Профили безопасности

Установка данного параметра сделает обязательным ввод пароля во время аутентификации по протоколу SSH.

Выполните указанную ниже команду и убедитесь, что вывод получился следующим:

Добавьте IgnoreRhosts yes в файл /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

На основе исследования, проведенного различными организациями, было определено, что в симметричной части транспортного протокола SSH содержатся уязвимости, которые позволяют восстановить до 32 битов открытого текста из блока данных, зашифрованных методом Cipher Block Chaining (CBD). На основе результатов этого исследования были разработаны новые алгоритмы, использующие метод Counter. Эти алгоритмы не подвержены указанным атакам, поэтому такие алгоритмы следует применять (при стандартном использовании).

Выполните следующую команду и убедитесь, что в выводе не содержится каких-либо алгоритмов Cipher Block Chaining (-cbc):

Отредактируйте файл /etc/ssh/sshd_config, оставив в нем только алгоритмы на основе метода Counter. Например:

Параметр LogLevel определяет, будут ли регистрироваться события входа и выхода из системы.

SSH обладает несколькими уровнями журналирования c различной степенью детализации. Уровень DEBUG особенно не рекомендуется, кроме как для отладки обмена данными по SSH, поскольку при такой настройке предоставляется слишком много данных, среди которых трудно вычленить важную информацию, касающуюся безопасности. Уровень INFO — базовый уровень, на котором записываются только попытки входа и выхода пользователей SSH из системы. Во многих ситуациях, например при реагировании на инциденты, важно определить время, когда определенный пользователь был активен в системе. Запись событий выхода из системы может исключить из списка возможных нарушителей тех пользователей, которые не были подключены к системе, что позволит сузить круг подозреваемых.

Выполните указанную ниже команду и убедитесь, что вывод получился следующим:

Добавьте LogLevel INFO (или измените существующее значение) в файл /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Доступ к этому каталогу с правами на запись может позволить непривилегированным пользователям несанкционированно повысить свои привилегии. Предоставление доступа к этому каталогу с павами на чтение может указать непривилегированным пользователям способы повысить свои привилегии или обойти механизмы аудита.

Каталог /etc/cron.d содержит системные задания cron, запускаемые так же, как ежечасные, ежедневные, еженедельные и ежемесячные аналоги из /etc/crontab, но требующие более детального контроля времени запуска. Действия над файлами в данном каталоге нельзя производить при помощи команды crontab. Файлы редактируются системными администраторами с помощью текстового редактора. Следует ограничить доступ на чтение, запись и поиск для всех, кроме суперпользователя.

Запустите следующую команду и убедитесь, что для UID и GID указано 0/root и отсутствуют разрешения для групп или остальных пользователей:

Запустите следующие команды, чтобы установить разрешения и параметры владения для каталога /etc/cron.d:

Доступ к этому каталогу с правами на запись может позволить непривилегированным пользователям несанкционированно повысить свои привилегии. Предоставление доступа к этому каталогу с павами на чтение может указать непривилегированным пользователям способы повысить свои привилегии или обойти механизмы аудита.

Каталог /etc/cron.daily содержит системные задания cron, запускаемые ежедневно. Действия над файлами в данном каталоге нельзя производить при помощи команды crontab. Файлы редактируются системными администраторами с помощью текстового редактора. Следует ограничить доступ на чтение, запись и поиск для всех, кроме суперпользователя.

Запустите следующую команду и убедитесь, что для UID и GID указано 0/root и отсутствуют разрешения для групп или остальных пользователей:

Запустите следующие команды, чтобы установить разрешения и параметры владения для каталога /etc/cron.daily:

Доступ к этому каталогу с правами на запись может позволить непривилегированным пользователям несанкционированно повысить свои привилегии. Предоставление доступа к этому каталогу с правами на чтение может указать непривилегированным пользователям способы повысить свои привилегии или обойти механизмы аудита.

Данный каталог содержит системные задания cron, запускаемые ежечасно. Действия над файлами в данном каталоге нельзя производить при помощи команды crontab. Файлы редактируются системными администраторами с помощью текстового редактора. Следует ограничить доступ на чтение, запись и поиск для всех, кроме суперпользователя.

Запустите следующую команду и убедитесь, что для UID и GID указано 0/root и отсутствуют разрешения для групп или остальных пользователей:

Запустите следующие команды, чтобы установить разрешения и параметры владения для каталога /etc/cron.hourly:

Доступ к этому каталогу с правами на запись может позволить непривилегированным пользователям несанкционированно повысить свои привилегии. Предоставление доступа к этому каталогу с правами на чтение может указать непривилегированным пользователям способы повысить свои привилегии или обойти механизмы аудита.

Каталог /etc/cron.monthly содержит системные задания cron, запускаемые ежемесячно. Действия над файлами в этом каталоге нельзя производить при помощи команды crontab. Файлы редактируются системными администраторами с помощью текстового редактора. Следует ограничить доступ на чтение, запись и поиск для всех, кроме суперпользователя.

Запустите следующую команду и убедитесь, что для UID и GID указано 0/root и отсутствуют разрешения для групп или остальных пользователей:

Запустите следующие команды, чтобы установить разрешения и параметры владения для каталога /etc/cron.monthly:

Доступ к этому каталогу с правами на запись может позволить непривилегированным пользователям несанкционированно повысить свои привилегии. Предоставление доступа к этому каталогу с правами на чтение может указать непривилегированным пользователям способы повысить свои привилегии или обойти механизмы аудита.

Каталог /etc/cron.weekly содержит системные задания cron, запускаемые еженедельно. Действия над файлами в данном каталоге нельзя производить при помощи команды crontab. Файлы редактируются системными администраторами с помощью текстового редактора. Следует ограничить доступ на чтение, запись и поиск для всех, кроме суперпользователя.

