Ajustes de refuerzo, explicados

Cada página explica un ajuste con palabras claras, cuenta qué puedes notar después de activarlo y muestra los comandos para comprobarlo y aplicarlo a mano. IbexWall aplica el mismo ajuste como un plan que revisas, con instantánea y forma de deshacerlo.

Kernel

• Ocultar las direcciones del kernel

  Los programas sin derechos especiales ya no pueden leer dónde está cada cosa en la memoria del kernel. Los atacantes usan esas direcciones para apuntar sus ataques.

  Riesgo bajo

• Reservar el registro del kernel para los administradores

  El registro del kernel puede revelar direcciones y detalles del hardware. Solo un administrador puede leerlo.

  Riesgo bajo

• Restringir eBPF a los administradores

  eBPF permite que los programas ejecuten código dentro del kernel y ha sido una fuente constante de fallos. Esto lo limita a los programas con privilegios y refuerza su compilador.

  Riesgo medio

• Reforzar el compilador de eBPF

  Hace que el código que produce el compilador de eBPF sea más difícil de aprovechar en ataques que introducen instrucciones elegidas.

  Riesgo bajo

• No cargar disciplinas de línea de terminal bajo demanda

  Impide que un programa normal haga que el kernel cargue código de terminal poco usado que ya se ha explotado antes.

  Riesgo bajo

• Restringir userfaultfd

  Un programa normal ya no puede usar el lado del kernel de esta interfaz, que atacantes han usado para cronometrar sus movimientos con precisión. Los programas que gestionan su propia memoria en espacio de usuario siguen funcionando.

  Riesgo bajo

• Restringir los eventos de rendimiento

  Solo los administradores pueden observar todo el sistema. Lo que hacen la CPU y el kernel sigue siendo medible para tus propios programas, pero un programa tuyo ya no alcanza la maquinaria de medición del kernel.

  Riesgo medio

• Prohibir cargar otro kernel mientras el sistema funciona

  Cierra una vía para que un atacante con derechos de administrador cambie a un kernel que haya preparado.

  Riesgo medio

• Desactivar las teclas de emergencia SysRq

  Las teclas SysRq pueden reiniciar o volcar una máquina desde el teclado, y en algunas configuraciones pueden activarse de forma remota.

  Riesgo bajo

• Limitar que un programa inspeccione a otro

  Un programa solo puede engancharse a sus propios hijos, así que el malware de tu sesión no puede leer ni cambiar tus otros programas.

  Riesgo medio

• Desactivar los sandboxes sin privilegios (espacios de nombres de usuario)

  Los espacios de nombres de usuario ofrecen a los programas normales mucho código del kernel que atacar. Desactivarlos elimina una gran parte de la superficie.

  Riesgo alto

• Bloquear protocolos de red poco comunes

  Un programa normal puede hacer que el kernel cargue protocolos de red antiguos o raros (DCCP, SCTP, AX.25, ATM y otros), y varios han tenido fallos graves. Casi ningún equipo los necesita.

  Riesgo bajo

• Bloquear sistemas de archivos poco usados

  Montar un disco o una memoria manipulados puede explotar el código de un sistema de archivos antiguo. Esto evita que el kernel cargue los que casi nadie usa.

  Riesgo medio

• Bloquear sistemas de archivos de red

  Si nunca montas recursos compartidos de NFS o de servidores de archivos de Windows, el kernel no necesita llevar ese código.

  Riesgo alto

• Desactivar Bluetooth

  Bluetooth tiene un largo historial de fallos de seguridad. Si no lo usas, mantener su código fuera del kernel elimina esa exposición.

  Riesgo alto

• Bloquear el controlador de vídeo de prueba

  El controlador vivid existe solo para pruebas y ha causado fallos de escalada de privilegios.

  Riesgo bajo

Red

• Resistir las inundaciones de conexiones

  Mantiene la máquina respondiendo cuando alguien la inunda con conexiones a medio abrir.

  Riesgo bajo

• Ignorar los reinicios de conexiones que se están cerrando

  Protege contra un truco que termina una conexión enviando un reinicio falsificado mientras se está cerrando.

  Riesgo bajo

• Ignorar y no enviar nunca redirecciones ICMP

  Un dispositivo de red puede decirle a este equipo que envíe su tráfico a través de otro. Esto rechaza esos mensajes y deja de enviarlos.

  Riesgo bajo

• Rechazar paquetes con enrutamiento de origen

  Un paquete puede llevar su propia ruta, lo que permite a un atacante dirigir el tráfico a través de una máquina que controla. Esto los rechaza.

  Riesgo bajo

• Descartar paquetes con dirección de origen falsificada

  Comprueba que un paquete pudo llegar realmente por el enlace por el que entró, lo que impide la suplantación de direcciones.

  Riesgo medio

• Ignorar los anuncios de router IPv6

  Un dispositivo malicioso en la red puede anunciarse como el router y colocarse en medio. Esto ignora esos anuncios.

  Riesgo medio

• Desactivar las confirmaciones selectivas

  Esta función de TCP ha sido objetivo de ataques remotos. Desactivarla elimina ese objetivo.

  Riesgo bajo

Sistema de archivos

• Proteger las carpetas compartidas de trucos con enlaces y archivos

  Bloquea los ataques clásicos que colocan un enlace o un archivo en /tmp para que un programa con privilegios escriba donde quiere el atacante.

  Riesgo bajo

• No ejecutar programas desde /tmp

  El malware y los exploits suelen dejar un programa en /tmp y ejecutarlo. Esto impide que se ejecute nada allí.

  Riesgo alto

Memoria

• Sin volcados de memoria de programas con privilegios

  Un programa que falla y se ejecuta con derechos adicionales ya no escribe su memoria, que puede contener secretos, en un archivo.

  Riesgo bajo