ASD Essential Eight Maturity Model (noviembre de 2023)
Attestkeep vincula lo que el admission control y el escaneo de images de su cluster registraron en un periodo con 46 requisitos (fuente: Australian Signals Directorate, última actualización en noviembre de 2023). De ellos, 38 se evalúan con esos registros; 8 se marcan fuera de alcance, cada uno con el motivo.
38 requisitos a los que responde un cluster.
Referencias y títulos tal como los imprime el informe, es decir, en inglés. Abra un requisito para leer lo que pide, expresado de forma próxima al texto del propio instrumento.
Essential Eight Maturity Model
Australian Signals Directorate, última actualización en noviembre de 2023
Apéndices A a C: las estrategias patch applications, patch operating systems y application control en los niveles de madurez uno, dos y tres
| Referencia | Requisito | Secciones del informe |
|---|---|---|
| Maturity Level One, Patch applications (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databasePara las actividades de escaneo de vulnerabilidades se usa un escáner con una base de datos de vulnerabilidades actualizada. | Coverage |
| Maturity Level One, Patch applications (scanning cadence, online services) | A vulnerability scanner used at least daily on online servicesSe usa un escáner de vulnerabilidades al menos a diario para identificar parches o actualizaciones que faltan para vulnerabilidades de servicios en línea. | Coverage |
| Maturity Level One, Patch applications (48 hours, online services) | Critical or exploited vulnerabilities in online services patched within 48 hoursLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de servicios en línea se aplican en las 48 horas siguientes a su publicación cuando el fabricante considera crítica la vulnerabilidad o existe un exploit funcional. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch applications (two weeks, online services) | Non-critical vulnerabilities in online services patched within two weeksLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de servicios en línea se aplican en las dos semanas siguientes a su publicación cuando el fabricante no considera crítica la vulnerabilidad y no existe un exploit funcional. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch operating systems (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databasePara las actividades de escaneo de vulnerabilidades se usa un escáner con una base de datos de vulnerabilidades actualizada. | Coverage |
| Maturity Level One, Patch operating systems (scanning cadence, internet-facing servers) | A vulnerability scanner used at least daily on internet-facing operating systemsSe usa un escáner de vulnerabilidades al menos a diario para identificar parches o actualizaciones que faltan para vulnerabilidades de los sistemas operativos de servidores y dispositivos de red expuestos a Internet. | Coverage |
| Maturity Level One, Patch operating systems (48 hours, internet-facing servers) | Critical or exploited vulnerabilities in internet-facing operating systems patched within 48 hoursLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de servidores y dispositivos de red expuestos a Internet se aplican en las 48 horas siguientes a su publicación cuando el fabricante considera crítica la vulnerabilidad o existe un exploit funcional. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch operating systems (two weeks, internet-facing servers) | Non-critical vulnerabilities in internet-facing operating systems patched within two weeksLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de servidores y dispositivos de red expuestos a Internet se aplican en las dos semanas siguientes a su publicación cuando el fabricante no considera crítica la vulnerabilidad y no existe un exploit funcional. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch operating systems (one month, workstations and non-internet-facing servers) | Operating systems of workstations and non-internet-facing servers patched within one monthLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de estaciones de trabajo y de servidores y dispositivos de red no expuestos a Internet se aplican en el mes siguiente a su publicación. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch operating systems (unsupported operating systems) | Operating systems no longer supported by vendors are replacedSe sustituyen los sistemas operativos que el fabricante ya no soporta. | Control statementCoverage |
| Maturity Level One, Application control (organisation-approved set) | Execution is restricted to an organisation-approved setEl application control limita la ejecución de ejecutables, bibliotecas de software, scripts, instaladores, HTML compilado, aplicaciones HTML y applets del panel de control a un conjunto aprobado por la organización. | Control statementSupply chainAdmission decisions |
| Maturity Level Two, Patch applications (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databasePara las actividades de escaneo de vulnerabilidades se usa un escáner con una base de datos de vulnerabilidades actualizada. | Coverage |
| Maturity Level Two, Patch applications (scanning cadence, online services) | A vulnerability scanner used at least daily on online servicesSe usa un escáner de vulnerabilidades al menos a diario para identificar parches o actualizaciones que faltan para vulnerabilidades de servicios en línea. | Coverage |
| Maturity Level Two, Patch applications (48 hours, online services) | Critical or exploited vulnerabilities in online services patched within 48 hoursLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de servicios en línea se aplican en las 48 horas siguientes a su publicación cuando el fabricante considera crítica la vulnerabilidad o existe un exploit funcional. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch applications (two weeks, online services) | Non-critical vulnerabilities in online services patched within two weeksLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de servicios en línea se aplican en las dos semanas siguientes a su publicación cuando el fabricante no considera crítica la vulnerabilidad y no existe un exploit funcional. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch applications (one month, other applications) | Applications other than the named classes patched within one monthLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de aplicaciones distintas de suites ofimáticas, navegadores web y sus extensiones, clientes de correo, software PDF y productos de seguridad se aplican en el mes siguiente a su publicación. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch operating systems (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databasePara las actividades de escaneo de vulnerabilidades se usa un escáner con una base de datos de vulnerabilidades actualizada. | Coverage |
