内容字号:默认大号超大号

段落设置:段首缩进取消段首缩进

字体设置:切换到微软雅黑切换到宋体

macOS Mojave安全加固指南

2019-02-10 18:30 出处:清屏网 人气: 评论(0

一、概述

本文档以macOS 10.14系统为基础,提供针对macOS Mojave的基本加固指南,以增强系统安全性。在本加固指南中,不包含一些可能影响操作系统功能并且需要进一步测试的设置。我们对每个条目进行了标注,分为“重要”和“可选”两类。其中的“可选”条目,我们也建议应用此设置,但系统的某些功能将会在应用设置后变为不可用,因此需要各位用户自行评估。

重要说明:本安全加固指南在加固过程中,将指导用户强制禁用SIP(系统完整性保护)。在加固完成后,请务必确保再次启用SIP。

二、常规建议

2.1 安全启动

在2018年的MacBook主机中,通过TouchBar内部新安装的T2芯片(包括Secure Enclave),支持安全启动(Secure Boot)功能。要检查是否已经启用安全启动,需要在开机时同时按下COMMAND + R键。在输入固件密码后,可以访问菜单栏中的“启动安全实用程序”(Startup Security Utility)。如果MacBook中带有T2芯片(TouchBar),则可以看到“安全启动”(Secure Boot)和“外部启动”(External Boot)两个选项。我们强烈建议,在需要保证较高安全性的情况下,应选择“安全启动”。在禁止从外部介质启动时,应选择“外部启动”。

2.2 终端保护

默认情况下,macOS已经具有保护机制,例如:XProtect(恶意软件检测)、Secure Boot、代码签名验证、沙箱应用程序和系统完整性保护。此外,如果启用了MDM(例如在macOS服务器上),则可以通过不同的策略配置设备和管理设备。如果需要安装其他终端保护工具,应该评估该工具是否支持macOS设备。

2.3 日志和事件收集

管理员可以根据实际需要,配置macOS的审计框架。通过/Applications/Utilities/Console.app,可以查看到整合后的日志。默认情况下,macOS支持以syslogd守护程序,通过UDP/514端口发送日志。但是,由于缺乏对TLS/SSL的支持,建议不要使用此项功能,预计Apple很快就会弃用这项功能。如果您所在的企业环境中不支持包含代理的macOS SISM,建议可以从本地整合日志,并且避免通过网络发送未经加密的日志。借助macOS提供的日志实用程序,可以以安全的方式获取此类日志,只需日志收集服务器的接收端打开TCP端口(需支持TLS/SSL)。例如,在MacBook上执行以下命令,可以通过加密通道将每个失败的sudo尝试发送到日志服务器:

log stream --style syslog --predicate 'process == "sudo" and eventMessage contains "incorrect password"' | openssl s_client -host <RemoteServer> -port <Port>

日志服务器将收到类似的日志消息,如下所示:

Filtering the log data using "process == "sudo" AND composedMessage CONTAINS "incorrect password""
Timestamp                       (process)[PID]
2018-10-24 17:23:33.842651+0200  localhost sudo[2002]:   MacBook_ERNW : 2 incorrect password attempts ; TTY=ttys002 ; PWD=/Users/MacBook_ERNW ; USER=root ; COMMAND=su

可以使用macOS登录项,来自动启动日志流。此外,管理员可以根据需要,使用过滤器来过滤实际需要的日志。

2.4 移动设备管理

将MacBook与移动设备管理系统(MDM,如macOS服务器)连接,可以强制操作系统必须部署指定的策略。此外,可以通过MDM解决方案来实现部署证书和连接到活动目录(Active Directory)。

三、认证

3.1 确保标准帐户和默认帐户的安全性

macOS会始终强制用户创建新帐户。即使用户以管理员权限帐户运行,也不会拥有与“root”相同的权限,这就是macOS称之为系统完整性保护(SIP)的机制。SIP将拒绝使用者对系统目录(例如:/System)的任何更改。

3.2 用户权限分离

建议用户使用不同的帐户,分别进行管理和日常活动。并且,应该为特殊任务和系统维护创建一个具有管理员权限的帐户,为日常使用过程创建一个普通帐户,从而避免攻击者快速提升权限。

3.3 确保密码安全

应确保所有用户都使用强密码,强密码的具体定义如下:

最小密码长度至少为8个字符;

