Maximize a segurança em GNU / Linux

Olá amigos de DesdeLinux, o que foi prometido é uma dívida e aqui está um post sobre como maximizar a proteção dos sistemas Linux e ficar assim seguro de intrusos além de proteger as informações em seus servidores, PCs ou laptops !!!!

começando

Falha2ban: é um aplicativo escrito em Python para evitar a intrusão em um sistema, que age penalizando ou bloqueando conexões remotas que tentam acesso de força bruta.

instalação:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

ambiente:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

Na parte chamada [DEFAULT], descomentamos e modificamos #bantime = 3600 deixando assim:

#bantime = 3600 bantime = 604800

Na parte [sshd], apresentamos enabled = true deixando assim:

#enabled = true enabled = true

Salvamos com CTRL + O e fechamos com CTRL + X

Começamos o serviço:

Fedora, RHEL, CentOS:

systemctl enable fail2ban.service systemctl start fail2ban.service

Debian, Ubuntu:

serviço fail2ban start

Negar acesso root usando ssh:

Para proteger nossa máquina, vamos negar o ssh por meio do usuário root. Para fazer isso, editamos o arquivo / etc / ssh / sshd_config da seguinte maneira:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Nós descomentamos e mudamos

#Protocol 2 Protocolo 2

Nós descomentamos e mudamos

#PermitRootLogin sim PermitRootLogin não

Salvamos com CTRL + O e fechamos com CTRL + X

Começamos o serviço:

Fedora, RHEL, CentOS:

systemctl enable sshd.service systemctl start sshd.service

Debian, Ubuntu:

serviço sshd start

Negar acesso a um servidor ssh usando senha e permitir ssh apenas com chaves RSA

Se quisermos conectar do PC1 ao Server1, a primeira coisa que devemos fazer é gerar nossa chave no PC1. Com nosso usuário e sem root no PC1, executamos:

ssh-keygen -t rsa -b 8192 (isso gera uma chave mais do que segura, já que chaves de 1024 a 2048 são normalmente usadas)

Assim que tivermos nossa senha, faremos o upload para o Server1:

ssh-copy-id user @ server_ip

Depois de fazer isso, vamos conectar ao nosso Server1 e modificar o arquivo nano / etc / ssh / sshd_config com permissões de root:

usuário ssh @ Server1 nano / etc / ssh / sshd_config

Mudamos a linha que diz #PasswordAuthentication yes para isto:

#PasswordAuthentication sim
PasswordAuthentication não

Salvamos com CTRL + O e fechamos com CTRL + X

Reiniciamos o serviço ssh:

Fedora, RHEL, CentOS:

systemctl restart sshd.service

Debian, Ubuntu:

reiniciar serviço sshd

Mudar a porta de escuta ssh

Novamente editamos / etc / ssh / sshd_config e na parte referente à porta deixamos assim:

# Porta 22 Porta 2000 (ou qualquer outro número maior que 2000. Em nossos exemplos, usaremos isso.)

Salvamos com CTRL + O e fechamos com CTRL + X

Reiniciamos o serviço ssh:

Fedora, RHEL, CentOS:

systemctl restart sshd.service

Debian, Ubuntu:

reiniciar serviço sshd

Se eles usarem fail2ban, é necessário alterar a configuração referente ao sshd ajustando a porta.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Salvamos com CTRL + O e fechamos com CTRL + X

Renovamos o serviço:

Fedora, RHEL, CentOS:

systemctl restart fail2ban.service

Debian, Ubuntu:

serviço fail2ban restart

firewall

Fedora, RHEL, CentOS:

Selinux e Iptables são ativados por padrão nesses sistemas e eu recomendo que você continue assim. Como abrir uma porta com iptables? Vamos ver como abrir a nova porta 2000 da porta ssh que alteramos anteriormente:

Aberto:

nano / etc / sysconfig / iptables

e modificamos a linha referente à porta SSH padrão 22 e deixamos assim:

# -A INPUT -m state --state NOVO -m tcp -p tcp --dport 22 -j ACEITAR -A INPUT -p tcp -m state --state NOVO -m tcp --dport 2000 -j ACEITAR

Salvamos com CTRL + O e fechamos com CTRL + X

Reiniciamos o serviço:

systemctl restart iptables

Debian, Ubuntu:

No Debian ou Ubuntu e derivados, temos um firewall UFW que vai facilitar a nossa vida, pois gerencia o Netfilter muito facilmente.

instalação:

apt-get install ufw ufw enable

Para ver o status das portas abertas, executamos:

ufw status

Para abrir uma porta (em nosso exemplo, será a nova porta ssh 2000):

ufw allow 2000

Para negar uma porta (em nosso caso, será a porta padrão 22 do ssh):

ufw deny 22 ufw delete deny 22

E amigos prontos. Dessa forma, eles manterão suas máquinas seguras. Não esqueça de comentar e até a próxima: D.