搜索

[21999] 2021-05-23_Linux系统安全强化指南

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-05-23_Linux系统安全强化指南 L i n u x   系 统 安 全 强 化 指 南 L e m o n S e c   2 0 2 1 - 0 5 - 2 3 译 者 B l o g ： h t t p : / / b l o g . g a o c h a o . m e 转 自 ： F r e e b u f   ， 翻 译 ： g e e k G a o 翻 译 ： w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 2 6 6 2 4 8 . h t m l 本 指 南 旨 在 说 明 如 何 尽 可 能 地 加 强 L i n u x 的 安 全 性 和 隐 私 性 ， 并 且 不 限 于 任 何 特 定 的 指 南 。 免 责 声 明 ： 如 果 您 不 确 定 自 己 在 做 什 么 ， 请 不 要 尝 试 在 本 文 中 使 用 任 何 内 容 。 本 指 南 仅 关 注 安 全 性 和 隐 私 性 ， 而 不 关 注 性 能 ， 可 用 性 或 其 他 内 容 。 列 出 的 所 有 命 令 都 将 需 要 r o o t 特 权 。 以 “ $ ” 符 号 开 头 的 单 词 表 示 一 个 变 量 ， 不 同 终 端 之 间 可 能 会 有 所 不 同 。 选 择 正 确 的 选 择 正 确 的 L i n u x 发 行 版 发 行 版 选 择 一 个 好 的 L i n u x 发 行 版 有 很 多 因 素 。 避 免 分 发 冻 结 程 序 包 ， 因 为 它 们 在 安 全 更 新 中 通 常 很 落 后 不 使 用 与 S y s t e m d 机 制 的 发 行 版 。 S y s t e m d 包 含 许 多 不 必 要 的 攻 击 面 ； 它 尝 试 做 的 事 情 远 远 超 出 了 必 要 ， 并 且 超 出 了 初 始 化 系 统 应 做 的 事 情 。 使 用 m u s l 作 为 默 认 的 C 库 。 M u s l 专 注 于 最 小 化 ， 这 会 导 致 很 小 的 攻 击 面 ， 而 其 他 C 库 （ 例 如 g l i b c ） 过 于 复 杂 ， 容 易 产 生 漏 洞 。 例 如 ， 与 m u s l 中 的 极 少 数 漏 洞 相 比 ， g l i b c 中 的 一 百 多 个 漏 洞 已 被 公 开 披 露 。 尽 管 仅 靠 披 露 的 C V E 本 身 通 常 是 不 准 确 的 统 计 信 息 ， 但 有 时 这 种 情 况 有 时 可 以 用 来 表 示 过 分 的 问 题 。 M u s l 还 具 有 不 错 的 漏 洞 利 用 缓 解 措 施 ， 尤 其 是 其 新 的 强 化 内 存 分 配 器 。 最 好 默 认 情 况 下 使 用 L i b r e S S L 而 不 是 O p e n S S L 的 发 行 版 。 O p e n S S L 包 含 大 量 完 全 不 必 要 的 攻 击 面 ， 并 且 遵 循 不 良 的 安 全 做 法 。 例 如 ， 它 仍 然 保 持 O S   /   2 和 V M S 支 持 这 些 已 有 数 十 年 历 史 的 古 老 操 作 系 统 。 这 些 令 人 讨 厌 的 安 全 做 法 导 致 了 可 怕 的 H e a r t b l e e d 漏 洞 。 L i b r e S S L 是 O p e n B S D 团 队 的 O p e n S S L 分 支 ， 它 采 用 了 出 色 的 编 程 实 践 并 消 除 了 很 多 攻 击 面 。 在 L i b r e S S L 成 立 的 第 一 年 内 ， 它 缓 解 了 许 多 漏 洞 ， 其 中 包 括 一 些 高 严 重 性 的 漏 洞 。 用 作 强 化 操 作 系 统 基 础 的 最 佳 发 行 版 是 G e n t o o   L i n u x ， 因 为 它 可 以 让 您 精 确 地 配 置 系 统 ， 以 达 到 理 想 的 效 果 ， 这 将 非 常 有 用 ， 尤 其 是 参 考 我 们 在 后 面 的 章 节 中 使 用 更 安 全 的 编 译 标 志 。 但 是 ， 由 于 G e n t o o 的 巨 大 可 用 性 缺 陷 ， 它 对 于 许 多 人 来 说 可 能 并 不 顺 手 。 在 这 种 情 况 下 ， V o i d   L i n u x 的 M u s l 构 建 是 一 个 很 好 的 折 衷 方 案 。
