Настройка безопасной конфигурации компьютра для работы с ОС Astra Linux
Перед установкой ОС
- При возможности - установить и настроить на компьютере аппаратно-программный модуль доверенной загрузки (АПМДЗ)
Установить "взломостойкий" пароль на BIOS компьютера.
P.S.
"взломостойкий" пароль это пароль
- не менее 8 символов,
- не содержащий в себе никакик осмысленных слов (ни в каких раскладках),
- и содержащий в себе буквы в различных регистах, цифры и спецсимволы.
При наличии опций для процессоров Intel Execute Disable Bit (XD-Bit) и для процессоров AMD No Execute Bit (NX-Bit) включите их.
При наличии на серверах "не доверенных" систем контроля и управления типа ILO,RSA,iDRAC,ThinkServer EasyManage,AMT,iMana - их необходимо отключить, и использовать, при необходимости, альтенативные решения типа IP KVM.
Для Intel платформ необходимо устранить уязвимости Intel-SA-00086 в Intel Management Engine (если он инегрирован в процессор)
посредством установки обновления микропрограммы Intel Management Engine
(производитель оборудования должен обеспечить данную возможность - это либо обновления BIOS, либо ПО для интеграции обновлений).
Для частичных проверок используйте: Intel-SA-00086 Detection Tool.
Более подробно: https://www.intel.ru/content/www/ru/ru/support/articles/000025619/software.html- Установить ОССН (обязательно с включенным защитным преобразованием диска),
и по возможность обеспечить невозможность физического доступа к жесткому диску, на котором установлена ОС
При установке ОС
- Установите "взломостойкий" пароль на загрузчик Grub (устанавливается по умолчанию при установке ОС).
Создать отдельные дисковые разделы
//boot/home/tmp/var/tmpРаздел
/bootрекомендуется монтировать с опциямиro(перед обновлением ядра смонтировать вrw)Разделы /home /tmp /var/tmp рекомендуется монтировать с опциями
noexec,nodev,nosuid
После установки ОС
Установите все доступные обновления безопасности ОС Astra Linux
для ОС СН Смоленск: http://astralinux.ru/update.html и Обновления безопасности Astra Linux Special Edition 1.5
для ОС ОН Орёл: http://mirror.yandex.ru/astra/stable/orel/latest/repository-update/Настройте загрузчик на загрузку ядра GENERIC, и уберите из меню все другие варианты загрузки, включая режимы восстановления.
При использовании архитектур отличных от Intel, установите пароль на загрузчик согласно документации.- Установите единственным устройством для загрузки ОС - жесткий диск, на который была произведена установка ОС
- Включить режим загрузки secureboot на своих ключах (создать usb-flash носитель с помощью astra-secureboot, и, далее, ключи импортировать в BIOS). инструкции
- Включить блокировку консоли
- Включить блокировку интерпретаторов
Включить Блокировку установки бита исполнения
echo 1 > /parsecfs/nochmodx
echo 1 > /etc/parsec/nochmodxили командой
astra-nochmodx-lock enableсм. РУК КСЗ п.16
- По возможности, включить блокировку макросов
В Libreoffice
В VLC
find /usr/lib/ -type f -name "liblua_plugin*" -exec sudo dpkg-statoverride --update --add root root 640 {} \;
- Включить блокировку трассировки ptrace
- Включить ЗПС
- Включить гарантированное удаление файлов и папок
- Включить межсетевой экран ufw
- Включить системные ограничения ulimits
- Включить, при наличии возможности, режим киоска для пользователя.
Киоск можно настроить с помощью графического инструмента командной строки fly-kiosk (РУК КСЗ п.15.6). - Включить, при наличии возможности, системный киоск Fly
Киоск можно настроить с помощью графического инструмента fly-admin-smc (см. РУК КСЗ п.15) - Включить, при наличии возможности, второй уровень контроля подписей в расширенных атрибутах (xattr).
(Это можно выполнить в программе fly-admin-smc). - Установить мандатный контроль целостности (МКЦ > 0) на всеx основных файлах и каталогах в корневой файловой системе.
(в Смоленск 1.6 и в Смоленск 1.5 на апдейтах позже 27-10-2017)
Для этого в графическом инструменте fly-admin-smc «Политика безопасности» -> «мандатный контроль целостности» -> «целостность файловой системы» -> установить «высокий 63», или в консоли set-fs-ilev.
