Veldig bra for alle, før jeg går inn i herdingen til teamet ditt, vil jeg fortelle deg at installatøren som jeg utvikler for Gentoo allerede er i sin pre-alfa-fase 😀 Dette betyr at prototypen er robust nok til å bli testet av andre brukere, men det er fortsatt en lang vei å gå, og tilbakemeldingen fra disse trinnene (pre-alfa, alfa, beta) vil bidra til å definere viktige funksjoner i prosessen 🙂 For de interesserte ...
https://github.com/ChrisADR/installer
. Jeg har fortsatt den eneste engelske versjonen, men forhåpentligvis for beta har den allerede sin spanske oversettelse også (jeg lærer dette fra runtime-oversettelser på python, så det er fortsatt mye å oppdage)
herding
Når vi snakker om herding, viser vi til et stort utvalg av handlinger eller prosedyrer som hindrer tilgang til et datasystem eller nettverk av systemer. Det er nettopp derfor det er et enormt emne fullt av nyanser og detaljer. I denne artikkelen skal jeg liste opp noen av de viktigste eller anbefalte tingene å ta i betraktning når jeg beskytter et system, jeg vil prøve å gå fra det mest kritiske til det minst kritiske, men uten å fordype mye i temaet siden hver av disse peker på at det ville være gjenstand for en egen artikkel.
Fysisk tilgang
Dette er utvilsomt det første og viktigste problemet for lag, siden hvis angriperen har lett fysisk tilgang til laget, kan de allerede regnes som et tapt lag. Dette gjelder både store datasentre og bærbare datamaskiner i et selskap. Et av de viktigste beskyttelsestiltakene for dette problemet er nøklene på BIOS-nivå. For alle de som dette høres nytt ut for, er det mulig å sette en nøkkel til fysisk tilgang til BIOS, på denne måten hvis noen ønsker å endre parametere for pålogging og starte datamaskinen fra et live system, vil det ikke være en enkel jobb.
Nå er dette noe grunnleggende, og det fungerer absolutt hvis det virkelig kreves, jeg har vært i flere selskaper hvor dette ikke betyr noe, fordi de mener at sikkerhetsvakta til døren er mer enn nok til å kunne unngå fysisk tilgang . Men la oss komme til et litt mer avansert punkt.
luksus
Anta for et sekund at en "angriper" allerede har fått fysisk tilgang til datamaskinen, er neste trinn å kryptere hver eksisterende harddisk og partisjon. LUKS (Linux Unified Key Setup) Det er en krypteringsspesifikasjon, blant annet LUKS lar en partisjon krypteres med en nøkkel, på denne måten når systemet starter, hvis nøkkelen ikke er kjent, kan ikke partisjonen monteres eller leses.
Paranoia
Det er absolutt mennesker som trenger et "maksimalt" sikkerhetsnivå, og dette fører til å beskytte selv det minste aspektet av systemet, vel, dette aspektet når sitt høydepunkt i kjernen. Linux-kjernen er måten programvaren din vil samhandle med maskinvaren. Hvis du forhindrer programvaren din fra å "se" maskinvaren, vil den ikke kunne skade utstyret. For å gi et eksempel vet vi alle hvor "farlig" USB med virus er når vi snakker om Windows, for absolutt kan USB inneholde kode i Linux som kan eller ikke kan være skadelig for et system, hvis vi får kjernen til å bare gjenkjenne typen av usb (firmware) vi ønsker, vil enhver annen type USB rett og slett bli ignorert av teamet vårt, noe absolutt litt ekstremt, men det kan fungere avhengig av omstendighetene.
tjenester
Når vi snakker om tjenester, er det første ordet som kommer opp i tankene "tilsyn", og dette er noe ganske viktig, siden noe av det første en angriper gjør når han går inn i et system, er å opprettholde forbindelsen. Å utføre periodiske analyser av innkommende og spesielt utgående forbindelser er veldig viktig i et system.