内 核 内 核 内 核 是 操 作 系 统 的 核 心 ， 不 幸 的 是 很 容 易 受 到 攻 击 。 正 如 B r a d   S p e n g l e r 曾 经 说 过 的 那 样 ， 可 以 将 其 视 为 系 统 上 最 大 ， 最 易 受 攻 击 的 s e t u i d 根 二 进 制 文 件 。 因 此 ， 对 内 核 进 行 尽 可 能 多 的 强 化 非 常 重 要 。 S t a b l e   v s   L T S   内 核 内 核 L i n u x 内 核 以 两 种 主 要 形 式 发 布 ： 稳 定 和 长 期 支 持 （ L T S ） 。 稳 定 版 本 是 较 新 的 版 本 ， 而 L T S 发 行 版 本 是 较 老 的 稳 定 版 本 ， 长 期 以 来 一 直 受 支 持 。 选 择 上 述 任 何 一 个 发 行 版 本 都 有 许 多 后 果 。 L i n u x 内 核 未 使 用 C V E 标 识 安 全 漏 洞 。 这 意 味 着 大 多 数 安 全 漏 洞 的 修 复 程 序 不 能 向 后 移 植 到 L T S 内 核 。 但 是 稳 定 版 本 包 含 到 目 前 为 止 进 行 的 所 有 安 全 修 复 。 但 是 ， 有 了 这 些 修 复 程 序 ， 稳 定 的 内 核 将 包 含 更 多 新 功 能 ， 因 此 大 大 增 加 了 内 核 的 攻 击 面 ， 并 引 入 了 大 量 新 错 误 。 相 反 ， L T S 内 核 的 受 攻 击 面 较 小 ， 因 为 这 些 功 能 没 有 被 不 断 添 加 。 此 外 ， 稳 定 的 内 核 还 包 括 更 新 的 强 化 功 能 ， 以 减 轻 L T S 内 核 没 有 的 某 些 利 用 。 此 类 功 能 的 一 些 示 例 是 L o c k d o w n   L S M 和 S T A C K L E A K   G C C 插 件 。 总 而 言 之 ， 在 选 择 稳 定 或 L T S 内 核 时 需 要 权 衡 取 舍 。 L T S 内 核 具 有 较 少 的 强 化 功 能 ， 并 且 并 非 当 时 所 有 的 公 共 错 误 修 复 都 已 向 后 移 植 ， 但 是 通 常 它 的 攻 击 面 更 少 ， 并 且 引 入 未 知 错 误 的 可 能 性 也 较 小 。 稳 定 的 内 核 具 有 更 多 的 强 化 功 能 ， 并 且 包 括 所 有 已 知 的 错 误 修 复 ， 但 它 也 具 有 更 多 的 攻 击 面 以 及 引 入 更 多 未 知 错 误 的 机 会 更 大 。 最 后 ， 最 好 使 用 较 新 的 L T S 分 支 （ 如 4 . 1 9 内 核 ） 。 S y s c t l S y s c t l 是 允 许 用 户 配 置 某 些 内 核 设 置 并 启 用 各 种 安 全 功 能 或 禁 用 危 险 功 能 以 减 少 攻 击 面 的 工 具 。 要 临 时 更 改 设 置 ， 您 可 以 执 行 ： 要 永 久 更 改 s y s c t l s ， 您 可 以 将 要 更 改 的 s y s c t l s 添 加 到 / e t c / s y s c t l . c o n f 或 / e t c / s y s c t l . d 中 的 相 应 文 件 ， 具 体 取 决 于 您 的 L i n u x 发 行 版 。 以 下 是 您 应 更 改 的 建 议 s y s c t l 设 置 。 K e r n e l   s e l f - p r o t e c t i o n 内 核 指 针 指 向 内 核 内 存 中 的 特 定 位 置 。 这 些 在 利 用 内 核 方 面 可 能 非 常 有 用 ， 但 是 默 认 情 况 下 不 会 隐 藏 内 核 指 针 ， 例 如 ， 通 过 读 取 / p r o c / k a l l s y m s 的 内 容 即 可 轻 松 发 现 它 们 。 此 设 置 旨 在 减 轻 内 核 指 针 泄 漏 。 另 外 ， 您 可 以 设 置 k e r n e l . k p t r _ r e s t r i c t   =   1 以 仅 从 没 有 C A P _ S Y S L O G 功 能 的 进 程 中 隐 藏 内 核 指 针 。 s y s c t l   - w   $ t u n a b l e   =   $ v a l u e k e r n e l . k p t r _ r e s t r i c t = 2