密码必须同时包含小写字母、大写字母、数字和特殊字符;

不得使用任何默认密码;

密码必须具有6个以上不同的字符;

同一个密码最多使用180天;

用户名不得作为密码的一部分;

新设置的密码,与最近5次设置的历史密码不能相同。

3.4 强制密码安全策略(重要)

管理员可以使用命令行工具pwpolicy,来强制实施密码策略。以下命令可以强制执行上述策略:

pwpolicy -u -setpolicy "minChars=8 requiresAlpha=1 requiresNumeric=1 maxMinutesUntilChangePassword=259200 usingHistory=5 usingExpirationDate=1 passwordCannotBeName=1 requiresMixedCase=1 requiresSymbol=1"

3.5 双因素身份验证(可选)

从macOS 10.11和iOS 9开始,这些Apple设备就内置了双因素身份验证机制,可以保护用户的Apple ID。如果访问了任何需要登录Apple ID的内容,身份验证码就会被推送到另一台安装了macOS 10.11以上版本或iOS 9以上版本系统的设备上。这一过程可能会影响用户的macOS安装,因为可以通过Apple ID重置设备的密码。如果用户需要使用Apple ID执行各种任务,那么建议使用双因素身份验证。

3.6 自动登录和用户列表(重要)

建议禁用用户列表,这样会降低攻击者正确猜测登录凭据的可能性。

在“系统偏好设置”(System Perferences)中,选择“用户和组”(Users & Groups),选择“登录选项”(Login Options),将“自动登录”(Automatic Login)设置为禁用,将“显示登录窗口”(Display Login Window)设置为“用户名和密码”(Name and Password),并禁用密码提示(Password Hints)。

3.7 登录导语(可选)

可以设置登录导语(Login Banner),从而在登录时显示包含策略的信息。

sudo defaults write /Library/Preferences/com.apple.loginwindow LoginwindowText “text”

3.8 访客帐户(重要)

应该始终禁用访客帐户的所有内容,并且停用访客账户。

在“系统偏好设置”中,选择“用户和组”,确保已经禁用访客账户(Guest Users)。

3.9 限制Sudoers文件(重要)

要限制宽限期(Grace Period)并限制为单个ttys,应使用visudo命令,编辑/etc/sudoers,添加以下内容:

Defaults timestamp_timeout=0
Defaults tty_tickets

3.10 自动锁定登录钥匙串(可选)

打开钥匙串访问(Keychain Access),选择登录钥匙串。选择“编辑”(Edit),更改钥匙串设置“登录”。将“不活动[…]分钟后锁定”(Lock after […] minutes)的数值设置为10。勾选“睡眠时锁定”(Lock when sleeping)选项。

注意:自动锁定钥匙串将会影响用户体验,每个锁定守护进程(例如:Wi-Fi服务)都需要解锁。因此,Wi-Fi环境下的自动夜间备份将会受到影响。

四、通用配置

4.1 修复当前系统漏洞(重要)

在执行本指南中的加固措施之前,强烈建议先将当前系统升级到最新且已经安装补丁的状态。可以通过“Apple菜单” – “App Store” – “升级”(Updates)来检查当前系统的更新情况。

或者,也可以在命令行中输入以下命令:

$ softwareupdate -l

4.2 自动更新(重要)

建议始终启用自动更新,以自动向系统提供最新的安全修复程序。可以通过以下命令检查是否启用此设置:

$ defaults read /Library/Preferences/com.apple.SoftwareUpdate AutomaticallyInstallMacOSUpdates
1

如果启用了自动更新,则返回值应该为1,如上面输出所示。如果该设置不存在,可以通过以下命令来手动设置:

sudo defaults write /Library/Preferences/com.apple.SoftwareUpdate AutomaticallyInstallMacOSUpdates -int 1

4.3 Gatekeeper(重要)

Gatekeeper将检查应用程序是否使用有效的Apple证书进行签名。通过以下方式来检查应用程序是否具有签名:

spctl –a /Applications/test.app

如果要将其添加到Gatekeeper,可以使用如下命令:

spctl --add test.app

或者直接执行下面的操作:

右键单击,选择“打开”。

注意:在一些情况下,系统可能仍然会拒绝打开应用程序。这时,我们可以强行启动:

