Systemy Windows i Linux

Lekcja 1 · Część A

Rozruch systemu: BIOS/UEFI i bootloader

Rozruch to ciąg etapów, od włączenia komputera do uruchomienia systemu. Każdy etap przekazuje sterowanie następnemu, a atakujący, który przejmie wcześniejszy etap, może ukryć się przed zabezpieczeniami działającymi później.

# Linux: istnieje katalog tylko w UEFI
[ -d /sys/firmware/efi ] && echo "UEFI" || echo "BIOS (Legacy)"

# Windows (PowerShell, administrator)
bcdedit /enum
msinfo32      # pole „Tryb BIOS”

Lekcja 2 · Część A

Systemy plików i struktura katalogów

System plików bez uprawnień (FAT32, exFAT) nie pozwala chronić plików przed innymi użytkownikami na tym samym komputerze, dlatego do danych systemowych i użytkowników stosuje się NTFS lub ext4.

Lekcja 3 · Część A

Tryb użytkownika, tryb jądra i powierzchnia ataku

Procesory rozróżniają poziomy uprawnień (pierścienie ochrony). Tryb jądra (ring 0) ma pełny dostęp do sprzętu i pamięci. W trybie użytkownika (ring 3) działają programy, które nie mogą bezpośrednio sięgać do sprzętu, tylko proszą jądro o usługi przez wywołania systemowe. Dzięki temu błąd w aplikacji nie zawiesza całego systemu.

• jądro zarządza procesami, pamięcią, urządzeniami, systemem plików i uprawnieniami,
• sterowniki działają w trybie jądra, więc podatny lub złośliwy sterownik daje atakującemu pełną kontrolę,
• przejście z trybu użytkownika do jądra to granica zaufania: błąd w jej obsłudze umożliwia eskalację uprawnień.

Powierzchnia ataku

Powierzchnia ataku to wszystkie miejsca, przez które atakujący może próbować wejść lub zaszkodzić: otwarte porty i usługi sieciowe, zainstalowane programy i pakiety, sterowniki, konta i hasła, udziały sieciowe, interfejsy zdalnego zarządzania. Im mniej składników, tym mniejsza powierzchnia.

Lekcja 4 · Część A

Ochrona pamięci: ASLR, DEP i inne mechanizmy

Wiele ataków wykorzystuje błędy zarządzania pamięcią (np. przepełnienie bufora), aby wykonać własny kod. Systemy wprowadzają mechanizmy, które utrudniają takie ataki.

# Linux: 0 = wyłączone, 1 = częściowe, 2 = pełne ASLR
cat /proc/sys/kernel/randomize_va_space

# Windows PowerShell: mitygacje procesu i systemu
Get-ProcessMitigation -System

Lekcja 5 · Część A

Łańcuch rozruchu: Secure Boot, Trusted Boot i integralność jądra

Secure Boot (funkcja UEFI) uruchamia tylko komponenty podpisane zaufanym kluczem: oprogramowanie sprzętowe weryfikuje podpis bootloadera, bootloader weryfikuje jądro. Zmodyfikowany lub niepodpisany bootloader nie zostanie uruchomiony.

# Windows (PowerShell jako administrator)
Confirm-SecureBootUEFI
Get-Tpm

# Linux
mokutil --sb-state
dmesg | grep -i "secure boot"

Autentyczność sterowników i obrazów

• sterowniki Windows podpisuje producent i Microsoft (program WHQL); stan podpisu sprawdzisz Get-AuthenticodeSignature plik.sys lub narzędziem sigcheck,
• obrazy instalacyjne i pakiety weryfikuj sumą kontrolną i podpisem (np. gpg --verify),
• nigdy nie wyłączaj wymuszania podpisów sterowników dla wygody.

Lekcja 6 · Część A

Modele uprawnień: SID, UID i GID

Po zalogowaniu system tworzy dla procesu token (Windows) lub zestaw UID/GID (Linux). Każda próba dostępu do zasobu porównuje tożsamość procesu z uprawnieniami zasobu.

• konto root (UID 0) i Administrator (oraz SYSTEM) mają bardzo szerokie uprawnienia: pracuj na nich tylko w razie potrzeby,
• konta usług powinny mieć własne tożsamości bez możliwości logowania interaktywnego,
• bit SUID w Linux uruchamia program z uprawnieniami jego właściciela, więc podatny program SUID umożliwia eskalację uprawnień.

Lekcja 7 · Część B

Nośnik instalacyjny i weryfikacja obrazu

Instalację zaczynamy od zaufanego obrazu systemu. Pobranie obrazu z nieoficjalnego źródła lub bez weryfikacji pozwala atakującemu zainstalować system z wbudowanym złośliwym oprogramowaniem.

• pobieraj obrazy tylko ze stron producenta (Microsoft, dystrybucja Linux),
• sprawdź sumę kontrolną (np. SHA-256) obrazu,
• dla pewności autentyczności sprawdź podpis cyfrowy pliku z sumami (GPG) lub podpis instalatora,
• nośnik przygotuj narzędziem producenta (Media Creation Tool, Rufus, dd, Etcher).

