ตรวจสอบการเข้าถึงไฟล์ linux เครื่องมือตรวจสอบความปลอดภัยของ Linux ที่ดีที่สุด บริการนี้ประกอบด้วย

ความปลอดภัย เซิร์ฟเวอร์ลินุกซ์เป็นสิ่งสำคัญมากในการปกป้องข้อมูล ทรัพย์สินทางปัญญา และเวลาของคุณจากมือของแฮกเกอร์ ผู้ดูแลระบบมีหน้าที่รับผิดชอบด้านความปลอดภัยของระบบปฏิบัติการ Linux ในบทความนี้ เราจะมาดู 20 สิ่งที่คุณต้องทำกับระบบปฏิบัติการ Linux ของคุณเพื่อให้ระบบปฏิบัติการปลอดภัยตลอดเวลา ถ้านี้ คอมพิวเตอร์ที่บ้านจึงไม่มีประโยชน์ที่จะต้องกังวลเรื่องความปลอดภัยมากนัก รหัสผ่านที่รัดกุมและการบล็อกการเข้าถึงพอร์ตจากอินเทอร์เน็ตก็เพียงพอแล้ว แต่ในกรณีของเซิร์ฟเวอร์สาธารณะ มันคุ้มค่าที่จะให้ความสนใจเพื่อให้แน่ใจว่ามีการป้องกัน

คำแนะนำเหล่านี้เหมาะสำหรับการเผยแพร่ใดๆ ไม่ว่าคุณจะใช้ CentOS, Red Hat หรือ Ubuntu, Debian ก็ตาม

1. การเข้ารหัสการสื่อสาร

ข้อมูลทั้งหมดที่ส่งผ่านเครือข่ายเปิดสำหรับการตรวจสอบ ดังนั้นจึงจำเป็นต้องเข้ารหัสข้อมูลที่ส่ง หากเป็นไปได้ โดยใช้รหัสผ่าน คีย์ หรือใบรับรอง

ใช้ scp, ssh, rsync หรือ sftp เพื่อถ่ายโอนไฟล์ นอกจากนี้ยังสามารถติดตั้งระบบไฟล์ระยะไกลลงในโฮมไดเร็กตอรี่ของคุณโดยใช้เครื่องมือ เช่น shhfs

GnuPG อนุญาตให้คุณเข้ารหัสและลงนามข้อมูลของคุณโดยใช้คุณสมบัติพิเศษ รหัสส่วนตัว. นอกจากนี้ยังมีฟังก์ชันสำหรับการจัดการคีย์และการเข้าถึงคีย์สาธารณะอีกด้วย

Fugu เป็นเครื่องมือกราฟิกสำหรับถ่ายโอนไฟล์โดยใช้โปรโตคอล SFTP SFTP คล้ายกับ FTP มาก แต่เซสชันทั้งหมดได้รับการเข้ารหัส ซึ่งหมายความว่าไม่มีการส่งรหัสผ่านหรือคำสั่งไป แบบฟอร์มเปิด. ดังนั้นการโอนดังกล่าวจึงมีความเสี่ยงน้อยกว่าต่อบุคคลที่สาม คุณยังสามารถใช้ FileZilla ได้อีกด้วย มันเป็นข้ามแพลตฟอร์ม ไคลเอ็นต์ FTPพร้อมรองรับ FTS บน SSH/TLS และ SSH การถ่ายโอนไฟล์โปรโตคอล (SFTP)

OpenVPN เป็นไคลเอนต์ VPN ที่มีประสิทธิภาพและมีน้ำหนักเบาพร้อมรองรับการเข้ารหัส SSH

2. พยายามอย่าใช้ FTP, Telnet, Rlogin และ RSH

ในเครือข่ายส่วนใหญ่ ชื่อผู้ใช้ รหัสผ่านจาก FTP, Telnet, คำสั่ง RSH สามารถดักจับโดยใครก็ตามในเครือข่ายเดียวกันโดยใช้แพ็คเก็ตดมกลิ่น การตัดสินใจร่วมกันปัญหานี้กำลังใช้ OpenSSH, SFTP หรือ SFTP ซึ่งเพิ่ม SSL หรือ TLS ให้กับ FTP ปกติ รันคำสั่งนี้เพื่อลบ NIS, RSH และบริการดั้งเดิมอื่นๆ:

yum ลบ inetd xinetd ypserv tftp-server telnet-server rsh-serve

3. ลดจำนวนซอฟต์แวร์

คุณต้องการติดตั้งบริการเว็บทั้งหมดหรือไม่? อย่าติดตั้งสิ่งที่ไม่จำเป็น ซอฟต์แวร์เพื่อหลีกเลี่ยงช่องโหว่ในโปรแกรมเหล่านี้ ใช้ตัวจัดการแพ็คเกจของคุณเพื่อดู โปรแกรมที่ติดตั้งและลบสิ่งที่ไม่จำเป็นออกทั้งหมด:

ติดตั้งรายการยำแล้ว
แพ็คเกจรายการ $yum
$yum ลบแพ็คเกจ

dpkg --รายการ
$ dpkg --แพ็คเกจข้อมูล
$ apt-get ลบแพ็คเกจ

4. รถหนึ่งคัน - หนึ่งบริการ

เรียกใช้บริการต่าง ๆ บนเซิร์ฟเวอร์แยกกันหรือ เครื่องเสมือน. นี่เป็นการจำกัดจำนวนบริการที่อาจถูกบุกรุก ตัวอย่างเช่น หากผู้โจมตีสามารถแฮ็ก Apache ได้ เขาจะสามารถเข้าถึงเซิร์ฟเวอร์ทั้งหมดได้ รวมถึงบริการต่างๆ เช่น MySQL, เซิร์ฟเวอร์อีเมล และอื่นๆ คุณสามารถใช้ซอฟต์แวร์เช่น XEN หรือ OpenVZ สำหรับการจำลองเสมือนได้

5. อัปเดตเคอร์เนล Linux และซอฟต์แวร์ของคุณให้ทันสมัยอยู่เสมอ

การใช้แพตช์รักษาความปลอดภัยเป็นส่วนสำคัญมากในการทำให้เซิร์ฟเวอร์ Linux ของคุณปลอดภัย ระบบปฏิบัติการมีเครื่องมือทั้งหมดเพื่อให้ระบบทันสมัยและอัปเดตเป็นเวอร์ชันใหม่ ควรใช้การอัปเดตความปลอดภัยทั้งหมดโดยเร็วที่สุด ที่นี่คุณต้องใช้ตัวจัดการแพ็คเกจของคุณด้วย ตัวอย่างเช่น:

หรือสำหรับระบบที่ใช้ Debian:

อัปเดต sudo apt && อัปเกรด sudo apt

คุณสามารถกำหนดค่า Red Hat หรือ Fedora เพื่อแจ้งให้คุณทราบทางอีเมลเมื่อมีการอัพเดตความปลอดภัยใหม่ นอกจากนี้คุณยังสามารถกำหนดค่าได้ อัปเดตอัตโนมัติผ่าน cron หรือคุณสามารถใช้ aptcron ของ Debian เพื่อแจ้งให้คุณทราบเมื่อระบบจำเป็นต้องได้รับการอัปเดต

6. ใช้ส่วนขยายความปลอดภัยบน Linux

ระบบปฏิบัติการ Linux มาพร้อมกับแพตช์รักษาความปลอดภัยต่างๆ ที่สามารถใช้เพื่อป้องกันการกำหนดค่าผิดพลาดหรือมัลแวร์ แต่คุณยังสามารถใช้ระบบควบคุมการเข้าถึงแอปพลิเคชันเพิ่มเติมได้ เช่น SELinux หรือ AppArrmor

SELinux จัดเตรียมนโยบายความปลอดภัยต่างๆ สำหรับเคอร์เนล Linux ที่นี่คุณสามารถควบคุมการเข้าถึงทรัพยากรระบบโดยใช้บทบาทได้ เฉพาะโปรแกรมที่มีบทบาทอนุญาตเท่านั้นที่สามารถเข้าถึงทรัพยากรเฉพาะได้และแม้แต่สิทธิ์ของผู้ใช้ขั้นสูงก็ไม่สำคัญ SELinux เพิ่มความปลอดภัยให้กับระบบ Linux อย่างมาก เนื่องจากคำนึงถึงแม้แต่รูทด้วย ผู้ใช้ทั่วไป. รายละเอียดเพิ่มเติมอธิบายไว้ในบทความแยกต่างหาก

7. บัญชีผู้ใช้และรหัสผ่านที่รัดกุม

ใช้คำสั่ง useradd และ usermod เพื่อสร้างและรักษาบัญชีผู้ใช้ ตรวจสอบให้แน่ใจว่าคุณมีรหัสผ่านที่ดีและรัดกุม โดยควรมีอักขระอย่างน้อยแปดตัว ในกรณีที่แตกต่างกัน ซึ่งควรมี สัญลักษณ์พิเศษหรือตัวเลข ตัวอย่างเช่น อักขระ 8 ตัว โดยเจ็ดตัวเป็นตัวอักษร และอีกหนึ่งตัวเป็นสัญลักษณ์หรือตัวเลข ใช้เครื่องมือเช่น John the Ripper เพื่อค้นหารหัสผ่านผู้ใช้ที่ไม่รัดกุมบนเซิร์ฟเวอร์ และกำหนดค่า pam_cracklib.so เพื่อบังคับใช้นโยบายรหัสผ่าน

