如何在基于Unix的操作系统中禁用内核模块安装功能？

Question

由于我们生活在Linux内核rootkit时代，在Linux中，是否有任何方法可以通过任何用户或任何操作或命令来禁用加载到操作系统内核中的任何附加模块？某种程度上锁定了内核空间。

PS：

我知道我们可以删除任何编译器工具和一些强化，但我正在寻找更多的保护内核空间和关键文件和目录的使用。

我知道我们可以在/sbin/insmod中删除insmod工具，但是有人可以将它重新复制到OS中，然后再使用它。

Answer 1

有几件事你可以做：

块内核模块加载，直到系统重新启动

只需运行echo 1 > /proc/sys/kernel/modules_disabled

在此之后，只要内核运行，就不会加载任何新模块。如果不重新启动，则无法将此设置重置为0。

这仍然允许在启动时加载模块，但是一旦加载了所有必要的模块，您就可以锁定它。

确保首先只能加载可信任的模块

。

这些方法可以让你吃蛋糕，也可以吃蛋糕：

如果您的系统有UEFI固件，并且启用了安全引导，那么引导加载程序必须不允许执行未签名的内核代码，这实际上是一个安全的引导验证要求。大多数支持安全引导的发行版也将使用内核模块签名(内核编译选项CONFIG_MODULE_SIG=y和CONFIG_MODULE_SIG_FORCE=y)将其扩展到内核模块。

或者，如果您编译自己的内核，您可以启用CONFIG_SECURITY_LOADPIN内核编译选项，它添加了一个要求，即所有内核模块必须来自单个文件系统。如果您已经将所有用户可写目录和临时目录隔离为单独的文件系统，或者您的根文件系统仅用于锁定使用，这可能是有用的。

当然，还有一个核心的选择.

使用所有必要的内置驱动程序和完全禁用

的模块功能构建您自己的自定义内核。

这是老派，但如果您的硬件配置非常稳定的话，它仍然适用.

Answer 2

您不能完全禁用"modules_disabled“- LKM。实际上，您可以禁用它，但是如果某些用户对机器具有根用户访问权限，则此魔术将不可用。决定是:您必须编译您自己的Linux项目，并且应该从“启用可加载模块以支持”菜单中完全禁用"modules_disabled“。https://github.com/nu11secur1ty/Linux_hardening_and_security/tree/master/Kernel-sec-modules_by_nu11secur1ty/linux-5.1.1/kernel BR