| Включить страницу | ||||
|---|---|---|---|---|
|
Настройка безопасной конфигурации компьютра для работы с ОС Astra Linux
Перед установкой ОС
...
Установить "взломостойкий" пароль на BIOS компьютера.
| Информация | ||
|---|---|---|
| ||
"взломостойкий" пароль это пароль
|
...
При установке ОС
- Установите "взломостойкий" пароль на загрузчик Grub (устанавливается по умолчанию при установке ОС).
Создать отдельные дисковые разделы
//boot/home/tmp/var/tmpРаздел
/bootрекомендуется монтировать с опциямиro(перед обновлением ядра смонтировать вrw)Разделы /home /tmp /var/tmp рекомендуется монтировать с опциями
noexec,nodev,nosuid
После установки ОС
...
Отключить доступ к консоли пользователям:
(Инструкция актуальна для ОССН Смоленск 1.5, как для ОССН Смоленск 1.6 правила работают из коробки)
Добавьте группу astra-console выполнив команду:
...
Создайте файл /etc/rc.local со следующим содержимым:
| Информация |
|---|
#!/bin/sh -e |
Добавьте правило в файл /etc/security/access.conf командой:
| Информация |
|---|
| echo "-:ALL EXCEPT astra-console :LOCAL" >> /etc/security/access.conf |
Включите в /etc/pam.d/login обработку заданных правил командой
| Информация |
|---|
| sed -i 's|.*account.*pam_access.*|account required pam_access.so|' /etc/pam.d/login |
Для включения доступа к консоли администраторам необходимо добавить их в группу astra-console.
...
Включить Блокировку установки бита исполнения
| Информация |
|---|
| echo 1 > /parsecfs/nochmodx echo 1 > /etc/parsec/nochmodx |
или командой
| Информация |
|---|
| astra-nochmodx-lock enable |
см. РУК КСЗ п.16
...
В Libreoffice
В VLC
| Информация |
|---|
| find /usr/lib/ -type f -name "liblua_plugin*" -exec sudo dpkg-statoverride --update --add root root 640 {} \; |
...
Включить контроль цифровой подписи в ELF файлах и в xattr всех файлов (Режим Замкнутой Программной Среды).
Для этого сгенерируйте ключи и подпишите цифровой подписью в xattr все основные файлы и каталоги в корневой ФС.
Рекомендуемые каталоги для подписи:
| Информация |
|---|
| /etc /lib /lib64 /lib32 /bin /sbin /boot /root /opt /srv /usr |
для включения механизма контроля подписи в ELF установите в файле /etc/digsig/digsig_initramfs.conf:
| Информация |
|---|
| DIGSIG_ENFORCE=1 DIGSIG_LOAD_KEYS=1 |
после чего выполните команду:
| Информация |
|---|
| update-initramfs -u -k all |
...
Установите "взломостойкие" пароли на все учетные записи в ОС
| Информация | ||
|---|---|---|
| ||
"взломостойкий" пароль это пароль
|
...
Настройте ограничения ОС (так называемые ulimits).
Рекомендуемые настройки /etc/security/limits.conf:
| Информация |
|---|
#размер дампа ядра #максимальный размер создаваемого файла #блокировка форк-бомбы(большого количества процессов) |
Отключите все неиспользуемые сервисы (в т.ч. сетевые) которые запускаются при старте ОС:
| Информация |
|---|
командой systemdgenie в Смоленск 1.6 иликомандами chkconfig и fly-admin-runlevel в Смоленск 1.5 |
Найстройте iptables в минимально необходимой конфигурации, необходимой для работы:
(по умолчанию все запрещено, кроме необходимых исключений)
| Информация |
|---|
командой iptables ufw gufw в ОССН Смоленск 1.6 иликомандой iptables ufw в ОССН Смоленск 1.5 |
...
| Информация |
|---|
| kernel.sysrq = 0 |
после чего перезагрузите ПК, и проверьте что уcтановлено значение 0, командой:
| Информация |
|---|
| cat /proc/sys/kernel/sysrq |
дополнтельные рекомендуемые параметры ядра:
| Информация |
|---|
| fs.suid_dumpable=0 kernel.randomize_va_space=2 net.ipv4.ip_forward=0 net.ipv4.conf.all.send_redirects=0 net.ipv4.conf.default.send_redirects=0 |
Заблокируйте исполнение модулей python с расширенным функционалом:
| Информация |
|---|
| find /usr/lib/python* -type f -name "_ctype*" -exec sudo dpkg-statoverride --update --add root root 640 {} \; |
...