点击“系统偏好设置”,选择“安全和隐私”(Security & Privacy),选择“常规”(General)。然后打开应用程序。

4.4 执行代码签名机制(重要)

可以编辑/etc/sysctl.conf,在其中添加以下行:

vm.cs_force_kill=1  # Kill process if invalidated
vm.cs_force_hard=1  # Fail operation if invalidated
vm.cs_all_vnodes=1  # Apply on all Vnodes
vm.cs_enforcement=1 # Globally apply code signing enforcement

注意:此项更改需要禁用系统完整性保护,在加固后请手动启用。在新安装的系统上,sysctl.conf可能不存在,管理员可以创建该文件并重新启动系统。

4.5 禁用元数据文件创建(重要)

建议禁止在macOS在远程卷(例如:网络存储、USB存储)上创建临时文件。下面的命令可以阻止此类行为:

defaults write com.apple.desktopservices DSDontWriteNetworkStores -bool true
defaults write com.apple.desktopservices DSDontWriteUSBStores -bool true

4.6 禁用保存到iCloud(重要)

以下命令可以阻止macOS将文件直接保存到任何iCloud服务器:

sudo defaults write NSGlobalDomain NSDocumentSaveNewDocumentsToCloud -bool false

4.7 禁用诊断(重要)

要避免向Apple或App Developers发送数据,请禁用以下内容:

在“系统偏好设置”中,选择“安全和隐私”,选择“隐私”(Privacy),选择“诊断和使用”(Diagnostics & Usage)。取消选中“向Apple发送诊断和使用数据”(Send diagnostic & usage data to Apple),取消选中“与应用开发者共享崩溃数据”(Share crash data with app developers)。

4.8 禁用Handoff(重要)

Apple Handoff是一项保持工作区同步的功能,但该功能需要向Apple发送数据,建议禁用这一功能。

在“系统首选项”(System Preferences)中,选择“常规”(General),取消选中“允许在此Mac和iCloud设备之间切换”(Allow Handoff between this Mac and your iCloud devices),并将“最近项目”设置为“无”(None)。

4.9 FileVault(重要)

建议启动FileVault,以在设备上启用完整磁盘加密。该功能应该已经默认启用。但是,在安装macOS之后再打开FileVault会更加安全,因为此时的伪随机数生成器会具有更加随机的种子。

点击“系统偏好设置” – “安全和隐私” – “FileVault”,选择“启用FileVault”。

*可选设置:

如果要在休眠时,从内存中删除加密密钥,并从内存中断电,可以使用以下命令:

sudo pmset -a destroyfvkeyonstandby 1 hibernatemode 25

注意:这项操作可能会对用户体验产生影响,因为必须要在每次合盖/开盖后解密磁盘。因此,启动过程最多可能需要10秒钟时间。我们建议对安全性要求较高的计算机设置此选项,其首选设置如下:

sudo pmset -a powernap 0
sudo pmset -a standby 0
sudo pmset -a standbydelay 0
sudo pmset -a autopoweroff 0

4.10 防火墙(重要)

建议启用具有完整功能的防火墙,并阻止所有传入流量。

点击“系统偏好设置” – “安全和隐私” – “防火墙”,点击“打开防火墙”(Turn on Firewall)。选择“防火墙选项”(Firewall Options),设置“阻止所有传入连接”(Block All Incoming Connections),设置“启用隐身模式”(Enable Stealth Mode)。

4.11 需要管理员密码(重要)

建议始终要求在验证管理员密码后才能访问系统设置。

4.12 屏幕保护程序和解锁(重要)

建议在不活动时,自动锁定屏幕。

点击“系统偏好设置” – “桌面和屏幕保护程序”(Desktop & Screensaver) – “屏幕保护程序”(Screensaver)。根据需要调整时间范围,我们建议将其设置为5分钟。

点击“系统偏好设置” – “安全和隐私” – “常规”,设置“睡眠或屏幕保护程序开始后立即需要密码”(Require password immediately after sleep or screen saver begins)。

4.13 文件扩展名(重要)

要始终掌握用户正在处理的文件类型,建议开启显示文件扩展名。

打开“访达”(Finder),选择“设置”(Settings) – “高级”(Advanced),选择“显示所有文件扩展名”(Show all filename extensions)。

4.14 阻止Safari打开已知类型文件(重要)