8. เปลี่ยนรหัสผ่านเป็นครั้งคราว

คำสั่งเปลี่ยนช่วยให้คุณระบุจำนวนวันก่อนวันที่บังคับเปลี่ยนรหัสผ่าน ระบบจะใช้ข้อมูลนี้เพื่อพิจารณาว่าเมื่อใดที่ผู้ใช้ควรเปลี่ยนแปลง การตั้งค่าเหล่านี้อยู่ใน /etc/login.defs หากต้องการปิดใช้งานอายุรหัสผ่าน ให้ป้อนคำสั่งต่อไปนี้:

เปลี่ยน -l ชื่อผู้ใช้

หากต้องการรับข้อมูลเกี่ยวกับสตริงการหมดอายุของรหัสผ่าน ให้ป้อนคำสั่ง:

คุณยังสามารถกำหนดค่าทุกอย่างด้วยตนเองในไฟล์ /etc/shadow:

(ผู้ใช้): (รหัสผ่าน): (โอกาสสุดท้าย):(maximum_days): (minimum_days): (คำเตือน):(ปิดการใช้งาน):(expiration_line):

• จำนวนวันขั้นต่ำ- ช่วงเวลาขั้นต่ำระหว่างการเปลี่ยนรหัสผ่าน นั่นคือ ความถี่ที่ผู้ใช้สามารถเปลี่ยนรหัสผ่านได้
• จำนวนวันสูงสุด- รหัสผ่านจะใช้งานได้กี่วัน หลังจากช่วงเวลานี้ผู้ใช้จะถูกบังคับให้เปลี่ยนรหัสผ่าน
• คำเตือน- จำนวนวันที่ผู้ใช้จะได้รับคำเตือนว่าจำเป็นต้องเปลี่ยนรหัสผ่าน
• Expiry_line- จำนวนวันตั้งแต่วันที่ 1 มกราคม 1970 เมื่อบัญชีจะถูกปิดการใช้งานโดยสมบูรณ์

chage -M 60 -m 7 -W 7 ชื่อผู้ใช้

ขอแนะนำให้ป้องกันไม่ให้ผู้ใช้ใช้รหัสผ่านเก่า มิฉะนั้น ความพยายามทั้งหมดในการบังคับให้เปลี่ยนรหัสผ่านจะถือเป็นโมฆะ

9. บล็อกบัญชีหลังจากพยายามเข้าสู่ระบบไม่สำเร็จ

บนระบบปฏิบัติการ Linux คุณสามารถใช้คำสั่ง Faillog เพื่อดูการพยายามเข้าสู่ระบบที่ล้มเหลวของผู้ใช้ คุณยังสามารถกำหนดขีดจำกัดการใช้งานได้ ความพยายามที่ไม่สำเร็จทางเข้า. ข้อมูลทั้งหมดเกี่ยวกับการพยายามเข้าสู่ระบบที่ล้มเหลวจะถูกจัดเก็บไว้ในไฟล์ /var/log/faillog หากต้องการดู ให้พิมพ์:

และหากต้องการกำหนดขีดจำกัดความพยายามในการเข้าสู่ระบบสำหรับบัญชีใดบัญชีหนึ่ง ให้ใช้:

ผู้ใช้ที่ล้มเหลว -r -u

คุณยังสามารถบล็อกหรือปลดบล็อกบัญชีด้วยตนเองได้โดยใช้คำสั่ง passwd วิธีบล็อกการใช้งาน:

ผู้ใช้ passwd -l

และเพื่อปลดล็อค:

ผู้ใช้ passwd -u

ขอแนะนำให้ตรวจสอบว่ามีบัญชีในระบบที่มีรหัสผ่านว่างเปล่าหรือไม่ เมื่อต้องการทำเช่นนี้ ให้เรียกใช้:

awk -F: "($2 == "") (พิมพ์)" /etc/shadow

ตรวจสอบด้วยว่ามีผู้ใช้ที่มีกลุ่มหรือ ID 0 หรือไม่ ควรมีผู้ใช้ดังกล่าวเพียงคนเดียวเท่านั้นและนั่นคือรูท คุณสามารถตรวจสอบได้โดยใช้คำสั่งนี้:

awk -F: "($3 == "0") (พิมพ์)" /etc/passwd

ควรมีเพียงหนึ่งบรรทัด:

รูท:x:0:0:root:/root:/bin/bash

ถ้ามีอีกก็ลบออก ผู้ใช้ และโดยเฉพาะอย่างยิ่งรหัสผ่านที่ไม่รัดกุม เป็นหนึ่งในสิ่งที่มีความเสี่ยงมากที่สุดที่สามารถทำลายความปลอดภัยใน Linux ได้

10. ปิดการใช้งานการเข้าสู่ระบบรูท

เพื่อรักษาความปลอดภัยให้กับระบบ Linux ของคุณ ห้ามเข้าสู่ระบบในฐานะผู้ใช้รูท คุณสามารถใช้ sudo เพื่อรับสิทธิ์ที่จำเป็นและเรียกใช้ได้ คำสั่งที่ถูกต้องในนามของ superuser คำสั่งนี้ช่วยให้คุณไม่เปิดเผยรหัสผ่าน superuser แก่ผู้ดูแลระบบรายอื่น และยังมีเครื่องมือสำหรับตรวจสอบ จำกัด และติดตามกิจกรรม

11. ความปลอดภัยทางกายภาพของเซิร์ฟเวอร์

การรักษาความปลอดภัยเซิร์ฟเวอร์ Linux ต้องมีความปลอดภัยทางกายภาพด้วย คุณต้องจำกัดการเข้าถึงคอนโซลเซิร์ฟเวอร์ทางกายภาพ กำหนดค่า BIOS เพื่อไม่ให้รองรับการบูตจากสื่อภายนอก เช่น DVD, CD, USB ตั้งรหัสผ่านบน BIOS และตัวโหลดบูต GRUB เพื่อปกป้องการตั้งค่า

12. ปิดการใช้งานบริการที่ไม่จำเป็น

ปิดการใช้งานบริการและเดมอนที่ไม่ได้ใช้ทั้งหมด นอกจากนี้อย่าลืมลบบริการเหล่านี้ออกจากการเริ่มต้น คุณสามารถดูรายการบริการที่ใช้งานอยู่ทั้งหมดบนระบบ Red Hat ด้วยคำสั่ง:

chkconfig --รายการ | grep "3:เปิด"

หากต้องการปิดใช้งานการใช้บริการ:

บริการหยุดบริการ
ปิดบริการ $ chkconfig

ค้นหาพอร์ตทั้งหมดที่เปิดโดยโปรแกรม:

สามารถทำได้โดยใช้เครื่องสแกน nmap:

nmap -sT -O โลคัลโฮสต์

ใช้ iptables เพื่อปิดพอร์ตทั้งหมดที่ไม่ควรสามารถเข้าถึงได้จากเครือข่าย หรือหยุดบริการที่ไม่จำเป็นตามที่อธิบายไว้ข้างต้น

13. ลบเซิร์ฟเวอร์ X

เซิร์ฟเวอร์ X บนคอมพิวเตอร์เซิร์ฟเวอร์เป็นทางเลือกโดยสมบูรณ์ คุณไม่จำเป็นต้องรันสภาพแวดล้อมแบบกราฟิกบนเซิร์ฟเวอร์ Apache หรืออีเมลโดยเฉพาะ ลบซอฟต์แวร์นี้เพื่อปรับปรุงความปลอดภัยและประสิทธิภาพ

14. กำหนดค่า Iptables

iptables เป็นโปรแกรมพื้นที่ผู้ใช้สำหรับกำหนดค่าไฟร์วอลล์ Netfilter ที่สร้างไว้ในเคอร์เนล ช่วยให้คุณสามารถกรองการรับส่งข้อมูลทั้งหมดและอนุญาตเฉพาะการรับส่งข้อมูลบางประเภทเท่านั้น ใช้ TCPWrappers - ระบบ ACL เพื่อกรองการเข้าถึงอินเทอร์เน็ต คุณสามารถป้องกันการโจมตี DOS ได้หลายประเภทโดยใช้ iptables การรักษาความปลอดภัยของเครือข่ายใน Linux ถือเป็นส่วนสำคัญของการรักษาความปลอดภัยของระบบโดยรวม

15. กำหนดค่าเคอร์เนล

ไฟล์ /etc/sysctl.conf เก็บการตั้งค่าเคอร์เนลที่โหลดและใช้งานระหว่างการเริ่มต้นระบบ

เปิดใช้งานการป้องกันบัฟเฟอร์ล้น execshield:

kernel.exec-shield=1
kernel.randomize_va_space=1

เปิดใช้งานการป้องกันการปลอมแปลง IP:

net.ipv4.conf.all.rp_filter=1

ปิดใช้งานการเปลี่ยนเส้นทางที่อยู่ IP:

net.ipv4.conf.all.accept_source_route=0

ละเว้นคำขอออกอากาศ:

net.ipv4.icmp_echo_ignore_broadcasts=1
net.ipv4.icmp_ignore_bogus_error_messages=1

