• Základy bezpečnosti
• OS Windows
• OS Linux
• FAQ – chytrá zařízení (chytré telefony, IoT)
  • OS Android
• FAQ pro pokročilé
  • OS Windows
  • OS Linux
• Changelog

/etc/nftables.conf
-----------------------------------

table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;
        ct state invalid drop
        ct state established,related accept
        iif "lo" accept
    }

    chain forward {
        type filter hook forward priority 0; policy drop;
    }

    chain output {
        type filter hook output priority 0; policy accept;
    }
}

• Povolte TOMOYO Linux v GRUB:

• /etc/default/grub
  -----------------------------------
  
  GRUB_CMDLINE_LINUX_DEFAULT="quiet security=tomoyo TOMOYO_trigger=/usr/lib/systemd/systemd"

• Aktualizujte GRUB (grub-mkconfig -o /boot/grub/grub.cfg).
• Nainstalujte tomoyo-tools:

• sudo pacman -S gnupg
  gpg --recv-keys 43C83369623D7AD3A96C2FC7425F128D0C64F52A
  git clone https://aur.archlinux.org/tomoyo-tools.git
  cd tomoyo-tools
  gedit PKGBUILD

• Zkontrolujte instrukce a spusťte instalaci:

• makepkg -si

• Restartujte OS.

• Po úspěšné instalaci a restartu OS inicializujte TOMOYO:

• sudo /usr/lib/tomoyo/init_policy

• Následně upravte pravidla TOMOYO:

• /etc/tomoyo/policy/current/profile.conf
  -----------------------------------
  
  PROFILE_VERSION=20110903
  0-COMMENT=-----Disabled Mode-----
  0-PREFERENCE={ max_audit_log=1024 max_learning_entry=2048 }
  0-CONFIG={ mode=disabled grant_log=no reject_log=yes }
  0-CONFIG::network::unix_stream_bind={ mode=disabled grant_log=no reject_log=no }
  0-CONFIG::network::unix_stream_listen={ mode=disabled grant_log=no reject_log=no }
  0-CONFIG::network::unix_stream_connect={ mode=disabled grant_log=no reject_log=no }
  0-CONFIG::network::unix_dgram_bind={ mode=disabled grant_log=no reject_log=no }
  0-CONFIG::network::unix_dgram_send={ mode=disabled grant_log=no reject_log=no }
  0-CONFIG::network::unix_seqpacket_bind={ mode=disabled grant_log=no reject_log=no }
  0-CONFIG::network::unix_seqpacket_listen={ mode=disabled grant_log=no reject_log=no }
  0-CONFIG::network::unix_seqpacket_connect={ mode=disabled grant_log=no reject_log=no }
  0-CONFIG::network={ mode=enforcing grant_log=no reject_log=yes }
  1-COMMENT=-----Disabled Mode (net access)-----
  1-PREFERENCE={ max_audit_log=1024 max_learning_entry=2048 }
  1-CONFIG={ mode=disabled grant_log=no reject_log=no }
  2-COMMENT=-----Learning Mode-----
  2-PREFERENCE={ max_audit_log=1024 max_learning_entry=2048 }
  2-CONFIG={ mode=learning grant_log=no reject_log=yes }
  3-COMMENT=-----Permissive Mode-----
  3-PREFERENCE={ max_audit_log=1024 max_learning_entry=2048 }
  3-CONFIG={ mode=permissive grant_log=no reject_log=yes }
  4-COMMENT=-----Enforcing Mode-----
  4-PREFERENCE={ max_audit_log=1024 max_learning_entry=2048 }
  4-CONFIG={ mode=enforcing grant_log=no reject_log=yes }

• Restartujte OS.
• Otevřete konfiguraci TOMOYO pro aplikace:

• sudo tomoyo-editpolicy

• Šipkami se posunujete mezi aplikacemi. Profil aplikace změníte klávesou S, zadáním čísla profilu a stisknutím Enter.

• 0     #  bez přístupu k internetu
  1     #  s přístupem k internetu
  

• Klávesou Q konfiguraci ukončíte.
• Po dokončení konfigurace ji následně uložte:

• sudo tomoyo-savepolicy

checksec --proc-all

• Nainstalujte si ASP a GPG:

• sudo pacman -S asp gnupg
  asp export extra/networkmanager
  cd ./networkmanager

• Zahajte kompilaci + automatickou instalaci:

• makepkg -si

• Po úspěšné instalaci restartujte OS.

• Použijte srcpac.

• sudo pacman -S srcpac
  man srcpac

• Instalace a spuštění auditu:

• pacman -S rkhunter
  rkhunter --versioncheck
  rkhunter --propupd
  rkhunter -c --enable all --disable none --rwo

• Rkhunter vypíše veškerá svá varování, pravděpodobně false positives. Ty je potřeba opravit, aby se již v budoucnu nezobrazovaly.
• Příklad mých úprav:

• gedit /etc/rkhunter.conf
  -----------------------------------
  #
  # FP Fix
  SCRIPTWHITELIST="/usr/bin/egrep"
  SCRIPTWHITELIST="/usr/bin/fgrep"
  SCRIPTWHITELIST="/usr/bin/ldd"
  SCRIPTWHITELIST="/usr/bin/vendor_perl/GET"
  ALLOWDEVFILE="/dev/shm/pulse-shm-*"
  ALLOWDEVFILE="/dev/shm/user-Shm_*"
  ALLOWDEVFILE="/dev/shm/user-Valve*"
  ALLOWHIDDENFILE="/etc/.updated"
  ALLOWHIDDENFILE="/usr/share/man/man5/.k5identity.5.gz"
  ALLOWHIDDENFILE="/usr/share/man/man5/.k5login.5.gz"

• Nyní byste již měli být bez false positive varování a rkhunter by měl být plně funkční. Má uloženou databázi kritických souborů OS, takže v případě jakékoli změny (např. pomocí malware) zobrazí varování. Sken můžete dát do cronu.
• Více informací naleznete na oficiálních stránkách a zde.

• Instalace a spuštění auditu:

• pacman -S lynis
  lynis update info
  lynic -c

• Instalace:

• pacman -S checksec

• Můžete auditovat bezpečnost nastavení kernelu:

• checksec --kernel

• Dále můžete auditovat bezpečnostní funkce balíčků:

• checksec --proc-all

• Více informací naleznete na oficiálních stránkách.