如果用户使用Safari作为主要的浏览器,建议阻止Safari在下载文件后打开已知文件类型的文件。

打开Safari,选择“首选项”(Preferences),选择“常规”(General),取消“下载后打开安全文件”(Open safe files after downloading)。

4.15 设置严格的全局Umask(可选)

严格限制全局Umask默认使用用户将来创建的任何文件或目录的权限。我们可以使用以下命令来调整全局Umask:

sudo launchctl config system umask 027

注意:这可能会破坏依赖于较少限制的umask的其他软件安装。

4.16 禁用远程Apple事件(重要)

建议禁用远程Apple事件服务(默认禁用)。该服务可用于通过网络对另一台Mac上的软件执行操作。因此,它应该始终被禁用。下面的命令可以检查是否启用了远程Apple事件:

sudo systemsetup –getremoteappleevents

应确保输出为:

Remote Apple Events: Off

如果启用,那么可以使用以下命令来禁用:

sudo systemsetup -setremoteappleevents off

五、特定配置

5.1 禁用蓝牙(可选)

由于此前存在一些针对蓝牙配对和身份检测的攻击方法,因此建议在不需要使用蓝牙时禁用蓝牙。

点击“系统偏好设置” – “蓝牙”(Bluetooth),选择“停用蓝牙”(Deactivate Bluetooth)。

注意:取消激活蓝牙,将会断开蓝牙键盘、蓝牙鼠标或蓝牙耳机等外接设备。

5.2 固件密码(重要)

要防止单用户模式(Single User Mode)和可引导设备,建议设置足够复杂的固件密码。

在Mac启动时,按下Command + R,将Mac启动到恢复模式(Recovery Mode)。选择“实用程序”(Utilities) – “固件密码实用程序”(Firmware Password Utility),然后设置一个足够复杂的密码。

注意:忘记此密码,可能会导致Mac完全不可用,并阻止计算机起动因此,存储该密码的密码管理器是一个有效的解决方案。此外,无论MacBook的实际键盘布局如何,当尝试访问固件安全组件时,将始终映射英语的默认设置。

5.3 Setuid和Setgid(可选)

改变二进制文件的Setuid位,是比较重要的一个设置。这可能会影响这些二进制文件的功能,但管理员始终可以撤销这些步骤。使用以下命令,可以获取所有SUID二进制文件的列表:

sudo find / -perm -04000 -ls
sudo find / -perm -02000 –ls

在这里,过滤掉我们认为“代码质量较差”或通常不信任的应用程序(例如:鼠标外接设备驱动程序)。以下命令可以取消设置文件和目录的描述权限:

chmod u-s #file
chmod g-s #file

5.4 禁用核心转储(重要)

要限制内核信息泄露,请禁用核心转储功能。可以编辑/etc/sysctl.conf中的以下行:

kern.coredump=0

注意:此项更改需要禁用系统完整性保护,在加固后请手动启用。在新安装的系统上,sysctl.conf可能不存在,管理员可以创建该文件并重新启动系统。

由于Kerneldumps可以帮助进行调试,因此可以暂时启用:

sudo sysctl -w kern.coredump=1

5.5 禁用USB/蓝牙和其他大容量存储设备(可选)

在某些情况下,需要禁用将任何大容量存储插入系统。这一点可以通过删除KEXT驱动程序或使用企业级MDM工具来实现。

要完全禁用USB大容量存储设备,可以删除/System/Library/Extensions中的KEXT驱动程序IOUSBMassStorageClass.kext(必须禁用SIP)。也可以通过删除前面所提到的文件夹中的IOBlueToothFamily来完全禁用蓝牙。删除KEXT驱动程序后,需要在目录上执行以下命令,以重建kernelcache:

touch /System/Library/Extensions

注意:由于无法插入大容量存储设备,可能会影响MacBook的可用性。但是,USB键盘仍然有效。

此外,一些商业软件(例如:https://www.endpointprotector.com/products/endpoint-protector)可以执行类似的端口阻止,但我们还没有对其进行过任何测试。

六、网络和通信安全

6.1 高级防火墙(可选)

建议管理员更加准确地监控应用了就溜。软件防火墙可以为不同位置和不同网络生成自己的规则集。我们推荐一个更高级的防火墙,例如“Little Snitch”、“Radio Silence”和“Handoff”,这些都是完全成熟的本地防火墙(收费)。如果管理员希望使用免费的防火墙,可以查看精简版的“Murus”。

