Настройка безопасной конфигурации
...
компьютера для работы с ОС Astra Linux
...
1. Настройте BIOS (с целью предотвратить загрузку с внешнего носителя)
1.1. Установите единственным устройством для загрузки ОС - жесткий диск куда была произведена установка ОС.
...
Перед установкой ОС
- При возможности - установить и настроить на компьютере аппаратно-программный модуль доверенной загрузки (АПМДЗ)
Установить "взломостойкий" пароль на BIOS
...
компьютера.
Информация title
1.3 При возможности - установите и настройте АПМДЗ на ПК.
1.4 Обеспечьте невозможность физического доступа к жесткому диску на котором установлена ОС, или используйте доступные средства шифрования всего содержимого диска.
...
P.S. "взломостойкий" пароль это пароль
- не менее 8 символов,
- не содержащий в себе никакик осмысленных слов (ни в каких раскладках),
- и содержащий в себе буквы в различных регистах, цифры и спецсимволы.
При наличии опций для процессоров Intel Execute Disable Bit (XD-Bit) и для процессоров AMD No Execute Bit (NX-Bit) включите их.
...
При наличии на серверах "не доверенных" систем контроля и управления типа ILO,RSA,iDRAC,ThinkServer EasyManage,AMT,iMana - их необходимо отключить, и использовать, при необходимости, альтенативные решения типа IP KVM.
1.7 Включите secureboot на платформах где это возможно согласно инструкции.
Для Intel платформ
...
необходимо устранить уязвимости Intel-SA-00086 в Intel Management Engine (если он инегрирован в процессор)
...
посредством установки обновления микропрограммы Intel Management Engine
(производитель оборудования должен обеспечить данную возможность - это либо обновления BIOS, либо ПО для интеграции обновлений).
Для частичных проверок используйте: Intel-SA-00086 Detection Tool.
Более подробно:
...
3. Установите все доступные обновления безопасности ОС Astra Linux
для SE:
http://astralinux.ru/update.html
Обновления безопасности Astra Linux Special Edition 1.5
для CE:
http://mirror.yandex.ru/astra/stable/orel/latest/repository-update/
4. Настройте загрузчик на загрузку ядра GENERIC и уберите из меню все другие варианты загрузки, включая режимы восстановления.
...
- Установить ОССН (обязательно с включенным защитным преобразованием диска),
и по возможность обеспечить невозможность физического доступа к жесткому диску, на котором установлена ОС
При установке ОС
- Установите "взломостойкий" пароль на загрузчик Grub (устанавливается по умолчанию при установке ОС).
4.2 При использовании архитектур отличных от Intel
установите пароль на загрузчик согласно документации.
...
Создать отдельные дисковые разделы
/
/boot
/home
/tmp
/var/tmp
Раздел
/boot
рекомендуется монтировать с опциямиro
(перед обновлением ядра смонтировать вrw
)Разделы /home /tmp /var/tmp рекомендуется монтировать с опциями
noexec,nodev,nosuid
6. Установите "взломостойкий" пароли на всех учетных записях в ОС.
6.1 настройте pam_tally
на блокировку учетных записей при попытках подбора паролей. (настроено по умолчанию при установке ОС)
7. Настройте дисковые квоты в ОС
Для этого установите пакет quota
настройте /etc/fstab и используйте edquota
для установки квот.
8. Настройте ограничения ОС: ulimits
рекомендуемые настройки /etc/security/limits.conf:
Блок кода | ||||
---|---|---|---|---|
| ||||
#размер дампа ядра
* hard core 0
#максимальный размер создаваемого файла
* hard fsize 50000000
#блокировка форк-бомбы(большого количества процессов)
* hard nproc 1000 |
9. Отключите все неиспользуемые сервисы (в т.ч. сетевые) которые запускаются при старте ОС, используя программы:
chkconfig
и fly-admin-runlevel
в 1.5
systemctl systemdgenie
в 1.6
10. Найстройте iptables в минимально необходимой конфигурации необходимой для работы
(по умолчанию все запрещено, кроме необходимых исключений)
в 1.5 iptables ufw
в 1.6 iptables ufw gufw
11. Настройте параметры ядра в /etc/sysctl.conf:
11.1 Отключите механизм SysRq
в /etc/sysctl.conf добавьте строку
Блок кода | ||
---|---|---|
| ||
kernel.sysrq = 0 |
Перезагрузите ПК, проверьте что уcтановлено значение 0, командой:
Command |
---|
cat /proc/sys/kernel/sysrq |
11.2 дополнтельные рекомендуемые параметры
Блок кода | ||
---|---|---|
| ||
fs.suid_dumpable=0
kernel.randomize_va_space=2
net.ipv4.ip_forward=0
net.ipv4.conf.all.send_redirects=0
net.ipv4.conf.default.send_redirects=0 |
12. Заблокируйте исполнение модулей python с расширенным функционалом:
Command |
---|
find /usr/lib/python* -type f -name "_ctype*" -exec sudo dpkg-statoverride --update --add root root 640 {} \; |
13. Заблокируйте макросы в VLC
Command |
---|
find /usr/lib/*/vlc -type f -name "liblua_plugin*" -exec sudo dpkg-statoverride --update --add root root 640 {} \; |
14. При возможности заблокируйте макросы в Libreoffice
После установки ОС
Установите все доступные обновления безопасности ОС Astra Linux
для ОС СН Смоленск: http://astralinux.ru/update.html и Обновления безопасности Astra Linux Special Edition 1.5
для ОС ОН Орёл обновления доступны по мере выхода: http://mirror.yandex.ru/astra/stable/orelНастройте загрузчик на загрузку ядра GENERIC, и уберите из меню все другие варианты загрузки, включая режимы восстановления.
При использовании архитектур отличных от Intel, установите пароль на загрузчик согласно документации.
- Установите единственным устройством для загрузки ОС - жесткий диск, на который была произведена установка ОС
- Включить режим загрузки secureboot на своих ключах (создать usb-flash носитель с помощью astra-secureboot, и, далее, ключи импортировать в BIOS). инструкции
Установить на устройства - жесткие диски максимальный уровень конфиденциальности (на ОССН Смоленск 1.6 устанавливаются автоматически):
Информация /dev/sd*
/dev/hd*
/dev/vd*Отключить
...
доступ к консоли пользователям:
(Инструкция актуальна для ОССН Смоленск 1.5, как для ОССН Смоленск 1.6 правила работают из коробки)
Добавьте группу astra-console выполнив команду:
...
Информация addgroup --gid 333 astra-console
Создайте файл /etc/rc.local со следующим содержимым:
...
title | /etc/rc.local |
---|
Информация #!/bin/sh
...
-e
...
chown
...
root:astra-console
...
/dev/{pts,pts/*,ptmx,tty*}
...
chmod
...
g+rx
...
/dev/{pts,pts/*,ptmx,tty*}
...
chmod
...
o-rx
...
/dev/{pts,pts/*,ptmx,tty*}
...
exit
...
0
...
Добавьте правило в файл /etc/security/access.conf командой:
...
Информация echo "-:ALL EXCEPT astra-console :LOCAL" >> /etc/security/access.conf Включите в /etc/pam.d/login обработку заданных правил командой
...
Информация sed -i 's|.*account.*pam_access.*|account
...
required pam_access.so|' /etc/pam.d/login Для включения доступа к консоли администраторам необходимо добавить их в группу astra-console.
- Включить блокировку интерпретаторов
Включить Блокировку установки бита исполнения
Информация echo 1 > /parsecfs/nochmodx
echo 1 > /etc/parsec/nochmodxили командой
Информация astra-nochmodx-lock enable см. РУК КСЗ п.16
...
- По возможности, включить блокировку макросов
В Libreoffice
В VLC
Информация find /usr/lib/ -type f -name "liblua_plugin*" -exec sudo dpkg-statoverride --update --add root root 640 {} \;
- Включить блокировку трассировки ptrace
Включить контроль цифровой подписи в ELF файлах и в xattr всех файлов
...
(Режим Замкнутой Программной Среды).
...
Для этого сгенерируйте ключи и подпишите цифровой подписью в xattr все основные файлы и каталоги в корневой ФС.
...
Рекомендуемые каталоги для подписи:
Информация /etc
/lib
/lib64
/lib32
/bin
/sbin
/boot
/root
/opt
/srv
/usr
...
для включения механизма контроля подписи в ELF
...
установите в файле /etc/digsig/digsig_initramfs.conf:
...
title | /etc/digsig/digsig_initramfs.conf |
---|
Информация DIGSIG_ENFORCE=1
...
DIGSIG_LOAD_KEYS=1после чего выполните команду:
...
Информация update-initramfs -u -k all и перезагрузите ПК
...
16.2 Для включения механизма контроля подписи в xattr
см. РУК КСЗ п.13.5.2
17. При возможности используйте шифрование домашних каталогов с помощью допустимых средств шифрования, или используйте хранение информации на сетевых дисках или сменных носителях.
18. При возможности настройте двухуровневый киоск для пользователя.
см. РУК КСЗ п.15
Как минимум, нужно настроить высокоуровневый киоск для пользователя с помощью утилиты fly-kiosk:
см. РУК КСЗ п.15.6
19. При возможности запретите пользователю подключение сменных носителей.
20. Установите запрет установки исполняемого бита:
Command |
---|
echo 1 > /parsecfs/nochmodx |
см. РУК КСЗ п.16
21. Настройте систему аудита на сохранение логов на удаленной машине.
Если возможно используйте систему централизованного протоколирования ossec
.
