IbexWall
Français

Réglages de durcissement, expliqués

Chaque page explique un réglage en termes simples, dit ce que vous pouvez remarquer après l'avoir activé, et montre les commandes pour le vérifier et l'appliquer à la main. IbexWall applique le même réglage sous forme de plan que vous examinez, avec un point de restauration et une annulation.

Noyau

  • Masquer les adresses du noyau

    Les programmes sans droits spéciaux ne peuvent plus lire où se trouvent les éléments dans la mémoire du noyau. Les attaquants utilisent ces adresses pour viser leurs exploits.

    Risque faible

  • Réserver le journal du noyau aux administrateurs

    Le journal du noyau peut révéler des adresses et des détails sur le matériel. Seul un administrateur peut le lire.

    Risque faible

  • Réserver eBPF aux administrateurs

    eBPF permet aux programmes d'exécuter du code dans le noyau et a été une source constante de failles. Ce réglage le limite aux programmes privilégiés et durcit son compilateur.

    Risque moyen

  • Durcir le compilateur eBPF

    Rend le code produit par le compilateur eBPF plus difficile à détourner pour les attaques qui y glissent des instructions choisies.

    Risque faible

  • Ne pas charger les disciplines de ligne de terminal à la demande

    Empêche un programme ordinaire de faire charger au noyau du code de terminal rarement utilisé, qui a déjà été exploité.

    Risque faible

  • Restreindre userfaultfd

    Un programme ordinaire ne peut plus utiliser le versant noyau de cette interface, dont des attaquants se sont servis pour chronométer leurs coups. Les programmes qui gèrent leur mémoire en espace utilisateur continuent de fonctionner.

    Risque faible

  • Restreindre les événements de performance

    Seuls les administrateurs peuvent observer tout le système. Ce que font le processeur et le noyau reste mesurable pour vos propres programmes, mais un de vos programmes ne peut plus atteindre la machinerie de mesure du noyau.

    Risque moyen

  • Interdire le chargement d'un autre noyau en cours d'exécution

    Ferme un moyen pour un attaquant disposant de droits d'administrateur de basculer vers un noyau qu'il a préparé.

    Risque moyen

  • Désactiver les touches d'urgence SysRq

    Les touches SysRq peuvent redémarrer ou vider une machine depuis le clavier, et peuvent être déclenchées à distance dans certaines configurations.

    Risque faible

  • Limiter l'inspection d'un programme par un autre

    Un programme ne peut s'attacher qu'à ses propres enfants, donc un malware dans votre session ne peut ni lire ni modifier vos autres programmes.

    Risque moyen

  • Désactiver les bacs à sable sans privilèges (espaces de noms utilisateur)

    Les espaces de noms utilisateur donnent aux programmes ordinaires beaucoup de code noyau à attaquer. Les désactiver supprime une grande partie de la surface d'attaque.

    Risque élevé

  • Bloquer les protocoles réseau obscurs

    Un programme ordinaire peut faire charger au noyau des protocoles réseau anciens ou rares (DCCP, SCTP, AX.25, ATM et d'autres), et plusieurs ont eu de graves failles. Presque aucun ordinateur n'en a besoin.

    Risque faible

  • Bloquer les systèmes de fichiers rarement utilisés

    Monter un disque ou une clé piégés peut exploiter le code d'un ancien système de fichiers. Ce réglage empêche le noyau de charger ceux que presque personne n'utilise.

    Risque moyen

  • Bloquer les systèmes de fichiers réseau

    Si vous ne montez jamais de partages NFS ou de serveurs de fichiers Windows, le noyau n'a pas besoin de porter ce code.

    Risque élevé

  • Désactiver le Bluetooth

    Le Bluetooth a un long historique de failles de sécurité. Si vous ne l'utilisez pas, garder son code hors du noyau supprime cette exposition.

    Risque élevé

  • Bloquer le pilote vidéo de test

    Le pilote vivid n'existe que pour les tests et a causé des failles d'élévation de privilèges.

    Risque faible

Réseau

Système de fichiers

Mémoire