SecureLinux-Policy

Проверка и безопасное применение настроек Debian и Ubuntu по требованиям ФСТЭК России.

Статус: выпуск 1.0.10. Полное соответствие требованиям ФСТЭК не заявляется.

• Проверяет (CHECK) настройки системы по требованиям документов ФСТЭК; система при этом не меняется.
• Исправляет (APPLY) то, что можно изменить автоматически и безопасно: сначала показывает план (--dry-run), при ошибке возвращает прежнее состояние. Остальное выводит блоком «требуется решение администратора» с готовой подсказкой.
• Отчитывается — таблица в терминале, JSON для автоматизации, журнал применения.

Один файл securelinux-policy.sh, без установки и зависимостей кроме Bash и Python 3 из состава ОС.

Быстрый старт · Что проверяется · Прогресс · Ограничения · Применение изменений · Поддерживаемые системы · Безопасность · Обновление · Состав публикации · Документация

wget https://github.com/rasav65/SecureLinux-Policy/archive/refs/heads/main.tar.gz
tar -xzf main.tar.gz
cd SecureLinux-Policy-main

1. Целостность скрипта

sha256sum -c securelinux-policy.sh.sha256

2. Проверка, без изменений

sudo /bin/bash -p ./securelinux-policy.sh --check

3. Только нарушения

sudo /bin/bash -p ./securelinux-policy.sh --check --failed

4. Что будет изменено

sudo /bin/bash -p ./securelinux-policy.sh --apply --dry-run

5. Применить

sudo /bin/bash -p ./securelinux-policy.sh --apply

6. Нарушения после применения и причины, по которым они оставлены

sudo /bin/bash -p ./securelinux-policy.sh --report

⚠ Перед --apply на рабочем сервере выполните --check и --apply --dry-run и сделайте снимок (snapshot) или резервную копию системы: встроенного отката всех изменений нет.

Запуск только через /bin/bash -p: так сохраняется нужный режим Bash и не требуется права исполнения файла. Подключение через source не поддерживается.

Проверок больше, чем пунктов: пункт с несколькими параметрами проверяется по каждому. «Автоисправление» — проверки, по которым --apply может изменить систему; часть из них в отдельных случаях выводится блоком «требуется решение администратора».

Полный перечень пунктов с формулировками источников — в карте покрытия.

Закрыто 349 из 349 строк индекса (100%). Контролей 86, из них с автоматическим исправлением (APPLY) — 81 (94%).

Строка индекса закрывается контролем (проверка CHECK) или диспозицией — обоснованным решением, что автоматическая проверка хоста к строке не применяется (процессные требования, сетевое оборудование, решения администратора). Проценты показывают охват индекса и не означают полного соответствия требованиям ФСТЭК.

• Закрытая строка индекса — не всегда проверка. Строку источника выполняет либо проверка хоста, либо обоснованное решение, что проверять на хосте нечего: процессные требования организации, сетевое оборудование, Windows, а также СУБД и Samba, которых нет в чистой установке. Скрипт проверяет систему только по строкам, закрытым контролями.
• Автоисправление — не всегда исправление. Часть пунктов по условию выводится блоком «требуется решение администратора» (например, вход по паролю по SSH без ключа у администраторов, fs.suid_dumpable под управлением Apport). Параметры загрузки mitigations, tsx, debugfs автоматически не включаются никогда: они влияют на производительность и отладку.
• Только проверка, без автоисправления: состав правил sudo и права файлов запущенных процессов (решает администратор), свободное место под журнал auditd (разметка диска), пароль старше 90 дней (меняет владелец учётной записи). Запрет входа root по SSH (fstec-linux-2022 2.1.2) выполняет автоисправление fstec-configuration-2026 9.1.
• Вне проекта, хотя применимо к Debian и Ubuntu: межсетевой экран (fstec-configuration-2026 7.3) и правило auditd о записи во всю файловую систему (fstec-configuration-2026 10.5): по замеру журнал за три месяца вырастает до 26–49 GiB.
• Смена пароля от root. Проверки, которые сравнивают новый пароль со старым, при sudo passwd <пользователь> не работают: root не вводит старый пароль. Сложность, длина и история паролей при этом проверяются.
• Вывод на русском языке в кодировке UTF-8: для кириллицы нужен терминал с UTF-8.