# Linux: suma kontrolna z pliku SHA256SUMS
sha256sum -c SHA256SUMS --ignore-missing

# podpis pliku z sumami (po zaimportowaniu klucza producenta)
gpg --verify SHA256SUMS.gpg SHA256SUMS

# Windows PowerShell
Get-FileHash .\obraz.iso -Algorithm SHA256
Get-AuthenticodeSignature .\instalator.exe

lsblk                                   # sprawdź nazwę pendrive'a, np. /dev/sdb
sudo dd if=obraz.iso of=/dev/sdb bs=4M status=progress conv=fsync

Lekcja 8 · Część B

Instalacja w standardzie utwardzonym

Instalacja utwardzona od początku ogranicza powierzchnię ataku i izoluje składniki systemu. Wiele ustawień łatwo zrobić podczas instalacji, a trudno lub kosztownie później.

Partycjonowanie i opcje montowania

• osobne partycje dla /, /boot, /home, /var i /tmp: wypełnienie jednego obszaru (np. logami) nie zatrzyma systemu,
• dla obszarów zapisywalnych przez użytkowników wyłączaj wykonywanie kodu opcjami: noexec (zakaz uruchamiania programów), nosuid (ignorowanie SUID), nodev (brak plików urządzeń),
• szyfrowanie całego dysku (LUKS w Linux, BitLocker w Windows) już przy instalacji.

# urządzenie       punkt   system  opcje                      dump fsck
UUID=...           /home   ext4    defaults,nodev,nosuid      0    2
tmpfs              /tmp    tmpfs   defaults,noexec,nosuid,nodev  0  0

Po instalacji

• ustaw język, strefę czasową i synchronizację czasu (ważne dla logów i certyfikatów),
• skonfiguruj parametry sieciowe zgodnie z planem adresacji,
• wyłącz zbędne usługi i usuń niepotrzebne pakiety,
• zainstaluj aktualizacje od razu (apt update && apt upgrade, dnf upgrade, Windows Update),
• wyłącz lub zmień nazwę wbudowanego konta Administrator, nie zostawiaj haseł domyślnych.

Lekcja 9 · Część B

Model zerowego zaufania i konta techniczne

Zero Trust (zerowe zaufanie) zakłada, że żadne urządzenie, użytkownik ani połączenie nie jest zaufane tylko dlatego, że znajduje się „wewnątrz” sieci. Zasady: nigdy nie ufaj, zawsze weryfikuj, dawaj najmniejsze potrzebne uprawnienia i zakładaj, że naruszenie już nastąpiło.

Konta techniczne i serwisowe

Konta, na których działają usługi i zadania, nie powinny pozwalać na logowanie interaktywne (przez konsolę ani zdalny pulpit) i nie powinny mieć praw administratora.

sudo useradd --system --no-create-home --shell /usr/sbin/nologin appsvc
sudo passwd -l appsvc          # zablokowane hasło
grep appsvc /etc/passwd

W Windows analogiczne ustawienia to odmowa prawa Logowanie lokalne i Logowanie przez usługi pulpitu zdalnego dla konta usługi (secpol.msc) oraz używanie kont zarządzanych (gMSA) w domenie.

Lekcja 10 · Część B

Grupy, RBAC, sudo i UAC

Uprawnienia nadaje się grupom odpowiadającym rolom (RBAC), a użytkowników dodaje do grup. Dzięki temu zmiana stanowiska to zmiana członkostwa w grupie, a nie przepisywanie uprawnień do wielu zasobów.

sudo groupadd helpdesk
sudo useradd -m -G helpdesk anna
sudo usermod -aG helpdesk bartek       # dodanie do grupy (-a koniecznie!)
id anna
sudo chage -M 90 -W 14 anna            # hasło ważne 90 dni, ostrzeżenie 14 dni

New-LocalGroup -Name "Helpdesk" -Description "Pomoc techniczna"
New-LocalUser -Name "anna" -Password (Read-Host -AsSecureString "Hasło") -FullName "Anna K."
Add-LocalGroupMember -Group "Helpdesk" -Member "anna"
Get-LocalGroupMember -Group "Helpdesk"

Podnoszenie uprawnień

# /etc/sudoers.d/helpdesk
%helpdesk ALL=(root) /usr/bin/systemctl restart nginx

Lekcja 11 · Część B

MFA, ochrona poświadczeń i magazyny kluczy

Hasła użytkowników są przechowywane w postaci skrótów, ale w pamięci systemu mogą istnieć też dane pozwalające przejąć sesję (skróty NTLM, bilety Kerberos). Atakujący z uprawnieniami administratora próbuje je wydobyć z procesu odpowiedzialnego za logowanie (LSASS w Windows).

Monitorowanie prób dostępu do poświadczeń i logowań

# Windows PowerShell
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
    Select-Object TimeCreated, @{n='Konto';e={$_.Properties[5].Value}}

# Linux
sudo journalctl _COMM=sshd | grep "Failed password" | tail -20
sudo lastb | head

Lekcja 12 · Część B

Obowiązkowa kontrola dostępu: AppArmor, SELinux i integralność

Klasyczne uprawnienia (DAC) pozwalają właścicielowi decydować o dostępie. MAC (obowiązkowa kontrola dostępu) dodaje politykę systemową, której nie może zmienić zwykły użytkownik ani proces, nawet jeśli działa jako root. Ogranicza skutki przejęcia usługi.

# AppArmor
sudo aa-status
sudo aa-enforce /etc/apparmor.d/usr.sbin.nginx
sudo aa-complain /etc/apparmor.d/usr.sbin.nginx    # tylko loguje naruszenia

# SELinux
getenforce
sestatus
ls -Z /var/www/html
sudo restorecon -Rv /var/www/html
sudo ausearch -m avc -ts recent | sudo audit2why

Lekcja 13 · Część C

Uprawnienia NTFS i ACL w Windows

W NTFS każdy plik i folder ma listę kontroli dostępu (ACL) złożoną z wpisów (ACE): komu (użytkownik lub grupa) co wolno albo czego zabroniono. Uprawnienia są dziedziczone z folderu nadrzędnego, chyba że dziedziczenie wyłączono.

• uprawnienia sumują się z wszystkich grup użytkownika, ale jawny zakaz (Deny) zwykle wygrywa z zezwoleniem,
• uprawnienia nadawaj grupom, nie pojedynczym użytkownikom,
• przy kopiowaniu obiekt dziedziczy uprawnienia z nowego miejsca, a przy przenoszeniu w obrębie tego samego woluminu zachowuje swoje.

icacls C:\Dane\Ksiegowosc
icacls C:\Dane\Ksiegowosc /inheritance:r
icacls C:\Dane\Ksiegowosc /grant "Ksiegowosc:(OI)(CI)M"
icacls C:\Dane\Ksiegowosc /grant "Administratorzy:(OI)(CI)F"
icacls C:\Dane\Ksiegowosc /remove "Uzytkownicy"

Lekcja 14 · Część C

Uprawnienia plików w Linux: rwx, SUID i ACL

Każdy plik w Linux ma właściciela, grupę i trzy zestawy uprawnień (właściciel, grupa, pozostali): r (odczyt, 4), w (zapis, 2), x (wykonanie lub wejście do katalogu, 1). Zapis ósemkowy sumuje wartości: rwxr-x--- to 750.

ls -l plik
chmod 640 plik.txt           # rw- r-- ---
chmod u+x skrypt.sh          # dodaj wykonanie właścicielowi
chown anna:ksiegowosc plik.txt
umask                        # np. 0022: nowe pliki 644, katalogi 755
umask 027                    # nowe pliki 640, katalogi 750

setfacl -m u:anna:rw plik.txt          # prawo dla jednego użytkownika
setfacl -m g:audyt:r-- plik.txt
getfacl plik.txt

# audyt: programy z bitem SUID
find / -perm -4000 -type f 2>/dev/null

Lekcja 15 · Część C

Udziały sieciowe i ochrona dostępu do danych

Udział sieciowy udostępnia folder innym komputerom. W Windows służy do tego SMB, w Linux często Samba (zgodna z SMB) lub NFS. Dostęp do pliku przez udział zależy od dwóch zestawów uprawnień: uprawnień udziału i uprawnień NTFS, a obowiązuje bardziej restrykcyjne.

New-SmbShare -Name "Dane" -Path "C:\Dane" -FullAccess "Administratorzy" -ChangeAccess "Ksiegowosc"
Get-SmbShare
Get-SmbShareAccess -Name "Dane"
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol    # wyłącz stary, niebezpieczny SMBv1

# /etc/exports - tylko dla sieci 192.168.10.0/24, root_squash
/srv/dane  192.168.10.0/24(rw,sync,root_squash,no_subtree_check)

# /etc/samba/smb.conf
[dane]
   path = /srv/dane
   valid users = @ksiegowosc
   read only = no
   guest ok = no

Zasady ochrony

• wyłącz SMBv1 i dostęp anonimowy (gość),
• włącz podpisywanie SMB, a w razie potrzeby szyfrowanie,
• ogranicz dostęp zaporą do zaufanych sieci,
• w NFS stosuj root_squash (zdalny root traktowany jak zwykły użytkownik),
• dostęp przydzielaj grupom i przeglądaj go regularnie.

Lekcja 16 · Część C

Szyfrowanie plików i wolumenów

Szyfrowanie danych w spoczynku chroni informacje, gdy ktoś zdobędzie nośnik (zgubiony laptop, wyjęty dysk). Można szyfrować cały wolumen lub pojedyncze pliki.

# Windows: stan szyfrowania wolumenów
manage-bde -status

# Linux: szyfrowanie nowej partycji LUKS (uwaga: kasuje dane!)
sudo cryptsetup luksFormat /dev/sdb1
sudo cryptsetup open /dev/sdb1 dane
sudo mkfs.ext4 /dev/mapper/dane
sudo mount /dev/mapper/dane /mnt/dane
# zamknięcie
sudo umount /mnt/dane && sudo cryptsetup close dane

Lekcja 17 · Część C

Przestrzeń dyskowa, montowanie i integralność systemu plików

Monitorowanie zajętości

# Linux
df -h
du -sh /var/* | sort -h | tail
sudo ncdu /var

# Windows PowerShell
Get-PSDrive -PSProvider FileSystem
fsutil volume diskfree C:

Kwoty dyskowe (quota) ograniczają miejsce, które może zająć użytkownik (w Windows: NTFS Quotas, w Linux: quota). Nagłe zapełnienie dysku (np. rosnące logi) może zatrzymać usługi, więc to też kwestia dostępności.

Montowanie w Linux

lsblk -f
blkid                                    # UUID partycji
sudo mount /dev/sdb1 /mnt/dane
sudo mount -o ro,noexec /dev/sdb1 /mnt/dane
findmnt                                  # aktualne montowania
# trwałe montowanie: wpis w /etc/fstab (najlepiej przez UUID)
sudo findmnt --verify                    # sprawdzenie składni fstab

Integralność systemu plików po awarii

# Windows: skanowanie bez naprawy, a potem naprawa
chkdsk C: /scan
chkdsk D: /f

# Linux: tylko na odmontowanym systemie plików!
sudo umount /dev/sdb1
sudo fsck -f /dev/sdb1

Dziennik (journaling, np. w NTFS i ext4) zapisuje zamiar wykonania operacji, więc po nagłej awarii zasilania system plików szybko wraca do spójności.

Lekcja 18 · Część D

Zarządzanie usługami systemowymi

Usługa (w Linux: demon) to program działający w tle, bez udziału użytkownika, np. serwer WWW, SSH, drukowanie. Usługi mają stan (uruchomiona, zatrzymana) i tryb uruchamiania.

Get-Service | Where-Object Status -eq Running
Get-Service -Name Spooler
Stop-Service -Name Spooler
Set-Service -Name Spooler -StartupType Disabled
Start-Service -Name Spooler

systemctl status ssh
sudo systemctl restart nginx
sudo systemctl enable --now nginx        # uruchom teraz i przy starcie
sudo systemctl disable --now telnet.socket
systemctl list-units --type=service --state=running
systemctl list-dependencies nginx

Lekcja 19 · Część D

Harmonogram zadań: Task Scheduler, cron i timery

Zadania cykliczne (kopie zapasowe, czyszczenie logów, aktualizacje) uruchamia się automatycznie według harmonogramu. W Windows służy do tego Harmonogram zadań, a w Linux cron lub timery systemd.

schtasks /create /tn "KopiaDziennik" /tr "C:\Skrypty\kopia.cmd" /sc daily /st 02:00 /ru SYSTEM
schtasks /query /tn "KopiaDziennik" /fo list
schtasks /delete /tn "KopiaDziennik" /f

crontab -e                    # edycja własnych zadań
# minuta godzina dzień-miesiąca miesiąc dzień-tygodnia polecenie
30 2 * * *  /usr/local/bin/kopia.sh          # codziennie 2:30
0 3 * * 0   /usr/local/bin/czyszczenie.sh    # w niedzielę o 3:00
crontab -l
systemctl list-timers

Lekcja 20 · Część D

Skrypty PowerShell i Bash w administracji

Skrypty automatyzują powtarzalne czynności: tworzenie kont, zbieranie informacji, audyt, kopie zapasowe. Dobry skrypt jest czytelny, bezpieczny i wykonuje tylko to, co ma.

Get-LocalUser |
    Where-Object { $_.Enabled } |
    Select-Object Name, LastLogon, PasswordRequired |
    Sort-Object LastLogon -Descending |
    Format-Table -AutoSize

#!/usr/bin/env bash
set -euo pipefail

echo "Konta z pustym hasłem:"
sudo awk -F: '($2 == "") { print $1 }' /etc/shadow

echo "Katalogi domowe dostępne dla wszystkich:"
find /home -maxdepth 1 -type d -perm -o+r

Zasady bezpiecznych skryptów

• nie zapisuj haseł i kluczy w skrypcie (używaj magazynów sekretów, zmiennych środowiskowych lub monitów),
• waliduj dane wejściowe i cytuj zmienne w Bash ("$plik"),
• używaj set -euo pipefail w Bash i $ErrorActionPreference = 'Stop' w PowerShell,
• testuj bezpiecznie: PowerShell -WhatIf, opcje dry-run, maszyna testowa,
• ogranicz uprawnienia pliku skryptu i konto, na którym działa,
• w Windows pamiętaj o polityce wykonywania skryptów (Get-ExecutionPolicy) i podpisywaniu skryptów.

Lekcja 21 · Część D

Narzędzia AI w administracji systemami

Narzędzia generatywnej AI potrafią napisać szkic skryptu PowerShell lub Bash, wyjaśnić komunikat błędu, zoptymalizować kod i przygotować dokumentację. Odpowiedzialność za wykonane polecenia zawsze ponosi administrator, a nie narzędzie.

Zasady bezpiecznej pracy z AI

• nie wklejaj haseł, kluczy, danych osobowych ani konfiguracji z sekretami do narzędzi zewnętrznych,
• przeczytaj i zrozum każde polecenie, zanim je uruchomisz,
• najpierw uruchamiaj w maszynie testowej, z opcją -WhatIf lub dry-run,
• sprawdź w dokumentacji producenta, czy opcje istnieją i robią to, co opisano,
• uważaj na polecenia niszczące lub osłabiające bezpieczeństwo: rm -rf, chmod -R 777, wyłączanie zapory lub Defendera, curl ... | sudo bash.

# „Napraw uprawnienia, żeby aplikacja działała”
sudo chmod -R 777 /var/www
sudo setenforce 0
sudo systemctl stop firewalld

Taki szkic „naprawia” problem, ale otwiera zapis dla wszystkich, wyłącza SELinux i zaporę. Poprawna odpowiedź to: nadać właściciela i grupę usługi (chown), prawa 750/640 i poprawić etykiety (restorecon).

Lekcja 22 · Część D

Zależności usług i diagnozowanie błędów startu

Usługi często zależą od siebie: aplikacja potrzebuje bazy danych, ta z kolei sieci. Gdy zawiedzie ogniwo niżej, powstaje błąd kaskadowy: kolejne usługi nie startują, choć same są poprawne. Diagnozę zaczyna się od przyczyny najgłębiej w łańcuchu zależności.

systemctl status nginx
journalctl -u nginx -b --no-pager | tail -30
journalctl -xe
systemctl list-dependencies nginx
systemd-analyze blame | head

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Service Control Manager'; Level=2} -MaxEvents 15 |
    Select-Object TimeCreated, Id, Message
Get-Service -Name W3SVC | Select-Object Name, Status, DependentServices, ServicesDependedOn

Lekcja 23 · Część E

Utwardzanie Windows: zasady, AppLocker i prywatność

Utwardzanie (ang. hardening) to takie skonfigurowanie systemu, aby ograniczyć jego powierzchnię ataku i skutki naruszenia. W Windows większość ustawień zapisuje się w zasadach: lokalnych (secpol.msc, gpedit.msc) lub grupowych (GPO) w domenie Active Directory.

AppLocker

AppLocker pozwala uruchamiać tylko dozwolone aplikacje. Reguły mogą opierać się na wydawcy (podpis), ścieżce lub skrócie pliku. Typowy sposób wdrożenia: utwórz reguły domyślne, włącz tryb Tylko inspekcja (audit), sprawdź w dzienniku, co zostałoby zablokowane, a następnie przełącz na Wymuszaj.

secedit /export /cfg C:\Raporty\sec.cfg
Get-AppLockerPolicy -Effective | Select-Object -ExpandProperty RuleCollections
Get-WinEvent -LogName "Microsoft-Windows-AppLocker/EXE and DLL" -MaxEvents 20

Lekcja 24 · Część E

Utwardzanie Windows: bootloader, rejestr i ochrona przed exploitami

Ochrona rozruchu

• włącz Secure Boot i ustaw hasło do ustawień UEFI,
• zaszyfruj dysk systemowy BitLockerem z TPM (a dla większego bezpieczeństwa z dodatkowym PIN-em przed rozruchem),
• ograniczaj dostęp do wiersza poleceń środowiska odzyskiwania i sprawdzaj konfigurację rozruchu: bcdedit /enum.

Kopia i przywracanie rejestru

Rejestr to baza ustawień systemu i programów. Błędna zmiana może uniemożliwić uruchomienie systemu, dlatego przed każdą modyfikacją wykonaj kopię odpowiedniej gałęzi.

reg export "HKLM\SOFTWARE\Policies" C:\Kopie\policies.reg
reg import C:\Kopie\policies.reg
# gałęzie autostartu warte przeglądu
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run"

Ochrona przed exploitami i wbudowane zabezpieczenia

• Microsoft Defender: ochrona w czasie rzeczywistym, SmartScreen, ochrona przed exploitami (Exploit protection),
• reguły Attack Surface Reduction (ASR): blokują typowe techniki, np. uruchamianie plików wykonywalnych z załączników e-mail,
• Controlled Folder Access: chroni foldery przed zmianami przez nieznane programy (pomaga przeciw ransomware),
• wyłączenie przestarzałych komponentów, np. SMBv1: Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol.

Lekcja 25 · Część E

Utwardzanie Linux: SSH, root, pliki konfiguracyjne i jądro

Bezpieczny dostęp zdalny i konto root

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AllowUsers anna bartek
MaxAuthTries 3
LoginGraceTime 30
X11Forwarding no

sudo sshd -t                      # test składni, bez restartu
sudo systemctl reload ssh
sudo passwd -l root               # zablokowanie hasła roota (logowanie przez sudo)

Ochrona plików konfiguracyjnych

sudo chmod 600 /etc/ssh/sshd_config
sudo chown root:root /etc/ssh/sshd_config
sudo chattr +i /etc/resolv.conf       # atrybut niezmienności: nawet root nie zmieni bez chattr -i
lsattr /etc/resolv.conf
umask 027

Utwardzanie jądra (sysctl)

net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
kernel.randomize_va_space = 2

sudo sysctl --system
sysctl net.ipv4.tcp_syncookies

Lekcja 26 · Część E

Redukcja powierzchni ataku: pakiety, usługi i autostart

Każdy zainstalowany program, działająca usługa i otwarty port to potencjalna podatność. Zasada: im mniej, tym bezpieczniej. Utwardzanie obejmuje inwentaryzację i usuwanie zbędnych składników.

# Linux
systemctl list-unit-files --state=enabled
ss -tulpn
ls /etc/cron.d /var/spool/cron/crontabs 2>/dev/null

# Windows PowerShell
Get-CimInstance Win32_StartupCommand | Select-Object Name, Command, Location
Get-NetTCPConnection -State Listen | Sort-Object LocalPort

Lekcja 27 · Część E

Audyt konfiguracji i benchmarki bezpieczeństwa

Benchmark bezpieczeństwa to opracowana przez ekspertów lista zalecanych ustawień systemu. Porównując z nią konfigurację, można ocenić stan zabezpieczeń i znaleźć odstępstwa.

sudo lynis audit system
sudo oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_cis \
     --report raport.html /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml

Proces utwardzania

• zmierz stan wyjściowy (audyt), zastosuj zmiany w sposób kontrolowany, zmierz ponownie,
• każdą zmianę testuj (wpływ na stabilność i działanie usług) i dokumentuj,
• przed zmianami zrób kopię konfiguracji,
• nie stosuj ślepo wszystkich zaleceń: oceń je w kontekście zadań systemu.

Lekcja 28 · Część F

Zapora Windows Defender Firewall

Zapora hosta filtruje ruch na poziomie pojedynczego komputera. W Windows działa w trzech profilach: domenowym, prywatnym i publicznym (stosowanym w sieciach niezaufanych). Reguły dotyczą ruchu przychodzącego i wychodzącego; domyślnie ruch przychodzący jest blokowany, a wychodzący dozwolony.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True -DefaultInboundAction Block
Set-NetFirewallProfile -Profile Public -LogBlocked True -LogFileName "%systemroot%\system32\LogFiles\Firewall\pfirewall.log"

New-NetFirewallRule -DisplayName "Zablokuj Telnet" -Direction Inbound -Protocol TCP -LocalPort 23 -Action Block
New-NetFirewallRule -DisplayName "RDP z sieci admin" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 192.168.10.0/24 -Action Allow
Get-NetFirewallRule -Enabled True -Direction Inbound | Select-Object DisplayName, Action | Sort-Object DisplayName

Test-NetConnection -ComputerName 192.168.10.20 -Port 3389

• ruch wychodzący też można ograniczać (np. blokować połączenia programów, które nie powinny łączyć się z internetem),
• reguły ogranicz do potrzebnych adresów i portów,
• włącz logowanie zablokowanych połączeń,
• regularnie przeglądaj reguły i usuwaj nieużywane.

Lekcja 29 · Część F

Zapora w Linux: ufw, nftables i ochrona przed nadużyciami

W Linux jądro filtruje pakiety (netfilter), a administrator zarządza regułami przez narzędzia: iptables, nowszy nftables lub proste nakładki ufw (Ubuntu) i firewalld (RHEL, z strefami zaufania).

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow from 192.168.10.0/24 to any port 22 proto tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    iif lo accept
    ct state established,related accept
    ip saddr 192.168.10.0/24 tcp dport 22 accept
    tcp dport 443 accept
  }
}

sudo nft -f /etc/nftables.conf
sudo nft list ruleset
# test z innej maszyny w laboratorium
nc -zv 192.168.10.20 22
nc -zv 192.168.10.20 3306

Ochrona przed nadużyciami

• fail2ban blokuje adresy po wielu nieudanych logowaniach (na podstawie logów),
• ograniczanie liczby nowych połączeń na zaporze (rate limiting),
• blokowanie wszystkich nieużywanych portów i usług nasłuchujących na wszystkich interfejsach.

Lekcja 30 · Część F

Monitorowanie połączeń i procesów, wykrywanie anomalii

# Linux
ss -tunap | head -30
sudo lsof -i -P -n | grep ESTABLISHED
ps aux --sort=-%cpu | head
top -b -n1 | head -15

# Windows PowerShell
Get-NetTCPConnection -State Established | Select-Object LocalPort, RemoteAddress, RemotePort, OwningProcess
Get-Process | Sort-Object CPU -Descending | Select-Object -First 10 Name, Id, CPU, Path
Get-AuthenticodeSignature (Get-Process -Id 4242).Path

Dokładniejszą telemetrię procesów i połączeń zapewnia Sysmon (Sysinternals): zdarzenie 1 rejestruje utworzenie procesu, a zdarzenie 3 połączenie sieciowe.

Lekcja 31 · Część F

Logi i audyt zdarzeń

Dzienniki zdarzeń rejestrują działania w systemie: logowania, zmiany kont, uruchomienia usług, błędy. Umożliwiają wykrywanie incydentów, ustalanie przyczyn (rozliczalność) i dowodzenie.

auditpol /get /category:*
auditpol /set /subcategory:"Logon" /success:enable /failure:enable
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625,4720,4732} -MaxEvents 30

sudo journalctl -u ssh --since "1 hour ago"
sudo tail -f /var/log/auth.log

# auditd: obserwuj zmiany w /etc/passwd i /etc/sudoers
sudo auditctl -w /etc/passwd -p wa -k zmiany_kont
sudo auditctl -w /etc/sudoers -p wa -k zmiany_sudo
sudo ausearch -k zmiany_kont
# trwale: pliki w /etc/audit/rules.d/

Rotacja i centralizacja logów

• rotacja (logrotate w Linux) zapobiega zapełnieniu dysku i archiwizuje stare logi,
• centralizacja (np. przekazywanie do serwera przez rsyslog lub agent SIEM, w Windows przekazywanie zdarzeń) chroni logi przed usunięciem przez włamywacza i ułatwia korelację,
• synchronizuj czas na wszystkich systemach, aby logi dało się porównywać.

grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head

Lekcja 32 · Część F

Ochrona przed szkodliwym oprogramowaniem i analiza incydentu

# Windows
Get-MpComputerStatus
Update-MpSignature
Start-MpScan -ScanType QuickScan

# Linux (ClamAV)
sudo freshclam
sudo clamscan -r --infected /home

Jak działa typowe złośliwe oprogramowanie

• dostarczenie: załącznik, pobrany plik, exploit,
• uruchomienie i utrwalenie: wpisy autostartu, zadania zaplanowane, usługi,
• komunikacja z serwerem atakującego (C2) i pobieranie kolejnych modułów,
• działanie końcowe: kradzież, szyfrowanie, rozprzestrzenianie.

Reverse shell: pojęcie i wykrywanie

W ataku typu reverse shell to zainfekowany komputer sam nawiązuje połączenie wychodzące do atakującego i oddaje mu powłokę poleceń. Zapory często zezwalają na ruch wychodzący, dlatego taki sposób omija ochronę. Ćwiczenie symulujące ten atak wykonuje się wyłącznie w izolowanym laboratorium, zgodnie ze scenariuszem nauczyciela.

Reakcja: odizoluj system od sieci, zachowaj dowody (zrzut pamięci, logi), zidentyfikuj proces i sposób wejścia, usuń mechanizmy utrwalenia, zmień narażone hasła i klucze, odtwórz ze znanej dobrej kopii, udokumentuj i zgłoś incydent.

Lekcja 33 · Część F

Ochrona hosta przed atakami typu Denial of Service

Atak DoS na host ma na celu wyczerpanie jego zasobów: łączy sieciowych, pamięci, procesora, miejsca na dysku lub liczby procesów. Skutkiem jest utrata dostępności usług.

# SYN cookies
sudo sysctl -w net.ipv4.tcp_syncookies=1

# limit procesów i plików dla użytkownika (/etc/security/limits.conf)
anna  hard  nproc   200
anna  hard  nofile  4096

# w jednostce systemd
[Service]
LimitNPROC=200
MemoryMax=512M

# ograniczenie liczby nowych połączeń SSH na zaporze
sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m limit --limit 10/min --limit-burst 20 -j ACCEPT

W Windows ochronę zapewniają zapora, ograniczenia zasobów dla usług, aktualizacje oraz monitorowanie liczników wydajności (procesor, pamięć, dysk, połączenia). Dla ataków wolumetrycznych potrzebne są też zabezpieczenia na poziomie sieci i operatora.

Lekcja 34 · Część G

Kopie zapasowe i odtwarzanie systemów

Kopia zapasowa to zapasowy egzemplarz danych lub systemu, z którego można odtworzyć stan po awarii, błędzie lub ataku (zwłaszcza ransomware). Kopia, której odtwarzania nigdy nie sprawdzono, nie jest gwarancją.

Zasada 3-2-1

• 3 kopie danych (oryginał i dwie kopie),
• na 2 różnych rodzajach nośników,
• z 1 kopią przechowywaną w innym miejscu (poza lokalizacją lub w chmurze).
• Rozszerzenie: kopia niezmienialna lub odłączona od sieci (ochrona przed ransomware) i test odtwarzania bez błędów (3-2-1-1-0).

