IbexWall
Português (Brasil)

Configurações de endurecimento, explicadas

Cada página explica uma configuração em palavras simples, diz o que você pode notar depois de ativá-la e mostra os comandos para verificar e aplicar à mão. O IbexWall aplica a mesma configuração como um plano que você revisa, com instantâneo e desfazer.

Kernel

  • Esconder endereços do kernel

    Programas sem direitos especiais deixam de ler onde as coisas ficam na memória do kernel. Atacantes usam esses endereços para mirar explorações.

    Risco baixo

  • Deixar o log do kernel só para administradores

    O log do kernel pode revelar endereços e detalhes do hardware. Só um administrador pode lê-lo.

    Risco baixo

  • Restringir o eBPF a administradores

    O eBPF deixa programas executar código dentro do kernel e é fonte constante de falhas. Isto o limita a programas privilegiados.

    Risco médio

  • Endurecer o compilador do eBPF

    Torna mais difícil abusar do código que o compilador do eBPF produz em ataques que introduzem instruções escolhidas.

    Risco baixo

  • Não carregar disciplinas de linha de terminal sob demanda

    Impede que um programa comum faça o kernel carregar código de terminal pouco usado que já foi explorado.

    Risco baixo

  • Restringir o userfaultfd

    Um programa comum não pode mais usar o lado do kernel desta interface, que atacantes usaram para cronar seus movimentos com precisão. Programas que tratam a própria memória em espaço de usuário continuam funcionando.

    Risco baixo

  • Restringir os eventos de desempenho

    Só administradores podem observar o sistema inteiro. O que a CPU e o kernel fazem continua medível para os seus próprios programas, mas um programa seu não alcança mais a maquinaria de medição do kernel.

    Risco médio

  • Proibir carregar outro kernel em execução

    Fecha um caminho para um atacante com direitos de administrador trocar para um kernel que ele preparou.

    Risco médio

  • Desligar as teclas de emergência SysRq

    As teclas SysRq podem reiniciar ou despejar a máquina pelo teclado e, em alguns cenários, ser acionadas remotamente.

    Risco baixo

  • Limitar um programa que inspeciona outro

    Um programa só pode se anexar aos próprios filhos, então um malware na sua sessão não lê nem altera seus outros programas.

    Risco médio

  • Desligar sandboxes sem privilégio (user namespaces)

    Os user namespaces dão aos programas comuns muito código do kernel para atacar. Desligá-los remove boa parte da superfície.

    Risco alto

  • Bloquear protocolos de rede obscuros

    Um programa comum pode fazer o kernel carregar protocolos de rede antigos ou raros (DCCP, SCTP, AX.25, ATM e outros), e vários já tiveram falhas graves. Quase nenhum computador precisa deles.

    Risco baixo

  • Bloquear sistemas de arquivos pouco usados

    Montar um disco ou pendrive adulterado pode explorar o código de um sistema de arquivos antigo. Isto impede o kernel de carregar os que quase ninguém usa.

    Risco médio

  • Bloquear sistemas de arquivos de rede

    Se você nunca monta compartilhamentos NFS ou de servidores de arquivos do Windows, o kernel não precisa carregar esse código.

    Risco alto

  • Desligar o Bluetooth

    O Bluetooth tem um longo histórico de falhas de segurança. Se você não o usa, manter o código dele fora do kernel remove essa exposição.

    Risco alto

  • Bloquear o driver de vídeo de teste

    O driver vivid existe só para testes e já causou falhas de escalonamento de privilégio.

    Risco baixo

Rede

Sistema de arquivos

Memória