Linux Sistemlerde CIS Benchmark Uyum Otomasyonu: Güvenliğin Sürekli Entegrasyonu

Kurumsal Linux altyapılarında güvenlik standartlarının sürekli olarak sürdürülmesi, manuel süreçlerle neredeyse imkansız hale gelmiştir. Özellikle yüzlerce veya binlerce sunucu içeren ortamlarda, her bir sistemin güvenlik konfigürasyonunu elle doğrulamak ve düzeltmek hem zaman alıcı hem de hataya açık bir yaklaşımdır. Bu zorluğun üstesinden gelmenin yolu, Center for Internet Security (CIS) Benchmarks gibi kabul görmüş güvenlik standartlarını otomatize etmektir. Bu yaklaşım, sistemlerinizin belirlenen güvenlik politikalarına uygunluğunu otomatik olarak denetlemenizi ve gerekli düzeltmeleri uygulamanızı sağlar.

CIS Benchmark Nedir?

CIS Benchmarks, donanım, yazılım ve ağ cihazları için dünya çapında kabul görmüş güvenlik konfigürasyonu standartlarıdır. Bu standartlar, siber tehditlere karşı savunmasızlıkları azaltmak amacıyla en iyi uygulamaları sunar. Linux işletim sistemleri için de özel CIS Benchmarks mevcuttur ve bunlar genellikle iki seviyede değerlendirilir:

• Level 1: Temel güvenlik önerileri içerir ve sistem performansı üzerinde minimal etkiye sahiptir. Geniş bir yelpazedeki sistemler için uygundur.
• Level 2: Daha yüksek güvenlik gereksinimleri olan ortamlar için tasarlanmıştır ve daha katı kontroller içerir. Sistem performansı üzerinde Level 1'e göre daha fazla etkisi olabilir.

Bu benchmark'lar, dosya izinlerinden parola politikalarına, SSH konfigürasyonundan ağ ayarlarına kadar geniş bir yelpazedeki güvenlik alanlarını kapsar.

Neden Uyum Otomasyonu?

Manuel denetimler ve düzeltmeler, büyük ölçekli ve dinamik altyapılarda yetersiz kalır. Uyum otomasyonu, aşağıdaki kritik avantajları sunar:

• Ölçeklenebilirlik: Yeni sunucular devreye alındığında veya mevcut sistemlerde değişiklik yapıldığında, otomasyon araçları standartların hızla uygulanmasını sağlar.
• Tutarlılık: İnsan hatasını ortadan kaldırarak tüm sistemlerde aynı güvenlik seviyesinin korunmasını garantiler.
• Hız: Güvenlik açıklarının tespit ve giderilme süresini önemli ölçüde kısaltır.
• Denetlenebilirlik ve Raporlama: Uyum durumunun sürekli olarak izlenmesini ve denetimler için detaylı raporların otomatik olarak oluşturulmasını sağlar.
• Configuration Drift Önleme: Sistemlerin zamanla güvenlik standartlarından sapmasını (configuration drift) proaktif olarak engeller.

Otomasyon Araçları ve Teknik Yaklaşımlar

CIS Benchmark uyumunu otomatize etmek için çeşitli araçlar ve teknikler kullanılabilir. Başlıca yaklaşımlar şunlardır:

1. Ansible

Ansible, IT otomasyonu için popüler, agent'sız bir araçtır. Playbook'lar aracılığıyla sistem konfigürasyonunu, uygulama dağıtımını ve orkestrasyonu yönetebilir. CIS Benchmark uyumu için Ansible, denetim ve düzeltme görevlerini içeren özel playbook'lar geliştirmek için idealdir.

Örnek Ansible Playbook: SSH Güvenliğini Güçlendirme (CIS Kuralı 5.2.x)

---- name: CIS Benchmark SSH Hardeninghosts: linux_serversbecome: truestasks:- name: Disable X11 Forwarding (5.2.1)lineinfile:path: /etc/ssh/sshd_configregexp: '^X11Forwarding'line: 'X11Forwarding no'state: presentvalidate: 'sshd -t -f %s'- name: Set LogLevel to INFO (5.2.2)lineinfile:path: /etc/ssh/sshd_configregexp: '^LogLevel'line: 'LogLevel INFO'state: presentvalidate: 'sshd -t -f %s'- name: Ensure SSH MaxAuthTries is 4 or less (5.2.5)lineinfile:path: /etc/ssh/sshd_configregexp: '^MaxAuthTries'line: 'MaxAuthTries 4'state: presentvalidate: 'sshd -t -f %s'- name: Disable Password Authentication if using keys (5.2.10)lineinfile:path: /etc/ssh/sshd_configregexp: '^PasswordAuthentication'line: 'PasswordAuthentication no'state: presentvalidate: 'sshd -t -f %s'when: ansible_ssh_private_key_file is definednotify: - Restart sshd- name: Ensure root login is disabled (5.2.11)lineinfile:path: /etc/ssh/sshd_configregexp: '^PermitRootLogin'line: 'PermitRootLogin no'state: presentvalidate: 'sshd -t -f %s'notify: - Restart sshdhandlers:- name: Restart sshdservice: name=sshd state=restarted

Bu Ansible playbook'u, SSH sunucu konfigürasyonunda (/etc/ssh/sshd_config) CIS Benchmark tarafından önerilen bazı güvenlik ayarlarını uygular. Örneğin, X11 yönlendirmesini kapatır, log seviyesini ayarlar, maksimum deneme sayısını sınırlar ve kök kullanıcının direkt girişini engeller. validate parametresi, konfigürasyon değişikliği sonrası SSH servisi yeniden başlatılmadan önce dosyanın sintaks kontrolünü sağlar.

2. Chef InSpec

InSpec, bir Infrastructure as Code (IaC) aracı olan Chef'in denetim ve uyum kontrolüne odaklanan bir bileşenidir. Sistemlerin mevcut durumunu belirtilen güvenlik profillerine göre denetler ve uyumsuzlukları raporlar. CIS Benchmarks için özel InSpec profilleri mevcuttur.

Örnek InSpec Kodu: Parola Karmaşıklık Politikası Kontrolü (CIS Kuralı 5.4.1.1)

control 'cis-dil-benchmark-5.4.1.1' do  impact 1.0  title 'Ensure password creation requirements are configured'  desc 'Ensure that password requirements are configured to enforce strong password policies.'  tag cis: '5.4.1.1'  ref 'CIS Debian 9 Benchmark v1.0.0', url: 'https://www.cisecurity.org/cis-benchmarks/'  describe file('/etc/pam.d/common-password') do    its('content') { should match /^password	+requisite	+pam_pwquality.so	+retry=3/ }  end  describe file('/etc/security/pwquality.conf') do    its('content') { should match /^minlen = 14/ }    its('content') { should match /^dcredit = -1/ }    its('content') { should match /^ucredit = -1/ }    its('content') { should match /^ocredit = -1/ }    its('content') { should match /^lcredit = -1/ }  endend

Bu InSpec kontrolü, Debian tabanlı sistemlerde parola karmaşıklık politikalarını inceler. /etc/pam.d/common-password dosyasındaki pam_pwquality.so modülünün doğru yapılandırılıp yapılandırılmadığını ve /etc/security/pwquality.conf dosyasında minimum uzunluk (minlen=14) ve karakter sınıfları (dcredit, ucredit, ocredit, lcredit) gibi ayarların CIS önerilerine uygun olup olmadığını kontrol eder.

3. OpenSCAP

OpenSCAP, Security Content Automation Protocol (SCAP) standardını uygulayan bir projedir. XML tabanlı güvenlik politikaları (XCCDF) ve denetim veritabanları (OVAL) kullanarak sistemleri denetler ve raporlar. Red Hat tabanlı sistemlerde yaygın olarak kullanılır ve CIS Benchmarks için hazır SCAP profilleri sunar.

Gerçek Dünya Senaryosu: AWS Cloud Ortamında Sürekli Uyum

Büyük bir e-ticaret platformunun AWS üzerinde çalışan yüzlerce Linux EC2 instansı olduğunu varsayalım. Bu platform, PCI DSS (Ödeme Kartı Sektörü Veri Güvenliği Standardı) gibi endüstri standartlarına uymak zorunda ve bu standartlar genellikle CIS Benchmarks ile örtüşen güvenlik gereksinimleri içerir. Manuel uyum kontrolleri, yeni dağıtılan veya güncellenen her sunucu için pratik değildir ve denetim süreçlerini yavaşlatır.

Bu senaryoda, uyum otomasyonu aşağıdaki gibi uygulanabilir:

• CI/CD Entegrasyonu: Yeni EC2 instance'ları AWS CodePipeline veya Jenkins gibi bir CI/CD hattı üzerinden Terraform ile otomatik olarak provision edilirken, Ansible veya Chef InSpec playbook'ları devreye girer. Bu playbook'lar, işletim sistemi seviyesindeki tüm CIS uyumlu güvenlik ayarlarını (örneğin, fapolicyd, auditd konfigürasyonu, dosya izinleri, sysctl parametreleri) otomatik olarak uygular.
• Periyodik Denetimler: CloudWatch Events veya AWS Systems Manager State Manager kullanılarak belirli aralıklarla (örneğin, haftalık) tüm sunucularda Ansible veya InSpec tabanlı denetim playbook'ları çalıştırılır. Bu denetimler, herhangi bir configuration drift'i veya manuel müdahale sonucu ortaya çıkan uyumsuzlukları tespit eder.
• Otomatik Düzeltme (Remediation): Denetimler sırasında tespit edilen uyumsuzluklar için otomatik düzeltme playbook'ları tetiklenir. Örneğin, /etc/sysctl.conf dosyasında çekirdek parametrelerinin (örneğin, net.ipv4.ip_forward = 0) CIS önerilerine uygun olmadığını tespit eden bir InSpec raporu, ilgili Ansible playbook'unu tetikleyerek bu parametreyi düzeltir ve servisleri yeniden başlatır.
• Raporlama ve Uyarılar: Denetim sonuçları merkezi bir log yönetimi sistemine (örneğin, AWS CloudWatch Logs, Splunk) gönderilir. Uyumsuzluk durumunda, AWS SNS (Simple Notification Service) üzerinden ilgili güvenlik ekibine e-posta veya Slack bildirimi gönderilir. Bu, güvenlik ekibinin anında müdahale etmesini sağlar ve denetimler için sürekli bir kayıt oluşturur.

Bu yaklaşım, e-ticaret platformunun güvenlik ekibinin yüzlerce sunucunun CIS Benchmark uyumunu sürekli olarak sağlamasına olanak tanır. Yeni bir tehdit modeli veya CIS Benchmark güncellemesi yayınlandığında, sadece merkezi playbook'lar güncellenir ve bu güncellemeler otomatik olarak tüm altyapıya yayılır.

Sonuç

Linux sistemlerde CIS Benchmark uyumunu otomatize etmek, modern IT altyapılarında proaktif güvenlik yönetimi için vazgeçilmez bir stratejidir. Ansible, Chef InSpec ve OpenSCAP gibi araçlar, bu süreçleri ölçeklenebilir, tutarlı ve hızlı bir şekilde gerçekleştirmek için güçlü yetenekler sunar. Gerçek dünya senaryolarında uygulandığında, bu otomasyon, güvenlik ekiplerinin üzerindeki yükü azaltırken, kuruluşların siber saldırılara karşı daha dirençli olmasını ve düzenleyici uyumluluk gereksinimlerini sorunsuz bir şekilde karşılamasını sağlar.