d m e s g 是 内 核 日 志 ， 它 公 开 了 大 量 有 用 的 内 核 调 试 信 息 ， 但 这 通 常 会 泄 漏 敏 感 信 息 ， 例 如 内 核 指 针 。 更 改 上 述 s y s c t l 设 置 会 将 内 核 日 志 限 制 为 C A P _ S Y S L O G 功 能 。 尽 管 d m e s g _ r e s t r i c t 的 值 ， 启 动 过 程 中 内 核 日 志 仍 将 显 示 在 控 制 台 中 。 能 够 在 引 导 过 程 中 记 录 屏 幕 的 恶 意 软 件 可 能 会 滥 用 此 恶 意 软 件 以 获 得 更 高 的 特 权 。 此 选 项 可 防 止 这 些 信 息 泄 漏 。 必 须 将 其 与 下 面 描 述 的 某 些 引 导 参 数 结 合 使 用 才 能 完 全 有 效 。 e B P F 暴 露 了 很 大 的 攻 击 面 ， 因 此 需 加 以 限 制 。 这 些 系 统 将 e B P F 限 制 为 C A P _ B P F 功 能 （ 在 5 . 8 之 前 的 内 核 版 本 上 为 C A P _ S Y S _ A D M I N ） ， 并 启 用 J I T 强 化 技 术 ， 例 如 常 量 绑 定 。 这 将 加 载 T T Y 行 规 则 限 制 为 C A P _ S Y S _ M O D U L E 功 能 ， 以 防 止 非 特 权 的 攻 击 者 使 用 T I O C S E T D   i o c t l 加 载 易 受 攻 击 的 线 路 规 则 ， 而 该 T I O C S E T D   i o c t l 之 前 已 在 许 多 漏 洞 利 用 中 被 滥 用 。 u s e r f a u l t f d ( )   系 统 调 用 经 常 被 滥 用 以 利 用 “ 事 后 使 用 ( u s e - a f t e r - f r e e ) ” 缺 陷 。 因 此 ， 该 s y s c t l 用 于 将 此 s y s c a l l 限 制 为 C A P _ S Y S _ P T R A C E 功 能 。 k e x e c 是 一 个 系 统 调 用 ， 用 于 在 运 行 时 引 导 另 一 个 内 核 。 可 以 滥 用 此 功 能 来 加 载 恶 意 内 核 并 在 内 核 模 式 下 获 得 任 意 代 码 执 行 能 力 ， 因 此 该 s y s c t l 设 置 将 被 禁 用 。 S y s R q 密 钥 向 非 特 权 用 户 公 开 了 许 多 潜 在 的 危 险 调 试 功 能 。 与 通 常 的 假 设 相 反 ， S y s R q 不 仅 是 物 理 攻 击 的 问 题 ， 而 且 还 可 以 远 程 触 发 。 该 s y s c t l 的 值 使 其 可 以 使 用 户 只 能 使 用 S A K 密 钥 ， 这 对 于 安 全 地 访 问 r o o t 是 必 不 可 少 的 。 或 者 ， 您 可 以 简 单 地 将 值 设 置 为 0 以 完 全 禁 用 S y s R q 。 k e r n e l . d m e s g _ r e s t r i c t = 1 k e r n e l . p r i n t k = 3   3   3   3 k e r n e l . u n p r i v i l e g e d _ b p f _ d i s a b l e d = 1 n e t . c o r e . b p f _ j i t _ h a r d e n = 2 d e v . t t y . l d i s c _ a u t o l o a d = 0 v m . u n p r i v i l e g e d _ u s e r f a u l t f d = 0 k e r n e l . k e x e c _ l o a d _ d i s a b l e d = 1 k e r n e l . s y s r q = 4
用 户 名 称 空 间 是 内 核 中 的 一 项 功 能 ， 旨 在 改 善 沙 箱 并 使 非 特 权 用 户 易 于 访 问 它 ， 但 是 ， 此 功 能 公 开 了 重 要 的 内 核 攻 击 面 ， 以 进 行 特 权 升 级 ， 因 此 该 s y s c t l 将 用 户 名 称 空 间 的 使 用 限 制 为 C A P _ S Y S _ A D M I N 功 能 。 对 于 无 特 权 的 沙 箱 ， 建 议 使 用 具 有 很 少 攻 击 面 的 s e t u i d 二 进 制 文 件 ， 以 最 大 程 度 地 减 少 特 权 升 级 的 可 能 性 。 沙 箱 章 节 部 分 将 进 一 步 讨 论 此 主 题 。 请 注 意 ， 尽 管 该 s y s c t l 仅 在 某 些 L i n u x 发 行 版 中 存 在 ， 因 为 它 需 要 内 核 补 丁 。 如 果 您 的 内 核 不 包 含 此 补 丁 ， 则 可 以 通 过 设 置 u s e r . m a x _ u s e r _ n a m e s p a c e s   =   0 来 完 全 禁 用 用 户 名 称 空 间 （ 包 括 r o o t 用 户 ） 。 性 能 事 件 会 增 加 大 量 内 核 攻 击 面 ， 并 导 致 大 量 漏 洞 。 此 s y s c t l 设 置 将 性 能 事 件 的 所 有 使 用 限 制 为 C A P _ P E R F M O N 功 能 （ 5 . 8 之 前 的 内 核 版 本 为 C A P _ S Y S _ A D M I N ） 。 