Установку МКЦ рекомендуется проводить после всех настроек безопасности,
так как дальнейшее администрирование возможно только войдя под высоким уровнем целостности,
или после снятия МКЦ с файловой системы командой unset-fs-ilev Установка МКЦ на 1.5 апдейт 27-10-2017: см. Мандатный контроль целостности - Работу с конфиденциальной информацией под "уровнями конфиденциальности" нужно проводить, используя защитное преобразование файлов
(возможность встроена в Файловый менеджер fly-fm). - Работу с конфиденциальной информацией в сети необходимо производить, используя защитное преобразование пакетов с помощью создания доверенной VPN сети
(средства встроены в ОС). - Работу с конфиденциальной информацией при обмене почтой необходимо производить, используя защитные GPG-преобразования писем с помощью плагина для Thunderbird Enigmail
- (средства встроены в ОС)
Установите "взломостойкие" пароли на все учетные записи в ОС
P.S.
"взломостойкий" пароль это пароль
- не менее 8 символов,
- не содержащий в себе никакик осмысленных слов (ни в каких раскладках),
- и содержащий в себе буквы в различных регистах, цифры и спецсимволы.
- Настройте
pam_tallyна блокировку учетных записей при попытках подбора паролей (настроено по умолчанию при установке ОС). - Настройте дисковые квоты в ОС
Для этого установите пакетquota,настройте /etc/fstab, и используйтеedquotaдля установки квот. - Настройте ограничения ОС (так называемые ulimits).
Рекомендуемые настройки /etc/security/limits.conf:#размер дампа ядра
* hard core 0#максимальный размер создаваемого файла
* hard fsize 50000000#блокировка форк-бомбы(большого количества процессов)
* hard nproc 1000 Отключите все неиспользуемые сервисы (в т.ч. сетевые) которые запускаются при старте ОС:
командойsystemdgenieв Смоленск 1.6 или
командамиchkconfigиfly-admin-runlevelв Смоленск 1.5Найстройте iptables в минимально необходимой конфигурации, необходимой для работы:
(по умолчанию все запрещено, кроме необходимых исключений)командойiptables ufw gufwв ОССН Смоленск 1.6 или
командойiptables ufwв ОССН Смоленск 1.5Настройте параметры ядра в /etc/sysctl.conf:
Отключите механизм SysRq, для чего в /etc/sysctl.conf добавьте строкуkernel.sysrq = 0после чего перезагрузите ПК, и проверьте что уcтановлено значение 0, командой:
cat /proc/sys/kernel/sysrqдополнтельные рекомендуемые параметры ядра:
fs.suid_dumpable=0
kernel.randomize_va_space=2
net.ipv4.ip_forward=0
net.ipv4.conf.all.send_redirects=0
net.ipv4.conf.default.send_redirects=0Заблокируйте исполнение модулей python с расширенным функционалом:
find /usr/lib/python* -type f -name "_ctype*" -exec sudo dpkg-statoverride --update --add root root 640 {} \;По возможности, запретите пользователям подключение сменных носителей.
- Настройте систему аудита на сохранение логов на удаленной машине.
Если возможно, используйте систему централизованного протоколированияossec.
см. РУК АДМИН п.15
15. Обязательно отключите доступ к консоли пользователям:
(Инструкция для Смоленск 1.5, для 1.6 правила работают из коробки)
Добавьте группу astra-console выполнив команду:
#!/bin/sh -e
chown root:astra-console /dev/{pts,pts/*,ptmx,tty*}
chmod g+rx /dev/{pts,pts/*,ptmx,tty*}
chmod o-rx /dev/{pts,pts/*,ptmx,tty*}
exit 0
Создайте файл /etc/rc.local со следующим содержимым:
Добавьте правило в файл /etc/security/access.conf командой:
Включите в /etc/pam.d/login обработку заданных правил командой
16. Включите контроль цифровой подписи в ELF файлах и в xattr всех файлов,(Режим Замкнутой Программной Среды)
для этого сгенерируйте ключи и подпишите цифровой подписью в xattr все основные файлы и каталоги в корневой ФС.
рекомендуемые каталоги для подписи: /etc /lib /lib64 /lib32 /bin /sbin /boot /root /opt /srv /usr
16.1 Для включения механизма контроля подписи в ELF:
Установите в файле /etc/digsig/digsig_initramfs.conf:
DIGSIG_ENFORCE=1 DIGSIG_LOAD_KEYS=1
выполните команду:
16.2 Для включения механизма контроля подписи в xattr см. РУК КСЗ п.13.5.2