Maksymalizuj bezpieczeństwo w systemie GNU / Linux

Cześć przyjaciele z DesdeLinux, obiecano dług i tutaj jest post na ten temat jak zmaksymalizować ochronę systemów Linux i tak pozostań bezpieczny przed intruzami, a także ochrona informacji na serwerach, komputerach stacjonarnych lub laptopach !!!!

Comenzando

Faul2ban: to aplikacja napisana w Pythonie w celu zapobiegania włamaniom do systemu, która działa poprzez karanie lub blokowanie połączeń zdalnych próbujących uzyskać dostęp siłowy.

Instalacja:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

Oprawa:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

W części o nazwie [DOMYŚLNE] odkomentowujemy i modyfikujemy #bantime = 3600, pozostawiając to tak:

#bantime = 3600 bantime = 604800

W części [sshd] wprowadzamy enabled = true pozostawiając to w ten sposób:

#enabled = true enabled = true

Zapisujemy CTRL + O i zamykamy CTRL + X

Rozpoczynamy usługę:

Fedora, RHEL, CentOS:

systemctl włącz fail2ban.service systemctl start fail2ban.service

Debian, Ubuntu:

usługa fail2ban start

Odmów dostępu root za pomocą ssh:

Aby chronić naszą maszynę, odmówimy ssh przez użytkownika root. Aby to zrobić, edytujemy plik / etc / ssh / sshd_config w następujący sposób:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Odkomentowujemy i zmieniamy

#Protocol 2 Protokół 2

Odkomentowujemy i zmieniamy

#PermitRootLogin tak PermitRootLogin nie

Zapisujemy CTRL + O i zamykamy CTRL + X

Rozpoczynamy usługę:

Fedora, RHEL, CentOS:

systemctl włącz sshd.service systemctl uruchom sshd.service

Debian, Ubuntu:

usługa sshd start

Odmów dostępu do serwera ssh przy użyciu klucza i zezwalaj na ssh tylko z kluczami RSA

Jeśli chcemy połączyć się z PC1 z serwerem1, pierwszą rzeczą, którą musimy zrobić, jest wygenerowanie naszego klucza na PC1. Z naszym użytkownikiem i bez roota na PC1 wykonujemy:

ssh-keygen -t rsa -b 8192 (generuje to więcej niż bezpieczny klucz, ponieważ zwykle używane są klucze od 1024 do 2048)

Gdy już mamy hasło, przesyłamy je na Serwer1:

ssh-copy-id użytkownik @ server_ip

Gdy to zrobisz, połączymy się z naszym serwerem 1 i zmodyfikujemy plik nano / etc / ssh / sshd_config z uprawnieniami roota:

ssh użytkownik @ Server1 nano / etc / ssh / sshd_config

Zmieniamy wiersz z napisem #PasswordAuthentication tak na:

#PasswordAuthentication tak
Hasło Nr uwierzytelnienia

Zapisujemy CTRL + O i zamykamy CTRL + X

Ponownie uruchamiamy usługę ssh:

Fedora, RHEL, CentOS:

systemctl zrestartuj sshd.service

Debian, Ubuntu:

restart usługi sshd

Zmień port nasłuchiwania ssh

Ponownie edytujemy / etc / ssh / sshd_config iw części dotyczącej portu zostawiamy to tak:

# Port 22 Port 2000 (lub inny numer większy niż 2000. W naszych przykładach użyjemy tego).

Zapisujemy CTRL + O i zamykamy CTRL + X

Ponownie uruchamiamy usługę ssh:

Fedora, RHEL, CentOS:

systemctl zrestartuj sshd.service

Debian, Ubuntu:

restart usługi sshd

Jeśli używają fail2ban, konieczna jest zmiana konfiguracji dotyczącej dostosowania portu przez sshd.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Zapisujemy CTRL + O i zamykamy CTRL + X

Odnawiamy usługę:

Fedora, RHEL, CentOS:

systemctl restart fail2ban.service

Debian, Ubuntu:

usługa fail2ban restart

zapora

Fedora, RHEL, CentOS:

Selinux i Iptables są domyślnie aktywowane w tych systemach i zalecam kontynuowanie w ten sposób. Jak otworzyć port za pomocą iptables? Zobaczmy, jak otworzyć nowy port 2000 portu ssh, który zmieniliśmy wcześniej:

Otwarty:

nano / etc / sysconfig / iptables

i modyfikujemy wiersz odnoszący się do domyślnego portu ssh 22 i zostawiamy go tak:

# -A WEJŚCIE -m stan - stan NOWY -m tcp -p tcp --dport 22 -j AKCEPTUJ -A WEJŚCIE -p tcp -m stan - stan NOWY -m tcp --dport 2000 -j AKCEPTUJ

Zapisujemy CTRL + O i zamykamy CTRL + X

Ponownie uruchamiamy usługę:

systemctl zrestartuj iptables

Debian, Ubuntu:

W Debianie, Ubuntu i pochodnych mamy firewall UFW, który ułatwi nam życie, ponieważ zarządza Netfiltrem bardzo łatwo.

Instalacja:

apt-get install ufw ufw enable

Aby zobaczyć stan otwartych portów, wykonujemy:

status ufw

Aby otworzyć port (w naszym przykładzie będzie to nowy port ssh 2000):

ufw zezwalaj na 2000

Aby odmówić portowi (w naszym przypadku będzie to domyślny port 22 ssh):

ufw deny 22 ufw delete deny 22

I gotowi przyjaciele. W ten sposób zapewnią bezpieczeństwo Twoim maszynom. Nie zapomnij skomentować i do następnego razu: D.