Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной настройки Linux, opennews (ok), 24-Янв-23, (0) [смотреть все] PS Некоторые опции ядра требуют включения отладочных функций, что может только у, pavlinux (ok), 11:56 , 24-Янв-23, (1) // Безопасность кого надо безопасность , ФСТЭК (?), 12:11 , 24-Янв-23, (13) –1 eBPF - это не отладочные функции И они как раз для rootа доступны Но если у ва, Аноним (55), 13:26 , 24-Янв-23, (55) +4 // https www opennet ru opennews art shtml num 54932Рут в виртуалке - не хозяин с, pavlinux (ok), 14:51 , 24-Янв-23, (98) +6 // 1 где там утверждается, что ebpf - это отладочные функции 2 ebpf обычно требу, Аноним (55), 19:58 , 24-Янв-23, (160) –7 А где я утверждал, что eBPF - это только отладка , pavlinux (ok), 12:06 , 25-Янв-23, (204) +1 Можно ли написать кодогенератор на rust в безопасном режиме Там бы значительная , Аноним (201), 09:29 , 25-Янв-23, (201) –2 Зачем , Zenitur (ok), 11:57 , 24-Янв-23, (2)   // Наверное, поощряется использование полной виртуализации для запуска недоверенных, Аноним (46), 13:02 , 24-Янв-23, (46) +1   // iommu - не про виртуальные машины, он про защиту ОС от DMA-атак через Thunderbol, Аноним (55), 13:34 , 24-Янв-23, (62) +2   // А заодно и от левых попыток железок делать с DMA что-то не то Какая-нибудь PCI , Аноним (-), 15:05 , 24-Янв-23, (104) +4   Как я понимаю iommu разрешает железу менять только разрешенные части оперативной, Аноним (63), 13:37 , 24-Янв-23, (63) +3   // Всем спасибо за ответы Когда-то в 2013 году я целенаправленно искал материнскую, Zenitur (ok), 13:48 , 24-Янв-23, (65) +2   Ну если найдёте, куда лишние 390 ножек впихнуть, то можно, наверное , Аноним (68), 13:58 , 24-Янв-23, (68) +8   Тогда зачем знак в названии сокета Я помню, что AM2 подразумевал, что в него, Zenitur (ok), 14:05 , 24-Янв-23, (74) –3   Только маркетинг, ничего личного , Аноним (106), 15:07 , 24-Янв-23, (106) +3   означает, что поддерживаются дополнительные функции по сравнению с версией без, Аноним (118), 15:47 , 24-Янв-23, (118) +2   Если крайне упрощённо, AM3 8212 это для FX ов И да, та же история, можно вс, Аноним (68), 15:54 , 24-Янв-23, (119) +1   А зачем Топовые камни там вроде бы должны игры тянуть Главное память разогнать, Аноним (168), 22:26 , 24-Янв-23, (168) +1   Тоже имел такую доску и 9590 для таких же целей, только был вопрос в начале, поч, Аноним (192), 02:26 , 25-Янв-23, (192) +1   А что за патч , Zenitur (ok), 08:15 , 25-Янв-23, (199) +1   Патч решающий проблемы низкой производительности при включённой опции amd nested, Аноним (192), 21:29 , 25-Янв-23, (216) +1   220 ватт TDP 8230 Звучит, как наличие титула, собственного замка и герба с Печ, Аноним (230), 19:50 , 26-Янв-23, (230)   Крематория, не герба , Аноним (235), 19:14 , 27-Янв-23, (235)   Чтобы какой-нибудь GPU или вайфай адаптер не сделал ВНЕЗАПНЫЙ DMA в хрен знает к, Аноним (-), 15:01 , 24-Янв-23, (103) +4   // Тут даже с ARM было бы чуть спокойнее, не говоря уж про e2k D, Michael Shigorin (ok), 01:18 , 26-Янв-23, (222)   // В ночное Извините , Аноним (228), 19:30 , 26-Янв-23, (228)   Михаил, а как в Симплии сделать снимок экрана с меню Пуск с двумя пунктами поч, Аноним (228), 19:33 , 26-Янв-23, (229)   Семь страниц это не серьёзно для гос организации Это даже прочитать можно , Аноним (3), 11:57 , 24-Янв-23, (3) +42 // И пидиэф кстати 404 404 не запрещено тут писать - а то ведь полит подтекст , Аноним (3), 11:58 , 24-Янв-23, (4) // По первой ссылке переходите, а ссылка на пдф реально битая, Schwonder Reismus (?), 12:04 , 24-Янв-23, (7) Не только PDF, но теперь и страница с ним Даже в веб-архиве нет пдфки а вот ст, Аноним (55), 12:06 , 24-Янв-23, (8) // Ага Ссылка в новости устарела А вот новость на сайте ФСТЭК по другой ссылке