बरं, मी हे पोस्ट यासाठी तयार करत होतो माझा ब्लॉग काही काळ त्यांनी ते मला सुचवले DesdeLinux, आणि वेळेअभावी तो सक्षम किंवा इच्छुक नव्हता. मी काहीसे आळशी असल्यास 😀. परंतु आता ते संपावर आहेत, जसे आम्ही क्युबामध्ये म्हणतो ...
0- नवीनतम सुरक्षा अद्यतनांसह आमच्या सिस्टम अद्यतनित ठेवा.
0.1- गंभीर अद्यतने मेलिंग याद्या [स्लॅकवेअर सुरक्षा सल्लागार, डेबियन सुरक्षा सल्लागार, माझ्या बाबतीत]
1- अनधिकृत कर्मचार्‍यांकडून सर्व्हरवर शून्य भौतिक प्रवेश.
1.1- वर संकेतशब्द लागू करा BIOS आमच्या सर्व्हरचा
1.2- सीडी / डीव्हीडी द्वारे बूट नाही
1.3- GRUB / Lilo मधील संकेतशब्द
2- चांगले संकेतशब्द धोरण, अल्फान्यूमेरिक अक्षरे आणि इतर.
2.1- संकेतशब्दांचे एजिंग [पासवर्ड एजिंग] "चागे" कमांडसह, तसेच संकेतशब्द बदलणे आणि शेवटच्या बदलाच्या तारखे दरम्यान किती दिवस आहेत.
2.2- मागील संकेतशब्द वापरणे टाळा:
/etc/pam.d/common-password मध्ये
password sufficient pam_unix.so use_auth ok md5 shadow remember 10
तर आपण संकेतशब्द बदलता आणि वापरकर्त्याने आपल्याकडे गेल्या 10 संकेतशब्दांची आठवण करून दिली.
3- आमच्या नेटवर्कचे चांगले व्यवस्थापन / विभाजन धोरण [राउटर, स्विचेस, व्हॅलेन्स] आणि फायरवॉल तसेच फिल्टरिंग नियम इनपुट, आउटपुट, फॉरवर्ड [नेट, एसएनएटी, डीएनएटी]
4- शेलचा वापर सक्षम करा [/ etc / shells]. ज्या वापरकर्त्यांना सिस्टममध्ये लॉग इन करण्याची आवश्यकता नाही त्यांना / बिन / खोटे किंवा / बिन / नोलोगिन मिळतील.
5- लॉगिन अयशस्वी झाल्यास वापरकर्त्यांना अवरोधित करा [फॉइलॉग], तसेच सिस्टम वापरकर्ता खाते नियंत्रित करा.
passwd -l pepe -> ब्लॉक यूजर पेप पासडब्ल्यूडी - पी पेप -> यूजर पेप अनलॉक करा
6- "Sudo" चा वापर सक्षम करा, ssh द्वारे रूट म्हणून कधीही लॉग इन करू नका, "कधीही नाही". वास्तविक हा हेतू साध्य करण्यासाठी आपण ssh कॉन्फिगरेशन संपादित करणे आवश्यक आहे. Sudo सह आपल्या सर्व्हरवर सार्वजनिक / खाजगी की वापरा.
7- आमच्या सिस्टम मध्ये लागू करा “किमान विशेषाधिकार तत्त्व".
8- आमच्या प्रत्येक सर्व्हरसाठी आमच्या सेवा वेळोवेळी [नेटस्टेट -ल्गुन] तपासा. या कार्यात आम्हाला मदत करू शकणारी देखरेख साधने जोडा [नागीओस, कॅक्टि, मुनिन, मोनिट, नॉटॉप, झब्बिक्स].
9- आयडी, स्नॉर्ट / idसिडबेस, स्नॉटबी, बार्नयार्ड, ओएसएससी स्थापित करा.
10- एनएमएपी आपला मित्र आहे, आपला सबनेट / सबनेट तपासण्यासाठी त्याचा वापर करा.
11- ओपनएसएच, अपाचे 2, एनजीन्क्स, मायएसक्यूएल, पोस्टग्रेएसक्यूएल, पोस्टफिक्स, स्क्विड, साम्बा, एलडीएपी [आपल्याला सर्वाधिक वापरत असलेल्या] आणि आपल्या नेटवर्कमध्ये आपल्याला आवश्यक असलेल्या काही अन्य सेवांमध्ये चांगल्या सुरक्षा पद्धती आहेत.
12- आमच्या सिस्टम, एसएसएल, जीएनटीएलएलएस, स्टारटीटीएलएस, डायजेस्ट इ. मध्ये शक्य तितक्या सर्व संप्रेषण एन्क्रिप्ट करा ... आणि आपण संवेदनशील माहिती हाताळल्यास, आपल्या हार्ड ड्राइव्हला कूटबद्ध करा !!!
13- नवीनतम सुरक्षा, ब्लॅकलिस्ट आणि अँटिस्पाम नियमांसह आमचे मेल सर्व्हर अद्यतनित करा.
14- लॉगवॉच आणि लॉगचेकसह आमच्या सिस्टममध्ये क्रियाकलाप लॉगिंग.
15- इतरांमधले टॉप, सार, व्हीएमस्टॅट, फ्रि, यासारख्या साधनांचे ज्ञान आणि वापर.
sar -> सिस्टम अ‍ॅक्टिव्हिटी रिपोर्ट vmstat -> प्रक्रिया, मेमरी, सिस्टम, i / o, cpu अ‍ॅक्टिव्हिटी इ. iostat -> cpu i / o स्टेटस mpstat -> मल्टीप्रोसेसर स्टेटस आणि युजेशन पीएमएपी -> मेमरी वापर फ्री प्रोसेसद्वारे - > iptraf मेमरी -> आमच्या नेटवर्क एथॅस्टसच्या रिअल टाइममध्ये रहदारी -> कन्सोल-आधारित ईथरनेट आकडेवारी मॉनिटर etherape -> ग्राफिकल नेटवर्क मॉनिटर ss -> सॉकेट स्थिती [tcp सॉकेट माहिती, udp, रॉ सॉकेट, डीसीसीपी सॉकेट] tcpdump -> तपशीलवार विश्लेषण डी ट्रॅफिक व्न्स्टाट -> निवडलेल्या इंटरफेसचे नेटवर्क ट्रॅफिक मॉनिटर -> निदान साधन आणि नेटवर्क इथोल मधील ओव्हरलोडचे विश्लेषण -> नेटवर्क कार्डबद्दल आकडेवारी
आत्ता हे सर्व आहे. मला माहित आहे की या प्रकारच्या वातावरणामध्ये एक हजार आणि आणखी एक सुरक्षा सूचना आहेत, परंतु या गोष्टी ज्याने मला सर्वात जवळून प्रभावित केले आहे किंवा काहीवेळा मला प्रशासित केलेल्या वातावरणात मला व्यायाम / व्यायाम करावे लागले.
आलिंगन आणि मला आशा आहे की ती तुमची सेवा करेल 😀
आमच्या वाचकांचे ज्ञान वाढविण्यासाठी आम्ही आधीच नमूद केलेल्या नियमांव्यतिरिक्त लागू केलेल्या काही इतर नियमांबद्दल आम्हाला सांगण्यासाठी टिप्पण्यांमध्ये आमंत्रित करतो 😀
पण मी जोडेल:
१- प्रवेश dmesg, / proc, SysRQ रोखण्यासाठी सिस्टीटल नियम लागू करा, कोरला पीआयडी 1 नियुक्त करा, हार्ड आणि मऊ सिमलिंक्ससाठी संरक्षण सक्षम करा, IPv1 आणि IPv4 दोन्हीसाठी TCP / IP स्टॅकसाठी संरक्षण सक्षम करा, जास्तीत जास्त यादृच्छिकतेसाठी पूर्ण VDSO सक्रिय करा पॉईंटर्स आणि मेमरी स्पेस ationsलोकेशन आणि बफर ओव्हरफ्लो विरूद्ध सामर्थ्य सुधारित करते.
२- एसपीआय (स्टेटफुल पॅकेज इन्स्पेक्ट) या प्रकारची अग्निशामक भिंत तयार करा जेणेकरून सिस्टीममध्ये प्रवेश करण्यास परवानगी नसलेली कनेक्शन तयार केली जाऊ शकली नाही किंवा पूर्वीपासून परवानगी दिली जाऊ नये.
- आपल्याकडे दुर्गम स्थानावरून भारदस्त विशेषाधिकारांसह कनेक्शनची हमी देणारी सेवा नसल्यास, एक्सेस कॉन्फचा वापर करून केवळ त्यांच्याकडे प्रवेश मागे घ्या, किंवा त्यामध्ये अयशस्वी झाल्यास केवळ विशिष्ट वापरकर्त्यास किंवा गटामध्ये प्रवेश सक्षम करा.
-. विशिष्ट गट किंवा वापरकर्त्यांची प्रवेश तुमची प्रणाली अस्थिर करण्यापासून प्रतिबंधित करण्यासाठी कठोर मर्यादा वापरा. वास्तविक वातावरण बहुतेक वेळेस सक्रिय असलेल्या वातावरणात खूप उपयुक्त आहे.
-. टीसीपी रॅपर्स हा तुमचा मित्र आहे, जर तुम्ही अशा सिस्टमवर आधारीत असाल तर त्याचा वापर केल्यास दुखापत होणार नाही, परंतु सिस्टममध्ये आधीपासून कॉन्फिगर केल्याशिवाय तुम्ही कोणत्याही होस्टच्या प्रवेशास नकार देऊ शकता.
-. १ 6 पेक्षा जास्त वर्णांच्या अल्फान्यूमेरिक कीसह कमीतकमी २०2048 बिट किंवा 4096० 16 b बिटपेक्षा जास्त एसएसएच आरएसए की तयार करा.
-.- तुम्ही जग-लेखन कसे करता? आपल्या निर्देशिकांच्या वाचन-लेखन परवानग्यांची तपासणी करणे काहीच वाईट नाही आणि एकाधिक-वापरकर्त्याच्या वातावरणात अनधिकृत प्रवेश टाळण्याचा एक चांगला मार्ग आहे, काही विशिष्ट अनधिकृत प्रवेशामुळे आपण करत असलेल्या माहितीवर प्रवेश मिळविणे आपल्यास अधिक अवघड बनविते हे नमूद करू नका. दुसरे कोणीही पाहू शकत नाही.
8.- कोणतेही बाह्य विभाजन ज्यास पात्र नाही, माउंट करा, ऑप्शन्स नोएक्सेक, नोस्यूड, नोडेव.
-.- सिस्टमवर रूटकिट किंवा मालवेअर स्थापित केलेले नाही हे नियमितपणे तपासण्यासाठी आरखंटर आणि चक्रूटकिट सारख्या साधनांचा वापर करा. जर तुम्ही पीपीए कडून असुरक्षित रेपॉजिटरीमधून किंवा फक्त अविश्वासू साइट्सवरून थेट कंपाईलिंग कोड स्थापित करणार्‍या लोकांपैकी असाल तर एक विवेकी उपाय.
उम्म, मजेदार… चांगली टिप्पणी, अगं जोडा… 😀
सेलीनक्ससह अनिवार्य Controlक्सेस कंट्रोल लागू करा?
खूप चांगला लेख
धन्यवाद मित्र 😀
नमस्कार आणि मी सामान्य वापरकर्ता असल्यास, मी su किंवा sudo वापरावे?
मी su वापरतो कारण मला sudo आवडत नाही, कारण ज्याकडे माझा वापरकर्ता संकेतशब्द आहे तो सिस्टमवर जे पाहिजे आहे ते बदलू शकतो, त्याऐवजी su नाही.
आपल्या पीसीवर हे एसयू वापरण्यास त्रास देत नाही, सर्व्हरवर, आपण समस्या न वापरता त्याचा वापर करू शकता, सु आणि वापर सुदो वापरण्यास अक्षम करण्याची शिफारस केली जाते, बरेच लोक म्हणतात की हे ऑडिट करण्याच्या वस्तुस्थितीमुळे आहे ज्यामुळे कमांड आणि सुदो हे कार्य करते कोण ... मी विशिष्ट, माझ्या संगणकावर मी त्याचा वापर करतो, तुमच्याप्रमाणेच ...
निश्चितपणे, सर्व्हरवर ते कसे कार्य करते हे मला खरोखर माहित नाही. तरीसुद्धा, मला असे वाटते की sudo ला माझा फायदा झाला आहे की मी दुसर्‍या संगणकाच्या वापरकर्त्यास विशेषाधिकार देऊ शकतो.
मनोरंजक लेख, मी gnu-gpg सह काही फाइल्स एन्क्रिप्ट करतो, किमान विशेषाधिकाराप्रमाणे, आपण कार्यान्वित करू इच्छित असल्यास, उदाहरणार्थ, डिस्कवरील माहितीच्या अफाट समुद्रात गमावलेला अज्ञात मूळचा बायनरी, मी विशिष्ट फंक्शन्समधील प्रवेश कसा काढून टाकू? ?
मी त्या भागाचे eणी आहे, जरी मला वाटते की आपण फक्त sudo / root म्हणून चालवावे, असे कार्यक्रम विश्वसनीय आहेत की, ते आपल्या रेपोमधून आले आहेत ...
