Защита от BadUSB на Linux с помощью USBGuard

Ес­ли вы не впер­вые посещаете сайт spy-soft.net, то навер­няка уже слы­шали про BadUSB и подоб­ные ата­ки, осно­ван­ные на эму­ляции легитим­ного устрой­ства вво­да при офлай­новых ата­ках. Но если про сам BadUSB зна­ют все, то встро­енная в ядро Linux защита от это­го далеко не нас­толь­ко извес­тна. Далее покажу, как с помощью USBGuard защититься от BadUSB.

Еще по теме: Как защититься от BadUSB на Windows

Защита от атаки BadUSB

По­жалуй, луч­шей защитой тут мож­но счи­тать спе­циали­зиро­ван­ные прог­рам­мные решения, раз­реша­ющие под­клю­чение толь­ко заранее утвер­жден­ных устрой­ств из спис­ка (white list). У каж­дого USB-устрой­ства сущес­тву­ет свой уни­каль­ный VendorID и ProductID, перечень которых ука­зыва­ется в white list. Все осталь­ные USB-устрой­ства, вклю­чая и BadUSB-флеш­ки, не будут опоз­наны ОС.

Эта мера прек­расно защища­ет не толь­ко от BadUSB, но и от ряда дру­гих атак и в целом спо­соб­на убе­речь рабочие компь­юте­ры от мас­сы нежела­тель­ных пос­ледс­твий.

Обу­чать пер­сонал, что­бы повысить его осве­дом­ленность в воп­росах информа­цион­ной безопас­ности, тоже не будет лиш­ним, так как ата­ка BadUSB глав­ным обра­зом соци­аль­ная и поль­зовате­ли сами соз­дают угро­зу, под­клю­чая нез­накомое устрой­ство к сво­им компь­юте­рам.

Так­же руково­дите­лям ком­паний мож­но рекомен­довать пери­оди­чес­ки осматри­вать рабочие мес­та сот­рудни­ков и про­верять, не под­клю­чены ли пос­торон­ние устрой­ства.

Защита от BadUSB на Linux с помощью USBGuard

Ме­ханизм USB Device Authorization был добав­лен в ядро в далеком 2007 году и при­нес воз­можность соз­давать пра­вила и чер­но‑белые спис­ки USB-устрой­ств, которым мож­но и нель­зя под­клю­чать­ся к кон­крет­ной машине.

Тем не менее удоб­ного штат­ного спо­соба нас­трой­ки этой защиты до недав­них пор не сущес­тво­вало.

Теперь у нас есть USBGuard — ком­фор­тный спо­соб пре­дот­вра­тить ата­ки с USB на вашу линук­совую машину.

Ус­танов­ка USBGuard отно­ситель­но прос­та. Сна­чала устанавливаем зависи­мос­ти:

За­тем ска­чиваем исходный код из ре­пози­тория, переходим в пап­ку с ним и выпол­няем сле­дующее:

Пе­ред пер­вым запус­ком нуж­но сде­лать некото­рую нас­трой­ку, что­бы не ока­зать­ся без кла­виату­ры перед собс­твен­ным компь­юте­ром.

Сге­нери­руйте набор пра­вил для раз­решения уже под­клю­чен­ных устрой­ств:

Те­перь мож­но запус­кать демон.

Ес­ли ничего не взор­валось и ваша кла­виату­ра все еще работа­ет — добавьте сер­вис в авто­заг­рузку:

На мой взгляд — полезный  инструмент. Лучше решения для защиты Linux от BadUSB на Linux, мне неизвестно.

РЕКОМЕНДУЕМ:

• Используем смартфон как BadUSB
• BadUSB Rubber Ducky с управлением через GSM
• Как сделать USB Rubber Ducky на Digispark за 3$