บันทึกแพ็คเกจปลอมแปลงทั้งหมด:

net.ipv4.conf.all.log_martians = 1

16. แบ่งพาร์ติชันฮาร์ดไดรฟ์ของคุณ

การแบ่งฮาร์ดไดรฟ์ออกเป็นพาร์ติชั่นตามวัตถุประสงค์ของไฟล์จะช่วยเพิ่มความปลอดภัยของระบบปฏิบัติการ Linux ขอแนะนำให้สร้างส่วนแยกต่างหากสำหรับไดเร็กทอรีต่อไปนี้:

• /บ้าน
• /var และ /var/tmp

สร้างพาร์ติชันแยกต่างหากสำหรับไดเรกทอรีรากของ Apache และ เซิร์ฟเวอร์ FTP. เปิดไฟล์ /etc/fstab และตั้งค่าตัวเลือกพิเศษสำหรับพาร์ติชันที่ต้องการ:

• noexec- ห้ามรันโปรแกรมหรือไฟล์ปฏิบัติการใด ๆ บนพาร์ติชั่นนี้ อนุญาตเฉพาะสคริปต์เท่านั้น
• โหนด- ไม่อนุญาตให้ใช้สัญลักษณ์หรืออุปกรณ์พิเศษบนพาร์ติชันนี้
• โนซูอิด- ไม่อนุญาตให้เข้าถึง SUID/SGID สำหรับโปรแกรมจากส่วนนี้

17. ใช้การจำกัดพื้นที่ดิสก์

จำกัดพื้นที่ว่างในดิสก์สำหรับผู้ใช้ เมื่อต้องการทำเช่นนี้ ให้สร้างโควต้าดิสก์ใน /etc/fstab ติดตั้งระบบไฟล์อีกครั้ง และสร้างฐานข้อมูลโควต้าดิสก์ สิ่งนี้จะปรับปรุงความปลอดภัยบน Linux

18. ปิดการใช้งาน IPv6

อินเทอร์เน็ตโปรโตคอลรุ่นต่อไป IPv6 จะเข้ามาแทนที่ IPv4 ที่ใช้อยู่แล้วในอนาคต แต่ต่อไป ช่วงเวลานี้ไม่มีเครื่องมือในการตรวจสอบความปลอดภัยของเครือข่ายที่ใช้ IPv6 มากมาย การแจกแจงลินุกซ์อนุญาตให้ใช้ IPv6 เป็นค่าเริ่มต้น แฮกเกอร์สามารถส่งทราฟฟิกที่ไม่ต้องการโดยที่ผู้ดูแลระบบไม่สามารถติดตามได้ ดังนั้นหากคุณไม่ต้องการบริการนี้ ให้ปิดการใช้งาน

19. ปิดการใช้งานไบนารี SUID และ SGID ที่ไม่ได้ใช้

ไฟล์ปฏิบัติการทั้งหมดที่เปิดใช้งานการตั้งค่าสถานะ SUID หรือ SGID อาจเป็นอันตรายได้ แฟล็กนี้หมายความว่าโปรแกรมจะถูกดำเนินการด้วยสิทธิ์ของ superuser ซึ่งหมายความว่าหากมีช่องโหว่หรือข้อบกพร่องใด ๆ ในโปรแกรมแสดงว่าอยู่ในเครื่องหรือ ผู้ใช้ระยะไกลจะสามารถใช้ไฟล์นี้ได้ ค้นหาไฟล์ดังกล่าวทั้งหมดโดยใช้คำสั่งต่อไปนี้:

ค้นหา / - ​​ดัดผม +4000

ค้นหาไฟล์ที่มีการตั้งค่าสถานะ SGID:

ค้นหา / - ​​ดัดผม +2000

หรือรวมทั้งหมดนี้ไว้ในคำสั่งเดียว:

ค้นหา / \(-perm -4000 -o -perm -2000 \) -print
$ ค้นหา / -path -prune -o -type f -perm +6000 -ls

คุณจะต้องศึกษาแต่ละไฟล์ที่พบโดยละเอียดเพื่อทำความเข้าใจว่าไฟล์นั้นจำเป็นแค่ไหน

20. ไฟล์สาธารณะ

ขอแนะนำให้ค้นหาไฟล์ที่ผู้ใช้ทุกคนในระบบสามารถแก้ไขได้ เมื่อต้องการทำเช่นนี้ ใช้คำสั่งต่อไปนี้:

ค้นหา /dir -xdev -type d \(-perm -0002 -a ! -perm -1000 \) -print

ตอนนี้คุณต้องตรวจสอบว่าสิทธิ์สำหรับกลุ่มและเจ้าของแต่ละไฟล์ได้รับการตั้งค่าอย่างถูกต้องหรือไม่ และสิ่งนี้ก่อให้เกิดความเสี่ยงด้านความปลอดภัยหรือไม่

ขอแนะนำให้ค้นหาไฟล์ทั้งหมดที่ไม่ใช่ของใครก็ตาม:

ค้นหา /dir -xdev \(-nouser -o -nogroup \) -print

21. ใช้ระบบการตรวจสอบความถูกต้องแบบรวมศูนย์

หากไม่มีระบบการตรวจสอบความถูกต้องแบบรวมศูนย์ ข้อมูลผู้ใช้จะไม่สอดคล้องกัน ซึ่งอาจส่งผลให้ข้อมูลรับรองล้าสมัยและบัญชีถูกลืมซึ่งควรถูกลบไปนานแล้ว บริการแบบรวมศูนย์จะช่วยให้คุณสามารถรักษาการควบคุมบัญชีผู้ใช้และข้อมูลการตรวจสอบสิทธิ์ที่แตกต่างกันได้ ระบบลินุกซ์และยูนิกซ์ คุณสามารถซิงโครไนซ์ข้อมูลการรับรองความถูกต้องระหว่างเซิร์ฟเวอร์ได้ แต่อย่าใช้บริการ NIS ลองดู Open DAP ดีกว่า

หนึ่งในการใช้งานที่น่าสนใจของระบบดังกล่าวคือ Kerberos อนุญาตให้ผู้ใช้ได้รับการรับรองความถูกต้องโดยใช้คีย์ส่วนตัวในเครือข่ายที่สามารถดักจับและแก้ไขแพ็กเก็ตได้ Kerberos ใช้คีย์แบบสมมาตรเพื่อเข้ารหัสข้อมูลและต้องใช้ศูนย์การจัดการคีย์เพื่อดำเนินการ คุณสามารถกำหนดค่าการเข้าสู่ระบบระยะไกล สำเนาระยะไกล การคัดลอกไฟล์อย่างปลอดภัยระหว่างระบบและงานอื่น ๆ ได้ด้วยความปลอดภัยระดับสูง

22. การบันทึกและการตรวจสอบ

ตั้งค่าการบันทึกและการตรวจสอบเพื่อรวบรวมและบันทึกการเข้าสู่ระบบที่ล้มเหลวและความพยายามในการแฮ็กทั้งหมด ตามค่าเริ่มต้น บันทึกทั้งหมดหรืออย่างน้อยที่สุดจะอยู่ในโฟลเดอร์ /var/log/ เราได้พูดคุยโดยละเอียดเพิ่มเติมเกี่ยวกับสิ่งที่คนบางคนต้องรับผิดชอบในบทความแยกต่างหาก

คุณสามารถดูบันทึกโดยใช้โปรแกรมอรรถประโยชน์ เช่น logwatch หรือ logcheck พวกเขาทำให้บันทึกการอ่านเป็นเรื่องง่ายมาก คุณสามารถดูได้ไม่ทั้งหมดไฟล์ แต่เฉพาะกิจกรรมที่คุณสนใจและส่งการแจ้งเตือนถึงตัวเองทางอีเมล

ตรวจสอบระบบโดยใช้บริการ auditd โปรแกรมเขียนลงดิสก์กิจกรรมการตรวจสอบทั้งหมดที่คุณสนใจ การตั้งค่าการตรวจสอบทั้งหมดจะถูกเก็บไว้ในไฟล์ /etc/audit.rules เมื่อระบบเริ่มทำงาน เซอร์วิสจะอ่านกฎทั้งหมดจากไฟล์นี้ คุณสามารถเปิดและกำหนดค่าทุกอย่างตามต้องการหรือใช้ก็ได้ ยูทิลิตี้แยกต่างหาก- ตรวจสอบ คุณสามารถกำหนดค่าดังต่อไปนี้:

• เหตุการณ์การเริ่มต้นและการปิดระบบ
• วันที่และเวลาของกิจกรรม
• กิจกรรมของผู้ใช้ (เช่น การเข้าถึงไฟล์ใดไฟล์หนึ่ง)
• ประเภทกิจกรรม (แก้ไข เข้าถึง ลบ เขียน อัปเดต ฯลฯ)
• สำเร็จหรือล้มเหลวเมื่อดำเนินกิจกรรม
• การบันทึกเหตุการณ์การเปลี่ยนแปลงการตั้งค่าเครือข่าย
• บันทึกการเปลี่ยนแปลงผู้ใช้และกลุ่ม
• การตรวจสอบการเปลี่ยนแปลงไฟล์

23. รักษาความปลอดภัยเซิร์ฟเวอร์ OpenSSH ของคุณ

อนุญาตให้ใช้โปรโตคอล 2 เท่านั้น:

ปิดการใช้งานการเข้าสู่ระบบในฐานะ superuser:

24. ติดตั้ง IDS

IDS หรือระบบตรวจจับการบุกรุกพยายามตรวจจับกิจกรรมที่น่าสงสัยและเป็นอันตราย เช่น การโจมตีดอสการสแกนพอร์ต หรือแม้แต่การพยายามแฮ็กคอมพิวเตอร์โดยการตรวจสอบการรับส่งข้อมูลเครือข่าย

แนวทางปฏิบัติที่ดีในการปรับใช้ซอฟต์แวร์ดังกล่าวก่อนที่ระบบจะถูกเปิดเผยสู่อินเทอร์เน็ต คุณสามารถติดตั้ง AIDE ซึ่งเป็น HIDS (Host based IDS) ที่สามารถตรวจสอบทุกด้านของระบบภายในของคุณได้

Snort เป็นซอฟต์แวร์สำหรับตรวจจับความพยายามบุกรุกเครือข่าย สามารถวิเคราะห์และบันทึกแพ็กเก็ตและวิเคราะห์ได้ การรับส่งข้อมูลเครือข่ายแบบเรียลไทม์

25. ปกป้องไฟล์และไดเร็กทอรีของคุณ

Linux มีการป้องกันที่ดีเยี่ยมต่อการเข้าถึงไฟล์โดยไม่ได้รับอนุญาต อย่างไรก็ตาม การอนุญาตที่กำหนดโดย Linux และระบบไฟล์จะไม่มีความหมายใดๆ เมื่อผู้โจมตีสามารถเข้าถึงคอมพิวเตอร์ได้และสามารถเชื่อมต่อได้อย่างง่ายดาย ฮาร์ดดิสคอมพิวเตอร์ไปยังระบบอื่นเพื่อคัดลอกข้อมูลของคุณ แต่คุณสามารถปกป้องไฟล์ของคุณได้อย่างง่ายดายด้วยการเข้ารหัส:

• หากต้องการเข้ารหัสและถอดรหัสไฟล์โดยใช้รหัสผ่าน ให้ใช้ GPG
• คุณยังสามารถป้องกันไฟล์โดยใช้ OpenSSL
• การเข้ารหัสไดเรกทอรีทำได้โดยใช้ ecryptfs
• TrueCrypt เป็นเครื่องมือเข้ารหัสดิสก์ฟรีสำหรับ Windows และ Linux

ข้อสรุป

ตอนนี้ความปลอดภัยของ Linux OS บนคอมพิวเตอร์ของคุณจะเพิ่มขึ้นอย่างมาก อย่าลืมตั้งรหัสผ่านที่ซับซ้อนเป็นครั้งคราว เขียนเครื่องมือรักษาความปลอดภัยระบบที่คุณชื่นชอบในความคิดเห็น

การปกป้องข้อมูลถือเป็นประเด็นสำคัญสำหรับธุรกิจที่ดำเนินธุรกิจบนอินเทอร์เน็ต การติดเชื้อไวรัสและการโจมตีจากภายนอก รวมถึงการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต ทั้งหมดนี้นำมาซึ่งความเสี่ยงทางการเงินและชื่อเสียงจำนวนมาก ดังนั้นเมื่อเลือกแพลตฟอร์มเซิร์ฟเวอร์ เจ้าของธุรกิจจึงสนใจระดับความปลอดภัยของทรัพยากรอยู่เสมอ
และเพื่อตรวจสอบว่าระบบรักษาความปลอดภัยทำงานได้ดีเพียงใด และมีช่องโหว่หรือช่องโหว่ใดๆ อยู่หรือไม่ ขอแนะนำให้ทำการตรวจสอบความปลอดภัยของเซิร์ฟเวอร์อย่างน้อยเดือนละครั้ง

สิ่งที่รวมอยู่ในการตรวจสอบความปลอดภัยของเซิร์ฟเวอร์

แม้แต่ปัจจัยที่ดูเหมือนไม่มีนัยสำคัญ เช่น การตั้งค่าเซิร์ฟเวอร์ไม่ถูกต้องหรือซอฟต์แวร์ที่ล้าสมัย ก็อาจกลายเป็นภัยคุกคามด้านความปลอดภัยได้ การตรวจสอบจะช่วยระบุจุดอ่อนด้านความปลอดภัยและใช้มาตรการทันเวลาเพื่อกำจัดจุดอ่อนดังกล่าวก่อนที่จะเกิดการติดเชื้อหรือการโจรกรรมข้อมูล
ผู้ดูแลระบบเซิร์ฟเวอร์จะตรวจสอบซอฟต์แวร์ที่ติดตั้งและความสอดคล้องของซอฟต์แวร์ อัพเดทล่าสุดประเมินการตั้งค่าความปลอดภัยของเซิร์ฟเวอร์และกำจัดข้อผิดพลาด (หากมี) และยังวิเคราะห์การปฏิบัติตามการตั้งค่าสิทธิ์การเข้าถึงทรัพยากรบางอย่างของพนักงาน

วิธีตรวจสอบเซิร์ฟเวอร์เฉพาะเสมือนด้วยตัวเอง

ผู้ใช้ทุกคนสามารถตรวจสอบความปลอดภัยของเซิร์ฟเวอร์บนแพลตฟอร์ม Windows หรือ Linux ได้ โดยไม่จำเป็นต้องมีความรู้ด้านการเขียนโปรแกรมพิเศษ
การตรวจสอบความปลอดภัยสามารถแบ่งออกเป็นหลายขั้นตอน:

การเข้าถึงทางกายภาพ

ในกรณีของเซิร์ฟเวอร์เฉพาะ การเข้าถึงทางกายภาพไปยังเซิร์ฟเวอร์ของบุคคลที่สามจะถูกจำกัดตามค่าเริ่มต้น ซึ่งจัดทำโดยศูนย์ข้อมูล แต่ผู้ใช้สามารถตั้งรหัสผ่านเพิ่มเติมเพื่อเข้า BIOS ได้

ไฟร์วอลล์

สำหรับการตรวจสอบซอฟต์แวร์และพอร์ตอย่างต่อเนื่อง จะต้องกำหนดค่าและเปิดใช้งานอย่างถูกต้อง ไฟร์วอลล์หน้าต่าง. สำหรับ Linux คุณสามารถใช้ระบบ SELinux เพื่อควบคุมการเข้าถึงได้ คุณยังสามารถเช่าฮาร์ดแวร์ไฟร์วอลล์ Cisco ASA หรือ Fortinet FortiGate 60D จากเราได้

ระบบไฟล์

ตรวจสอบสำหรับการอัพเดต

กำหนดค่าเซิร์ฟเวอร์ให้รับและติดตั้งการอัปเดตโดยอัตโนมัติ

นโยบายรหัสผ่าน

ติดตั้งโดยใช้ นโยบายท้องถิ่น ความปลอดภัยของวินโดวส์จำเป็นต้องมีรหัสผ่านที่ซับซ้อน ระยะเวลาที่ถูกต้อง รวมถึงการบล็อกบัญชีหลังจากการอนุญาตที่ไม่สำเร็จหลายครั้งหรือป้อนรหัสผ่านว่างเปล่า

การควบคุมบันทึก

เปิดใช้งานการบันทึกสำหรับเซ็กเมนต์โครงสร้างพื้นฐานที่สำคัญและตรวจสอบเป็นประจำ

ความปลอดภัยของเครือข่าย

ขอแนะนำให้ใช้ VPN และ VLAN สำหรับการแบ่งส่วนโฮสต์และความปลอดภัยของลิงก์
คุณควรเปลี่ยนการตั้งค่าเริ่มต้นและส่งต่อพอร์ตบริการของอุปกรณ์เครือข่าย
คุณสามารถใช้บริการ IPsec เพื่อเข้ารหัสการรับส่งข้อมูล และหากต้องการดูพอร์ตที่เปิดอยู่ ให้ใช้ยูทิลิตี้ Netstat

การควบคุมการเข้าถึง

จำกัดสิทธิ์การเข้าถึงของผู้ใช้ในไฟล์สำคัญ ปิดการใช้งานการเข้าถึงของแขกและผู้ใช้ด้วยรหัสผ่านที่ว่างเปล่า ปิดการใช้งานบทบาทและแอปพลิเคชันที่ไม่ได้ใช้บนเซิร์ฟเวอร์

สำรองข้อมูล

ใช้บริการสำรองไฟล์สร้างผลกำไรและเชื่อถือได้ อย่าจัดเก็บข้อมูลสำรองที่ไม่ได้เข้ารหัส หากคุณเช่าเซิร์ฟเวอร์จากเรา คุณสามารถเลือกสถานที่สำหรับสำรองข้อมูลได้

การเข้าถึงฐานข้อมูล

ฐานข้อมูลที่สำคัญควรถูกจัดเก็บไว้ในเซิร์ฟเวอร์ SQL ที่แตกต่างกัน คุณต้องกำหนดค่าการเปิดใช้งานในฐานะผู้ใช้ที่มีสิทธิ์ขั้นต่ำหรือจากรายการที่อยู่ IP สีขาวที่กำหนดค่าไว้ล่วงหน้า

การป้องกันไวรัส

เพื่อรันเซิร์ฟเวอร์บน การติดตั้งวินโดวส์แนะนำให้ใช้ซอฟต์แวร์ป้องกันไวรัสที่อัพเดตอัตโนมัติเมื่อผู้ใช้ทำงานกับที่เก็บข้อมูลเครือข่าย สำหรับ การติดตั้งลินุกซ์ไม่จำเป็นต้องมีโปรแกรมป้องกันไวรัส โดยมีการตรวจสอบความปลอดภัยของเซิร์ฟเวอร์อย่างสม่ำเสมอและควบคุมการเข้าถึงโดยไม่ได้รับอนุญาต ยูทิลิตี้ Tiger มีประโยชน์สำหรับสิ่งนี้

การตรวจสอบดังกล่าวเดือนละครั้งจะช่วยตรวจสอบการทำงานที่ถูกต้องของเซิร์ฟเวอร์ ขจัดช่องโหว่ และตรวจสอบความปลอดภัยของโครงสร้างพื้นฐานเครือข่าย

ส่วนใหญ่ของระบบองค์กรและหลายองค์ประกอบเช่น เอสเอพี , ออราเคิลดีบี ใช้ในแพลตฟอร์มของพวกเขา ระบบปฏิบัติการขึ้นอยู่กับ ลินุกซ์ . ด้วยเหตุนี้ พวกเขาจึงได้รับความสนใจอย่างใกล้ชิดจากผู้ตรวจสอบด้านไอที วันนี้ในบทความนี้เราจะนำเสนอเครื่องมือฟรีหลายอย่างที่นำเสนอในรูปแบบของสคริปต์และการใช้กลไกระบบปฏิบัติการมาตรฐานเพื่อให้การตรวจสอบการกำหนดค่าความปลอดภัยโดยชัดแจ้ง

คำสั่งระบบและสคริปต์ที่อธิบายไว้ด้านล่างนี้ซึ่งใช้สำหรับการตรวจสอบตัวเลือกความปลอดภัยของระบบ Linux OS อย่างเร่งด่วนนั้นอิงตามคำแนะนำในการตรวจสอบความปลอดภัยที่เผยแพร่โดยชุมชน ISACA ในคู่มือโปรแกรมการตรวจสอบ/ประกันความปลอดภัยของระบบปฏิบัติการ UNIX/LINUX

1.การตรวจสอบบัญชี

1.1 รายชื่อผู้ใช้ทั้งหมด
รายชื่อผู้ใช้ถูกจัดเก็บไว้ในไฟล์ /etc/passwdfile หากต้องการรับรายชื่อผู้ใช้ คุณสามารถใช้สคริปต์ต่อไปนี้:

1. ถัง / ทุบตี
2. # userslistinthesystem.sh
3. # นับและแสดงรายการผู้ใช้ “จริง” ที่มีอยู่ในระบบ
4. echo "[*] ผู้ใช้ที่มีอยู่ (เรียงตามตัวอักษร):"
5. grep '/bin/bash' /etc/passwd | grep -v 'root' | ตัด -f1
6. -d':' | เรียงลำดับ
7. echo -n "[*] จำนวนผู้ใช้จริงที่พบ: "
8. grep '/bin/bash' /etc/passwd | grep -v 'root' | สุขา -l

1. #!/bin/bash
2. # passwd – ชื่อบัญชี

1.3 ดูสถิติสำหรับผู้ใช้ทั้งหมด

2. การตรวจสอบนโยบายรหัสผ่าน

2.1 บัญชีที่มีรหัสผ่านว่างเปล่า
ในระหว่างการตรวจสอบ จำเป็นต้องตรวจสอบให้แน่ใจว่าไม่มีบัญชีหรือบัญชีที่ถูกบล็อกในระบบที่อนุญาตให้คุณเข้าสู่ระบบโดยไม่ต้องป้อนรหัสผ่าน กฎนี้สามารถตรวจสอบได้ด้วยคำสั่ง:

# cat /etc/shadow | awk -F: ($2==””)(พิมพ์ $1)’

2.2 การตรวจสอบความซับซ้อนของรหัสผ่าน
ในระหว่างการตรวจสอบ จำเป็นต้องตรวจสอบการตั้งค่าความซับซ้อนของรหัสผ่านเพื่อลดความเสี่ยงของการโจมตีด้วยความรุนแรง (การใช้กำลังดุร้าย) หรือพจนานุกรมในรหัสผ่าน หากต้องการตั้งกฎนี้ในระบบของคุณ คุณต้องใช้ Plug-in Authentication Modules (PAM)
ผู้ตรวจสอบสามารถตรวจสอบการตั้งค่าที่เกี่ยวข้องในไฟล์การกำหนดค่า:

# vi /etc/pam.d/system-auth

2.3 การตรวจสอบวันหมดอายุของรหัสผ่าน

ในระหว่างการตรวจสอบ คุณต้องตรวจสอบการตั้งค่าการหมดอายุของรหัสผ่าน หากต้องการตรวจสอบวันหมดอายุของรหัสผ่านคุณต้องใช้คำสั่ง เปลี่ยน. คำสั่งนี้จะแสดงข้อมูลโดยละเอียดเกี่ยวกับวันหมดอายุของรหัสผ่าน รวมถึงวันที่ที่มีการเปลี่ยนแปลงครั้งล่าสุด
คำสั่งต่อไปนี้ใช้เพื่อดูข้อมูลเกี่ยวกับ "อายุ" ของรหัสผ่าน:

#chage -l ชื่อผู้ใช้

หากต้องการเปลี่ยนระยะเวลาหมดอายุของรหัสผ่านสำหรับผู้ใช้รายใดรายหนึ่ง คุณสามารถใช้คำสั่งด้านล่าง:

#chage -M60 ชื่อผู้ใช้
#chage -M 60 -m 7 -W 7 ชื่อผู้ใช้

ตัวเลือก (เพื่อกำหนดวันหมดอายุของรหัสผ่าน):
-M – ระยะเวลาสูงสุดในหน่วยวัน
-m – ระยะเวลาที่ถูกต้องขั้นต่ำในหน่วยวัน
-W - การตั้งค่าการเตือนเป็นวัน

2.4 การใช้รหัสผ่านซ้ำกัน
การตั้งค่าการอนุญาตระบบต้องเป็นไปตามนโยบายรหัสผ่าน ไฟล์ที่มีประวัติรหัสผ่านอยู่ในนั้น /etc/security/opaswd. หากต้องการตรวจสอบ คุณต้องทำตามขั้นตอนต่อไปนี้:

สำหรับ RHEL: เปิดไฟล์ '/etc/pam.d/system-auth':

# vi /etc/pam.d/system-auth

สำหรับ Ubuntu/Debian/Linux Mint: เปิดไฟล์ '/etc/pam.d/common-password':

# vi /etc/pam.d/common-password

เพิ่มบรรทัดต่อไปนี้ในส่วน 'auth':

รับรองความถูกต้องเพียงพอ pam_unix.so likeauthnullok

หากต้องการป้องกันไม่ให้ใช้รหัสผ่านหกรหัสสุดท้าย ให้เพิ่มบรรทัดต่อไปนี้:

รหัสผ่านเพียงพอ pam_unix.so nullokuse_authtok md5 shadow Remember=6

หลังจากดำเนินการคำสั่ง ระบบจะจัดเก็บประวัติของรหัสผ่านหกรหัสก่อนหน้า และหากผู้ใช้คนใดพยายามอัปเดตรหัสผ่านโดยใช้รหัสใดรหัสหนึ่งจากหกรหัสล่าสุด เขาจะได้รับข้อความแสดงข้อผิดพลาด

3. การตั้งค่าการเชื่อมต่อที่ปลอดภัย
โปรโตคอล การเชื่อมต่อระยะไกลไปยังระบบ Telnet และ Rlogin นั้นเก่ามากและมีความเสี่ยงเนื่องจากการส่งรหัสผ่านผ่านเครือข่ายในรูปแบบที่ไม่ได้เข้ารหัส สำหรับการเชื่อมต่อระยะไกลและปลอดภัย ต้องใช้โปรโตคอลที่ปลอดภัย การรักษาความปลอดภัยเชลล์ (SSH) ผู้ตรวจสอบบัญชียังต้องแน่ใจว่าตัวเลือกนั้น เข้าสู่ระบบรูท ปิดการใช้งาน, พอร์ต SSH เริ่มต้นมีการเปลี่ยนแปลง, การเข้าถึงระยะไกลจำกัดเฉพาะผู้ใช้ที่ได้รับอนุญาตเฉพาะเท่านั้น การตั้งค่าที่กำลังตรวจสอบอยู่ในไฟล์การกำหนดค่า SSH:

1. # vi /etc/ssh/sshd_config

3.1 เข้าสู่ระบบในฐานะ superuser (เข้าสู่ระบบรูท)

ในระหว่างการตรวจสอบผู้ตรวจสอบบัญชีจะต้องตรวจสอบข้อห้าม เข้าสู่ระบบระยะไกลเข้าสู่ระบบด้วยสิทธิ์ root superuser

# PermitRootLogin = ใช่
3.2 การตรวจสอบบัญชีบริการเข้าสู่ระบบ SSH

ในระหว่างการตรวจสอบ ผู้ตรวจสอบจะต้องตรวจสอบบัญชีบริการด้วยค่าเข้าสู่ระบบ SSH ที่ไม่มีรหัสผ่าน โดยปกติ, ผู้ดูแลระบบใช้ฟังก์ชันนี้สำหรับการตั้งโปรแกรม สำเนาสำรองการถ่ายโอนไฟล์และการรันสคริปต์ในโหมดการควบคุมระยะไกล

ตรวจสอบการตั้งค่า sshd_config ของคุณ (/etc/ssh/sshd_config) ถูกต้องเป็นครั้งสุดท้าย

# PermitRootLogin โดยไม่ต้องใช้รหัสผ่าน

# RSAAuthentication = ใช่

# PubkeyAuthentication = ใช่

3.3 การตรวจสอบรายการเข้าถึงใน DenyHosts และ Fail2ban
ในระหว่างการตรวจสอบ คุณต้องตรวจสอบการตั้งค่ารายการเข้าถึง ปฏิเสธโฮสต์ และ Fail2ban . สคริปต์เหล่านี้เป็นสคริปต์ที่ใช้ในการตรวจสอบและวิเคราะห์บันทึกการเข้าถึง SSH และป้องกันการโจมตีด้วยรหัสผ่านแบบดุร้าย

คุณสมบัติของ DenyHosts:

• บันทึกและติดตามบันทึกจากไฟล์ /var/log/secure โดยจดบันทึกความพยายามเข้าสู่ระบบที่สำเร็จและไม่สำเร็จทั้งหมด และกรองข้อมูลเหล่านั้น
• มอนิเตอร์ความพยายามเข้าสู่ระบบล้มเหลว
• ส่งโดย อีเมลการแจ้งเตือนโฮสต์ที่ถูกบล็อกและ ความพยายามที่น่าสงสัยทางเข้า

• บันทึกและติดตามบันทึกจากไฟล์ /var/log/secure และ /var/log/auth.log , /var/log/pwdfail
• ปรับแต่งได้สูงและมัลติเธรด
• ตรวจสอบไฟล์บันทึกเป็นประจำ

4. การตรวจสอบบันทึกของระบบ
ในระหว่างการตรวจสอบ คุณต้องตรวจสอบให้แน่ใจว่า SysLog daemon กำลังทำงานอยู่ และเหตุการณ์สำคัญทั้งหมดที่เกิดขึ้นในระบบได้รับการบันทึกไว้ในบันทึกเหตุการณ์ ในระหว่างการตรวจสอบ จำเป็นต้องตรวจสอบให้แน่ใจด้วยว่านโยบายในการจัดเก็บบันทึกเหตุการณ์คำนึงถึงข้อกำหนดของกฎหมายปัจจุบันและนโยบายความปลอดภัย

4.1 บันทึกเหตุการณ์ใน Linux:

/var/log/auth.log – บันทึกของระบบการอนุญาต (การเข้าสู่ระบบและกลไกการตรวจสอบสิทธิ์)
/var/log/dpkg.log – บันทึกการติดตั้ง/การลบแพ็คเกจโดยใช้ dpkg
/var/log/yum.log – บันทึกการติดตั้ง/การลบแพ็คเกจโดยใช้ yum
/var/log/faillog – บันทึกการพยายามเข้าสู่ระบบที่ล้มเหลวและจำนวนสูงสุดสำหรับแต่ละบัญชี
/var/log/kern.log – บันทึกเคอร์เนล (บันทึกรายละเอียดของข้อความจากเคอร์เนล Linux)
/var/log/maillog หรือ /var/log/mail.log – บันทึกเซิร์ฟเวอร์เมล
/var/log/wtmp – บันทึกการเข้าสู่ระบบ (เวลาลงทะเบียนและระยะเวลาการทำงานของผู้ใช้ระบบทั้งหมด)
/var/run/utmp – ข้อมูลเกี่ยวกับผู้ใช้ที่ลงทะเบียนในระบบในปัจจุบัน
/var/log/lastlog – บันทึกการเข้าสู่ระบบครั้งก่อน
/var/log/boot – ข้อมูลที่บันทึกไว้ระหว่างการบูตระบบ

5. ป้องกันไฟล์ระบบ

5.1 การปกป้อง GRUB bootloader

เพื่อป้องกันบูตโหลดเดอร์ GRUB ผู้ดูแลระบบต้องใช้การเข้ารหัสรหัสผ่าน รูปแบบ MD5 :

# ด้วง-md5-crypt

หลังจากดำเนินการคำสั่งแล้ว ผู้ดูแลระบบจำเป็นต้องเปิดไฟล์ /boot/ด้วง/menu.lst หรือ /boot/grub/grub.conf และเพิ่มรหัสผ่าน MD5:

# vi /boot/grub/menu.lst

# vi /boot/grub/grub.conf

สามารถเพิ่มรหัสผ่าน MD5 ที่สร้างขึ้นใหม่ได้ ไฟล์การกำหนดค่าด้วง.

5.2 การปกป้องไดเร็กทอรีบูต /BOOT

ในระหว่างการตรวจสอบ จำเป็นต้องตรวจสอบสถานะของไดเร็กทอรี /บูต เนื่องจากเคอร์เนลของระบบและไฟล์ที่เกี่ยวข้องอยู่ในไดเร็กทอรี /บูต คุณต้องแน่ใจว่าไดเร็กทอรีนี้มีสิทธิ์การเข้าถึงแบบอ่านอย่างเดียวเพื่อป้องกันการแก้ไขโดยไม่ได้รับอนุญาต ไฟล์สำคัญในระบบ หากต้องการตรวจสอบ ให้เปิดไฟล์ /etc/fstab และตรวจสอบการกำหนดค่า:

ไฟล์จะต้องมีบรรทัด:

LABEL=/boot /boot ext2 ค่าเริ่มต้น,ro 1 2

5.3 การตรวจสอบพอร์ตที่เปิดอยู่และการเชื่อมต่อที่ใช้งานอยู่

คุณสามารถใช้สคริปต์ต่อไปนี้เพื่อตรวจสอบบริการที่ทำงานบนระบบ:

#!/bin/bash
ถ้า (($(ps -ef | grep -v grep | grep $service | wc -l) > 0))
แล้ว
echo “$บริการกำลังทำงาน!!!”
อื่น
/etc/init.d/$บริการเริ่มต้น
ฟิ

ดู เชื่อมต่อเครือข่าย

# netstat -anop
หรือ
# lsof -i(lsof -ni)
หรือ
#ไอพีทราฟ

พอร์ตการฟัง
การใช้คำสั่ง Netstat คุณสามารถดูพอร์ตที่เปิดอยู่ทั้งหมดและคำสั่งที่เกี่ยวข้องได้ สคริปต์ตัวอย่าง:

#netstat–tulpn
สคริปต์สำหรับการสแกนพอร์ตคือ:
สแกน() (
ถ้า [[ -z $1 || -z $2 ]]; แล้ว
echo “การใช้งาน: $0 ”
กลับ
ฟิ
โฮสต์ท้องถิ่น=$1
พอร์ตท้องถิ่น=()
กรณี $2 นิ้ว
*-*)
IFS=- อ่านจุดเริ่มต้นสิ้นสุด<<< “$2”
สำหรับ ((port=start; port<= end; port++)); do
พอร์ต+=($พอร์ต)
เสร็จแล้ว
;;
*,*)
IFS= อ่านพอร์ต -ra<<< “$2”
;; *)
พอร์ต+=($2) ;;
อีแซค
สำหรับพอร์ตใน “$(พอร์ต[@])”; ทำ
สัญญาณเตือน 1 “echo >/dev/tcp/$host/$port” &&
echo “พอร์ต $ พอร์ตเปิดอยู่” ||
echo “พอร์ต $พอร์ตถูกปิด”
เสร็จแล้ว
}

ไฟร์วอลล์ iptables

ในระหว่างการตรวจสอบ คุณต้องตรวจสอบการกำหนดค่าของไฟร์วอลล์ Linux เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต ในการควบคุมการรับส่งข้อมูล ต้องสร้างกฎใน iptables ที่จะกรองแพ็กเก็ตขาเข้า ขาออก และส่งต่อตามที่อยู่ IP และหมายเลขพอร์ต TCP/UDP

# iptables -n -L -v --line-numbers

คำขอ ICMP/การออกอากาศ

ในระหว่างการตรวจสอบ จำเป็นต้องตรวจสอบว่าระบบได้รับการกำหนดค่าให้เพิกเฉยต่อคำขอ Ping และ Broadcast เมื่อต้องการทำเช่นนี้ตรวจสอบให้แน่ใจว่าอยู่ในไฟล์ “/etc/sysctl.conf” มีการเพิ่มบรรทัดต่อไปนี้:

# ละเว้นคำขอ ICMP:
net.ipv4.icmp_echo_ignore_all = 1
# ละเว้นคำขอออกอากาศ:
net.ipv4.icmp_echo_ignore_broadcasts = 1

5.4 การตรวจสอบการอัปเดตที่ติดตั้ง

ต้องติดตั้งการอัพเดตล่าสุดบนระบบ:

#ยำอัปเดต
#ยำเช็คอัพเดต

6. การตรวจสอบงาน CRON ที่ดำเนินการโดยอัตโนมัติ

ผู้ตรวจสอบบัญชีจะต้องตรวจสอบว่าใครได้รับอนุญาตและไม่ได้รับอนุญาตให้ปฏิบัติงาน cron การเข้าถึง cron ถูกควบคุมโดยใช้ไฟล์ /etc/cron.allow และ /etc/cron.deny.

# เสียงสะท้อนทั้งหมด >>/etc/cron.deny

7. การทดสอบโหมดความปลอดภัยบังคับของ SELINUX

ในระหว่างการตรวจสอบ การตรวจสอบสถานะเป็นสิ่งสำคัญ ซีลีนุกซ์ . กลไกนี้จะต้องเปิดใช้งานในระบบ
มีสามโหมด ซีลีนุกซ์ :

• การบังคับใช้: นโยบาย SELinux ถูกบังคับใช้ SELinux ปฏิเสธการเข้าถึงตามกฎนโยบายของ SELinux
• อนุญาต: นโยบาย SELinux ไม่ได้บังคับใช้ SELinux ไม่ได้ปฏิเสธการเข้าถึง แต่การปฏิเสธจะถูกบันทึกเป็นการกระทำที่จะถูกปฏิเสธหากนโยบายถูกเปลี่ยนเป็นโหมดการบังคับใช้
• ปิดการใช้งาน: SELinux ถูกปิดการใช้งาน ใช้เฉพาะกฎ DAC แบบแยกเท่านั้น

ในระหว่างการตรวจสอบ คุณสามารถใช้สคริปต์ต่อไปนี้เพื่อตรวจสอบสถานะของ SELinux หรือใช้คำสั่ง system-configselinux, getenforce หรือ sestatus:

ENABLED=`cat /selinux/บังคับใช้`
ถ้า [ “$เปิดใช้งาน” == 1 ]; แล้ว
echo “SELinux เปิดใช้งานอยู่, ปิดใช้งานหรือไม่? (ใช่ไม่ใช่):"
ปิดการใช้งานการอ่าน
ถ้า [ $disable == “ใช่” ]; แล้ว
สะท้อน "ปิดการใช้งาน selinux"
เซ็ตฟอร์ซ 0
ฟิ
ฟิ

สคริปต์ LBSA เพื่อตรวจสอบตัวเลือกความปลอดภัยพื้นฐาน

LBSA (สคริปต์ตรวจสอบความปลอดภัยพื้นฐานของ Linux) เป็นสคริปต์พื้นฐานสำหรับตรวจสอบการกำหนดค่าความปลอดภัยของระบบ Linux สคริปต์จะต้องเรียกใช้จากบรรทัดคำสั่งที่มีสิทธิ์ ราก หรือรันตามกำหนดเวลาปกติโดยใช้ cron scheduler เพื่อตรวจสอบการเปลี่ยนแปลงการกำหนดค่าอย่างเป็นระบบ

วัตถุประสงค์ของสคริปต์นี้คือเพื่อตรวจสอบการตั้งค่าความปลอดภัยอย่างรวดเร็ว และอัปโหลดรายงานที่อธิบายพารามิเตอร์ที่เป็นไปได้ซึ่งสามารถเปลี่ยนแปลงได้เพื่อให้มีระดับความปลอดภัยที่สูงขึ้น หากไม่มีคำแนะนำสำหรับตัวเลือกใดๆ สคริปต์จะแสดงหนึ่งบรรทัดพร้อมกับการประมวลผลการตรวจสอบ และการตัดสินใจขั้นสุดท้ายจะเป็นเรื่องของผู้ดูแลระบบเสมอ ก่อนที่จะรันการสแกน นักพัฒนาขอแนะนำอย่างยิ่งให้คุณอ่านคู่มือและศึกษาส่วนที่แนะนำสำหรับข้อมูลเพิ่มเติม

ในฉบับปัจจุบัน (เวอร์ชัน 1.0.49) สคริปต์จะสแกนตัวเลือกต่อไปนี้:

• ช่องโหว่ในการตั้งค่าบัญชี
• ช่องโหว่ในการตั้งค่า SSH
• ช่องโหว่ในไดเร็กทอรีชั่วคราวและไดเร็กทอรีของระบบไฟล์ที่โหลดลงใน RAM (เช่น ใน /tmp, /var/tmp /dev/)
• การอนุญาตไฟล์ สถานะของไดเร็กทอรีระบบ
• การกำหนดค่าบริการ DRBD และ Hearbeat

สคริปต์ค่อนข้างใหญ่ดังนั้นเราจึงไม่ได้วางไว้บนหน้า

ในเนื้อหานี้ เราจะทำความคุ้นเคยกับยูทิลิตี้หลักสำหรับการเสริมความแข็งแกร่งของ Linux ในภาษารัสเซีย สิ่งนี้เรียกว่า "การตรวจสอบระดับความปลอดภัยของระบบ Linux และการประเมินความถูกต้องของการกำหนดค่าจากมุมมองความปลอดภัยของข้อมูล" แน่นอนว่าเราจะไม่เพียงแค่ตรวจสอบโปรแกรมเท่านั้น แต่ยังให้ตัวอย่างการใช้งานด้วย

ผู้ตรวจสอบบัญชีของคุณเองหรือความปลอดภัยของคุณเอง

ผู้ดูแลระบบและผู้ตรวจสอบความปลอดภัยของข้อมูลมักเผชิญกับงานตรวจสอบความปลอดภัยของโฮสต์จำนวนมากในเวลาอันสั้น และแน่นอนว่า เพื่อแก้ไขปัญหาเหล่านี้ในส่วน Enterprise จึงมีเครื่องมือพิเศษ เช่น เครื่องสแกนความปลอดภัยเครือข่าย ฉันแน่ใจว่าทั้งหมดตั้งแต่เอ็นจิ้น Open Source OpenVAS ไปจนถึงผลิตภัณฑ์เชิงพาณิชย์เช่น Nessus หรือ Nexpose - เป็นที่รู้จักของผู้อ่านของเรา อย่างไรก็ตาม ซอฟต์แวร์นี้มักจะใช้เพื่อค้นหาซอฟต์แวร์ที่ล้าสมัยและมีช่องโหว่ จากนั้นเรียกใช้การจัดการแพตช์ นอกจากนี้ ไม่ใช่ว่าสแกนเนอร์ทุกตัวจะคำนึงถึงคุณสมบัติเฉพาะบางประการของกลไกการป้องกันในตัวของ Linux และผลิตภัณฑ์โอเพ่นซอร์สอื่น ๆ และสุดท้ายแต่ไม่ท้ายสุด ราคาของประเด็นนี้มีความสำคัญ เนื่องจากผลิตภัณฑ์เชิงพาณิชย์สามารถซื้อได้โดยบริษัทที่จัดสรรงบประมาณสำหรับธุรกิจนี้เท่านั้น

นั่นคือเหตุผลที่วันนี้เราจะพูดถึงชุดยูทิลิตี้พิเศษที่แจกจ่ายอย่างอิสระซึ่งสามารถวินิจฉัยระดับความปลอดภัยของระบบในปัจจุบัน ประเมินความเสี่ยงที่อาจเกิดขึ้น เช่น "บริการพิเศษ" ที่ปรากฎบนอินเทอร์เน็ต หรือการกำหนดค่าเริ่มต้นที่ไม่ปลอดภัย และแม้แต่ เสนอทางเลือกในการแก้ไขข้อบกพร่องที่พบ ข้อดีอีกประการของการใช้เครื่องมือเหล่านี้คือความสามารถในการจำลองสถานการณ์การทดสอบฟาร์มมาตรฐานจากระบบ Linux จำนวนเท่าใดก็ได้ และสร้างฐานการทดสอบที่จัดทำเป็นเอกสารในรูปแบบของบันทึกและรายงานแต่ละรายการ

ด้านการปฏิบัติของการตรวจสอบความปลอดภัย

หากมองผ่านสายตาของผู้ตรวจสอบบัญชี วิธีการทดสอบสามารถแบ่งได้เป็น 2 ประเภท

อันดับแรก- นี่คือการปฏิบัติตามข้อกำหนดที่เรียกว่าการปฏิบัติตาม โดยมีการตรวจสอบองค์ประกอบความปลอดภัยที่จำเป็นที่กำหนดไว้ในมาตรฐานสากลหรือ "แนวปฏิบัติที่ดีที่สุด" ตัวอย่างคลาสสิกคือข้อกำหนด PCI DSS สำหรับระบบไอทีการชำระเงิน SOX404, ซีรีส์ NIST-800

ที่สอง- นี่เป็นแนวทางที่มีเหตุผลล้วนๆ โดยอิงจากคำถาม "มีอะไรอีกที่สามารถทำได้เพื่อเสริมสร้างความปลอดภัย" ไม่มีข้อกำหนดบังคับ - มีเพียงความรู้ สมองที่ชัดเจน และมือที่เชี่ยวชาญเท่านั้น ตัวอย่างเช่น นี่คือการอัปเดตเวอร์ชันเคอร์เนลและ/หรือแพ็คเกจแอปพลิเคชัน การเปิดใช้งาน การบังคับใช้ และการตั้งค่าไฟร์วอลล์

ทุกสิ่งที่เกี่ยวข้องกับแนวทางที่สองมักเรียกว่าคำศัพท์พิเศษ การแข็งตัวซึ่งสามารถนิยามได้ว่าเป็น "การกระทำที่มุ่งเพิ่มระดับความปลอดภัยเริ่มต้นของระบบปฏิบัติการ (หรือโปรแกรม) โดยใช้วิธีมาตรฐานเป็นหลัก"

