Partner de CIQ en España

Hardening de Rocky Linux: STIG, CIS y FIPS de serie

Dejar un servidor como piden DISA STIG o CIS supone cientos de ajustes y semanas de pruebas. RLC Pro Hardened llega con ese trabajo hecho y con protecciones que un Rocky normal no trae, como la vigilancia del kernel en ejecución. Nosotros lo implantamos, cerramos lo que falta y te acompañamos en la auditoría.

Hablar con un técnico de LinuxEscríbenos por WhatsApp

Basado en Rocky Linux 9, con todo lo de RLC Pro: versiones LTS, FIPS 140-3 y soporte.

Hardening de Rocky Linux sin ir regla a regla

Rocky Linux de la comunidad trae lo básico: SELinux activo y los paquetes de siempre. Lo que piden DISA STIG o CIS va mucho más allá: contraseñas, SSH, permisos, registro y cifrado configurados regla a regla, y que siga así después de cada actualización.

RLC Pro Hardened parte de ahí. Los componentes más expuestos vienen reforzados por CIQ y los perfiles de cumplimiento se aplican con sus playbooks, de modo que el primer escaneo ya sale casi en verde.

Qué incluye RLC Pro Hardened
Paquetes reforzadosglibc, OpenSSH y el kernel, compilados por CIQ con menos superficie de ataque.
LKRGVigila la integridad del kernel en ejecución y corta escaladas de privilegios y rootkits.
Memoriahardened_malloc frena desbordamientos y usos tras liberar en los procesos de root.
PerfilesDISA STIG, CIS nivel 2 y NIST 800-171 en OpenSCAP, con playbooks para aplicarlos.
FIPS 140-3Módulos criptográficos validados por el NIST; modo FIPS activo en las imágenes STIG.
BaseTodo RLC Pro: versiones LTS, parches de CIQ y soporte. SELinux en modo estricto.

Cuántas reglas pasa al aplicar los perfiles

No llega al 100 % porque algunas reglas se dejan fuera a propósito: las que te bloquearían el acceso o chocan con el entorno. Esas las revisamos una a una y dejamos la excepción justificada.

En un servidor físico con el particionado que pide STIG se llega más lejos que en una máquina virtual de nube.

RLC Pro Hardened 9*% de reglas
  1. DISA STIGServidor con particionado completo
    96
  2. DISA STIGMáquina virtual en la nube
    90–93
  3. CIS nivel 2Servidor con particionado completo
    98–99
  4. CIS nivel 2Máquina virtual en la nube
    94–98
* Datos de CIQ, medidos con OpenSCAP y GOSS después de aplicar sus playbooks.

¿Es Hardened lo que necesitas?

RLC Pro Hardened

Si te auditan con DISA STIG, CIS o NIST 800-171, o trabajas para defensa, sector público, banca o salud y quieres partir de un sistema que ya cumple casi todo.

RLC Pro

Si lo que necesitas son versiones LTS, FIPS y soporte, sin un perfil de cumplimiento concreto. Lo contamos en RLC Pro.

Hacerlo por tu cuenta

Se puede con OpenSCAP y la guía de seguridad de la comunidad, pero el mantenimiento en cada actualización corre de tu cuenta.

AIX e IBM i

Si los servidores son IBM Power con AIX o IBM i, el equivalente es PowerSC.

Si aún tienes CentOS 7, primero toca salir de ahí: soporte de CentOS 7. Todas las ediciones, en soporte de Rocky Linux.

Lo que ponemos nosotros

La imagen la prepara CIQ; que funcione con tus aplicaciones y pase la auditoría es cosa nuestra.

  1. Antes

    Qué marco te aplica

    STIG, CIS, NIST 800-171, ENS o NIS2: vemos qué perfil encaja y qué controles faltan.

  2. Piloto

    Tus aplicaciones, con el perfil aplicado

    Probamos el perfil con lo que corre en tus servidores y ajustamos lo que rompa.

  3. Despliegue

    Igual en todos los servidores

    Con los playbooks de CIQ y Ansible, en tu CPD o en la nube.

  4. Auditoría

    Informe y excepciones

    Escaneo con OpenSCAP, excepciones justificadas y la documentación que pide el auditor.

  5. Día a día

    Soporte en español

    24×7 u 8×5, con cada actualización comprobada contra el perfil para no perder lo ganado.

Preguntas frecuentes

¿Qué es RLC Pro Hardened?

Es RLC Pro, el Rocky Linux con LTS, FIPS y soporte de CIQ, con la seguridad ya configurada: glibc, OpenSSH y el kernel reforzados, protección del kernel en ejecución (LKRG), un asignador de memoria reforzado, SELinux en modo estricto y perfiles de OpenSCAP para DISA STIG, CIS nivel 2 y NIST 800-171.

¿Viene cumpliendo DISA STIG al 100 %?

No. La base viene reforzada y, con los playbooks de CIQ, un servidor con particionado completo pasa de un 96 % de las reglas STIG y de un 98 % de las CIS. Lo que falta son reglas que se desactivan a propósito para no dejarte fuera del servidor; las revisamos contigo y dejamos cada excepción documentada para el auditor.

¿Qué es LKRG?

Linux Kernel Runtime Guard: un módulo que comprueba la integridad del kernel mientras el sistema está en marcha y corta los intentos de escalada de privilegios y los rootkits. En Hardened viene instalado y activado.

¿Sirve para el ENS o NIS2?

Ayuda mucho en la parte técnica: los perfiles STIG y CIS cubren buena parte de lo que se exige a un servidor Linux. La guía CCN-STIC todavía no tiene perfil propio en Hardened, así que partimos de CIS y completamos lo que pida tu categoría. La parte organizativa la llevamos en cumplimiento de NIS2.

¿Qué versiones hay?

RLC Pro Hardened se basa en Rocky Linux 9 y sigue sus versiones menores (la 9.7 es la última). Los perfiles de OpenSCAP para la versión 10 todavía no están publicados.

¿Incluye FIPS 140-3?

Sí. Hereda los módulos criptográficos de RLC Pro, con validación FIPS 140-3 del NIST, y las imágenes STIG y NIST 800-171 arrancan ya en modo FIPS.

Cuéntanos con qué te auditan

Con el marco (STIG, CIS, ENS, NIS2…) y la lista de servidores te decimos qué perfil aplicar y qué quedaría por cerrar.

Hablar con un técnico de LinuxEscríbenos por WhatsApp