Запустите следующую команду и убедитесь, что для UID и GID указано 0/root и отсутствуют разрешения для групп или остальных пользователей:

Запустите следующие команды, чтобы установить разрешения и параметры владения для каталога /etc/cron.weekly:

Файл /etc/crontab используется демоном cron для управления своими заданиями. Следует удостовериться, что пользователь и группа root являются владельцами указанного файла и что доступ к файлу разрешен только владельцу.

Файл содержит информацию о том, какие системные задания запускаются с помощью cron. Доступ к указанному файлу с правами на запись может позволить непривилегированным пользователям повысить свои привилегии, в то время как доступ на чтение предоставит им информацию о системных заданиях, запускаемых в системе, что может способствовать получению ими несанкционированного привилегированного доступа.

Запустите следующую команду и убедитесь, что для UID и GID указано 0/root и отсутствуют разрешения для групп или остальных пользователей:

Запустите следующие команды, чтобы установить разрешения и параметры владения для файла /etc/crontab:

Неактивные учетные записи представляют собой угрозу безопасности системы, так как для обнаружения неудачных попыток входа или прочих отклонений необходим вход пользователей в систему.

Учетные записи пользователей, которые не были активны в течение заданного периода времени, могут быть автоматически отключены. Следует блокировать неактивные учетные записи через 30 дней после истечения срока действия пароля.

Запустите следующую команду, чтобы установить допустимый период неактивности для всех новых пользователей:

Безопасное значение по умолчанию для umask гарантирует, что пользователи сделали осознанный выбор относительно разрешений для своих файлов. Если для umask установлено стандартное значение 077, то файлы и каталоги доступны для чтения только создателю. Значение umask 027 позволяет давать доступ на чтение файлов и каталогов для пользователей своей Unix-группы, значение umask 022 — для всех пользователей системы.

Выполните следующие команды и убедитесь, что во всех строках, содержащих umask, указано значение 027 или более строгое:

В файлах /etc/bashrc и /etc/profile (а также в соответствующих файлах других оболочек, поддерживаемых системой) добавьте или отредактируйте параметры umask следующим образом:

Настройка небольшого значения для параметра LoginGraceTime минимизирует риск успешной атаки подбора паролей на сервер SSH, а также ограничивает число одновременных не прошедших аутентификацию соединений. Хотя рекомендуемая настройка — 60 секунд (1 минута), параметр следует настраивать на основе политики организации.

Выполните следующую команду и убедитесь, что для LoginGraceTime установлено значение не более 60:

Добавьте LoginGraceTime 60 (или меньшее значение) в файл /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Параметр Banner определяет файл, чье содержимое должно быть отправлено удаленному пользователю перед получением разрешения на аутентификацию. По умолчанию баннер не отображается.

Баннеры используются для предупреждения подключающихся пользователей об определенной политике подключения. Демонстрация предупреждающего сообщения перед входом обычного пользователя в систему может в дальнейшем способствовать преследованию нарушителей, вторгшихся в компьютерную систему.

Выполните следующую команду и убедитесь, что для Banner установлено значение /etc/issue.net:

Добавьте Banner /etc/issue.net в файл /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Отсутствие значения для времени приостановки соединения может позволить одному пользователю получить доступ к SSH-сессии другого пользователя (например, если пользователь отойдет от компьютера, не заблокировав экран). Настройка времени приостановки неактивной сессии как минимум уменьшает риск подобного нарушения.

Таймаут SSH-сессий управляется двумя параметрами: ClientAliveInterval и ClientAliveCountMax. При настроенном параметре ClientAliveInterval SSH-сессии, которые были неактивными в течение определенного времени, прерываются. При настроенном параметре ClientAliveCountMax служба sshd будет отправлять сообщения об активном состоянии пользователя каждый промежуток времени, заданный с помощью ClientAliveInterval. Когда установленное количество последовательных сообщений об активности клиента остаются без ответа от клиента, SSH-сессия прерывается. Например, если ClientAliveInterval настроен на 15 секунд, а ClientAliveCountMax — на 3, клиентская SSH-сессия будет прерываться после 45 секунд бездействия пользователя.

Хотя рекомендуемое значение ClientAliveInterval — 300 секунд (5 минут), следует настроить параметр согласно политике организации. Рекомендуемое значение для параметра ClientAliveCountMax — 0. При настройке рекомендуемого значения клиентская сессия будет прерываться после 5 минут бездействия и сообщения keepalive не будут отправляться.

Выполните следующие команды и убедитесь, что для параметра ClientAliveInterval установлено значение 300 или менее, а для ClientAliveCountMax — 3 или менее:

Добавьте ClientAliveInterval 300 и ClientAliveCountMax 0 в файл /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Ограничение доступа к команде su и использование вместо нее sudo позволяет более эффективно контролировать повышение пользовательских привилегий для исполнения привилегированных команд. Утилита sudo также предоставляет более совершенные механизмы журналирования и аудита, поскольку она способна регистрировать все команды, выполненные с помощью sudo, в то время как su фиксирует только сам факт использования программы пользователем.

Команда su позволяет пользователю запускать команду либо оболочку от имени другого пользователя. На замену ей была разработана программа sudo, которая обладает более детализированной системой контроля привилегированного доступа. Обычно команду su может запустить любой пользователь. Снятие комментария со строки pam_wheel.so в /etc/pam.d/su позволит ограничить использование su исключительно пользователями группы wheel.

Ограничение пользовательского доступа по SSH поможет предотвратить несанкционированный доступ к системе.

