Настройка запрета на доступ в сеть для модуля Обезвреживание содержимого сообщений

Для минимизации рисков безопасности рекомендуется запретить модулю Обезвреживание содержимого сообщений доступ в сеть. Это предотвратит потенциальные атаки на хосты вашей организации в случае компрометации модуля. Для настройки запрета на доступ в сеть необходимо использовать стандартный брандмауэр операционной системы.

В этом разделе содержатся инструкции по настройке запрета на доступ в сеть для различных брандмауэров.

Для настройки запрета на доступ в сеть рекомендуется использовать nftables, если вы не используете иные брандмауэры.

Если на сервере установлено приложение Kaspersky Endpoint Security for Linux версии 12.1 и 12.2, настройку запрета требуется производить с использованием nftables.

Настройка запрета с использованием nftables

Чтобы настроить запрет на доступ в сеть с использованием nftables:

1. Установите пакет nftables, если он не установлен.
2. Включите автоматический запуск службы nftables при каждой загрузке операционной системы, выполнив команду:

   systemctl enable nftables.service

3. Включите nfttables, выполнив команду:

   systemctl start nftables.service

4. Создайте новую таблицу, выполнив команду

   nft add table netdev klsbuser-prohibit

5. Получите список сетевых интерфейсов любым удобным способом, например выполнив команду:

   ip link show

6. Сохраните полученный список интерфейсов для дальнейшего использования.
7. Выполните следующие команды для каждого сетевого интерфейса из полученного списка:

   nft create chain netdev klsbuser-prohibit "<имя интерфейса>-egress" \{ type filter hook egress device "<имя интерфейса>" priority filter \; \}

   nft add rule netdev klsbuser-prohibit "<имя интерфейса>-egress" meta skuid klsbuser drop

   nft create chain netdev klsbuser-prohibit "<имя интерфейса>-ingress" \{ type filter hook ingress device "<имя интерфейса>" priority filter \; \}

   nft add rule netdev klsbuser-prohibit "<имя интерфейса>-ingress" meta skuid klsbuser drop

8. Выполните команду:

   nft list table netdev klsbuser-prohibit

9. Добавьте вывод команды из предыдущего пункта в файл конфигурации nftables.conf.

   Местоположение файла конфигурации nftables.conf может отличаться в зависимости от дистрибутива, например: /etc/sysconfig/nftables.conf или /etc/nftables.conf.

Чтобы отменить запрет на доступ в сеть с использованием nftables:

1. Выполните следующую команду от имени пользователя root:

   nft delete table netdev klsbuser-prohibit

2. В файле конфигурации nftables.conf удалите запись о klsbuser-prohibit.

Настройка запрета с использованием iptables

Чтобы настроить запрет на доступ в сеть с использованием iptables:

1. Выполните следующие команды от имени пользователя root:

   iptables -I OUTPUT -m owner --uid-owner klsbuser -j REJECT

   ip6tables -I OUTPUT -m owner --uid-owner klsbuser -j REJECT

2. Настройте сохранение правил c закреплением в системе (persistence):
   • В операционных системах Ubuntu и Debian выполните следующие команды:
     1. Установите пакет iptables-persistent.
     2. Проверьте статус службы netfilter-persistent с помощью команды:

        systemctl status netfilter-persistent

        Статус должен быть active и enabled.

     3. Выполните команды:

        iptables-save > /etc/iptables/rules.v4

        ip6tables-save > /etc/iptables/rules.v6

   • В операционных системах Rocky Linux, Red Hat Enterprise Linux, Platform V SberLinux OS Server (SLO) и РЕД ОС выполните следующие команды:
     1. Установите пакет iptables-services.
     2. Выполните команды:

        systemctl enable iptables && systemctl enable ip6tables

        iptables-save >/etc/sysconfig/iptables

        ip6tables-save >/etc/sysconfig/i6ptables

        systemctl start iptables && systemctl start ip6tables

     3. Проверьте статус служб iptables и ip6tables с помощью команд:

        systemctl status iptables

        systemctl status ip6tables

        Статус должен быть active и enabled.

   Команда iptables-save сохраняет только правила, активные во время выполнения команды. Если существуют персистентные правила, не активные во время выполнения команды, вам необходимо настроить содержимое файлов вручную.

Чтобы отменить запрет на доступ в сеть с использованием iptables:

1. Выполните следующие команды от имени пользователя root:

   iptables -D OUTPUT -m owner --uid-owner klsbuser -j REJECT

   ip6tables -D OUTPUT -m owner --uid-owner klsbuser -j REJECT

2. Выполните шаги, описанные в пункте 2 инструкции по настройке сохранения правил c закреплением в системе.

Настройка запрета с использованием firewalld

Чтобы настроить запрет на доступ в сеть с использованием firewalld:

1. Выполните следующие команды от имени пользователя root:

   firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT <приоритет> -m owner --uid-owner klsbuser -j REJECT

   firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT <приоритет> -m owner --uid-owner klsbuser -j REJECT

   Здесь <приоритет> – приоритет ниже, чем самый низкий приоритет среди всех прямых правил (direct rules).

2. Перезапустите службу firewalld с помощью команды:

   systemctl restart firewalld.service

Чтобы отменить запрет на доступ в сеть с использованием firewalld, выполните следующие команды:

1. Выполните следующие команды от имени пользователя root:

   firewall-cmd --permanent --direct --remove-rule ipv4 filter OUTPUT <приоритет> -m owner --uid-owner klsbuser -j REJECT

   firewall-cmd --permanent --direct --remove-rule ipv6 filter OUTPUT <приоритет> -m owner --uid-owner klsbuser -j REJECT

2. Перезапустите службу firewalld с помощью команды:

   systemctl restart firewalld.service

Настройка запрета с использованием ufw

Чтобы настроить запрет на доступ в сеть с использованием ufw:

1. В файл /etc/ufw/before.rules добавьте запись:

   -I ufw-before-output -m owner --uid-owner klsbuser -j REJECT

2. В файл /etc/ufw/before6.rules добавьте запись:

   -I ufw6-before-output -m owner --uid-owner klsbuser -j REJECT

3. Перезапустите службу ufw с помощью команды:

   systemctl restart ufw.service

Чтобы отменить запрет на доступ в сеть с использованием ufw:

1. Из файла /etc/ufw/before.rules удалите запись:

   -I ufw-before-output -m owner --uid-owner klsbuser -j REJECT

2. Из файла /etc/ufw/before6.rules удалите запись:

   -I ufw6-before-output -m owner --uid-owner klsbuser -j REJECT

3. Перезапустите службу ufw с помощью команды:

   systemctl restart ufw.service