Karastamine ja CIS-i põhimõtted

Moodul 10: Turvaliseks jäämine · Lugemisaeg: 11 minutit

Õpieesmärk: Pärast seda õppetundi oskad selgitada, mis on karastamine ja millised põhimõtted on selle taga, tead, mis on CIS Benchmarkid ja kuidas neid mõistlikult kasutada, ning oskad oma serverit Lynisega süsteemselt üle kontrollida.

Põhimõisted: karastamine (hardening), ründepind, minimaalne paigaldus, minimaalsed õigused (least privilege), kihiline kaitse (defense in depth), CIS Benchmarks, Level 1 ja Level 2, CIS Controls, Lynis, hardening index, AppArmor, SELinux, sysctl, aja sünkroonimine

Mis on karastamine?

Värske Debiani või Ubuntu paigaldus on üsna turvaline, kuid tehtud töötama võimalikult paljudes kohtades. Karastamine (hardening) tähendab serveri kohandamist täpselt sinu kasutusele: kõik, mida sa ei vaja, eemaldatakse, ja kõik, mida saab rangemaks teha, tehakse rangemaks, ilma et su enda teenused katki läheksid.

Eelmistes moodulites tegid seda juba samm-sammult: SSH võtmetega (moodul 2), tavaline kasutaja koos sudoga (moodul 3), automaatsed uuendused (moodul 4), tulemüür ja fail2ban (moodul 5), teenused oma kasutajate all (moodul 6). See õppetund paneb need eraldi meetmed ühte raami, et näeksid, mis veel puudu on.

Neli põhimõtet

1. Väike ründepind. Mida pole olemas, see ei saa katki minna. Iga paigaldatud teenus, iga avatud port ja iga konto on võimalik sissepääs (õppetund 5.1). Paigalda minimaalselt ja korista ära see, mida enam ei kasuta:

anna@web1:~$ systemctl list-units --type=service --state=running
anna@web1:~$ sudo ss -tulpn
anna@web1:~$ apt list --installed | wc -l

Kui töötab teenus, mida sa ei tunne, uuri välja, mida see teeb (õppetund 6.1). Kui sul pole seda vaja, eemalda pakett.

2. Minimaalsed õigused. Iga kasutaja ja iga programm saab ainult need õigused, mida on vaja (õppetund 3.2). Igapäevatöö mitte root'ina, teenused oma kasutajate all, andmebaasikasutajatel õigused ainult oma andmebaasile, mitte kunagi chmod 777.

3. Kihiline kaitse. Arvesta, et üks meede võib alt vedada. Andmebaas, mis kuulab ainult aadressil 127.0.0.1 ja on tulemüüri taga ja millel on tugev parool, on turvaline ka siis, kui üks neist kolmest kogemata ära kaob. Seda nimetatakse defense in depth.

4. Tea, mis toimub. Karastamine ei ole ainult sulgemine, vaid ka nägemine: logid, mida säilitatakse (õppetund 6.2), jälgimine, mis teavitab (õppetund 8.3), ja varukoopiad, millega saad tagasi minna (moodul 8). Ilma nendeta märkad sissemurdmist alles siis, kui on liiga hilja.

CIS Benchmarkid

Center for Internet Security (CIS) on Ameerika mittetulundusorganisatsioon, mis koostab CIS Benchmarke: põhjalikke soovitatud seadistuste loendeid toodete kaupa, mille on kirja pannud turvavaldkonna vabatahtlikud. Neid on üle saja, ka Debian Linuxi ja Ubuntu Linuxi jaoks, versioonide kaupa. PDF-id saad mitteäriliseks kasutuseks tasuta alla laadida pärast konto loomist.

Linuxi benchmark sisaldab sadu soovitusi, igaühel selgitus, kontrollimise viis ja seadistamise viis. Need on jagatud profiilideks:

• Level 1: põhimeetmed, mida saad üsna kiiresti kasutusele võtta, selge turvakasuga ja ilma, et server oluliselt vähem kasutatavaks muutuks. Enamiku serverite jaoks on see eesmärk.
• Level 2: lisameetmed keskkondadele, kus turvalisus on esikohal (kihiline kaitse). Need võivad maksta funktsioonide või kiiruse arvelt ja CIS-i enda sõnul kahju teha, kui neid hooletult rakendada.

Linuxi puhul on serverite ja tööjaamade jaoks eraldi profiilid.

Näiteid Linuxi benchmarki teemadest: eraldi partitsioonid kataloogidele /tmp ja /var/log, kasutamata failisüsteemide ja võrguprotokollide väljalülitamine, aja sünkroonimine, auditilogimine, SSH seadistused (paljusid neist tead õppetunnist 2.2), paroolipoliitika, olulise tähtsusega failide õigused ja tulemüür.

Benchmarkide kõrval on olemas CIS Controls (praegu versioon 8.1): mitte seadistused toodete kaupa, vaid kaheksateistkümnest meetmerühmast koosnev loend terve organisatsiooni jaoks, näiteks „tarkvara inventuur", „haavatavuste haldus" ja „andmete taastamine". Ühe serveri jaoks on Benchmarkid kasulikumad; Controls aitavad, kui mõtled kogu oma ettevõtte peale.

