Erittäin hyvä kaikille, ennen kuin pääsen tiimisi kovettumiseen, haluan kertoa teille, että Gentoon kehittämäni asennusohjelma on jo alfa-vaihetta edeltävässä vaiheessa 😀 tämä tarkoittaa, että prototyyppi on tarpeeksi vahva, jotta muut voivat testata sitä käyttäjiä, mutta samalla on vielä pitkä tie kuljettavana, ja näiden vaiheiden palaute (pre-alfa, alfa, beeta) auttaa määrittelemään prosessin tärkeät piirteet 🙂 Kiinnostuneille…
https://github.com/ChrisADR/installer
. Minulla on edelleen vain englanninkielinen versio, mutta toivottavasti beta-versiolla sillä on jo myös espanjankielinen käännöksensä (opin tämän pythonin ajonaikaisista käännöksistä, joten on vielä paljon löydettävää)
karkaisu
Kun puhumme karkaisu, viittaamme moniin erilaisiin toimiin tai menettelyihin, jotka estävät pääsyn tietokonejärjestelmään tai järjestelmäverkkoon. Siksi se on laaja aihe täynnä vivahteita ja yksityiskohtia. Tässä artikkelissa aion luetella joitain tärkeimpiä tai suositeltavia asioita, jotka on otettava huomioon suojataessa järjestelmää, yritän siirtyä kriittisimmistä vähiten kriittisiin, mutta syventämättä paljon aiheeseen, koska jokainen näistä huomauttaa, että siitä olisi kirjoitettu oma artikkeli.
Fyysinen pääsy
Tämä on epäilemättä ensimmäinen ja tärkein ongelma joukkueille, koska jos hyökkääjällä on helppo fyysinen pääsy joukkueeseen, heidät voidaan jo laskea kadonneeksi joukkueeksi. Tämä pätee sekä yrityksen suuriin datakeskuksiin että kannettaviin tietokoneisiin. Yksi tämän ongelman tärkeimmistä suojaustoimenpiteistä on avaimet BIOS-tasolla. Kaikille niille, joille tämä kuulostaa uudelta, on mahdollista asettaa avain BIOS: n fyysiseen pääsyyn tällä tavalla, jos joku haluaa muuttaa sisäänkirjautumisen parametrit ja käynnistä tietokone live-järjestelmästä, se ei ole helppoa.
Nyt tämä on jotain perustavaa laatua ja se varmasti toimii, jos sitä todella vaaditaan. Olen ollut useissa yrityksissä, joissa sillä ei ole merkitystä, koska heidän mielestään oven vartija "vartija" on enemmän kuin tarpeeksi voidakseen välttää fyysisen pääsyn . Mutta päästään hieman edistyneempään kohtaan.
ylellisyyttä
Oletetaan, että "hyökkääjä" on jo saanut fyysisen pääsyn tietokoneeseen, seuraava vaihe on salata kaikki olemassa olevat kiintolevyt ja osiot. LUKS (Linuxin yhtenäisen avaimen asennus) Se on salausspesifikaatio, muun muassa LUKS sallii osion salauksen avaimella, tällä tavoin, kun järjestelmä käynnistyy, jos avainta ei tunneta, osiota ei voida asentaa tai lukea.
Vainoharhaisuus
Varmasti on ihmisiä, jotka tarvitsevat "maksimaalisen" turvallisuustason, ja tämä johtaa järjestelmän pienimmänkin osan turvaamiseen. No, tämä näkökohta saavuttaa huippunsa ytimessä. Linux-ydin on tapa, jolla ohjelmisto on vuorovaikutuksessa laitteiston kanssa. Jos estät ohjelmistoa "näkemästä" laitteistoa, se ei voi vahingoittaa laitetta. Esimerkkinä, me kaikki tiedämme kuinka "vaarallinen" virusten sisältävä USB on, kun puhumme Windowsista, koska USB voi varmasti sisältää Linuxissa koodia, joka saattaa olla haitallista järjestelmälle, mutta jos ydin saa tunnistamaan vain haluamastamme USB: stä (laiteohjelmisto), tiimimme yksinkertaisesti jättää huomiotta minkä tahansa muun tyyppisen USB: n, mikä on varmasti hieman äärimmäistä, mutta se voi toimia olosuhteista riippuen.
palvelut
Kun puhumme palveluista, ensimmäinen mieleen tuleva sana on "valvonta", ja tämä on jotain varsin tärkeää, koska yksi ensimmäisistä asioista, joita hyökkääjä tekee järjestelmään tullessaan, on ylläpitää yhteyttä. Jatkuvan analyysin suorittaminen saapuvista ja erityisesti lähtevistä yhteyksistä on järjestelmässä erittäin tärkeää.