--apply изменяет только то, для чего есть проверенный механизм, и для каждого пункта сообщает исход:

Решение администратора требуется, когда автоматическое изменение может нарушить работу системы, например:

• параметры загрузки ядра mitigations, tsx, debugfs — влияют на производительность и отладку;
• запрет входа по паролю по SSH, если ни у одного администратора (группы sudo, admin) нет ключа SSH или есть пользователь, который входит по паролю и не имеет ключа;
• на Ubuntu Desktop — user.max_user_namespaces=0 (кроме запуска с --containers N) и kernel.yama.ptrace_scope=3;
• ограничение su группой wheel, если в группах sudo и admin нет пользователей, кроме root;
• порт Telnet, FTP или SNMP открыт процессом вне известных служб (например, inetd).

Под таблицей --apply показываются и пункты без автоисправления: после применения они проверяются, результат FAIL, ERROR или NOT_FOUND выводится строкой check с причиной. Итоговая строка — TOTAL=<все пункты> APPLY=<с автоисправлением> (<исходы>) CHECK_ONLY=<без автоисправления> (<результаты проверки>) RC=<0|NONZERO>; код выхода --apply определяют только пункты с автоисправлением.

Параметры загрузки ядра вступают в силу после перезагрузки. Отчёт — /var/log/securelinux-policy/report.json, журналы — apply.log и debug.log там же. Одновременный второй запуск отклоняется.

Перед каждым изменением --apply сохраняет прежнее состояние только того, что меняет: копии файлов (files/, перечень — files.tsv), права и владельцев (modes.tsv), значения параметров ядра (runtime.tsv), состояние служб (services.tsv) и выполненные внешние команды (commands.tsv) — в /var/log/securelinux-policy/backup/<время>/. Путь печатается строкой BACKUP=. Отдельной команды отката (--restore) нет: нужные файлы возвращаются из копии вручную, а систему целиком — снимком или резервной копией.

Неполная проверка никогда не превращается в PASS. Коды выхода: --check — 0, если оценка получена (даже при FAIL), 1, если есть ERROR или NOT_FOUND; --apply — 0, если все пункты done или ok, иначе 1; неверные ключи — 2.

Архитектура x86_64.

Каждый механизм применения проверяется на виртуальных машинах этих систем: проверка, применение, перезагрузка, повторная проверка и повторное применение. На Desktop-системе возможны пакеты и настройки, которые проект не учитывает: перед --apply скрипт выводит предупреждение. Подробности — в совместимости.

Kubernetes и Docker используют user namespaces, а fstec-linux-2022 2.5.5 требует user.max_user_namespaces=0. Для хостов, где планируется Kubernetes или Docker, — ключ --containers N (N — целое от 1 до 2147483647, например 10000; требование компании):

• --apply --containers N ставит user.max_user_namespaces=N (файл продукта в /etc/sysctl.d и работающая система), в том числе на Ubuntu Desktop; остальные пункты — как без ключа;
• --check ключа не принимает и сравнивает 2.5.5 с требованием ФСТЭК (= 0): после --apply --containers N пункт 2.5.5 — fail со значением N; это и есть видимое отступление от ФСТЭК;
• без ключа — прежнее поведение: на сервере --apply ставит 0, на Ubuntu Desktop 2.5.5 — блок «требуется решение администратора», значение не меняется.

