Увеличете сигурността на GNU / Linux

Здравейте приятели от DesdeLinux, обещаното е дълг и ето публикация за как да максимизираме защитата на Linux системите и останете така безопасно от натрапници в допълнение към защитата на информацията на вашите сървъри, компютри или лаптопи !!!!

Comenzando

Fail2ban: е приложение, написано на Python за предотвратяване на проникване в система, която действа чрез наказване или блокиране на отдалечени връзки, които се опитват да получат груба сила.

Инсталация:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

Настройка:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

В частта, наречена [ПО подразбиране], ние коментираме и модифицираме #bantime = 3600, оставяйки го така:

#bantime = 3600 bantime = 604800

В частта [sshd] въвеждаме enabled = true, оставяйки го така:

#enabled = вярно активирано = вярно

Спестяваме с CTRL + O и затваряме с CTRL + X

Стартираме услугата:

Fedora, RHEL, CentOS:

systemctl активира fail2ban.service systemctl стартира fail2ban.service

Debian, Ubuntu:

услуга fail2ban старт

Отказ на root достъп чрез ssh:

За да защитим нашата машина, ще откажем ssh чрез root потребителя. За целта редактираме файла / etc / ssh / sshd_config, както следва:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Ние коментираме и се променяме

# Протокол 2 Протокол 2

Ние коментираме и се променяме

#PermitRootLogin да PermitRootLogin не

Спестяваме с CTRL + O и затваряме с CTRL + X

Стартираме услугата:

Fedora, RHEL, CentOS:

systemctl активира sshd.service systemctl стартира sshd.service

Debian, Ubuntu:

услуга sshd старт

Откажете достъпа до ssh сървър с помощта на ключ и разрешете ssh само с RSA ключове

Ако искаме да се свържем с PC1 към Server1, първото нещо, което трябва да направим, е да генерираме нашия ключ на PC1. С нашия потребител и без root на PC1 изпълняваме:

ssh-keygen -t rsa -b 8192 (това генерира повече от сигурен ключ, тъй като обикновено се използват ключове от 1024 до 2048)

След като получим нашата парола, я качваме на Server1:

ssh-copy-id потребител @ server_ip

След като това стане, ще се свържем с нашия Server1 и ще модифицираме файла nano / etc / ssh / sshd_config с права на root:

ssh потребител @ Server1 nano / etc / ssh / sshd_config

Променяме реда, който казва #PasswordAuthentication да на това:

#PasswordAuthentication да
Парола Аутентификационен номер

Спестяваме с CTRL + O и затваряме с CTRL + X

Рестартираме услугата ssh:

Fedora, RHEL, CentOS:

systemctl рестартирайте sshd.service

Debian, Ubuntu:

услуга sshd рестартиране

Променете ssh порта за слушане

Отново редактираме / etc / ssh / sshd_config и в частта, отнасяща се до порта, го оставяме така:

# Порт 22 Порт 2000 (или всяко друго число, по-голямо от 2000 г. В нашите примери ще използваме това.)

Спестяваме с CTRL + O и затваряме с CTRL + X

Рестартираме услугата ssh:

Fedora, RHEL, CentOS:

systemctl рестартирайте sshd.service

Debian, Ubuntu:

услуга sshd рестартиране

Ако използват fail2ban, е необходимо да промените конфигурацията по отношение на sshd за настройка на порта.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Спестяваме с CTRL + O и затваряме с CTRL + X

Ние подновяваме услугата:

Fedora, RHEL, CentOS:

systemctl рестартирайте fail2ban.service

Debian, Ubuntu:

услуга fail2ban рестартиране

Firewall

Fedora, RHEL, CentOS:

Selinux и Iptables се активират по подразбиране на тези системи и препоръчвам да продължите по този начин. Как да отворите порт с iptables? Нека да видим как да отворим новия порт 2000 на ssh порта, който сме променили преди:

Отворено:

nano / etc / sysconfig / iptables

и ние модифицираме реда, отнасящ се до по подразбиране ssh порт 22 и го оставяме така:

# -A INPUT -m състояние - състояние НОВО -m tcp -p tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m състояние - състояние NEW -m tcp --dport 2000 -j ACCEPT

Спестяваме с CTRL + O и затваряме с CTRL + X

Рестартираме услугата:

systemctl рестартирайте iptables

Debian, Ubuntu:

В Debian или Ubuntu и дериватите имаме защитна стена UFW, която ще улесни живота ни, тъй като много лесно управлява Netfilter.

Инсталация:

apt-get install ufw ufw enable

За да видите състоянието на отворените портове, които изпълняваме:

ufw статус

За да отворите порт (в нашия пример това ще бъде новият ssh порт 2000):

ufw позволи 2000

За да откажете порт (в нашия случай това ще бъде портът по подразбиране 22 на ssh):

ufw отказ 22 ufw изтриване отказ 22

И готови приятели. По този начин те ще пазят вашите машини в безопасност. Не забравяйте да коментирате и до следващия път: D.