Справочный центр

Дерево страниц

Сравнение версий

Старая версия 26

changes.mady.by.user Илья Голиков

Сохранено

по сравнению с

Новая версия 88

changes.mady.by.user Александр Левдонский

Сохранено

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

Отображение дочерних

Оглавление

...

Настройка безопасной конфигурации

...

компьютера для работы с ОС Astra Linux

1. Настройте BIOS (с целью предотвратить загрузку с внешнего носителя) 

1.1. Установите единственным устройством для загрузки ОС - жесткий диск куда была произведена установка ОС.

...

Перед установкой ОС

  1. Если планируется использовать ОС в рекомендованном режиме очистки освобождающихся дисковых ресурсов, то исключить использование дисков SSD.

  2. При возможности - установить и настроить на компьютере аппаратно-программный модуль доверенной загрузки (АПМДЗ).

  3. Установить "взломостойкий" пароль на BIOS

...

1.3 При возможности - установите и настройте АПМДЗ на ПК.

1.4 Обеспечьте невозможность физического доступа к жесткому диску на котором установлена ОС, или  используйте доступные средства шифрования всего содержимого диска.

...

  1. компьютера.

    Информация
    titleP.S.

    "Взломостойкий" пароль это пароль:

    • Содержащий не менее 8 символов;
    • Не содержащий в себе никаких осмысленных слов (ни в каких раскладках);
    • Содержащий в себе буквы в различных регистрах, цифры и спецсимволы.


  2. Отключить в BIOS-е Intel SGX (в связи с обнаруженной уязвимостью в механизме).

  3. Необходимо обеспечить защиту от "незаметного" вскрытия корпуса и встраивания "имплантов" в соединительные кабели периферийных устройств".
    Для обеспечения защиты могут использоваться специальные корпуса, защитные крышки, пломбы, пломбировочные ленты, для усложнения скрытной установки "имплантов" рекомендуется использование ПК в форм-факторе ноутбук или моноблок.

  4. Исключить использование беспроводных периферийных устройств вода (мыши, клавиатуры, тачпады и пр.).
    Отключить по возможности беспроводные системы передачи данных (WiFi, Bluetooth).
    При необходимости использования WiFi - по возможности использовать для защиты данных сети VPN.


  5. При наличии опций для процессоров Intel Execute Disable Bit (XD-Bit) и для процессоров AMD No Execute Bit (NX-Bit)

...

  1. включить их.

...


  2. При наличии на серверах "не доверенных" систем контроля и управления типа ILO, RSA, iDRAC, ThinkServer EasyManage, AMT, iMana - их необходимо отключить, и использовать, при необходимости

...

  1. , альтернативные решения типа IP KVM

...

  1. .

...


  2. Для Intel платформ

...

  1. необходимо устранить уязвимости Intel-SA-00086 в Intel Management Engine (если он инегрирован в процессор)

...


  1. посредством установки обновления микропрограммы Intel Management Engine
    (производитель оборудования должен обеспечить данную возможность - это либо обновления BIOS, либо ПО для интеграции обновлений).
    Для частичных проверок используйте: Intel-SA-00086 Detection Tool.
    Более подробно:

...

  1.  https://www.intel.ru/content/www/ru/ru/support/articles/000025619/software.html

3. Установите все доступные обновления безопасности ОС Astra Linux

для SE:

http://astralinux.ru/update.html

Обновления безопасности Astra Linux Special Edition 1.5

для CE:

http://mirror.yandex.ru/astra/stable/orel/latest/repository-update/

4. Настройте загрузчик на загрузку ядра GENERIC и уберите из меню все другие варианты загрузки, включая режимы восстановления.

4.1 Установите "взломостойкий" пароль на загрузчик Grub (устанавливается по умолчанию при установке ОС).

4.2 При использовании архитектур отличных от Intel установите пароль на загрузчик согласно документации.

5. При установке рекомендуется создать отдельные разделы / /boot /home /tmp /var/tmp

...


