Перейти к содержанию

Базовые способы защиты Linux

Физическая безопасность

  1. Следуя правилу - boot access = root access, обеспечь физическую безопасность сервера, установи пароль на grub и BIOS/UEFI (grub2-mkpasswd-pbkdf2)

  2. Используй шифрование (к примеру, LUKS) для защиты данных в случае нелегетимного доступа к носителям.

Сеть

  1. Используй встроенные способы фильтрации трафика: iptables/nftables и различные надстройки к ним: ufw, firewalld. Используй в качестве шаблона нормально закрытую конфигурацию.

  2. Помни, что пароли не безопасны, поэтому предпочитай ssh аутентификацию (PubkeyAuthentication yes; PasswordAuthentication no) по сертификатам. Отключай PermitRootLogon

IAM

  1. Используй sudo с корректным назначением прав. При назначени прав, не забывай про GTFOBins.
    Хотя, вместо использования sudo, есть и приверженцы другого подхода, заключающегося в использовании отдельной записи для root - мотивируя тем, что использование sudo стирает грань между простым и привелегированным пользователем.

  2. Разработай и используй политику паролей. В общем случае она должна содержать требования к составу и длине пароля, определять порядок и периодичность проверки хэшей на возможные утечки, блокировку при переборе. На локальной станции для этого в помощь есть оснастка Local group policy

  3. При создании сервисных аккаунтов, помни про принцип наименьших привилегий.

  4. Отключай неиспользуемые аккаунты (/sbin/nologin в /etc/passwd)

Софт и сервисы

  1. Отключай не используемые сервисы - снижай поверхность атаки.

  2. Блокируй неиспользуемые порты (ну это в том числе к вопросам про нормально замкнутый файрвол)

  3. Избегай использования дырявого старья: TFTP, Telnet и т.п.

  4. Обновляйся.

  5. Используй доверенные репозитории.