मला वाचन आठवते की जीएनयू / लिनक्स आणि युनिक्सवर मॅन्युअलमध्ये रूट क्षमता सक्षम करण्याचा एक मार्ग आहे, जर मला ते सापडले तर मी ते ठेवेल 😀
@ आणि येथे मी उल्लेख केलेला लेख आणि आणखी काही मदत आहे
http://www.cis.syr.edu/~wedu/seed/Labs/Capability_Exploration/Capability_Exploration.pdf
http://linux.die.net/man/7/capabilities
https://wiki.archlinux.org/index.php/Capabilities
अज्ञात बायनरी चालवण्यासाठी पिंजरे पिल्ले?
नेहमीच सूडो वापरणे अधिक चांगले आहे.
किंवा आपण sudo वापरू शकता, परंतु संकेतशब्द लक्षात राहण्याची वेळ मर्यादित करत आहे.
"Iostat", "htop" उत्कृष्ट "टास्क मॅनेजर", "iftop" बँडविड्थ मॉनिटरिंगचा पर्याय म्हणून "PC", "iotop" चे परीक्षण करण्यासाठी मी वापरलेली तत्सम साधने.
बर्‍याच जणांना ते अतिशयोक्तीपूर्ण वाटेल, परंतु बॉटनेटमध्ये सर्व्हर समाविष्ट करण्यासाठी मी आधीपासूनच हल्ले पाहिले आहेत.
https://twitter.com/monitolinux/status/594235592260636672/photo/1
PS: चिनी भिखारी आणि माझा सर्व्हर हॅक करण्याचा त्यांचा प्रयत्न.
सेवेसाठी डाग पिंजरे वापरणे देखील सोयीस्कर आहे, म्हणून काही कारणास्तव त्यांच्यावर हल्ला झाल्यास ते सिस्टमशी तडजोड करणार नाहीत.
PS कमांड वापरणे देखील देखरेखीसाठी उत्कृष्ट आहे आणि सुरक्षा त्रुटी शोधण्यासाठी केलेल्या क्रियांचा भाग असू शकतो. पीएस-इफ चालविणे सर्व प्रक्रिया सूचीबद्ध करते, हे शीर्षासारखेच आहे परंतु ते काही फरक दर्शविते. iptraf स्थापित करणे हे आणखी एक साधन आहे जे कार्य करू शकते.
चांगले योगदान.
मी जोडेल: डिस्ट्रॉवर अवलंबून, सेनेनक्स किंवा अ‍ॅपरमोर नेहमीच सक्षम केलेले असते.
माझ्या स्वतःच्या अनुभवावरून मला समजले की ते घटक अक्षम करणे ही वाईट पद्धत आहे. जेव्हा आम्ही एखादी सेवा स्थापित किंवा कॉन्फिगर करणार आहोत तेव्हा कोणत्याही समस्या नसताना चालत असल्याच्या कारणास्तव आम्ही हे नेहमीच करतो जेव्हा आपण त्या सेवेस अनुमती देण्यासाठी त्यांना कसे हाताळायचे शिकले पाहिजे.
ग्रीटिंग्ज
1. संपूर्ण फाइल सिस्टम एन्क्रिप्ट कसे करावे? लायक ??
२. प्रणाली प्रत्येक वेळी अद्ययावत केली जाण्यासाठी प्रत्येकवेळी डिक्रिप्ट करणे आवश्यक आहे काय?
The. मशीनची संपूर्ण फाइल सिस्टम एनक्रिप्ट करणे ही इतर कोणत्याही फाईल एन्क्रिप्ट करण्याइतकीच आहे?
आपण कशाविषयी बोलत आहात हे आपल्याला कसे समजेल?
तसेच, आपण प्रोग्राम आणि अगदी एकाधिक वापरकर्त्यांसाठी केज करू शकता. जरी हे करणे अधिक काम आहे, परंतु काही घडले असेल आणि आपल्याकडे त्या फोल्डरची मागील प्रत असेल तर ती फक्त गाणे आणि गाणे आहे.
सर्वात चांगले आणि सर्वात सोयीस्कर सुरक्षा धोरण वेडेपणाचे नाही.
प्रयत्न करा, ते अचूक आहे.
मी सीएसएफ वापरत आहे आणि ज्या क्लायंटला काही प्रवेशात त्याचा संकेतशब्द चुकीचा शब्दांनी बदलला आहे ते अनलॉक करताना, ते प्रक्रियेस विलंब करते पण ते करते. हे सामान्य आहे का?
मी ssh वरून काही कमिशन रद्द करण्याचा आदेश शोधत आहे