в, Аноним (55), 12:09 , 24-Янв-23, (10) +5 а попробуй скажи что-нибудь без полит подтекста, Аноним (44), 12:58 , 24-Янв-23, (44) // Даже молчание и отсутствие являются признаками бунта , Аноним (210), 20:23 , 25-Янв-23, (210) –1 Полит подтекст - 451 А 404 - это просто 404 , Аноним (53), 13:23 , 24-Янв-23, (53) +1 // ну не скажи, руководители паблика 404 уже седят , fi (ok), 14:31 , 24-Янв-23, (94) –2 А это не для того чтобы за это наказывать, а чтобы реально работало , Аноним (9), 12:08 , 24-Янв-23, (9) // Сейчас ещё окажется что это не публикация, а внутренняя утечка , Аноним (9), 12:10 , 24-Янв-23, (11) +3 // Ну кстати, тот же ФСБ ещё лет 10-15 назад очень активно набирал новых сотруднико, Бывалый смузихлёб (?), 13:27 , 24-Янв-23, (56) +1 Ну чтож пришло время и тебе узнать правду Они не только 10-15 лет нанимали студ, Аноним (91), 14:29 , 24-Янв-23, (91) +5 Более того это повсеместная практика , Аноним (108), 15:15 , 24-Янв-23, (108) +2 Вопрос не в том, что всегда, а в том, что массово Там реально списки пускали те, Бывалый смузихлёб (?), 15:25 , 24-Янв-23, (112) +1 Я конечно понимаю что у тебя яркие впечатления о молодости, но и сейчас в любую , Аноним (91), 17:39 , 24-Янв-23, (144) +1 Чёрт с ним, с количеством, но даже конкретика есть, даже как оно делается часто , Бывалый смузихлёб (?), 13:25 , 24-Янв-23, (54) +5 // Про sudo, кстати, это же вообще свежачок CVE-2023-22809 Как они могли знать , X86 (ok), 14:05 , 24-Янв-23, (76) // ToDo с анонимов тутошных собирают, Деанон (?), 17:06 , 24-Янв-23, (132) +2 Так это не то sudo, про него много у кого соображения были вида подальше-подаль, Michael Shigorin (ok), 01:22 , 26-Янв-23, (223) Все правильно chown root wheel bin suchmod o-rwxst bin suusermod -a -G wheel a, Аноним (244), 14:11 , 03-Фев-23, (244) Скрыто модератором, ГруднаяЖаба (?), 11:59 , 24-Янв-23, (5) –10 // Скрыто модератором, Аноним (6), 12:03 , 24-Янв-23, (6) +7 Всё это конечно безумно интересно, но где же всё-таки отечественный windows Вот , КО (?), 12:10 , 24-Янв-23, (12) –12 // Не потому что линукс опенсорс, а венда нет , Аноним (15), 12:13 , 24-Янв-23, (15) +1 А где финский или например австралийский , Аноним (91), 12:14 , 24-Янв-23, (16) +12 // Вы ещё спросите, где финские или австралийские процессоры , Аноним (68), 14:00 , 24-Янв-23, (70) // У меня тут такой вопрос резко возник А где финские или австралийские процессоры, Аноним (91), 14:31 , 24-Янв-23, (93) +7 У финнов ещё и легкового автопрома нет, вот где днище-то В то время, как мы тут, Аноним (68), 16:21 , 24-Янв-23, (125) Ну похоже перегнали, а кто-то не верил , Аноним (91), 17:40 , 24-Янв-23, (145) А тут внезапнор и шведы продали китайцам свой автопром Заговор , Аноним (165), 21:38 , 24-Янв-23, (165) +2 Не осилили, Анонемистик (?), 12:20 , 24-Янв-23, (21) QP OS, Аноним (28), 12:32 , 24-Янв-23, (28) +4 На отечественный Виндус, в своё время, у Алксниса не удалось денег выпросить , Аноним (46), 13:05 , 24-Янв-23, (48) –1 Тут доступно объяснилиhttps olegmakarenko ru 2618158 html, Kol (ok), 13:30 , 24-Янв-23, (58) +1 Ляликс теперь Русский виндовс , считай официально Даже взять исходники Андрои, Kuromi (ok), 14:02 , 24-Янв-23, (72) +1 // гугл ещё проще сделал взял исходники Андроид и не переименовывал даже , Аноним (134), 17:12 , 24-Янв-23, (134) +2 Анонимный эксперт может лично взять взять исходники Андроид и переменовать и с, Аноним (146), 17:47 , 24-Янв-23, (146) –1 // gt оверквотинг удален Но ведь очевидно же что Firebase Notifications - не нужн, Kuromi (ok), 00:02 , 25-Янв-23, (181) –1 Зачем она тов майору В доточку с ксиком играть Жри со швитым забугорным и не о, Ананий (?), 10:48 , 25-Янв-23, (202) –1 Гм Вроде хорошая вещь, а вот PDF-ку в Word2016 варганили , ryoken (ok), 12:13 , 24-Янв-23, (14) +4 // Зато безопасно , Аноним (91), 12:14 , 24-Янв-23, (17) У меня ртфка вообще в вайновском вордпад открывается и не жужжу XD, Попандопала (?), 12:32 , 24-Янв-23, (30) –3 Семь страничек Смешно Рекомендации от CIS Center for Internet Security едва , Аноним (18), 12:15 , 24-Янв-23, (18) // Я сделяль с ФСТЭК, Аноним (20), 12:20 , 24-Янв-23, (20) При этом там 90 воды, а в оставшемся бо 769 льшую часть занимают примеры Было , PnD (??), 12:28 , 24-Янв-23, (24) +5 7 страниц рили можно осилить,а за 700 платить придется в поддержку , Попандопала (?), 12:28 , 24-Янв-23, (25) +1 так там selinux, а на кой хрен он нужен как и его аналоги , anonfdfd4 (?), 12:36 , 24-Янв-23, (34) –2 // Как всегда местным экспертам ничего не нужно, они и так самые умные , Аноним (146), 12:51 , 24-Янв-23, (40) +4 // Скрыто модератором, Аноним (-), 14:01 , 24-Янв-23, (71) PCI DSS 4 0 - 360 страниц увлекательного чтения с экзаменациями, аудитами, компл, Аноним (41), 12:52 , 24-Янв-23, (41) // Вот PDFка, если что, наслаждайтесь https disk yandex ru i cVWSH1QvQCeSfQ, Аноним (41), 12:54 , 24-Янв-23, (42) +2 // Спасибо за pdf Однако нормально загрузить не получилось Yandex disk - такая от, Аноним (169), 22:36 , 24-Янв-23, (169) Думал было написать Ваш комментарий слишком краток Но давайте попробую менее с, Michael Shigorin (ok), 01:27 , 26-Янв-23, (224) –1 // Михаил, по CNews можно предположить https importfree cnews ru news top 2023-0, Аноним (228), 20:04 , 26-Янв-23, (231) Интересно, спасибо , Иваня (?), 12:19 , 24-Янв-23, (19) +2 Проще Альторосу поставить и колупаться не надо D, Попандопала (?), 12:27 , 24-Янв-23, (23) –1 // Там 86 клавиш, Аноним (210), 20:33 , 25-Янв-23, (211) –1 Где пункты удалить systemd и собрать ядро без поддержки Rust Опять иксперто, Hanyuu (?), 12:29 , 24-Янв-23, (26) // Для тех, кто линукс изучает по цитаткам с башорга, рассказываю правду Rust в яд, Аноним (36), 12:41 , 24-Янв-23, (36) +3 Для кого тогда написали , fuggy (ok), 19:05 , 24-Янв-23, (157) // Вопрос правильный, хотя и задан некорректно Правильный вопрос - зачем писать со, Валерий (??), 02:11 , 25-Янв-23, (191) // Чтобы не следить за изменениями во всех Linux-дистрибутивах и не делать новые па, www2 (??), 06:26 , 25-Янв-23, (197) +1 X Ограничить доступ к proc Так чтобы пользователь или процесс мог видеть то, pashev.ru (?), 12:32 , 24-Янв-23, (29) +1 а где скрипт vfstek sh, который всё это проверяет не меняет, а просто чекает и , Аноним (31), 12:33 , 24-Янв-23, (31) +14 // ишт ты умник 1, anonfdfd4 (?), 12:37 , 24-Янв-23, (35) Это за деньги , Аноним (39), 12:50 , 24-Янв-23, (39) cat boot config-6 0 0-6-amd64 124 grep -P CONFIG_ INIT_ON_ALLOC_DEFAULT_ON , Аноним (55), 13:07 , 24-Янв-23, (50) // useless use of cat, швондер (?), 20:25 , 27-Янв-23, (236) Он ещё и отчёт должен сам отправлять , Аноним (46), 13:08 , 24-Янв-23, (51) Запускать этот скрипт будут специально аффилированные компании , SubGun (ok), 21:36 , 24-Янв-23, (163) +1 Проверяющий скрипт https www opennet ru openforum vsluhforumID3 129586 html 24, Аноним (244), 15:47 , 03-Фев-23, (251) Вроде бы адекватные рекомендации, правда я не все из них понимаю , Аноним (146), 12:47 , 24-Янв-23, (38) // Очень полезно иметь такой список когда новый сервер запускаешь На работе даже па, Аноним (146), 12:57 , 24-Янв-23, (43) +4 // Тут надо не список иметь, а бить по рукам за ручную настройку серверов Это зада, Аноним (86), 14:19 , 24-Янв-23, (86) –8 // Ага, осталось всего ничего - нанять еще одного человека, который будет настраива, Аноним (174), 23:40 , 24-Янв-23, (174) +2 Какого одного -- минимум двух, плюс ещё двух -- писать плейбуки и к каждому пров, Michael Shigorin (ok), 01:30 , 26-Янв-23, (225) +1 по-моему практики девляпс и ИТИЛ ортогональны, а