เพิ่มความปลอดภัยสูงสุดบน GNU / Linux

สวัสดีเพื่อนจาก DesdeLinux,สิ่งที่สัญญาไว้คือหนี้ และนี่คือโพสต์เกี่ยวกับ วิธีเพิ่มการป้องกันระบบ Linux และอยู่อย่างนั้น ปลอดภัย จากผู้บุกรุกรวมทั้งปกป้องข้อมูลบนเซิร์ฟเวอร์พีซีหรือแล็ปท็อปของคุณ !!!!

Comenzando

ล้มเหลว2แบน: เป็นแอปพลิเคชันที่เขียนด้วย Python เพื่อป้องกันการบุกรุกเข้าสู่ระบบซึ่งทำหน้าที่โดยการลงโทษหรือบล็อกการเชื่อมต่อระยะไกลที่พยายามบังคับให้เข้าถึง

การติดตั้ง:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

การตั้งค่า:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local นาโน /etc/fail2ban/jail.local

ในส่วนที่เรียกว่า [DEFAULT] เรายกเลิกการแสดงความคิดเห็นและแก้ไข #bantime = 3600 โดยปล่อยไว้ดังนี้:

#bantime = 3600 bantime = 604800

ในส่วน [sshd] เราแนะนำ enable = true ปล่อยไว้ดังนี้:

#enabled = true เปิดใช้งาน = true

บันทึกด้วย CTRL + O และปิดด้วย CTRL + X

เราเริ่มให้บริการ:

Fedora, RHEL, CentOS:

systemctl เปิดใช้งาน fail2ban.service systemctl start fail2ban.service

Debian, Ubuntu:

เริ่มบริการ fail2ban

ปฏิเสธการเข้าถึงรูทโดยใช้ ssh:

เพื่อปกป้องเครื่องของเราเราจะปฏิเสธ ssh ผ่านผู้ใช้รูท ในการดำเนินการนี้เราแก้ไขไฟล์ / etc / ssh / sshd_config ดังนี้:

cp sshd_config sshd_config.bck นาโน / etc / ssh / sshd_config

เราไม่แสดงความคิดเห็นและการเปลี่ยนแปลง

# โปรโตคอล 2 โปรโตคอล 2

เราไม่แสดงความคิดเห็นและการเปลี่ยนแปลง

#PermitRootLogin ใช่ PermitRootLogin no

บันทึกด้วย CTRL + O และปิดด้วย CTRL + X

เราเริ่มให้บริการ:

Fedora, RHEL, CentOS:

systemctl เปิดใช้งาน sshd.service systemctl start sshd.service

Debian, Ubuntu:

เริ่มบริการ sshd

ปฏิเสธการเข้าถึงเซิร์ฟเวอร์ ssh โดยใช้รหัสผ่านและอนุญาตให้ใช้ ssh ด้วยคีย์ RSA เท่านั้น

หากเราต้องการเชื่อมต่อกับ PC1 ไปยัง Server1 สิ่งแรกที่เราต้องทำคือสร้างคีย์ของเราบน PC1 ด้วยผู้ใช้ของเราและไม่มีรูทบน PC1 เราดำเนินการ:

ssh-keygen -t rsa -b 8192 (สิ่งนี้สร้างคีย์ที่ปลอดภัยมากกว่าเนื่องจากปกติจะใช้คีย์จาก 1024 ถึง 2048)

เมื่อเรามีรหัสผ่านแล้วเราจะอัปโหลดไปที่ Server1:

ssh-copy-id ผู้ใช้ @ server_ip

เมื่อเสร็จแล้วเราจะเชื่อมต่อกับ Server1 ของเราและแก้ไขไฟล์ nano / etc / ssh / sshd_config ด้วยสิทธิ์ root:

ผู้ใช้ ssh @ Server1 nano / etc / ssh / sshd_config

เราเปลี่ยนบรรทัดที่ระบุว่า #PasswordAuthentication ใช่ตามนี้:

#PasswordAuthentication ใช่
รหัสผ่าน

บันทึกด้วย CTRL + O และปิดด้วย CTRL + X

เราเริ่มบริการ ssh ใหม่:

Fedora, RHEL, CentOS:

systemctl รีสตาร์ท sshd.service

Debian, Ubuntu:

บริการ sshd เริ่มต้นใหม่

เปลี่ยนพอร์ตการฟัง ssh

เราแก้ไข / etc / ssh / sshd_config อีกครั้งและในส่วนที่อ้างถึงพอร์ตเราปล่อยไว้ดังนี้:

# พอร์ต 22 พอร์ต 2000 (หรือหมายเลขอื่น ๆ ที่มากกว่า 2000 ในตัวอย่างของเราเราจะใช้สิ่งนี้)

บันทึกด้วย CTRL + O และปิดด้วย CTRL + X

เราเริ่มบริการ ssh ใหม่:

Fedora, RHEL, CentOS:

systemctl รีสตาร์ท sshd.service

Debian, Ubuntu:

บริการ sshd เริ่มต้นใหม่

หากพวกเขาใช้ fail2ban จำเป็นต้องเปลี่ยนการกำหนดค่าเกี่ยวกับ sshd ที่ปรับพอร์ต

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

บันทึกด้วย CTRL + O และปิดด้วย CTRL + X

เราต่ออายุบริการ:

Fedora, RHEL, CentOS:

systemctl รีสตาร์ท fail2ban.service

Debian, Ubuntu:

บริการ fail2ban เริ่มต้นใหม่

ไฟร์วอลล์

Fedora, RHEL, CentOS:

Selinux และ Iptables จะเปิดใช้งานตามค่าเริ่มต้นในระบบเหล่านี้และขอแนะนำให้คุณดำเนินการต่อด้วยวิธีนี้ วิธีเปิดพอร์ตด้วย iptables มาดูวิธีเปิดพอร์ตใหม่ 2000 ของพอร์ต ssh ที่เราเปลี่ยนไปก่อนหน้านี้:

เปิด:

นาโน / etc / sysconfig / iptables

และเราแก้ไขบรรทัดที่อ้างถึงพอร์ต ssh เริ่มต้น 22 และปล่อยไว้เช่นนี้:

# -A อินพุต -m state --state ใหม่ -m tcp -p tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 2000 -j ACCEPT

บันทึกด้วย CTRL + O และปิดด้วย CTRL + X

เราเริ่มบริการใหม่:

systemctl รีสตาร์ท iptables

Debian, Ubuntu:

ใน Debian หรือ Ubuntu และอนุพันธ์เรามีไฟร์วอลล์ UFW ซึ่งจะทำให้ชีวิตของเราง่ายขึ้นเพราะจัดการ Netfilter ได้ง่ายมาก

การติดตั้ง:

apt-get ติดตั้ง ufw ufw เปิดใช้งาน

หากต้องการดูสถานะของพอร์ตที่เปิดเราดำเนินการ:

สถานะ ufw

ในการเปิดพอร์ต (ในตัวอย่างของเราจะเป็น ssh port 2000 ใหม่):

ufw อนุญาต 2000

ในการปฏิเสธพอร์ต (ในกรณีของเราจะเป็นพอร์ตเริ่มต้น 22 ของ ssh):

ufw ปฏิเสธ 22 ufw ลบปฏิเสธ 22

และเพื่อนพร้อม. วิธีนี้จะทำให้เครื่องของคุณปลอดภัย อย่าลืมแสดงความคิดเห็นและจนกว่าจะถึงเวลาต่อไป: D.