && r:/home && !r:nodev ;
 172
 173 [CIS - Debian Linux - 7.2 - Removable partition /media without 'nodev' set {CIS: 7.2 Debian Linux} {PCI_DSS: 2.2.4}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 174 f:/etc/fstab -> !r:^# && r:/media && !r:nodev;
 175
 176 [CIS - Debian Linux - 7.2 - Removable partition /media without 'nosuid' set {CIS: 7.2 Debian Linux} {PCI_DSS: 2.2.4}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 177 f:/etc/fstab -> !r:^# && r:/media && !r:nosuid;
 178
 179 [CIS - Debian Linux - 7.3 - User-mounted removable partition /media {CIS: 7.3 Debian Linux} {PCI_DSS: 2.2.4}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 180 f:/etc/fstab -> !r:^# && r:/media && r:user;
 181
 182
 183 # Section 8 - Access and authentication
 184 [CIS - Debian Linux - 8.8 - LILO Password not set {CIS: 8.8 Debian Linux} {PCI_DSS: 2.2.4}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 185 f:/etc/lilo.conf -> !r:^# && !r:restricted;
 186 f:/etc/lilo.conf -> !r:^# && !r:password=;
 187
 188 [CIS - Debian Linux - 8.8 - GRUB Password not set {CIS: 8.8 Debian Linux} {PCI_DSS: 2.2.4}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 189 f:/boot/grub/menu.lst -> !r:^# && !r:password;
 190
 191 [CIS - Debian Linux - 9.2 - Account with empty password present {CIS: 9.2 Debian Linux} {PCI_DSS: 10.2.5}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 192 f:/etc/shadow -> r:^\w+::;
 193
 194 [CIS - Debian Linux - 13.11 - Non-root account with uid 0 {CIS: 13.11 Debian Linux} {PCI_DSS: 10.2.5}] [any] [https://benchmarks.cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf]
 195 f:/etc/passwd -> !r:^# && !r:^root: && r:^\w+:\w+:0:;
 196