awesome-security-hardening

Подборка отличных руководств по усилению безопасности, лучших практик, чек-листов, бенчмарков, инструментов и других ресурсов. Это работа в процессе: пожалуйста, внесите свой вклад, отправив свои предложения. Вы можете сделать это, создав тикеты, или сделав форк, отредактировав и отправив pull request. Вы также можете отправлять предложения в Twitter @decalage2 или использовать https://www.decalage.info/contact

---

Оглавление

• Руководства по усилению безопасности и лучшие практики
  • Подборки руководств по усилению
  • GNU/Linux
    • Red Hat Enterprise Linux - RHEL
    • CentOS
    • SUSE
    • Ubuntu
  • Windows
  • macOS
  • Сетевые устройства
    • Коммутаторы
    • Маршрутизаторы
    • IPv6
    • Межсетевые экраны
  • Виртуализация - VMware
  • Контейнеры - Docker - Kubernetes
  • Сервисы
    • SSH
    • TLS/SSL
    • Веб-серверы
      • Apache HTTP Server
      • Apache Tomcat
      • Eclipse Jetty
      • Microsoft IIS
    • Почтовые серверы
    • FTP-серверы
    • Серверы баз данных
    • Active Directory
    • ADFS
    • Kerberos
    • LDAP
    • DNS
    • NTP
    • NFS
    • CUPS
  • Аутентификация - Пароли
  • Оборудование - CPU - BIOS - UEFI
  • Облако
• Инструменты
  • Инструменты для проверки усиления безопасности
    • GNU/Linux
    • Windows
    • Сетевые устройства
    • TLS/SSL
    • SSH
    • Оборудование - CPU - BIOS - UEFI
    • Docker
    • Облако
    • DNS
  • Инструменты для применения усиления безопасности
    • GNU/Linux
    • Windows
    • TLS/SSL
    • Облако
  • Генераторы паролей
• Книги
• Другие подборки Awesome
  • Другие подборки Awesome по безопасности

---

Руководства по усилению безопасности и лучшие практики

Подборки руководств по усилению

• CIS Benchmarks (требуется регистрация)
• Руководства ANSSI
• Консультации и рекомендации NSA по кибербезопасности
• Ресурсы NSA по кибербезопасности для специалистов в области кибербезопасности и публикации NSA по кибербезопасности
• Руководства DISA Министерства обороны США по технической реализации мер безопасности (STIG) и требованиям безопасности (SRG)
• Политики безопасности OpenSCAP
• Публикации Австралийского центра кибербезопасности
• Библиотека руководств по лучшим практикам FIRST (BPGL)
• Harden the World - подборка руководств по усилению безопасности для устройств, приложений и ОС (пока в основном Apple).

GNU/Linux

• ANSSI - Рекомендации по настройке системы GNU/Linux - версия 2.0, 2022
• CIS Benchmark для дистрибутив-независимого Linux - 2019, архивная копия
• trimstray - The Practical Linux Hardening Guide - практические пошаговые инструкции по созданию собственных усиленных систем и сервисов. Протестировано на CentOS 7 и RHEL 7.
• trimstray - Linux Hardening Checklist - наиболее важные правила усиления безопасности для систем GNU/Linux (краткая версия The Practical Linux Hardening Guide)
• How To Secure A Linux Server - для одного Linux-сервера дома
• nixCraft - 40 советов по усилению безопасности Linux-серверов (издание 2019 года)
• nixCraft - Советы по защите физического консольного доступа к Linux-серверам
• TecMint - 4 способа отключить учётную запись root в Linux
• ERNW - Руководство по усилению IPv6 для Linux-серверов
• trimstray - Iptables Essentials: Common Firewall Rules and Commands
• Neo23x0/auditd - конфигурация auditd по лучшим практикам
• CIRCL TR-83 - Руководство по усилению безопасности загрузки Linux - как защитить последовательность загрузки вашего дистрибутива на основе Linux (2024)

Red Hat Enterprise Linux - RHEL

• Red Hat - Руководство по защите Red Hat Enterprise Linux 7
• DISA STIG - Red Hat Enterprise Linux 7 (2019)
• CIS Benchmark для Red Hat Linux
• nixCraft - Как настроить межсетевой экран с помощью FirewallD на RHEL 8

