Netzwerk-Dateisysteme blockieren

Warum es wichtig ist

Eine Netzwerkfreigabe einzubinden heißt, dass der Kernel mit einem entfernten Server spricht, und zwar mit Code, der die vom Server gesendeten Daten auswertet. Ein böswilliger oder kompromittierter Server kann versuchen, Fehler in diesem Code auszunutzen. Wenn Sie solche Freigaben nie nutzen, brauchen Sie diesen Code gar nicht geladen.

Wie es funktioniert

Fügt eine Modprobe-Konfiguration hinzu, die die Module der Gruppe network-filesystems sperrt, welche die NFS- und SMB/CIFS-Clients abdecken. Versuche, solche Freigaben zu mounten, scheitern, weil der Treiber nicht geladen werden kann.

Für wen es sich eignet

Nur wenn Sie nie NFS- oder SMB-Freigaben mounten, was für viele Laptops gilt. Lassen Sie es aus, wenn Sie ein NAS, einen Firmen-Dateiserver oder ein NFS-Heimatverzeichnis nutzen.

Was Sie bemerken könnten

Das Mounten einer Freigabe scheitert mit etwa unknown filesystem type nfs oder cifs. Wenn eine gemountete Freigabe nach dem Start fehlt, ist dies eine wahrscheinliche Ursache.

Auf Ihrem Computer prüfen

Prüfen, ob die Module geladen sind:

lsmod | grep -E '^(cifs|nfs|nfsv3|nfsv4|ksmbd|gfs2) '

Von Hand anwenden

Dem System sagen, sie nicht zu laden, in einer eigenen Datei:

sudo tee /etc/modprobe.d/90-modules-network-filesystems.conf <<'EOF'
install cifs /bin/true
install nfs /bin/true
install nfsv3 /bin/true
install nfsv4 /bin/true
install ksmbd /bin/true
install gfs2 /bin/true
EOF

Rückgängig machen

Entfernen Sie die Datei. Bereits geladene Module bleiben bis zum nächsten Neustart.

Verwandte Einstellungen

• Selten genutzte Dateisysteme blockieren

Quellen

Linux Hardening Guide (madaidans)

2.5.2