Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной настройки Linux, opennews (ok), 24-Янв-23, (0) [смотреть все] PS Некоторые опции ядра требуют включения отладочных функций, что может только у, pavlinux (ok), 11:56 , 24-Янв-23, (1) // Безопасность кого надо безопасность , ФСТЭК (?), 12:11 , 24-Янв-23, (13) –1 eBPF - это не отладочные функции И они как раз для rootа доступны Но если у ва, Аноним (55), 13:26 , 24-Янв-23, (55) +4 // https www opennet ru opennews art shtml num 54932Рут в виртуалке - не хозяин с, pavlinux (ok), 14:51 , 24-Янв-23, (98) +6 // 1 где там утверждается, что ebpf - это отладочные функции 2 ebpf обычно требу, Аноним (55), 19:58 , 24-Янв-23, (160) –7 А где я утверждал, что eBPF - это только отладка , pavlinux (ok), 12:06 , 25-Янв-23, (204) +1 Можно ли написать кодогенератор на rust в безопасном режиме Там бы значительная , Аноним (201), 09:29 , 25-Янв-23, (201) –2 Зачем , Zenitur (ok), 11:57 , 24-Янв-23, (2) // Наверное, поощряется использование полной виртуализации для запуска недоверенных, Аноним (46), 13:02 , 24-Янв-23, (46) +1 // iommu - не про виртуальные машины, он про защиту ОС от DMA-атак через Thunderbol, Аноним (55), 13:34 , 24-Янв-23, (62) +2 // А заодно и от левых попыток железок делать с DMA что-то не то Какая-нибудь PCI , Аноним (-), 15:05 , 24-Янв-23, (104) +4 Как я понимаю iommu разрешает железу менять только разрешенные части оперативной, Аноним (63), 13:37 , 24-Янв-23, (63) +3 // Всем спасибо за ответы Когда-то в 2013 году я целенаправленно искал материнскую, Zenitur (ok), 13:48 , 24-Янв-23, (65) +2 Ну если найдёте, куда лишние 390 ножек впихнуть, то можно, наверное , Аноним (68), 13:58 , 24-Янв-23, (68) +8 Тогда зачем знак в названии сокета Я помню, что AM2 подразумевал, что в него, Zenitur (ok), 14:05 , 24-Янв-23, (74) –3 Только маркетинг, ничего личного , Аноним (106), 15:07 , 24-Янв-23, (106) +3 означает, что поддерживаются дополнительные функции по сравнению с версией без, Аноним (118), 15:47 , 24-Янв-23, (118) +2 Если крайне упрощённо, AM3 8212 это для FX ов И да, та же история, можно вс, Аноним (68), 15:54 , 24-Янв-23, (119) +1 А зачем Топовые камни там вроде бы должны игры тянуть Главное память разогнать, Аноним (168), 22:26 , 24-Янв-23, (168) +1 Тоже имел такую доску и 9590 для таких же целей, только был вопрос в начале, поч, Аноним (192), 02:26 , 25-Янв-23, (192) +1 А что за патч , Zenitur (ok), 08:15 , 25-Янв-23, (199) +1 Патч решающий проблемы низкой производительности при включённой опции amd nested, Аноним (192), 21:29 , 25-Янв-23, (216) +1 220 ватт TDP 8230 Звучит, как наличие титула, собственного замка и герба с Печ, Аноним (230), 19:50 , 26-Янв-23, (230) Крематория, не герба , Аноним (235), 19:14 , 27-Янв-23, (235) Чтобы какой-нибудь GPU или вайфай адаптер не сделал ВНЕЗАПНЫЙ DMA в хрен знает к, Аноним (-), 15:01 , 24-Янв-23, (103) +4 // Тут даже с ARM было бы чуть спокойнее, не говоря уж про e2k D, Michael Shigorin (ok), 01:18 , 26-Янв-23, (222) // В ночное Извините , Аноним (228), 19:30 , 26-Янв-23, (228) Михаил, а как в Симплии сделать снимок экрана с меню Пуск с двумя пунктами поч, Аноним (228), 19:33 , 26-Янв-23, (229) Семь страниц это не серьёзно для гос организации Это даже прочитать можно , Аноним (3), 11:57 , 24-Янв-23, (3) +42 // И пидиэф кстати 404 404 не запрещено тут писать - а то ведь полит подтекст , Аноним (3), 11:58 , 24-Янв-23, (4) // По первой ссылке переходите, а ссылка на пдф реально битая, Schwonder Reismus (?), 12:04 , 24-Янв-23, (7) Не только PDF, но теперь и страница с ним Даже в веб-архиве нет пдфки а вот ст, Аноним (55), 12:06 , 24-Янв-23, (8) // Ага Ссылка в новости устарела А вот новость на сайте ФСТЭК по другой ссылке в, Аноним (55), 12:09 , 24-Янв-23, (10) +5 а попробуй скажи что-нибудь без полит подтекста, Аноним (44), 12:58 , 24-Янв-23, (44) // Даже молчание и отсутствие являются признаками бунта , Аноним (210), 20:23 , 25-Янв-23, (210) –1 Полит подтекст - 451 А 404 - это просто 404 , Аноним (53), 13:23 , 24-Янв-23, (53) +1 // ну не скажи, руководители паблика 404 уже седят , fi (ok), 14:31 , 24-Янв-23, (94) –2 А это не для того чтобы за это наказывать, а чтобы реально работало , Аноним (9), 12:08 , 24-Янв-23, (9) // Сейчас ещё окажется что это не публикация, а внутренняя утечка , Аноним (9), 12:10 , 24-Янв-23, (11) +3 // Ну кстати, тот же ФСБ ещё лет 10-15 назад очень активно набирал новых сотруднико, Бывалый смузихлёб (?), 13:27 , 24-Янв-23, (56) +1 Ну чтож пришло время и тебе узнать правду Они не только 10-15 лет нанимали студ, Аноним (91), 14:29 , 24-Янв-23, (91) +5 Более того это повсеместная практика , Аноним (108), 15:15 , 24-Янв-23, (108) +2 Вопрос не в том, что всегда, а в том, что массово Там реально списки пускали те, Бывалый смузихлёб (?), 15:25 , 24-Янв-23, (112) +1 Я конечно понимаю что у тебя яркие впечатления о молодости, но и сейчас в любую , Аноним (91), 17:39 , 24-Янв-23, (144) +1 Чёрт с ним, с количеством, но даже конкретика есть, даже как оно делается часто , Бывалый смузихлёб (?), 13:25 , 24-Янв-23, (54) +5 // Про sudo, кстати, это же вообще свежачок CVE-2023-22809 Как они могли знать , X86 (ok), 14:05 , 24-Янв-23, (76) // ToDo с анонимов тутошных собирают, Деанон (?), 17:06 , 24-Янв-23, (132) +2 Так это не то sudo, про него много у кого соображения были вида подальше-подаль, Michael Shigorin (ok), 01:22 , 26-Янв-23, (223) Все правильно chown root wheel bin suchmod o-rwxst bin suusermod -a -G wheel a, Аноним (244), 14:11 , 03-Фев-23, (244) Скрыто модератором, ГруднаяЖаба (?), 11:59 , 24-Янв-23, (5) –10 // Скрыто модератором, Аноним (6), 12:03 , 24-Янв-23, (6) +7 Всё это конечно безумно интересно, но где же всё-таки отечественный windows Вот , КО (?), 12:10 , 24-Янв-23, (12) –12 // Не потому что линукс опенсорс, а венда нет , Аноним (15), 12:13 , 24-Янв-23, (15) +1 А где финский или например австралийский , Аноним (91), 12:14 , 24-Янв-23, (16) +12 // Вы ещё спросите, где финские или австралийские процессоры , Аноним (68), 14:00 , 24-Янв-23, (70) // У меня тут такой вопрос резко возник А где финские или австралийские процессоры, Аноним (91), 14:31 , 24-Янв-23, (93) +7 У финнов ещё и легкового автопрома нет, вот где днище-то В то время, как мы тут, Аноним (68), 16:21 , 24-Янв-23, (125) Ну похоже перегнали, а кто-то не верил , Аноним (91), 17:40 , 24-Янв-23, (145) А тут внезапнор и шведы продали китайцам свой автопром Заговор , Аноним (165), 21:38 , 24-Янв-23, (165) +2 Не осилили, Анонемистик (?), 12:20 , 24-Янв-23, (21) QP OS, Аноним (28), 12:32 , 24-Янв-23, (28) +4 На отечественный Виндус, в своё время, у Алксниса не удалось денег выпросить , Аноним (46), 13:05 , 24-Янв-23, (48) –1 