טיפים לאבטחה על מערכות GNU / Linux

ובכן, הכנתי את הפוסט הזה לקראת הבלוג שלי במשך זמן מה הם הציעו לי את זה ב DesdeLinux, ובשל חוסר זמן, הוא לא היה מסוגל או רוצה. אם אני קצת עצלן ????. אבל עכשיו הם שובתים, כמו שאנחנו אומרים בקובה ...

0- עדכן את המערכות שלנו עם עדכוני האבטחה האחרונים.

0.1- רשימות תפוצה של עדכונים קריטיים [יועץ אבטחה של Slackware, יועץ אבטחה של דביאן, במקרה שלי]

1- אפס גישה פיזית לשרתים על ידי אנשים לא מורשים.

1.1- החל סיסמה על BIOS מהשרתים שלנו

1.2- אין אתחול על ידי CD / DVD

1.3- סיסמה ב- GRUB / Lilo

2- מדיניות סיסמאות טובה, תווים אלפאנומריים ואחרים.

2.1- הזדקנות סיסמאות [הזדקנות סיסמא] באמצעות הפקודה "chage", כמו גם מספר הימים שבין שינוי הסיסמה לתאריך השינוי האחרון.

2.2- הימנע משימוש בסיסמאות קודמות:

ב /etc/pam.d/common- סיסמה

password sufficient pam_unix.so use_auth ok md5 shadow remember 10

כך אתה משנה את הסיסמה וזה מזכיר לך את 10 הסיסמאות האחרונות שהיו למשתמש.

3- מדיניות ניהול / פילוח טובה של הרשת שלנו [נתבים, מתגים, vlans] וחומת האש, כמו גם כללי סינון INPUT, OUTPUT, FORWARD [NAT, SNAT, DNAT]

4- אפשר שימוש בקונכיות [/ etc / shells]. משתמשים שאינם חייבים להיכנס למערכת get / bin / false או / bin / nologin.

5- חסום משתמשים כאשר כניסה נכשלת [faillog], וכן שלוט בחשבון המשתמש במערכת.

passwd -l pepe -> חסום משתמש pepe passwd -v pepe -> בטל חסימה של משתמש pepe

6- אפשר את השימוש ב"סודו ", לעולם אל התחבר כשורש על ידי ssh," לעולם לא ". למעשה עליך לערוך את תצורת ssh כדי להשיג מטרה זו. השתמש במפתחות ציבוריים / פרטיים בשרתים שלך באמצעות sudo.

7- החל במערכות שלנו את "עיקרון הזכות הפחותה

8- בדוק את השירותים שלנו מעת לעת [netstat -lptun], עבור כל אחד מהשרתים שלנו. הוסף כלי ניטור שיכולים לעזור לנו במשימה זו [Nagios, Cacti, Munin, Monit, Ntop, Zabbix].

9- התקן IDS, Snort / AcidBase, Snotby, Barnyard, OSSEC.

10- Nmap הוא חבר שלך, השתמש בו כדי לבדוק את רשת המשנה / רשתות המשנה שלך.

11- נוהלי אבטחה טובים ב- OpenSSH, Apache2, Nginx, MySQL, PostgreSQL, Postfix, Squid, Samba, LDAP [אלה שהכי משתמשים בהם] ושירות אחר שאתה צריך ברשת שלך.

12- הצפן את כל התקשורת במידת האפשר במערכות שלנו, SSL, gnuTLS, StarTTLS, digest, וכו '... ואם אתה מטפל במידע רגיש, הצפן את הכונן הקשיח שלך !!!

13- עדכן את שרתי הדואר שלנו בכללי האבטחה, הרשימה השחורה והאנטי-ספאם האחרונים.

14- רישום פעילויות במערכות שלנו באמצעות שעון יומן ובדיקת יומן.

15- ידע ושימוש בכלים כמו top, sar, vmstat, free, בין היתר.

sar -> דוח פעילות מערכת vmstat -> תהליכים, זיכרון, מערכת, i / o, מעבד פעילות וכו 'iostat -> מעבד i / o מצב mpstat -> מצב מעבד מרובה ושימוש pmap -> שימוש בזיכרון על ידי תהליכים חופשיים -> זיכרון iptraf -> תעבורה בזמן אמת של ethstatus הרשת שלנו -> סטטיסטיקה מבוססת אתרנט מבוססת קונסולה לפקח על etherape -> צג רשת גרפי ss -> מצב שקע [שקע tcp מידע, udp, שקעים גולמיים, שקעי DCCP] tcpdump -> ניתוח מפורט של התעבורה -> צג תעבורת רשת של ממשקים נבחרים mtr -> כלי אבחון וניתוח עומס יתר ברשת הכלים -> סטטיסטיקה לגבי כרטיסי רשת

בינתיים הכל. אני יודע שיש אלף ואחת הצעות אבטחה נוספות בסביבה מסוג זה, אך אלה שהכי היכו אותי, או שבשלב מסוים נאלצתי ליישם / להתאמן בסביבה שניהלתי .

חיבוק ואני מקווה שזה ישרת אותך 😀