| Maturity Level Two, Patch operating systems (scanning cadence, internet-facing servers) | A vulnerability scanner used at least daily on internet-facing operating systemsSe usa un escáner de vulnerabilidades al menos a diario para identificar parches o actualizaciones que faltan para vulnerabilidades de los sistemas operativos de servidores y dispositivos de red expuestos a Internet. | Coverage |
| Maturity Level Two, Patch operating systems (48 hours, internet-facing servers) | Critical or exploited vulnerabilities in internet-facing operating systems patched within 48 hoursLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de servidores y dispositivos de red expuestos a Internet se aplican en las 48 horas siguientes a su publicación cuando el fabricante considera crítica la vulnerabilidad o existe un exploit funcional. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch operating systems (two weeks, internet-facing servers) | Non-critical vulnerabilities in internet-facing operating systems patched within two weeksLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de servidores y dispositivos de red expuestos a Internet se aplican en las dos semanas siguientes a su publicación cuando el fabricante no considera crítica la vulnerabilidad y no existe un exploit funcional. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch operating systems (one month, workstations and non-internet-facing servers) | Operating systems of workstations and non-internet-facing servers patched within one monthLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de estaciones de trabajo y de servidores y dispositivos de red no expuestos a Internet se aplican en el mes siguiente a su publicación. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch operating systems (unsupported operating systems) | Operating systems no longer supported by vendors are replacedSe sustituyen los sistemas operativos que el fabricante ya no soporta. | Control statementCoverage |
| Maturity Level Two, Application control (organisation-approved set) | Execution is restricted to an organisation-approved setEl application control limita la ejecución de ejecutables, bibliotecas de software, scripts, instaladores, HTML compilado, aplicaciones HTML y applets del panel de control a un conjunto aprobado por la organización. | Control statementSupply chainAdmission decisions |
| Maturity Level Two, Application control (event logging) | Allowed and blocked events are centrally loggedLos eventos permitidos y bloqueados del application control se registran de forma central. | Evidence chain |
| Maturity Level Three, Patch applications (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databasePara las actividades de escaneo de vulnerabilidades se usa un escáner con una base de datos de vulnerabilidades actualizada. | Coverage |
| Maturity Level Three, Patch applications (scanning cadence, online services) | A vulnerability scanner used at least daily on online servicesSe usa un escáner de vulnerabilidades al menos a diario para identificar parches o actualizaciones que faltan para vulnerabilidades de servicios en línea. | Coverage |
| Maturity Level Three, Patch applications (48 hours, online services) | Critical or exploited vulnerabilities in online services patched within 48 hoursLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de servicios en línea se aplican en las 48 horas siguientes a su publicación cuando el fabricante considera crítica la vulnerabilidad o existe un exploit funcional. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch applications (two weeks, online services) | Non-critical vulnerabilities in online services patched within two weeksLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de servicios en línea se aplican en las dos semanas siguientes a su publicación cuando el fabricante no considera crítica la vulnerabilidad y no existe un exploit funcional. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch applications (one month, other applications) | Applications other than the named classes patched within one monthLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de aplicaciones distintas de suites ofimáticas, navegadores web y sus extensiones, clientes de correo, software PDF y productos de seguridad se aplican en el mes siguiente a su publicación. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databasePara las actividades de escaneo de vulnerabilidades se usa un escáner con una base de datos de vulnerabilidades actualizada. | Coverage |
| Maturity Level Three, Patch operating systems (scanning cadence, internet-facing servers) | A vulnerability scanner used at least daily on internet-facing operating systemsSe usa un escáner de vulnerabilidades al menos a diario para identificar parches o actualizaciones que faltan para vulnerabilidades de los sistemas operativos de servidores y dispositivos de red expuestos a Internet. | Coverage |
