Максимальная безопасность в GNU / Linux

Привет друзья из DesdeLinux, то что обещали - это долг и вот пост про как максимизировать защиту систем Linux и оставайся таким сейф от злоумышленников, а также защита информации на ваших серверах, ПК или ноутбуках !!!!

начало

Фэйл2бан: - это приложение, написанное на Python для предотвращения вторжения в систему, которое действует, наказывая или блокируя удаленные соединения, которые пытаются получить доступ методом грубой силы.

Установка:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

Настройка:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

В части под названием [DEFAULT] мы раскомментируем и изменяем #bantime = 3600, оставляя его следующим образом:

#bantime = 3600 bantime = 604800

В части [sshd] мы вводим enabled = true, оставляя его так:

#enabled = true enabled = true

Сохраняем CTRL + O и закрываем CTRL + X

Запускаем сервис:

Fedora, RHEL, CentOS:

systemctl включить fail2ban.service systemctl start fail2ban.service

Debian, Ubuntu:

запуск службы fail2ban

Запретить root-доступ с помощью ssh:

Чтобы защитить нашу машину, мы собираемся запретить ssh через пользователя root. Для этого редактируем файл / etc / ssh / sshd_config следующим образом:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Раскомментируем и меняем

#Protocol 2 Протокол 2

Раскомментируем и меняем

#PermitRootLogin да PermitRootLogin нет

Сохраняем CTRL + O и закрываем CTRL + X

Запускаем сервис:

Fedora, RHEL, CentOS:

systemctl включить sshd.service systemctl start sshd.service

Debian, Ubuntu:

запуск службы sshd

Запретить доступ к ssh-серверу с помощью пароля и разрешить ssh только с ключами RSA

Если мы хотим соединиться с ПК1 с Сервером1, первое, что нужно сделать, это сгенерировать наш ключ на ПК1. С нашим пользователем и без root на ПК1 выполняем:

ssh-keygen -t rsa -b 8192 (генерирует более чем безопасный ключ, поскольку обычно используются ключи от 1024 до 2048)

Получив пароль, мы загружаем его на Server1:

ssh-copy-id пользователь @ server_ip

Как только это будет сделано, мы собираемся подключиться к нашему серверу Server1 и изменить файл nano / etc / ssh / sshd_config с правами root:

Пользователь ssh @ Server1 nano / etc / ssh / sshd_config

Мы меняем строку с #PasswordAuthentication yes на это:

#PasswordAuthentication да
Пароль Аутентификация нет

Сохраняем CTRL + O и закрываем CTRL + X

Перезапускаем службу ssh:

Fedora, RHEL, CentOS:

systemctl перезапустить sshd.service

Debian, Ubuntu:

перезапуск службы sshd

Изменить порт прослушивания ssh

Снова редактируем / etc / ssh / sshd_config и в части, относящейся к порту, оставляем его так:

# Порт 22 Порт 2000 (или любой другой номер больше 2000. В наших примерах мы будем использовать это.)

Сохраняем CTRL + O и закрываем CTRL + X

Перезапускаем службу ssh:

Fedora, RHEL, CentOS:

systemctl перезапустить sshd.service

Debian, Ubuntu:

перезапуск службы sshd

Если они используют fail2ban, необходимо изменить конфигурацию sshd, настроив порт.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Сохраняем CTRL + O и закрываем CTRL + X

Продлеваем услугу:

Fedora, RHEL, CentOS:

systemctl перезапуск fail2ban.service

Debian, Ubuntu:

перезапуск службы fail2ban

Межсетевые экраны

Федора, RHEL, CentOS:

Selinux и Iptables активированы по умолчанию в этих системах, и я рекомендую вам продолжить этот путь. Как открыть порт с помощью iptables? Давайте посмотрим, как открыть новый порт 2000 порта ssh, который мы изменили ранее:

Открыто:

нано / и т.д. / sysconfig / iptables

и мы модифицируем строку, относящуюся к ssh-порту 22 по умолчанию, и оставляем ее так:

# -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 2000 -j ACCEPT

Сохраняем CTRL + O и закрываем CTRL + X

Перезапускаем сервис:

systemctl перезапустить iptables

Дебиан, Убунту:

В Debian, Ubuntu и производных у нас есть брандмауэр UFW, который упростит нам жизнь, поскольку он очень легко управляет Netfilter.

Установка:

apt-get install ufw ufw enable

Чтобы увидеть статус открытых портов, мы выполняем:

ufw статус

Чтобы открыть порт (в нашем примере это будет новый порт ssh 2000):

ufw разрешить 2000

Чтобы запретить порт (в нашем случае это будет порт по умолчанию 22 ssh):

ufw deny 22 ufw delete deny 22

И готовые друзья. Таким образом они сохранят ваши машины в безопасности. Не забываем комментировать и до следующего раза: D.