CentOS

• Lisenet - Руководство по усилению безопасности сервера CentOS 7 (2017)
• HighOn.Coffee - Усиление безопасности CentOS 7 (2015)

SUSE

• Руководство по безопасности SUSE Linux Enterprise Server 12 SP4
• Руководство по безопасности и усилению SUSE Linux Enterprise Server 12

Ubuntu

• Документация Ubuntu - Безопасность
• Вики Ubuntu - Функции усиления безопасности

Windows

• Microsoft - Базовые конфигурации безопасности Windows
• Microsoft - Безопасность Windows Server | Assurance
• Microsoft - Безопасность Windows 10 Enterprise
• BSI/ERNW - Рекомендации по конфигурации для усиления безопасности Windows 10 с использованием встроенных функций (2021) - ориентировано на Windows 10 LTSC 2019
• ACSC - Усиление безопасности рабочих станций Microsoft Windows 10, версия 21H1
• ACSC - Защита PowerShell на уровне предприятия
• Awesome Windows Domain Hardening
• Microsoft - Как обнаружить, включить и отключить SMBv1, SMBv2 и SMBv3 в Windows и Windows Server
• Рекомендуемые правила блокировки Microsoft - список приложений или файлов, которые злоумышленник может использовать для обхода политик белых списков приложений
• ERNW - Руководство по усилению IPv6 для Windows Server
• NSA - AppLocker Guidance - рекомендации по настройке внесения приложений в белый список с помощью AppLocker
• NSA - Pass the Hash Guidance - рекомендации по настройке мер противодействия Pass-the-Hash (архивировано)
• NSA - BitLocker Guidance - рекомендации по настройке шифрования диска с помощью BitLocker
• NSA - Event Forwarding Guidance - рекомендации по настройке сбора событий журнала Windows, значимых для безопасности, с помощью Windows Event Forwarding

См. также разделы Active Directory и ADFS ниже.

macOS

• ERNW - Руководство по усилению IPv6 для OS-X

Сетевые устройства

• NSA - Усиление сетевых устройств (PDF) - очень краткая, но хорошая сводка

Коммутаторы

• DISA - SRG для коммутаторов уровня 2, v2r1

Маршрутизаторы

• NSA - Руководство по лучшим практикам протокола Border Gateway Protocol (BGP)

IPv6

• NSA - Рекомендации по безопасности IPv6 (январь 2023 г.)
• ERNW - Разработка корпоративной стратегии безопасности IPv6 Часть 1, Часть 2, Часть 3, Часть 4 - сетевая изоляция на уровне маршрутизации, фильтрация трафика в сетях IPv6
• см. также ссылки по IPv6 в разделах GNU/Linux, Windows и macOS

Межсетевые экраны

• NIST SP 800-41, редакция 1 - Рекомендации по межсетевым экранам и политике межсетевых экранов (2009)
• trimstray - Iptables Essentials: Common Firewall Rules and Commands

Виртуализация - VMware

• Руководства VMware по усилению безопасности - охватывают большинство продуктов и версий VMware
• CIS Benchmark для VMware ESXi 6.5 (2018)
• DISA STIG - Виртуализация - VMware vSphere 6.0 и 5
• ENISA - Аспекты безопасности виртуализации - общие высокоуровневые лучшие практики для виртуализации и контейнеров (февраль 2017 г.)
• NIST SP 800-125 - Руководство по безопасности технологий полной виртуализации - (2011)
• NIST SP 800-125A, редакция 1 - Рекомендации по безопасности для серверных платформ гипервизоров (2018)
• NIST SP 800-125B - Безопасная конфигурация виртуальной сети для защиты виртуальных машин (ВМ) (2016)
• ANSSI - Рекомендации по безопасности для архитектур на основе VMware vSphere ESXi - для VMware 5.5 (2016), на французском языке
• ANSSI - Защита инфраструктуры VMware (2026)
• VMware - Защита vSphere от специализированных вредоносных программ (2022) - см. также Mandiant - «Плохие» VIB(E), часть вторая: обнаружение и усиление защиты в гипервизорах ESXi