местами противоречат друг другу, ivan_erohin (?), 16:37 , 28-Янв-23, (241) Пациенты тебя люто ненавидят Следовательно, как врач, ты прав , Валерий (??), 02:52 , 25-Янв-23, (193) –1 Чек-лист при установке не пользуете Рекомендую хотя бы его , Аноним (174), 23:42 , 24-Янв-23, (175) Ну, например, вот это правило нужно для ликвидации уязвимости libXpm для все, Аноним (134), 14:49 , 24-Янв-23, (96) +2 // Теперь нельзя выполнять проги из tmp private Как жить дальше , Аноним (127), 16:38 , 24-Янв-23, (127) // Начать питаться на кухне, а не на помойке , Аноним (134), 17:15 , 24-Янв-23, (136) Рекомендация того же порядка, что и noexec , Аноним (127), 17:31 , 24-Янв-23, (142) +1 А чем noexec плохо , Аноним (146), 19:05 , 24-Янв-23, (158) +1 На помойке будет как раз не tmp private , а 755 root, как вон выше упоминали , Michael Shigorin (ok), 01:31 , 26-Янв-23, (226) +1 Каким образом делать такую проверку, там не написано Если файловую систему home, Аноним (146), 17:31 , 24-Янв-23, (143) // Популярные варианты дающие примерно тот-же результат 1 Соблюдение правила что, Аноним (244), 15:39 , 03-Фев-23, (250) и мне нельзя запускать свои же скрипты из bin и local bin и tor browser не, ivan_erohin (?), 04:53 , 25-Янв-23, (194) Безо сферическая в вакууме , mos87 (ok), 13:01 , 24-Янв-23, (45) –1 Как бы за щоо , однакоhttps www kernel org doc html latest admin-guide hw-vul, Аноним (55), 13:02 , 24-Янв-23, (47) +1 // Дефолты имеют свойство меняться Иногда без предупреждения , Аноним (150), 18:13 , 24-Янв-23, (150) +2 О чём это говорит Это говорит о том, что даже в госшарагах на якобы обязательну, Аноним (-), 13:07 , 24-Янв-23, (49) –2 // Это говорит о том, что здравомыслие в конечном итоге побеждает , Аноним (55), 13:10 , 24-Янв-23, (52) // Тётка с косой в итоге , Аноним (210), 20:49 , 25-Янв-23, (213) Это говорит о том что, там используются много разных дистрибутивов, а обязательн, Атон (?), 13:43 , 24-Янв-23, (64) +7 Ну не все компы для офисной работы, разные задачи бывают, просто выставили требо, _kp (ok), 13:51 , 24-Янв-23, (66) +2 ФСТЭК решил заняться тем, чем CERT CISA занимается уже джвадцать лет Ну, чо Л, YetAnotherOnanym (ok), 13:28 , 24-Янв-23, (57) –1 // Решил опубликовать и решил заняться - это разное , pavlinux (ok), 15:39 , 24-Янв-23, (116) +2 // У нас есть такие приборы Но мы вам о них не расскажем , Аноним (-), 17:19 , 24-Янв-23, (139) –2 // Это про Эльбрусы, да , Аноним (161), 20:17 , 24-Янв-23, (161) вы бы лучше обратили внимание на специализированные чипы и микроэлктронику в про, анонна (?), 21:45 , 24-Янв-23, (166) 157УД3 , Аноним (210), 21:14 , 25-Янв-23, (214) Не, их-то как раз хоть в яндекс-музее можно пощупать собственными клешнями , Michael Shigorin (ok), 01:37 , 26-Янв-23, (227) Так задача была по наполнению музея Яндекса исчерпавшими себя продуктами , Аноним (228), 20:12 , 26-Янв-23, (232) –1 Почему бы кому-нибудь не запилить скрипт, выполняющий большинство из этих рекоме, Ку (?), 13:31 , 24-Янв-23, (59) // Ну так вперед, к мечте , Аноним (113), 15:34 , 24-Янв-23, (113) +4 Луче расскажи какого хрена ты его так до сих и не запилил , Аноним (9), 18:07 , 24-Янв-23, (149) +2 // а че там пилить взял пдф и строчишь echo что то там файл куда сложнее это , анонна (?), 21:47 , 24-Янв-23, (167) // Разве не секретарша для набора полагается , Аноним (210), 21:15 , 25-Янв-23, (215) А что тогда будут кушать компании, которые специализируются на запуске этого скр, SubGun (ok), 21:37 , 24-Янв-23, (164) Скрипт делающий ненужен Не все фичи безопасности в конкретном дистре можно вклю, Аноним (244), 15:03 , 03-Фев-23, (249) https bugs debian org cgi-bin bugreport cgi bug 928362 - related, Аноним (55), 13:31 , 24-Янв-23, (60) Astra Linux SE 1 7 3 sbin sshd -T 124 ag -i PermitRootLoginpermitrootlogin w, mos87 (ok), 13:33 , 24-Янв-23, (61) // Астара - хардкорная RBAC операционка, там даже рут - не человек , pavlinux (ok), 15:41 , 24-Янв-23, (117) // Ну так, извиняюсь заранее, мандатный доступ , Аноним (174), 23:47 , 24-Янв-23, (176) // Главное чтобы этот доступ не запрещал играть в героев меча и магии 3, иначе прап, Аноним (195), 06:11 , 25-Янв-23, (195) +1 они разве не в косынку, mos87 (ok), 12:35 , 25-Янв-23, (206) Неправда В части, где я проходил срочную службу, на рабочем ПК ЗНШ полка в зва, Аноним (237), 20:32 , 27-Янв-23, (237) Там где я срочку проходил, кап-лей-т гонял в NFS MW и что-то еще не помню что , Аноним (253), 19:52 , 13-Авг-23, (253) NSFW, mos87 (ok), 10:50 , 14-Авг-23, (254) Ограничить использование user namespaces sysctl -w user max_user_namespaces 0, Kuromi (ok), 13:57 , 24-Янв-23, (67) +3 // А на работу контейнеров этот параметр влияет , Sunderland93 (ok), 14:05 , 24-Янв-23, (75) // Если контейнер непривилегированный а таких большинство - да, все сломается , Аноним (85), 14:15 , 24-Янв-23, (85) 102 7 работает с этим параметром в sysctl conf, Попандопала (?), 14:09 , 24-Янв-23, (79) // Песочница то поди отвалилась , Аноним (127), 14:11 , 24-Янв-23, (82) +1 // Черт ее знает,но убрал на всякий случай этот параметр , Попандопала (?), 14:30 , 24-Янв-23, (92) Все браузеры используют как дополнительный уровень в песочницах, да и в целом от, Аноним (127), 14:10 , 24-Янв-23, (81) // Когда делаешь clone CLONE_NEWUSER, наследуются все разрешения, а ограничен, pavlinux (ok), 15:36 , 24-Янв-23, (114) +4 // Без обид, но похоже именно ты тут не понимаешь, о чём говоришь, ещё и оскорбить , Аноним (127), 16:11 , 24-Янв-23, (122) –1 В немспейсах уже было нашлось несколько десятков багов, как логических, так и те, Аноним (129), 16:44 , 24-Янв-23, (129) +2 А где их не было, этих багов Однако, их находят и исправляют К тому же, пример, Аноним (127), 16:59 , 24-Янв-23, (131) Любезнейший, а где вы видели браузеры в составе цитата государственных и, Аноним (162), 20:23 , 24-Янв-23, (162) +2 Вероятнее всего идею выключить неймспейсы взяли отсюда - https www stigviewer , Kuromi (ok), 00:13 , 25-Янв-23, (182) +1 // If containers are in use, this requirement is not applicable , ыы (?), 21:32 , 25-Янв-23, (217) Какие браузеры Тут рекомендация скорее всего для серверов и т п , а не для твое, Аноним (187), 01:45 , 25-Янв-23, (187) // Это чтобы было понятно, как оно используется На серверах без неймспейсов жизни , Аноним (127), 11:16 , 25-Янв-23, (203) –2 Нет, совет в том, чтобы сместить ответственность со случайной прикладной програм, Аноним (237), 20:47 , 27-Янв-23, (240) Это отключаемо в браузерах и программах на их движках Webkit, Chromium и т п П, Аноним (237), 20:40 , 27-Янв-23, (239) Скрыто модератором, Амомин (?), 14:07 , 24-Янв-23, (77) –1 // Скрыто модератором, Аноним (55), 14:46 , 24-Янв-23, (95) На печатных машинках так проще Разумеется тут не суперпользователь Усложнять жи, Аноним (-), 14:10 , 24-Янв-23, (80) –3 // Если Комп без доступа к сети, типа Live системы без сохранения документов Включ, _kp (ok), 14:25 , 24-Янв-23, (90) // Требование отключать доступ по SSH напрямую к root вводит в заблуждение Нет ник, Аноним (155), 18:30 , 24-Янв-23, (155) +1 // Вероятно кто свято верит в sudo пытаясь защитить замок другим замком забывая про, OpenEcho (?), 01:17 , 25-Янв-23, (185) +1 gt оверквотинг удален угадай логин для начала , швондер (?), 20:38 , 27-Янв-23, (238) Ну если про PermitRootLogin prohibit-password , OpenEcho (?), 01:12 , 25-Янв-23, (184) +1 // Можно Я имел ввиду, что запрет логина под root, встречается часто, и не вызвал , _kp (ok), 01:31 , 25-Янв-23, (186) У меня запрет рутам заходить как рут - давно