Britse overheid publiceert beveiligingsgids voor Ubuntu
Het National Cyber Security Centre (NCSC) van de Britse overheid heeft een beveiligingsgids voor Ubuntu 18.04 LTS gepubliceerd waarin allerlei adviezen worden gegeven. Het gaat dan om gewenste instellingen, aanbevolen netwerkarchitectuur en handvatten voor systeembeheerders.
Zo raadt het NCSC aan om alle data van gebruikers via een virtual private network (vpn) te laten laten lopen en moeten gebruikers niet in staat worden gesteld om willekeurige applicaties te installeren. Daarnaast moet er voor elk Ubuntu-systeem een uniek en lang beheerderswachtwoord worden ingesteld.
De beveiligingsgids gaat ook in op bepaalde zaken zoals het beveiligen van "data at rest" en Secure boot. Het NCSC merkt op dat de Linux Unified Key Setup (LUKS)/dm-crypt schijfencryptie niet gecertificeerd is en bepaalde vereisten voor volledige schijfversleuteling niet ondersteunt. Desondanks wordt het gebruik van LUKS/dm-crypt wel aangeraden.
In het geval van Secure boot, dat de bootloader, kernel en kernelmodules valideert, zijn sommige boot-gerelateerde bestanden standaard niet beveiligd en zijn door een aanvaller aan te passen. Dit risico kan echter worden verkleind door het bootproces extra te beveiligen. Systeembeheerders die Ubuntu-systemen configureren krijgen wel het advies om Secure boot in te stellen.
Ook merkt de Britse overheidsorganisatie op dat Ubuntu geen dedicated hardware gebruikt om de schijf-encryptiesleutels te beschermen. Een aanvaller die fysieke toegang tot het apparaat heeft kan een offline bruteforce-aanval uitvoeren om het encryptiewachtwoord te achterhalen. Verder wordt geadviseerd om de toegang tot FireWire en Thunderbolt te beperken, updates te installeren en log-bestanden goed te configureren.
Een goede beveiligingsgids plust en mint, en komt daarbij uiteindelijk uit op een bepaald beveiligingsniveau. Hadden ze dat principe toegepast, dan waren ze er allang achter dat Unix-like systemen bij design veiliger zijn dan een op NT gebaseerd systeem.
Ik vind het prima dat men een opsomming maakt van aanbevelingen, maar houd ook rekening met het design van het systeem en daar waar de pijnpunten zitten. Die beveiligingsgids komt op mij over als een gids met algemene aanbevelingen voor Windows-systemen, toegepast op Ubuntu.
Komt op mij over als een vierkantje in een rondje proberen te proppen.
https://www.ncsc.gov.uk/guidance/summary-risk-methods-and-frameworks
Zijn er vergelijkbare onderzoeken en aanbevelingen van de Nederlandse overheid voor de drie ecosystemen: Apple, Microsoft en Linux?
Nationaal Cyber Security Centrum
https://www.ncsc.nl/expertise-advies
De nodige overheidsinformatie is voorhanden. Alleen niet zo overzichteljjk als bij de NCSC.gov.uk.
Voor particulier gebruik en voor MKB doeleinden bestaat er deze websitie:
Stichting ECP-EPN
https://veiliginternetten.nl/
Persoonlijk vind ik de volgende website voor particulier en zaken doen nog veel duidelijker van opzet:
"Laat Je Niet Hack Maken" door Daniël Verlaan, et al., 2018
https://laatjeniethackmaken.nl/
Die handleiding is in begrijpelijk Nederlands, puntsgewijs en op slechts één pagina geschreven.
Nationaal Cyber Security Centrum
https://www.ncsc.nl/expertise-advies
De nodige overheidsinformatie is voorhanden. Alleen niet zo overzichteljjk als bij de NCSC.gov.uk.
Voor particulier gebruik en voor MKB doeleinden bestaat er deze websitie:
Stichting ECP-EPN
https://veiliginternetten.nl/
Persoonlijk vind ik de volgende website voor particulier en zaken doen nog veel duidelijker van opzet:
"Laat Je Niet Hack Maken" door Daniël Verlaan, et al., 2018
https://laatjeniethackmaken.nl/
Die handleiding is in begrijpelijk Nederlands, puntsgewijs en op slechts één pagina geschreven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
