ASD Essential Eight Maturity Model (novembre 2023)
Attestkeep rattache ce que l'admission control et le scan d'images de votre cluster ont enregistré sur une période à 46 exigences (source : Australian Signals Directorate, dernière mise à jour en novembre 2023). 38 sont évaluées sur ces enregistrements ; 8 sont marquées hors périmètre, chacune avec la raison.
38 exigences à portée de cluster.
Références et titres tels que le rapport les imprime, c'est-à-dire en anglais. Ouvrez une exigence pour lire ce qu'elle demande, reformulé au plus près du texte de l'instrument.
Essential Eight Maturity Model
Australian Signals Directorate, dernière mise à jour en novembre 2023
Annexes A à C : les stratégies patch applications, patch operating systems et application control aux niveaux de maturité un, deux et trois
| Référence | Exigence | Sections du rapport |
|---|---|---|
| Maturity Level One, Patch applications (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databaseUn scanner de vulnérabilités disposant d'une base de vulnérabilités à jour est utilisé pour les activités de scan. | Coverage |
| Maturity Level One, Patch applications (scanning cadence, online services) | A vulnerability scanner used at least daily on online servicesUn scanner de vulnérabilités est utilisé au moins une fois par jour pour repérer les correctifs ou mises à jour manquants pour les vulnérabilités des services en ligne. | Coverage |
| Maturity Level One, Patch applications (48 hours, online services) | Critical or exploited vulnerabilities in online services patched within 48 hoursLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des services en ligne sont appliqués dans les 48 heures suivant leur publication lorsque l'éditeur juge la vulnérabilité critique ou qu'un exploit fonctionnel existe. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch applications (two weeks, online services) | Non-critical vulnerabilities in online services patched within two weeksLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des services en ligne sont appliqués dans les deux semaines suivant leur publication lorsque l'éditeur juge la vulnérabilité non critique et qu'aucun exploit fonctionnel n'existe. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch operating systems (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databaseUn scanner de vulnérabilités disposant d'une base de vulnérabilités à jour est utilisé pour les activités de scan. | Coverage |
| Maturity Level One, Patch operating systems (scanning cadence, internet-facing servers) | A vulnerability scanner used at least daily on internet-facing operating systemsUn scanner de vulnérabilités est utilisé au moins une fois par jour pour repérer les correctifs ou mises à jour manquants pour les vulnérabilités des systèmes d'exploitation des serveurs et équipements réseau exposés à Internet. | Coverage |
| Maturity Level One, Patch operating systems (48 hours, internet-facing servers) | Critical or exploited vulnerabilities in internet-facing operating systems patched within 48 hoursLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des serveurs et équipements réseau exposés à Internet sont appliqués dans les 48 heures suivant leur publication lorsque l'éditeur juge la vulnérabilité critique ou qu'un exploit fonctionnel existe. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch operating systems (two weeks, internet-facing servers) | Non-critical vulnerabilities in internet-facing operating systems patched within two weeksLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des serveurs et équipements réseau exposés à Internet sont appliqués dans les deux semaines suivant leur publication lorsque l'éditeur juge la vulnérabilité non critique et qu'aucun exploit fonctionnel n'existe. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch operating systems (one month, workstations and non-internet-facing servers) | Operating systems of workstations and non-internet-facing servers patched within one monthLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des postes de travail et des serveurs et équipements réseau non exposés à Internet sont appliqués dans le mois suivant leur publication. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level One, Patch operating systems (unsupported operating systems) | Operating systems no longer supported by vendors are replacedLes systèmes d'exploitation qui ne sont plus supportés par leur éditeur sont remplacés. | Control statementCoverage |
| Maturity Level One, Application control (organisation-approved set) | Execution is restricted to an organisation-approved setL'application control limite l'exécution des exécutables, bibliothèques logicielles, scripts, programmes d'installation, HTML compilé, applications HTML et applets du panneau de configuration à un ensemble approuvé par l'organisation. | Control statementSupply chainAdmission decisions |
