Максимално повећајте сигурност на ГНУ / Линук-у

Здраво пријатељи из DesdeLinux, lo prometido es deuda y aquí va un post de како максимизирати заштиту Линук система и остати такав сигурно од уљеза, као и заштиту података на вашим серверима, рачунарима или преносним рачунарима !!!!

Цомензандо

Фаил2бан: је апликација написана на Питхону да би спречила упад у систем који делује кажњавањем или блокирањем удаљених веза које покушавају приступ грубом силом.

Инсталација:

Федора, РХЕЛ, ЦентОС:

yum install fail2ban

Дебиан, Убунту:

apt-get install fail2ban

Подешавање:

цп /етц/фаил2бан/јаил.цонф /етц/фаил2бан/јаил.лоцал нано /етц/фаил2бан/јаил.лоцал

У делу под називом [ДЕФАУЛТ] ми коментаришемо и модификујемо #бантиме = 3600 остављајући га овако:

#бантиме = 3600 бантиме = 604800

У [ссхд] део уводимо енаблед = труе остављајући га овако:

#енаблед = труе омогућено = труе

Штедимо са ЦТРЛ + О и затварамо са ЦТРЛ + Кс

Услугу започињемо:

Федора, РХЕЛ, ЦентОС:

системцтл омогући фаил2бан.сервице системцтл старт фаил2бан.сервице

Дебиан, Убунту:

сервис фаил2бан старт

Забранити роот приступ помоћу ссх:

Да бисмо заштитили нашу машину, одбацићемо ссх преко роот корисника. Да бисмо то урадили, уређујемо датотеку / етц / ссх / ссхд_цонфиг на следећи начин:

цп ссхд_цонфиг ссхд_цонфиг.бцк нано / етц / ссх / ссхд_цонфиг

Ми се коментаришемо и мењамо

# Протокол 2 протокол 2

Ми се коментаришемо и мењамо

#ПермитРоотЛогин да ПермитРоотЛогин не

Штедимо са ЦТРЛ + О и затварамо са ЦТРЛ + Кс

Услугу започињемо:

Федора, РХЕЛ, ЦентОС:

системцтл омогући ссхд.сервице системцтл покрени ссхд.сервице

Дебиан, Убунту:

сервис ссхд старт

Забраните приступ ссх серверу помоћу лозинке и дозволите ссх само са РСА кључевима

Ако желимо да се повежемо са ПЦ1 на Сервер1, прво што треба урадити је генерисање нашег кључа на ПЦ1. Са нашим корисником и без роот-а на ПЦ1 извршавамо:

ссх-кеиген -т рса -б 8192 (ово генерише више него сигуран кључ јер се обично користе кључеви од 1024 до 2048)

Када добијемо лозинку, отпремимо је на Сервер1:

ссх-цопи-ид корисник @ сервер_ип

Једном када се то уради, повезаћемо се са нашим сервером1 и изменити датотеку нано / етц / ссх / ссхд_цонфиг са роот дозволама:

ссх корисник @ Сервер1 нано / етц / ссх / ссхд_цонфиг

Мењамо ред који каже #ПассвордАутхентицатион да на ово:

#ПассвордАутхентицатион да
ПассвордАутхентицатион бр

Штедимо са ЦТРЛ + О и затварамо са ЦТРЛ + Кс

Поново покрећемо ссх услугу:

Федора, РХЕЛ, ЦентОС:

системцтл рестарт ссхд.сервице

Дебиан, Убунту:

сервис ссхд рестарт

Промените ссх порт за слушање

Поново уређујемо / етц / ссх / ссхд_цонфиг и у делу који се односи на порт остављамо га овако:

# Порт 22 Порт 2000 (или било који други број већи од 2000. У нашим примерима ћемо користити ово.)

Штедимо са ЦТРЛ + О и затварамо са ЦТРЛ + Кс

Поново покрећемо ссх услугу:

Федора, РХЕЛ, ЦентОС:

системцтл рестарт ссхд.сервице

Дебиан, Убунту:

сервис ссхд рестарт

Ако користе фаил2бан потребно је променити конфигурацију у вези ссхд подешавања порта.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Штедимо са ЦТРЛ + О и затварамо са ЦТРЛ + Кс

Обнављамо услугу:

Федора, РХЕЛ, ЦентОС:

рестарт системцтл фаил2бан.сервице

Дебиан, Убунту:

услуга фаил2бан рестарт

заштитни зид

Федора, РХЕЛ, ЦентОС:

Селинук и Иптаблес су подразумевано активирани на овим системима и препоручујем да наставите овим путем. Како отворити порт помоћу иптаблес-а? Погледајмо како отворити нови порт 2000 ссх порта који смо претходно променили:

Отворено:

нано / етц / сисцонфиг / иптаблес

и ми модификујемо линију која се односи на подразумевани ссх порт 22 и остављамо је овако:

# -А УЛАЗ -м стање - стање НОВО -м тцп -п тцп --дпорт 22 -ј ПРИХВАТИ -А УЛАЗ -п тцп -м стање - стање НОВО -м тцп --дпорт 2000 -ј ПРИХВАТИ

Штедимо са ЦТРЛ + О и затварамо са ЦТРЛ + Кс

Поново покрећемо услугу:

системцтл рестарт иптаблес

Дебиан, Убунту:

У Дебиану или Убунтуу и изведеницама имамо УФВ заштитни зид који ће нам олакшати живот јер врло лако управља Нетфилтером.

Инсталација:

апт-гет инсталл уфв уфв омогући

Да бисмо видели статус отворених портова које извршавамо:

статус уфв

Да бисте отворили порт (у нашем примеру то ће бити нови ссх порт 2000):

уфв дозволи 2000

Да одбијете порт (у нашем случају то ће бити подразумевани порт 22 од ссх):

уфв дени 22 уфв делете дени 22

И спремни пријатељи. На овај начин ће заштитити ваше машине. Не заборавите да коментаришете и до следећег пута: Д.