请 注 意 ， 此 s y s c t l 设 置 需 要 在 某 些 发 行 版 中 具 备 相 关 的 内 核 补 丁 。 否 则 ， 此 设 置 等 效 于 k e r n e l . p e r f _ e v e n t _ p a r a n o i d   =   2 ， 它 仅 限 制 此 功 能 的 子 集 。 网 络 网 络 这 有 助 于 防 止 S Y N 泛 洪 攻 击 ， 这 种 攻 击 是 拒 绝 服 务 攻 击 的 一 种 形 式 ， 在 这 种 攻 击 中 ， 攻 击 者 发 送 大 量 虚 假 的 S Y N 请 求 ， 以 尝 试 消 耗 足 够 的 资 源 以 使 系 统 对 合 法 流 量 不 响 应 。 这 通 过 丢 弃 处 于 时 间 等 待 状 态 的 套 接 字 的 R S T 数 据 包 来 防 止 t i m e - w a i t 状 态 。 这 些 启 用 了 源 验 证 ， 以 验 证 从 计 算 机 所 有 网 络 接 口 接 收 到 的 数 据 包 。 k e r n e l . u n p r i v i l e g e d _ u s e r n s _ c l o n e = 0 k e r n e l . p e r f _ e v e n t _ p a r a n o i d = 3 n e t . i p v 4 . t c p _ s y n c o o k i e s = 1 n e t . i p v 4 . t c p _ r f c 1 3 3 7 = 1 n e t . i p v 4 . c o n f . a l l . r p _ f i l t e r = 1 n e t . i p v 4 . c o n f . d e f a u l t . r p _ f i l t e r = 1
这 些 设 置 禁 用 了 I C M P 重 定 向 ， 以 防 止 中 间 人 攻 击 并 最 大 程 度 地 减 少 信 息 泄 露 。 此 设 置 使 您 的 系 统 忽 略 所 有 I C M P 请 求 ， 以 避 免 S m u r f 攻 击 ， 使 设 备 更 难 以 在 网 络 上 枚 举 ， 并 防 止 通 过 I C M P 时 间 戳 识 别 时 钟 指 纹 。 源 路 由 是 一 种 允 许 用 户 重 定 向 网 络 流 量 的 机 制 。 由 于 这 可 用 于 执 行 中 间 人 攻 击 ， 在 中 间 人 攻 击 中 ， 出 于 恶 意 目 的 将 流 量 重 定 向 ， 因 此 上 述 设 置 将 会 禁 用 此 功 能 。 恶 意 的 I P v 6 路 由 广 告 可 能 会 导 致 中 间 人 攻 击 ， 因 此 应 将 其 禁 用 。 禁 用 T C P   S A C K 。 A C K 通 常 被 利 用 ， 并 且 在 许 多 情 况 下 是 不 必 要 的 ， 因 此 如 果 您 不 需 要 它 ， 则 应 将 其 禁 用 。 用 户 空 间 用 户 空 间 n e t . i p v 4 . c o n f . a l l . a c c e p t _ r e d i r e c t s = 0 n e t . i p v 4 . c o n f . d e f a u l t . a c c e p t _ r e d i r e c t s = 0 n e t . i p v 4 . c o n f . a l l . s e c u r e _ r e d i r e c t s = 0 n e t . i p v 4 . c o n f . d e f a u l t . s e c u r e _ r e d i r e c t s = 0 n e t . i p v 6 . c o n f . a l l . a c c e p t _ r e d i r e c t s = 0 n e t . i p v 6 . c o n f . d e f a u l t . a c c e p t _ r e d i r e c t s = 0 n e t . i p v 4 . c o n f . a l l . s e n d _ r e d i r e c t s = 0 n e t . i p v 4 . c o n f . d e f a u l t . s e n d _ r e d i r e c t s = 0 n e t . i p v 4 . i c m p _ e c h o _ i g n o r e _ a l l = 1 n e t . i p v 4 . c o n f . a l l . a c c e p t _ s o u r c e _ r o u t e = 0 n e t . i p v 4 . c o n f . d e f a u l t . a c c e p t _ s o u r c e _ r o u t e = 0 n e t . i p v 6 . c o n f . a l l . a c c e p t _ s o u r