248 lines
9.8 KiB
Go
248 lines
9.8 KiB
Go
package infosecmodules
|
||
|
||
import (
|
||
"rubric/utils"
|
||
)
|
||
|
||
var HardeningModule = Module{
|
||
Key: "hardening",
|
||
Aliases: []string{"h", "harden", "ужесточение"},
|
||
Title: "Linux Hardening",
|
||
Description: "Усиление безопасности Linux: SSH, пакеты, аудит, CIS Benchmarks",
|
||
Run: showHardening,
|
||
}
|
||
|
||
func showHardening() {
|
||
utils.Header("InfoSec — Linux Hardening")
|
||
|
||
utils.Section("Принципы усиления безопасности")
|
||
utils.Code(`1. Минимизация поверхности атаки — отключить всё лишнее
|
||
2. Минимальные привилегии — только нужные права
|
||
3. Принцип fail-secure — при сбое → закрытое состояние
|
||
4. Аудит и логирование — знать что происходит
|
||
5. Обновления — патчи уязвимостей
|
||
|
||
CIS Benchmarks — детальные руководства по hardening
|
||
https://www.cisecurity.org/cis-benchmarks/
|
||
Уровни: Level 1 (базовый), Level 2 (продвинутый)
|
||
|
||
Инструменты проверки:
|
||
Lynis — аудит безопасности Linux
|
||
OpenSCAP — соответствие стандартам (RHEL)
|
||
CIS-CAT — CIS Benchmarks scanner`)
|
||
|
||
utils.Section("SSH Hardening")
|
||
utils.Code(`# /etc/ssh/sshd_config:
|
||
# Основное:
|
||
Port 2222 # нестандартный порт (защита от автосканов)
|
||
PermitRootLogin no # запретить вход root
|
||
PasswordAuthentication no # только ключи
|
||
PubkeyAuthentication yes
|
||
AuthorizedKeysFile .ssh/authorized_keys
|
||
|
||
# Ограничения:
|
||
AllowUsers alice bob # белый список пользователей
|
||
AllowGroups sshusers # или группа
|
||
MaxAuthTries 3 # попытки аутентификации
|
||
LoginGraceTime 30 # секунд на вход
|
||
MaxStartups 3:50:10 # ограничить параллельные подключения
|
||
ClientAliveInterval 300 # keepalive каждые 5 минут
|
||
ClientAliveCountMax 2 # 2 попытки
|
||
|
||
# Протокол:
|
||
Protocol 2 # только SSHv2
|
||
HostKeyAlgorithms ssh-ed25519,ecdsa-sha2-nistp521,rsa-sha2-512
|
||
KexAlgorithms curve25519-sha256,diffie-hellman-group-exchange-sha256
|
||
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com
|
||
MACs hmac-sha2-512-etm@openssh.com
|
||
|
||
# Дополнительно:
|
||
X11Forwarding no
|
||
AllowTcpForwarding no # запретить туннели (если не нужны)
|
||
Banner /etc/ssh/banner.txt # показать предупреждение при входе
|
||
LogLevel VERBOSE
|
||
|
||
# Применить:
|
||
sshd -t # проверить конфиг
|
||
systemctl restart sshd`)
|
||
|
||
utils.Section("Усиление системы")
|
||
utils.Code(`# Обновления:
|
||
apt update && apt upgrade -y && apt autoremove -y # Debian
|
||
dnf update -y && dnf autoremove -y # RHEL
|
||
|
||
# Автоматические обновления безопасности:
|
||
apt install unattended-upgrades
|
||
dpkg-reconfigure unattended-upgrades
|
||
|
||
# Удалить ненужные пакеты:
|
||
apt list --installed | grep -v "essential\|required"
|
||
dnf list installed
|
||
# Удалить неиспользуемые: apt remove telnet rsh ftp ...
|
||
|
||
# Отключить ненужные сервисы:
|
||
systemctl list-units --type=service --state=active
|
||
systemctl disable --now cups avahi-daemon bluetooth
|
||
|
||
# Временная зона и NTP:
|
||
timedatectl set-timezone UTC
|
||
timedatectl set-ntp true`)
|
||
|
||
utils.Section("Сетевое усиление")
|
||
utils.Code(`# /etc/sysctl.d/99-hardening.conf:
|
||
|
||
# Защита от спуфинга:
|
||
net.ipv4.conf.all.rp_filter = 1
|
||
net.ipv4.conf.default.rp_filter = 1
|
||
|
||
# Запретить ICMP redirect:
|
||
net.ipv4.conf.all.accept_redirects = 0
|
||
net.ipv4.conf.default.accept_redirects = 0
|
||
net.ipv6.conf.all.accept_redirects = 0
|
||
|
||
# Запретить source routing:
|
||
net.ipv4.conf.all.accept_source_route = 0
|
||
net.ipv6.conf.all.accept_source_route = 0
|
||
|
||
# SYN cookies (защита от SYN flood):
|
||
net.ipv4.tcp_syncookies = 1
|
||
|
||
# Не отвечать на broadcast ping:
|
||
net.ipv4.icmp_echo_ignore_broadcasts = 1
|
||
|
||
# Игнорировать bogus ICMP:
|
||
net.ipv4.icmp_ignore_bogus_error_responses = 1
|
||
|
||
# Логировать martian пакеты:
|
||
net.ipv4.conf.all.log_martians = 1
|
||
|
||
# Запретить IP forwarding (если не роутер):
|
||
net.ipv4.ip_forward = 0
|
||
net.ipv6.conf.all.forwarding = 0
|
||
|
||
# Применить:
|
||
sysctl -p /etc/sysctl.d/99-hardening.conf`)
|
||
|
||
utils.Section("Усиление паролей и аутентификации")
|
||
utils.Code(`# PAM — Pluggable Authentication Modules
|
||
# /etc/security/pwquality.conf:
|
||
minlen = 14 # минимальная длина
|
||
minclass = 4 # классы символов (upper, lower, digit, other)
|
||
maxrepeat = 3 # не более 3 одинаковых подряд
|
||
dcredit = -1 # хотя бы 1 цифра
|
||
ucredit = -1 # хотя бы 1 заглавная
|
||
lcredit = -1 # хотя бы 1 строчная
|
||
ocredit = -1 # хотя бы 1 спецсимвол
|
||
|
||
# /etc/security/faillock.conf (блокировка после неудач):
|
||
deny = 5 # блокировать после 5 неудачных попыток
|
||
unlock_time = 900 # разблокировать через 15 минут
|
||
|
||
# /etc/login.defs:
|
||
PASS_MAX_DAYS 90 # смена пароля каждые 90 дней
|
||
PASS_MIN_DAYS 7 # не менять чаще раза в 7 дней
|
||
PASS_WARN_AGE 14 # предупреждать за 14 дней
|
||
|
||
# Применить политику к существующему пользователю:
|
||
chage -M 90 -W 14 alice
|
||
chage -l alice # просмотр`)
|
||
|
||
utils.Section("Аудит — auditd")
|
||
utils.Code(`auditd — система аудита Linux ядра.
