Максимізуйте безпеку на GNU / Linux

Привіт друзі з DesdeLinux, lo prometido es deuda y aquí va un post de як максимізувати захист систем Linux і залишатися таким сейф від зловмисників, а також захищаючи інформацію на ваших серверах, ПК чи ноутбуках !!!!

Comenzando

Fail2ban: це програма, написана на Python, для запобігання вторгненню в систему, яка діє, караючи або блокуючи віддалені підключення, які намагаються отримати грубу силу.

Установка:

Fedora, RHEL, CentOS:

yum install fail2ban

Debian, Ubuntu:

apt-get install fail2ban

Налаштування:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

У частині під назвою [DEFAULT] ми коментуємо та модифікуємо #bantime = 3600, залишаючи це так:

#bantime = 3600 bantime = 604800

У частині [sshd] ми вводимо enabled = true, залишаючи це так:

#enabled = true увімкнено = true

Ми зберігаємо за допомогою CTRL + O і закриваємо за допомогою CTRL + X

Ми запускаємо послугу:

Fedora, RHEL, CentOS:

systemctl включити fail2ban.service systemctl запустити fail2ban.service

Debian, Ubuntu:

послуга fail2ban старт

Заборонити root-доступ за допомогою ssh:

Для захисту нашої машини ми збираємося заборонити ssh через кореневого користувача. Для цього ми редагуємо файл / etc / ssh / sshd_config таким чином:

cp sshd_config sshd_config.bck nano / etc / ssh / sshd_config

Ми коментуємо і змінюємось

# Протокол 2 Протокол 2

Ми коментуємо і змінюємось

#PermitRootLogin так PermitRootLogin ні

Ми зберігаємо за допомогою CTRL + O і закриваємо за допомогою CTRL + X

Ми запускаємо послугу:

Fedora, RHEL, CentOS:

systemctl включити sshd.service systemctl запустити sshd.service

Debian, Ubuntu:

служба sshd старт - -

Заборонити доступ до сервера ssh за допомогою ключа та дозволити ssh лише за допомогою ключів RSA

Якщо ми хочемо підключитися до PC1 до Server1, перше, що нам потрібно зробити, це сформувати наш ключ на PC1. З нашим користувачем і без root на PC1 ми виконуємо:

ssh-keygen -t rsa -b 8192 (це генерує більш ніж безпечний ключ, оскільки зазвичай використовуються ключі з 1024 по 2048)

Отримавши свій пароль, ми завантажуємо його на Server1:

ssh-copy-id user @ server_ip

Після цього ми збираємось підключитися до нашого Server1 та змінити файл nano / etc / ssh / sshd_config з правами root:

користувач ssh @ Server1 nano / etc / ssh / sshd_config

Ми змінюємо рядок, у якому написано #PasswordAuthentication, так:

#PasswordAuthentication так
Пароль Аутентифікаційний номер

Ми зберігаємо за допомогою CTRL + O і закриваємо за допомогою CTRL + X

Ми перезапускаємо службу ssh:

Fedora, RHEL, CentOS:

systemctl перезапустіть sshd.service

Debian, Ubuntu:

перезапуск служби sshd - -

Змініть порт прослуховування ssh

Знову ми редагуємо / etc / ssh / sshd_config і в частині, що стосується порту, залишаємо його так:

# Порт 22 Порт 2000 (або будь-яке інше число, більше 2000. У наших прикладах ми будемо використовувати це.)

Ми зберігаємо за допомогою CTRL + O і закриваємо за допомогою CTRL + X

Ми перезапускаємо службу ssh:

Fedora, RHEL, CentOS:

systemctl перезапустіть sshd.service

Debian, Ubuntu:

перезапуск служби sshd - -

Якщо вони використовують fail2ban, необхідно змінити конфігурацію щодо налаштування sshd порту.

nano /etc/fail2ban/jail.local

[sshd]
port    = ssh, 2000

[sshd-ddos]
port    = ssh, 2000

[dropbear]
port    = ssh, 2000

[selinux-ssh]
port    = ssh, 2000

Ми зберігаємо за допомогою CTRL + O і закриваємо за допомогою CTRL + X

Ми поновлюємо послугу:

Fedora, RHEL, CentOS:

перезапустити systemctl fail2ban.service

Debian, Ubuntu:

перезапуск служби

брандмауер

Fedora, RHEL, CentOS:

Selinux та Iptables за замовчуванням активовані в цих системах, і я рекомендую вам продовжити цей шлях. Як відкрити порт за допомогою iptables? Давайте подивимося, як відкрити новий порт 2000 порту ssh, який ми раніше змінювали:

Відчинено:

nano / etc / sysconfig / iptables

і ми модифікуємо рядок із посиланням на порт ssh 22 за замовчуванням і залишаємо його таким:

# -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 2000 -j ACCEPT

Ми зберігаємо за допомогою CTRL + O і закриваємо за допомогою CTRL + X

Ми перезапускаємо послугу:

перезапустити iptables

Debian, Ubuntu:

У Debian або Ubuntu та похідних файлах ми маємо брандмауер UFW, який полегшить нам життя, оскільки він дуже легко управляє Netfilter.

Установка:

apt-get install ufw ufw enable

Щоб побачити стан відкритих портів, які ми виконуємо:

статус ufw

Щоб відкрити порт (у нашому прикладі це буде новий порт ssh 2000):

ufw дозволити 2000

Щоб заборонити порт (у нашому випадку це буде порт за замовчуванням 22 ssh):

ufw відмовити 22 ufw видалити відмовити 22

І готові друзі. Таким чином вони захистять ваші машини. Не забувайте коментувати і до наступного разу: D.