☰

VPSでシングルユーザーモードとGRUBパスワードを保護する

tag-icon • tag-icon linux centos audit
VPSでシングルユーザーモードとGRUBパスワードを保護する

VPS CentOS 6 Linux Webサーバーがあります。 KVMで実行されます。

Lynis監査を実行すると、シングルユーザーモードとGRUBがパスワード/認証で保護されていないことがわかりました。

[16:00:28] Warning: No password set for single mode [AUTH-9308]
[15:59:26] Suggestion: Set a password on GRUB bootloader to prevent altering boot configuration (e.g. boot in single user mode without password) [BOOT-5122]

また、Lynisはストレージドライブについて次のように述べました。

[16:05:09] Suggestion: Disable drivers like USB storage when not used, to prevent unauthorized storage or data theft [STRG-1840]
[16:05:09] Suggestion: Disable drivers like firewire storage when not used, to prevent unauthorized storage or data theft [STRG-1846]

これは仮想化されたLinuxインスタンスであり、サーバーなので、上記の措置を講じることは本当に役に立ちますか？シングルユーザーモードとGRUBに認証メカニズムを追加すると、起動中に（特にGRUBの場合）実際に問題が発生する可能性があります。これは、一般的なLinuxデスクトップクライアントではなく、仮想化サーバーであるためです。しかし、Lynisは明らかにこの事実を知りません。

Lynisがサーバー構成の観点から来ているかどうかはわかりません。まさにここに混乱があります。

強調されたポイントの明確な説明を提供していただきありがとうございます！

ありがとう、

ベストアンサー1

一般的な強化のために、私が作ったcentos-6.x-harden.shを使用してください。

#!/bin/bash
echo "readonly TMOUT=900" >> /etc/profile.d/os-sec.sh
echo "readonly HISTFILE" >> /etc/profile.d/os-sec.sh
chmod +x /etc/profile.d/os-sec.sh
echo "tty1" > /etc/securetty
chmod 700 /root
echo "blacklist usb-storage" > /etc/modprobe.d/blacklist-usbstorage
cat << EOF > /etc/sysconfig/init 
BOOTUP=color
RES_COL=60
MOVE_TO_COL="echo -en \\033[${RES_COL}G"
SETCOLOR_SUCCESS="echo -en \\033[0;32m"
SETCOLOR_FAILURE="echo -en \\033[0;31m"
SETCOLOR_WARNING="echo -en \\033[0;33m"
SETCOLOR_NORMAL="echo -en \\033[0;39m"
PROMPT=no
AUTOSWAP=no
ACTIVE_CONSOLES=/dev/tty[1-6]
SINGLE=/sbin/sulogin
EOF
cat << EOF > /etc/init/control-alt-delete.override
start on control-alt-delete
exec /usr/bin/logger -p authpriv.notice -t init "Ctrl-Alt-Del was pressed and ignored"
EOF
cat << EOF > /tmp/grub.patch
--- grub.conf   2014-11-09 13:43:45.085378787 +0330
+++ grub.conf.new       2014-11-09 13:43:48.508377857 +0330
@@ -9,6 +9,7 @@
default=0
timeout=5
+password --md5 \$1\$T.IYz1\$wLQ21IjrUuMeLfkGd1Xby0
splashimage=(hd0,0)/boot/grub/splash.xpm.gz
hiddenmenu
EOF
patch -s /boot/grub/grub.conf < /tmp/grub.patch
# alternate to the latter patch is: echo 'password --md5 $1$T.IYz1$wLQ21IjrUuMeLfkGd1Xby0' >>      /boot/grub/grub.conf
  1. 端末を開いたままにすると、シェルが保護されます。
  2. エンドポイント無差別代入攻撃時の保護機能を提供します。
  3. ユーザーにルートパスワードを提供するように依頼して、シングルユーザーモードを保護します。
  4. パスワードを強制的に入力してGRUBメニューを保護します。
  5. alt-ctrl-delete ベースの再起動を無効にしてシステムを保護します。

** md5ハッシュを必要なパスワードに変更することを検討してください。

おすすめ記事