• user.max_user_namespaces=0 (fstec-linux-2022 2.5.5) и kernel.yama.ptrace_scope=3 (2.6.1) на Desktop не применяются автоматически — блок «требуется решение администратора» (2.5.5 с ключом --containers N — ставится N). После user.max_user_namespaces=0 на Ubuntu 24.04 Desktop перестаёт нормально работать окружение рабочего стола; источник сам оговаривает: настройка не влияет на работу, только если система не использует user namespaces. ptrace_scope=3 до перезагрузки не снижается. На рабочей станции перед --apply обязателен снимок или резервная копия.
• Связка ключей GNOME. Если пароль сменён не самим пользователем, а от root (sudo passwd <пользователь>), пароль связки ключей не меняется: вход может перестать её открывать, и приложения (например, Chrome) будут запрашивать прежний пароль.
• Стек PAM рабочего стола содержит модули, которых нет на сервере (например, pam_gnome_keyring), поэтому часть парольных настроек может выводиться блоком «требуется решение администратора».

• Bash и системные утилиты поддерживаемой ОС.
• /usr/bin/python3 — используется частью проверок и применением.
• Запуск через sudo — для доступа ко всем проверяемым объектам.

• --check только читает систему. Изменяет систему только --apply, и только поддерживаемые пункты.
• Скрипт сам по сети не обращается. --apply при необходимости ставит пакеты auditd, libpam-pwquality, cracklib-runtime, wamerican через apt-get из репозиториев, настроенных в системе.
• Отчёт и журналы --apply хранятся только локально, в /var/log/securelinux-policy/; в них могут быть имена учётных записей и пути к файлам. Копия backup/<время>/ может содержать прежний /etc/shadow с хэшами паролей: каталог доступен только root, удаляйте устаревшие копии сами.
• Перед --apply на рабочем сервере нужен снимок или резервная копия: встроенного отката всех изменений нет.

Скачайте архив заново (раздел Скачать), проверьте целостность и выполните --check. Отчёт --apply предыдущей версии --report не использует, если состав пунктов изменился: выполните --apply новой версии.

Инженерная часть проекта (описания требований, механизмы, генератор скрипта, тесты) в публикацию не входит.

Замечания — через issue по шаблону (см. как сообщить о проблеме): ОС, команда запуска, код выхода, вывод --version и --build-info, фрагмент отчёта. Не публикуйте пароли, ключи и содержимое /etc/shadow.

Об уязвимостях сообщайте закрыто — см. политику безопасности.

Проект распространяется на условиях MIT License.

TOTAL_INDEX_ROWS=349
CONTROLLED_CLOSED_WITH_CONTRACT=54
DISPOSED_CLOSED_ROWS=295
OPEN_INDEX_ROWS=0
CLOSURE_RATIO=349/349
CANONICAL_CONTROLS=86
CLOSURE_CONTRACT_ROWS=54
ADAPTER_KINDS=29
CHECK_TARGET_FAMILY=linux-x86_64-supported-v1
SUPPORTED_ENVIRONMENTS=7
FIELD_COMPATIBILITY_ENVIRONMENTS=1
CHECK_STATUS=RELEASE
CHECK=IMPLEMENTED_READ_ONLY
APPLY=IMPLEMENTED
APPLY_KINDS=adduser-conf-option-v1,auditd-conf-option-v1,auditd-package-service-v1,auditd-rules-v1,config-line-with-runtime-v1,cron-command-paths-write-protection-v1,file-mode-owner-v1,home-directories-mode-v1,home-sensitive-files-mode-v1,kernel-cmdline-grub-v1,local-account-empty-password-lock-v1,local-account-password-aging-v1,login-defs-option-v1,network-service-mask-v1,optional-file-root-files-mode-v1,pam-pwhistory-profile-v1,pam-pwquality-option-v1,pam-wheel-su-v1,sshd-config-option-v1,standard-system-paths-mode-v1,startup-files-write-protection-v1,sudo-root-command-files-protection-v1,suid-sgid-applications-mode-v1,user-cron-files-mode-v1
APPLY_CONTROL_COUNT=81
APPLY_IMPLEMENTATION_COUNT=24
RESTORE=NOT_PLANNED
ROLLBACK_MODEL=EXTERNAL_SNAPSHOT
FULL_FSTEC_COMPLIANCE_CLAIM=false