вызывает удивление, - это как у стр, OpenEcho (?), 20:03 , 25-Янв-23, (207) +2 Используйте агента, спрашивающего, можно ли отдать ключ тому то и тому то , Аноним (242), 20:35 , 28-Янв-23, (242) Это gpg или ssh которые Ну так они тоже IV хранят в памяти, и к стати назойливо, OpenEcho (?), 06:10 , 29-Янв-23, (243) почему это не плейбук для ансибла , Аноним (84), 14:14 , 24-Янв-23, (84) –2 // дак сделай Тебе тут никто ничем не обязан , Аноним (134), 17:19 , 24-Янв-23, (140) Видно толковый человек поработал над написанием документа, что выглядит очень и , Аноним (87), 14:20 , 24-Янв-23, (87) +3 // А что странного , Аноним (86), 14:23 , 24-Янв-23, (89) +2 // Ему не понравилось, что дырку с libXpm заткнули этими правилами , Аноним (134), 14:55 , 24-Янв-23, (99) +1 init_on_free 1slub_debug FZpage_alloc shuffle 1vm mmap_rnd_bits 32vm mmap_rnd_co, pavlinux (ok), 15:58 , 24-Янв-23, (120) +1 В целом советы полезные, ноТак разве не везде на bin usr bin стоит только чтен, fuggy (ok), 16:39 , 24-Янв-23, (128) –3 // Открой недавнюю тему про libXpm поймёшь, про что речь , Аноним (134), 17:16 , 24-Янв-23, (137) // Я зря xterm удалял , Попандопала (?), 17:53 , 24-Янв-23, (148) –1 Уточните что именно прочее mitigations auto включает смягчение всех известных у, Аноним (146), 22:46 , 24-Янв-23, (170) +1 // Покупаем 40 ядер 80 потоков Xeon Platinum 8380 за миллион рублей и отключаем у н, Аноним (195), 06:24 , 25-Янв-23, (196) –2 // Покупаем 40 ядер 80 потоков Xeon Platinum 8380 за много тысяч долларов, ставим н, Аноним (198), 07:25 , 25-Янв-23, (198) +2 И будет ли выигрыш от виртуальных процессоров больше чем накладные расходы на си, Аноним (200), 09:15 , 25-Янв-23, (200) +1 После патчей от Spectre, Meltdown, Retbleed и т п , гыпертрединг бесполезен , pavlinux (ok), 12:19 , 25-Янв-23, (205) +2 Самое главное забыли apt install safe-rm А вообще советую ещё монтировать хомяк, Аноним (141), 17:21 , 24-Янв-23, (141) +2 // 100500 , Аноним (134), 19:22 , 24-Янв-23, (159) +3 home, proc, sys, tmp, var, - nodev,noexec,nosuid,rw dev - noexec,nosuid, Аноним (244), 14:34 , 03-Фев-23, (247) А скрипт делающий это всё не выпустили -__-, FreeStyler (ok), 18:16 , 24-Янв-23, (151) // Но ведь ты исправишь эту оплошность , Аноним (113), 18:27 , 24-Янв-23, (154) +2 Все это уже давно применяется в дистрибутивах , Аноним (173), 23:14 , 24-Янв-23, (173) –1 Есть скрипты для проверки Lynis, https en wikipedia org wiki Lynishttps h, Аноним (244), 14:39 , 03-Фев-23, (248) Странно, усё так завинченно, а про банальный proc proc proc nodev,noexec,, OpenEcho (?), 00:47 , 25-Янв-23, (183) +2 // https wiki debian org Hardening Runtime_hardening с systemd плохо сочетается , Аноним (188), 01:54 , 25-Янв-23, (188) +2 // А мне прикольнуло,как у бздунов прям D , Попандопала (?), 02:01 , 25-Янв-23, (189) Очевидно, что сначала надо от системды избавиться , Аноним (134), 02:09 , 25-Янв-23, (190) +5 Да маковка о которой я хотел сказать - это hidepid 2который скрывет показ не сво, OpenEcho (?), 20:07 , 25-Янв-23, (208) // Именно об hidepid 2 и речь Или ты только в fstab это прописал и думаешь, что у , Аноним (219), 00:10 , 26-Янв-23, (219) А ты уверен, что до конца прочитал мой предыдущий пост , OpenEcho (?), 00:30 , 26-Янв-23, (220) +1 YAMA даст больше защиты процессов , Аноним (244), 14:21 , 03-Фев-23, (245) // Хотя hidepid 2 у меня тоже стоит , Аноним (244), 14:23 , 03-Фев-23, (246) Кто забыл, и кому нужен скрипт для генерации конфига Уже лет 5 как Попов замут, pavlinux (ok), 00:52 , 26-Янв-23, (221) +2 KSPP https www kernel org doc html latest security self-protection htmlhttps , Аноним (252), 17:48 , 04-Фев-23, (252) 1,2,3,12,14,18,19,23,26,29,31,38,45,47,49,57,59,60,61,67,80,84,87,120,128,141,151,183,221,252