c e _ r o u t e = 0 n e t . i p v 6 . c o n f . d e f a u l t . a c c e p t _ s o u r c e _ r o u t e = 0 n e t . i p v 6 . c o n f . a l l . a c c e p t _ r a = 0 n e t . i p v 6 . c o n f . d e f a u l t . a c c e p t _ r a = 0 n e t . i p v 4 . t c p _ s a c k = 0 n e t . i p v 4 . t c p _ d s a c k = 0 n e t . i p v 4 . t c p _ f a c k = 0
p t r a c e 是 一 个 系 统 调 用 ， 它 允 许 程 序 调 试 、 修 改 和 检 查 另 一 个 正 在 运 行 的 进 程 ， 从 而 使 攻 击 者 可 以 轻 易 修 改 其 他 正 在 运 行 的 程 序 的 内 存 。 设 置 将 p t r a c e 的 使 用 限 制 为 仅 具 有 C A P _ S Y S _ P T R A C E 功 能 的 进 程 。 或 者 ， 将 s y s c t l 设 置 为 3 以 完 全 禁 用 p t r a c e 。 A S L R 是 一 种 常 见 的 漏 洞 利 用 缓 解 措 施 ， 它 可 以 使 进 程 的 关 键 部 分 在 内 存 中 的 位 置 随 机 化 。 这 可 能 会 使 各 种 各 样 的 漏 洞 利 用 更 困 难 ， 因 为 它 们 首 先 需 要 信 息 泄 漏 。 上 述 设 置 增 加 了 用 于 m m a p   A S L R 的 熵 的 位 数 ， 从 而 提 高 了 其 有 效 性 。 这 些 这 些 s y s c t l s 的 值 必 须 根 据 的 值 必 须 根 据 C P U 体 系 结 构 进 行 设 置 。 以 上 值 与 体 系 结 构 进 行 设 置 。 以 上 值 与 x 8 6 兼 容 ， 但 其 他 体 系 结 构 可 能 有 所 不 同 。 兼 容 ， 但 其 他 体 系 结 构 可 能 有 所 不 同 。 仅 当 在 可 全 局 写 入 的 粘 性 目 录 之 外 ， 当 符 号 链 接 和 关 注 者 的 所 有 者 匹 配 或 目 录 所 有 者 与 符 号 链 接 的 所 有 者 匹 配 时 ， 才 允 许 遵 循 符 号 链 接 。 这 还 可 以 防 止 没 有 对 源 文 件 的 读 / 写 访 问 权 限 的 用 户 创 建 硬 链 接 。 这 两 者 都 阻 止 了 许 多 常 见 的 T O C T O U 漏 洞 （ t i m e - o f - c h e c k - t o - t i m e - o f - u s e ） 这 些 阻 止 了 在 可 能 由 攻 击 者 控 制 的 环 境 （ 例 如 ， 全 局 可 写 目 录 ） 中 创 建 文 件 ， 从 而 使 数 据 欺 骗 攻 击 更 加 困 难 。 引 导 参 数 引 导 参 数 引 导 参 数 在 引 导 时 使 用 引 导 加 载 程 序 （ b o o t l o a d e r ） 将 设 置 传 递 给 内 核 。 类 似 于 s y s c t l ， 可 以 使 用 某 些 设 置 来 提 高 安 全 性 。 引 导 加 载 程 序 通 常 在 引 导 参 数 设 置 方 式 上 有 所 不 同 。 下 面 列 出 了 一 些 示 例 ， 但 是 您 应 该 研 究 特 定 b o o t l o a d e r 的 修 改 参 数 的 必 要 步 骤 。 如 果 使 用 G R U B 作 为 引 导 程 序 ， 请 编 辑 / e t c   / d e f a u l t / g r u b 并 将 参 数 添 加 到 G R U B _ C M D L I N E _ L I N U X _ D E F A U L T = l i n e 。 如 果 使 用 S y s l i n u x ， 请 编 辑 / b o o t / s y s l i n u x / s y s l i n u x . c f g 并 将 它 们 添 加 到 A P P E N D 行 中 。 如 果 使 用 s y s t e m d - b o o t ， 请 编 辑 您 的 加 载 程 序 条 目 ， 并 将 其 附 加 到 l i n u x 行 的 末 尾 。 建 议 使 用 以 下 设 置 以 提 高 安 全 性 。 K e r n e l   s e l f - p r o t e c t i o n k e r n e l . y a m a . p t r a c e _ s c o p e = 2 v m . m m a p _ r n d _ b i t s = 3 2 v m . m m a p _ r n d _ c o m p a t _ b i t s = 1 6 f s . p r o t e c t e d _ s y m l i n k s = 1 f s . p r o t e c t e d _ h a r d l i n k s = 1 f s . p r o t e c t e d _ f i f o s = 2 f s . p r o t e c t e d _ r e g u l a r = 2