โดยปกติจะมีการตรวจสอบการปฏิบัติตามข้อกำหนดในการเตรียมการสำหรับการตรวจสอบภาคบังคับ เช่น PCI DSS หรือการตรวจสอบการรับรองอื่นๆ เราจะให้ความสำคัญกับองค์ประกอบการชุบแข็งมากขึ้น นักพัฒนารายใหญ่ทั้งหมดเสนอผลิตภัณฑ์ของตน แนวทางการชุบแข็ง- คำแนะนำที่มีเคล็ดลับและคำแนะนำเกี่ยวกับวิธีการเสริมสร้างความปลอดภัย โดยคำนึงถึงกลไกความปลอดภัยมาตรฐานและลักษณะเฉพาะของซอฟต์แวร์ ดังนั้น Red Hat, Debian, Oracle, Cisco จึงมีคำแนะนำที่คล้ายกัน

ข้อมูล

การแข็งตัวเป็นคำจากโลกแห่งความปลอดภัยของข้อมูลที่หมายถึงกระบวนการรับรองความปลอดภัยของระบบ (โปรแกรม) โดยการลดความเสี่ยงและตามกฎแล้วใช้เฉพาะยูทิลิตี้มาตรฐานหรือกลไกการป้องกันเท่านั้น

อัปเดต Sudo apt-get sudo apt-get ติดตั้ง lynis

และสำหรับการแจกแจงแบบเน้น RPM (หลังจากเพิ่มที่เก็บที่เหมาะสม):

ยำติดตั้ง linus -y

การติดตั้งบน macOS:

$ ชงการค้นหา lynis $ ชงติดตั้ง lynis

ในการเริ่มต้น Lynis คุณจะต้องระบุอย่างน้อยหนึ่งคีย์เท่านั้น ตัวอย่างเช่น หากต้องการรันการทดสอบที่มีอยู่ทั้งหมด คุณควรระบุสวิตช์ -c (เลือกทั้งหมด):

# ชุดการทดสอบทั่วไป sudo lynis audit system # ชุดการทดสอบครบชุด sudo lynis audit system -c # การสแกนระบบตรวจสอบโฮสต์ระยะไกลระยะไกล

ก่อนการตรวจสอบ เป็นความคิดที่ดีเสมอที่จะตรวจสอบว่า Lynis เวอร์ชันใหม่พร้อมใช้งานหรือไม่:

ข้อมูลการอัปเดต Lynis && การตรวจสอบการอัปเดต lynis

ยูทิลิตี้ Lynis นอกเหนือจากโหมดมาตรฐานแล้วยังมีโหมดอีกหนึ่งโหมด - การเปิดตัวที่ไม่มีสิทธิพิเศษ:

การตรวจสอบของ Lynis --pentest

หากคุณต้องการใส่ชื่อของผู้ตรวจสอบที่เริ่มการทดสอบ เพียงเพิ่มพารามิเตอร์ -auditor :

ระบบการตรวจสอบ Sudo lynis -c -auditor Daddy

ในขั้นตอนใดก็ตามของการตรวจสอบ กระบวนการตรวจสอบสามารถดำเนินต่อไปได้ (Enter) หรือบังคับให้ยุติ (Ctrl+C) ผลลัพธ์ของการทดสอบที่ดำเนินการจะถูกเขียนลงในบันทึกของ Lynis ใน /var/log/lynis.log โปรดทราบว่าบันทึกจะถูกเขียนทับทุกครั้งที่เปิดยูทิลิตี้

หากต้องการทดสอบอย่างเป็นระบบในโหมดอัตโนมัติ คุณสามารถกำหนดงานที่เหมาะสมให้กับตัวกำหนดเวลา Cron ได้โดยใช้สวิตช์ -cronjob ในกรณีนี้ ยูทิลิตีจะเปิดขึ้นตามเทมเพลตที่ระบุ (การกำหนดค่า) และจะไม่แสดงข้อความ คำถาม หรือคำเตือนแบบโต้ตอบใดๆ ผลลัพธ์ทั้งหมดจะถูกบันทึกไว้ในบันทึก ตัวอย่างเช่น นี่คือสคริปต์สำหรับเรียกใช้ยูทิลิตี้ด้วยการกำหนดค่าเริ่มต้นเดือนละครั้ง:

#!/bin/sh AUDITOR="อัตโนมัติ" DATE=$(วันที่ +%Y%m%d) HOST=$(ชื่อโฮสต์) LOG_DIR="/var/log/lynis" REPORT="$LOG_DIR/report-$( HOST).$(DATE)" DATA="$LOG_DIR/report-data-$(HOST).$(DATE).txt" cd /usr/local/lynis ./lynis -c –ผู้ตรวจสอบ "$(AUDITOR)" –cronjob > $(รายงาน) mv /var/log/lynis-report.dat $(DATA) # สิ้นสุด

บันทึกสคริปต์นี้ลงในไดเร็กทอรี /etc/cron.monthly/lynis และอย่าลืมเพิ่มเส้นทางสำหรับบันทึกบันทึก (/usr/local/lynis และ /var/log/lynis) ไม่เช่นนั้นอาจทำงานไม่ถูกต้อง

คุณสามารถดูรายการคำสั่งทั้งหมดสำหรับการโทรได้:

ลินนิสแสดงคำสั่ง

ผู้ที่อยากรู้อยากเห็นเป็นพิเศษสามารถดูการตั้งค่าจากการกำหนดค่าเริ่มต้น:

ลินนิสแสดงการตั้งค่า

คำแนะนำสั้น ๆ เกี่ยวกับวิธีใช้ยูทิลิตี้:

แมน ลินนิส

ตัวเลือกสำหรับสถานะที่เป็นไปได้ตามผลการตรวจสอบจะจำกัดอยู่ในรายการต่อไปนี้: ไม่มี อ่อนแอ เสร็จสิ้น พบ NOT_FOUND ตกลง คำเตือน.

ดำเนินการทดสอบแต่ละรายการใน Lynis

ในทางปฏิบัติอาจจำเป็นต้องทำการทดสอบเพียงไม่กี่ครั้งเท่านั้น ตัวอย่างเช่น หากเซิร์ฟเวอร์ของคุณทำงานเฉพาะฟังก์ชัน Mail Server หรือ Apache สำหรับสิ่งนี้ เราสามารถใช้พารามิเตอร์ -tests ไวยากรณ์คำสั่งมีดังนี้:

Lynis - ทดสอบ "รหัสทดสอบ"

หากคุณพบว่าเป็นเรื่องยากที่จะเข้าใจเนื่องจากมีตัวระบุการทดสอบจำนวนมาก คุณสามารถใช้พารามิเตอร์กลุ่ม -test-category ด้วยตัวเลือกนี้ Lynis จะเรียกใช้เฉพาะรหัสทดสอบที่อยู่ในหมวดหมู่เฉพาะเท่านั้น ตัวอย่างเช่น เราวางแผนที่จะรันการทดสอบไฟร์วอลล์และเคอร์เนล:

./lynis -tests-category "เคอร์เนลไฟร์วอลล์"

นอกจากนี้ ฟังก์ชันการทำงานของ Lynis ยังได้รับการขยายด้วยปลั๊กอินต่างๆ ซึ่งคุณสามารถเพิ่มได้เองหรือจะเพิ่มปลั๊กอินใหม่ลงในไดเร็กทอรีที่มีอยู่ก็ได้

ข้อเสนอแนะสำหรับการแก้ไข

คำเตือนทั้งหมดจะแสดงอยู่หลังผลลัพธ์ แต่ละรายการจะเริ่มต้นด้วยข้อความเตือน จากนั้นการทดสอบที่สร้างการทดสอบจะแสดงอยู่ในวงเล็บอยู่ข้างๆ บรรทัดถัดไปจะแนะนำวิธีแก้ไขปัญหา หากมี อันที่จริง บรรทัดสุดท้ายคือ URL ที่คุณสามารถดูรายละเอียดและดูคำแนะนำเพิ่มเติมเกี่ยวกับวิธีการแก้ไขปัญหาได้

โปรไฟล์

ส่วนกำหนดค่าที่จัดการการตรวจสอบถูกกำหนดไว้ในไฟล์ที่มีนามสกุล .prfซึ่งอยู่ในไดเร็กทอรี /etc/lynis โปรไฟล์เริ่มต้นมีชื่อที่คาดเดาได้: default.prf นักพัฒนาไม่แนะนำให้แก้ไขโดยตรง: ควรเพิ่มการเปลี่ยนแปลงใดๆ ที่คุณต้องการทำในการตรวจสอบลงในไฟล์ custom.prf ที่อยู่ในไดเร็กทอรีเดียวกันจะดีกว่า

ความต่อเนื่องมีให้เฉพาะสมาชิกเท่านั้น

ตัวเลือกที่ 1 เข้าร่วมชุมชน "ไซต์" เพื่ออ่านเนื้อหาทั้งหมดบนเว็บไซต์

การเป็นสมาชิกในชุมชนภายในระยะเวลาที่กำหนดจะทำให้คุณสามารถเข้าถึงเนื้อหาของแฮ็กเกอร์ทั้งหมด เพิ่มส่วนลดสะสมส่วนตัวของคุณและช่วยให้คุณสามารถสะสมคะแนน Xakep Score แบบมืออาชีพได้!