Контейнеры - Docker - Kubernetes

• Как усилить безопасность ваших Docker-контейнеров
• CIS Benchmarks для Docker - требуется регистрация
• NIST SP 800-190 - Руководство по безопасности контейнеров приложений
• Практическое введение в безопасность контейнеров
• ANSSI - Рекомендации по безопасности при развёртывании контейнеров Docker (2020), на французском языке
• Контрольный список безопасности Kubernetes
• Рекомендации по ролевому управлению доступом (RBAC) в Kubernetes
• Мультитенантность Kubernetes
• Блог Kubernetes - Подробный разбор рекомендаций NSA/CISA по усилению безопасности Kubernetes
• ReynardSec - Безопасность Docker – пошаговое усиление (Docker Hardening) (2023)

Сервисы

SSH

• NIST IR 7966 - Безопасность управления интерактивным и автоматизированным доступом с использованием Secure Shell (SSH)
• ANSSI - Рекомендации по безопасному использованию (Open)SSH
• Linux Audit - Безопасность и усиление OpenSSH
• Руководства Positron Security по усилению SSH (2017-2018) - с фокусом на криптографических алгоритмах
• stribika - Secure Secure Shell (2015) - некоторые рекомендации по алгоритмам могут быть слегка устаревшими
• Applied Crypto Hardening: bettercrypto.org - удобный справочник по настройке криптографических параметров наиболее распространённых сервисов (TLS/SSL, PGP, SSH и других криптографических инструментов)
• IETF - Обновления методов обмена ключами (KEX) и рекомендации для Secure Shell (SSH) draft-ietf-curdle-ssh-kex-sha2-10 - обновление рекомендуемого набора методов обмена ключами для использования в протоколе Secure Shell (SSH) с целью удовлетворения растущих потребностей в более надёжной безопасности. Этот документ обновляет RFC 4250.
• Gravitational - Как правильно использовать SSH - как настроить SSH на использование сертификатов и двухфакторной аутентификации

TLS/SSL

• NIST SP800-52, редакция 2 (второй проект) - Рекомендации по выбору, настройке и использованию реализаций Transport Layer Security (TLS) - 2018, рекомендует TLS 1.3
• NCSC Нидерландов - Рекомендации по ИТ-безопасности для Transport Layer Security (TLS) - 2021
• ANSSI - Рекомендации по безопасности для TLS - 2017, не охватывает TLS 1.3
• Qualys SSL Labs - Лучшие практики развёртывания SSL и TLS - 2017, не охватывает TLS 1.3
• RFC 7540, Приложение A - Чёрный список наборов шифров TLS 1.2
• Applied Crypto Hardening: bettercrypto.org - удобный справочник по настройке криптографических параметров наиболее распространённых сервисов (TLS/SSL, PGP, SSH и других криптографических инструментов)

Веб-серверы

• Cipherlist.eu - Надёжные шифры для Apache, nginx и Lighttpd

Apache HTTP Server

• Документация Apache HTTP Server - Советы по безопасности
• GeekFlare - Руководство по усилению безопасности и защите веб-сервера Apache
• Apache Config - Руководство по усилению безопасности Apache

Apache Tomcat

• Apache Tomcat 9: вопросы безопасности / v8 / v7
• OWASP - Защита tomcat
• Как заставить Tomcat 9 работать с authbind для привязки к порту 80

Eclipse Jetty

• Eclipse Jetty - Настройка безопасности
• Усиление безопасности Jetty (2015)

Microsoft IIS

• CIS Benchmarks для Microsoft IIS

Почтовые серверы

• MDaemon - 15 лучших практик защиты вашей электронной почты - общие рекомендации, но на основе MDaemon Security Gateway для почтовых серверов

FTP-серверы

• JSCAPE - Руководство по защите FTP - общие рекомендации, но на основе JSCAPE MFT Server

Серверы баз данных

• Netwrix - Лучшие практики усиления MS SQL Server

Active Directory- Microsoft — Рекомендации по обеспечению безопасности Active Directory

• ANSSI CERT-FR — Контрольный список оценки безопасности Active Directory — другая версия с журналом изменений — 2022 (версии на английском и французском языках)
• «Admin Free» Active Directory и Windows, часть 1. Понимание привилегированных групп в AD
• «Admin Free» Active Directory и Windows, часть 2. Защищённые учётные записи и группы в Active Directory
• ASD — Обнаружение и устранение последствий компрометации Active Directory — 2024

ADFS

• adsecurity.org — Обеспечение безопасности Microsoft Active Directory Federation Server (ADFS)
• Microsoft — Рекомендации по обеспечению безопасности служб федерации Active Directory

Kerberos

• CIS MIT Kerberos 1.10 Benchmark — 2012

LDAP

• Руководство администратора OpenLDAP Software 2.4 — Вопросы безопасности OpenLDAP
• Лучшие практики обеспечения безопасности LDAP (2011)
• LDAP: укрепление безопасности сервера (чтобы администраторы могли спать по ночам)
• Лучшие практики аутентификации LDAP — взято из web.archive.org
• Укрепление OpenLDAP на Linux с помощью AppArmor и systemd — слайды
• zytrax LDAP for Rocket Scientists — Безопасность LDAP
• Как зашифровать соединения OpenLDAP с помощью STARTTLS

DNS

• CIS — BIND DNS Server 9.9 Benchmark (2017)
• DISA STIGs — BIND 9.x (2019)
• NIST SP 800-81-2 — Руководство по безопасному развёртыванию системы доменных имён (DNS) (2013)
• CMU SEI — Шесть лучших практик обеспечения безопасности надёжной инфраструктуры системы доменных имён (DNS)
• NSA — Безопасность DNS в BIND 9 (2011)

NTP

• IETF — Наилучшие текущие практики протокола сетевого времени draft-ietf-ntp-bcp (последний черновик №13, март 2019)
• CMU SEI — Лучшие практики для служб NTP
• Linux.com — Успей вовремя с NTP — часть 2: параметры безопасности
• Linux.com — Успей вовремя с NTP — часть 3: безопасная настройка

NFS

• Linux NFS-HOWTO — Безопасность и NFS — хороший обзор проблем безопасности NFS и некоторых мер по их устранению
• Red Hat — Руководство по обеспечению безопасности Red Hat Enterprise Linux 7 — Безопасность NFS
• Red Hat — Руководство по администрированию хранилищ RHEL7 — Безопасность NFS
• NFSv4 без Kerberos и прав доступа — почему NFSv4 без Kerberos не обеспечивает безопасность
• CertDepot — RHEL7: используйте Kerberos для управления доступом к сетевым ресурсам NFS

CUPS

• Безопасность сервера CUPS

Аутентификация — пароли

• UK NCSC — Управление паролями для владельцев систем
• NIST SP 800-63 — Рекомендации по цифровой идентификации
• OWASP — Шпаргалка по хранению паролей
• ANSSI — Рекомендации по многофакторной аутентификации и паролям (2021, на французском языке)

Оборудование — CPU — BIOS — UEFI

• ANSSI — Требования к аппаратной безопасности для платформ x86 — рекомендации по функциям безопасности и параметрам конфигурации, применимым к аппаратным устройствам (CPU, BIOS, UEFI и т. д.) (ноябрь 2019)
• NSA — Руководство по безопасности аппаратного обеспечения и прошивок — рекомендации по уязвимостям Spectre, Meltdown, Speculative Store Bypass, Rogue System Register Read, Lazy FP State Restore, Bounds Check Bypass Store, TLBleed и L1TF/Foreshadow, а также общие рекомендации по безопасности аппаратного обеспечения и прошивок.
• Информационный бюллетень NSA: Краткое руководство по блокировке UEFI (март 2018)
• Технический отчёт NSA: Руководство по защитным практикам UEFI (июль 2017)

Облако

• Информационный бюллетень NSA: Основы облачной безопасности (август 2018)
• DISA DoD — Безопасность облачных вычислений
• asecure.cloud — Создайте безопасное облако — бесплатный репозиторий настраиваемых конфигураций безопасности AWS и лучших практик

Инструменты

Инструменты для проверки укрепления безопасности

• Chef InSpec — фреймворк для тестирования с открытым исходным кодом от Chef, который позволяет задавать требования соответствия, безопасности и другие требования политик. Может работать на Windows и многих дистрибутивах Linux.