Ограничить доступ к системе по SSH для пользователей и групп можно с помощью нескольких параметров. Следует воспользоваться хотя бы одним из них:

Выполните следующие команды и убедитесь, что как минимум одна из них имеет указанный вывод:

В файле /etc/ssh/sshd_config настройте один или несколько параметров следующим образом:

Хотя файлы .rhosts являются нерабочими при отключении их поддержки в /etc/pam.conf, запрет на их использование в SSH обеспечит дополнительный уровень защиты.

Параметр HostbasedAuthentication определяет, разрешена ли аутентификация с использованием доверенных узлов через пользователя .rhosts или /etc/hosts.equiv наряду с успешной аутентификацией клиентского узла по открытому ключу. Параметр применим только к протоколу SSH версии 2.

Выполните указанную ниже команду и убедитесь, что вывод получился следующим:

Добавьте HostbasedAuthentication no в файл /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Параметр PermitEmptyPasswords определяет, разрешает ли сервер SSH вход в систему учетным записям с пустыми паролями.

Запрет доступа к удаленной оболочке для учетных записей с пустыми паролями снижает риск получения злоумышленниками неавторизованного доступа к системе.

Выполните указанную ниже команду и убедитесь, что вывод получился следующим:

Добавьте PermitEmptyPasswords no в файл /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Параметр PermitUserEnvironment позволяет пользователям предоставлять переменные окружения демону SSH.

Разрешение устанавливать переменные окружения с помощью демона SSH может потенциально позволить пользователям обойти механизмы безопасности (например, настроить путь выполнения таким образом, что с помощью SSH будут выполняться троянские программы).

Выполните указанную ниже команду и убедитесь, что вывод получился следующим:

Добавьте PermitUserEnvironment no в файл /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Параметр X11Forwarding позволяет пропускать трафик X11 по протоколу SSH для осуществления удаленного соединения с графическим приложением.

Отключите перенаправление X11, за исключением случаев производственной необходимости, когда требуется использовать приложения X11 напрямую. Существует небольшой риск того, что удаленные серверы X11 пользователей, которые осуществляют вход в систему посредством SSH с перенаправлением X11, могут быть скомпрометированы другими пользователями сервера X11. Следует обратить внимание, что даже в случае отключения перенаправления X11 пользователи могут выполнять его самостоятельно с помощью дополнительного программного обеспечения.

Выполните указанную ниже команду и убедитесь, что вывод получился следующим:

Измените значение параметра X11Forwarding на no в файле /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Во многих системах только системный администратор может планировать задания cron. Использование файла cron.allow с целью управления доступом к заданиям cron позволяет усилить безопасность системы. Проще следить за списком разрешений на доступ, чем за запрещающим списком, поскольку легко забыть добавить в последний идентификатор недавно созданного пользователя.

Настройте /etc/cron.allow и /etc/at.allow, чтобы установить право на использование данных служб только для определенных пользователей. При отсутствии /etc/cron.allow или /etc/at.allow применяются /etc/at.deny и /etc/cron.deny. Пользователи, не перечисленные в файлах /etc/at.deny и /etc/cron.deny, могут использовать at и cron. При удалении этих файлов использовать at и cron разрешается только пользователям, перечисленным в /etc/cron.allow и /etc/at.allow. Обратите внимание, что если даже конкретный пользователь не включен в список cron.allow, команда cron также может быть выполнена от его имени. Файл cron.allow контролирует только доступ с правами администратора к команде crontab для определения графика и изменения действий cron.

Выполните следующие команды, чтобы удалить списки /etc/cron.deny и /etc/at.deny, а также создать /etc/cron.allow and /etc/at.allow и установить для них безопасные разрешения и параметры владения:. Например:

Установка небольшого значения для параметра MaxAuthTries минимизирует риск успешной атаки подбора паролей на сервер SSH.

Параметр MaxAuthTries определяет максимальное допустимое число попыток аутентификации в рамках одного соединения. При достижении счетчиком неудачных входов в систему половины установленного числа в файл журнала syslog будут регистрироваться сообщения об ошибках с подробными сведениями о неудачной попытке.

Хотя рекомендуемая установка — 4 попытки, параметр следует настраивать на основе политики организации.

Выполните следующую команду и убедитесь, что для MaxAuthTries установлено значение не более 4:

Добавьте или измените значение параметра MaxAuthTries в файле /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Параметр PASS_MAX_DAYS в /etc/login.defs позволяет администратору установить срок действия пароля. Следует настроить для этого параметра значение 365 или менее.

Срок действия паролей является ограничивающим фактором при проведении атак: злоумышленнику необходимо воспользоваться скомпрометированными учетными данными, либо скомпрометировать их путем онлайн-подбора паролей в указанные сроки. Поэтому уменьшение значения параметра усложнит задачу для потенциальных злоумышленников.

Ограничение частоты смены пароля позволит администратору предотвратить многократное изменение пользователем пароля в попытке обойти запрет на его повторное использование.

Параметр PASS_MIN_DAYS в /etc/login.defs позволяет администратору ограничить возможность смены пароля определенным количеством дней. Следует настроить для этого параметра значение 7 или более.

SSH поддерживает два разных и несовместимых протокола: SSH1 и SSH2. SSH1 является первой версией протокола со значительными проблемами в области безопасности. SSH2 является более поздней и безопасной версией.

Выполните следующую команду и убедитесь, что для параметра Protocol установлено значение 2:

Добавьте или измените значение параметра Protocol в файле /etc/ssh/sshd_config и перезапустите сервис sshd. Например:

Надежные пароли защитят систему от взлома методом перебора паролей.

Модуль pam_cracklib.so определяет степень надежности пароля. Он проверяет: длину пароля, наличие в нем сочетания разных типов символов (буквы, цифры и др.), употребление словарных слов и пр. Далее приводятся описания параметров pam_cracklib.so:

Модуль pam_pwquality.so работает аналогично, только параметры minlen, dcredit, ucredit, ocredit и lcredit хранятся файле /etc/security/pwquality.conf.

