La sécurité dans les systèmes GNU / Linux, dépend-elle du système ou de l'administrateur?

Autrefois, ils couraient à travers le filet rapports d'attaques Ils exploitent une vulnérabilité en PHP, qui permet à certains sites légitimes de diffuser des pages Web et des publicités frauduleuses, exposant les visiteurs à l'installation de logiciels malveillants sur leurs ordinateurs. Ces attaques profitent d'un vulnérabilité PHP extrêmement critique exposée publiquement il y a 22 mois et pour laquelle les mises à jour correspondantes ont été publiées.

Certains ont commencé à souligner avec insistance qu'une bonne partie des serveurs compromis dans ces attaques exécutent des versions de GNU / Linux, faisant semblant de remettre en question la sécurité de ce système d'exploitation, mais sans entrer dans les détails sur la nature de la vulnérabilité ou les raisons pour lesquelles ce qui est arrivé ceci.

Systèmes avec GNU / Linux infecté, dans tous les cas, ils exécutent le Noyau Linux version 2.6, sorti en 2007 ou avant. En aucun cas, il n'est mentionné l'infection de systèmes exécutant des noyaux supérieurs ou qui ont été dûment mis à jour; Mais bien sûr, il y a encore des administrateurs qui pensent "... si ce n'est pas cassé, ça n'a pas besoin d'être réparé" et alors ces choses se produisent.

En outre, une étude récente de la société de sécurité ESET, détaille l'appel «Opération Windigo», dans lequel à travers plusieurs kits d'attaque, dont un appelé abruti spécialement conçu pour Apache et d'autres serveurs Web open source populaires, ainsi qu'un autre appelé SSH, ils ont été plus de 26,000 XNUMX systèmes GNU / Linux compromis depuis mai de l'année dernière, cela signifie-t-il que GNU / Linux n'est plus sécurisé?

Tout d'abord, mettre les choses en contexte, si l'on compare les chiffres précédents avec les près de 2 millions d'ordinateurs Windows compromis par le bootnet ZeroAccess Avant d'être fermé en décembre 2013, il est facile de conclure qu'en termes de sécurité, Les systèmes GNU / Linux sont toujours plus sécurisés que ceux qui utilisent le système d'exploitation Microsoft, mais est-ce la faute de GNU / Linux si 26,000 XNUMX systèmes avec ce système d'exploitation ont été compromis?

Comme dans le cas de la vulnérabilité PHP critique évoquée ci-dessus, qui affecte les systèmes sans mises à jour du noyau, ces autres attaques impliquent des systèmes dans lesquels le nom d'utilisateur et / ou le mot de passe par défaut n'ont pas été modifiés et qui ont conservé le les ports 23 et 80 s'ouvrent inutilement; Alors, est-ce vraiment la faute de GNU / Linux?

Evidemment, la réponse est NON, le problème n'est pas le système d'exploitation utilisé mais l'irresponsabilité et la négligence des administrateurs de ces systèmes qui ne comprennent pas tout à fait le maximum énoncé par l'expert en sécurité Bruce Schneier qui devrait être brûlé dans notre cerveau: La sécurité EST un processus PAS un produit.

Il est inutile d'installer un système sûr et éprouvé si nous le laissons ensuite abandonné et n'installons pas les mises à jour correspondantes dès leur publication. De même, il est inutile de maintenir notre système à jour si les informations d'authentification qui apparaissent par défaut lors de l'installation continuent d'être utilisées. Dans les deux cas, c'est procédures élémentaires de sécurité, qui ne sont pas dus à la répétition, sont correctement appliqués.

Si vous avez sous votre responsabilité un système GNU / Linux avec Apache ou un autre serveur Web open source et que vous voulez vérifier s'il a été compromis, la procédure est simple. Dans le cas de Ébury, vous devez ouvrir un terminal et saisir la commande suivante:

ssh -G

Si la réponse est différente de:

ssh: illegal option – G

puis la liste des options correctes pour cette commande, alors votre système est compromis.

Pour le cas de abruti, la procédure est un peu plus compliquée. Vous devez ouvrir un terminal et écrire:

curl -i http://myserver/favicon.iso | grep "Location:"

Si votre système a été compromis, alors abruti il redirigera la demande et vous donnera le résultat suivant:

Location: http://google.com

Sinon, il ne renverra rien ou un emplacement différent.

La forme de désinfection peut sembler rudimentaire, mais c'est la seule qui a prouvé son efficacité: effacement complet du système, réinstallation à partir de zéro et réinitialiser toutes les informations d'identification utilisateur et administrateur à partir d'un terminal non validé. Si vous trouvez cela difficile, pensez que si vous aviez changé les informations d'identification rapidement, vous n'auriez pas compromis le système.

Pour une analyse beaucoup plus détaillée du fonctionnement de ces infections, ainsi que des moyens spécifiques utilisés pour les propager et des mesures correspondantes à prendre, nous vous suggérons de télécharger et de lire l'analyse complète du «Opération Windigo» disponible sur le lien suivant:

Opération Windigo

Enfin, un conclusion fondamentale: Il n'y a pas de système d'exploitation garanti contre les administrateurs irresponsables ou imprudents; En ce qui concerne la sécurité, il y a toujours quelque chose à faire, car la première et la plus grave erreur est de penser que nous l'avons déjà réalisé, ou ne le pensez-vous pas?