这 将 禁 用 s l a b 合 并 ， 这 将 通 过 防 止 覆 盖 合 并 的 缓 存 中 的 对 象 并 使 其 更 难 以 影 响 s l a b 缓 存 的 布 局 ， 从 而 大 大 增 加 了 堆 利 用 的 难 度 。 这 些 启 用 健 全 性 检 查 （ F ） 和 重 新 分 区 （ Z ） 。 健 全 性 检 查 会 添 加 各 种 检 查 ， 以 防 止 某 些 s l a b 操 作 中 的 损 坏 。 重 新 分 区 会 在 s l a b 周 围 添 加 额 外 的 区 域 ， 以 检 测 s l a b 何 时 被 覆 盖 超 过 其 实 际 大 小 ， 从 而 有 助 于 检 测 溢 出 。 这 样 可 以 在 分 配 和 空 闲 时 间 期 间 将 内 存 清 零 ， 这 可 以 帮 助 减 轻 使 用 后 使 用 的 漏 洞 并 清 除 内 存 中 的 敏 感 信 息 。 如 果 您 的 内 核 版 本 低 于 5 . 3 ， 则 这 些 选 项 不 存 在 。 而 是 在 上 述 s l u b _ d e b u g 选 项 后 面 附 加 “   P ” ， 以 获 得 s l u b _ d e b u g = F Z P 并 添 加 p a g e _ p o i s o n = 1 。 由 于 它 们 实 际 上 是 一 种 调 试 功 能 ， 刚 好 具 有 一 些 安 全 性 ， 因 此 它 们 在 释 放 时 提 供 的 内 存 擦 除 形 式 较 弱 。 此 选 项 使 页 分 配 器 空 闲 列 表 随 机 化 ， 从 而 通 过 降 低 页 分 配 的 可 预 测 性 来 提 高 安 全 性 ， 同 时 这 也 提 高 了 性 能 。 这 将 启 用 内 核 页 表 隔 离 ， 从 而 减 轻 崩 溃 并 防 止 某 些 K A S L R 绕 过 。 这 将 禁 用 v s y s c a l l ， 因 为 它 们 已 过 时 且 已 被 v D S O 取 代 。 v s y s c a l l 也 在 内 存 中 的 固 定 地 址 上 ， 使 其 成 为 R O P 攻 击 的 潜 在 目 标 。 这 将 禁 用 d e b u g f s ， 它 会 公 开 许 多 有 关 内 核 的 敏 感 信 息 。 有 时 某 些 内 核 漏 洞 利 用 会 导 致 所 谓 的 “ o o p s ” 。 此 参 数 将 引 发 内 核 对 此 类 事 件 p a n i c ， 从 而 防 止 这 些 攻 击 。 但 是 ， 有 时 错 误 的 驱 动 程 序 会 导 致 无 害 的 操 作 ， 这 会 导 致 系 统 崩 溃 ， 这 意 味 着 此 引 导 参 数 只 能 在 某 些 硬 件 上 使 用 。 s l a b _ n o m e r g e s l u b _ d e b u g = F Z i n i t _ o n _ a l l o c = 1   i n i t _ o n _ f r e e = 1 p a g e _ a l l o c . s h u f f l e = 1 p t i = o n v s y s c a l l = n o n e d e b u g f s = o f f o o p s = p a n i c
这 仅 允 许 加 载 已 使 用 有 效 密 钥 签 名 的 内 核 模 块 ， 使 加 载 恶 意 内 核 模 块 更 加 困 难 。 这 可 以 防 止 加 载 所 有 树 外 内 核 模 块 （ 包 括 D K M S 模 块 ） ， 除 非 您 已 对 其 进 行 签 名 ， 这 意 味 着 诸 如 V i r t u a l B o x 或 N v i d i a 驱 动 程 序 之 类 的 模 块 可 能 不 可 用 ， 但 根 据 您 的 设 置 可 能 并 不 重 要 。 内 核 锁 定 L S M 可 以 消 除 用 户 空 间 代 码 滥 用 以 升 级 为 内 核 特 权 并 提 取 敏 感 信 息 的 许 多 方 法 。 为 了 在 用 户 空 间 和 内 核 之 间 实 现 清 晰 的 安 全 边 界 ， 此 L S M 是 必 需 的 。 上 面 的 选 项 在 c o n f i d e n t i a l i t y 模 式 （ 最 严 格 的 选 项 ） 中 启 用 此 功 能 。 这 意 味 着 m o d u l e . s i g _ e n f o r c e = 1 。 