см. РУК АДМИН п.15
...
Информация Примечание:
Включение ЗПС крайне рекомендуется сочетать с блокировкой интерпретаторов
Блокировку интерпретаторов крайне рекомендуется сочетать с включенным МКЦ- Включить гарантированное удаление файлов и папок
- Включить межсетевой экран ufw
- Включить системные ограничения ulimits
- Включить, при наличии возможности, режим киоска для пользователя.
Киоск можно настроить с помощью графического инструмента командной строки fly-admin-kiosk (РУК КСЗ п.16.3.1). - Включить, при наличии возможности, графический киоск Fly
Киоск можно настроить с помощью графического инструмента fly-admin-smc (см. РУК КСЗ п.16.3.3) - Включить, при наличии возможности, второй уровень контроля подписей в расширенных атрибутах (xattr).
(Это можно выполнить в программе fly-admin-smc). (см. РУК КСЗ п.16.1) - Установить мандатный контроль целостности (МКЦ > 0) на всеx основных файлах и каталогах в корневой
...
- файловой системе.
(в Смоленск 1.6 и в Смоленск 1.5 на апдейтах
...
- позже 27-10-2017)
Для этого в графическом инструменте fly-admin-smc «Политика безопасности» -> «мандатный контроль целостности» -> «целостность файловой системы» -> установить «высокий 63», или в консоли set-fs-ilev.
Установку МКЦ рекомендуется проводить после всех настроек безопасности,
...
...
- так как дальнейшее администрирование возможно только войдя под высоким уровнем целостности,
или после снятия МКЦ с
...
- файловой системы командой unset-fs-ilev
Установка МКЦ на 1.5
...
- апдейт 27-10-2017:
...
- см. Мандатный контроль целостности
- Работу с конфиденциальной информацией под "уровнями конфиденциальности" нужно проводить, используя защитное преобразование файлов
(возможность встроена в Файловый менеджер fly-fm). - Работу с конфиденциальной информацией в сети необходимо производить, используя защитное преобразование пакетов с помощью создания доверенной VPN сети
(средства встроены в ОС). - Работу с конфиденциальной информацией при обмене почтой необходимо производить, используя защитные GPG-преобразования писем с помощью плагина для Thunderbird Enigmail
(средства встроены в ОС) Установите "взломостойкие" пароли на все учетные записи в ОС
Информация title P.S. "взломостойкий" пароль это пароль
- не менее 8 символов,
- не содержащий в себе никакик осмысленных слов (ни в каких раскладках),
- и содержащий в себе буквы в различных регистах, цифры и спецсимволы.
- Настройте
pam_tally
на блокировку учетных записей при попытках подбора паролей (настроено по умолчанию при установке ОС). - Настройте дисковые квоты в ОС
Для этого установите пакетquota,
настройте /etc/fstab, и используйтеedquota
для установки квот. Настройте ограничения ОС (так называемые ulimits).
Рекомендуемые настройки /etc/security/limits.conf:Информация #размер дампа ядра
* hard core 0#максимальный размер создаваемого файла
* hard fsize 50000000#блокировка форк-бомбы(большого количества процессов)
* hard nproc 1000Отключите все неиспользуемые сервисы (в т.ч. сетевые) которые запускаются при старте ОС:
Информация командой systemdgenie
в Смоленск 1.6 или
командамиchkconfig
иfly-admin-runlevel
в Смоленск 1.5Найстройте iptables в минимально необходимой конфигурации, необходимой для работы:
(по умолчанию все запрещено, кроме необходимых исключений)Информация командой iptables ufw gufw
в ОССН Смоленск 1.6 или
командойiptables ufw
в ОССН Смоленск 1.5Настройте параметры ядра в /etc/sysctl.conf:
Отключите механизм SysRq, для чего в /etc/sysctl.conf добавьте строкуИнформация kernel.sysrq = 0 после чего перезагрузите ПК, и проверьте что уcтановлено значение 0, командой:
Информация cat /proc/sys/kernel/sysrq Дополнительные рекомендуемые параметры ядра:
Информация fs.suid_dumpable=0
kernel.randomize_va_space=2
net.ipv4.ip_forward=0
net.ipv4.conf.all.send_redirects=0
net.ipv4.conf.default.send_redirects=0Заблокируйте исполнение модулей python с расширенным функционалом:
Информация find /usr/lib/python* -type f -name "_ctype*" -exec sudo dpkg-statoverride --update --add root root 640 {} \; При возможности используйте защитное преобразование домашних каталогов полььзователей с помощью допустимых средств,
или используйте хранение информации на сетевых дисках или сменных носителях.По возможности, запретите пользователям подключение сменных носителей.
- Настройте систему аудита на сохранение логов на удаленной машине.
Если возможно, используйте систему централизованного протоколирования.
см. РУК АДМИН п.15