25 настроек ядра Linux по ФСТЭК: как работают, от чего защищают и что могут сломать

Злоумышленник уже на сервере под обычной учётной записью — и короткий путь к root часто лежит через ядро. В конце 2022 года ФСТЭК России выпустила «Рекомендации по безопасной настройке операционных систем Linux», и 25 пунктов в них — про ядро. Разбираем все: как каждая настройка работает, от чего защищает и чем вы рискуете, если включить её не глядя. Блок 1 — защита самого ядра (dmesg_restrict, kptr_restrict, init_on_alloc, slab_nomerge, IOMMU, randomize_kstack_offset, mitigations=auto,nosmt, bpf_jit_harden). Блок 2 — уменьшение поверхности атаки (vsyscall, perf_event_paranoid, debugfs, kexec, user namespaces, unprivileged eBPF, userfaultfd, ldisc_autoload, TSX, mmap_min_addr, ASLR). Блок 3 — защита обычных программ (ptrace_scope, protected_symlinks/hardlinks/fifos/regular, suid_dumpable). В конце — пять шагов, как внедрить всё это и ничего не сломать, и три «храповика», которые откатывает только перезагрузка. Главы: 0:00 Злоумышленник уже на сервере 0:34 Привет! Что разбираем 1:09 Что за документ ФСТЭК 1:56 Как включают настройки: sysctl и параметры загрузки 2:33 Три «храповика» 3:01 Блок 1. Защита самого ядра 3:10 1. dmesg_restrict — журнал ядра 3:49 2. kptr_restrict — адреса ядра 4:34 3. init_on_alloc — чистая память 5:16 4. slab_nomerge — раздельные полки 6:00 5. IOMMU — охранник памяти 7:20 6. randomize_kstack_offset — случайный стек 7:59 7. mitigations=auto,nosmt — дыры в процессорах 9:05 8. bpf_jit_harden — защита JIT 10:02 Блок 2. Уменьшаем поверхность атаки 10:13 9. vsyscall=none 10:58 10. perf_event_paranoid 11:56 11. debugfs=off 12:56 12. kexec_load_disabled 13:51 13. user namespaces 15:10 14. unprivileged_bpf_disabled 16:09 15. userfaultfd 17:02 16. ldisc_autoload — дисциплины линии терминала 17:48 17. tsx=off 18:32 18. mmap_min_addr 19:20 19. ASLR — randomize_va_space 20:09 Блок 3. Защита обычных программ 20:21 20. ptrace_scope = 3 21:17 21–24. Общие папки: symlinks, hardlinks, fifos, regular 23:37 25. suid_dumpable 24:30 Как внедрить и ничего не сломать: 5 шагов 25:40 Итоги