这 将 导 致 内 核 对 E C C 内 存 中 无 法 利 用 的 错 误 p a n i c ， 而 这 些 错 误 可 能 会 被 利 用 。 对 于 没 有 E C C 内 存 的 系 统 ， 这 是 不 必 要 的 。 这 些 参 数 可 防 止 引 导 期 间 信 息 泄 漏 ， 并 且 必 须 与 上 面 的 k e r n e l . p r i n t k   s y s c t l 结 合 使 用 。 C P U 缓 解 缓 解 最 好 启 用 适 用 于 您 的 C P U 的 所 有 C P U 缓 解 措 施 ， 以 确 保 您 不 受 已 知 漏 洞 的 影 响 。 这 是 启 用 所 有 内 置 缓 解 措 施 的 列 表 ： 您 必 须 研 究 系 统 受 其 影 响 的 C P U 漏 洞 ， 并 相 应 地 选 择 上 述 缓 解 措 施 。 请 记 住 ， 您 将 需 要 安 装 微 代 码 更 新 ， 以 完 全 免 受 这 些 漏 洞 的 影 响 。 但 所 有 这 些 操 作 都 可 能 导 致 性 能 显 着 下 降 。 结 果 结 果 如 果 遵 循 了 以 上 所 有 建 议 （ 不 包 括 特 定 的 C P U 缓 解 措 施 ） ， 则 将 具 有 ： 如 果 将 G R U B 用 作 引 导 加 载 程 序 ， 则 可 能 需 要 重 新 生 成 G R U B 配 置 文 件 才 能 应 用 这 些 文 件 。 m o d u l e . s i g _ e n f o r c e = 1 l o c k d o w n = c o n f i d e n t i a l i t y m c e = 0 q u i e t   l o g l e v e l = 0 s p e c t r e _ v 2 = o n   s p e c _ s t o r e _ b y p a s s _ d i s a b l e = o n   t s x = o f f   t s x _ a s y n c _ a b o r t = f u l l , n o s m t   m d s = f u l l , n o s m t   l 1 t f = f u l l , f o r c e   n o s m t = f o r c e   k v m . n x _ h u g e _ p a g e s = f o r c e s l a b _ n o m e r g e   s l u b _ d e b u g = F Z   i n i t _ o n _ a l l o c = 1   i n i t _ o n _ f r e e = 1   p a g e _ a l l o c . s h u f f l e = 1   p t i = o n   v s y s c a l l = n o n e   d e b u g f s = o f f   o o p s = p a n i c   m o d u l e . s i g _ e n f o r c e = 1   l o c k d o w n = c o n f i d e n t i a l i t y   m c e = 0   q u i e t   l o g l e v e l = 0
h i d e p i d p r o c 是 一 个 伪 文 件 系 统 ， 其 中 包 含 有 关 系 统 上 当 前 正 在 运 行 的 所 有 进 程 的 信 息 。 默 认 情 况 下 ， 所 有 用 户 都 可 以 访 问 此 程 序 ， 这 可 能 使 攻 击 者 可 以 窥 探 其 他 进 程 。 要 只 允 许 用 户 看 到 自 己 的 进 程 ， 而 不 能 看 到 其 他 用 户 的 进 程 ， 则 必 须 使 用 h i d e p i d = 2 ， g i d = p r o c 挂 载 选 项 来 挂 载 / p r o c 。 g i d = p r o c 将 p r o c 组 从 此 功 能 中 排 除 ， 因 此 您 可 以 将 特 定 的 用 户 或 进 程 列 入 白 名 单 。 添 加 这 些 选 项 的 一 种 方 法 是 编 辑 / e t c / f s t a b 并 添 加 ： s y s t e m d - l o g i n d 仍 然 需 要 查 看 其 他 用 户 的 进 程 ， 因 此 ， 要 使 用 户 会 话 在 s y s t e m d 系 统 上 正 常 工 作 ， 必 须 创 建 / e t c / s y s t e m d / s y s t e m / s y s t e m d - l o g i n d . s e r v i c e . d / h i d e p i d . c o n f 并 添 加 ： 减 少 内 核 攻 击 面 减 少 内 核 攻 击 面 最 好 禁 用 不 是 绝 对 必 要 的 任 何 功 能 ， 以 最 大 程 度 地 减 少 潜 在 的 内 核 攻 击 面 。 