|
||
Логирует системные вызовы, доступ к файлам, изменения конфигурации.
|
||
|
||
# Установка:
|
||
apt install auditd
|
||
systemctl enable --now auditd
|
||
|
||
# /etc/audit/rules.d/audit.rules:
|
||
# Мониторинг изменений аутентификационных файлов:
|
||
-w /etc/passwd -p wa -k identity
|
||
-w /etc/shadow -p wa -k identity
|
||
-w /etc/sudoers -p wa -k sudoers
|
||
|
||
# Мониторинг входов в систему:
|
||
-w /var/log/faillog -p wa -k logins
|
||
-w /var/log/lastlog -p wa -k logins
|
||
|
||
# Мониторинг команд с привилегиями:
|
||
-a always,exit -F arch=b64 -S execve -F euid=0 -k root_commands
|
||
|
||
# Мониторинг сетевых соединений:
|
||
-a always,exit -F arch=b64 -S connect -k network_connect
|
||
|
||
# Применить правила без перезапуска:
|
||
augenrules --load
|
||
|
||
# Просмотр логов:
|
||
ausearch -k identity -ts recent # события за последнее время
|
||
ausearch -k root_commands -ui 0 # команды root
|
||
aureport --auth # отчёт по аутентификации
|
||
aureport --summary # общий отчёт
|
||
aureport --failed # только ошибки`)
|
||
|
||
utils.Section("Защита файловой системы")
|
||
utils.Code(`# /etc/fstab — безопасные опции монтирования:
|
||
/dev/sda1 / ext4 defaults 0 1
|
||
tmpfs /tmp tmpfs defaults,noexec,nosuid,nodev 0 0
|
||
tmpfs /var/tmp tmpfs defaults,noexec,nosuid,nodev 0 0
|
||
/dev/sda3 /home ext4 defaults,noexec,nosuid,nodev 0 2
|
||
/dev/sda4 /var ext4 defaults,nosuid,nodev 0 2
|
||
|
||
# noexec — нельзя запускать файлы
|
||
# nosuid — SUID биты игнорируются
|
||
# nodev — устройства игнорируются
|
||
|
||
# Поиск файлов с SUID/SGID:
|
||
find / -perm /4000 -type f 2>/dev/null # SUID
|
||
find / -perm /2000 -type f 2>/dev/null # SGID
|
||
# Проверить нужны ли они, убрать ненужные:
|
||
chmod u-s /usr/bin/unnecessary
|
||
|
||
# Файлы без владельца (orphaned):
|
||
find / -nouser -o -nogroup 2>/dev/null
|
||
|
||
# Разрешения на критичные файлы:
|
||
chmod 600 /etc/shadow
|
||
chmod 644 /etc/passwd
|
||
chmod 440 /etc/sudoers
|
||
chmod 700 /root
|
||
|
||
# AIDE — мониторинг целостности файлов:
|
||
apt install aide
|
||
aide --init
|
||
mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
|
||
# Проверка (запускать регулярно):
|
||
aide --check`)
|
||
|
||
utils.Section("Lynis — аудит безопасности")
|
||
utils.Code(`Lynis — инструмент аудита безопасности Linux.
|
||
Проверяет более 300 параметров, даёт рекомендации.
|
||
|
||
# Установка:
|
||
apt install lynis
|
||
# или из репозитория (актуальная версия):
|
||
git clone https://github.com/CISOfy/lynis
|
||
cd lynis && ./lynis audit system
|
||
|
||
# Запуск:
|
||
lynis audit system # полный аудит системы
|
||
lynis audit system --quick # быстрый
|
||
lynis audit system --pentest # более агрессивные проверки
|
||
lynis show tests # список всех тестов
|
||
|
||
# Результаты:
|
||
# /var/log/lynis.log — детальный лог
|
||
# /var/log/lynis-report.dat — машиночитаемый отчёт
|
||
# Hardening Index: 0-100 (выше = лучше)
|
||
|
||
# OpenSCAP (RHEL):
|
||
dnf install scap-security-guide openscap-scanner
|
||
# Проверка по CIS Benchmark:
|
||
oscap xccdf eval \
|
||
--profile xccdf_org.ssgproject.content_profile_cis \
|
||
--results results.xml \
|
||
/usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml`)
|
||
|
||
utils.Footer()
|
||
}
|