Безопасная общая память
/ dev / shm может использоваться для атаки на работающий сервис, такой как httpd. Измените / etc / fstab, чтобы сделать его более безопасным.
Откройте окно терминала и введите следующее:
sudo vi /etc/fstab
Добавьте следующую строку и сохраните. Вам нужно будет перезагрузиться, чтобы настройки вступили в силу:
tmpfs /dev/shm tmpfs defaults,noexec,nosuid 0 0
Harden сеть с настройками sysctl
Файл /etc/sysctl.conf содержит все настройки sysctl. Для предотвращения маршрутизации исходящих входящих пакетов и регистрации неверных IP-адресов введите следующее в окне терминала
sudo vi /etc/sysctl.conf
Отредактируйте файл /etc/sysctl.conf и откомментируйте или добавьте следующие строки:
# IP Spoofing protection
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# Ignore ICMP broadcast requests
net.ipv4.icmp_echo_ignore_broadcasts = 1
# Disable source packet routing
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
# Ignore send redirects
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
# Block SYN attacks
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5
# Log Martians
net.ipv4.conf.all.log_martians = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
# Ignore ICMP redirects
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
# Ignore Directed pings
net.ipv4.icmp_echo_ignore_all = 1
Чтобы перезагрузить sysctl с последними изменениями, введите:
sudo sysctl -p
Предотвратить IP-спуфинг
Откройте Терминал и введите следующее:
sudo vi /etc/host.conf
Добавьте или отредактируйте следующие строки:
order bind,hosts
nospoof on
Harden PHP для безопасности
Отредактируйте файл php.ini:
sudo vi /etc/php5/apache2/php.ini
Добавьте или отредактируйте следующие строки:
disable_functions = exec,system,shell_exec,passthru
register_globals = Off
expose_php = Off
magic_quotes_gpc = On
Брандмауэр веб-приложений - ModSecurity
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Защита от DDOS-атак (отказ в обслуживании) - ModEvasive
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Сканирование журналов и бан подозрительных хостов - DenyHosts и Fail2Ban
@DenyHosts
DenyHosts - это программа на python, которая автоматически блокирует атаки SSH, добавляя записи в /etc/hosts.deny. DenyHosts также проинформирует администраторов Linux о нарушающих работу хостах, атакованных пользователях и подозрительных входах в систему.
Откройте Терминал и введите следующее:
sudo apt-get install denyhosts
После установки отредактируйте файл конфигурации /etc/denyhosts.conf и измените адрес электронной почты и другие параметры, если это необходимо.
Чтобы изменить настройки электронной почты администратора, откройте окно терминала и введите:
sudo vi /etc/denyhosts.conf
Измените следующие значения, как требуется на вашем сервере:
ADMIN_EMAIL = root@localhost
SMTP_HOST = localhost
SMTP_PORT = 25
#SMTP_USERNAME=foo
#SMTP_PASSWORD=bar
SMTP_FROM = DenyHosts nobody@localhost
#SYSLOG_REPORT=YES
@ Fail2Ban
Fail2ban более продвинут, чем DenyHosts, так как он расширяет мониторинг журналов для других служб, включая SSH, Apache, Courier, FTP и многие другие.
Fail2ban сканирует файлы журналов и блокирует IP-адреса, которые показывают вредоносные признаки - слишком много сбоев паролей, поиск эксплойтов и т. Д.
Обычно Fail2Ban затем используется для обновления правил брандмауэра, чтобы отклонять IP-адреса в течение заданного промежутка времени, хотя любое другое произвольное действие также может быть настроено. Из коробки Fail2Ban поставляется с фильтрами для различных сервисов (apache, courier, ftp, ssh и т. Д.).
Откройте Терминал и введите следующее:
sudo apt-get install fail2ban
После установки отредактируйте файл конфигурации /etc/fail2ban/jail.local и при необходимости создайте правила фильтрации.
Для редактирования настроек откройте окно терминала и введите:
sudo vi /etc/fail2ban/jail.conf
Активируйте все службы, которые вы хотите, чтобы fail2ban отслеживал, изменив enabled = false на * enabled = true *
Например, если вы хотите включить мониторинг SSH и запретить тюрьму, найдите строку ниже и измените значение с false на true . Это оно.
[ssh]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
Если вы хотите получать электронные письма от Fail2Ban, если хосты заблокированы, измените следующую строку на свой адрес электронной почты.
destemail = root@localhost
и измените следующую строку с:
action = %(action_)s
чтобы:
action = %(action_mwl)s
Вы также можете создать фильтры правил для различных сервисов, которые вы хотите, чтобы fail2ban отслеживал, которые не поставляются по умолчанию.
sudo vi /etc/fail2ban/jail.local
Хорошие инструкции о том, как настроить fail2ban и создать различные фильтры, можно найти в HowtoForge - нажмите здесь для примера
Когда закончите с настройкой Fail2Ban, перезапустите сервис с:
sudo /etc/init.d/fail2ban restart
Вы также можете проверить статус с помощью.
sudo fail2ban-client status
Проверьте наличие руткитов - RKHunter и CHKRootKit.
И RKHunter, и CHKRootkit в основном делают одно и то же - проверяют вашу систему на наличие руткитов. Нет вреда в использовании обоих.
Откройте Терминал и введите следующее:
sudo apt-get install rkhunter chkrootkit
Для запуска chkrootkit откройте окно терминала и введите:
sudo chkrootkit
Для обновления и запуска RKHunter. Откройте Терминал и введите следующее
sudo rkhunter --update
sudo rkhunter --propupd
sudo rkhunter --check
Сканирование открытых портов - Nmap
Nmap («Network Mapper») - бесплатная утилита с открытым исходным кодом для обнаружения сети и аудита безопасности.
Откройте Терминал и введите следующее:
sudo apt-get install nmap
Сканирование вашей системы на наличие открытых портов с помощью:
nmap -v -sT localhost
SYN сканирование со следующим:
sudo nmap -v -sS localhost
Анализ файлов системного журнала - LogWatch
Logwatch - это настраиваемая система анализа журналов. Logwatch анализирует журналы вашей системы и создает отчет, анализируя указанные вами области. Logwatch прост в использовании и будет работать сразу же на большинстве систем.
Откройте Терминал и введите следующее:
sudo apt-get install logwatch libdate-manip-perl
Для просмотра вывода logwatch используйте less:
sudo logwatch | less
Чтобы отправить отчет по журналу за последние 7 дней на адрес электронной почты, введите следующее и замените mail@domain.com требуемым адресом электронной почты. :
sudo logwatch --mailto mail@domain.com --output mail --format html --range 'between -7 days and today'
Аудит вашей системы безопасности - Тигр.
Tiger - это инструмент безопасности, который можно использовать как для аудита безопасности, так и для обнаружения вторжений.
Откройте Терминал и введите следующее:
sudo apt-get install tiger
Для запуска тигра введите:
sudo tiger
Весь вывод Tiger можно найти в / var / log / tiger
Чтобы просмотреть отчеты о безопасности тигра, откройте Терминал и введите следующее:
sudo less /var/log/tiger/security.report.*
Для получения дополнительной помощи
