SHH (Systemd Hardening Helper)

Durcissement automatique des services systemd guidé par le profilage strace.

SHH peut générer un ensemble optimal d'options de durcissement pour chacun de vos services, afin d'élever le niveau de sécurité de votre système sans craindre des erreurs aléatoires en production causées par un sandboxing trop restrictif.

Dépôt officiel - Dépôt miroir

Documentation

Introduction de haut niveau : Systemd hardening made easy with SHH
FAQ
Changelog
Options systemd actuellement prises en charge

Installation

Dépendances

Strace doit être installé et son exécutable accessible dans PATH. Une version de Strace >= 6.6 est actuellement requise.

Depuis les sources

Vous avez besoin d'un environnement de compilation Rust, par exemple via rustup.

Exécutez dans le dépôt courant :

cargo build --release
install -Dm 755 -t /usr/local/bin target/release/shh

Depuis `crates.io`

sudo cargo install --root /usr/local systemd-hardening-helper

Debian (ou distribution basée sur Debian)

Consultez les versions GitHub pour les paquets Debian construits pour chaque version taguée.

Arch Linux

Les utilisateurs d'Arch Linux peuvent installer le paquet AUR shh.

Nixpkgs

Les utilisateurs de Nixos/Nix peuvent installer le dernier paquet depuis la branche instable.

Utilisation

Durcissement d'un service

Pour durcir une unité système nommée SERVICE.service :

Démarrez le profilage du service : shh service start-profile SERVICE. Le service sera redémarré avec le profilage strace.
Utilisez le service normalement pendant un certain temps, en essayant de couvrir autant de fonctionnalités et de cas d'utilisation que possible.
Exécutez shh service finish-profile SERVICE -a. Le service sera redémarré avec une configuration durcie construite à partir du profilage d'exécution précédent, afin de lui permettre de fonctionner en toute sécurité comme observé pendant la période de profilage, et de refuser d'autres actions système dangereuses.

Exécutez shh -h pour la référence complète de la ligne de commande, ou ajoutez -h à une sous-commande pour obtenir de l'aide.

[!WARNING] Les options de durcissement générées par shh ne sont par construction pas portables entre différents systèmes. Elles dépendent de nombreux facteurs et peuvent casser le service si l'un d'entre eux change :

le chemin de code couvert pendant le profilage

la version du noyau Linux

la libc utilisée

la version de systemd

Réutiliser les options générées par shh sur un système avec un environnement différent (par exemple une distribution Linux différente) risque très probablement de casser le service.

Test local

Si vous souhaitez exécuter un test rapide pour voir quelles options seraient générées, vous pouvez utiliser shh run -- COMMANDE.

Le répertoire courant et la variable d'environnement PATH influencent tous deux l'exécution du programme ; réinitialisez-les d'abord :

$ cd /
export PATH=/usr/local/bin:/usr/bin:/bin

Ensuite, pour voir quelles options seraient générées pour un appel curl https://www.example.com :

$ shh run -- curl https://www.example.com
...
-------- Début des options de service suggérées --------
ProtectSystem=strict
ProtectHome=true
PrivateTmp=disconnected
PrivateDevices=true
ProtectKernelTunables=true
ProtectKernelModules=true
ProtectKernelLogs=true
ProtectControlGroups=true
ProtectProc=ptraceable
LockPersonality=true
RestrictRealtime=true
ProtectClock=true
MemoryDenyWriteExecute=true
RestrictAddressFamilies=AF_INET AF_INET6 AF_NETLINK AF_UNIX
SocketBindDeny=ipv4:tcp
SocketBindDeny=ipv4:udp
SocketBindDeny=ipv6:tcp
SocketBindDeny=ipv6:udp
CapabilityBoundingSet=~CAP_BLOCK_SUSPEND CAP_BPF CAP_CHOWN CAP_MKNOD CAP_NET_RAW CAP_PERFMON CAP_SYS_BOOT CAP_SYS_CHROOT CAP_SYS_MODULE CAP_SYS_NICE CAP_SYS_PACCT CAP_SYS_PTRACE CAP_SYS_TIME CAP_SYSLOG CAP_WAKE_ALARM
SystemCallFilter=~@aio:EPERM @chown:EPERM @clock:EPERM @cpu-emulation:EPERM @debug:EPERM @ipc:EPERM @keyring:EPERM @memlock:EPERM @module:EPERM @mount:EPERM @obsolete:EPERM @pkey:EPERM @privileged:EPERM @raw-io:EPERM @reboot:EPERM @resources:EPERM @sandbox:EPERM @setuid:EPERM @swap:EPERM @sync:EPERM @timer:EPERM
-------- Fin des options de service suggérées --------

Ou pour sandboxer autant que possible :

$ shh run --mode aggressive --filesystem-whitelisting --network-firewalling -- curl https://www.example.com -o /dev/null
...
-------- Début des options de service suggérées --------
ProtectSystem=strict
ProtectHome=true
PrivateTmp=disconnected
PrivateDevices=true
ProtectKernelTunables=true
ProtectKernelModules=true
ProtectKernelLogs=true
ProtectControlGroups=true
ProtectProc=ptraceable
LockPersonality=true
RestrictRealtime=true
ProtectClock=true
MemoryDenyWriteExecute=true
SystemCallArchitectures=native
ReadOnlyPaths=-/
ReadWritePaths=-/dev
InaccessiblePaths=-/boot -/home -/lost+found -/media -/mnt -/opt -/root -/srv -/sys -/tmp -/var
TemporaryFileSystem=/usr:ro
BindReadOnlyPaths=-/usr/bin -/usr/lib -/usr/lib64 -/usr/local -/usr/share
NoExecPaths=-/
ExecPaths=-/usr/bin/curl -/usr/lib/x86_64-linux-gnu
RestrictAddressFamilies=AF_INET AF_INET6 AF_NETLINK AF_UNIX
SocketBindDeny=ipv4:tcp
SocketBindDeny=ipv4:udp
SocketBindDeny=ipv6:tcp
SocketBindDeny=ipv6:udp
IPAddressDeny=any
IPAddressAllow=[redacted]
CapabilityBoundingSet=~CAP_BLOCK_SUSPEND CAP_BPF CAP_CHOWN CAP_MKNOD CAP_NET_RAW CAP_PERFMON CAP_SYS_BOOT CAP_SYS_CHROOT CAP_SYS_MODULE CAP_SYS_NICE CAP_SYS_PACCT CAP_SYS_PTRACE CAP_SYS_TIME CAP_SYSLOG CAP_WAKE_ALARM
SystemCallFilter=~@aio:EPERM @chown:EPERM @clock:EPERM @cpu-emulation:EPERM @debug:EPERM @ipc:EPERM @keyring:EPERM @memlock:EPERM @module:EPERM @mount:EPERM @obsolete:EPERM @pkey:EPERM @privileged:EPERM @raw-io:EPERM @reboot:EPERM @resources:EPERM @sandbox:EPERM @setuid:EPERM @swap:EPERM @sync:EPERM @timer:EPERM
-------- Fin des options de service suggérées --------

Licence

GPLv3

shh

Populaires