Предлагаю вам краткий обзор 10 малоизвестных, но мощных команд Linux, которые помогут усилить безопасность вашей системы. Эти инструменты предназначены для опытных пользователей и системных администраторов, желающих добавить дополнительные уровни защиты и контроля.
1. auditctl
Команда auditctl входит в состав Linux Audit Framework и позволяет настраивать правила аудита для отслеживания системных вызовов и событий. С её помощью можно, например, фиксировать все попытки выполнения подозрительных бинарных файлов, что помогает своевременно обнаружить несанкционированную активность.
Пример:
auditctl -a exit,always -F arch=b64 -S execve -k exec_monitor
2. ipset
ipset — это утилита для создания и управления наборами IP-адресов, используемых в правилах firewall (iptables или nftables). Используя ipset, можно быстро блокировать или разрешать целые списки адресов, что особенно полезно при динамическом обновлении чёрных списков для защиты от DDoS-атак.
Пример создания набора и добавления IP:
ipset create blocklist hash:ip ipset add blocklist 192.0.2.123
3. inotifywait
Утилита inotifywait (из пакета inotify-tools) позволяет в реальном времени отслеживать изменения в файловой системе. Это может быть использовано для мониторинга важных системных файлов или конфигураций, чтобы сразу обнаружить нежелательные изменения.
Пример:
inotifywait -m /etc/passwd -e modify
4. systemd-analyze security
Новая функция утилиты systemd-analyze позволяет оценить настройки безопасности ваших systemd-сервисов. Команда анализирует конфигурацию юнитов и выдаёт оценку, а также рекомендации по усилению безопасности для каждого сервиса.
Пример:
systemd-analyze security sshd.service
5. getcap
Команда getcap показывает расширенные возможности (capabilities) файлов, что позволяет выявлять потенциально опасные привилегии у бинарных файлов. Регулярный аудит таких настроек помогает обнаружить нежелательные или ошибочно заданные права.
Пример:
getcap -r / 2>/dev/null
6. chattr
Используйте chattr для защиты критических файлов от изменений. Например, установка атрибута неизменяемости на файлы, такие как /etc/passwd или /etc/shadow, предотвращает их случайное или злонамеренное изменение даже с правами root.
Пример:
sudo chattr +i /etc/passwd
7. nft
nft — современная утилита для управления firewall на базе nftables, которая заменяет устаревшие iptables. Она позволяет создавать гибкие и эффективные правила фильтрации трафика с поддержкой сложных логических операций, что значительно улучшает контроль доступа в системе.
Пример создания простого фильтра:
nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 ; }
nft add rule inet filter input ip saddr 192.0.2.0/24 drop
8. semanage
Если на системе включён SELinux, команда semanage позволяет тонко настраивать и управлять политиками безопасности. С её помощью можно изменять правила доступа для файлов, портов и других объектов, что помогает адаптировать SELinux к специфическим требованиям вашего окружения.
Пример:
semanage port -a -t http_port_t -p tcp 8080
9. unshare
Команда unshare позволяет запускать процессы в отдельных пространствах имен (namespaces), создавая изолированное окружение для приложений. Это мощный инструмент для минимизации рисков, связанных с компрометацией, позволяя запускать подозрительные или тестовые сервисы в контейнеризованном режиме без влияния на основную систему.
Пример:
unshare --mount --uts --ipc --net --pid bash
10. lslogins
lslogins — утилита для получения детальной информации о локальных учётных записях. Анализируя данные о пользователях, можно выявить подозрительные или неиспользуемые аккаунты, что помогает своевременно проводить аудит прав доступа и предотвращать несанкционированный доступ.
Пример:
lslogins --all
Использование этих малоизвестных команд позволяет углубиться в тонкости настройки безопасности Linux и создать дополнительный уровень защиты. Комбинируйте их с регулярным аудитом, мониторингом и обновлением политик безопасности, чтобы сделать вашу систему максимально устойчивой к атакам и нежелательным изменениям.