Тут доступно объяснилиhttps olegmakarenko ru 2618158 html, Kol (ok), 13:30 , 24-Янв-23, (58) +1 Ляликс теперь Русский виндовс , считай официально Даже взять исходники Андрои, Kuromi (ok), 14:02 , 24-Янв-23, (72) +1 // гугл ещё проще сделал взял исходники Андроид и не переименовывал даже , Аноним (134), 17:12 , 24-Янв-23, (134) +2 Анонимный эксперт может лично взять взять исходники Андроид и переменовать и с, Аноним (146), 17:47 , 24-Янв-23, (146) –1 // gt оверквотинг удален Но ведь очевидно же что Firebase Notifications - не нужн, Kuromi (ok), 00:02 , 25-Янв-23, (181) –1 Зачем она тов майору В доточку с ксиком играть Жри со швитым забугорным и не о, Ананий (?), 10:48 , 25-Янв-23, (202) –1 Гм Вроде хорошая вещь, а вот PDF-ку в Word2016 варганили , ryoken (ok), 12:13 , 24-Янв-23, (14) +4 // Зато безопасно , Аноним (91), 12:14 , 24-Янв-23, (17) У меня ртфка вообще в вайновском вордпад открывается и не жужжу XD, Попандопала (?), 12:32 , 24-Янв-23, (30) –3 Семь страничек Смешно Рекомендации от CIS Center for Internet Security едва , Аноним (18), 12:15 , 24-Янв-23, (18) // Я сделяль с ФСТЭК, Аноним (20), 12:20 , 24-Янв-23, (20) При этом там 90 воды, а в оставшемся бо 769 льшую часть занимают примеры Было , PnD (??), 12:28 , 24-Янв-23, (24) +5 7 страниц рили можно осилить,а за 700 платить придется в поддержку , Попандопала (?), 12:28 , 24-Янв-23, (25) +1 так там selinux, а на кой хрен он нужен как и его аналоги , anonfdfd4 (?), 12:36 , 24-Янв-23, (34) –2 // Как всегда местным экспертам ничего не нужно, они и так самые умные , Аноним (146), 12:51 , 24-Янв-23, (40) +4 // Скрыто модератором, Аноним (-), 14:01 , 24-Янв-23, (71) PCI DSS 4 0 - 360 страниц увлекательного чтения с экзаменациями, аудитами, компл, Аноним (41), 12:52 , 24-Янв-23, (41) // Вот PDFка, если что, наслаждайтесь https disk yandex ru i cVWSH1QvQCeSfQ, Аноним (41), 12:54 , 24-Янв-23, (42) +2 // Спасибо за pdf Однако нормально загрузить не получилось Yandex disk - такая от, Аноним (169), 22:36 , 24-Янв-23, (169) Думал было написать Ваш комментарий слишком краток Но давайте попробую менее с, Michael Shigorin (ok), 01:27 , 26-Янв-23, (224) –1 // Михаил, по CNews можно предположить https importfree cnews ru news top 2023-0, Аноним (228), 20:04 , 26-Янв-23, (231) Интересно, спасибо , Иваня (?), 12:19 , 24-Янв-23, (19) +2 Проще Альторосу поставить и колупаться не надо D, Попандопала (?), 12:27 , 24-Янв-23, (23) –1 // Там 86 клавиш, Аноним (210), 20:33 , 25-Янв-23, (211) –1 Где пункты удалить systemd и собрать ядро без поддержки Rust Опять иксперто, Hanyuu (?), 12:29 , 24-Янв-23, (26) // Для тех, кто линукс изучает по цитаткам с башорга, рассказываю правду Rust в яд, Аноним (36), 12:41 , 24-Янв-23, (36) +3 Для кого тогда написали , fuggy (ok), 19:05 , 24-Янв-23, (157) // Вопрос правильный, хотя и задан некорректно Правильный вопрос - зачем писать со, Валерий (??), 02:11 , 25-Янв-23, (191) // Чтобы не следить за изменениями во всех Linux-дистрибутивах и не делать новые па, www2 (??), 06:26 , 25-Янв-23, (197) +1 X Ограничить доступ к proc Так чтобы пользователь или процесс мог видеть то, pashev.ru (?), 12:32 , 24-Янв-23, (29) +1 а где скрипт vfstek sh, который всё это проверяет не меняет, а просто чекает и , Аноним (31), 12:33 , 24-Янв-23, (31) +14 // ишт ты умник 1, anonfdfd4 (?), 12:37 , 24-Янв-23, (35) Это за деньги , Аноним (39), 12:50 , 24-Янв-23, (39) cat boot config-6 0 0-6-amd64 124 grep -P CONFIG_ INIT_ON_ALLOC_DEFAULT_ON , Аноним (55), 13:07 , 24-Янв-23, (50) // useless use of cat, швондер (?), 20:25 , 27-Янв-23, (236) Он ещё и отчёт должен сам отправлять , Аноним (46), 13:08 , 24-Янв-23, (51) Запускать этот скрипт будут специально аффилированные компании , SubGun (ok), 21:36 , 24-Янв-23, (163) +1 Проверяющий скрипт https www opennet ru openforum vsluhforumID3 129586 html 24, Аноним (244), 15:47 , 03-Фев-23, (251) Вроде бы адекватные рекомендации, правда я не все из них понимаю , Аноним (146), 12:47 , 24-Янв-23, (38) // Очень полезно иметь такой список когда новый сервер запускаешь На работе даже па, Аноним (146), 12:57 , 24-Янв-23, (43) +4 // Тут надо не список иметь, а бить по рукам за ручную настройку серверов Это зада, Аноним (86), 14:19 , 24-Янв-23, (86) –8 // Ага, осталось всего ничего - нанять еще одного человека, который будет настраива, Аноним (174), 23:40 , 24-Янв-23, (174) +2 Какого одного -- минимум двух, плюс ещё двух -- писать плейбуки и к каждому пров, Michael Shigorin (ok), 01:30 , 26-Янв-23, (225) +1 по-моему практики девляпс и ИТИЛ ортогональны, а местами противоречат друг другу, ivan_erohin (?), 16:37 , 28-Янв-23, (241) Пациенты тебя люто ненавидят Следовательно, как врач, ты прав , Валерий (??), 02:52 , 25-Янв-23, (193) –1 Чек-лист при установке не пользуете Рекомендую хотя бы его , Аноним (174), 23:42 , 24-Янв-23, (175) Ну, например, вот это правило нужно для ликвидации уязвимости libXpm для все, Аноним (134), 14:49 , 24-Янв-23, (96) +2 // Теперь нельзя выполнять проги из tmp private Как жить дальше , Аноним (127), 16:38 , 24-Янв-23, (127) // Начать питаться на кухне, а не на помойке , Аноним (134), 17:15 , 24-Янв-23, (136) Рекомендация того же порядка, что и noexec , Аноним (127), 17:31 , 24-Янв-23, (142) +1 А чем noexec плохо , Аноним (146), 19:05 , 24-Янв-23, (158) +1 На помойке будет как раз не tmp private , а 755 root, как вон выше упоминали , Michael Shigorin (ok), 01:31 , 26-Янв-23, (226) +1 Каким образом делать такую проверку, там не написано Если файловую систему home, Аноним (146), 17:31 , 24-Янв-23, (143) // Популярные варианты дающие примерно тот-же результат 1 Соблюдение правила что, Аноним (244), 15:39 , 03-Фев-23, (250) и мне нельзя запускать свои же скрипты из bin и local bin и tor browser не, ivan_erohin (?), 04:53 , 25-Янв-23, (194) Безо сферическая в вакууме , mos87 (ok), 13:01 , 24-Янв-23, (45) –1 Как бы за щоо , однакоhttps www kernel org doc html latest admin-guide hw-vul, Аноним (55), 13:02 , 24-Янв-23, (47) +1 // Дефолты имеют свойство меняться Иногда без предупреждения , Аноним (150), 18:13 , 24-Янв-23, (150) +2 О чём это говорит Это говорит о том, что даже в госшарагах на якобы обязательну, Аноним (-), 13:07 , 24-Янв-23, (49) –2 // Это говорит о том, что здравомыслие в конечном итоге побеждает , Аноним (55), 13:10 , 24-Янв-23, (52) // Тётка с косой в итоге , Аноним (210), 20:49 , 25-Янв-23, (213) Это говорит о том что, там используются много разных дистрибутивов, а обязательн, Атон (?), 13:43 , 24-Янв-23, (64) +7 Ну не все компы для офисной работы, разные задачи бывают, просто выставили требо, _kp (ok), 13:51 , 24-Янв-23, (66) +2 ФСТЭК решил заняться тем, чем CERT CISA занимается уже джвадцать лет Ну, чо Л, YetAnotherOnanym (ok), 13:28 , 24-Янв-23, (57) –1 // Решил опубликовать и решил заняться - это разное , pavlinux (ok), 15:39 , 24-Янв-23, (116) +2 // У нас есть такие приборы Но мы вам о них не расскажем , Аноним (-), 17:19 , 24-Янв-23, (139) –2 // Это про Эльбрусы, да , Аноним (161), 20:17 , 24-Янв-23, (161) вы бы лучше обратили внимание на специализированные чипы и микроэлктронику в про, анонна (?), 21:45 , 24-Янв-23, (166) 157УД3 , Аноним (210), 21:14 , 25-Янв-23, (214) Не, их-то как раз хоть в яндекс-музее можно пощупать собственными клешнями , Michael Shigorin (ok), 01:37 , 26-Янв-23, (227) Так задача была по наполнению музея Яндекса исчерпавшими себя продуктами , Аноним (228), 20:12 , 26-Янв-23, (232) –1 Почему бы кому-нибудь не запилить скрипт, выполняющий большинство из этих рекоме, Ку (?), 13:31 , 24-Янв-23, (59) // Ну так вперед, к мечте , Аноним (113), 15:34 , 24-Янв-23, (113) +4 Луче расскажи какого хрена ты его так до сих и не запилил , Аноним (9), 18:07 , 24-Янв-23, (149) +2 // а че там пилить взял пдф и строчишь echo что то там файл куда сложнее это , анонна (?), 21:47 , 24-Янв-23, (167) // Разве не секретарша для набора полагается , Аноним (210), 21:15 , 25-Янв-23, (215) А что тогда будут кушать компании, которые специализируются на запуске этого скр, SubGun (ok), 21:37 , 24-Янв-23, (164) Скрипт делающий ненужен Не все фичи безопасности в конкретном дистре можно вклю, Аноним (244), 15:03 , 03-Фев-23, (249) https bugs debian org cgi-bin bugreport cgi bug 928362 - related, Аноним (55), 13:31 , 24-Янв-23, (60) Astra Linux SE 1 7 3 sbin sshd -T 124 ag -i PermitRootLoginpermitrootlogin w, mos87 (ok), 13:33 , 24-Янв-23, (61) // Астара - хардкорная RBAC операционка, там даже рут - не человек , pavlinux (ok), 15:41 , 24-Янв-23, (117) // Ну так, извиняюсь заранее, мандатный доступ , Аноним (174), 23:47 , 24-Янв-23, (176) // Главное чтобы этот доступ не запрещал играть в героев меча и магии 3, иначе прап, Аноним (195), 06:11 , 25-Янв-23, (195) +1 они разве не в косынку, mos87 (ok), 12:35 , 25-Янв-23, (206) Неправда В части, где я проходил срочную службу, на рабочем ПК ЗНШ полка в зва, Аноним (237), 20:32 , 27-Янв-23, (237) Там где я срочку проходил, кап-лей-т гонял в NFS MW и что-то еще не помню что , Аноним (253), 19:52 , 13-Авг-23, (253) NSFW, mos87 (ok), 10:50 , 14-Авг-23, (254) Ограничить использование user namespaces sysctl -w user max_user_namespaces 0, Kuromi (ok), 13:57 , 24-Янв-23, (67) +3 // А на работу контейнеров этот параметр влияет , Sunderland93 (ok), 14:05 , 24-Янв-23, (75) // Если контейнер непривилегированный а таких большинство - да, все сломается , Аноним (85), 14:15 , 24-Янв-23, (85) 102 7 работает с этим параметром в sysctl conf, Попандопала (?), 14:09 , 24-Янв-23, (79) // Песочница то поди отвалилась , Аноним (127), 14:11 , 24-Янв-23, (82) +1 // Черт ее знает,но убрал на всякий случай этот параметр , Попандопала (?), 14:30 , 24-Янв-23, (92) Все браузеры используют как дополнительный уровень в песочницах, да и в целом от, Аноним (127), 14:10 , 24-Янв-23, (81)   // Когда делаешь clone CLONE_NEWUSER, наследуются все разрешения, а ограничен, pavlinux (ok), 15:36 , 24-Янв-23, (114) +4   // Без обид, но похоже именно ты тут не понимаешь, о чём говоришь, ещё и оскорбить , Аноним (127), 16:11 , 24-Янв-23, (122) –1   В немспейсах уже было нашлось несколько десятков багов, как логических, так и те, Аноним (129), 16:44 , 24-Янв-23, (129) +2   А где их не было, этих багов Однако, их находят и исправляют К тому же, пример, Аноним (127), 16:59 , 24-Янв-23, (131)   Любезнейший, а где вы видели браузеры в составе цитата государственных и, Аноним (162), 20:23 , 24-Янв-23, (162) +2   Вероятнее всего идею выключить неймспейсы взяли отсюда - https www stigviewer , Kuromi (ok), 00:13 , 25-Янв-23, (182) +1   // If containers are in use, this requirement is not applicable , ыы (?), 21:32 , 25-Янв-23, (217)   Какие браузеры Тут рекомендация скорее всего для серверов и т п , а не для твое, Аноним (187), 01:45 , 25-Янв-23, (187)   // Это чтобы было понятно, как оно используется На серверах без неймспейсов жизни , Аноним (127), 11:16 , 25-Янв-23, (203) –2   Нет, совет в том, чтобы сместить ответственность со случайной прикладной програм, Аноним (237), 20:47 , 27-Янв-23, (240)   Это отключаемо в браузерах и программах на их движках Webkit, Chromium и т п П, Аноним (237), 20:40 , 27-Янв-23, (239) Скрыто модератором, Амомин (?), 14:07 , 24-Янв-23, (77) –1 // Скрыто модератором, Аноним (55), 14:46 , 24-Янв-23, (95) На печатных машинках так проще Разумеется тут не суперпользователь Усложнять жи, Аноним (-), 14:10 , 24-Янв-23, (80) –3 // Если Комп без доступа к сети, типа Live системы без сохранения документов Включ, _kp (ok), 14:25 , 24-Янв-23, (90) // Требование отключать доступ по SSH напрямую к root вводит в заблуждение Нет ник, Аноним (155), 18:30 , 24-Янв-23, (155) +1 // Вероятно кто свято верит в sudo пытаясь защитить замок другим замком забывая про, OpenEcho (?), 01:17 , 25-Янв-23, (185) +1 gt оверквотинг удален угадай логин для начала , швондер (?), 20:38 , 27-Янв-23, (238) Ну если про PermitRootLogin prohibit-password , OpenEcho (?), 01:12 , 25-Янв-23, (184) +1 // Можно Я имел ввиду, что запрет логина под root, встречается часто, и не вызвал , _kp (ok), 01:31 , 25-Янв-23, (186) У меня запрет рутам заходить как рут - давно вызывает удивление, - это как у стр, OpenEcho (?), 20:03 , 25-Янв-23, (207) +2 Используйте агента, спрашивающего, можно ли отдать ключ тому то и тому то , Аноним (242), 20:35 , 28-Янв-23, (242) Это gpg или ssh которые Ну так они тоже IV хранят в памяти, и к стати назойливо, OpenEcho (?), 06:10 , 29-Янв-23, (243) почему это не плейбук для ансибла , Аноним (84), 14:14 , 24-Янв-23, (84) –2 // дак сделай Тебе тут никто ничем не обязан , Аноним (134), 17:19 , 24-Янв-23, (140) Видно толковый человек поработал над написанием документа, что выглядит очень и , Аноним (87), 14:20 , 24-Янв-23, (87) +3 // А что странного , Аноним (86), 14:23 , 24-Янв-23, (89) +2 // Ему не понравилось, что дырку с libXpm заткнули этими правилами , Аноним (134), 14:55 , 24-Янв-23, (99) +1 init_on_free 1slub_debug FZpage_alloc shuffle 1vm mmap_rnd_bits 32vm mmap_rnd_co, pavlinux (ok), 15:58 , 24-Янв-23, (120) +1 В целом советы полезные, ноТак разве не везде на bin usr bin стоит только чтен, fuggy (ok), 16:39 , 24-Янв-23, (128) –3 // Открой недавнюю тему про libXpm поймёшь, про что речь , Аноним (134), 17:16 , 24-Янв-23, (137) // Я зря xterm удалял , Попандопала (?), 17:53 , 24-Янв-23, (148) –1 Уточните что именно прочее mitigations auto включает смягчение всех известных у, Аноним (146), 22:46 , 24-Янв-23, (170) +1 // Покупаем 40 ядер 80 потоков Xeon Platinum 8380 за миллион рублей и отключаем у н, Аноним (195), 06:24 , 25-Янв-23, (196) –2 // Покупаем 40 ядер 80 потоков Xeon Platinum 8380 за много тысяч долларов, ставим н, Аноним (198), 07:25 , 25-Янв-23, (198) +2 И будет ли выигрыш от виртуальных процессоров больше чем накладные расходы на си, Аноним (200), 09:15 , 25-Янв-23, (200) +1 После патчей от Spectre, Meltdown, Retbleed и т п , гыпертрединг бесполезен , pavlinux (ok), 12:19 , 25-Янв-23, (205) +2 Самое главное забыли apt install safe-rm А вообще советую ещё монтировать хомяк, Аноним (141), 17:21 , 24-Янв-23, (141) +2 // 100500 , Аноним (134), 19:22 , 24-Янв-23, (159) +3 home, proc, sys, tmp, var, - nodev,noexec,nosuid,rw dev - noexec,nosuid, Аноним (244), 14:34 , 03-Фев-23, (247) А скрипт делающий это всё не выпустили -__-, FreeStyler (ok), 18:16 , 24-Янв-23, (151) // Но ведь ты исправишь эту оплошность , Аноним (113), 18:27 , 24-Янв-23, (154) +2 Все это уже давно применяется в дистрибутивах , Аноним (173), 23:14 , 24-Янв-23, (173) –1 Есть скрипты для проверки Lynis, https en wikipedia org wiki Lynishttps h, Аноним (244), 14:39 , 03-Фев-23, (248) Странно, усё так завинченно, а про банальный proc proc proc nodev,noexec,, OpenEcho (?), 00:47 , 25-Янв-23, (183) +2 // https wiki debian org Hardening Runtime_hardening с systemd плохо сочетается , Аноним (188), 01:54 , 25-Янв-23, (188) +2 // А мне прикольнуло,как у бздунов прям D , Попандопала (?), 02:01 , 25-Янв-23, (189) Очевидно, что сначала надо от системды избавиться , Аноним (134), 02:09 , 25-Янв-23, (190) +5 Да маковка о которой я хотел сказать - это hidepid 2который скрывет показ не сво, OpenEcho (?), 20:07 , 25-Янв-23, (208) // Именно об hidepid 2 и речь Или ты только в fstab это прописал и думаешь, что у , Аноним (219), 00:10 , 26-Янв-23, (219) А ты уверен, что до конца прочитал мой предыдущий пост , OpenEcho (?), 00:30 , 26-Янв-23, (220) +1 YAMA даст больше защиты процессов , Аноним (244), 14:21 , 03-Фев-23, (245) // Хотя hidepid 2 у меня тоже стоит , Аноним (244), 14:23 , 03-Фев-23, (246) Кто забыл, и кому нужен скрипт для генерации конфига Уже лет 5 как Попов замут, pavlinux (ok), 00:52 , 26-Янв-23, (221) +2 KSPP https www kernel org doc html latest security self-protection htmlhttps , Аноним (252), 17:48 , 04-Фев-23, (252) 1,2,3,12,14,18,19,23,26,29,31,38,45,47,49,57,59,60,61,67,80,84,87,120,128,141,151,183,221,252

Сообщения

[Сортировка по времени | RSS]

	81. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от Аноним (127), 24-Янв-23, 14:10
	Все браузеры используют как дополнительный уровень в песочницах, да и в целом отличный совет отключить средства изоляции. Впрочем, там половина такого же бреда.
	Ответить | Правка | К родителю #67 | Наверх | Cообщить модератору

	114. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+4 +/–
	Сообщение от pavlinux (ok), 24-Янв-23, 15:36
	Когда делаешь clone(CLONE_NEWUSER, ...)  наследуются все разрешения, а ограничения и лимиты не наследуются. Увася, у которого лимит на max open files = 1024 клонирует себя и лимит может стать 131071 (дефолтным для не рутов)... Дыры с USER_NS появляются регулярно, уже лет 10+  https://lwn.net/Articles/543273/ Там дох.. нюансов, чтоб с разбегу сказать да или нет.
	Ответить | Правка | Наверх | Cообщить модератору

	122. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	–1 +/–
	Сообщение от Аноним (127), 24-Янв-23, 16:11
	Без обид, но похоже именно ты тут не понимаешь, о чём говоришь, ещё и оскорбить пытаешься зачем-то. Ограничения и лимиты? Ну-ну. Во первых, тебе никто не даст никаких прав, если ты уже замапил ограниченного пользователя (например, с изолированной сетью, что применяется для процессов исполняющих шейдеры и прочее), этот механизм односторонний. Примерно все дыры, что случались, требовали замапить рута. Ты можешь замапить вложенный неймспейс, однако доступа вовне у него не появится. Чтобы было понятно, даже если ты запамишь рута во вложенном неймспейсе и начнёшь выполнять команды, доступ у тебя будет только к этом неймспейсу и не к хосту, а если нет, применяются все ограничения родительского неймспейса. А чтобы организовать канал связи с неймспейсом, используют, например, veth. Да, это ограниченный инструмент, спору нет, но он целиком рабочий и делает именно то, что заявлено, а ты тут пытаешься FUD распространять.
	Ответить | Правка | Наверх | Cообщить модератору

	129. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+2 +/–
	Сообщение от Аноним (129), 24-Янв-23, 16:44
	В немспейсах уже было/нашлось несколько десятков багов, как логических, так и технических. Немспейсы добавляют еще один уровень изоляции/контроля, но это уже пробивалось и не верифицировалось. Одновременно, немспейсы увеличивают поверхность атаки и сложность анализа возможных сценариев. Поэтому рекомендация "выключить по-умолчанию" вполне рациональна. Кому надо - путь думает, обосновывает и т.д.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от Аноним (127), 24-Янв-23, 16:59
	А где их не было, этих багов? Однако, их находят и исправляют. К тому же, примерно все они в контексте контейнеров (суид или CAP_SYSADMIN) и не в контексте CLONE_NEWNET, что интересует браузерные песочницы. Да и в целом, отключить универсальный механизм, востребованный софтом? Ну да, конечно, лучше вообще без него. Можно запускать всё под рутам, а пользователям тоже дать рутовые права, это намного безопаснее.
	Ответить | Правка | Наверх | Cообщить модератору

	162. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+2 +/–
	Сообщение от Аноним (162), 24-Янв-23, 20:23
	Любезнейший, а где вы видели "браузеры" в составе (цитата) "...государственных информационных системах и на объектах критической информационной инфраструктуры Российской Федерации, построенных с использованием операционных систем Linux, несертифицированных по требованиям безопасности информации..." ? Если вдруг видели - сообщите (может где-то еще нужно поправить соответствие голов занимаемым должностям).
	Ответить | Правка | Наверх | Cообщить модератору

	182. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+1 +/–
	Сообщение от Kuromi (ok), 25-Янв-23, 00:13
	> Все браузеры используют как дополнительный уровень в песочницах, да и в целом > отличный совет отключить средства изоляции. Впрочем, там половина такого же бреда. Вероятнее всего идею выключить неймспейсы взяли отсюда - https://www.stigviewer.com/stig/red_hat_enterprise_linux_8/2...
	Ответить | Правка | К родителю #81 | Наверх | Cообщить модератору

	217. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от ыы (?), 25-Янв-23, 21:32
	If containers are in use, this requirement is not applicable.
	Ответить | Правка | Наверх | Cообщить модератору

	187. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от Аноним (187), 25-Янв-23, 01:45
	> браузеры используют как дополнительный уровень Какие браузеры? Тут рекомендация скорее всего для серверов и т.п., а не для твоего десктопа
	Ответить | Правка | К родителю #81 | Наверх | Cообщить модератору

	203. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	–2 +/–
	Сообщение от Аноним (127), 25-Янв-23, 11:16
	Это чтобы было понятно, как оно используется. На серверах без неймспейсов жизни тем более нет, каждая 2 прога.
	Ответить | Правка | Наверх | Cообщить модератору

	240. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от Аноним (237), 27-Янв-23, 20:47
	Нет, совет в том, чтобы сместить ответственность со случайной прикладной программы и её сомнительных средств изоляции (веб-обозревателя) на администратора системы (компетентное лицо), чтобы избежать запуска программм, с повышенными привилегиями. Тем более, что большая часть машин, подпадающая под рекомендации, - серверные, где обычно нет графического сервера, графических программ и надобности в них.
	Ответить | Правка | К родителю #81 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема