Перед установкой ОС

1. При возможности - установить и настроить на компьютере аппаратно-программный модуль доверенной загрузки (АПМДЗ)
   
   

2. Установить "взломостойкий" пароль на BIOS компьютера.

1. 
   

2. Отключить в BIOS-е механизм Intel SGX (в связи с обнаруженной уязвимостью в этом механизме).
   
   
3. Обеспечить защиту от "незаметного" вскрытия корпуса и встраивания "имплантов" в соединительные кабели периферийных устройств".
   Для обеспечения защиты могут использоваться специальные корпуса, защитные крышки, пломбы, пломбировочные ленты, для усложнения скрытной установки "имплантов" рекомендуется использование ПК в форм-факторе ноутбук или моноблок.
   
   
4. Исключить использование беспроводных периферийных устройств вода (мыши, клавиатуры, тачпады и пр.).
   Отключить по возможности беспроводные системы передачи данных (WiFi, Bluetooth).
   При необходимости использования WiFi - по возможности использовать для защиты данных сети VPN.
   
   

5. При наличии опций для процессоров Intel Execute Disable Bit (XD-Bit) и для процессоров AMD No Execute Bit (NX-Bit) включить их.
   
   

6. При наличии на серверах "не доверенных" систем контроля и управления типа ILO, RSA, iDRAC, ThinkServer EasyManage, AMT, iMana - их необходимо отключить, и использовать, при необходимости, альтернативные решения типа IP KVM.
   
   

7. Для Intel платформ необходимо устранить уязвимости Intel-SA-00086 в Intel Management Engine (если он инегрирован в процессор)
   посредством установки обновления микропрограммы Intel Management Engine
   (производитель оборудования должен обеспечить данную возможность - это либо обновления BIOS, либо ПО для интеграции обновлений).
   Для частичных проверок используйте: Intel-SA-00086 Detection Tool.
   Более подробно: https://www.intel.ru/content/www/ru/ru/support/articles/000025619/software.html

При установке ОС

1. Обязательно использовать при установке ОС защитное преобразование дисков,
   и по возможности обеспечить невозможность физического доступа к жесткому диску, на котором установлена ОС 
   
   

2. Создать отдельные дисковые разделы 

   Раздел	Рекомендации по установке/настройке
   /	С защитным преобразованием (при условии, что /boot размещен в отдельном дисковом разделе). Рекомендуется использовать файловую систему ext4.
   /boot	Без защитного преобразования. Допускается использовать файловую систему ext2, ext3, ext4.
   /home	С защитным преобразованием. Рекомендуется использовать файловую систему ext4. Рекомендуется монтировать с опциями noexec,nodev,nosuid.
   /tmp	С защитным преобразованием. Рекомендуется использовать файловую систему ext4. Рекомендуется монтировать с опциями noexec,nodev,nosuid.
   /var/tmp	С защитным преобразованием. Рекомендуется использовать файловую систему ext4. Рекомендуется монтировать с опциями noexec,nodev,nosuid.
   swap	Опционально. С защитным преобразованием

1. .

   


   


2. Разделы /home /tmp /var/tmp рекомендуется монтировать с опциями noexec,nodev,nosuid



3. В разделе "Дополнительные настройки ОС" включить:
   1. Использовать по умолчанию ядро Hardened;
   2. Включить блокировку консоли;
   3. Включить блокировку интерпретаторов;
   4. Включить межсетевой экран ufw;
   5. Включить системные ограничения ulimits;
   6. Отключить возможность трассировки ptrace;
   7. Запретить установку бита исполнения;
   8. Включить использование sudo с паролем;

После установки ОС

1. Установить единственным устройством для загрузки ОС жесткий диск, на который была произведена установка ОС
   
   

2. Установить "взломостойкий" пароль на загрузчик Grub. При использовании архитектур, отличных от Intel, установить пароль на загрузчик согласно документации.
   
   

3. Использовать загрузку ядра HARDENED, и убрать из меню все другие варианты загрузки, включая режимы восстановления.
   
   
4. Удалить модули ядра, ответственные за работу с Intel Management Engine (MEI). Инструкция по ссылке.
   
   

5. Установить все доступные обновления безопасности ОС Astra Linux:

   Информация
   для ОС ОН Орёл обновления доступны по мере их выхода: https://download.astralinux.ru/astra/current/orel/repository/

   После установки ОС ОН сразу настроена на работу с репозиторием, и при наличии  доступа в интернет, обновление можно выполнить командами:

   Информация
   sudo apt update && sudo apt upgrade

   
   

6. Настроить монтирование раздела  /boot  с опциями  ro  (перед обновлением ядра перемонтировать в  rw ).
   
   
7. Включить режим загрузки secureboot на своих ключах (создать usb-flash носитель с помощью astra-secureboot, и, далее, ключи импортировать в BIOS) в соответствии с инструкцией
   

8. Отключить доступ к консоли пользователям, если он не был отключен при установке ОС:

   1. С помощью графического инструмента fly-admin-smc:

      Информация
      "Пуск" - "Панель управления" - "Безопасность" - "Политика безопасности" - "Настройки безопасности" - "Политика консоли и интерпретаторов".

