Maksimalno povećajte sigurnost na GNU / Linuxu

Poštovani prijatelji DesdeLinux, lo prometido es deuda y aquí va un post de kako maksimizirati zaštitu Linux sustava i ostati takav sef od uljeza, kao i zaštitu podataka na vašim poslužiteljima, osobnim računalima ili prijenosnim računalima !!!!

pokretanje

Fail2ban: je aplikacija napisana na Pythonu kako bi se spriječio upad u sustav koji djeluje kažnjavanjem ili blokiranjem udaljenih veza koje pokušavaju pristup grubom silom.

Montaža:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

Postavka:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

U dijelu nazvanom [DEFAULT] mi komentiramo i mijenjamo #bantime = 3600 ostavljajući ga ovako:

#bantime = 3600 bantime = 604800

U [sshd] dio uvodimo enabled = true ostavljajući ga ovako:

#enabled = true omogućeno = true

Štedimo CTRL + O, a zatvaramo CTRL + X

Uslugu započinjemo:

Fedora, RHEL, CentOS:

systemctl omogući fail2ban.service systemctl start fail2ban.service

Debian, Ubuntu:

usluga fail2ban start

Zabraniti root pristup pomoću ssh:

Da bismo zaštitili svoj stroj, uskratit ćemo ssh putem root korisnika. Da bismo to učinili, uređujemo datoteku / etc / ssh / sshd_config na sljedeći način:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Komentiramo i mijenjamo se

# Protokol 2 protokol 2

Komentiramo i mijenjamo se

#PermitRootLogin da PermitRootLogin ne

Štedimo CTRL + O, a zatvaramo CTRL + X

Uslugu započinjemo:

Fedora, RHEL, CentOS:

systemctl omogući sshd.service systemctl pokreni sshd.service

Debian, Ubuntu:

servis sshd start

Zabranite pristup ssh poslužitelju pomoću lozinke i dopustite ssh samo s RSA ključevima

Ako se želimo povezati s PC1 na Server1, prvo što treba učiniti je generirati naš ključ na PC1. S našim korisnikom i bez root-a na PC1 izvršavamo:

ssh-keygen -t rsa -b 8192 (ovo generira više nego siguran ključ jer se obično koriste ključevi od 1024 do 2048)

Nakon što imamo lozinku, prenosimo je na Server1:

ssh-copy-id korisnik @ server_ip

Nakon što se to učini, povezat ćemo se s našim Server1 i izmijeniti datoteku nano / etc / ssh / sshd_config s root dopuštenjima:

ssh korisnik @ Server1 nano / etc / ssh / sshd_config

Mijenjamo redak koji kaže #PasswordAuthentication da:

#PasswordAuthentication da
PasswordAuthentication br

Štedimo CTRL + O, a zatvaramo CTRL + X

Ponovno pokrećemo ssh uslugu:

Fedora, RHEL, CentOS:

systemctl ponovno pokrenite sshd.service

Debian, Ubuntu:

ponovno pokretanje usluge sshd

Promijenite ssh port za slušanje

Opet uređujemo / etc / ssh / sshd_config i u dijelu koji se odnosi na port ostavljamo ga ovako:

# Port 22 Port 2000 (ili bilo koji drugi broj veći od 2000. U našim ćemo primjerima ovo koristiti.)

Štedimo CTRL + O, a zatvaramo CTRL + X

Ponovno pokrećemo ssh uslugu:

Fedora, RHEL, CentOS:

systemctl ponovno pokrenite sshd.service

Debian, Ubuntu:

ponovno pokretanje usluge sshd

Ako koriste fail2ban, potrebno je promijeniti konfiguraciju u vezi sshd podešavanja porta.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Štedimo CTRL + O, a zatvaramo CTRL + X

Obnavljamo uslugu:

Fedora, RHEL, CentOS:

systemctl ponovno pokrenite fail2ban.service

Debian, Ubuntu:

usluga fail2ban ponovno pokretanje

vatrozid

Fedora, RHEL, CentOS:

Selinux i Iptables po zadanim su postavkama aktivirani na tim sustavima i preporučujem da nastavite tim putem. Kako otvoriti port pomoću iptables? Pogledajmo kako otvoriti novi port 2000 ssh porta koji smo prethodno promijenili:

Otvoren:

nano / etc / sysconfig / iptables

i mijenjamo redak koji se odnosi na zadani ssh port 22 i ostavljamo ga ovako:

# -A ULAZ -m stanje - stanje NOVO -m tcp -p tcp --dport 22 -j PRIHVATI -A ULAZ -p tcp -m stanje - stanje NOVO -m tcp --dport 2000 -j PRIHVATI

Štedimo CTRL + O, a zatvaramo CTRL + X

Ponovo pokrećemo uslugu:

systemctl ponovno pokretanje iptables

Debian, Ubuntu:

U Debianu ili Ubuntuu i izvedenicama imamo UFW vatrozid koji će nam olakšati život jer vrlo lako upravlja Netfilterom.

Montaža:

apt-get instalirati ufw ufw omogućiti

Da bismo vidjeli status otvorenih portova koje izvršavamo:

status ufw

Da biste otvorili priključak (u našem primjeru to će biti novi ssh port 2000):

ufw dopustiti 2000

Da odbijete priključak (u našem slučaju to će biti zadani port 22 od ssh):

ufw odbiti 22 ufw izbrisati odbiti 22

I spremni prijatelji. Na taj će način zaštititi vaše strojeve. Ne zaboravite komentirati i do sljedećeg puta: D.