...
| Блок кода | ||
|---|---|---|
| ||
fs.suid_dumpable=0 kernel.randomize_va_space=2 net.ipv4.ip_forward=0 net.ipv4.conf.all.send_redirects=0 net.ipv4.conf.default.send_redirects=0 |
12. Заблокируйте исполнение модулей python с расширенным функционалом:
| Command |
|---|
find /usr/lib/python* -type f -name "_ctype*" -exec sudo dpkg-statoverride --update --add root root 600 {} \; |
14. Обязательно отключите доступ к консоли пользователям:
(Инструкция для Смоленск 1.5, для 1.6 правила работают из коробки)
...
Для включения доступа к консоли администраторам необходимо добавить их в группу astra-console.
...
14. Включите контроль цифровой подписи в ELF файлах и в xattr всех файлов,(Режим Замкнутой Программной Среды)
для этого сгенерируйте ключи и подпишите цифровой подписью в xattr все основные файлы и каталоги в корневой ФС.
рекомендуемые каталоги для подписи: /etc /lib /lib64 /lib32 /bin /sbin /boot /root /opt /srv /usr
1314.1 Для включения механизма контроля подписи в ELF:
...
| Command |
|---|
update-initramfs -u -k all |
перезагрузите ПК.
1314.2 Для включения механизма контроля подписи в xattr см. РУК КСЗ п.13.5.2
...
15. При возможности используйте шифрование домашних каталогов с помощью допустимых средств шифрования, или используйте хранение информации на сетевых дисках или сменных носителях.
...
16. При возможности настройте двухуровневый киоск для пользователя.
см. РУК КСЗ п.15
Как минимум, нужно настроить высокоуровневый киоск для пользователя с помощью утилиты fly-kiosk:
см. РУК КСЗ п.15.6
...
17. При возможности запретите пользователю подключение сменных носителей.
...
18. Установите запрет установки исполняемого бита:
| Command |
|---|
echo 1 > /parsecfs/nochmodx |
см. РУК КСЗ п.16
...
19. Настройте систему аудита на сохранение логов на удаленной машине.
Если возможно используйте систему централизованного протоколирования ossec.
см. РУК АДМИН п.15
...
20. Установите МКЦ > 0 на всеx основных файлах и каталогах в корневой ФС. (set-fs-ilev)
(в 1.6 и в 1.5 на апдейтах позже 27-10-2017)
...