Указанные выше настройки являются примером. Измените значения в соответствии с политикой паролей организации.

Убедитесь, что требования к созданию паролей заданы как указано ниже или более строго. Указанные параметры обычно настраиваются с помощью модулей pam_cracklib.so или pam_pwquality.so, которые находятся в /etc/pam.d/common-password или /etc/pam.d/system-auth.

Например:

Если используется pam_pwquality.so, следует также проверить параметры в /etc/security/pwquality.conf:

Установите требования к созданию паролей в соответствии с политикой организации.

Отредактируйте соответствующий конфигурационный файл /etc/pam.d/, чтобы добавить или изменить строки pam_cracklib.so или pam_pwquality.so таким образом, чтобы они включали необходимые параметры. Например:

Если используется pam_pwquality.so, следует также установить параметры в /etc/security/pwquality.conf:

В контекстах повышенной безопасности преимущества от хранения длительной истории аудита перевешивают возможные издержки.

Параметр max_log_file_action в файле /etc/audit/auditd.conf контролирует, каким образом обрабатывать файлы журнала аудита, достигшие максимального размера. Значение keep_logs обеспечит ротацию журналов и при этом исключит удаление старых журналов.

Выполните следующую команду и убедитесь, что для параметра Protocol установлено значение 2:

Установите для параметра max_log_file_action в файле /etc/audit/auditd.conf значение keep_logs.

Пакет rsyslog после установки необходимо активировать.

Если пакет rsyslog не активировать после установки, в системе по умолчанию может использоваться служба syslogd или вообще отсутствовать регистрация событий.

Выполните следующую команду и убедитесь, что служба rsyslog находится в состоянии enabled:

Активируйте службу rsyslog:

Следует убедиться, что файлы журналов имеют корректные права доступа, чтобы обеспечить архивацию и защиту данных, которые потенциально могут использоваться злоумышленниками для атак.

Служба rsyslog будет создавать файлы, которых пока не существует в системе. Следует контролировать, какие разрешения будут применяться к этим создаваемым файлам.

Выполните следующую команду и убедитесь, что значение $FileCreateMode — 0640 или более строгое:

Отредактируйте файл /etc/rsyslog.conf, настроив для $FileCreateMode значение 0640 или более строгое. Убедитесь, что эта настройка не переопределена менее строгими параметрами в любом файле конфигурации в каталоге /etc/rsyslog.d/. Перезапустите службу rsyslog.

Следует настроить аудит системы таким образом, чтобы правила аудита не могли быть изменены с помощью auditctl. Установка флага "-e 2" вводит аудит в неизменяемый режим. Изменения в настройках аудита могут быть произведены только после перезагрузки системы.

Выполните следующую команду и убедитесь, что в выводе присутствует необходимый флаг:

Вставьте значение -e 2 строку в конец файла /etc/audit/audit.rules.

Демон auditd можно настроить на выполнение остановки системы при заполнении журналов аудита.

В контекстах повышенной безопасности угроза обнаружения неавторизованного доступа либо невозможность отрицать факт получения или отправки содержимого перевешивает выгоду от доступности системы.

Выполните указанные команды и убедитесь, что в выводе содержаться соответствующие значения:

Настройте следующие параметры в файле /etc/audit/auditd.conf:

Утилита rsyslog позволяет отправлять собранные ей журналы на удаленный узел журналирования, на котором запущена служба syslogd, или получать сообщения с удаленных узлов, тем самым сокращая объем работы для администратора.

Хранение данных регистрации событий на удаленном узле защищает целостность журналов регистрации в случае локальных атак. Если злоумышленник получит доступ суперпользователя к локальной системе, то сможет модифицировать или удалить хранящиеся в ней данные журналов.

Проверьте файлы /etc/rsyslog.conf и /etc/rsyslog.d/*.conf и убедитесь, что журналы отправляются на централизованный узел (loghost.example.com — пример имени централизованного узла журналирования):

Настройка удаленного сервера логирования выполняется утилитой zvirt-system-security-set с параметром --log_server. Подробнее см. в разделе Применение профиля.

Отслеживание изменений в соответствующих файлах позволит системному администратору получать уведомления о событиях входа в систему в необычное время, что может обозначать вторжение в систему (то есть вход пользователя в систему в нехарактерное для него время).

Следует отслеживать события запуска сеанса. Необходимо задать настройки таким образом, чтобы события сеансов записывались в соответствующие файлы:

Выполните указанную ниже команду и убедитесь, что в выводе содержатся соответствующие значения:

Вставьте следующие строки в файл /etc/audit/audit.rules:

Изменения в файле /etc/sudoers могут сигнализировать о неавторизованной модификации привилегий на администрирование системы.

Отслеживайте изменения привилегий на администрирование системы. Это возможно, если система была правильно настроена и системные администраторы сначала заходят в систему от своего имени и уже потом используют команду sudo для выполнения привилегированных команд. При изменении файла /etc/sudoers или его свойств в журнале аудита будет формироваться запись. Такие записи будут иметь идентификатор scope.

Выполните указанную ниже команду и убедитесь, что в выводе содержатся соответствующие значения:

Вставьте следующие строки в файл /etc/audit/audit.rules:

Неудачные попытки открыть, создать или усечь файлы могут сигнализировать о попытках злоумышленника получить несанкционированный доступ в систему.