Dwa parametry planowania: RPO (ile danych możemy stracić, czyli jak często robić kopie) i RTO (jak szybko system ma być odtworzony).

# Windows: kopia systemu na dysk E:
wbadmin start backup -backupTarget:E: -include:C: -allCritical -quiet
# kopiowanie folderu (UWAGA: /MIR usuwa w celu pliki, których nie ma w źródle)
robocopy C:\Dane E:\Kopia\Dane /MIR /Z /R:2 /W:5 /LOG:E:\Kopia\robocopy.log

# Linux: rsync z zachowaniem uprawnień, tar z kompresją
sudo rsync -aAXv --delete /home/ /mnt/kopia/home/
sudo tar -czpf /mnt/kopia/etc-$(date +%F).tar.gz /etc

sha256sum /home/anna/dokument.odt /mnt/kopia/home/anna/dokument.odt
diff -r /home/anna /mnt/kopia/home/anna && echo "Zgodne"

Lekcja 35 · Część G

Wirtualizacja: maszyny wirtualne, migawki i sieci

Wirtualizacja pozwala uruchomić wiele odizolowanych systemów na jednym sprzęcie. Hiperwizor dzieli zasoby (procesor, pamięć, dysk, sieć) między maszyny wirtualne.

Migawki a kopie zapasowe

Migawka (snapshot) zapisuje stan maszyny w danym momencie i pozwala szybko do niego wrócić (ułatwia testy i aktualizacje). To nie jest kopia zapasowa: zależy od tego samego dysku, więc jej utrata lub uszkodzenie oznacza utratę danych. Długi łańcuch migawek obniża wydajność.

• do ćwiczeń ofensywnych i analizy malware używaj sieci Host-only lub Internal, nigdy sieci Bridged,
• optymalizuj zasoby: przydziel tylko potrzebną pamięć i liczbę procesorów, dyski thin provisioning,
• migracja między platformami: eksport do formatu OVA/OVF lub konwersja dysków (qemu-img convert -O qcow2 dysk.vmdk dysk.qcow2), a po migracji sprawdź działanie usług,
• aktualizuj hiperwizor i dodatki gościa, ogranicz funkcje współdzielenia schowka i folderów, szyfruj maszyny z danymi wrażliwymi.

Lekcja 36 · Część G

Docker i bezpieczeństwo kontenerów

Kontener to odizolowany proces z własnym widokiem systemu plików, sieci i procesów, współdzielący jądro systemu gospodarza. Jest lżejszy niż maszyna wirtualna, ale izolacja jest słabsza: błąd w jądrze lub nadmierne uprawnienia kontenera mogą zagrozić hostowi. Obraz to niezmienny szablon, z którego uruchamia się kontenery.

docker pull nginx:1.27
docker run -d --name www -p 127.0.0.1:8080:80 nginx:1.27
docker ps
docker logs www
docker stop www && docker rm www
docker images
docker rmi nginx:1.27

FROM python:3.12-slim
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
COPY . .
RUN useradd --system --no-create-home appuser
USER appuser
EXPOSE 8000
CMD ["python", "app.py"]

Zasady bezpieczeństwa kontenerów

• uruchamiaj proces jako użytkownik nie-root (USER),
• używaj minimalnych obrazów bazowych (slim, alpine) i przypinaj wersje (nie latest),
• nie używaj --privileged i nie montuj /var/run/docker.sock do kontenera,
• ogranicz możliwości: --cap-drop ALL, --read-only, limity --memory i --cpus,
• otwieraj tylko wymagane porty i wiąż je z konkretnym interfejsem (127.0.0.1:8080:80),
• nie zapisuj sekretów w obrazie ani w zmiennych w Dockerfile; skanuj obrazy narzędziem (np. Trivy) i aktualizuj.

Lekcja 37 · Część G

Chmura obliczeniowa i model współdzielonej odpowiedzialności

Chmura obliczeniowa to model udostępniania zasobów informatycznych przez sieć na żądanie: samoobsługa, szeroki dostęp sieciowy, współdzielenie zasobów, szybka elastyczność i pomiar zużycia (płatność za użycie).

Typowe zagrożenia w chmurze

• błędna konfiguracja (publicznie dostępne magazyny danych, otwarte porty),
• nadmierne uprawnienia kont i ról, brak MFA,
• wyciekłe klucze dostępu w kodzie lub repozytoriach,
• brak monitorowania i dzienników audytu.

Lekcja 38 · Część G

Bezpieczne wdrażanie systemu Linux i kontenerów w chmurze

Wdrażając instancję Linux lub kontener w chmurze, stosuje się te same zasady co lokalnie, uzupełnione o mechanizmy dostawcy. Poniższa lista jest niezależna od konkretnej platformy.

sudo sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sudo sshd -t && sudo systemctl reload ssh