  2. Установить ОС СН (обязательно включенным защитным преобразованием диска),
    и по возможности обеспечить невозможность физического доступа к жесткому диску, на котором установлена ОС 

При установке ОС

  1. Создать отдельные дисковые разделы 

    Информация
    /
    /boot
    /home
    /tmp
    /var/tmp

    Создать отдельные дисковые разделы

    РазделРекомендации по установке/настройке
    /С защитным преобразованием (при условии, что /boot размещён в отдельном дисковом разделе).

    Рекомендуется использовать файловую систему ext4.

    /bootБез защитного преобразования!!!
    Можно использовать файловую систему etx2, ext3, ext4.
    /homeС защитным преобразованием.
    Рекомендуется использовать файловую систему ext4.
    Рекомендуется монтировать с опциями noexec,nodev,nosuid.
    /tmpС защитным преобразованием.
    Рекомендуется использовать файловую систему ext4.
    Рекомендуется монтировать с опциями noexec,nodev,nosuid.
    /var/tmpС защитным преобразованием.
    Рекомендуется использовать файловую систему ext4.
    Рекомендуется монтировать с опциями noexec,nodev,nosuid.
    swapОпционально. С защитным преобразованием.


    Информация

    Для всех перечисленных дисковых разделов рекомендуется использовать файловую системы ext4.
    При выборе размера дисковых размеров следует помнить, что при размере раздела /tmp менее 250МБ весьма вероятно возникновение ошибок при работе с графикой или с большими объёмами данных.


  2. Разделы /home /tmp /var/tmp рекомендуется монтировать с опциями noexec,nodev,nosuid

6. Установите "взломостойкий" пароли на всех учетных записях в ОС.

...


  2. В разделе установщика "Дополнительные настройки ОС" включить:
    1. Включить режим замкнутой программной среды;
    2. Запретить установку бита исполнения;
    3. Использовать по умолчанию ядро Hardened;
    4. Запретить вывод меню загрузчика;
    5. Включить очистку разделов страничного обмена (помнить, что очистка освобождаемых ресурсов как правило не работает на SSD-дисках);
    6. Включить очистку освобождаемых областей для EXT-разделов (помнить, что очистка освобождаемых ресурсов как правило не работает на SSD-дисках);
    7. Включить блокировку консоли;
    8. Включить блокировку интерпретаторов;
    9. Включить межсетевой экран ufw;
    10. Включить системные ограничения ulimits;
    11. Отключить возможность трассировки ptrace;

  3. Установить "взломостойкий" пароль на загрузчик Grub (устанавливается по умолчанию при установке ОС)

...

7. Настройте дисковые квоты в ОС

Для этого установите пакет quota настройте /etc/fstab и используйте edquota для установки квот.

8. Настройте ограничения ОС: ulimits

рекомендуемые настройки /etc/security/limits.conf:

Блок кода
languagebash
title/etc/security/limits.conf
#размер дампа ядра

* hard core 0

#максимальный размер создаваемого файла

* hard fsize 50000000

#блокировка форк-бомбы(большого количества процессов)

* hard nproc 1000

9. Отключите все неиспользуемые сервисы (в т.ч. сетевые) которые запускаются при старте ОС, используя программы:

chkconfig и fly-admin-runlevel в 1.5

systemctl systemdgenie в 1.6

10. Найстройте iptables в минимально необходимой конфигурации необходимой для работы

(по умолчанию все запрещено, кроме необходимых исключений)

в 1.5 iptables ufw

в 1.6 iptables ufw gufw

11. Настройте параметры ядра в /etc/sysctl.conf:

11.1 Отключите механизм SysRq

в /etc/sysctl.conf добавьте строку

Блок кода
title/etc/sysctl.conf
kernel.sysrq = 0

Перезагрузите ПК, проверьте что уcтановлено значение 0, командой:

Command

cat /proc/sys/kernel/sysrq

11.2 дополнтельные рекомендуемые параметры

Блок кода
title/etc/sysctl.conf
fs.suid_dumpable=0

kernel.randomize_va_space=2

net.ipv4.ip_forward=0

net.ipv4.conf.all.send_redirects=0

net.ipv4.conf.default.send_redirects=0

12. Заблокируйте исполнение модулей python с расширенным функционалом:

Command

find /usr/lib/python* -type f -name "_ctype*" -exec sudo dpkg-statoverride --update --add root root 640 {} \;

13. Заблокируйте макросы в VLC

Command

find /usr/lib/*/vlc -type f -name "liblua_plugin*" -exec sudo dpkg-statoverride --update --add root root 640 {} \;

14. При возможности заблокируйте макросы в Libreoffice

15. Обязательно отключите доступ к консоли пользователям:

(Инструкция для Смоленск 1.5, для 1.6 правила работают из коробки)

...

  1. . Инструкция по смене пароля загрузчика.

После установки ОС

  1. Установить единственным устройством для загрузки ОС жесткий диск, на который была произведена установка ОС.

  2. Использовать загрузку ядра HARDENED, и убрать из меню все другие варианты загрузки, включая режимы восстановления.

  3. Удалить модули ядра, ответственные за работу с Intel Management Engine (MEI). Инструкция по ссылке.

  4. Установить все доступные обновления безопасности ОС Astra Linux:
    для ОС СН Смоленск: http://astralinux.ru/update.html

  5. При использовании архитектур, отличных от Intel, установить пароль на загрузчик согласно документации.

  6. Настроить монтирование раздела  /boot  с опциями  ro  (перед обновлением ядра перемонтировать в  rw ).

  7. Включить режим загрузки secureboot на своих ключах (создать usb-flash носитель с помощью astra-secureboot, и, далее, ключи импортировать в BIOS) в соответствии с инструкцией

  8. Установить на устройства - жесткие диски максимальный уровень конфиденциальности (на ОС СН Смоленск 1.6 устанавливается автоматически):

    Информация
    /dev/sd*
    /dev/hd*
    /dev/vd*


  9. Отключить доступ к консоли пользователям (данный пункт актуален для ОС СН Смоленск 1.5, так как для ОС СН Смоленск 1.6 правила работают "из коробки"):

    Добавить группу astra-console выполнив команду:

...

  1. Информация

    addgroup --gid 333 astra-console

...

  1. Создать файл /etc/rc.local со следующим содержимым:

...

title/etc/rc.local
  1. Информация

    #!/bin/sh

...

  1. -e

...


  1. chown

...

  1. root:astra-console

...

  1. /dev/{pts,pts/*,ptmx,tty*}

...


  1. chmod

...

  1. g+rx

...

  1. /dev/{pts,pts/*,ptmx,tty*}

...


  1. chmod

...

  1. o-rx

...

  1. /dev/{pts,pts/*,ptmx,tty*}

...


  1. exit

...

  1. 0

...

...

  1. Добавить правило в файл /etc/security/access.conf командой:

    Command
    echo "-:ALL EXCEPT astra-console :LOCAL" >> /etc/security/access.conf

...

  1. Включить в /etc/pam.d/login обработку заданных правил командой

    Command
    sed -i 's|.*account.*pam_access.*|account

...

  1. required pam_access.so|' /etc/pam.d/login

    Для включения доступа к консоли администраторам необходимо добавить их в группу astra-console.

  2. Включить блокировку интерпретаторов

  3. Включить блокировку установки бита исполнения командами

    Command
    echo 1 > /parsecfs/nochmodx
    echo 1 > /etc/parsec/nochmodx

    или командой

    Command
    astra-nochmodx-lock enable

...

  1. или через графический инструмент fly-admin-smc. Подробности см.  РУК КСЗ п.16.5.1

  2. По возможности, включить блокировку макросов с помощью графического инструмента fly-admin-smc или инструмента командной строки astra-macros-lock:

    Command
    astra-macros-lock enable


  3. Включить блокировку трассировки ptrace

  4. Включить контроль цифровой подписи в исполняемых файлах (ELF-файлах) и в xattr всех файлов

...

  1. (Режим Замкнутой Программной Среды).

...