Отслеживайте неудачные попытки осуществления доступа к файлам. Рассматриваемые настройки связаны с системными вызовами, управляющими созданием (creat), открытием (open, openat) и усечением (truncate, ftruncate) файлов. Запись в журнале аудита будет производиться, если пользователь не является привилегированным (auid > = 500), если речь не идет о событии демона (auid=4294967295) и если системный вызов выдал EACCES (разрешение на доступ к файлу отклонено) или EPERM (любая другая систематическая ошибка, связанная с определенным системным вызовом). Всем записям аудита присваивается идентификатор access.

Выполните действия, указанные в разделе 4.1.11 документа CIS Distribution Independent Linux Benchmark v1.1.0.

Отслеживание событий входа в систему и выхода из нее позволяет системному администратору получить данные об атаках подбора пароля на учетные записи пользователей.

Необходимо отслеживать события входа и выхода из системы. Следует задать настройки таким образом, чтобы события входа в систему и выхода из нее записывались в соответствующие файлы:

Выполните указанную ниже команду и убедитесь, что в выводе содержатся соответствующие значения:

Вставьте следующие строки в файл /etc/audit/audit.rules:

Отслеживание использования insmod, rmmod и modprobe поможет системным администраторам найти свидетельства загрузки и выгрузки модуля ядра неавторизованным пользователем с возможной компрометацией системы. Отслеживание системных вызовов init_module и delete_module позволит определить попытки неавторизованного пользователя воспользоваться другой программой для загрузки и выгрузки модулей.

Выполните указанную ниже команду и убедитесь, что в выводе содержатся соответствующие значения:

Ожидаемый вывод:

Вставьте следующие строки в файл /etc/audit/rules.d/audit.rules:

Примените новые правила:

Убедитесь, что правила загружены:

Ожидаемый вывод:

Выполнение привилегированных команд непривилегированными пользователями может сигнализировать о попытке злоумышленника получить несанкционированный доступ в систему.

Отслеживайте привилегированные программы (с битами setuid и/или setgid, настроенными на выполнение), чтобы определить, запущены ли программы непривилегированными пользователями.

Выполните следующую команду, заменив <partition> списком разделов, из которых в вашей системе могут выполняться программы:

Убедитесь, что все выведенные строки находятся в файле /etc/audit/audit.rules.

Чтобы соблюсти данное требование, системный администратор должен выполнить команду find и обнаружить все привилегированные программы. После чего требуется добавить строку аудита для каждой из них. Ниже приведены соответствующие параметры аудита:

Всем этим записям аудита должен быть присвоен идентификатор privileged.

Выполните следующую команду, заменив <partition> списком разделов, из которых в вашей системе могут выполняться программы:

Добавьте все выведенные строки в файл /etc/audit/audit.rules.

Неожиданные изменения системной даты или времени могут быть признаком осуществления вредоносных действий в системе.

Следует регистрировать события, в результате которых изменились системные дата или время. Рекомендуется настроить параметры таким образом, чтобы определить, выполнялись ли системные вызовы adjtimex (настройка часов ядра), settimeofday (установка времени при помощи структур timeval и timezone), stime (применение секунд с 1/1/1970) или clock_settime (установка нескольких внутренних часов и таймеров), и обеспечить их аудит в файл /var/log/audit.log при выходе с присвоением идентификатора записей "time-change".

Выполните действия, указанные в разделе 4.1.4 документа CIS Distribution Independent Linux Benchmark v1.1.0.

Непредвиденные изменения в файлах group, passwd, shadow и gshadow либо /etc/security/opasswd могут быть признаком компрометации системы и попыток злоумышленника скрыть свои действия или компрометировать другие учетные записи.

Следует регистрировать события, повлиявшие на файлы group, passwd (ID пользователей), shadow и qshadow (пароли) или /etc/security/opasswd (старые пароли, основанные на параметре remember в конфигурации PAM). Необходимо задать такие настройки, чтобы отслеживать открытие файлов для редактирования или изменение их атрибутов (например, прав доступа) и присваивать этим событиям идентификатор identity в файле журнала аудита.

Выполните указанную ниже команду и убедитесь, что в выводе присутствуют соответствующие записи:

Вставьте следующие строки в файл /etc/audit/audit.rules:

Отслеживание изменений в свойствах файлов поможет системному администратору обнаружить действия, указывающие на вторжение в систему или нарушение политики безопасности

Необходимо отслеживать изменения в файловых правах на доступ, свойствах, владении и группе. Рассматриваемые ниже параметры отслеживают изменения в системных вызовах, которые влияют на права доступа и свойства файлов. Системные вызовы chmod, fchmod и fchmodat влияют на права на доступ, связанные с файлом. Вызовы chown, fchown, fchownat и lchown влияют на свойства владельца и группы файла. Вызовы setxattr, lsetxattr, fsetxattr (установить расширенные свойства файла) и removexattr, lremovexattr, fremovexattr (удалить расширенные свойства файла) управляют расширенными свойствами файла. Во всех случаях запись аудита будет производиться только для несистемных идентификаторов пользователя (auid >= 500) и проигнорирует события демонов (auid = 4294967295). Все записи аудита получат идентификатор perm_mod.

Выполните действия, указанные в разделе 4.1.10 документа CIS Distribution Independent Linux Benchmark v1.1.0.

Следует регистрировать изменения в файлах сетевого окружения или системных вызовах. Следует настроить параметры, которые отслеживают системные вызовы sethostname (установка имени узла) или setdomainname (установка имени домена) и записывают событие аудита по окончании системного вызова. Также следует настроить параметры, которые отслеживают файлы /etc/issue и /etc/issue.net (сообщения, выводимые перед входом в систему), /etc/hosts (файл, содержащий имена узлов и соответствующие им IP-адреса) и /etc/sysconfig/network (каталог со сценариями и конфигурациями сетевого интерфейса).

Выполните действия, указанные в разделе 4.1.6 документа CIS Distribution Independent Linux Benchmark v1.1.0.