      
      

   2. С помощью командной строки:
      Создать файл /etc/rc.local со следующим содержимым:

      Информация
      #!/bin/sh -e chown root:astra-console /dev/{pts,pts/*,ptmx,tty*} chmod g+rx /dev/{pts,pts/*,ptmx,tty*} chmod o-rx /dev/{pts,pts/*,ptmx,tty*} exit 0

      Добавить правило в файл /etc/security/access.conf командой:

      Command
      echo "-:ALL EXCEPT astra-console :LOCAL" >> /etc/security/access.conf

      Включить в /etc/pam.d/login обработку заданных правил командой

      Command
      sed -i 's|.*account.*pam_access.*|account required pam_access.so|' /etc/pam.d/login

      После этого для включения доступа отдельных пользователей к консоли необходимо добавить их в группу astra-console.
      
      

9. Включить блокировку интерпретаторов, если она не была включена при установке ОС:
   С помощью графического инструмента fly-admin-smc:

   Информация
   "Пуск" - "Панель управления" - "Безопасность" - "Политика безопасности" - "Настройки безопасности" - "Политика консоли и интерпретаторов".

   
   

10. По возможности, включить блокировку макросов

    1. с помощью инструмента командной строки astra-macros-lock:

       Command
       astra-macros-lock enable

       
       

11. Включить блокировку трассировки ptrace, если она не была включена при установке ОС
    
    
12. Включить гарантированное удаление файлов и папок
    
    
13. Включить, при наличии возможности, режим киоска для пользователя.
    
    
14. Работу с конфиденциальной информацией нужно проводить, используя защитное преобразование файлов.
    
    
15. Работу с конфиденциальной информацией в сети необходимо производить, используя защитное преобразование пакетов с помощью создания доверенной VPN сети
    (средства встроены в ОС).
    
    
16. Работу с конфиденциальной информацией при обмене почтой необходимо производить, используя защитные GPG-преобразования писем с помощью плагина для Thunderbird Enigmail
    (средства встроены в ОС)
    
    

17. Установить "взломостойкие" пароли на все учетные записи в ОС

    Информация
    title P.S.
    "Взломостойкий" пароль - это пароль Содержащий не менее 8 символов; Не содержащий в себе никаких осмысленных слов (ни в каких раскладках); Содержащий в себе буквы в различных регистрах, цифры и спецсимволы.

    
    

18. Убедиться, что pam_tally  настроен на блокировку учетных записей при попытках подбора паролей (настроено по умолчанию при установке ОС).
    
    
19. Настроить дисковые квоты в ОС:
    - установить пакет quota;
    - настроить  /etc/fstab;
    - использовать edquota для установки квот.
    
    

20. Включить ограничения ОС (так называемые ulimits), если они не были включены при установке ОС.
    Настроить ограничения ОС.
    Рекомендуемые настройки /etc/security/limits.conf:

    Информация
    #размер дампа ядра * hard core 0 #максимальный размер создаваемого файла * hard fsize 50000000 #блокировка форк-бомбы(большого количества процессов) * hard nproc 1000

    
    

21. Отключить все неиспользуемые сервисы (в т.ч. сетевые) которые запускаются при старте ОС:

    Command
    systemdgenie

    
    

22. Включить межсетевой экран ufw, если он не был включен при установке ОС:
    

    Command
    sudo ufw enable

    
    Настроить iptables в минимально необходимой конфигурации, необходимой для работы: по умолчанию все запрещено, кроме необходимых исключений
    

    Command
    iptables ufw gufw

    
    

23. Настроить параметры ядра в /etc/sysctl.conf (можно использовать графический инструмент fly-admin-smc или добавить соответствующие строки в файл /etc/sysctl.conf:

    Информация
    fs.suid_dumpable=0 kernel.randomize_va_space=2 kernel.sysrq=0 net.ipv4.ip_forward=0 net.ipv4.conf.all.send_redirects=0 net.ipv4.conf.default.send_redirects=0

    после внесения изменений перезагрузить компьютер, и убедиться, что все параметры сохранены правильно.
    Сделать проверку можно командой:

    Command
    sudo sysctl -a | more

    
    

24. При возможности, использовать защитное преобразование домашних каталогов пользователей с помощью допустимых средств,
    или использовать хранение информации на сетевых дисках или на защищенных от несанкционированного доступа сменных носителях.
    
    

25. По возможности, запретить пользователям подключение сменных носителей, к которым может быть осуществлён любой несанкционированный доступ.
    
    

26. Настроить систему аудита на сохранение логов на удаленной машине.
    Если возможно, использовать систему централизованного протоколирования.
    
    
27. Установить и настроить службу fail2ban.
    
    
28. Включить запрос пароля при каждом выполнении команды sudo, для чего внести следующие изменения в файл /etc/sudoers:

    1. Для того, чтобы для выполнения первой команды sudo требовалось ввести пароль:
       удалить "NOPASSWD:" из строки:

       Информация
       %astra-admin ALL=(ALL:ALL) NOPASSWD: ALL

       
       

    2. Для того, чтобы пароль не запоминался для выполнения последующих команд и запрашивался для каждой команды:
       добавить строку

       Информация
       Defaults timestamp_timeout=0