Сообщения

[Сортировка по времени | RSS]

2. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
Сообщение от Zenitur (ok), 24-Янв-23, 11:57
> Инициализировать механизм IOMMU Зачем?
Ответить | Правка | Наверх | Cообщить модератору

	46. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+1 +/–
	Сообщение от Аноним (46), 24-Янв-23, 13:02
	Наверное, поощряется использование полной виртуализации для запуска недоверенных приложений. Проброс железяк для них в виртуалки.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+2 +/–
	Сообщение от Аноним (55), 24-Янв-23, 13:34
	iommu - не про виртуальные машины, он про защиту ОС от DMA-атак через Thunderbolt, FireWire и SCSI.
	Ответить | Правка | Наверх | Cообщить модератору

	104. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+4 +/–
	Сообщение от Аноним (-), 24-Янв-23, 15:05
	А заодно и от левых попыток железок делать с DMA что-то не то. Какая-нибудь PCI железка типа GPU или вайфая может потенциально попытаться слазить через DMA в совершенно левые адреса. Это может инициировать начинка самой железки, ну там сервисная фирмвара вспомогательного ядра какая-нибудь.
	Ответить | Правка | Наверх | Cообщить модератору

	63. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+3 +/–
	Сообщение от Аноним (63), 24-Янв-23, 13:37
	Как я понимаю iommu разрешает железу менять только разрешенные части оперативной памяти и залезть в память приложений и ядра железо уже не может. Со стороны железа тоже возможны атаки. Я помню что с помощью thunderbolt можно было сдампить и изменять ОЗУ.
	Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

	65. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+2 +/–
	Сообщение от Zenitur (ok), 24-Янв-23, 13:48
	Всем спасибо за ответы. Когда-то в 2013 году я целенаправленно искал материнскую плату с поддержкой IOMMU. Приобрёл ASUS Sabertooth 990FX R2.0. Использовал IOMMU для аппаратной виртуализации и проброса видеокарточки в гостевую винду. Но теперь я в этом не вижу необходимости, когда есть DXVK. Я выключил IOMMU и больше не включал. А в новости пишут, что его рекомендуется включить. Поэтому и спросил, для чего именно... Кстати, в сокет AM3+ вроде как можно вставить AM4-процессор? А какой в данный момент топовый? Я знаю, что для AM3+ таковым является 9590
	Ответить | Правка | Наверх | Cообщить модератору

	68. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+8 +/–
	Сообщение от Аноним (68), 24-Янв-23, 13:58
	> Кстати, в сокет AM3+ вроде как можно вставить AM4-процессор? Ну если найдёте, куда лишние 390 ножек впихнуть, то можно, наверное.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	–3 +/–
	Сообщение от Zenitur (ok), 24-Янв-23, 14:05
	Тогда зачем знак + в названии сокета? Я помню, что AM2+ подразумевал, что в него можно будет вставить AM3-процессор.
	Ответить | Правка | Наверх | Cообщить модератору