| Maturity Level Two, Patch applications (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databaseUn scanner de vulnérabilités disposant d'une base de vulnérabilités à jour est utilisé pour les activités de scan. | Coverage |
| Maturity Level Two, Patch applications (scanning cadence, online services) | A vulnerability scanner used at least daily on online servicesUn scanner de vulnérabilités est utilisé au moins une fois par jour pour repérer les correctifs ou mises à jour manquants pour les vulnérabilités des services en ligne. | Coverage |
| Maturity Level Two, Patch applications (48 hours, online services) | Critical or exploited vulnerabilities in online services patched within 48 hoursLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des services en ligne sont appliqués dans les 48 heures suivant leur publication lorsque l'éditeur juge la vulnérabilité critique ou qu'un exploit fonctionnel existe. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch applications (two weeks, online services) | Non-critical vulnerabilities in online services patched within two weeksLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des services en ligne sont appliqués dans les deux semaines suivant leur publication lorsque l'éditeur juge la vulnérabilité non critique et qu'aucun exploit fonctionnel n'existe. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch applications (one month, other applications) | Applications other than the named classes patched within one monthLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des applications autres que les suites bureautiques, navigateurs web et leurs extensions, clients de messagerie, logiciels PDF et produits de sécurité sont appliqués dans le mois suivant leur publication. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch operating systems (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databaseUn scanner de vulnérabilités disposant d'une base de vulnérabilités à jour est utilisé pour les activités de scan. | Coverage |
| Maturity Level Two, Patch operating systems (scanning cadence, internet-facing servers) | A vulnerability scanner used at least daily on internet-facing operating systemsUn scanner de vulnérabilités est utilisé au moins une fois par jour pour repérer les correctifs ou mises à jour manquants pour les vulnérabilités des systèmes d'exploitation des serveurs et équipements réseau exposés à Internet. | Coverage |
| Maturity Level Two, Patch operating systems (48 hours, internet-facing servers) | Critical or exploited vulnerabilities in internet-facing operating systems patched within 48 hoursLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des serveurs et équipements réseau exposés à Internet sont appliqués dans les 48 heures suivant leur publication lorsque l'éditeur juge la vulnérabilité critique ou qu'un exploit fonctionnel existe. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch operating systems (two weeks, internet-facing servers) | Non-critical vulnerabilities in internet-facing operating systems patched within two weeksLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des serveurs et équipements réseau exposés à Internet sont appliqués dans les deux semaines suivant leur publication lorsque l'éditeur juge la vulnérabilité non critique et qu'aucun exploit fonctionnel n'existe. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch operating systems (one month, workstations and non-internet-facing servers) | Operating systems of workstations and non-internet-facing servers patched within one monthLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des postes de travail et des serveurs et équipements réseau non exposés à Internet sont appliqués dans le mois suivant leur publication. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Two, Patch operating systems (unsupported operating systems) | Operating systems no longer supported by vendors are replacedLes systèmes d'exploitation qui ne sont plus supportés par leur éditeur sont remplacés. | Control statementCoverage |
| Maturity Level Two, Application control (organisation-approved set) | Execution is restricted to an organisation-approved setL'application control limite l'exécution des exécutables, bibliothèques logicielles, scripts, programmes d'installation, HTML compilé, applications HTML et applets du panneau de configuration à un ensemble approuvé par l'organisation. | Control statementSupply chainAdmission decisions |
| Maturity Level Two, Application control (event logging) | Allowed and blocked events are centrally loggedLes événements autorisés et bloqués de l'application control sont journalisés centralement. | Evidence chain |
| Maturity Level Three, Patch applications (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databaseUn scanner de vulnérabilités disposant d'une base de vulnérabilités à jour est utilisé pour les activités de scan. | Coverage |
