Maximitza la seguretat en GNU / Linux

Hola amics de DesdeLinux, el promès és deute i aquí va un post de com maximitzar la protecció de sistemes Linux i mantenir-se així fora de perill d'intrusos a més de protegir la informació en els seus servidors, PC o portàtils !!!!

Començant

fail2ban: és una aplicació escrita en Python per a la prevenció d'intrusos en un sistema, que actua penalitzant o bloquejant les connexions remotes que intenten accessos per força bruta.

Instal · lació:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

Configuració:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

A la part anomenada [DEFAULT] descomentem i modifiquem #bantime = 3600 deixant així:

#bantime = 3600 bantime = 604800

A la part [sshd] introduïm enabled = true deixant així:

#enabled = true enabled = true

Guardem amb CTRL + O i tanquem amb CTRL + X

Iniciem el servei:

Fedora, RHEL, CentOS:

systemctl enable fail2ban.service systemctl start fail2ban.service

Debian, Ubuntu:

service fail2ban start

Denegar accés root usant ssh:

Per protegir la nostra màquina anem a denegar ssh mitjançant l'usuari root. Per a això editem l'arxiu / etc / ssh / sshd_config de la següent manera:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Descomentem i canviem

#Protocol 2 Protocol 2

Descomentem i canviem

#PermitRootLogin yes PermitRootLogin no

Guardem amb CTRL + O i tanquem amb CTRL + X

Iniciem el servei:

Fedora, RHEL, CentOS:

systemctl enable sshd.service systemctl start sshd.service

Debian, Ubuntu:

service sshd start

Denegar accés a un servidor ssh usant clau i permetre ssh només amb claus RSA

Si volem connectar-nos amb el PC1 a l'Servidor1 el primer que hem de fer és generar la nostra clau en el PC1. Amb el nostre usuari i sense root al PC1 executem:

ssh-keygen -t rsa -b 8192 (això genera una clau més que segura ja que normalment es fan servir claus de 1024-2048)

Un cop tenim la nostra clau la vam pujar a l'Servidor1:

ssh-copy-id usuari @ ip_del_servidor

En aquest punt anem a connectar-nos al nostre Servidor1 i modifiquem amb permisos de root l'arxiu nano / etc / ssh / sshd_config:

ssh usuari @ Servidor1 nano / etc / ssh / sshd_config

La línia que posa #PasswordAuthentication yes la canviem a això:

#PasswordAuthentication yes
PasswordAuthentication no

Guardem amb CTRL + O i tanquem amb CTRL + X

Reiniciem el servei ssh:

Fedora, RHEL, CentOS:

systemctl restart sshd.service

Debian, Ubuntu:

service sshd restart

Canviar el port d'escolta ssh

Novament vam editar / etc / ssh / sshd_config i en la part referent a l'port la deixem així:

# Port 22 Port 2000 (o qualsevol altre nombre més gran que 2000. En els nostres exemples farem servir aquest.)

Guardem amb CTRL + O i tanquem amb CTRL + X

Reiniciem el servei ssh:

Fedora, RHEL, CentOS:

systemctl restart sshd.service

Debian, Ubuntu:

service sshd restart

Si fan servir fail2ban cal canviar la configuració referent a sshd ajustant el port.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Guardem amb CTRL + O i tanquem amb CTRL + X

Reniciamos el servei:

Fedora, RHEL, CentOS:

systemctl restart fail2ban.service

Debian, Ubuntu:

service fail2ban restart

Firewall

Fedora, RHEL, CentOS:

En aquests sistemes es troben SELinux i Iptables activats per defecte i jo recomano que segueixi així. Com obrir un port amb Iptables? Anem a veure com obrir el nou port 2000 del port ssh que vam canviar anteriorment:

obrir:

nano / etc / sysconfig / iptables

i modifiquem la línia referent a port ssh per defecte 22 i la deixem així:

# -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 2000 -j ACCEPT

Guardem amb CTRL + O i tanquem amb CTRL + X

Reiniciem el servei:

systemctl restart iptables

Debian, Ubuntu:

A Debian o Ubuntu i derivats disposem de UFW tallafocs el qual ens farà la vida fàcil ja que gestiona a Netfilter molt fàcil.

Instal · lació:

apt-get install ufw ufw enable

Per veure l'estat de ports oberts executem:

ufw status

Per obrir un port (en el nostre exemple serà el nou port 2000 de ssh):

ufw allow 2000

Per denegar un port (en el nostre cas serà el port per defecte 22 de ssh):

ufw deny 22 ufw delete deny 22

I llest amics. D'aquesta manera mantindran les vostres màquines fora de perill. No us oblideu comentar i fins la propera: D.