Изменения в файлах каталога /etc/selinux могут сигнализировать о попытках неавторизованного пользователя модифицировать параметры управления доступом и контексты безопасности, что может привести к компрометации системы.

Выполните следующую команду и убедитесь, что в выводе присутствуют соотвествующие значения:

Вставьте следующую строку в файл /etc/audit/audit.rules:

Отслеживайте все случаи использования системных вызовов, связанных с удалением или переименованием файлов и их свойств. Данная функция конфигурации позволяет отслеживать системные вызовы unlink (удалить файл), unlinkat (удалить свойство файла), rename (переименовать файл) и renameat (переименовать свойство файла) и наделяет их идентификатором delete.

Выполните действия, указанные в разделе 4.1.14 документа CIS Distribution Independent Linux Benchmark v1.1.0.

Отслеживайте использование системного вызова mount. Системный вызов mount (и umount) управляет подключением и отключением файловых систем. Рассматриваемые настройки позволяют настроить систему на создание записей аудита при использовании системного вызова mount непривилегированным пользователем.

Непривилегированные пользователи крайне редко подключают файловые системы. Хотя регистрация команд mount и позволяет системному администратору получить свидетельство того, что было произведено подключение внешних носителей (после подтверждения, что источником подключения является внешний носитель), данный факт не указывает на то, что на носитель были экспортированы данные. Чтобы это установить, системным администраторам понадобятся данные об успешных системных вызовах open, creat и truncate, которые требуют доступа на запись для файла с точки подключения файловой системы внешнего носителя. Это позволит с большой долей вероятности определить факт записи. Единственный достоверный способ — регистрировать все случаи успешной записи на внешний носитель. Данная практика может привести к быстрому заполнению журнала аудита, что не рекомендуется. Рекомендации по вариантам конфигурации с целью отслеживания экспорта данных на внешние носители в данное требование не входят.

Выполните действия, указанные в разделе 4.1.13 документа CIS Distribution Independent Linux Benchmark v1.1.0.

Изменения в /var/log/sudo.log указывают на то, что либо администратор выполнил команду, либо целостность файла журнала была нарушена. Чтобы определить, были ли выполнены несанкционированные команды, администраторам нужно соотнести события, записанные в журналах аудита, с данными в /var/log/sudo.log.

Отслеживайте изменения в файле журнала sudo. Если система была правильно настроена на отключение команды su, любой администратор будет вынужден сначала войти в систему и только потом использовать sudo для выполнения привилегированных команд. Тогда все команды администраторов будут журналироваться в /var/log/sudo.log. Всякий раз, когда выполняется команда, будет создаваться событие аудита, а в открывшийся файл /var/log/sudo.log будет записана выполненная команда администрирования.

Выполните указанную ниже команду и убедитесь, что в выводе содержится соответствующая запись:

Вставьте следующую строку в файл /etc/audit/audit.rules:

Данная функция позволяет журналировать пакеты с немаршрутизируемыми адресами источников в журнал ядра.

Включение данной функции и журналирование таких пакетов позволит администратору распознать подмененные пакеты, посылаемые системе злоумышленником.

Выполните указанные команды и убедитесь, что в выводе содержатся соответствующие записи:

Настройте следующие параметры в файле /etc/sysctl.conf:

Запустите следующие команды, чтобы настроить активные параметры ядра:

Даже известные шлюзы могут быть скомпрометированы. Установка значения 0 для net.ipv4.conf.all.secure_redirects позволит защитить систему от обновлений таблиц маршрутизации потенциально скомпрометированными известными шлюзами.

Безопасное сообщение ICMP Redirect аналогично простому сообщению ICMP Redirect c единственным отличием: источником в первом случае являются шлюзы, входящие в список стандартных шлюзов. Предполагается, что эти шлюзы известны системе и скорее всего безопасны.

Выполните указанные команды и убедитесь, что в выводе содержатся соответствующие записи:

Настройте следующие параметры в файле /etc/sysctl.conf:

Запустите следующие команды, чтобы настроить активные параметры ядра:

В сетевых подключениях маршрутизация от источника позволяет отправителю полностью или частично определять маршрут, по которому проходят пакеты по сети, в то время как пакеты с обычной маршрутизацией проделывают путь, заданный маршрутизаторами сети. В некоторых случаях у систем отсутствует возможность маршрутизации или они недоступны из ряда мест (в пример можно привести адреса частных сетей в сравнении с маршрутизируемыми через интернет), и потому возникает необходимость в пакетах с маршрутизацией от источника.

Установка значения 0 для net.ipv4.conf.all.accept_source_route и net.ipv4.conf.default.accept_source_route не позволит системе принимать пакеты с маршрутизацией от источника. Предположим, что система может направлять пакеты на адреса с маршрутизацией через интернет на одном интерфейсе и на адреса частных сетей на другом. Причем отсутствует возможность направлять пакеты от частных адресов к адресам с интернет-маршрутизацией и наоборот. В обычных условиях злоумышленник с адресов с интернет-маршрутизацией не мог бы использовать систему, чтобы добраться до систем с частными адресами. Однако, если пакеты с маршрутизацией от источника были бы разрешены, злоумышленник мог бы получить доступ к системам частных адресов, поскольку существовала бы возможность установки маршрута, позволяющая обойти протоколы маршрутизации, не допускающие такую возможность.

Выполните указанные команды и убедитесь, что в выводе содержатся соответствующие записи:

Настройте следующие параметры в файле /etc/sysctl.conf:

Запустите следующие команды, чтобы настроить активные параметры ядра:

Злоумышленники могут воспользоваться поддельными сообщениями ICMP Redirect и внести изменения в таблицы маршрутизации системы, чтобы заставить их отсылать пакеты на некорректные сети, где они будут перехвачены.

