Angrepsoverflate og en herdende grunnlinje

Å herde en datamaskin betyr ikke å gjøre den uknuselig. Det betyr å fjerne dørene og vinduene som ingen bruker, så de som er igjen er lettere å se. Dette kurset går gjennom denne prosessen for en enkelt Mac brukt av én person: ingen serverpark, ingen IT-avdeling, bare innstillingene og sjekkene alle kan gjøre selv.

Hva "angrepsflate" betyr

Angrepsoverflaten til en datamaskin er alt på den som kan nås eller misbrukes: hver konto som kan logge på, hver tjeneste som lytter etter en nettverkstilkobling, hver app som kan kjøre, hver port som er åpen. Hver og en er en liten innsats på at ingenting vil gå galt med den. En hardende grunnlinje er settet med endringer som reduserer antallet innsatser du gjør, uten å late som om de resterende er risikofrie.

macOS starter allerede fra en rimelig sterk posisjon: nyere Mac-er krypterer lagring som standard, kode må signeres for å kjøre, og systemintegritetsbeskyttelse stopper til og med en administratorkonto fra å skrive om kjernesystemfiler i det stille. De neste fire leksjonene dekker delene du fortsatt kan forbedre: hvordan disken er kryptert og hvordan maskinen starter, hvem som har en konto og hva de kan gjøre, hvilke tjenester og porter som er åpne, og hvordan du kan verifisere forsvarene som allerede er innebygd.

Designprinsipper bak innstillingene

De individuelle innstillingene i dette kurset tjener alle et lite sett med underliggende ideer. Minste privilegium betyr å gi en konto, eller et stykke programvare, bare tilgangen den trenger, aldri mer "i tilfelle det er nyttig senere." Prosessisolering og domeneseparasjon betyr å forhindre at feilene til én app kommer inn i en annens: en kompromittert nettleserfane skal ikke kunne lese e-postklientens filer. Privilegerte og ikke-privilegerte tilstander er skillet mellom en administratorkonto og en standard, og mellom en prosess som kjører som root og en som kjører som en vanlig bruker. Ingen av disse ideene er spesifikke for macOS; de er de samme prinsippene som ethvert moderne operativsystem er bygget rundt, og hver innstilling i resten av dette kurset er egentlig en av dem brukt på en bestemt skjerm eller kommando.

Hvorfor rekkefølge er viktig

Noen endringer beskytter deg selv om du aldri gjør noe annet; andre betyr bare når det grunnleggende er på plass. En fornuftig baseline gjør endringene med høy verdi og lav innsats først.

1. Krypter disken (FileVault) slik at dataene er beskyttet selv om Mac-en blir mistet, stjålet eller beslaglagt mens den er av.
2. Hold macOS og apper oppdatert, siden de fleste rettelser for kjente svakheter kommer som programvareoppdateringer, ikke nye innstillinger.
3. Separate kontoer og privilegier: bruk en standardkonto fra dag til dag, behold administratortilgang når det faktisk er nødvendig.
4. Slå av tjenester og porter du ikke bruker: fildeling, skjermdeling og ekstern pålogging er vanlige standardinnstillinger som står på uten grunn.
5. Verifisere. macOS leveres med forsvar allerede aktivt; sjekk at de fortsatt følger en tidsplan med de skrivebeskyttede kommandoene som dekkes i dette kurset.

Kostnader, og hva dette kurset ikke vil fortelle deg å gjøre

Hver av disse endringene har en kostnad: en kryptert disk trenger en gjenopprettingsnøkkel lagret et trygt sted; en standardkonto betyr å skrive et passord oftere; en lukket port kan være en port du faktisk trenger for en skriver eller en sikkerhetskopi. Herding er en serie av avveininger, og den riktige avveiningen avhenger av hva maskinen er til for og hvem som kan målrette den.

Dette kurset vil aldri foreslå å slå av systemintegritetsbeskyttelse, gatekeeper eller diskkrypteringen Apple silisium-Macer bruker som standard. Noen herdeveiledninger skrevet for avanserte brukere inkluderer trinn som dette, eller send skript og tredjeparts regellister for å importere til en lavnivå brannmur. De er rettet mot folk som er villige til å akseptere risikoen for en ødelagt oppdatering eller en vanskeligere å diagnostisere feil; veiledningen i dette kurset er bevisst smalere, og hver innstilling kontrolleres mot Apples egen dokumentasjon før den inkluderes.