Ограничение прав доступа к файлам и каталогам
Ограничение прав доступа к файлам и каталогам предполагает настройку средств контроля доступа на уровне файловой системы для ограничения круга пользователей, групп или процессов, которым разрешено читать, записывать или выполнять файлы. Правильная настройка прав доступа позволяет сократить поверхность атаки для злоумышленников, пытающихся получить доступ к чувствительным данным, разместить вредоносный код или изменить системные файлы. Применение принципа наименьших привилегий: - Удаляйте лишние права на запись для чувствительных файлов и каталогов. - Используйте владельцев файлов и группы для управления доступом в рамках конкретных ролей. Пример (Windows): щёлкните правой кнопкой мыши по общей папке → Свойства → вкладка Безопасность → настройте разрешения для NTFS ACL. Усиление защиты файловых ресурсов: - Отключайте анонимный доступ к общим папкам. - Применяйте разрешения NTFS для общих папок на Windows. Пример: устанавливайте разрешения для ограничения права на запись в критически важные файлы, например системные исполняемые файлы (`/bin` или `/sbin` в Linux). Используйте инструменты `chown` и `chmod` для назначения владельцев файлов и ограничения доступа. В Linux применяйте: `chmod 750 /etc/sensitive.conf` `chown root:admin /etc/sensitive.conf` Мониторинг целостности файлов (FIM): - Используйте инструменты Tripwire, Wazuh или OSSEC для мониторинга изменений критических прав доступа к файлам. Аудит доступа к файловой системе: - Включайте аудит для отслеживания изменений прав доступа или несанкционированных попыток доступа. - Используйте auditd (Linux) или просмотрщик событий (Windows) для регистрации действий. Ограничение каталогов автозапуска: - Настраивайте права доступа для предотвращения несанкционированной записи в каталоги, такие как `C:\ProgramData\Microsoft\Windows\Start Menu`. Пример: ограничьте права на запись в критически важные каталоги `/etc/`, `/usr/local/` и каталоги Windows, такие как `C:\Windows\System32`. - В Windows используйте icacls для изменения прав: `icacls "C:\Windows\System32" /inheritance:r /grant:r SYSTEM:(OI)(CI)F` - В Linux контролируйте права с помощью инструментов `lsattr` или `auditd`.