Сообщения ICMP Redirect являются пакетами, передающими информацию о маршрутизации и сообщающие узлу, выполняющему роль маршрутизатора, о необходимости отправить пакет по альтернативному пути. Это дает возможность обновить таблицы маршрутизации системы при помощи стороннего маршрутизатора. При установке значения 0 для net.ipv4.conf.all.accept_redirects система перестанет принимать все сообщения ICMP Redirect и таким образом не позволит третьим лицам обновить таблицы маршрутизации системы.

Выполните указанные команды и убедитесь, что в выводе содержатся соответствующие записи:

Настройте следующие параметры в файле /etc/sysctl.conf:

Запустите следующие команды, чтобы настроить активные параметры ядра:

Сообщения ICMP Redirect используются для перенаправления данных маршрутизации другим узлам. Если сам узел не выступает в качестве маршрутизатора, а только в качестве узла, в отправке сообщений Redirect нет необходимости.

Злоумышленник может воспользоваться скомпрометированным узлом для отправки недействительных сообщений ICMP Redirect на другие маршрутизаторы с целью нарушить механизм маршрутизации и направить пользователей в специально сформированную им систему вместо легитимной.

Выполните указанные команды и убедитесь, что в выводе содержатся соответствующие записи:

Настройте следующие параметры в файле /etc/sysctl.conf:

Запустите следующие команды, чтобы настроить активные параметры ядра:

При установке значения 1 для net.ipv4.conf.all.rp_filter и net.ipv4.conf.default.rp_filter ядро Linux будет применять фильтрацию по обратному пути для проверки корректности получаемого пакета. В случае если обратный пакет не отправляется от того же интерфейса, что и соответствующий ему пакет источника, он отбрасывается (и журналируется при включенном параметре log_martians).

Установка значения 1 для net.ipv4.conf.all.rp_filter и net.ipv4.conf.default.rp_filter позволит помешать злоумышленникам направлять в систему специально сформированные пакеты, на которые невозможно откликнуться. Фильтрация пакетов по обратному пути не работает в случае, если применяется асимметричная маршрутизация, возникающая в результате использования динамических протоколов маршрутизации (bgp, ospf, etc) в системе. Применение фильтрации пакетов по обратному пути не возможно без нарушения работы асимметричной маршрутизации (если она используется в системе).

Выполните указанные команды и убедитесь, что в выводе содержатся соответствующие записи:

Настройте следующие параметры в файле /etc/sysctl.conf:

Запустите следующие команды, чтобы настроить активные параметры ядра:

Несмотря на то, что системный администратор может установить безопасные права доступа для домашних каталогов пользователей, сами пользователи могут без труда их переопределить.

Домашние каталоги пользователей, открытые на запись для всех или для какой-либо группы, могут позволить злоумышленнику украсть или изменить данные других пользователей, чтобы повысить свои привилегии.

Полный сценарий аудита приведен в разделе 6.2.8 документа CIS Distribution Independent Linux Benchmark v1.1.0.

Внесение глобальных изменений в домашние каталоги пользователей незаметно для самих пользователей может привести к непредсказуемым последствиям. Поэтому следует определить политику мониторинга, чтобы сообщать о правах доступа на файл пользователя и устанавливать порядок действий в соответствии с политикой организации.

Пользователи могут быть определены в /etc/passwd без домашнего каталога или с несуществующим каталогом.

Если домашний каталог пользователя не существует или же не назначен, пользователь будет помещен в каталог "/" и не сможет осуществлять запись в файлы либо иметь настроенные параметры локального окружения.

Выполните следующий сценарий и убедитесь, что он не выдает результата:

Если пользователю назначен несуществующий домашний каталог, создайте его и убедитесь, что его владельцем является данный пользователь. Пользователи без назначенного домашнего каталога должны быть удалены или привязаны к соответствующему домашнему каталогу.

Файл /etc/group- содержит резервный список всех активных групп в системе.

Необходимо удостовериться, что файл /etc/group- защищен от неавторизованного доступа. Хотя по умолчанию он защищен, права на доступ к нему могут быть изменены случайно либо намеренно.

Запустите следующую команду и убедитесь, что для UID и GID указано 0/root и права на доступ определены как 600 или более строгие:

Чтобы установить права доступа для файла /etc/group-, выполните следующую команду:

Файл /etc/passwd- содержит резервную копию данных об учетных записях.

Необходимо удостовериться, что файл /etc/passwd- защищен от неавторизованного доступа. Хотя по умолчанию он защищен, права на доступ к нему могут быть изменены случайно либо намеренно.

Запустите следующую команду и убедитесь, что для UID и GID указано 0/root и права на доступ определены как 600 или более строгие:

Чтобы установить права доступа для файла /etc/passwd-, выполните следующую команду:

Каталог /tmp является общедоступным для записи и используется для временного хранения данных всеми пользователями и некоторыми приложениями.

Поскольку каталог /tmp открыт для записи всем пользователям, существует риск возникновения нехватки ресурсов. Для предотвращения подобной ситуации необходимо выделить под него отдельный раздел.

Нехватка места в каталоге /tmp представляет собой проблему независимо от того, какая файловая система используется в системе. Однако при стандартной установке дисковый каталог /tmp получит в распоряжение весь диск, поскольку на всем диске будет создан один единственный раздел "/". С другой стороны, /tmp в памяти, как, например, при использовании tmpfs, почти наверняка будет гораздо меньшего размера, что может значительно быстрее привести к заполнению файловой системы данными приложений. Размер каталога /tmp в tmpfs можно изменить с помощью параметра size={size} в строке Options файла tmp.mount.

