IbexWall
Deutsch

Härtungseinstellungen erklärt

Jede Seite erklärt eine Einstellung in einfachen Worten, sagt Ihnen, was Sie nach dem Einschalten bemerken könnten, und zeigt die Befehle, um sie von Hand zu prüfen und anzuwenden. IbexWall wendet dieselbe Einstellung als Plan an, den Sie prüfen, mit Wiederherstellungspunkt und Rücknahme.

Kernel

  • Kernel-Adressen verbergen

    Programme ohne besondere Rechte können nicht mehr lesen, wo etwas im Kernel-Speicher liegt. Angreifer nutzen diese Adressen, um Exploits gezielt auszurichten.

    Geringes Risiko

  • Kernel-Protokoll Administratoren vorbehalten

    Das Kernel-Protokoll kann Adressen und Hardware-Details verraten. Nur ein Administrator darf es lesen.

    Geringes Risiko

  • eBPF auf Administratoren beschränken

    Mit eBPF können Programme Code im Kernel ausführen, und es war immer wieder die Quelle von Fehlern. Dies beschränkt es auf privilegierte Programme und härtet seinen Compiler.

    Mittleres Risiko

  • eBPF-Compiler härten

    Macht den Code, den der eBPF-Compiler erzeugt, schwerer missbrauchbar für Angriffe, die gewählte Anweisungen einschleusen.

    Geringes Risiko

  • Terminal-Leitungsdisziplinen nicht bei Bedarf laden

    Verhindert, dass ein gewöhnliches Programm den Kernel dazu bringt, selten genutzten Terminal-Code zu laden, der schon ausgenutzt wurde.

    Geringes Risiko

  • userfaultfd einschränken

    Ein gewöhnliches Programm kann die Kernel-Seite dieser Schnittstelle nicht mehr nutzen, die Angreifer zum präzisen Timing ihrer Schritte benutzt haben. Programme, die ihren Speicher im Userspace selbst verwalten, funktionieren weiter.

    Geringes Risiko

  • Leistungsereignisse einschränken

    Nur Administratoren können das ganze System beobachten. Was CPU und Kernel tun, bleibt für Ihre eigenen Programme messbar, aber eines Ihrer Programme erreicht die Messmaschinerie des Kernels nicht mehr.

    Mittleres Risiko

  • Laden eines anderen Kernels im Betrieb verbieten

    Schließt einen Weg, auf dem ein Angreifer mit Administratorrechten zu einem von ihm vorbereiteten Kernel wechseln kann.

    Mittleres Risiko

  • SysRq-Notfalltasten ausschalten

    Mit den SysRq-Tasten lässt sich ein Rechner per Tastatur neu starten oder abbilden, und in manchen Konfigurationen können sie aus der Ferne ausgelöst werden.

    Geringes Risiko

  • Untersuchen eines Programms durch ein anderes begrenzen

    Ein Programm darf sich nur an seine eigenen Kindprozesse anhängen, sodass Schadsoftware in Ihrer Sitzung Ihre anderen Programme weder lesen noch ändern kann.

    Mittleres Risiko

  • Sandboxes ohne Rechte (User Namespaces) ausschalten

    User Namespaces geben gewöhnlichen Programmen viel Kernel-Code als Angriffsfläche. Das Ausschalten beseitigt einen großen Teil dieser Fläche.

    Hohes Risiko

  • Unbekannte Netzwerkprotokolle blockieren

    Ein gewöhnliches Programm kann den Kernel dazu bringen, alte oder seltene Netzwerkprotokolle zu laden (DCCP, SCTP, AX.25, ATM und andere), und mehrere hatten schwere Fehler. Fast kein Computer braucht sie.

    Geringes Risiko

  • Selten genutzte Dateisysteme blockieren

    Das Einhängen eines präparierten Datenträgers oder Sticks kann den Code eines alten Dateisystems ausnutzen. Dies hindert den Kernel daran, die Dateisysteme zu laden, die fast niemand nutzt.

    Mittleres Risiko

  • Netzwerk-Dateisysteme blockieren

    Wenn Sie nie Freigaben von NFS- oder Windows-Dateiservern einhängen, muss der Kernel diesen Code nicht mitbringen.

    Hohes Risiko

  • Bluetooth ausschalten

    Bluetooth hat eine lange Geschichte von Sicherheitslücken. Wenn Sie es nicht nutzen, beseitigt es diese Angriffsfläche, seinen Code aus dem Kernel herauszuhalten.

    Hohes Risiko

  • Den Test-Videotreiber blockieren

    Der Treiber vivid existiert nur zu Testzwecken und hat Lücken zur Rechteausweitung verursacht.

    Geringes Risiko

Netzwerk

Dateisystem

Speicher