Ensure Lockdown is configured

НизкийУровень 2Автоматическаяbottlerocket

Описание

Lockdown must be enabled in integrity mode. Note that this prevents unsigned kernel modules from being loaded. This could interfere with the operation of hardware or third-party software that depends on these modules. The audit reads /sys/kernel/security/lockdown and requires [integrity] to be selected. Run tmaegis on the host through the admin container root shell (sudo sheltie).

Как проверяется

Метод проверки: Команда оболочки

shell

v=$(cat /sys/kernel/security/lockdown 2>/dev/null) || exit 1
printf '%s\n' "$v" | grep -Fwq '[integrity]' && echo compliant || echo "lockdown: $v"

Ожидаемый вывод: compliant

Как исправляется

Метод исправления: Рекомендация или патч инфраструктуры

Run the following command to enable Lockdown in integrity mode: # apiclient set kernel.lockdown=integrity

Свойства

Операционные системы: Любая
Теги: bottlerocketsystem
Источник: CIS Bottlerocket Benchmark v1.0.0 - 1.5.2 Ensure Lockdown is configured

Проверить этот хост

Выполните команду на компьютере, аудит которого вам разрешён. Сканирование работает только на чтение.

shell

tmaegis scan --target bottlerocket --level 2