Desplegar Cyberwatch d’acord amb la CCN-STIC 807

La guia CCN-STIC 807 (Criptología de empleo en el Esquema Nacional de Seguridad), publicada pel Centro Criptológico Nacional (CCN) espanyol, defineix els requisits criptogràfics aplicables a les organitzacions subjectes a l’Esquema Nacional de Seguridad (ENS). En particular, imposa l’ús de protocols criptogràfics d’última generació (TLS 1.3) i el control dels components desplegats.

Aquesta pàgina descriu les adaptacions que cal fer al desplegament de Cyberwatch per complir aquests requisits. Complementa el desplegament estàndard amb Swarm i la pàgina Desplegar Cyberwatch en un entorn reforçat.

Les recomanacions d’aquesta pàgina s’apliquen únicament a les organitzacions efectivament subjectes a la CCN-STIC 807. No són necessàries per a un desplegament estàndard i poden complicar innecessàriament la instal·lació en altres contextos.

1. Desactivació d’Elasticsearch i Kibana integrats

Per defecte, Cyberwatch inclou les seves pròpies instàncies d’Elasticsearch i Kibana. En un entorn subjecte a la CCN-STIC 807, aquests contenidors integrats s’han de desactivar, ja que l’organització no en controla la configuració criptogràfica.

Seguiu el procediment Desactivació dels contenidors integrats (indicador CBW_DISABLE_ELK), documentat per a Docker Swarm, Podman i el chart de Helm.

Si les funcionalitats basades en Elasticsearch i Kibana continuen sent necessàries, podeu connectar Cyberwatch a un Elastic Stack desplegat internament i configurat d’acord amb la vostra política de seguretat. El procediment de configuració d’un Elastic Stack extern descriu els paràmetres necessaris (URL, autenticació, certificat de CA, mètode de verificació TLS).

2. Baixada del paquet de Cyberwatch en TLS 1.3

El desplegament estàndard afegeix el repositori de Cyberwatch i, després, instal·la el paquet amb el gestor de paquets de la distribució (apt, dnf).

Segons el sistema operatiu, el client TLS del gestor de paquets no sempre compleix els requisits necessaris (negociació de TLS 1.3) per ser conforme a la CCN-STIC 807. En aquest cas, no configureu el repositori de Cyberwatch: baixeu el paquet manualment amb curl forçant TLS 1.3 i, després, instal·leu-lo localment.

Obteniu els paquets cyberwatch i cosign adequats a la distribució forçant TLS 1.3 amb les opcions --tlsv1.3 --tls-max 1.3:

La instal·lació del paquet de Cyberwatch pot requerir dependències que encara no són al sistema, com ara docker, logrotate, openssl, bash-completion o curl. Caldrà instal·lar-les des dels repositoris de la distribució corresponent.

Per a les distribucions basades en Debian (repositori apt):

# Le nom exact du paquet cosign (versionné) est visible sur https://dl.cyberwatch.com/apt/incoming/
curl --tlsv1.3 --tls-max 1.3 -JLO https://dl.cyberwatch.com/apt/incoming/cyberwatch.deb
curl --tlsv1.3 --tls-max 1.3 -JLO https://dl.cyberwatch.com/apt/incoming/cosign_<version>.deb
sudo dpkg -i cosign*.deb
sudo dpkg -i cyberwatch.deb

Per a les distribucions basades en Red Hat (repositori rpm):

# Le nom exact du paquet cosign (versionné) est visible sur https://dl.cyberwatch.com/rpm/incoming/
curl --tlsv1.3 --tls-max 1.3 -JLO https://dl.cyberwatch.com/rpm/incoming/cyberwatch.rpm
curl --tlsv1.3 --tls-max 1.3 -JLO https://dl.cyberwatch.com/rpm/incoming/cosign-<version>.rpm
sudo rpm -i cosign*.rpm
sudo rpm -i cyberwatch.rpm

3. Importació de les imatges de contenidors amb docker load

Després, la instal·lació baixa les imatges dels contenidors del registre de Cyberwatch (harbor.cyberwatch.fr) mitjançant el dimoni de Docker.

Actualment, el client TLS del dimoni de Docker oficial no és conforme a la CCN-STIC 807. Per tant, no s’ha d’utilitzar per obtenir les imatges. En lloc d’això, baixeu l’arxiu de les imatges de dl.cyberwatch.com (en TLS 1.3) i, després, importeu-les localment amb docker load.

Seguiu el procediment Baixar i importar les imatges dels contenidors forçant TLS 1.3 en la baixada amb curl:

export CBW_USER=
export CBW_PASSWORD=
curl --tlsv1.3 --tls-max 1.3 -u "$CBW_USER:$CBW_PASSWORD" -JLO https://dl.cyberwatch.com/download_images
docker image load -i images_cbwonpremise_*.tar.gz

Desactiveu la baixada de les imatges configurant la variable CBW_NO_PULL="true" al fitxer /etc/cyberwatch/config.env.

Com que les imatges ja són a la memòria cau local, el dimoni de Docker no les ha d’obtenir del registre durant la configuració.

4. Bloqueig de les connexions sortints del dimoni de Docker

Fins i tot amb les imatges carregades localment i CBW_NO_PULL="true", el dimoni de Docker encara pot establir connexions amb el registre: en desplegar la pila (stack), Docker Swarm intenta, entre altres coses, resoldre el digest de les imatges. Com que el client TLS del dimoni no és conforme a la CCN-STIC 807, cal bloquejar aquestes connexions residuals.

Per fer-ho, configureu al servei docker un servidor intermediari deliberadament inaccessible, que fa fallar immediatament qualsevol connexió sortint del dimoni:

sudo mkdir -p /etc/systemd/system/docker.service.d

sudo tee /etc/systemd/system/docker.service.d/http-proxy.conf <<EOL
[Service]
Environment="HTTP_PROXY=http://127.0.0.2:9"
Environment="HTTPS_PROXY=http://127.0.0.2:9"
EOL

Apliqueu els canvis:

sudo systemctl daemon-reload
sudo systemctl restart docker

Apliqueu aquesta configuració a cada node de Cyberwatch (mestre/satèl·lit).

5. Configuració de Cyberwatch

Un cop instal·lat el paquet, importades les imatges, definida la desactivació d’ELK i configurat el servidor intermediari de Docker, configureu l’aplicació:

sudo cyberwatch configure

Després, continueu amb l’assistent d’instal·lació tal com es descriu al desplegament estàndard amb Swarm.

Aquesta pàgina tracta el desplegament recomanat amb Docker Swarm. Els mateixos principis s’apliquen als desplegaments amb Podman: la desactivació d’ELK hi està documentada, i la importació manual de les imatges en TLS 1.3 segueix la mateixa lògica (podman image load, càrrega prèvia al registre del clúster). De la mateixa manera, per a Kubernetes cal configurar global.image.pullPolicy: Never al fitxer values.yml i carregar les imatges segons el motor d’emmagatzematge d’imatges associat al clúster Kubernetes. Això només és necessari si la baixada de les imatges no compleix els requisits pel que fa a TLS 1.3.

Suport tècnic

Per a qualsevol pregunta sobre un desplegament subjecte a la CCN-STIC 807, poseu-vos en contacte amb el servei de suport de Cyberwatch: