Saugos patarimai apie GNU / Linux sistemas

Na, aš ruošiau šį įrašą Mano tinklaraštis Jau kurį laiką man buvo pasiūlyta įsijungti DesdeLinux, ir dėl laiko stokos, ar noro stokos. Jei aš šiek tiek tingiu ????. Bet dabar jie streikuoja, kaip sakome Kuboje...

0- Atnaujinkite mūsų sistemas naudodami naujausius saugos naujinimus.

0.1- Svarbių atnaujinimų adresų sąrašai [Slackware saugumo patarėjas, Debian saugumo patarėjas, Mano atveju]

1- Nulinė fizinė neįgalioto personalo prieiga prie serverių.

1.1- Taikyti slaptažodį BIOS mūsų serverių

1.2- Nėra paleidimo iš CD / DVD

1.3- Slaptažodis GRUB/Lilo

2- Gera slaptažodžių politika, raidiniai ir skaitiniai simboliai ir kt.

2.1- Slaptažodžio senėjimas [Password Aging] su komanda „pakeitimas“, taip pat dienų skaičius nuo slaptažodžio keitimo iki paskutinės pakeitimo datos.

2.2- Venkite naudoti ankstesnius slaptažodžius:

aplanke /etc/pam.d/common-password

password sufficient pam_unix.so use_auth ok md5 shadow remember 10

Tokiu būdu pakeičiate slaptažodį ir jis primena 10 paskutinių slaptažodžių, kuriuos turėjo vartotojas.

3- Gera mūsų tinklo [maršrutizatoriai, jungikliai, VLAN] ir ugniasienės valdymo / segmentavimo politika, taip pat INPUT, OUTPUT, FORWARD [NAT, SNAT, DNAT] filtravimo taisyklės

4- Įgalinkite apvalkalų naudojimą[/etc/shells]. Vartotojai, kuriems nereikia prisijungti prie sistemos, turi /bin/false arba /bin/nologin.

5- Blokuoti vartotojus, kai nepavyksta prisijungti [faillog], taip pat valdyti sistemos vartotojo abonementą.

passwd -l pepe -> blokuoti naudotoją pepe passwd -v pepe -> atblokuoti vartotoją pepe

6- Įgalinkite „sudo“ naudojimą, NIEKADA neprisijunkite kaip root per ssh, „NIEKADA“. Tiesą sakant, norėdami pasiekti šį tikslą, turite redaguoti ssh konfigūraciją. Naudokite viešuosius / privačius raktus savo serveriuose su sudo.

7- Taikykite mūsų sistemose „Mažiausios privilegijos principas".

8- Kartkartėmis patikrinkite mūsų paslaugas kiekvienam mūsų serveriui [netstat -lptun]. Pridėkite stebėjimo įrankius, kurie gali mums padėti atlikti šią užduotį [Nagios, Cacti, Munin, Monit, Ntop, Zabbix].

9- Įdiekite IDS, Snort/AcidBase, Snotby, Barnyard, OSSEC.

10- Nmap yra jūsų draugas, naudokite jį, kad patikrintumėte savo potinklį / potinklius.

11- Gera OpenSSH, Apache2, Nginx, MySQL, PostgreSQL, Postfix, Squid, Samba, LDAP [dažniausiai naudojamų] ir kai kurių kitų paslaugų, kurių jums reikia tinkle, saugos praktika.

12- Šifruokite visą ryšį kuo ilgiau mūsų sistemose, SSL, gnuTLS, StarTTLS, suvesti ir tt... O jei tvarkote jautrią informaciją, užšifruokite kietąjį diską!!!

13- Atnaujinkite mūsų pašto serverius naujausiomis saugos taisyklėmis, juodaisiais sąrašais ir apsauga nuo šiukšlių.

14- Registruoti veiklą mūsų sistemose su logwatch ir logcheck.

15- Žinios ir tokių įrankių kaip top, sar, vmstat, free ir kt. naudojimas.

sar -> sistemos veiklos ataskaita vmstat -> procesai, atmintis, sistema, i/o, procesoriaus veikla ir tt iostat -> procesoriaus i/o būsena mpstat -> kelių procesorių būsena ir naudojimas pmap -> atminties naudojimas pagal laisvus procesus -> iptraf atmintis -> realaus laiko srautas mūsų tinklo ethstatus -> konsolės pagrindu eterneto statistikos monitorius etherape -> grafinis tinklo monitorius ss -> lizdo būsena [tcp socket info, udp, raw sockets, DCCP Sockets] tcpdump -> Išsamios analizės srautas vnstat - > pasirinktų sąsajų tinklo srauto monitorius mtr -> diagnostikos įrankis ir perkrovos analizė tinklų ethtool -> tinklo plokščių statistika

Kol kas tai viskas. Žinau, kad tokio tipo aplinkoje yra dar tūkstantis ir vienas saugumo pasiūlymas, bet būtent šie mane labiausiai sužavėjo arba kažkada teko pritaikyti/mankštintis bet kokioje aplinkoje, kuriai pavyko.

Apkabinkite ir tikiuosi, kad tai jums padės 😀