Guida Completa a ModuleJail: Come Riduce l'Attack Surface del Kernel Linux

Introduzione a ModuleJail

ModuleJail è un progetto di hardening per sistemi Linux che mira a ridurre la superficie di attacco derivante da recenti vulnerabilità di escalation dei privilegi locali. Questo strumento è utile per amministratori di sistema che desiderano aumentare la sicurezza dei loro ambienti Linux, prevenendo il caricamento di moduli kernel non utilizzati che potrebbero contenere vulnerabilità.

Il concetto alla base di ModuleJail è semplice: se un modulo kernel non è attualmente in uso, non dovrebbe essere caricato automaticamente, riducendo così il rischio di sfruttamento di eventuali vulnerabilità presenti in moduli non necessari. Questo approccio difensivo è particolarmente rilevante dopo la scoperta di vulnerabilità critiche come Copy Fail, Dirty Frag e Fragnesia.

ModuleJail è implementato come uno script POSIX shell che analizza i moduli kernel attualmente caricati e confronta con l'albero completo dei moduli sotto /lib/modules/$(uname -r). Creando un file di blacklist per modprobe.d, lo script impedisce il caricamento automatico di moduli non utilizzati, salvando le impostazioni in /etc/modprobe.d/modulejail-blacklist.conf.

Questo strumento è progettato per essere utilizzato come un hardening tool una tantum, non come un servizio in background. Non include funzionalità avanzate come il monitoraggio continuo, la ricerca nel database CVE, il punteggio del rischio dei moduli o l'intelligenza artificiale. La sua efficacia si basa sul presupposto che i moduli caricati su un sistema in uno stato stabile siano quelli necessari.

ModuleJail offre tre profili di base: conservativo, desktop e minimo. Il profilo conservativo è ideale per server virtualizzati o bare-metal, mentre il profilo desktop preserva ulteriori driver per Wi-Fi, Bluetooth, audio e video, adatti per laptop e workstation. Il profilo minimo mantiene solo i moduli kernel essenziali e i filesystem di base.

Per utilizzare ModuleJail, è fondamentale eseguirlo solo dopo che il sistema ha raggiunto uno stato stabile, con tutti i servizi avviati, i filesystem montati e i driver necessari caricati. Eseguirlo troppo presto potrebbe portare al blacklist di moduli necessari in seguito, compromettendo funzionalità hardware, di storage, di rete o applicative.

Prerequisiti

• Sistema operativo: Ubuntu 24.04 LTS, Debian 13.4, Rocky Linux 9.7, Arch Linux, Alpine Linux, openSUSE Tumbleweed
• Pacchetti: DEB per Debian/Ubuntu, RPM per RHEL/Fedora/Alma/Rocky
• Accesso amministratore: Permessi di root o sudo per eseguire il script
• Stato del sistema: Sistema in uno stato stabile con tutti i servizi avviati, filesystem montati e driver necessari caricati

PROCEDURA: Configurazione di ModuleJail per il hardening del kernel Linux

Alla fine di questa guida, avrai configurato ModuleJail per ridurre l'attacco superficie del kernel Linux bloccando i moduli non utilizzati.

• Accedi al sistema Linux con privilegi di amministratore.
• Scarica lo script ModuleJail dal repository GitHub ufficiale. Esegui il seguente comando per clonare il repository: git clone https://github.com/jnuyens/modulejail.git
• Spostati nella directory del progetto: cd modulejail
• Rendi eseguibile lo script: chmod +x modulejail.sh
• Esegui lo script con privilegi di root per generare il file di blacklist: sudo ./modulejail.sh
• Seleziona il profilo di baseline appropriato per il tuo sistema. I profili disponibili sono:
  • conservative: per server virtualizzati o bare-metal (default).
  • desktop: per laptop e workstation con driver aggiuntivi per Wi-Fi, Bluetooth, audio e video.
  • minimal: per sistemi con solo i moduli kernel essenziali.
• Modifica il file di whitelist opzionale per includere moduli specifici che desideri preservare, indipendentemente dal loro stato di caricamento attuale. Apri il file whitelist: sudo nano /etc/modulejail-whitelist.conf
• Aggiungi i nomi dei moduli che desideri preservare, uno per riga.
• Salva e chiudi il file.
• Verifica che il file di blacklist sia stato creato correttamente: ls -l /etc/modprobe.d/modulejail-blacklist.conf
• Riavvia il sistema per applicare le modifiche: sudo reboot

Verifica e Troubleshooting

Alla fine di questa guida, sarai in grado di testare il corretto funzionamento di ModuleJail e risolvere eventuali problemi di configurazione.

Test di Funzionamento

• Verifica dei moduli blacklistati: Esegui il comando grep "install . /bin/true" /etc/modprobe.d/modulejail-blacklist.conf per visualizzare l'elenco dei moduli blacklistati.
• Controllo dei moduli caricati: Utilizza il comando lsmod | grep -vE '^(Module|kANSI)' per verificare che i moduli essenziali siano ancora caricati.
• Test di avvio dei servizi: Riavvia i servizi critici per assicurarti che funzionino correttamente dopo l'applicazione del blacklist.

Risoluzione dei Problemi

• Moduli necessari blacklistati:
  • Esegui nuovamente ModuleJail per applicare le modifiche.
• Problemi di avvio del sistema:
  • Carica manualmente i moduli necessari con il comando modprobe per la sessione corrente.
• Moduli non caricati:
  • Se necessario, modifica il profilo di base o la whitelist per includere i moduli necessari.

Documentazione

Per ulteriori dettagli e supporto, consulta la pagina GitHub del progetto.

Sintesi didattica

• ModuleJail è uno strumento di hardening che blacklista i moduli del kernel non utilizzati per ridurre la superficie di attacco.
• Funziona come uno script POSIX shell che crea un file di blacklist per modprobe.
• Preserva i moduli già caricati, un baseline di moduli essenziali e quelli specificati in una whitelist opzionale.
• Offre tre profili predefiniti: conservativo, desktop e minimo, adatti a diversi scenari di utilizzo.
• Deve essere eseguito solo dopo che il sistema ha raggiunto uno stato stabile.
• Non è un servizio in background e non include funzionalità avanzate come il monitoraggio continuo o la valutazione del rischio.
• È stato testato su diverse distribuzioni Linux e sono disponibili pacchetti precompilati.
• Il ripristino delle modifiche è un processo manuale.

Invito alla pratica

Prova ModuleJail sul tuo sistema Linux per migliorarne la sicurezza. Segui i passaggi descritti, assicurati che il sistema sia in uno stato stabile prima di eseguire lo script e personalizza la whitelist se necessario.