Создание собственной файловой системы для /tmp позволит администратору установить опцию noexec, тем самым устранив вероятность того, что злоумышленник воспользуется каталогом для внедрения исполняемого кода. Дополнительно данная мера позволит предотвратить установку жесткой ссылки на системную программу setuid. После обновления жесткая ссылка оказалась бы взломанной, а злоумышленник получил бы экземпляр программы и возможность эксплуатировать имеющиеся в ней уязвимости. Если бы в программе оказалась известная уязвимость в области безопасности, злоумышленник мог бы воспользоваться ей.

Требование можно выполнить, установив tmpfs для /tmp либо выделив отдельный раздел для /tmp.

Выполните следующую команду и убедитесь, что каталог /tmp подключен:

Во время установки системы проведите настройку таблицы разделов, указав отдельный раздел для tmp.

Для исправления проблемы в уже установленных системах создайте новый раздел и установите необходимые параметры в файле /etc/fstab.

Настройка жесткого (hard) ограничения для дампов памяти позволяет избежать переопределения пользователями переменной soft. При необходимости использования дампов памяти настройте ограничения для групп пользователей — см. limits.conf(5). Также применение значения 0 к переменной fs.suid_dumpable позволит предотвратить получение дампа ядра программами с атрибутом setuid.

Дамп памяти является содержимым памяти исполняемой программы. Обычно он требуется для определения причины, по которой работа программы была прекращена. Также он может использоваться для сбора конфиденциальной информации из файла ядра. Система позволяет установить мягкое (soft) ограничение на дампы памяти, однако пользователи могут переопределять его.

Выполните указанные команды и убедитесь, что в выводе содержатся соответствующие записи:

Каталог /home используется для хранения на диске данных локальных пользователей.

Если система предназначена для поддержки локальных пользователей, рекомендуется создать отдельный раздел для каталога /home, чтобы предотвратить возникновение нехватки ресурсов и задать ограничения для типов файлов, которые разрешено хранить в /home.

Выполните следующую команду и убедитесь, что каталог /home подключен:

Во время установки системы проведите настройку таблицы разделов, указав отдельный раздел для /home.

Для исправления проблемы в уже установленных системах создайте новый раздел и задайте необходимые настройки в файле /etc/fstab.

Поскольку каталог /var может содержать файлы и каталоги, общедоступные для записи, существует риск возникновения нехватки ресурсов, если не выделить для него отдельный раздел.

Каталог /var используется программами-демонами и другими системными службами для временного хранения динамических данных. Некоторые каталоги, созданные данными процессами, могут быть доступны для записи всем пользователям.

Выполните следующую команду и убедитесь, что каталог /var подключен:

Во время установки системы проведите настройку таблицы разделов, указав отдельный раздел для /var.

Для исправления проблемы в уже установленных системах создайте новый раздел и задайте необходимые настройки в файле /etc/fstab.

Каталог /var/log используется системными службами для хранения данных журналов.

Существуют две важные причины хранения системных журналов в отдельном разделе: защита от возникновения нехватки ресурсов (журналы могут иметь довольно большой размер) и защита данных аудита.

Выполните следующую команду и убедитесь, что каталог /var/log подключен:

Во время установки системы проведите настройку таблицы разделов, указав отдельный раздел для /var/log.

Для исправления проблемы в уже установленных системах создайте новый раздел и задайте необходимые настройки в файле /etc/fstab.

Демон аудита auditd хранит данные журналов в каталоге /var/log/audit.

Существуют две важные причины хранения данных, собранных auditd, в отдельном разделе: защита от возможной нехватки ресурсов (файл audit.log может иметь достаточно большой размер) и защита данных аудита. Демон аудита рассчитывает количество свободного дискового пространства и в соответствии с полученными результатами выполняет необходимые действия. Если другие процессы (такие как syslog) занимают место в том же разделе, что и auditd, его функционирование может быть нарушено.

Выполните следующую команду и убедитесь, что каталог /var/log/audit подключен:

Во время установки системы проведите настройку таблицы разделов, указав отдельный раздел для /var/log/audit.

Для исправления проблемы в уже установленных системах создайте новый раздел и задайте необходимые настройки в файле /etc/fstab.

Если пароль начального загрузчика системы настроен, то человеку, выполняющему перезагрузку, необходимо ввести пароль, чтобы получить возможность настраивать параметры загрузки через интерфейс командной строки.

Требование ввести пароль при исполнении программы начальной загрузки не позволит неавторизованным пользователям выполнять ввод параметров загрузки или менять загрузочный раздел диска. Таким образом, пользователи не смогут ослабить безопасность (например, отключить SELinux при загрузке).

Выполните следующие команды и убедитесь, что вывод содержит соответствующие записи:

За исключением случаев, когда системе необходимо экспортировать общие ресурсы NFS или играть роль NFS-сервера, следует отключить это ПО, чтобы уменьшить потенциальную поверхность атаки.

Проверьте состояние служб nfs:

Отключите необходимые службы. Например:

HTTP- или веб-серверы предоставляют возможность размещать содержимое сайтов.

За исключением случаев, когда система играет роль веб-сервера, следует отключить службу httpd и удалить пакет HTTP, чтобы уменьшить потенциальную поверхность атаки.

Проверьте состояние службы httpd:

Отключите службу httpd:

Пакет telnet содержит клиент Telnet, позволяющий пользователям осуществлять соединение с другими системами по протоколу Telnet.

Протокол Telnet является небезопасным и не использует шифрование. Использование среды передачи, в которой отсутствует шифрование данных, может позволить неавторизованному пользователю украсть учетные данные. Пакет SSH предоставляет шифрование сеанса и более высокий уровень безопасности.

Убедитесь, что клиент telnet не установлен:

Удалите клиент telnet: