Поради щодо безпеки в системах GNU / Linux

Ну, я готував цю посаду до мій блог деякий час вони пропонували мені це в DesdeLinux, а через брак часу він не мав змоги чи бажання. Якщо я трохи лінивий 😀. Але зараз вони страйкують, як ми говоримо на Кубі ...

0- Оновлюйте наші системи останніми оновленнями безпеки.

0.1- Критичні оновлення Списки розсилки [Slackware радник з безпеки, Радник з безпеки Debian, у моєму випадку]

1- Нульовий фізичний доступ до серверів несанкціонованим персоналом.

1.1- Застосувати пароль до BIOS наших серверів

1.2- Немає завантаження з CD / DVD

1.3- Пароль у GRUB / Lilo

2- Хороша політика щодо паролів, буквено-цифрові символи та інші.

2.1- Старіння паролів [Старіння пароля] за допомогою команди “chage”, а також кількість днів між зміною пароля та датою останньої зміни.

2.2- Уникайте використання попередніх паролів:

у /etc/pam.d/common-password

password sufficient pam_unix.so use_auth ok md5 shadow remember 10

Таким чином, ви змінюєте пароль, і він нагадує про останні 10 паролів, які мав користувач.

3- Хороша політика управління / сегментації нашої мережі [маршрутизатори, комутатори, vlans] та брандмауер, а також правила фільтрації INPUT, OUTPUT, FORWARD [NAT, SNAT, DNAT]

4- Увімкніть використання оболонок [/ etc / shells]. Користувачі, яким не потрібно входити в систему, отримують / bin / false або / bin / nologin.

5- Блокуйте користувачів, коли вхід не вдається [журнал відмов], а також контролюйте обліковий запис користувача системи.

passwd -l pepe -> заблокувати користувача pepe passwd -v pepe -> розблокувати користувача pepe

6- Увімкнути використання "sudo", НІКОЛИ не входити як root за допомогою ssh, "НІКОЛИ". Насправді для досягнення цієї мети потрібно відредагувати конфігурацію ssh. Використовуйте відкриті / приватні ключі на своїх серверах за допомогою sudo.

7- Застосовуйте в наших системах “Принцип найменших привілеїв».

8- Час від часу перевіряйте наші послуги [netstat -lptun] для кожного з наших серверів. Додайте інструменти моніторингу, які можуть допомогти нам у виконанні цього завдання [Nagios, Cacti, Munin, Monit, Ntop, Zabbix].

9- Встановіть IDS, Snort / AcidBase, Snotby, Barnyard, OSSEC.

10- Nmap - ваш друг, використовуйте його для перевірки вашої підмережі / підмережі.

11- Хороша практика безпеки в OpenSSH, Apache2, Nginx, MySQL, PostgreSQL, Postfix, Squid, Samba, LDAP [ті, які найбільше використовують] та деякі інші послуги, які вам потрібні у вашій мережі.

12- Шифруйте весь зв’язок, наскільки це можливо в наших системах, SSL, gnuTLS, StarTTLS, дайджест тощо ... А якщо ви обробляєте конфіденційну інформацію, зашифруйте свій жорсткий диск !!!

13- Оновіть наші поштові сервери найновішими правилами безпеки, чорного списку та антиспаму.

14- Реєстрація активності в наших системах за допомогою logwatch та logcheck.

15- Знання та використання таких інструментів, як top, sar, vmstat, безкоштовно, серед інших.

sar -> звіт про активність системи vmstat -> процеси, пам'ять, система, введення / виведення, активність процесора тощо iostat -> статус процесора вводу / виводу mpstat -> стан і використання багатопроцесора pmap -> використання пам'яті вільними процесами -> пам'ять iptraf -> трафік в реальному часі нашого мережевого статусу -> консольний монітор статистики ethernet etherape -> графічний монітор ss -> статус сокета [інформація про сокет tcp, udp, необроблені сокети, сокети DCCP] tcpdump -> Детальний аналіз трафіку vnstat -> монітор мережевого трафіку вибраних інтерфейсів mtr -> інструмент діагностики та аналіз перевантаження в мережах ettool -> статистика про мережеві карти

Поки що це все. Я знаю, що в такому середовищі є ще тисяча і одна пропозиція щодо безпеки, але саме вони мене найбільше вразили, або що в якийсь момент мені довелося застосовувати / займатися в середовищі, яке я вводив .

Обійми, і я сподіваюся, це тобі служить 😀