Kasuta benchmarki mõistlikult

Benchmark ei ole nupp, mida vajutad. Mõned reeglid:

• Kõigepealt mõista, siis rakenda. Igal soovitusel on selgitus. Kui sa ei saa aru, miks, ära seda veel rakenda.
• Üks asi korraga, ja testi. Range kerneli- või võrguseadistus võib su rakenduse katki teha. Tee hetktõmmis, muuda üht asja ja kontrolli, et kõik ikka töötab.
• Kõik pole sinu jaoks. Soovitus eraldi /var/log-partitsiooni kohta on olemasoleval VPS-il keeruline ja annab vähe. Vali teadlikult ja pane kirja, miks midagi ei tee.
• Ole ettevaatlik valmis karastamisskriptidega internetist, mis rakendavad „kõik CIS-ist" korraga. Need võivad muuta SSH-d, su tulemüüri või logisid nii, et lukustad end välja, ja pärast ei tea sa enam, mis muutus.

Lynis: audit seestpoolt

Lynis on CISOfy tasuta avatud lähtekoodiga programm (GPL), mis käib su serveri seestpoolt läbi ja annab teemade kaupa hoiatusi ja soovitusi. Ise see midagi ei muuda, vaid ainult raporteerib.

anna@web1:~$ sudo apt install lynis
anna@web1:~$ sudo lynis audit system
...
  -[ Lynis 3.x Results ]-

  Warnings (1):
  ----------------------------
  ! Found one or more vulnerable packages. [PKGS-7392]

  Suggestions (34):
  ----------------------------
  * Consider hardening SSH configuration [SSH-7408]
      - Details  : AllowTcpForwarding (set YES to NO)
  ...
  Lynis security scan details:

  Hardening index : 66 [#############       ]
  Tests performed : 262

Kuidas seda lugeda:

• Warnings on asjad, mida pead kindlasti üle vaatama, näiteks teadaolevate turvaaukudega paketid (siis on sul uuendused tegemata, õppetund 4.1).
• Suggestions on soovitused. Paljud on kasulikud, mõned ei sobi sinu serveriga. Näiteks soovitus AllowTcpForwarding välja lülitada teeb su SSH-tunnelid katki (õppetund 2.3). Vali teadlikult.
• Igal teatel on sulgudes kood, näiteks [SSH-7408]. Sellega leiad logifailist /var/log/lynis.log, mida täpselt testiti.
• Hardening index on arv kuni 100. See on suunanäitaja, mitte hinne, mida taga ajada. Tõus pärast muudatusi näitab, et liigud edasi; 100 ei ole eesmärk.

Sinu distributsiooni paketiallikas olev Lynise versioon võib olla veidi vanem. Esimese auditi jaoks pole see probleem.

Veel kolm teemat lühidalt

• AppArmor ja SELinux on kerneli lisaturvakihid, mis määravad iga programmi kohta, mida see teha tohib. Debian ja Ubuntu kasutavad AppArmorit, mis on vaikimisi sees; AlmaLinux ja Rocky kasutavad SELinuxit. Ära lülita neid välja „sest midagi ei tööta": otsi teade journalist ja lahenda probleem sihipäraselt.
• sysctl määrab kerneli seadistusi, näiteks võrgu jaoks. Debiani ja Ubuntu vaikeväärtused on mõistlikud. Kui tahad midagi muuta, pane see eraldi faili kataloogis /etc/sysctl.d/ (Debian 13 ei loe enam faili /etc/sysctl.conf).
• Aeg: vale ajaga server muudab logid kasutuskõlbmatuks ja võib pidada sertifikaate kehtetuks. Kontrolli käsuga timedatectl, et seal oleks „System clock synchronized: yes".

Praktikas

WebOké juures, nagu ka teiste VPS-i pakkujate juures, haldad oma serveri sisest turvalisust ise: pakkuja hoolitseb riistvara, võrgu ja virtualiseerimisplatvormi eest. See kursus on iseseisvaks õppimiseks: keegi ei vaata su serverit üle. Tee enne karastamisvooru paneelis hetktõmmis ja tea, kuidas konsooli avada, kui end siiski välja lukustad.

Kokkuvõte

• Karastamine tähendab serveri kohandamist oma kasutusele: ära see, mida pole vaja, rangemaks see, mida saab.
• Neli põhimõtet: väike ründepind, minimaalsed õigused, kihiline kaitse ja nägemine, mis toimub.
• CIS Benchmarkid annavad iga toote kohta sadu soovitusi profiilides Level 1 (põhitase) ja Level 2 (range); kasuta neid mõistmisega, üks samm korraga.
• Lynis kontrollib su serverit seestpoolt ning annab hoiatusi, soovitusi ja hardening indexi; ise see midagi ei muuda.
• AppArmorit/SELinuxit ära välja lülita; oma kerneliseadistused kataloogi /etc/sysctl.d/; kontrolli aja sünkroonimist.

Test (quiz)

Ülesanne

Ülesanne O10.1: Audit Lynisega. Tee hetktõmmis, paigalda oma serverisse Lynis ja käivita sudo lynis audit system. Pane kirja hardening index, kõik hoiatused ja viis soovitust. Vali kolm soovitust, mille ellu viid, ja üks, mida teadlikult ei tee, koos põhjusega. Seejärel käivita audit uuesti ja pane kirja uus indeks.

Loe edasi

• Oma VPS-i turvamine: esimesed viis minutit
• CIS Benchmarks (ülevaade, ka Debian ja Ubuntu): https://www.cisecurity.org/cis-benchmarks
• CIS Controls: https://www.cisecurity.org/controls
• Lynis, dokumentatsioon: https://cisofy.com/documentation/lynis/
• Hollandi NCSC, Beginnen met cybersecurity (hollandikeelne allikas): https://www.ncsc.nl/beginnen-met-cybersecurity