| Maturity Level Three, Patch operating systems (48 hours, internet-facing servers) | Critical or exploited vulnerabilities in internet-facing operating systems patched within 48 hoursLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de servidores y dispositivos de red expuestos a Internet se aplican en las 48 horas siguientes a su publicación cuando el fabricante considera crítica la vulnerabilidad o existe un exploit funcional. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (two weeks, internet-facing servers) | Non-critical vulnerabilities in internet-facing operating systems patched within two weeksLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de servidores y dispositivos de red expuestos a Internet se aplican en las dos semanas siguientes a su publicación cuando el fabricante no considera crítica la vulnerabilidad y no existe un exploit funcional. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (48 hours, workstations and non-internet-facing servers) | Critical or exploited vulnerabilities in other operating systems patched within 48 hoursLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de estaciones de trabajo y de servidores y dispositivos de red no expuestos a Internet se aplican en las 48 horas siguientes a su publicación cuando el fabricante considera crítica la vulnerabilidad o existe un exploit funcional. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (one month, workstations and non-internet-facing servers) | Non-critical vulnerabilities in other operating systems patched within one monthLos parches, actualizaciones u otras mitigaciones del fabricante para vulnerabilidades de los sistemas operativos de estaciones de trabajo y de servidores y dispositivos de red no expuestos a Internet se aplican en el mes siguiente a su publicación cuando el fabricante no considera crítica la vulnerabilidad y no existe un exploit funcional. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (unsupported operating systems) | Operating systems no longer supported by vendors are replacedSe sustituyen los sistemas operativos que el fabricante ya no soporta. | Control statementCoverage |
| Maturity Level Three, Application control (organisation-approved set) | Execution is restricted to an organisation-approved setEl application control limita la ejecución de ejecutables, bibliotecas de software, scripts, instaladores, HTML compilado, aplicaciones HTML y applets del panel de control a un conjunto aprobado por la organización. | Control statementSupply chainAdmission decisions |
| Maturity Level Three, Application control (event logging) | Allowed and blocked events are centrally loggedLos eventos permitidos y bloqueados del application control se registran de forma central. | Evidence chain |
8 requisitos fuera de alcance, y por qué
| Referencia | Requisito y motivo |
|---|---|
| Maturity Level One, Patch applications (unsupported online services) | Online services no longer supported by vendors are removed Nada de este control conoce las fechas de soporte del fabricante para el software de aplicación de una image: el inventario registra qué componentes y versiones se ejecutan y los hallazgos que pesan sobre ellos, pero ninguna señal marca una aplicación como fuera de soporte, y la admission no rechaza ninguna por ese motivo. El equivalente de este requisito para sistemas operativos se responde en Patch operating systems, porque un escaneo sí registra si el sistema operativo base de una image está fuera de soporte. |
| Maturity Level Two, Patch applications (unsupported online services) | Online services no longer supported by vendors are removed Nada de este control conoce las fechas de soporte del fabricante para el software de aplicación de una image: el inventario registra qué componentes y versiones se ejecutan y los hallazgos que pesan sobre ellos, pero ninguna señal marca una aplicación como fuera de soporte, y la admission no rechaza ninguna por ese motivo. El equivalente de este requisito para sistemas operativos se responde en Patch operating systems, porque un escaneo sí registra si el sistema operativo base de una image está fuera de soporte. |
| Maturity Level Three, Patch applications (unsupported online services) | Online services no longer supported by vendors are removed Nada de este control conoce las fechas de soporte del fabricante para el software de aplicación de una image: el inventario registra qué componentes y versiones se ejecutan y los hallazgos que pesan sobre ellos, pero ninguna señal marca una aplicación como fuera de soporte, y la admission no rechaza ninguna por ese motivo. El equivalente de este requisito para sistemas operativos se responde en Patch operating systems, porque un escaneo sí registra si el sistema operativo base de una image está fuera de soporte. |
| Maturity Levels One to Three, Restrict Microsoft Office macros | Restrict Microsoft Office macros Estos ajustes se aplican a las instalaciones de Microsoft Office de las estaciones de trabajo de una organización, y una decisión de admission sobre containers no toca ninguno; la estrategia se nombra aquí para que quien la busque vea dónde termina este documento en lugar de suponer que está cubierta. |
| Maturity Levels One to Three, User application hardening | User application hardening Las aplicaciones que bastiona esta estrategia son los navegadores, suites ofimáticas y lectores PDF que una persona usa en su puesto; el bastionado de workloads que este control aplica en la admission es otra cosa en otro sistema y se informa en los frameworks que lo piden, no se toma prestado para este. |
| Maturity Levels One to Three, Restrict administrative privileges | Restrict administrative privileges Quién tiene derechos de administración sobre los sistemas de la organización, y hasta dónde llegan esas cuentas, se decide en su gestión de identidades y de dispositivos; este control tiene sus propios roles y su propio registro de quién cambió qué en él, y eso no es la afirmación sobre todo el entorno que pide la estrategia. |
| Maturity Levels One to Three, Multi-factor authentication | Multi-factor authentication Los servicios que cubre esta estrategia son los de la organización y los de sus terceros, y los factores se configuran en el identity provider que hay detrás; este control puede federar su propio acceso administrativo a un directorio, lo que no dice nada de cómo ese directorio autentica a nadie. |
| Maturity Levels One to Three, Regular backups | Regular backups Las copias de seguridad y la restauración son operaciones sobre los datos y sistemas de la organización, realizadas y probadas fuera de este cluster; un admission control decide qué puede ejecutarse y no guarda copia de nada que restaurar. |
Evidencia a partir de registros que el cluster ya guarda.
