Cómo comprobar si el modo de bloqueo del kernel está activo en Linux

Introducción

En este laboratorio, aprenderá cómo verificar si el modo de bloqueo del kernel está activo en Linux. El bloqueo del kernel es una característica de seguridad que restringe ciertas capacidades del kernel para mejorar la seguridad del sistema.

Logrará esto examinando el estado de bloqueo del kernel a través del sistema de archivos /proc utilizando el comando cat, verificando los mensajes relacionados con el bloqueo en el buffer circular del kernel con dmesg e inspeccionando la configuración de seguridad dentro del directorio /sys/kernel/security. Estos pasos proporcionarán una comprensión integral del estado actual de bloqueo de su sistema Linux.

Skills Graph

%%%%{init: {'theme':'neutral'}}%%%% flowchart RL linux(("Linux")) -.-> linux/BasicFileOperationsGroup(["Basic File Operations"]) linux(("Linux")) -.-> linux/TextProcessingGroup(["Text Processing"]) linux/BasicFileOperationsGroup -.-> linux/ls("Content Listing") linux/BasicFileOperationsGroup -.-> linux/cat("File Concatenating") linux/TextProcessingGroup -.-> linux/grep("Pattern Searching") subgraph Lab Skills linux/ls -.-> lab-558794{{"Cómo comprobar si el modo de bloqueo del kernel está activo en Linux"}} linux/cat -.-> lab-558794{{"Cómo comprobar si el modo de bloqueo del kernel está activo en Linux"}} linux/grep -.-> lab-558794{{"Cómo comprobar si el modo de bloqueo del kernel está activo en Linux"}} end

Verificar el estado de bloqueo con cat /proc/sys/kernel/lockdown

En este paso, verificaremos el estado actual de bloqueo del kernel de Linux. El bloqueo del kernel es una característica de seguridad que restringe ciertas capacidades del kernel para mejorar la seguridad, especialmente en sistemas donde el acceso físico es una preocupación.

El estado de bloqueo se expone a través del sistema de archivos /proc, específicamente en /proc/sys/kernel/lockdown. El sistema de archivos /proc es un sistema de archivos virtual que proporciona información sobre procesos y otra información del sistema.

Para verificar el estado de bloqueo, usaremos el comando cat. El comando cat se utiliza para mostrar el contenido de archivos.

Abra su terminal si no está abierta. Puede encontrar el icono de Xfce Terminal en el lado izquierdo de su escritorio.

Ahora, escriba el siguiente comando en la terminal y presione Enter:

cat /proc/sys/kernel/lockdown

Verá una salida similar a esta:

[none] integrity confidentiality

La salida indica el modo de bloqueo actual entre corchetes ([none] en este ejemplo) y los modos de bloqueo disponibles.

none: El kernel no está en modo de bloqueo.
integrity: Restringe las características que podrían permitir que el espacio de usuario modifique el kernel en ejecución.
confidentiality: Restringe las características que podrían permitir que el espacio de usuario extraiga información confidencial del kernel.

La salida específica puede variar según la configuración del kernel, pero la estructura será similar. Comprender el estado de bloqueo es importante para evaluar la postura de seguridad de un sistema Linux.

Haga clic en Continuar para pasar al siguiente paso.

Verificar el bloqueo en dmesg

Además de verificar el sistema de archivos /proc, los mensajes del kernel relacionados con cambios en el estado de bloqueo a menudo se registran en el buffer circular del kernel. Podemos ver estos mensajes utilizando el comando dmesg.

El comando dmesg se utiliza para examinar o controlar el buffer circular del kernel. Muestra los mensajes producidos por el kernel durante el arranque y el tiempo de ejecución.

Para ver si hay algún mensaje relacionado con el bloqueo del kernel, podemos canalizar la salida de dmesg a grep y buscar el término "lockdown". La canalización (|) envía la salida de un comando como entrada a otro comando.

Escriba el siguiente comando en su terminal y presione Enter:

dmesg | grep lockdown

Puede ver una salida similar a esta:

[    0.000000] Kernel command line: BOOT_IMAGE=/boot/vmlinuz-... root=UUID=... ro ... lockdown=none
[    0.000000] Kernel lockdown: Lockdown is disabled.

Esta salida muestra mensajes del kernel que contienen la palabra "lockdown". Puede confirmar el estado de bloqueo establecido durante el arranque o cualquier cambio que se haya producido posteriormente. Los mensajes exactos dependerán de cómo se haya arrancado y configurado el sistema.

Si no ve ninguna salida, puede significar que no hubo mensajes específicos del kernel sobre el bloqueo registrados en el buffer, o que los mensajes se hayan sobrescrito si el buffer está lleno. Sin embargo, verificar dmesg es una práctica común para verificar eventos a nivel de kernel.

Haga clic en Continuar para pasar al siguiente paso.

Inspeccionar la configuración de seguridad en /sys/kernel/security

En este último paso, exploraremos el directorio /sys/kernel/security. El sistema de archivos /sys es otro sistema de archivos virtual que proporciona una interfaz a las estructuras de datos del kernel. El directorio /sys/kernel/security contiene específicamente información y controles relacionados con los Módulos de Seguridad de Linux (Linux Security Modules, LSMs) cargados por el kernel.

Los LSMs son marcos que permiten al kernel soportar una variedad de modelos de seguridad. Ejemplos incluyen SELinux, AppArmor y otros.

Listemos el contenido de este directorio utilizando el comando ls. El comando ls lista el contenido de un directorio.

Escriba el siguiente comando en su terminal y presione Enter:

ls /sys/kernel/security/

Verá una salida similar a esta, dependiendo de los LSMs cargados:

apparmor  lockdown  lsm  selinux

Esta salida muestra los subdirectorios dentro de /sys/kernel/security. Cada subdirectorio a menudo corresponde a un LSM cargado o a una característica de seguridad como lockdown.

Puede inspeccionar más a fondo el contenido de estos subdirectorios utilizando ls y cat. Por ejemplo, para ver el contenido del directorio lockdown dentro de /sys/kernel/security, podría usar:

ls /sys/kernel/security/lockdown/

Y para ver el contenido de un archivo dentro de ese directorio, por ejemplo, el archivo lockdown en sí (que podría contener información similar a /proc/sys/kernel/lockdown), podría usar:

cat /sys/kernel/security/lockdown

Explorar el directorio /sys/kernel/security brinda una comprensión más profunda de los módulos de seguridad activos y su configuración en su sistema.

Ahora ha aprendido cómo verificar el estado de bloqueo del kernel utilizando diferentes métodos y ha explorado la interfaz de seguridad del kernel en el sistema de archivos /sys.

Haga clic en Continuar para completar el laboratorio.

Resumen

En este laboratorio, aprendimos cómo verificar el estado de bloqueo del kernel en Linux. Utilizamos el comando cat /proc/sys/kernel/lockdown para ver el modo de bloqueo actual y los modos disponibles, como none, integrity y confidentiality. Comprender estos modos es crucial para evaluar la seguridad del sistema.

También exploramos cómo verificar los mensajes relacionados con el bloqueo en el buffer circular del kernel utilizando el comando dmesg, que brinda información sobre los eventos del kernel y los cambios de estado, incluyendo aquellos relacionados con la activación o desactivación del bloqueo. Finalmente, examinamos la configuración de seguridad dentro del directorio /sys/kernel/security, que ofrece una vista más detallada de varios módulos de seguridad y su configuración, incluyendo la configuración específica del bloqueo.