История страницы

...

1. При возможности - установить и настроить на компьютере аппаратно-программный модуль доверенной загрузки (АПМДЗ).
   
   

2. Установить "взломостойкий" пароль на BIOS компьютера.

   Информация
   title P.S.
   "Взломостойкий" пароль это пароль: Содержащий не менее 8 символов; Не содержащий в себе никаких осмысленных слов (ни в каких раскладках); Содержащий в себе буквы в различных регистрах, цифры и спецсимволы.

   
   

3. Необходимо обеспечить защиту от "незаметного" вскрытия корпуса и встраивания "имплантов" в соединительные кабели периферийных устройств".
   Для обеспечения защиты могут использоваться специальные корпуса, защитные крышки, пломбы, пломбировочные ленты, для усложнения скрытной установки "имплантов" рекомендуется использование ПК в форм-факторе ноутбук или моноблок.
   
   

4. Исключить использование беспроводных периферийных устройств вода (мыши, клавиатуры, тачпады и пр.).
   Отключить беспроводные системы передачи данных (WiFi, Bluetooth).
   
   

5. При наличии опций для процессоров Intel Execute Disable Bit (XD-Bit) и для процессоров AMD No Execute Bit (NX-Bit) включить их.
   
   

6. При наличии на серверах "не доверенных" систем контроля и управления типа ILO, RSA, iDRAC, ThinkServer EasyManage, AMT, iMana - их необходимо отключить, и использовать, при необходимости, альтернативные решения типа IP KVM.
   
   

7. Для Intel платформ необходимо устранить уязвимости Intel-SA-00086 в Intel Management Engine (если он инегрирован в процессор)
   посредством установки обновления микропрограммы Intel Management Engine
   (производитель оборудования должен обеспечить данную возможность - это либо обновления BIOS, либо ПО для интеграции обновлений).
   Для частичных проверок используйте: Intel-SA-00086 Detection Tool.
   Более подробно: https://www.intel.ru/content/www/ru/ru/support/articles/000025619/software.html
   

8. Установить ОС СН (обязательно включенным защитным преобразованием диска),
   и по возможности обеспечить невозможность физического доступа к жесткому диску, на котором установлена ОС 

...

1. Создать отдельные дисковые разделы 

   Информация
   / /boot /home /tmp /var/tmp

   Создать отдельные дисковые разделы
   

   Раздел	Рекомендации по установке/настройке
   /	Без защитного преобразования!!! Рекомендуется использовать файловую систему ext4.
   /boot	Без защитного преобразования!!! Рекомендуется использовать файловую систему ext4.
   /home	С защитным преобразованием. Рекомендуется использовать файловую систему ext4. Рекомендуется монтировать с опциями noexec,nodev,nosuid.
   /tmp	С защитным преобразованием. Рекомендуется использовать файловую систему ext4. Рекомендуется монтировать с опциями noexec,nodev,nosuid.
   /var/tmp	С защитным преобразованием. Рекомендуется использовать файловую систему ext4. Рекомендуется монтировать с опциями noexec,nodev,nosuid.
   swap	Опционально. С защитным преобразованием.

   


   Информация
   Для всех перечисленных дисковых разделов рекомендуется использовать файловую системы ext4. При выборе размера дисковых размеров следует помнить, что при размере раздела /tmp менее 250МБ весьма вероятно возникновение ошибок при работе с графикой или с большими объёмами данных.

   


2. Разделы /home /tmp /var/tmp рекомендуется монтировать с опциями noexec,nodev,nosuid


   Выбрать загрузку ядра HARDENED.

   



3. В разделе установщика "Дополнительные настройки ОС" включить:
   1. Включить режим замкнутой программной среды;
   2. Запретить установку бита исполнения;
   3. Использовать по умолчанию ядро Hardened;
   4. Запретить вывод меню загрузчика;
   5. Включить очистку разделов страничного обмена;
   6. Включить очистку освобождаемых областей для EXT-разделов;
   7. Включить блокировку консоли;
   8. Включить блокировку интерпретаторов;
   9. Включить межсетевой экран ufw;
   10. Включить системные ограничения ulimits;
   11. Отключить возможность трассировки ptrace;
       
       
4. Установить "взломостойкий" пароль на загрузчик Grub (устанавливается по умолчанию при установке ОС). Инструкция по смене пароля загрузчика.

...