4.kernel security

20: Linux Kernel /etc/sysctl.conf Hardening

/etc/sysctl.conf file is used to configure kernel parameters at runtime. Linux reads and applies settings from /etc/sysctl.conf at boot time. Sample /etc/sysctl.conf:

# Turn on execshield kernel.exec-shield=1 kernel.randomize_va_space=1 # Enable IP spoofing protection net.ipv4.conf.all.rp_filter=1 # Disable IP source routing net.ipv4.conf.all.accept_source_route=0 # Ignoring broadcasts request net.ipv4.icmp_echo_ignore_broadcasts=1 net.ipv4.icmp_ignore_bogus_error_messages=1 # Make sure spoofed packets get logged net.ipv4.conf.all.log_martians = 1

9. 核心安全

移除不必要的功能

設定核心的基本規則是移除所有您不需要的東西。這會建立一個比較小的核心，同時也可以避免那些可能存在驅動程式或其他功能中的漏洞。

同時考慮關閉模組載入支援 (loadable module support)，雖然說還是可以用這個以外的方法加入模組 (根工具 - root kits)，不過它的確讓一般的攻擊者難以經由核心模組安裝根工具 (root kits)。

/proc (核心旗標)

許多核心參數可以從 /proc 或 sysctl 被更改。

想在執行時期動態變更核心參數以及變數，您的 .config 中必須有 CONFIG_SYSCTL 選項。在 2.4 系列的核心中這是預設開啟的。

原始碼 9.1: 丟棄 ping 封包

# /bin/echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all

這將讓您忽略 icmp type 0 (也就是 ping) 的封包。因為 icmp 會包括讓您意想不到的資訊。系統管理員使用 ping 作為診斷系統的工具，而且他們可能會抱怨不能 ping。沒有理由讓個陌生人來 ping 內部的機器，不過有時候讓內部的人可以 ping 也是蠻方便的，這可以用從防火牆端將 icmp type 0 的封包取消來解決。

原始碼 9.2: 忽略廣播探測

# /bin/echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

這會停止回應廣播封包以及防止增幅攻擊。增幅攻擊的運作方法是傳送一個 ICMP type 0 (ping) 訊息至網路的廣播位置。通常攻擊者會偽裝成某個來源位置，所有網路上的電腦會回應這個 ping 訊息，然後被偽裝的來源就會收到一大堆 ping 訊息。

原始碼 9.3: 忽略來源路由 (source route) 封包

# /bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

不要接受來源路由 (source route) 的封包。攻擊者可以使用源頭路由來產生假裝本來就在您內部網路產生的封包，不過將會從他來的路徑路由回去，所以攻擊者可以危害您的網路。源頭路由很少在正當的狀況下被使用，所以關閉它。

原始碼 9.4: 取消允許重新導向

# /bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects

取消允許 ICMP 重新導向。ICMP 重導向可以被用來更改您的路由表，可能轉到一條死胡同。

原始碼 9.5: 防備爛錯誤訊息

# /bin/echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

啟動針對無效錯誤訊息的防禦。

原始碼 9.6: 啟動反轉路徑過濾

# for i in /proc/sys/net/ipv4/conf/*; do /bin/echo "1" > $i/rp_filter done

注意: 如果您啟動了 IP 轉送，這個也會自動被開啟。

啟動反轉路徑過濾。這可以幫助確認封包來自合法的源頭，經由自動捨棄那些網路位置不符合應該進入的網路介面的封包。這有安全上的優點因為它防止 IP 偽造 (IP spoofing)。

警告: 但是它也可能在您使用不對稱路由 (封包從您的機器到另一個機器的路徑與從它來到您的路徑不同) 的時候造成問題，或您在建設一台有多個 IP 位置來自不同介面的非路由機器。

原始碼 9.7: 紀錄騙人的封包、源頭路由封包以及重新導向封包

# /bin/echo "1" > /proc/sys/net/ipv4/conf/all/log_martians

紀錄騙人的封包、源頭路由封包以及重新導向封包。

原始碼 9.8: 關閉 IP 轉送

# /bin/echo "0" > /proc/sys/net/ipv4/ip_forward

確認 IP 轉送是關閉的。我們只在 multi-homed 機器上需要這個東西。

全部這些設定都會在重新開機後被重設。所以我們建議您在 /etc/sysctl.conf 這個開機自動被 /etc/init.d/bootmisc 啟動稿啟用的檔案中加入它們。

/etc/sysctl.conf 的語法很直接，將之前提到的目錄中的 /proc/sys 拿掉，然後將 / 換成 .：

原始碼 9.9: 相對 sysctl.conf 的翻譯

(使用 echo 的手動設定：) /bin/echo "0" > /proc/sys/net/ipv4/ip_forward (自動的 sysctl.conf：) net.ipv4.ip_forward = 0