这 些 功 能 不 必 一 定 很 危 险 ， 它 们 可 以 只 是 被 删 除 以 减 少 攻 击 面 的 良 性 代 码 。 切 勿 禁 用 您 不 了 解 的 随 机 事 物 。 以 下 是 一 些 可 能 有 用 的 示 例 ， 具 体 取 决 于 您 的 设 置 。 引 导 参 数 引 导 参 数 引 导 参 数 通 常 可 以 用 来 减 少 攻 击 面 ， 这 样 的 例 子 之 一 是 ： 这 将 禁 用 整 个 I P v 6 堆 栈 ， 如 果 您 尚 未 迁 移 到 该 堆 栈 ， 则 可 能 不 需 要 该 堆 栈 。 如 果 正 在 使 用 的 I P v 6 ， 请 不 要 使 用 此 引 导 参 数 。 # # # # 将 内 核 模 块 列 入 黑 名 单 内 核 允 许 非 特 权 的 用 户 通 过 模 块 自 动 加 载 来 间 接 导 致 某 些 模 块 被 加 载 。 这 使 攻 击 者 可 以 自 动 加 载 易 受 攻 击 的 模 块 ， 然 后 加 以 利 用 。 一 个 这 样 的 示 例 是 C V E - 2 0 1 7 - 6 0 7 4 ， 其 中 攻 击 者 可 以 通 过 启 动 D C C P 连 接 来 触 发 D C C P 内 核 模 块 的 加 载 ， 然 后 利 用 该 内 核 模 块 中 的 漏 洞 。 可 以 通 过 将 文 件 插 入 / e t c / m o d p r o b e . d 并 将 指 定 的 内 核 模 块 列 入 黑 名 单 的 方 法 ， 将 特 定 的 内 核 模 块 列 入 黑 名 单 。 I n s t a l l 参 数 告 诉 m o d p r o b e 运 行 特 定 命 令 ， 而 不 是 像 往 常 一 样 加 载 模 块 。 / b i n / f a l s e 是 仅 返 回 1 的 命 令 ， 该 命 令 实 际 上 不 会 执 行 任 何 操 作 。 两 者 都 告 诉 内 核 运 行 / b i n / f a l s e   而 不 是 加 载 模 块 ， 这 将 防 止 攻 击 者 利 用 该 模 块 。 以 下 是 最 有 可 能 不 需 要 的 内 核 模 块 ： p r o c   / p r o c   p r o c   n o s u i d , n o d e v , n o e x e c , h i d e p i d = 2 , g i d = p r o c   0   0 [ S e r v i c e ] S u p p l e m e n t a r y G r o u p s = p r o c i p v 6 . d i s a b l e = 1
特 别 是 模 糊 的 网 络 协 议 会 增 加 大 量 的 远 程 攻 击 面 。 此 黑 名 单 ： i n s t a l l   d c c p   / b i n / f a l s e i n s t a l l   s c t p   / b i n / f a l s e i n s t a l l   r d s   / b i n / f a l s e i n s t a l l   t i p c   / b i n / f a l s e i n s t a l l   n - h d l c   / b i n / f a l s e i n s t a l l   a x 2 5   / b i n / f a l s e i n s t a l l   n e t r o m   / b i n / f a l s e i n s t a l l   x 2 5   / b i n / f a l s e i n s t a l l   r o s e   / b i n / f a l s e i n s t a l l   d e c n e t   / b i n / f a l s e i n s t a l l   e c o n e t   / b i n / f a l s e i n s t a l l   a f _ 8 0 2 1 5 4   / b i n / f a l s e i n s t a l l   i p x   / b i n / f a l s e i n s t a l l   a p p l e t a l k   / b i n / f a l s e i n s t a l l   p s n a p   / b i n / f a l s e i n s t a l l   p 8 0 2 3   / b i n / f a l s e i n s t a l l   p 8 0 2 2   / b i n / f a l s e i n s t a l l   c a n   / b i n / f a l s e i n s t a l l   a t m   / b i n / f a l s e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理