تعظيم الأمن على جنو / لينكس

مرحبا أصدقاء من DesdeLinux‎ما وعد به دين وهنا تدوينة عنه كيفية تعظيم حماية أنظمة Linux وابقى على هذا النحو آمنة من المتسللين وكذلك حماية المعلومات الموجودة على الخوادم أو أجهزة الكمبيوتر أو أجهزة الكمبيوتر المحمولة !!!!

بداية

FAIL2BAN: هو تطبيق مكتوب بلغة Python لمنع التطفل على النظام ، والذي يعمل عن طريق معاقبة أو حظر الاتصالات البعيدة التي تحاول الوصول إلى القوة الغاشمة.

التثبيت:

Fedora و RHEL و CentOS:

yum install fail2ban

دبيان ، أوبونتو:

apt-get install fail2ban

ضبط:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

في الجزء المسمى [DEFAULT] ، نقوم بإلغاء التعليق وتعديل #bantime = 3600 وتركه هكذا:

#bantime = 3600 bantime = 604800

في الجزء [sshd] نقدم تمكين = صحيح وتركه على هذا النحو:

#enabled = تمكين صحيح = صحيح

نوفر باستخدام CTRL + O ونغلق باستخدام CTRL + X

نبدأ الخدمة:

Fedora و RHEL و CentOS:

يمكّن systemctl fail2ban.service systemctl ابدأ fail2ban.service

دبيان ، أوبونتو:

بدء خدمة فشل 2ban

رفض الوصول إلى الجذر باستخدام ssh:

لحماية أجهزتنا ، سنرفض ssh من خلال مستخدم الجذر. للقيام بذلك نقوم بتحرير الملف / etc / ssh / sshd_config على النحو التالي:

cp sshd_config sshd_config.bck نانو / إلخ / ssh / sshd_config

نحن نترك التعليق ونتغير

# البروتوكول 2 البروتوكول 2

نحن نترك التعليق ونتغير

#PermitRootLogin نعم PermitRootLogin لا

نوفر باستخدام CTRL + O ونغلق باستخدام CTRL + X

نبدأ الخدمة:

Fedora و RHEL و CentOS:

يمكّن systemctl sshd.service systemctl بدء sshd.service

دبيان ، أوبونتو:

بدء خدمة sshd

رفض الوصول إلى خادم ssh باستخدام كلمة المرور والسماح لـ ssh فقط باستخدام مفاتيح RSA

إذا أردنا الاتصال بـ PC1 بـ Server1 ، فإن أول شيء يتعين علينا القيام به هو إنشاء مفتاحنا على PC1. مع مستخدمنا وبدون جذر على PC1 ، ننفذ:

ssh-keygen -t rsa -b 8192 (هذا يولد أكثر من مفتاح آمن لأن المفاتيح من 1024 إلى 2048 تستخدم عادة)

بمجرد حصولنا على كلمة المرور الخاصة بنا ، نقوم بتحميلها على Server1:

ssh-copy-id user @ server_ip

بمجرد الانتهاء من ذلك ، سنقوم بالاتصال بخادمنا 1 وتعديل ملف nano / etc / ssh / sshd_config بأذونات الجذر:

ssh user @ Server1 nano / etc / ssh / sshd_config

قمنا بتغيير السطر الذي يقول #PasswordAuthentication نعم لهذا:

#PasswordAuthentication نعم
كلمة المرور المصادقة لا

نوفر باستخدام CTRL + O ونغلق باستخدام CTRL + X

نعيد تشغيل خدمة ssh:

Fedora و RHEL و CentOS:

إعادة تشغيل systemctl sshd.service

دبيان ، أوبونتو:

إعادة تشغيل خدمة sshd

تغيير منفذ الاستماع ssh

مرة أخرى نقوم بتحرير / etc / ssh / sshd_config وفي الجزء الذي يشير إلى المنفذ نتركه كما يلي:

# Port 22 Port 2000 (أو أي رقم آخر أكبر من 2000. في أمثلةنا سنستخدم هذا.)

نوفر باستخدام CTRL + O ونغلق باستخدام CTRL + X

نعيد تشغيل خدمة ssh:

Fedora و RHEL و CentOS:

إعادة تشغيل systemctl sshd.service

دبيان ، أوبونتو:

إعادة تشغيل خدمة sshd

إذا استخدموا fail2ban ، فمن الضروري تغيير التكوين فيما يتعلق بضبط المنفذ sshd.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

نوفر باستخدام CTRL + O ونغلق باستخدام CTRL + X

نجدد الخدمة:

Fedora و RHEL و CentOS:

إعادة تشغيل systemctl fail2ban.service

دبيان ، أوبونتو:

إعادة تشغيل خدمة فشل 2ban

جدار الحماية

Fedora و RHEL و CentOS:

يتم تنشيط Selinux و Iptables افتراضيًا على هذه الأنظمة وأنا أوصيك بالمتابعة بهذه الطريقة. كيف تفتح منفذ مع iptables؟ دعونا نرى كيفية فتح المنفذ الجديد 2000 الخاص بمنفذ ssh الذي قمنا بتغييره سابقًا:

افتح:

nano / etc / sysconfig / iptables

ونقوم بتعديل الخط الذي يشير إلى منفذ ssh الافتراضي 22 ونتركه على هذا النحو:

# -A INPUT -m state - State NEW -m tcp -p tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 2000 -j ACCEPT

نوفر باستخدام CTRL + O ونغلق باستخدام CTRL + X

نعيد تشغيل الخدمة:

إعادة تشغيل systemctl iptables

ديبيان ، أوبونتو:

في Debian أو Ubuntu والمشتقات ، لدينا جدار حماية UFW الذي سيجعل حياتنا سهلة لأنه يدير Netfilter بسهولة بالغة.

التثبيت:

apt-get install ufw ufw enable

لمعرفة حالة المنافذ المفتوحة التي ننفذها:

حالة ufw

لفتح منفذ (في مثالنا سيكون منفذ ssh الجديد 2000):

ufw تسمح 2000

لرفض منفذ (في حالتنا سيكون المنفذ الافتراضي 22 من ssh):

ufw deny 22 ufw حذف رفض 22

وجاهزين الأصدقاء. بهذه الطريقة سوف يحافظون على أجهزتك آمنة. لا تنسى التعليق وحتى المرة القادمة: د.