| Maturity Level Three, Patch applications (scanning cadence, online services) | A vulnerability scanner used at least daily on online servicesUn scanner de vulnérabilités est utilisé au moins une fois par jour pour repérer les correctifs ou mises à jour manquants pour les vulnérabilités des services en ligne. | Coverage |
| Maturity Level Three, Patch applications (48 hours, online services) | Critical or exploited vulnerabilities in online services patched within 48 hoursLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des services en ligne sont appliqués dans les 48 heures suivant leur publication lorsque l'éditeur juge la vulnérabilité critique ou qu'un exploit fonctionnel existe. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch applications (two weeks, online services) | Non-critical vulnerabilities in online services patched within two weeksLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des services en ligne sont appliqués dans les deux semaines suivant leur publication lorsque l'éditeur juge la vulnérabilité non critique et qu'aucun exploit fonctionnel n'existe. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch applications (one month, other applications) | Applications other than the named classes patched within one monthLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des applications autres que les suites bureautiques, navigateurs web et leurs extensions, clients de messagerie, logiciels PDF et produits de sécurité sont appliqués dans le mois suivant leur publication. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (vulnerability scanner) | A vulnerability scanner with an up-to-date vulnerability databaseUn scanner de vulnérabilités disposant d'une base de vulnérabilités à jour est utilisé pour les activités de scan. | Coverage |
| Maturity Level Three, Patch operating systems (scanning cadence, internet-facing servers) | A vulnerability scanner used at least daily on internet-facing operating systemsUn scanner de vulnérabilités est utilisé au moins une fois par jour pour repérer les correctifs ou mises à jour manquants pour les vulnérabilités des systèmes d'exploitation des serveurs et équipements réseau exposés à Internet. | Coverage |
| Maturity Level Three, Patch operating systems (48 hours, internet-facing servers) | Critical or exploited vulnerabilities in internet-facing operating systems patched within 48 hoursLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des serveurs et équipements réseau exposés à Internet sont appliqués dans les 48 heures suivant leur publication lorsque l'éditeur juge la vulnérabilité critique ou qu'un exploit fonctionnel existe. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (two weeks, internet-facing servers) | Non-critical vulnerabilities in internet-facing operating systems patched within two weeksLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des serveurs et équipements réseau exposés à Internet sont appliqués dans les deux semaines suivant leur publication lorsque l'éditeur juge la vulnérabilité non critique et qu'aucun exploit fonctionnel n'existe. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (48 hours, workstations and non-internet-facing servers) | Critical or exploited vulnerabilities in other operating systems patched within 48 hoursLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des postes de travail et des serveurs et équipements réseau non exposés à Internet sont appliqués dans les 48 heures suivant leur publication lorsque l'éditeur juge la vulnérabilité critique ou qu'un exploit fonctionnel existe. | Control statementCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (one month, workstations and non-internet-facing servers) | Non-critical vulnerabilities in other operating systems patched within one monthLes correctifs, mises à jour ou autres mesures d'atténuation de l'éditeur pour les vulnérabilités des systèmes d'exploitation des postes de travail et des serveurs et équipements réseau non exposés à Internet sont appliqués dans le mois suivant leur publication lorsque l'éditeur juge la vulnérabilité non critique et qu'aucun exploit fonctionnel n'existe. | Control statementClusterCoverageAdmission decisionsOutcomes |
| Maturity Level Three, Patch operating systems (unsupported operating systems) | Operating systems no longer supported by vendors are replacedLes systèmes d'exploitation qui ne sont plus supportés par leur éditeur sont remplacés. | Control statementCoverage |
| Maturity Level Three, Application control (organisation-approved set) | Execution is restricted to an organisation-approved setL'application control limite l'exécution des exécutables, bibliothèques logicielles, scripts, programmes d'installation, HTML compilé, applications HTML et applets du panneau de configuration à un ensemble approuvé par l'organisation. | Control statementSupply chainAdmission decisions |