·https://www.obdev.at/products/littlesnitch/index-de.html

· https://www.oneperiodic.com/products/handsoff/

· https://radiosilenceapp.com/

· http://www.murusfirewall.com/

6.2 禁用LAN唤醒(重要)

选择“系统偏好设置” – “节能”(Energy Saver),取消“网络访问唤醒”(Wake for network access)。

6.3 禁用Apple文件协议AFP(重要)

这一协议相当于SMB协议,在macOS 10.11上默认被禁用。管理员可以在以下位置进行验证:

选择“系统偏好设置” – “共享”(Sharing),选择“文件共享”(File Sharing) – “选项”(Options),取消设置“使用AFP共享文件和文件夹”(Share Files and folders using AFP)。

注意:也可以通过命令行实现禁用:

sudo launchctl unload -w /System/Library/LaunchAgents/AppleFileServer.plist

6.4 禁用不必要的服务(可选)

管理员可以使用以下命令,禁用不必要的服务:

sudo launchctl unload -w /System/Library/LaunchAgents/<Service

注意:这可能会破坏系统的原有功能。要重新加载这些服务,只需将上述命令中的“unload”替换为“load”。

我们在本文的最后,补充了一个可能是不必要服务的清单。

更多服务(Plistfiles)可以在以下目录中找到:

/System/Library/LaunchDaemons
/System/Library/LaunchAgents
/Library/LaunchDaemons
/Library/LaunchAgents
/Users//Library/LaunchDaemons
/Users//Library/LaunchAgents

6.5 禁用共享(重要)

默认情况下,会禁用共享。管理员可以在这里进行验证:

点击“系统偏好设置” – “共享”,取消其中所有不需要的选项。

6.6 通过NTP启用网络时间同步(重要)

系统时钟对于日志文件来说非常重要。要确保时钟始终正确,并且未被损坏,可以使用以下命令:

sudo systemsetup -setnetworktimeserver "time.euro.apple.com"
sudo systemsetup -setusingnetworktime on
echo "restrict default ignore" >> /etc/ntp.conf

七、隐私

7.1 计算机名/主机名(重要)

建议平布主机名称,因为其中包含用户名和当前操作系统信息(MacBook → Mac OS)。因此,可以使用以下命令来更改通过网络显示的名称:

sudo scutil --set ComputerName ExampleName
sudo scutil --set LocalHostName ExampleName

7.2 限制广告追踪(重要)

要限制设备的追踪,请禁用以下内容:

点击“系统偏好设置” – “安全和隐私” – “隐私” – “广告”(Advertising),选中“限制广告追踪”(Limit Ad Tracking)。

7.3 追踪服务(重要)

建议禁用追踪服务。如果用户决定使用追踪服务,则可以仅禁用Spotlight建议。

点击“系统偏好设置” – “安全和隐私” – “隐私” – “位置服务”(Location Services),选择“系统服务”(System Services) – 详细信息(Details),取消选中“Spotlight建议”(Spotlight Suggestions)。

附录:建议禁用的服务清单

下面列出了服务文件以及建议禁用的相应功能。如果没有特殊需要,不建议启用下面的服务。

com.apple.AppleFileServer.plist  AFP
ftp.plist  FTP
org.apache.httpd.plist  HTTP Server
epcc.plist       Remote Apple Events
com.apple.xgridagentd.plist       Xgrid
com.apple.xgridcontrollerd.plist        Xgrid
com.apple.InternetSharing.plist  Iternet Sharing
com.apple.dashboard.advisory.fetch.plist  Dashboard Auto-Update
com.apple.UserNotificationCenter.plist     User notifications
com.apple.RemoteDesktop.PrivilegeProxy.plist       ARD
com.apple.RemoteDesktop.plist        ARD
com.apple.IIDCAssistant.plist      iSight
com.apple.blued.plist   Bluetooth
com.apple.RemoteUI.plist   Remote Control
com.apple.gamed.plist        Game Center

分享给小伙伴们:
本文标签: macOSMojave

相关文章

发表评论愿您的每句评论,都能给大家的生活添色彩,带来共鸣,带来思索,带来快乐。

CopyRight © 2015-2016 QingPingShan.com , All Rights Reserved.

清屏网 版权所有 豫ICP备15026204号