Bezpieczna pamięć współdzielona
/ dev / shm może być użyty w ataku na działającą usługę, taką jak httpd. Zmodyfikuj / etc / fstab, aby był bardziej bezpieczny.
Otwórz okno terminala i wprowadź następujące dane:
sudo vi /etc/fstab
Dodaj następujący wiersz i zapisz. Musisz ponownie uruchomić, aby to ustawienie zaczęło obowiązywać:
tmpfs /dev/shm tmpfs defaults,noexec,nosuid 0 0
Wzmocnij sieć z ustawieniami sysctl
Plik /etc/sysctl.conf zawiera wszystkie ustawienia sysctl. Zapobiegaj routingowi źródłowemu przychodzących pakietów i rejestruj zniekształcone adresy IP, wprowadź następujące informacje w oknie terminala
sudo vi /etc/sysctl.conf
Edytuj plik /etc/sysctl.conf i usuń komentarz lub dodaj następujące wiersze:
# IP Spoofing protection
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# Ignore ICMP broadcast requests
net.ipv4.icmp_echo_ignore_broadcasts = 1
# Disable source packet routing
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
# Ignore send redirects
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
# Block SYN attacks
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5
# Log Martians
net.ipv4.conf.all.log_martians = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
# Ignore ICMP redirects
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
# Ignore Directed pings
net.ipv4.icmp_echo_ignore_all = 1
Aby ponownie załadować sysctl z najnowszymi zmianami, wprowadź:
sudo sysctl -p
Zapobiegaj fałszowaniu adresów IP
Otwórz terminal i wprowadź następujące dane:
sudo vi /etc/host.conf
Dodaj lub edytuj następujące linie:
order bind,hosts
nospoof on
Zaostrz PHP dla bezpieczeństwa
Edytuj plik php.ini:
sudo vi /etc/php5/apache2/php.ini
Dodaj lub edytuj następujące linie:
disable_functions = exec,system,shell_exec,passthru
register_globals = Off
expose_php = Off
magic_quotes_gpc = On
Zapora sieciowa - ModSecurity
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Chroń przed atakami DDOS (Denial of Service) - ModEvasive
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Skanuj dzienniki i blokuj podejrzane hosty - DenyHosts i Fail2Ban
@DenyHosts
DenyHosts to program w języku Python, który automatycznie blokuje ataki SSH poprzez dodawanie wpisów do /etc/hosts.deny. DenyHosts poinformuje również administratorów Linuksa o obrażających hostach, zaatakowanych użytkownikach i podejrzanych logowaniach.
Otwórz terminal i wprowadź następujące dane:
sudo apt-get install denyhosts
Po instalacji edytuj plik konfiguracyjny /etc/denyhosts.conf i zmień adres e-mail oraz inne ustawienia zgodnie z wymaganiami.
Aby edytować ustawienia administratora, otwórz okno terminala i wprowadź:
sudo vi /etc/denyhosts.conf
Zmień następujące wartości zgodnie z wymaganiami na serwerze:
ADMIN_EMAIL = root@localhost
SMTP_HOST = localhost
SMTP_PORT = 25
#SMTP_USERNAME=foo
#SMTP_PASSWORD=bar
SMTP_FROM = DenyHosts nobody@localhost
#SYSLOG_REPORT=YES
@ Fail2Ban
Fail2ban jest bardziej zaawansowany niż DenyHosts, ponieważ rozszerza monitorowanie dziennika na inne usługi, w tym SSH, Apache, Courier, FTP i inne.
Fail2ban skanuje pliki dziennika i blokuje adresy IP, które pokazują złośliwe znaki - zbyt wiele awarii haseł, szukanie exploitów itp.
Zasadniczo Fail2Ban następnie aktualizował reguły zapory sieciowej w celu odrzucenia adresów IP na określony czas, chociaż można również skonfigurować dowolne inne działanie. Po wyjęciu z pudełka Fail2Ban zawiera filtry dla różnych usług (apache, kurier, ftp, ssh itp.).
Otwórz terminal i wprowadź następujące dane:
sudo apt-get install fail2ban
Po instalacji edytuj plik konfiguracyjny /etc/fail2ban/jail.local i utwórz reguły filtrów zgodnie z wymaganiami.
Aby edytować ustawienia, otwórz okno terminala i wprowadź:
sudo vi /etc/fail2ban/jail.conf
Aktywuj wszystkie usługi, które chcesz monitorować fail2ban, zmieniając włączone = false na * włączone = true *
Na przykład, jeśli chcesz włączyć monitorowanie SSH i banowanie więzienia, znajdź wiersz poniżej i zmień opcję z false na true . To jest to.
[ssh]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
Jeśli chcesz otrzymywać e-maile od Fail2Ban, jeśli hosty są zbanowane, zmień następujący wiersz na swój adres e-mail.
destemail = root@localhost
i zmień następujący wiersz z:
action = %(action_)s
do:
action = %(action_mwl)s
Możesz także utworzyć filtry reguł dla różnych usług, które chcesz monitorować fail2ban, które nie są domyślnie dostarczane.
sudo vi /etc/fail2ban/jail.local
Dobre instrukcje konfiguracji fail2ban i tworzenia różnych filtrów można znaleźć w HowtoForge - kliknij tutaj, aby zobaczyć przykład
Po zakończeniu konfiguracji Fail2Ban uruchom ponownie usługę za pomocą:
sudo /etc/init.d/fail2ban restart
Możesz także sprawdzić status za pomocą.
sudo fail2ban-client status
Sprawdź rootkity - RKHunter i CHKRootKit.
Zarówno RKHunter, jak i CHKRootkit w zasadzie robią to samo - sprawdź system pod kątem rootkitów. Bez szkody przy użyciu obu.
Otwórz terminal i wprowadź następujące dane:
sudo apt-get install rkhunter chkrootkit
Aby uruchomić chkrootkit, otwórz okno terminala i wprowadź:
sudo chkrootkit
Aby zaktualizować i uruchomić RKHunter. Otwórz terminal i wprowadź następujące dane
sudo rkhunter --update
sudo rkhunter --propupd
sudo rkhunter --check
Skanuj otwarte porty - Nmap
Nmap („Network Mapper”) to darmowe narzędzie typu open source do wykrywania sieci i audytu bezpieczeństwa.
Otwórz terminal i wprowadź następujące dane:
sudo apt-get install nmap
Przeskanuj system w poszukiwaniu otwartych portów za pomocą:
nmap -v -sT localhost
Skanowanie SYN za pomocą:
sudo nmap -v -sS localhost
Analizuj systemowe pliki dziennika - LogWatch
Logwatch to konfigurowalny system analizy dzienników. Logwatch analizuje dzienniki systemu i tworzy raport analizujący określone obszary. Logwatch jest łatwy w użyciu i będzie działał od razu w pakiecie na większości systemów.
Otwórz terminal i wprowadź następujące dane:
sudo apt-get install logwatch libdate-manip-perl
Aby wyświetlić dane wyjściowe z zegarka, użyj mniej:
sudo logwatch | less
Aby wysłać raport z zegarem z ostatnich 7 dni na adres e-mail, wprowadź następujące dane i zastąp mail@domain.com wymaganym adresem e-mail. :
sudo logwatch --mailto mail@domain.com --output mail --format html --range 'between -7 days and today'
Audyt bezpieczeństwa systemu - Tiger.
Tiger to narzędzie bezpieczeństwa, które może być używane zarówno jako audyt bezpieczeństwa, jak i system wykrywania włamań.
Otwórz terminal i wprowadź następujące dane:
sudo apt-get install tiger
Aby uruchomić tygrysa, wprowadź:
sudo tiger
Wszystkie dane wyjściowe Tiger można znaleźć w / var / log / tiger
Aby wyświetlić raporty bezpieczeństwa tygrysa, otwórz terminal i wprowadź następujące dane:
sudo less /var/log/tiger/security.report.*
Aby uzyskać więcej pomocy