GNU/Linux

• Lynis — скрипт для проверки конфигурации Linux-хостов
• OpenSCAP Base — инструмент командной строки oscap
• SCAP Workbench — графический интерфейс для oscap
• Tiger — инструмент аудита безопасности и обнаружения вторжений для Unix (может быть устаревшим)
• otseca — инструмент аудита безопасности с открытым исходным кодом для поиска и выгрузки системной конфигурации. Позволяет создавать отчёты в форматах HTML или RAW-HTML.
• SUDO_KILLER — инструмент для выявления ошибок конфигурации правил sudo и уязвимостей в sudo
• CIS Benchmarks Audit — bash-скрипт, выполняющий проверки вашей системы CentOS, чтобы показать, соответствует ли работающий сервер рекомендациям CIS v2.2.0 Benchmarks для CentOS (пока только CentOS 7)
• CIS Debian Hardening — модульные скрипты укрепления безопасности Debian 11/12/13, основанные на рекомендациях CIS Benchmarks.
• VPS Security Audit Script — комплексный bash-скрипт для аудита безопасности и производительности вашего VPS (виртуального частного сервера)

Windows

• Microsoft Security Compliance Toolkit 1.0 — набор инструментов, позволяющий администраторам безопасности предприятия загружать, анализировать, тестировать, редактировать и хранить рекомендуемые Microsoft базовые конфигурации безопасности для Windows и других продуктов Microsoft
• Microsoft DSC Environment Analyzer (DSCEA) — простая реализация PowerShell Desired State Configuration, которая использует декларативную природу DSC для проверки систем на базе Windows OS в среде на соответствие заданному эталонному MOF-файлу и формирует отчёты о соответствии систем требуемой конфигурации
• HardeningAuditor — скрипты для сравнения соответствия Microsoft Windows австралийским руководствам по укреплению безопасности ASD 1709 и Office 2016
• PingCastle — инструмент для проверки безопасности Active Directory
• MDE-AuditCheck — инструмент для проверки корректности настройки параметров аудита Windows в GPO для Microsoft Defender for Endpoint

Сетевые устройства

• Nipper-ng — для проверки конфигурации сетевых устройств (похоже, больше не обновляется)

TLS/SSL

• Qualys SSL Labs — Список инструментов для оценки TLS/SSL-серверов и клиентов
• CryptoLyzer — быстрый, гибкий и комплексный анализатор криптографических протоколов сервера (TLS, SSL, SSH, DNSSEC) и связанных настроек (HTTP-заголовки, DNS-записи), а также генератор отпечатков (JA3, HASSH tag) с Python API и CLI.
• SSLyze — быстрая и мощная библиотека для сканирования SSL/TLS.
• testssl.sh — проверка TLS/SSL-шифрования где угодно на любом порту

SSH

• CryptoLyzer — быстрый, гибкий и комплексный анализатор криптографических протоколов сервера (TLS, SSL, SSH, DNSSEC) и связанных настроек (HTTP-заголовки, DNS-записи), а также генератор отпечатков (JA3, HASSH tag) с Python API и CLI.
• ssh-audit — аудит SSH-серверов (баннер, обмен ключами, шифрование, MAC, сжатие, совместимость, безопасность и т. д.)

Оборудование — CPU — BIOS — UEFI

• CHIPSEC: Platform Security Assessment Framework — фреймворк для анализа безопасности PC-платформ, включая аппаратное обеспечение, системную прошивку (BIOS/UEFI) и компоненты платформы
• chipsec-check — инструменты для создания дистрибутива Debian Linux с chipsec для проверки аппаратных требований

Docker

• Docker Bench for Security — скрипт, проверяющий десятки распространённых лучших практик развёртывания Docker-контейнеров в производственной среде, вдохновлённый CIS Docker Community Edition Benchmark v1.1.0.

Облако

• toniblyx/my-arsenal-of-aws-security-tools — список инструментов с открытым исходным кодом для безопасности AWS: защитные, наступательные, аудиторские, DFIR и т. д.

DNS

• IntoDNS.ai — бесплатный сканер безопасности DNS и электронной почты. Проверяет конфигурацию SPF, DKIM, DMARC, DNSSEC, BIMI, MTA-STS и предоставляет рекомендации по исправлению на основе ИИ.

Инструменты для применения укрепления безопасности

• DevSec Hardening Framework — фреймворк для автоматизации укрепления ОС и приложений с использованием Chef, Ansible и Puppet

GNU/Linux

• Linux Server Hardener — для Debian/Ubuntu (2019)
• Bastille Linux — устаревший

Windows

• Microsoft Security Compliance Toolkit 1.0 — набор инструментов, позволяющий администраторам безопасности предприятия загружать, анализировать, тестировать, редактировать и хранить рекомендуемые Microsoft базовые конфигурации безопасности для Windows и других продуктов Microsoft
• Hardentools — для отдельных пользователей Windows из группы риска (не корпоративных сред), которые хотят получить дополнительный уровень безопасности в ущерб некоторому удобству использования.
• Windows 10 Hardening — коллективный ресурс изменений настроек (в основном отключающих), призванных сделать Windows 10 максимально приватной и безопасной.
• Disassembler0 Windows 10 Initial Setup Script — PowerShell-скрипт для автоматизации рутинных задач после чистой установки Windows 10 / Server 2016 / Server 2019
• Automated-AD-Setup — PowerShell-скрипт, который позволяет развернуть полностью настроенный домен менее чем за 10 минут, а также применяет конфигурацию безопасности и укрепление
• mackwage/windows_hardening.cmd — скрипт для выполнения некоторого укрепления Windows 10
• Windows 10/11 Hardening Script by ZephrFish — PowerShell-скрипт для укрепления Windows 10/11

TLS/SSL

• Mozilla SSL Configuration Generator

Облако

• toniblyx/my-arsenal-of-aws-security-tools — список инструментов с открытым исходным кодом для безопасности AWS: защитные, наступательные, аудиторские, DFIR и т. д.

Генераторы паролей

• How-To Geek — 10 способов сгенерировать случайный пароль из командной строки Linux
• Vitux — 8 способов сгенерировать случайный пароль в оболочке Linux
• SS64 — Безопасность паролей и сравнение генераторов паролей

Книги

Другие списки Awesome

• Awesome Cybersecurity Blue Team — тщательно подобранная коллекция отличных ресурсов, инструментов и других полезных вещей для синих команд (blue teams) в сфере кибербезопасности.

Другие списки Awesome по безопасности

(позаимствовано из Awesome Security)

• Awesome Security — коллекция отличного программного обеспечения, библиотек, документов, книг, ресурсов и других полезных материалов о безопасности.
• Android Security Awesome — коллекция ресурсов, связанных с безопасностью Android.
• Awesome CTF — тщательно подобранный список CTF-фреймворков, библиотек, ресурсов и программного обеспечения.
• Awesome Cyber Skills — тщательно подобранный список хакерских сред, где можно легально и безопасно тренировать свои кибернавыки.
• Awesome Hacking — тщательно подобранный список отличных руководств, инструментов и ресурсов по хакингу.
• Awesome Honeypots — отличный список ресурсов о honeypot.
• Awesome Malware Analysis — тщательно подобранный список отличных инструментов и ресурсов для анализа вредоносного ПО.
• Awesome PCAP Tools — коллекция инструментов, разработанных исследователями в области компьютерных наук для обработки сетевых трасс.
• Awesome Pentest — коллекция отличных ресурсов, инструментов и других полезных вещей для тестирования на проникновение.
• Awesome Linux Containers — тщательно подобранный список отличных фреймворков, библиотек и программного обеспечения для Linux-контейнеров.
• Awesome Incident Response — тщательно подобранный список ресурсов для реагирования на инциденты.
• Awesome Web Hacking — этот список для всех, кто хочет изучать безопасность веб-приложений, но не знает, с чего начать.
• Awesome Threat Intelligence — тщательно подобранный список ресурсов по анализу угроз (threat intelligence).
• Awesome Pentest Cheat Sheets — коллекция шпаргалок, полезных для пентестинга.