iptables
Nyt olemme kaikki kuulleet iptablesista, se on työkalu, jonka avulla voit luoda tietojen syöttö- ja poistumissääntöjä ytimen tasolla, tämä on varmasti hyödyllistä, mutta se on myös kaksiteräinen miekka. Monet ihmiset uskovat, että "palomuurilla" heillä on jo vapaa pääsy järjestelmään tai siitä poistuminen, mutta mikään ei ole kauempana totuudesta, tämä voi toimia monissa tapauksissa vain lumelääkkeenä. Tiedetään, että palomuurit toimivat sääntöjen perusteella, ja ne voidaan varmasti ohittaa tai huijata sallimalla tietojen kuljettamisen satamien ja palvelujen kautta, joiden osalta säännöt pitävät sitä "sallittuna", kyseessä on vain luovuus 🙂
Vakaus vs. liikkuva vapautus
Nyt tämä on varsin kiistanalainen kohta monissa paikoissa tai tilanteissa, mutta anna minun selittää näkemykseni. Jäsenenä tietoturvaryhmässä, joka valvoo monia jakelumme vakaan haaran aiheita, olen tietoinen monista, melkein kaikista käyttäjien Gentoo-koneiden haavoittuvuuksista. Nyt jakelut, kuten Debian, RedHat, SUSE, Ubuntu ja monet muut, käyvät läpi saman asian, ja niiden reaktioajat voivat vaihdella monista olosuhteista riippuen.
Mennään selkeään esimerkkiin, varmasti kaikki ovat kuulleet Meltdownista, Spectrestä ja koko joukosta uutisia, jotka ovat lentäneet ympäri maailmaa näinä päivinä. No, ytimen kaikkein ”liikkuvan julkaisun” haara on jo korjattu, ongelma on Kun tuomme nämä korjaukset vanhempiin ytimiin, backporting on varmasti kovaa ja kovaa työtä. Nyt sen jälkeen jakelun kehittäjien on vielä testattava ne, ja kun testaus on valmis, se on vain normaalien käyttäjien saatavilla. Mitä haluan saada tämän kanssa? Koska liikkuvan vapautuksen malli vaatii meitä tietämään enemmän järjestelmästä ja tavoista pelastaa se, jos jokin epäonnistuu, mutta niin on hyvä, koska absoluuttisen passiivisuuden ylläpitämisellä järjestelmässä on useita kielteisiä vaikutuksia sekä järjestelmänvalvojalle että käyttäjille.
Tunne ohjelmistosi
Tämä on erittäin arvokas lisäys hallinnassa, niin yksinkertaiset asiat kuin tilaamasi uutiset käyttämästäsi ohjelmistosta voivat auttaa sinua tietämään etukäteen tietoturva-ilmoitukset, tällä tavalla voit luoda reaktiosuunnitelman ja samalla nähdä kuinka paljon Jokaisen jakelun ratkaiseminen vie aikaa, on aina parempi olla ennakoiva näissä asioissa, koska yli 70% yrityksiin kohdistuvista hyökkäyksistä tapahtuu vanhentuneilla ohjelmistoilla.
Heijastus
Kun ihmiset puhuvat kovettumisesta, uskotaan usein, että "suojainen" joukkue on todiste kaikkea vastaan, eikä ole mitään vääriä. Kuten sen kirjaimellinen käännös osoittaa, karkaisu merkitsee asioiden vaikeuttamista, EI mahdotonta ... mutta monta kertaa monet ihmiset ajattelevat, että tähän liittyy tummaa taikuutta ja monia temppuja, kuten hunajapannut ... tämä on lisäosa, mutta jos et voi tehdä kaikkein perustavimpia asioita, kuten ohjelmiston pitäminen tai kielen päivitetty ohjelmointi ... ei tarvitse luoda fantomiverkkoja ja joukkueita vastatoimilla ... Sanon tämän, koska olen nähnyt useita yrityksiä, joissa he pyytävät versioita PHP 4-5: stä (ilmeisesti lopetettu) ... asioita, jotka tänään tiedetään olevan satoja ellei tuhansia puutteita turvallisuudessa, mutta jos yritys ei pysty pysymään mukana tekniikassa, on hyödytöntä, jos he tekevät loput.
Lisäksi, jos me kaikki käytämme ilmaisia tai avoimia ohjelmistoja, tietoturvavirheiden reaktioaika on yleensä melko lyhyt, ongelma ilmenee, kun olemme tekemisissä omien ohjelmistojen kanssa, mutta jätän sen toiseen artikkeliin, jonka toivon edelleen kirjoittavan pian.
Paljon kiitoksia siitä, että tulit tänne 🙂 terveisiä
Erinomainen
Paljon kiitoksia 🙂 terveisiä
Pidän eniten tämän asian käsittelyn yksinkertaisuudesta, turvallisuudesta näinä aikoina. Kiitos, että pysyn Ubuntussa niin kauan kuin sitä ei ole kovin tarpeessa, koska en käytä Windows 8.1: ssä olevaa osiota Terveisiä.