  1. Для этого сгенерируйте ключи и подпишите цифровой подписью в xattr все основные файлы и каталоги в корневой ФС.

...

  1. Рекомендуется подписывать только каталоги, содержащие неизменяемые (между обновлениями) файлы, а также файлы, содержимое которых изменяет только сам пользователь.
    Примерный список каталогов для подписи:

    Информация

    /

...

  1. bin
    /lib
    /lib32
    /lib64
    /

...

  1. sbin
    /usr
    Избранные файлы и каталоги из /etc
    Избранные файлы и каталоги из /boot (например, конфиг grub)
    Избранные файлы и каталоги из /home/<user>
    Избранные файлы и каталоги из /opt
    и т.д.

    для включения механизмов контроля подписи в исполняемых файлах (ELF-файлах) и в xattr всех файлов можно использовать графический инструмен fly-admin-smc,
    или установить

...

16.1 Для включения механизма контроля подписи в ELF:

...

  1. в файле /etc/digsig/digsig_initramfs.conf

...

  1. (подробности см. в соответствующем "Руководстве по КСЗ"):

    Информация

    Для ОС СН Смоленск 1.6 (см. РУК КСЗ п.16.1):
    DIGSIG_ELF_MODE=1
    DIGSIG_XATTR_MODE=1
    Для ОС СН Смоленск 1.5 (см. РУК КСЗ п.13.5):


  1. DIGSIG_ENFORCE=1

...


  1. DIGSIG_LOAD_KEYS=1

...

  1. DIGSIG_USE_XATTR=1

    после чего выполнить команду:

    Command
    update-initramfs -u -k all

перезагрузите ПК.

16.2 Для включения механизма контроля подписи в xattr см. РУК КСЗ п.13.5.2

17. При возможности используйте шифрование домашних каталогов с помощью допустимых средств шифрования, или используйте хранение информации на сетевых дисках или сменных носителях.

18. При возможности настройте двухуровневый киоск для пользователя.

см. РУК КСЗ п.15

Как минимум, нужно настроить высокоуровневый киоск для пользователя с помощью утилиты fly-kiosk:

см. РУК КСЗ п.15.6

19. При возможности запретите пользователю подключение сменных носителей.

20. Установите запрет установки исполняемого бита:

Command

echo 1 > /parsecfs/nochmodx
echo 1 > /etc/parsec/nochmodx

см. РУК КСЗ п.16

21. Настройте систему аудита на сохранение логов на удаленной машине.

Если возможно используйте систему централизованного протоколирования ossec.

см. РУК АДМИН п.15

...

  1. и перезагрузить ПК

    Информация

    Примечание:
    Включение ЗПС крайне рекомендуется сочетать с блокировкой интерпретаторов
    Блокировку интерпретаторов крайне рекомендуется сочетать с включенным МКЦ


  2. Включить гарантированное удаление файлов и папок

  3. Включить, при наличии возможности, режим киоска для пользователя.

  4. Киоск можно настроить с помощью графического инструмента командной строки fly-admin-kiosk (РУК КСЗ п.16.3.1).

  5. Включить, при наличии возможности, графический киоск Fly
    Киоск можно настроить с помощью графического инструмента fly-admin-smc (см. РУК КСЗ п.16.3.3)

  6. Включить, при наличии возможности, второй уровень контроля подписей в расширенных атрибутах (xattr).
    (Это можно выполнить в программе fly-admin-smc).  (см. РУК КСЗ п.16.1)

  7. Установить мандатный контроль целостности (МКЦ > 0) на всеx основных файлах и каталогах в корневой

...

  1. файловой системе.
    (в Смоленск 1.6 и в Смоленск 1.5 на апдейтах

...

  1. позже 27-10-2017)
    Для этого в графическом инструменте fly-admin-smc «Политика безопасности» -> «мандатный контроль целостности» -> «целостность файловой системы» -> установить «высокий 63», или в консоли set-fs-ilev.

    Предупреждение
    Установку МКЦ рекомендуется проводить после всех настроек безопасности,

...


...

  1. так как дальнейшее администрирование возможно только

...

  1. под высоким уровнем целостности

...

  1. ,
    и после снятия МКЦ с

...

  1. файловой системы командой unset-fs-ilev

    Установка МКЦ на 1.5

...

  1. апдейт 27-10-2017:

...

  1.  см. Мандатный контроль целостности

  2. Работу с конфиденциальной информацией под "уровнями конфиденциальности" нужно проводить, используя защитное преобразование файлов
    (возможность встроена в Файловый менеджер fly-fm).

  3. Работу с конфиденциальной информацией в сети необходимо производить, используя защитное преобразование пакетов с помощью создания доверенной VPN сети
    (средства встроены в ОС).

  4. Работу с конфиденциальной информацией при обмене почтой необходимо производить, используя защитные GPG-преобразования писем с помощью плагина для Thunderbird Enigmail
    (средства встроены в ОС)

  5. Установить "взломостойкие" пароли на все учетные записи в ОС

    Информация
    titleP.S.

    "взломостойкий" пароль это пароль

    • Содержащий не менее 8 символов

...

    • ;
    • Не содержащий в себе

...

    • никаких осмысленных слов (ни в каких раскладках)

...

    • ;
    • Содержащий в себе буквы в различных

...

    • регистрах, цифры и спецсимволы.


  2. Убедиться, что pam_tally  настроен на блокировку учетных записей при попытках подбора паролей (настроено по умолчанию при установке ОС).

  3. Настроить дисковые квоты в ОС
    Для этого установить пакет quota, настроить /etc/fstab, и использовать edquota для установки квот.

  4. Настроить ограничения ОС (так называемые ulimits).
    Рекомендуемые настройки /etc/security/limits.conf:

    Информация

    #размер дампа ядра
    * hard core 0

    #максимальный размер создаваемого файла
    * hard fsize 50000000

    #блокировка форк-бомбы(большого количества процессов)
    * hard nproc 1000


  5. Отключить все неиспользуемые сервисы (в т.ч. сетевые) которые запускаются при старте ОС:

    Информация
    В ОС СН Смоленск 1.6 командой  systemdgenie   или
    В ОС СН Смоленск 1.5 командами  chkconfig и fly-admin-runlevel


  6. Включить межсетевой экран ufw и настроить iptables в минимально необходимой конфигурации, необходимой для работы:
    по умолчанию все запрещено, кроме необходимых исключений

    Информация

    В ОС СН Смоленск 1.6 командами

    • iptables
    • ufw
    • gufw

    В ОС СН Смоленск 1.5 командами

    • iptables
    • ufw


  7. Настроить параметры ядра в /etc/sysctl.conf:
    Отключить механизм SysRq, для чего использовать графический инструмент fly-admin-smc, или в /etc/sysctl.conf добавить строку

    Информация
    kernel.sysrq = 0

    после чего перезагрузить ПК, и проверить, что установлено значение 0, командой:

    Command
    cat /proc/sys/kernel/sysrq

    Дополнительные рекомендуемые параметры ядра (также могут быть установлены или изменены с помощью графического инструмента fly-admin-smc):

    Информация
    fs.suid_dumpable=0
    kernel.randomize_va_space=2
    net.ipv4.ip_forward=0
    net.ipv4.conf.all.send_redirects=0
    net.ipv4.conf.default.send_redirects=0


  8. При возможности, использовать защитное преобразование домашних каталогов пользователей с помощью допустимых средств,
    или использовать хранение информации на сетевых дисках или на защищенных от несанкционированного доступа сменных носителях.

  9. По возможности, запретить пользователям подключение сменных носителей, к которым может быть осуществлён любой несанкционированный доступ:
    В Смоленск 1.6 такой доступ запрещен по умолчанию.
    В Смоленск 1.5 см. информацию по обновлению безопасности БЮЛЛЕТЕНЬ № 27082018SE15

  10. Настроить систему аудита на сохранение логов на удаленной машине.
    Если возможно, использовать систему централизованного протоколирования.
    см.  РУК АДМИН п.15