iptables
Nå har vi alle hørt om iptables, det er et verktøy som gjør det mulig å generere regler for å legge inn og legge igjen data på kjernenivå, dette er absolutt nyttig, men det er også et tveegget sverd. Mange tror at ved å ha "brannmuren" er de allerede fri for alle typer inngang eller utgang fra systemet, men ingenting er lenger fra sannheten, dette kan bare tjene som placebo-effekt i mange tilfeller. Det er kjent at brannmurer fungerer basert på regler, og disse kan absolutt forbigås eller lures til å la data transporteres gjennom porter og tjenester som reglene vil anse som "tillatt" for, det er bare et spørsmål om kreativitet 🙂
Stabilitet vs rullende utgivelse
Nå er dette ganske omstridt punkt mange steder eller situasjoner, men la meg forklare mitt synspunkt. Som medlem av et sikkerhetsteam som overvåker mange av problemene i den stabile grenen av distribusjonen vår, er jeg klar over mange, nesten alle sårbarhetene som finnes på brukernes Gentoo-maskiner. Nå går distribusjoner som Debian, RedHat, SUSE, Ubuntu og mange andre gjennom det samme, og deres reaksjonstid kan variere avhengig av mange omstendigheter.
La oss gå til et tydelig eksempel, sikkert alle har hørt om Meltdown, Spectre og en hel serie med nyheter som har fløyet rundt på internett i disse dager, vel, den mest “rolling-release” grenen av kjernen er allerede lappet, problemet ligger Når du tar disse løsningene til eldre kjerner, er backporting absolutt hardt arbeid. Nå etter det må de fortsatt testes av utviklerne av distribusjonen, og når testingen er fullført, vil den bare være tilgjengelig for vanlige brukere. Hva vil jeg få med dette? Fordi modellen med rullende utgivelse krever at vi vet mer om systemet og måter å redde det hvis noe mislykkes, men det er godfordi opprettholdelse av absolutt passivitet i systemet har flere negative effekter for både administratoren og brukerne.
Kjenn programvaren din
Dette er et veldig verdifullt tillegg når du administrerer, ting så enkelt som å abonnere på nyheten om programvaren du bruker, kan hjelpe deg med å vite på forhånd sikkerhetsmerknadene, på denne måten kan du generere en reaksjonsplan og samtidig se hvor mye Det tar tid for hver distribusjon å løse problemene. Det er alltid bedre å være proaktiv i disse problemene fordi mer enn 70% av angrepene på selskaper utføres av utdatert programvare.
Refleksjon
Når folk snakker om herding, blir det ofte antatt at et "skjermet" team er bevis mot alt, og det er ikke noe mer falskt. Som den bokstavelige oversettelsen indikerer, herding innebærer å gjøre ting vanskeligere, IKKE umulig ... men mange ganger tror mange mennesker at dette innebærer mørk magi og mange triks som honningpotter ... dette er en ekstra, men hvis du ikke kan gjøre de mest grunnleggende tingene som å holde en programvare eller språk oppdatert programmering ... det er ikke behov for å opprette fantomnettverk og team med mottiltak ... Jeg sier dette fordi jeg har sett flere selskaper der de ber om versjoner av PHP 4 til 5 (åpenbart avviklet) ... ting som i dag er kjent for å ha hundrevis om ikke tusenvis av feil, men hvis selskapet ikke kan følge med på teknologi, er det ubrukelig hvis de gjør resten.
Også, hvis vi alle bruker gratis eller åpen programvare, er reaksjonstiden for sikkerhetsfeil vanligvis ganske kort, problemet kommer når vi har å gjøre med proprietær programvare, men jeg lar det være til en annen artikkel som jeg fremdeles håper å skrive snart.
Tusen takk for at du kom hit 🙂 hilsener
Utmerket
Tusen takk 🙂 hilsener
Det jeg liker aller best er enkelheten når jeg håndterer dette problemet, sikkerhet i disse tider. Takk, jeg vil bli i Ubuntu så lenge det ikke er i alvorlig behov fordi jeg ikke okkuperer partisjonen som jeg har i Windows 8.1 kl. øyeblikket. Hilsen.
