מקסם את האבטחה ב- GNU / Linux

שלום חברים מ DesdeLinux, lo prometido es deuda y aquí va un post de כיצד למקסם את ההגנה על מערכות לינוקס ולהישאר ככה בטוח מפני פולשים בנוסף להגנה על המידע בשרתים, מחשבים אישיים או מחשבים ניידים !!!!

קומנצ'נדו

Fail2ban: היא יישום שנכתב בפייתון למניעת חדירה למערכת, הפועלת על ידי ענישה או חסימה של חיבורים מרוחקים המנסים לגשת לכוח אכזרי.

התקנה:

פדורה, RHEL, CentOS:

yum install fail2ban

דביאן, אובונטו:

apt-get install fail2ban

הגדרה:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

בחלק שנקרא [DEFAULT] אנו מבטלים את התגובה ומשנים את #bantime = 3600 ומשאירים את זה כך:

#bantime = 3600 bantime = 604800

בחלק [sshd] אנו מציגים מופעל = נכון ומשאיר אותו כך:

#enabled = true enabled = true

אנו שומרים עם CTRL + O וסוגרים עם CTRL + X

אנו מתחילים את השירות:

פדורה, RHEL, CentOS:

הפעל את fail2ban.service systemctl הפעל את fail2ban.service

דביאן, אובונטו:

שירות fail2ban התחל

דחה את הגישה לשורש באמצעות ssh:

כדי להגן על המכונה שלנו אנו נכחיש ssh דרך משתמש השורש. לשם כך אנו עורכים את הקובץ / etc / ssh / sshd_config באופן הבא:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

אנו מפרשים ומשתנים

# פרוטוקול 2 פרוטוקול 2

אנו מפרשים ומשתנים

# PermitRootLogin כן PermitRootLogin לא

אנו שומרים עם CTRL + O וסוגרים עם CTRL + X

אנו מתחילים את השירות:

פדורה, RHEL, CentOS:

הפעל sshd.service systemctl הפעל sshd.service

דביאן, אובונטו:

שירות sshd להתחיל

למנוע גישה לשרת ssh באמצעות מקש ולאפשר ssh רק עם מקשי RSA

אם אנו רוצים להתחבר עם PC1 לשרת 1, הדבר הראשון שעלינו לעשות הוא ליצור את המפתח שלנו ב- PC1. עם המשתמש שלנו וללא שורש ב- PC1 אנו מבצעים:

ssh-keygen -t rsa -b 8192 (זה מייצר מפתח יותר מאובטח מכיוון שבדרך כלל משתמשים במפתחות מ 1024 עד 2048)

ברגע שיש לנו את הסיסמה שלנו, אנו מעלים אותה ל- Server1:

ssh-copy-id user @ server_ip

לאחר שתסיים זאת, אנו נתחבר לשרת 1 שלנו ונשנה את קובץ ה- nano / etc / ssh / sshd_config עם הרשאות שורש:

משתמש ssh @ Server1 nano / etc / ssh / sshd_config

אנו משנים את השורה שאומרת לזה #PasswordAuthentication כן:

#PasswordAuthentication כן
אימות סיסמא

אנו שומרים עם CTRL + O וסוגרים עם CTRL + X

אנו מפעילים מחדש את שירות ssh:

פדורה, RHEL, CentOS:

הפעל מחדש את sshd.service

דביאן, אובונטו:

שירות sshd מחדש

שנה את יציאת ההאזנה ל- ssh

שוב אנו עורכים / etc / ssh / sshd_config ובחלק המתייחס ליציאה אנו משאירים זאת כך:

# יציאה 22 יציאה 2000 (או כל מספר אחר הגדול מ -2000. בדוגמאות שלנו נשתמש בזה.)

אנו שומרים עם CTRL + O וסוגרים עם CTRL + X

אנו מפעילים מחדש את שירות ssh:

פדורה, RHEL, CentOS:

הפעל מחדש את sshd.service

דביאן, אובונטו:

שירות sshd מחדש

אם הם משתמשים ב- fail2ban יש צורך לשנות את התצורה לגבי התאמת sshd ליציאה.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

אנו שומרים עם CTRL + O וסוגרים עם CTRL + X

אנו מחדשים את השירות:

פדורה, RHEL, CentOS:

הפעל מחדש את systemctl fail2ban.service

דביאן, אובונטו:

שירות fail2ban הפעלה מחדש

Firewall

פדורה, RHEL, CentOS:

Selinux ו- Iptables מופעלים כברירת מחדל במערכות אלה ואני ממליץ לך להמשיך בדרך זו. כיצד לפתוח יציאה עם iptables? בואו נראה איך לפתוח את היציאה החדשה 2000 של יציאת ssh ששינינו בעבר:

לִפְתוֹחַ:

ננו / וכו '/ sysconfig / iptables

ואנחנו משנים את השורה המתייחסת ליציאת ssh המוגדרת כברירת מחדל 22 ומשאירה אותה ככה:

# -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state - state NEW -m tcp --dport 2000 -j ACCEPT

אנו שומרים עם CTRL + O וסוגרים עם CTRL + X

אנו מפעילים מחדש את השירות:

מערכת הפעלה מחדש של iptables

דביאן, אובונטו:

בדביאן או אובונטו ונגזרות יש לנו חומת אש של UFW שתקל על חיינו מכיוון שהיא מנהלת את Netfilter מאוד קלה.

התקנה:

apt-get להתקין ufw ufw לאפשר

כדי לראות את מצב היציאות הפתוחות שאנו מבצעים:

סטטוס ufw

לפתיחת יציאה (בדוגמה שלנו זה יהיה יציאת ssh החדשה 2000):

ufw אפשר 2000

כדי לשלול יציאה (במקרה שלנו זו תהיה יציאת ברירת המחדל 22 של ssh):

מחק מכחיש 22

וחברים מוכנים. בדרך זו הם ישמרו על המכונות שלכם. אל תשכח להגיב ועד הפעם הבאה: ד.