Maximalizujte zabezpečení na GNU / Linux

Ahoj přátelé z DesdeLinux, co bylo slíbeno je dluh a zde je příspěvek o jak maximalizovat ochranu systémů Linux a zůstaňte tak bezpečný před vetřelci, stejně jako ochrana informací na vašich serverech, PC nebo laptopech !!!!

Spuštění

Fail2ban: je aplikace napsaná v Pythonu, která má zabránit vniknutí do systému, který působí penalizací nebo blokováním vzdálených připojení, která se pokoušejí o přístup hrubou silou.

Instalace:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

Nastavení:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

V části s názvem [VÝCHOZÍ] odkomentujeme a upravíme #bantime = 3600 a ponecháme to takto:

#bantime = 3600 bantime = 604800

V části [sshd] představíme enabled = true a ponecháme to takto:

#enabled = true enabled = true

Ukládáme pomocí CTRL + O a zavíráme pomocí CTRL + X

Spouštíme službu:

Fedora, RHEL, CentOS:

systemctl povolit fail2ban.service systemctl spustit fail2ban.service

Debian, Ubuntu:

služba fail2ban start

Odepřít přístup root pomocí ssh:

Abychom ochránili náš stroj, popřeme ssh prostřednictvím uživatele root. Za tímto účelem upravíme soubor / etc / ssh / sshd_config následujícím způsobem:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Odkomentujeme a změníme se

# Protokol 2 Protokol 2

Odkomentujeme a změníme se

#PermitRootLogin ano PermitRootLogin ne

Ukládáme pomocí CTRL + O a zavíráme pomocí CTRL + X

Spouštíme službu:

Fedora, RHEL, CentOS:

systemctl povolit sshd.service systemctl spustit sshd.service

Debian, Ubuntu:

služba sshd start

Odepřít přístup k serveru ssh pomocí hesla a povolit ssh pouze pomocí klíčů RSA

Pokud se chceme spojit s PC1 na Server1, první věcí, kterou musíme udělat, je vygenerovat náš klíč na PC1. S naším uživatelem a bez root na PC1 provádíme:

ssh-keygen -t rsa -b 8192 (generuje více než bezpečný klíč, protože se běžně používají klíče od 1024 do 2048)

Jakmile máme heslo, nahrajeme ho na Server1:

ssh-copy-id uživatel @ server_ip

Jakmile to uděláme, připojíme se k našemu Server1 a upravíme soubor nano / etc / ssh / sshd_config s oprávněními root:

ssh uživatel @ Server1 nano / etc / ssh / sshd_config

Změníme řádek, který říká #PasswordAuthentication ano, na toto:

#PasswordAuthentication ano
HesloAuthentication no

Ukládáme pomocí CTRL + O a zavíráme pomocí CTRL + X

Restartujeme službu ssh:

Fedora, RHEL, CentOS:

systemctl restart sshd.service

Debian, Ubuntu:

restartování služby sshd

Změňte ssh poslechový port

Opět upravíme / etc / ssh / sshd_config a v části odkazující na port to necháme takto:

# Port 22 Port 2000 (nebo jakékoli jiné číslo větší než 2000. V našich příkladech to použijeme.)

Ukládáme pomocí CTRL + O a zavíráme pomocí CTRL + X

Restartujeme službu ssh:

Fedora, RHEL, CentOS:

systemctl restart sshd.service

Debian, Ubuntu:

restartování služby sshd

Pokud používají fail2ban, je nutné změnit konfiguraci týkající se sshd úpravy portu.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Ukládáme pomocí CTRL + O a zavíráme pomocí CTRL + X

Službu obnovujeme:

Fedora, RHEL, CentOS:

systemctl restart fail2ban.service

Debian, Ubuntu:

restart služby fail2ban

Firewall

Fedora, RHEL, CentOS:

Selinux a Iptables jsou na těchto systémech ve výchozím nastavení aktivovány a doporučuji vám pokračovat tímto způsobem. Jak otevřít port s iptables? Podívejme se, jak otevřít nový port 2000 portu ssh, který jsme dříve změnili:

Otevřeno:

nano / etc / sysconfig / iptables

a upravíme řádek odkazující na výchozí ssh port 22 a necháme to takto:

# -A VSTUP -m stát --state NOVÝ -m tcp -p tcp --dport 22 -j PŘIJMOUT -A VSTUP -p tcp -m stát --state NOVÝ -m tcp --dport 2000 -j PŘIJMOUT

Ukládáme pomocí CTRL + O a zavíráme pomocí CTRL + X

Restartujeme službu:

systemctl restart iptables

Debian, Ubuntu:

V Debianu nebo Ubuntu a derivátech máme UFW firewall, který nám usnadní život, protože velmi snadno spravuje Netfilter.

Instalace:

apt-get install ufw ufw povolit

Chcete-li zobrazit stav otevřených portů, provedeme:

stav ufw

Otevření portu (v našem příkladu to bude nový port ssh 2000):

ufw povolit 2000

Chcete-li odmítnout port (v našem případě to bude výchozí port 22 ssh):

ufw odepřít 22 ufw smazat odepřít 22

A připravení přátelé. Díky tomu budou vaše stroje v bezpečí. Nezapomeňte to komentovat a až příště: D.