Hei norma, absolutt sikkerhetslagene til Debian og Ubuntu er ganske effektive 🙂 Jeg har sett hvordan de håndterer saker i en utrolig hastighet, og de får absolutt brukerne til å føle seg trygge, i det minste hvis jeg var på Ubuntu, ville jeg føle meg litt sikrere 🙂
Hilsen, og sant, det er et enkelt spørsmål ... sikkerhet mer enn mørk kunst er et spørsmål om minimumskriterier 🙂
Tusen takk for ditt bidrag!
Veldig interessant, spesielt den delen av Rolling-utgivelsen.
Jeg hadde ikke tatt det i betraktning, nå må jeg administrere en server med Gentoo for å se forskjellene jeg har med Devuan.
En stor hilsen og ps for å dele denne oppføringen i mine sosiale nettverk slik at denne informasjonen når ut til flere mennesker !!
Takk!
Du er velkommen Alberto 🙂 Jeg hadde gjeld for å være den første til å svare på forespørselen fra forrige blogg 🙂 så hilsen og nå fortsette med den ventende listen for å skrive 🙂
Vel, bruk herding med spøkelser der ute, det ville være som å la PCen være mer sårbar i tilfelle bruk av sanboxing for eksempel. Merkelig, utstyret ditt vil være sikrere mot spøkelser jo mindre sikkerhetslag du bruker ... nysgjerrig, ikke sant?
Dette minner meg om et eksempel som kunne presentere en hel artikkel ... bruk av -fsanitize = adresse i kompilatoren kan få oss til å tro at den kompilerte programvaren ville være mer "sikker", men ingenting kan være lenger fra sannheten, jeg vet en utvikler som prøvde en I stedet for å gjøre det med hele teamet ... det viste seg å være lettere å angripe enn en uten å bruke ASAN ... det samme gjelder i forskjellige aspekter, ved å bruke feil lag når du ikke vet hva de gjør, er mer skadelig enn å ikke bruke noe 😛 Jeg antar at det er noe vi alle bør vurdere når vi prøver å beskytte et system ... som bringer oss tilbake til det faktum at dette ikke er mørk magi, men bare sunn fornuft 🙂 takk for din inngang
For mitt synspunkt er den alvorligste sårbarheten likestilt med fysisk tilgang og menneskelige feil fortsatt maskinvaren, og lar Meltdown og Spectre være til side, siden det i gamle tider har blitt sett at varianter av LoveLetter-ormen skrev kode i BIOS til utstyr, ettersom visse firmwareversjoner i SSD tillot ekstern kjøring av kode og det verste fra mitt synspunkt Intel Management Engine, som er en fullstendig avvik for personvern og sikkerhet, fordi det ikke lenger betyr noe om utstyret har AES-kryptering, forvirring eller noen form for herding, for selv om datamaskinen er slått av, vil IME skru deg fast.
Og paradoksalt nok er en Tinkpad X200 fra 2008 som bruker LibreBoot tryggere enn noen nåværende datamaskin.
Det verste med denne situasjonen er at den ikke har noen løsning, fordi verken Intel, AMD, Nvidia, Gygabite eller noen moderat kjent maskinvareprodusent kommer til å gi ut under GPL eller noen annen gratis lisens, den nåværende maskinvaredesignen, fordi hvorfor investere millioner dollar for at noen andre skal kopiere den sanne ideen.
Vakker kapitalisme.
Veldig sant Kra 🙂 det er tydelig at du er ganske dyktig i sikkerhetsspørsmål 😀 fordi egentlig programvare og maskinvare er et spørsmål om forsiktighet, men dessverre mot det er det lite å gjøre med hensyn til "herding", siden som du sier, det er noe som slipper unna nesten alle dødelige, bortsett fra de som kan programmering og elektronikk.
Hilsen og takk for delingen 🙂
Veldig interessant, nå vil en opplæring for hver seksjon være god xD
Forresten, hvor farlig er det hvis jeg setter en Raspberry Pi og åpner de nødvendige portene for å bruke owncloud eller en webserver utenfor hjemmet?
Det er at jeg er ganske interessert, men jeg vet ikke om jeg kommer til å ha tid til å gjennomgå tilgangslogger, se på sikkerhetsinnstillingene fra tid til annen, etc etc ...
Utmerket bidrag, takk for at du delte din kunnskap.