Systemd Hardening Workshop - Versionsgeschichte

Thomas.will: /* IPAddressAllow=10.0.10.0/24 */

2025-03-12T12:58:21Z

IPAddressAllow=10.0.10.0/24

2025-03-12T12:56:59Z

Ergebnis

2023-01-18T12:16:37Z

ProtectKernelTunables=yes

2023-01-13T07:52:27Z

Einstieg

2023-01-13T07:50:54Z

Debuggen

2023-01-12T19:06:16Z

NoNewPrivileges

2023-01-12T19:05:50Z

Namensräume einschränken

2023-01-12T19:03:41Z

PrivateDevices=yes

2023-01-12T19:02:14Z

Umsetzung

2023-01-12T19:02:06Z

CapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_DAC_READ_SEARCH

@@ Zeile 194: / Zeile 194: @@
 *systemd-analyze security | grep simp
   simplehttp.service                        5.4 MEDIUM    😐
 =IPAddressAllow=10.0.10.0/24=
@@ Zeile 201: / Zeile 211: @@
 *systemd-analyze security | grep simp
   simplehttp.service                        5.4 MEDIUM    😐
 =SystemCallFilter=yes=
 *Mit dieser Option können einzelne System-Calls verboten werden.

@@ Zeile 240: / Zeile 240: @@
 #Secure Features
 SystemCallFilter=@system-service
-IPAddressAllow=10.0.10.0/24
+IPAddressDeny=0.0.0.0/0
 RestrictSUIDSGID=true
 PrivateDevices=yes

@@ Zeile 143: / Zeile 143: @@
 =ProtectKernelTunables=yes=
 *Die Option die sich auf das Dateisystem bezieht: ProtectKernelTunables
-*Sie macht /proc/sys, /sys, /proc/sysrq-trigger, /proc/latency_stats, /proc/acpi, /proc/timer_stats, /proc/fs und /proc/irq einfach nicht beschreibbar. *Damit kann der Service keine Kernel-Einstellungen mehr ändern. Für einen Webserver oder eine Datenbank ist das hoffentlich auch nicht nötig.
+*Sie macht /proc/sys, /sys, /proc/sysrq-trigger, /proc/latency_stats, /proc/acpi, /proc/timer_stats, /proc/fs und /proc/irq einfach nicht beschreibbar.
 ==Umsetzung==

← Nächstältere Version		Version vom 13. Januar 2023, 07:52 Uhr
Zeile 56:		Zeile 56:

	*Wir speichern diese Datei unter /etc/systemd/system/simplehttp.service ab		*Wir speichern diese Datei unter /etc/systemd/system/simplehttp.service ab
		+	=Wir starten den Dienst=
		+	*systemctl start simplehttp.service

	=Überprüfung=		=Überprüfung=

@@ Zeile 7: / Zeile 7: @@
 *Er weist jeder einen numerischen „Exposure Level“-Wert zu, je nachdem, wie wichtig die Einstellung ist.
 *Anschließend berechnet es ein Gesamtexpositionsniveau für die gesamte Einheit durch eine Schätzung
-*Diese lieht im Bereich von 0,0 bis 10,0, die uns sagt, wie exponiert ein Dienst sicherheitstechnisch ist.
+*Diese lieht im Bereich von 0.0 bis 10.0, die uns sagt, wie exponiert ein Dienst sicherheitstechnisch ist.
 *systemd-analyze security
 <pre>
@@ Zeile 33: / Zeile 33: @@
 webserver.service                         9.6 UNSAFE    😨
 </pre>
 =Vorgehensweise=
 *Wir können nun Schritt für Schritt die Verbesserungen überprüfen, die an unserem systemd-Dienst vorgenommen wurden.

@@ Zeile 90: / Zeile 90: @@
   NoNewPrivileges=true
-;Automatisches Editieren
+==Umsetzung==
- SECURE='NoNewPrivileges=true'
+*SECURE='NoNewPrivileges=true'
 *sed -ie "/#Secure Features/a$SECURE" /etc/systemd/system/simplehttp.service
 *systemctl daemon-reload && systemctl restart simplehttp.service

@@ Zeile 105: / Zeile 105: @@
 *Wie Sie oben sehen können, wurde der net-Namespace nicht festgelegt, da sich der Dienst an eine Netzwerkschnittstelle binden muss.
 *Das Isolieren von net von einem Netzwerkdienst macht es nutzlos.
 *SECURE='RestrictNamespaces=uts ipc pid user cgroup'
 *sed -ie "/#Secure Features/a$SECURE''" /etc/systemd/system/simplehttp.service

@@ Zeile 174: / Zeile 174: @@
 =PrivateDevices=yes=
 *SECURE='PrivateDevices=yes'
 *sed -ie "/#Secure Features/a$SECURE''" /etc/systemd/system/simplehttp.service

@@ Zeile 129: / Zeile 129: @@
 *Das CapabilityBoundingSet sollte für normale Dienste auf einen leeren Wert gesetzt werden.
 *Zusätzlich mit der Option NoNewPrivileges verhindert es zuverlässig, dass ein Prozess seine eigenen Privilegien ändert oder eine der in den vorausgehenden Kapiteln gemachten Einschränkungen umgeht.
-=Umsetzung=
+==Umsetzung==
 *SECURE='CapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_DAC_READ_SEARCH'