	106. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+3 +/–
	Сообщение от Аноним (106), 24-Янв-23, 15:07
	Только маркетинг, ничего личного.
	Ответить | Правка | Наверх | Cообщить модератору

	118. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+2 +/–
	Сообщение от Аноним (118), 24-Янв-23, 15:47
	+ означает, что поддерживаются дополнительные функции по сравнению с версией без + В am3+ есть дополнительные возможности по power saving'у.
	Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

	119. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+1 +/–
	Сообщение от Аноним (68), 24-Янв-23, 15:54
	Если крайне упрощённо, AM3+ — это для FX'ов. И да, та же история, можно вставить в AM3 без плюса, но тут как повезёт.
	Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

	168. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+1 +/–
	Сообщение от Аноним (168), 24-Янв-23, 22:26
	А зачем? Топовые камни там вроде бы должны игры тянуть. Главное память разогнать и чтобы ее хватало. Ну и в линуксе желательно иметь видеокарту с большим объемом памяти. https://m.youtube.com/watch?v=RYOuH92USEg
	Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

	192. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+1 +/–
	Сообщение от Аноним (192), 25-Янв-23, 02:26
	Тоже имел такую доску и 9590 для таких же целей, только был вопрос в начале, почему не работает nested, приходилось его отключать, а когда amd выкатила наконец патч (примерно после выхода уже zen+) я уже поменял железо
	Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

	199. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+1 +/–
	Сообщение от Zenitur (ok), 25-Янв-23, 08:15
	А что за патч?
	Ответить | Правка | Наверх | Cообщить модератору

	216. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+1 +/–
	Сообщение от Аноним (192), 25-Янв-23, 21:29
	Патч решающий проблемы низкой производительности при включённой опции amd nested. В ядрах начинаю помоему с 2021 года включен по умолчанию
	Ответить | Правка | Наверх | Cообщить модератору

	230. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от Аноним (230), 26-Янв-23, 19:50
	> 9590 220 ватт TDP… Звучит, как наличие титула, собственного замка и герба с Печью, мое увОжение!
	Ответить | Правка | К родителю #192 | Наверх | Cообщить модератору

	235. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от Аноним (235), 27-Янв-23, 19:14
	Крематория, не герба?
	Ответить | Правка | Наверх | Cообщить модератору

	103. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+4 +/–
	Сообщение от Аноним (-), 24-Янв-23, 15:01
	Чтобы какой-нибудь GPU или вайфай адаптер не сделал ВНЕЗАПНЫЙ DMA в хрен знает какие адреса фиг знает почему. Ну вот решит какой-то блобик их многочисленных фирмвар что им так хочется - и запрограммит DMA со стороны железки вот так, немного пропатчив кернел операционки в процессе, например. Обычный MMU - со стороны проца, он для железок арбитраж прав доступа к памяти не обеспечивает. А IOMMU это как раз логичное дополнение, обеспечивающее энфорс прав доступа и для железок. Одно из очевидных применений это виртуализация - т.к. кроме всего прочего можно перехыватывать и редиректить доступы, так что для виртуалки все будет выглядеть как будто запрос сработал, хотя его виртуализатор перехватил и оттранслировал адреса как надо. Если этого не сделать, драйвер в VM видит свои адреса, виртуалочные. Которые без задней мысли скормит железкам с DMA и прочему, а поскольку это настоящие железки, они без специальных мер вот именно эти адреса и задействуют. Что там у хоста было по этим адресам - обычно без IOMMU все быстро и жестоко умирает. Однако кроме виртуализации это и просто секурити фича, ловящая явно внеплановые доступы железок в левые регионы памяти. В IOMMU прописывается куда какие железки должны лазить по мнению их дров, а если получилось не это - окей, это заворачивается и вместо этого генерится исключение показывающее что нечто пошло не по плану.
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	222. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от Michael Shigorin (ok), 26-Янв-23, 01:18
	> немного пропатчив кернел операционки в процессе, например Тут даже с ARM было бы чуть спокойнее, не говоря уж про e2k. :D
	Ответить | Правка | Наверх | Cообщить модератору

	228. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от Аноним (228), 26-Янв-23, 19:30
	В ночное? Извините )
	Ответить | Правка | Наверх | Cообщить модератору

	229. "ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной ..."	+/–
	Сообщение от Аноним (228), 26-Янв-23, 19:33
	Михаил, а как в Симплии сделать снимок экрана с меню "Пуск" с двумя пунктами почтовой программы?
	Ответить | Правка | К родителю #222 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема