Seguridad de Linux: defensa paso a paso (2)

Servicio NFS
El sistema de archivos de red es la base para el acceso de intercambio de archivos en el mundo Unix. Si desea evitar que los usuarios compartan directorios de forma arbitraria, puede aumentar el límite de NFS, como bloquear el archivo /etc /exports y definir el directorio compartido de antemano. Si no desea que los usuarios compartan, solo restrinja el acceso de los usuarios, necesita modificar la secuencia de comandos de inicio de NFS. Edite el archivo /etc/init.d/nfs, encuentre la línea del demonio y coméntela. /etc/init.d/nfs # daemon rpc.nfsd $ RPCNFSDCOUNT
Muchos de los archivos de configuración y comandos en el sistema son muy delicados. La modificación de permisos y la adición de propiedades de solo lectura pueden evitar problemas de seguridad hasta cierto punto. Chmod 700 /bin /rpm #NFS archivo de configuración de directorio compartido chmod 600 /etc /exports #Host archivo de control de acceso chmod 600 /etc/hosts.* chmod R 751 /var /log chmod 644 /var /log /messages # Configuración del registro del sistema Archivo chmod 640 /etc/syslog.conf chmod 660 /var /log /wtmp chmod 640 /var /log /lastlog chmod 600 /etc /ftpusers # contraseña del usuario archivo chmod 644 /etc /passwd chmod 600 /etc /shadow #check Directorio del archivo de configuración del módulo chmod R 750 /etc/pam.d chmod 600 /etc/lilo.conf #terminal archivo de configuración chmod 600 /etc /securetty chmod 400 /etc/shutdown.allow #system acceso al archivo de configuración de seguridad chmod 700 /etc /Seguridad #network archivo de configuración del sistema chmod R 751 /etc /sysconfig #hyper archivo de configuración del daemon chmod 600 /etc/xinetd.conf chmod 600 /etc/inetd.conf chmod R 750 /etc/rc.d/init.d/chmod 750 /etc/rc.d/init.d/* #autorun archivo de control de programa chmod 600 /etc /crontab chmod 400 /etc/cron.* #SSH archivo de configuración chmod 750 /etc /ssh #kernel archivo de configuración de control chmod 400 /etc/sysctl.confg chattr + I /etc /services chattr + I /etc /group chattr + I /etc /gsha Dow chattr + I /etc/hosts.* chattr + I /etc/xinetd.conf chattr + I /etc /exports chattr + I /bin /login chattr + a /var /log /message
Seguir Iniciar sesión
Primero use el servidor de registro. Es una buena idea guardar una copia de la información de registro del cliente. Crear un servidor para almacenar los archivos de registro. Puede revisar los registros para encontrar el problema. Modifique el archivo /etc /sysconfig /syslog para aceptar el registro remoto. /etc /sysconfig /syslog SYSLOGD_OPTIONS = " -m r 0 "
También debe configurar el guardado remoto del registro. Modifique el archivo /etc/syslog.conf a la configuración del servidor de registro, y syslog guardará la copia en el servidor de registro. /etc/syslog.conf *. * @log_server_IP
Se puede usar un filtro de registro de color. Color log loco filtro, la versión actual es 0.32. Usa loco /var /log /messages |  Más puede mostrar un registro de color, marcando claramente la ubicación de la raíz y el comando de excepción en el registro. Esto puede reducir los artefactos al analizar los registros. También se requiere una verificación regular de los registros. La herramienta logwatch está disponible en Red Hat Linux para revisar automáticamente los registros y enviar correos al buzón del administrador de manera regular. Debe modificar el archivo /etc/log.d/conf/logwatch.conf para agregar la dirección de correo electrónico del administrador después del parámetro MailTo = root. Logwatch comprueba periódicamente los registros y filtra la información sobre el uso de root, sudo, telnet y ftp para ayudar a los administradores a analizar la seguridad diaria. Compruebe el archivo con suid y sgid en esta máquina. Los archivos con suid y sgid son bastante peligrosos. En pocas palabras, los usuarios normales pueden tener privilegios de superusuario al usar estos comandos, y los usuarios pueden ingresar directamente al entorno de superusuario. Hay muchos comandos que requieren suid y sgid. Estos comandos se encuentran en la instalación del sistema y se pueden usar como un estándar para comparar problemas de seguridad con máquinas que tienen problemas. Además de suid y sgid, si encuentra que algunos archivos no pertenecen a ningún usuario, puede ser una vulnerabilidad de seguridad. El siguiente comando puede guardar la lista de archivos anterior en un archivo, hacer una copia de seguridad de estos archivos y usarlos para compararlos más adelante. Busque /-xdev -type f -perm +6000 2 > /dev /null > /root/backup/audit/suid.log encuentre /-xdev -nouser -o -nogroup > /dev /null > /root /Backup /audit /nouser.log encuentre /-xdev -type f -perm -2 > /dev /null > /root/backup/audit/other.log
Uso de SSH
Cuando un administrador administra los clientes de forma remota Además de Webmin, el uso de la línea de comandos es más rápido que Webmin. Si bien telnet se transmite en texto claro, SSH es la mejor opción para evitar que el sniffer capture información confidencial. SSH generará una clave entre las dos máquinas que se comunican en la primera conexión. La comunicación posterior se cifra y el sniffer no podrá analizar la información de manera efectiva. Si Linux está usando directamente el comando SSH, podrá conectarse al otro host. Si está conectado desde Windows, necesita soporte de software. Se recomienda usar PuTTY, que se puede obtener en http://www.chiark.greenend.org.uk/~sgtatham/putty /Descargar, la versión actual es 0.52. SSH usa el puerto TCP 22. Tenga cuidado de no utilizar ningún proceso r como rlogin, rcp, etc.
Usar transferencias de archivos más seguras
A menos que necesite FTP para transferir una gran cantidad de archivos, puede usar SCP en su lugar. Al igual que SSH, SCP crea un canal cifrado con una clave. WinSCP en Windows se puede descargar desde http://winscp.vse.cz/, la versión actual es 2.0.0 (Build89). Pero si necesita transferir una gran cantidad de archivos, SCP hará que el procesador invierta demasiados recursos en procesar el cifrado, en su lugar puede usar proftp. El servicio Wuftp predeterminado utilizado por Red Hat Linux se descarga desde http://www.proftpd.org/. La versión actual es 1.2.4.
uso de instantáneas del sistema
Las instantáneas del sistema utilizan archivos del sistema para organizar bases de datos para descubrir periódicamente los cambios del sistema. Se recomienda Tripwire, la versión actual es 2.3.1-10. Debe tenerse en cuenta que el archivo de configuración de Tripwire es exhaustivo, pero puede que no sea adecuado para su sistema, por lo que debe personalizar el archivo twpol.txt. El principio de personalización es primero instalar el sistema completo, luego instalar tripwire y hacer una instantánea del sistema usando el archivo de configuración predeterminado. De acuerdo con el mensaje de error solicitado, use # para ocultar la información de configuración adicional y luego regenere la base de datos. Rpm ivh tripwire-2.3.1-10.i386.rpm #Modifique el archivo twpol.txt, oculte los archivos que no existen en el sistema y luego comience a instalar /etc/tripwire/twinstall.sh # La instalación le pedirá la contraseña para generar la clave. Y actualice la contraseña de la base de datos # Observe la operación de copiar la clave, de lo contrario, indicará que el archivo no existe en el error de inicialización cp /etc/tripwire/$HOSTNAME-local.key /etc/tripwire/localhost-local.key #initialize tripwire, Genere la base de datos, que le pedirá la contraseña para el cable de la clave --init # para determinar los cambios del sistema a través de la instantánea del sistema, y ​​envíe el mensaje al usuario de Internet específico --check -M
Usar detección de intrusión basada en el host
IDS puede Ayude a los administradores a encontrar un intento de romper la seguridad. La prevención de intrusiones basada en host en la empresa es más importante que la basada en la red, después de todo, la red de la empresa está detrás del firewall. Se recomienda usar snare. La versión actualmente compatible con Red Hat Linux 7.2 es 0.9-1, que puede descargarse desde http://www.intersectalliance.com. Entre ellos, snare-core es el demonio del núcleo. Snare es un programa de visualización para interfaces gráficas. Una vez completada la instalación, se generará un demonio llamado auditoría. Snare se ocupa de las operaciones de raíz o de la modificación de permisos de archivos, así como del acceso a registros de datos confidenciales. Por lo tanto, el archivo de configuración se puede usar para definir un sistema de registro de detección de intrusiones adecuado para su sistema. La instalación predeterminada ya proporciona una configuración completa para satisfacer sus necesidades generales.
Otras herramientas de seguridad
Uso de la herramienta Bastille Bastille es una colección de secuencias de comandos de configuración de seguridad. Muchas de las configuraciones anteriores se pueden hacer automáticamente utilizando Bastille. Después de instalar Bastille por primera vez, BastilleBackEnd puede usar el archivo de configuración previamente configurado. Se puede personalizar el script de seguridad configurando el archivo /etc /Bastille /config. La configuración general de Bastille no incluye parámetros como los firewalls. Si es necesario, puede usar InteractiveBastille.pl para instalar interactivamente después de la instalación. Bastille abrirá una ventana del asistente, y puede generar un archivo de configuración adecuado para su sistema seleccionando Sí o No. El esquema de configuración de la Bastilla es ligeramente. Uso de Trojan Checker El chkrootkit se usa para verificar que se ha reemplazado al verificar comandos importantes en el sistema. Debido a que se basa en las herramientas de Trojan y Backdoor que se crearon, es importante seguir actualizando. El uso de un programa de ejecución automática El uso de crontab puede reducir la intensidad de trabajo del administrador. Por ejemplo, agregue la verificación de tripwire, la verificación de chkrootkit y envíe los resultados al buzón del administrador. Recuerde a todos que debe haber al menos un servidor de registro y un tipo diferente de versión de Linux o sistema operativo, todos los escritorios deben estar en el firewall y no se utiliza ningún módem para conectarse a Internet; al menos un sistema de detección de intrusos, se distribuyen varios sensores En la red, al menos 2 administradores del sistema deben realizar copias de seguridad entre sí, no inicie sesión directamente con la raíz, no use telnet para iniciar sesión de forma remota; es necesario documentar cualquier cambio en el sistema; después de todo, un punto de prevención es mejor que muchos tratamientos. Lo anterior es solo una breve descripción de la configuración básica para la seguridad de Linux en la empresa. Si no se cumplen las configuraciones básicas, los problemas de seguridad afectarán al administrador del sistema. Hay muchas más configuraciones de seguridad complejas que no están cubiertas, como limitar las interacciones de la red, limitar los recursos y más. Debido a que se introducen los escritorios en el firewall, no se describen las configuraciones de seguridad del firewall, el servidor de correo, los archivos y el servidor web, pero de ninguna manera se hacen las fotos de seguridad, por lo que puede estar tranquilo. Estos están recién comenzando, pero no son suficientes. Muchos escenarios de uso específicos y configuraciones más profundas son bienvenidos para comunicarse con los administradores que se preocupan por la seguridad de Linux.