Захистіть спільну пам'ять
/ dev / shm може використовуватися для нападу на працюючу службу, таку як httpd. Змініть / etc / fstab, щоб зробити його більш безпечним.
Відкрийте вікно терміналу та введіть наступне:
sudo vi /etc/fstab
Додайте наступний рядок і збережіть. Вам потрібно буде перезавантажити, щоб цей параметр набув чинності:
tmpfs /dev/shm tmpfs defaults,noexec,nosuid 0 0
Загартуйте мережу з налаштуваннями sysctl
Файл /etc/sysctl.conf містить усі параметри sysctl. Запобігати маршрутизації джерел вхідних пакетів та неправильно сформованих протоколів IP вводити наступне у вікно терміналу
sudo vi /etc/sysctl.conf
Відредагуйте файл /etc/sysctl.conf та відмініть коментар або додайте наступні рядки:
# IP Spoofing protection
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# Ignore ICMP broadcast requests
net.ipv4.icmp_echo_ignore_broadcasts = 1
# Disable source packet routing
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
# Ignore send redirects
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
# Block SYN attacks
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5
# Log Martians
net.ipv4.conf.all.log_martians = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
# Ignore ICMP redirects
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
# Ignore Directed pings
net.ipv4.icmp_echo_ignore_all = 1
Щоб перезавантажити sysctl з останніми змінами, введіть:
sudo sysctl -p
Запобігати підробленню IP-адрес
Відкрийте термінал і введіть наступне:
sudo vi /etc/host.conf
Додайте або відредагуйте наступні рядки:
order bind,hosts
nospoof on
Загартуйте PHP для безпеки
Відредагуйте файл php.ini:
sudo vi /etc/php5/apache2/php.ini
Додайте або відредагуйте наступні рядки:
disable_functions = exec,system,shell_exec,passthru
register_globals = Off
expose_php = Off
magic_quotes_gpc = On
Брандмауер веб-додатків - ModSecurity
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Захист від атак DDOS (відмова від служби) - ModEvasive
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Сканувати журнали та забороняти підозрілі хости - DenyHosts та Fail2Ban
@DenyHosts
DenyHosts - це програма python, яка автоматично блокує SSH-атаки, додаючи записи до /etc/hosts.deny. DenyHosts також повідомить адміністраторів Linux про ображення хостів, нападених користувачів та підозрілі входи.
Відкрийте термінал і введіть наступне:
sudo apt-get install denyhosts
Після встановлення відредагуйте файл конфігурації /etc/denyhosts.conf та змініть електронну пошту та інші налаштування за потребою.
Для редагування налаштувань електронної пошти адміністратора відкрийте вікно терміналу та введіть:
sudo vi /etc/denyhosts.conf
Змініть такі значення, як потрібно на вашому сервері:
ADMIN_EMAIL = root@localhost
SMTP_HOST = localhost
SMTP_PORT = 25
#SMTP_USERNAME=foo
#SMTP_PASSWORD=bar
SMTP_FROM = DenyHosts nobody@localhost
#SYSLOG_REPORT=YES
@ Fail2Ban
Fail2ban є більш досконалим, ніж DenyHosts, оскільки він розширює моніторинг журналу на інші сервіси, включаючи SSH, Apache, Courier, FTP та багато іншого.
Fail2ban сканує файли журналів і забороняє IP-адреси, які показують шкідливі знаки - занадто багато збоїв у паролі, шукають подвиги тощо.
Зазвичай Fail2Ban тоді використовувався для оновлення правил брандмауера для відхилення IP-адрес протягом певного часу, хоча будь-яка довільна інша дія також може бути налаштована. Fail2Ban поставляється з фільтрами для різних служб (apache, courier, ftp, ssh тощо).
Відкрийте термінал і введіть наступне:
sudo apt-get install fail2ban
Після встановлення відредагуйте файл конфігурації /etc/fail2ban/jail.local та створіть правила фільтра за потребою.
Для редагування налаштувань відкрийте вікно терміналу та введіть:
sudo vi /etc/fail2ban/jail.conf
Активуйте всі сервіси, які ви хочете відслідковувати fail2ban, змінивши увімкнено = хибне на * увімкнено = істинно *
Наприклад, якщо ви хочете ввімкнути моніторинг SSH та заборонити в'язницю, знайдіть рядок нижче та змініть увімкнено з false на true . Це воно.
[ssh]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
Якщо ви хочете отримувати електронні листи від Fail2Ban, якщо хостів заборонено, змініть наступний рядок на свою електронну адресу.
destemail = root@localhost
і змінити наступний рядок із:
action = %(action_)s
до:
action = %(action_mwl)s
Ви також можете створити фільтри правил для різних служб, які хотіли б контролювати fail2ban, які не постачаються за замовчуванням.
sudo vi /etc/fail2ban/jail.local
Хороші вказівки щодо налаштування fail2ban та створення різних фільтрів можна знайти на HowtoForge - натисніть тут для прикладу
Після завершення конфігурації Fail2Ban перезапустіть службу за допомогою:
sudo /etc/init.d/fail2ban restart
Ви також можете перевірити стан.
sudo fail2ban-client status
Перевірте наявність руткітів - RKHunter та CHKRootKit.
І RKHunter, і CHKRootkit основному роблять те саме - перевіряють вашу систему на руткіти. Без використання обох.
Відкрийте термінал і введіть наступне:
sudo apt-get install rkhunter chkrootkit
Для запуску chkrootkit відкрийте вікно терміналу та введіть:
sudo chkrootkit
Щоб оновити та запустити RKHunter. Відкрийте термінал і введіть наступне
sudo rkhunter --update
sudo rkhunter --propupd
sudo rkhunter --check
Сканувати відкриті порти - Nmap
Nmap ("Network Mapper") - це безкоштовна утиліта з відкритим кодом для виявлення мережі та аудиту безпеки.
Відкрийте термінал і введіть наступне:
sudo apt-get install nmap
Скануйте вашу систему на наявність відкритих портів:
nmap -v -sT localhost
Сканування SYN із наступним:
sudo nmap -v -sS localhost
Проаналізуйте системні файли LOG - LogWatch
Logwatch - це налаштована система аналізу журналів. Logwatch аналізує журнали вашої системи та створює звіт, аналізуючи визначені вами області. Logwatch простий у використанні і працюватиме прямо з пакета в більшості систем.
Відкрийте термінал і введіть наступне:
sudo apt-get install logwatch libdate-manip-perl
Для перегляду вихідних даних лог-годин слід використовувати менше:
sudo logwatch | less
Щоб надіслати звіт протоколу журналу за останні 7 днів на електронну адресу, введіть наступне та замініть mail@domain.com необхідною електронною поштою. :
sudo logwatch --mailto mail@domain.com --output mail --format html --range 'between -7 days and today'
Аудит безпеки вашої системи - Tiger.
Tiger - це інструмент безпеки, який можна використовувати як в якості аудиту безпеки, так і в системі виявлення вторгнень.
Відкрийте термінал і введіть наступне:
sudo apt-get install tiger
Для запуску тигра введіть:
sudo tiger
Весь вихід тигра можна знайти в / var / log / tiger
Щоб переглянути звіти про безпеку тигра, відкрийте термінал і введіть наступне:
sudo less /var/log/tiger/security.report.*
Для отримання додаткової допомоги