| Maturity Level Three, Application control (event logging) | Allowed and blocked events are centrally loggedLes événements autorisés et bloqués de l'application control sont journalisés centralement. | Evidence chain |
8 exigences hors périmètre, et pourquoi
| Référence | Exigence et raison |
|---|---|
| Maturity Level One, Patch applications (unsupported online services) | Online services no longer supported by vendors are removed Rien dans ce contrôle ne connaît les dates de support des éditeurs pour les logiciels applicatifs d'une image : l'inventaire enregistre quels composants et versions tournent et les vulnérabilités qui les visent, mais aucun signal ne marque une application comme hors support, et l'admission n'en refuse aucune pour ce motif. Le pendant de cette exigence pour les systèmes d'exploitation reçoit sa réponse sous Patch operating systems, car un scan enregistre bien si l'OS de base d'une image n'est plus supporté. |
| Maturity Level Two, Patch applications (unsupported online services) | Online services no longer supported by vendors are removed Rien dans ce contrôle ne connaît les dates de support des éditeurs pour les logiciels applicatifs d'une image : l'inventaire enregistre quels composants et versions tournent et les vulnérabilités qui les visent, mais aucun signal ne marque une application comme hors support, et l'admission n'en refuse aucune pour ce motif. Le pendant de cette exigence pour les systèmes d'exploitation reçoit sa réponse sous Patch operating systems, car un scan enregistre bien si l'OS de base d'une image n'est plus supporté. |
| Maturity Level Three, Patch applications (unsupported online services) | Online services no longer supported by vendors are removed Rien dans ce contrôle ne connaît les dates de support des éditeurs pour les logiciels applicatifs d'une image : l'inventaire enregistre quels composants et versions tournent et les vulnérabilités qui les visent, mais aucun signal ne marque une application comme hors support, et l'admission n'en refuse aucune pour ce motif. Le pendant de cette exigence pour les systèmes d'exploitation reçoit sa réponse sous Patch operating systems, car un scan enregistre bien si l'OS de base d'une image n'est plus supporté. |
| Maturity Levels One to Three, Restrict Microsoft Office macros | Restrict Microsoft Office macros Ces réglages s'appliquent aux installations de Microsoft Office des postes de travail d'une organisation, et une décision d'admission de container n'en touche aucun ; la stratégie est nommée ici pour qu'un lecteur qui la cherche voie où s'arrête ce document au lieu de supposer qu'elle est couverte. |
| Maturity Levels One to Three, User application hardening | User application hardening Les applications que durcit cette stratégie sont les navigateurs, suites bureautiques et lecteurs PDF qu'une personne utilise sur son poste ; le durcissement des workloads que ce contrôle applique à l'admission est autre chose, sur un autre système, et il est rapporté pour les frameworks qui le demandent, pas emprunté pour celui-ci. |
| Maturity Levels One to Three, Restrict administrative privileges | Restrict administrative privileges Qui détient des droits d'administration sur les systèmes de l'organisation, et ce que ces comptes peuvent atteindre, se décide dans sa gestion des identités et des terminaux ; ce contrôle a ses propres rôles et son propre journal de qui y a changé quoi, et ce n'est pas l'affirmation sur l'ensemble du parc que demande la stratégie. |
| Maturity Levels One to Three, Multi-factor authentication | Multi-factor authentication Les services que couvre cette stratégie sont ceux de l'organisation et de ses tiers, et les facteurs se configurent dans l'identity provider qui les sert ; ce contrôle peut fédérer son propre accès administrateur à un annuaire, ce qui ne dit rien de la façon dont cet annuaire authentifie qui que ce soit. |
| Maturity Levels One to Three, Regular backups | Regular backups La sauvegarde et la restauration sont des opérations sur les données et les systèmes de l'organisation, menées et testées hors de ce cluster ; un admission control décide de ce qui peut tourner et ne garde aucune copie de quoi que ce soit à restaurer. |
Preuves tirées des journaux que tient déjà le cluster.
Rien n'est rempli à la main. La réponse à chaque exigence porte un statut (satisfaite, partielle, écart ou hors périmètre), une note avec les chiffres de la période et les sections du rapport d'où viennent ces chiffres.
Ce sur quoi s'appuie le mapping
Chaque exigence évaluée reçoit sa réponse d'une ou plusieurs de ces affirmations sur les enregistrements de la période. La même affirmation répond à la même question dans tous les frameworks : deux rapports sur une même période ne peuvent pas diverger.
- Les images portant des vulnérabilités graves sont refusées18 exigences
- L'admission refuse les workloads non conformes14 exigences
- Chaque image de l'inventaire a un enregistrement de scan12 exigences
- Les vulnérabilités trouvées sont croisées avec un catalogue national de vulnérabilités exploitées7 exigences
- Les vulnérabilités critiques, et celles qui ont un exploit fonctionnel, ont un délai de 48 heures au plus7 exigences
- Les vulnérabilités sous le niveau critique ont un délai de correction de deux semaines au plus6 exigences
- Les images sont scannées par un pull authentifié avec les identifiants du workload6 exigences
- Les vulnérabilités critiques ont un délai de correction d'un mois au plus5 exigences
- Les images dont l'OS de base n'est plus supporté sont refusées3 exigences
- Seules les images de provenance établie peuvent tourner3 exigences
- Les images n'entrent que depuis des registries désignés3 exigences
- Chaque décision et chaque action d'administration est enregistrée2 exigences
Ce que contient le rapport.
Chaque paquet contient les mêmes sections, quel que soit le framework. Les sections signalées sont celles que citent les réponses pour Essential Eight, avec le nombre d'exigences qui renvoient à chacune.
- Organisation
- Framework mapping
- Cluster7
- Control statement24
- Coverage33
- Vulnerability findings
- Outcomes18
- Admission decisions21
- Supply chain3
- Triage decisions
- Break-glass events
- Availability
- Evidence chain2
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Le paragraphe de périmètre, tel que le rapport l'imprime (en anglais).
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Australian Signals Directorate's Essential Eight Maturity Model of November 2023. The Essential Eight is a maturity model for an organisation's whole internet-connected estate — workstations, servers, network devices, office productivity suites, the identity system, the backup regime — and an organisation implements a target maturity level across all eight mitigation strategies. Nothing here assesses that implementation and nothing here establishes a maturity level: the model is assessed against the organisation, by the organisation or by a party it engages, and this cluster is one system inside it. What the period's records support is part of three of the eight strategies, and only for the software inside container images: Patch applications, Patch operating systems, and the one limb of Application control with a cluster analogue — restricting execution to an organisation-approved set, which here means refusing an image from a registry the policy does not name, an unsigned image, or one no trusted builder vouches for. Where a level states one window for internet-facing servers and a longer one for workstations and non-internet-facing servers, the stricter limb is the one mapped, because a cluster does not know which of its workloads are reachable from the internet. The remaining five strategies — restrict Microsoft Office macros, user application hardening, restrict administrative privileges, multi-factor authentication and regular backups — are named below and marked outside what a cluster observes, so a reader looking for them finds them rather than an absence. The limbs about automated asset discovery, drivers and firmware, Microsoft's recommended blocklists, the locations application control is implemented on, and the annual validation of application control rulesets are not mapped at all.
Sur Essential Eight
Est-ce une certification selon Essential Eight ?
Non. Le paquet est une preuve produite à partir des enregistrements de votre cluster. Ce n'est pas une certification, et aucun auditeur n'est tenu de l'accepter. Le paragraphe de périmètre de cette page est celui que porte le rapport lui-même.
Pourquoi 8 exigences sont-elles hors périmètre ?
Elles portent sur des choses que les enregistrements d'admission et de scan d'un cluster ne peuvent pas montrer. Elles figurent avec la raison au lieu d'être omises, pour que le lecteur du rapport voie que l'exclusion est voulue.
Quel plan inclut Essential Eight ?
Tous les plans peuvent produire un rapport selon ce framework. Community et Team incluent un framework au choix, Business trois, Enterprise tous. Les prix sont sur la page des tarifs.
Comment un auditeur vérifie-t-il le paquet ?
Dans un navigateur, sur attestkeep.com/verify.html, où rien n'est envoyé, ou avec le court script du site de documentation. Aucun des deux n'a besoin de nous. La page Pour les auditeurs donne le détail.
Installez-le vous-même.
Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.
Créer un compte