Maksimalno povećajte sigurnost na GNU / Linuxu

Zdravo prijatelji iz DesdeLinux, ono što je obećano je dug i evo posta o tome kako maksimizirati zaštitu Linux sistema i ostanite takvi sigurno od uljeza, kao i zaštitu podataka na vašim serverima, PC-ima ili laptopima !!!!

Comenzando

Fail2ban: je aplikacija napisana na Pythonu kako bi se spriječio upad u sistem koji djeluje kažnjavanjem ili blokiranjem udaljenih veza koje pokušavaju pristup grubom silom.

Instalacija:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

Postavljanje:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

U dijelu nazvanom [DEFAULT] mi komentiramo i mijenjamo #bantime = 3600 ostavljajući ga ovako:

#bantime = 3600 bantime = 604800

U [sshd] dio uvodimo enabled = true ostavljajući ga ovako:

#enabled = true omogućeno = true

Štedimo CTRL + O i zatvaramo CTRL + X

Uslugu započinjemo:

Fedora, RHEL, CentOS:

systemctl omogući fail2ban.service systemctl start fail2ban.service

Debian, Ubuntu:

usluga fail2ban start

Zabraniti root pristup pomoću ssh:

Da bismo zaštitili naš stroj, uskratit ćemo ssh preko root korisnika. Da bismo to učinili, uređujemo datoteku / etc / ssh / sshd_config na sljedeći način:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Komentiramo i mijenjamo se

# Protokol 2 Protokol 2

Komentiramo i mijenjamo se

#PermitRootLogin da PermitRootLogin ne

Štedimo CTRL + O i zatvaramo CTRL + X

Uslugu započinjemo:

Fedora, RHEL, CentOS:

systemctl omogući sshd.service systemctl pokreni sshd.service

Debian, Ubuntu:

servis sshd start

Zabranite pristup ssh serveru pomoću lozinke i omogućite ssh samo s RSA ključevima

Ako se želimo povezati s PC1 na Server1, prvo što treba učiniti je generirati naš ključ na PC1. Sa našim korisnikom i bez root-a na PC1 izvršavamo:

ssh-keygen -t rsa -b 8192 (ovo generira više nego siguran ključ jer se obično koriste ključevi od 1024 do 2048)

Nakon što imamo lozinku, prenosimo je na Server1:

ssh-copy-id korisnik @ server_ip

Jednom kada se to učini, povezati ćemo se s našim Server1 i izmijeniti nano / etc / ssh / sshd_config datoteku s root dopuštenjima:

ssh korisnik @ Server1 nano / etc / ssh / sshd_config

Mijenjamo liniju koja kaže #PasswordAuthentication da na ovo:

#PasswordAuthentication da
PasswordAuthentication br

Štedimo CTRL + O i zatvaramo CTRL + X

Ponovo pokrećemo ssh uslugu:

Fedora, RHEL, CentOS:

systemctl ponovno pokrenite sshd.service

Debian, Ubuntu:

ponovno pokretanje sshd usluge

Promijenite ssh port za slušanje

Opet uređujemo / etc / ssh / sshd_config i u dijelu koji se odnosi na port ostavljamo ga ovako:

# Port 22 Port 2000 (ili bilo koji drugi broj veći od 2000. U našim primjerima koristit ćemo ovo.)

Štedimo CTRL + O i zatvaramo CTRL + X

Ponovo pokrećemo ssh uslugu:

Fedora, RHEL, CentOS:

systemctl ponovno pokrenite sshd.service

Debian, Ubuntu:

ponovno pokretanje sshd usluge

Ako koriste fail2ban potrebno je promijeniti konfiguraciju u vezi sshd podešavanja porta.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Štedimo CTRL + O i zatvaramo CTRL + X

Obnavljamo uslugu:

Fedora, RHEL, CentOS:

systemctl ponovno pokrenite fail2ban.service

Debian, Ubuntu:

usluga fail2ban ponovno pokretanje

firewall

Fedora, RHEL, CentOS:

Selinux i Iptables su podrazumevano aktivirani na ovim sistemima i preporučujem da nastavite tim putem. Kako otvoriti port pomoću iptables-a? Pogledajmo kako otvoriti novi port 2000 ssh porta koji smo prethodno promijenili:

Otvoreno:

nano / etc / sysconfig / iptables

i mi modificiramo liniju koja se odnosi na zadani ssh port 22 i ostavimo je ovako:

# -A ULAZ -m stanje - stanje NOVO -m tcp -p tcp --dport 22 -j PRIHVATI -A ULAZ -p tcp -m stanje - stanje NOVO -m tcp --dport 2000 -j PRIHVATI

Štedimo CTRL + O i zatvaramo CTRL + X

Ponovo pokrećemo uslugu:

systemctl restart iptables

Debian, Ubuntu:

U Debianu ili Ubuntuu i izvedenicama imamo UFW zaštitni zid koji će nam olakšati život jer vrlo lako upravlja Netfilterom.

Instalacija:

apt-get install ufw ufw omogući

Da bismo vidjeli status otvorenih portova koje izvršavamo:

status ufw

Da biste otvorili port (u našem primjeru to će biti novi ssh port 2000):

ufw dopustiti 2000

Da odbijete port (u našem slučaju to će biti zadani port 22 od ssh):

ufw deny 22 ufw delete deny 22

I spremni prijatelji. Na ovaj način će zaštititi vaše mašine. Ne zaboravite komentirati i do sljedećeg puta: D.