Hei normi, Debianin ja Ubuntun tietoturvaryhmät ovat varmasti melko tehokkaita 🙂 Olen nähnyt kuinka he käsittelevät tapauksia hämmästyttävällä nopeudella ja varmasti saavat käyttäjät tuntemaan olonsa turvalliseksi, ainakin jos olisin Ubuntussa, tunnen itseni hieman turvallisemmaksi 🙂
Terveisiä, ja totta, se on yksinkertainen asia ... turvallisuus on enemmän kuin tumma taide on vähimmäisvaatimusten asia 🙂
Paljon kiitoksia panoksestasi!
Erittäin mielenkiintoinen, varsinkin Rolling-julkaisun osa.
En ollut ottanut sitä huomioon, nyt minun on hallinnoitava palvelinta Gentoon kanssa nähdäksesi erot, joita minulla on Devuanin kanssa.
Suuri tervehdys ja ps jakaa tämä merkintä sosiaalisissa verkostoissani, jotta nämä tiedot tavoittavat enemmän ihmisiä!
Kiitos!
Olet tervetullut Alberto 🙂 Olin velkaa siitä, että vastasin ensimmäisenä edellisen blogin pyyntöön 🙂 joten tervehdyksiä ja jatka nyt kirjoittamista odottavan luettelon kanssa 🙂
No, kovettaminen haamuineen olisi kuin jättää tietokone haavoittuvammaksi esimerkiksi sanboxingin käytön yhteydessä. Kiinnostavaa kyllä, laitteesi ovat turvallisempia haaveita vastaan, sitä vähemmän turvakerroksia käytät ... hauska, eikö?
tämä muistuttaa minua esimerkistä, joka voisi esittää koko artikkelin ... -fsanitize = address -toiminnon käyttäminen kääntäjässä voisi saada meidät ajattelemaan, että käännetty ohjelmisto olisi "turvallisempi", mutta mikään ei voi olla kauempana totuudesta, tiedän kehittäjä, joka yritti sen sijaan, että tekisi sen koko tiimin kanssa ... osoittautui helpommaksi hyökätä kuin yksi ilman ASANia ... sama pätee eri puolilta, väärillä kerroksilla, kun et tiedä mitä he tekevät, on vahingollisempaa kuin ei käyttää mitään mennä. Luulen, että jotain, joka meidän kaikkien tulisi ottaa huomioon yrittäessäsi suojata järjestelmää ... mikä palauttaa meidät siihen tosiasiaan, että tämä ei ole pimeä taika, vaan pelkkä järki 🙂 kiitos panoksellesi
Mielestäni vakavin haavoittuvuus, joka rinnastetaan fyysiseen pääsyyn ja inhimillisiin virheisiin, on edelleen laitteisto, jättäen Meltdownin ja Spectren syrjään, koska vanhoista ajoista lähtien on nähty, että LoveLetter-mato-variantit kirjoittivat koodin laitteen BIOSiin , koska tietyt SSD-laiteohjelmistoversiot mahdollistivat koodin etäsuorittamisen ja mielestäni pahin Intel Management Engine, mikä on täydellinen poikkeama yksityisyydestä ja turvallisuudesta, koska sillä ei ole enää väliä onko laitteessa AES-salausta, hämärtymistä tai muuta kovettumista, koska vaikka tietokone sammutettaisiin, IME aikoo ruuvata sinut.
Paradoksaalista on myös, että LibreBootia käyttävä Tinkpad X200 vuodelta 2008 on turvallisempi kuin mikään nykyinen tietokone.
Pahin asia tässä tilanteessa on, että sillä ei ole ratkaisua, koska Intel, AMD, Nvidia, Gygabite tai kukaan kohtalaisen tunnettu laitevalmistaja ei aio julkaista GPL: n tai muun ilmaisen lisenssin alla, nykyinen laitteistosuunnittelu, koska miksi investoida miljoonia dollareita joku muu kopioi todellisen idean.
Kaunis kapitalismi.
Hyvin totta Kra 🙂 on ilmeistä, että olet melko taitava turvallisuusasioissa 😀, koska itse asiassa omat ohjelmistot ja laitteistot ovat huolenaiheita, mutta valitettavasti sitä vastaan ei ole paljon tekemistä "kovettumisen" suhteen, koska kuten sanot, se pakenee melkein kaikki kuolevaiset, paitsi ne, jotka osaavat ohjelmointia ja elektroniikkaa.
Terveisiä ja kiitoksia jakamisesta 🙂
Erittäin mielenkiintoinen, nyt jokaisen osan opetusohjelma olisi hyvä xD
Muuten, kuinka vaarallista on, jos laitan Raspberry Pi: n ja avaan tarvittavat portit, jotta voin käyttää omaa pilviä tai web-palvelinta kodin ulkopuolelta?
Se on, että olen varsin kiinnostunut, mutta en tiedä, eikö minulla ole aikaa tarkistaa pääsylokeja, tarkastella aika ajoin suojausasetuksia jne. Jne.
Erinomainen panos, kiitos tietosi jakamisesta.