Безопасный Linux десктоп: hardening Ubuntu для приватности

# 1. Автоматические обновления безопасности
apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

# 2. UFW Firewall
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp  # SSH (смените порт позже)
ufw enable

# 3. Fail2ban против брутфорса
apt install -y fail2ban
systemctl enable fail2ban

# 4. Отключение ненужных сервисов
systemctl disable cups bluetooth avahi-daemon

# 5. Проверка открытых портов
ss -tuln | grep LISTEN

# 6. Sysctl hardening
cat >> /etc/sysctl.conf << 'EOF'
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.rp_filter = 1
net.ipv4.tcp_syncookies = 1
kernel.randomize_va_space = 2
EOF
sysctl -p

# AppArmor включён по умолчанию в Ubuntu
# Проверка статуса
aa-status

# Включение enforce mode для браузера
aa-enforce /etc/apparmor.d/usr.bin.firefox

# Профили для критичных программ
apt install -y apparmor-profiles apparmor-profiles-extra

# Проверка нарушений
dmesg | grep apparmor | grep DENIED