Nada se rellena a mano. La respuesta de cada requisito lleva un estado (cumplido, parcial, carencia o fuera de alcance), una nota con las cifras del propio periodo y las secciones del informe de donde salen esas cifras.
En qué se apoya el mapeo
Cada requisito evaluado se responde con una o varias de estas afirmaciones sobre los registros del periodo. La misma afirmación responde a la misma pregunta en todos los frameworks, así que dos informes de un mismo periodo no pueden discrepar.
- Se rechazan las images con hallazgos graves18 requisitos
- La admission rechaza los workloads que no cumplen14 requisitos
- Cada image del inventario tiene un registro de escaneo12 requisitos
- Los hallazgos se cotejan con un catálogo nacional de vulnerabilidades explotadas7 requisitos
- Los hallazgos críticos, y los que tienen un exploit funcional, tienen un plazo de 48 horas como máximo7 requisitos
- Los hallazgos por debajo de crítico tienen un plazo de corrección de dos semanas como máximo6 requisitos
- Las images se escanean mediante un pull autenticado con las credenciales del propio workload6 requisitos
- Los hallazgos críticos tienen un plazo de corrección de un mes como máximo5 requisitos
- Se rechazan las images cuyo sistema operativo base ya no tiene soporte3 requisitos
- Solo pueden ejecutarse images de procedencia establecida3 requisitos
- Las images solo pueden entrar desde registries autorizados3 requisitos
- Se registra cada decisión y cada acción administrativa2 requisitos
Qué contiene el informe.
Todos los paquetes llevan las mismas secciones, sea cual sea el framework. Las marcadas son las que citan las respuestas para Essential Eight, con el número de requisitos que cita cada una.
- Organisation
- Framework mapping
- Cluster7
- Control statement24
- Coverage33
- Vulnerability findings
- Outcomes18
- Admission decisions21
- Supply chain3
- Triage decisions
- Break-glass events
- Availability
- Evidence chain2
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
El párrafo de alcance, tal como lo formula el informe.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Australian Signals Directorate's Essential Eight Maturity Model of November 2023. The Essential Eight is a maturity model for an organisation's whole internet-connected estate — workstations, servers, network devices, office productivity suites, the identity system, the backup regime — and an organisation implements a target maturity level across all eight mitigation strategies. Nothing here assesses that implementation and nothing here establishes a maturity level: the model is assessed against the organisation, by the organisation or by a party it engages, and this cluster is one system inside it. What the period's records support is part of three of the eight strategies, and only for the software inside container images: Patch applications, Patch operating systems, and the one limb of Application control with a cluster analogue — restricting execution to an organisation-approved set, which here means refusing an image from a registry the policy does not name, an unsigned image, or one no trusted builder vouches for. Where a level states one window for internet-facing servers and a longer one for workstations and non-internet-facing servers, the stricter limb is the one mapped, because a cluster does not know which of its workloads are reachable from the internet. The remaining five strategies — restrict Microsoft Office macros, user application hardening, restrict administrative privileges, multi-factor authentication and regular backups — are named below and marked outside what a cluster observes, so a reader looking for them finds them rather than an absence. The limbs about automated asset discovery, drivers and firmware, Microsoft's recommended blocklists, the locations application control is implemented on, and the annual validation of application control rulesets are not mapped at all.
Sobre Essential Eight
¿Es esto una certificación según Essential Eight?
No. El paquete es evidencia generada a partir de los propios registros de su cluster. No es una certificación, y ningún auditor está obligado a aceptarlo. El párrafo de alcance de esta página es el mismo que lleva el informe.
¿Por qué 8 de los requisitos están fuera de alcance?
Preguntan por cosas que los registros de admission y escaneo de un cluster no pueden mostrar. Se incluyen con el motivo en lugar de omitirse, para que quien lea el informe vea que la exclusión es deliberada.
¿Qué plan incluye Essential Eight?
Todos los planes pueden generar informes para este framework. Community y Team incluyen 1 framework a elegir; Business, 3; Enterprise, todos. Los precios están en la página de precios.
¿Cómo comprueba un auditor el paquete?
En un navegador, en attestkeep.com/verify.html, donde no se sube nada, o con el breve script del sitio de documentación. Ninguno de los dos nos necesita. La página Para auditores tiene los detalles.
Instálelo usted mismo.
Cree una cuenta, confirme su correo con el código que le enviamos, obtenga la clave Community gratuita en la página Licences e instale con Helm.
Crear una cuenta