Catálogo de Controles

Vallumix implementa 70 controles del CIS Benchmark organizados en 7 dominios de seguridad. Cada control es una unidad atómica de verificación y remediación que comprueba una configuración específica y, si no cumple, aplica el cambio de hardening recomendado.

Los controles siguen el esquema de numeración del CIS Benchmark (por ejemplo, 1.1.1.1 para sistema de archivos, 5.2.4 para SSH). Cada control implementa el trait Control: verifica el estado actual, aplica la remediación si es necesario, y verifica de nuevo para confirmar la corrección.

Los 7 Dominios

DominioConteoSección CISEnfoque
Sistema de archivos91.1.xDeshabilitar módulos de sistema de archivos no utilizados, endurecer opciones de montaje
Servicios122.2.xDetener y enmascarar servicios de red innecesarios
Red93.1.x – 3.3.xParámetros de red del kernel, configuración del cortafuegos
Registro y auditoría114.1.xrsyslog, journald, auditd, rotación de logs, permisos de archivos
SSH115.2.xHardening del servidor SSH: protocolo, criptografía, acceso, sesión
Acceso y autenticación105.1.x, 5.3.x – 5.5.xPAM, política de contraseñas, umask, tiempo de espera del shell
Mantenimiento del sistema86.1.xPermisos de archivos críticos, auditoría SUID/SGID, seguridad de cron
No todos los controles se aplican a todos los roles de servidor. Utiliza un **perfil** (`web`, `database`, `bastion`) para seleccionar solo los controles relevantes para la función de tu servidor. Los perfiles se definen en archivos TOML bajo `profiles/`.

Tabla de Referencia de Controles

La siguiente tabla lista una muestra representativa de los 70 controles implementados por Vallumix. Los niveles de severidad se asignan en función de las recomendaciones del CIS y del impacto potencial del incumplimiento.

CIS IDDescripciónSeveridadPerfilesDistrosNIST 800-53ISO 27001
1.1.1.1Deshabilitar módulo de sistema de archivos cramfsBajaweb, database, bastionTodasCM-7A.8.1
1.1.1.7Deshabilitar módulo de sistema de archivos udfBajaweb, database, bastionTodasCM-7A.8.1
1.1.10Deshabilitar módulo de almacenamiento USBMediaweb, database, bastionTodasMP-7A.8.10
2.2.3Deshabilitar demonio Avahi mDNS/DNS-SDMediaweb, database, bastionTodasCM-7A.8.1
2.2.8Deshabilitar servidor DNS (named)Mediadatabase, bastionTodasCM-7A.8.1
2.2.14Deshabilitar demonio SNMPMediaweb, database, bastionTodasCM-7A.13.1
3.1.1Deshabilitar reenvío IPAltaweb, database, bastionTodasSC-7A.13.1
3.2.7Habilitar cookies SYN TCPMediaweb, database, bastionTodasSC-5A.13.1
3.3.1Asegurar que firewalld esté configuradoAltaweb, database, bastionTodasSC-7A.13.1
4.1.1.1Asegurar que rsyslog esté instaladoMediaweb, database, bastionTodasAU-6A.12.4
4.1.3.1Asegurar que auditd esté instaladoMediaweb, database, bastionTodasAU-6A.12.4
5.2.4Deshabilitar login de root por SSHAltaweb, database, bastionTodasIA-2A.9.2
5.2.4bEstablecer MaxAuthTries de SSH en 4 o menosMediaweb, database, bastionTodasIA-6A.9.4
5.3.4Asegurar que PAM faillock esté configuradoMediaweb, database, bastionTodasAC-7A.9.4
6.1.1Asegurar permisos en /etc/passwdMediaweb, database, bastionTodasAC-3A.9.1
6.1.6Auditar ejecutables SUID y SGIDMediaweb, database, bastionTodasAC-3A.9.1
  • Navegar por dominio: la barra lateral agrupa los controles en los 7 dominios listados arriba.
  • Buscar por CIS ID: cada página lista los controles en orden CIS con su ID exacto.
  • Comprobar cobertura del perfil: la columna Perfiles indica qué roles de servidor incluyen el control.
  • Verificar manualmente: cada página de control incluye el comando de verificación manual para que puedas confirmar el trabajo de Vallumix de forma independiente.
Vallumix es idempotente: ejecutar `apply` varias veces con el mismo perfil produce el mismo estado final. Los controles que ya cumplen se omiten automáticamente.

Para la lista completa de los 70 controles, inspecciona el código fuente en crates/vallumix-controls/src/lib.rs o las definiciones de perfil en profiles/web.toml, profiles/database.toml y profiles/bastion.toml.