Maximizați securitatea pe GNU / Linux

Salut prieteni de la DesdeLinux, lo prometido es deuda y aquí va un post de cum să maximizați protecția sistemelor Linux și rămâneți așa sigur împotriva intrușilor, precum și protejarea informațiilor de pe serverele, computerele sau laptopurile dvs. !!!!

pornire

Fail2ban: este o aplicație scrisă în Python pentru a preveni intruziunea într-un sistem, care acționează penalizând sau blocând conexiunile la distanță care încearcă accesul cu forță brută.

Instalare:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

Setare:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

În partea numită [DEFAULT] descomentăm și modificăm #bantime = 3600 lăsând-o astfel:

#bantime = 3600 bantime = 604800

În partea [sshd] introducem enabled = true lăsând-o astfel:

#enabled = adevărat activat = adevărat

Salvăm cu CTRL + O și închidem cu CTRL + X

Începem serviciul:

Fedora, RHEL, CentOS:

systemctl activate fail2ban.service systemctl start fail2ban.service

Debian, Ubuntu:

service fail2ban start

Refuzați accesul root utilizând ssh:

Pentru a ne proteja mașina, vom refuza ssh prin intermediul utilizatorului root. Pentru a face acest lucru, edităm fișierul / etc / ssh / sshd_config după cum urmează:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Decomentăm și ne schimbăm

#Protocol 2 Protocol 2

Decomentăm și ne schimbăm

#PermitRootLogin da PermitRootLogin nu

Salvăm cu CTRL + O și închidem cu CTRL + X

Începem serviciul:

Fedora, RHEL, CentOS:

systemctl activate sshd.service systemctl start sshd.service

Debian, Ubuntu:

service sshd start

Refuzați accesul la un server ssh folosind parola și permiteți ssh numai cu cheile RSA

Dacă vrem să ne conectăm cu PC1 la Server1, primul lucru de făcut este să ne generăm cheia pe PC1. Cu utilizatorul nostru și fără root pe PC1 executăm:

ssh-keygen -t rsa -b 8192 (aceasta generează o cheie mai mult decât sigură, deoarece sunt utilizate în mod normal cheile de la 1024 la 2048)

Odată ce avem parola, o încărcăm pe Server1:

ssh-copy-id user @ server_ip

Odată ce acest lucru este făcut, ne vom conecta la Server1 și vom modifica fișierul nano / etc / ssh / sshd_config cu permisiuni root:

utilizator ssh @ Server1 nano / etc / ssh / sshd_config

Schimbăm linia care spune #PasswordAuthentication da la asta:

#PasswordAuthentication da
Parola Autentificare nr

Salvăm cu CTRL + O și închidem cu CTRL + X

Repornim serviciul ssh:

Fedora, RHEL, CentOS:

systemctl reporniți sshd.service

Debian, Ubuntu:

service sshd reporniți

Schimbați portul de ascultare ssh

Din nou edităm / etc / ssh / sshd_config și în partea care se referă la port îl lăsăm astfel:

# Port 22 Port 2000 (sau orice alt număr mai mare decât 2000. În exemplele noastre vom folosi acest lucru.)

Salvăm cu CTRL + O și închidem cu CTRL + X

Repornim serviciul ssh:

Fedora, RHEL, CentOS:

systemctl reporniți sshd.service

Debian, Ubuntu:

service sshd reporniți

Dacă utilizează fail2ban, este necesar să schimbați configurația privind sshd reglarea portului.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Salvăm cu CTRL + O și închidem cu CTRL + X

Reînnoim serviciul:

Fedora, RHEL, CentOS:

systemctl reporniți fail2ban.service

Debian, Ubuntu:

service fail2ban restart

Firewall

Fedora, RHEL, CentOS:

Selinux și Iptables sunt activate implicit pe aceste sisteme și vă recomand să continuați în acest fel. Cum se deschide un port cu iptables? Să vedem cum să deschidem noul port 2000 al portului ssh pe care l-am schimbat anterior:

Deschis:

nano / etc / sysconfig / iptables

și modificăm linia care se referă la portul 22 ssh implicit și îl lăsăm astfel:

# -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 2000 -j ACCEPT

Salvăm cu CTRL + O și închidem cu CTRL + X

Repornim serviciul:

systemctl reporniți iptables

Debian, Ubuntu:

În Debian sau Ubuntu și derivate avem un firewall UFW care ne va ușura viața, deoarece gestionează Netfilter foarte ușor.

Instalare:

apt-get install ufw ufw enable

Pentru a vedea starea porturilor deschise executăm:

starea ufw

Pentru a deschide un port (în exemplul nostru va fi noul port ssh 2000):

ufw permit 2000

Pentru a refuza un port (în cazul nostru va fi portul implicit 22 al ssh):

ufw deny 22 ufw șterge deny 22

Și prieteni gata. În acest fel, vă vor păstra mașinile în siguranță. Nu uitați să comentați și până data viitoare: D.