Ründed arvutile

[oswald]

Kuidas on võimalik Ubuntu 10.4 teada saada, kas arvutit on rünnatud Internetist, millised on ründajate aadressid ja mis eesmärgil rünnati? Kui rünnati muidugi.
On niisuguse teabe leidmine võimalik?

Tänud ette!

[Uhuu]

Oleneb mida sa silmas pead. Kas sa mõtled mingit skripti mis brauseris käivitatakse, või mingit teenust mis sul serverina jookseb.

[voime]

Enamasti saab teada logifaile uurides. näiteks firewall

[obundra]

Uuri /var/log kataloogis ja selle alamkataloogides olevaid logifaile, süsteemis toimuv logitakse sinna.Näiteks ssh kaudu sissetrügijate kohta on juttu auth.log või secure.log failis, oleneb distrost.

[kessu]

Aga, mida sealt ei tohiks leida?

[valdo]

Aga, mida sealt ei tohiks leida?

Mind ka huvitaks ,mida seal ola ie tohiks?

[obundra]

Peamiselt üritatakse ilmselt ssh kaudu sisse tulla, aga ka samba ja smtp ning pop3 portide kaudu.Näiteks 10 viimast ssh urgitsejat näevad mul logis välja nii:

Kood: Vali kõik

#grep -m10 failure /var/log/auth.log
Aug 22 07:15:58 server2 sshd[15336]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=ppp78-37-249-20.pppoe.avangarddsl.ru  user=root
Aug 22 07:16:12 server2 sshd[15336]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=ppp78-37-249-20.pppoe.avangarddsl.ru  user=root
Aug 22 08:37:24 server2 sshd[21624]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host56-115-dynamic.247-95-r.retail.telecomitalia.it  user=root
Aug 22 08:37:38 server2 sshd[21624]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=host56-115-dynamic.247-95-r.retail.telecomitalia.it  user=root
Aug 22 09:18:37 server2 sshd[25099]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=201-34-170-75.bnut3702.dsl.brasiltelecom.net.br  user=root
Aug 22 09:18:53 server2 sshd[25099]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=201-34-170-75.bnut3702.dsl.brasiltelecom.net.br  user=root
Aug 22 09:21:42 server2 sshd[25376]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=122-57-110-63.jetstream.xtra.co.nz  user=root
Aug 22 09:21:58 server2 sshd[25376]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=122-57-110-63.jetstream.xtra.co.nz  user=root
Aug 22 10:22:57 server2 sshd[30287]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=125-237-164-40.jetstream.xtra.co.nz  user=root
Aug 22 10:23:15 server2 sshd[30287]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=125-237-164-40.jetstream.xtra.co.nz  user=root

Turvamisest on siin foorumis varem juttu olnud, näiteks http://pingviin.org/viewtopic.php?t=134

[urmas]

Üldiselt on foorumis peaaegu võimatu kirja panna seda mida seal olla ei tohiks - sellest kirjutatakse pakse raamatuid.
Ja teiseks ei tohi sa nüüd mitte mingil juhul mõelda peale ülaltoodud näidet, et kõik muud read ssh logis automaatselt head on.

Turvamine algab sellest, et teed endale selgeks mis teenused masinas jooksevad ning seejärel tegeled igaühega juba eraldi. Logid on tõesti enamasti /var/log all ning tihtilugu, kui sa neid juba piisavalt kaua oled lugenud hakad ise mõistma mis on hea ja mis halb - suht inimkeelsed teated ikkagi.

Tiba keerulisem on ehk veebilehtede vastu suunatud rünnakutega, ühel juhul võib sql-süstimine apache logis välja paista ning pead hakkama uurima mis seal täpsemalt toimub, teisalt proovitakse enamlevinumate veebiprogrammide (nagu phpmyadmin, phpbb) vastu tüüpründeid just lootusega tabada vanemaid versioone kus teatakse konkreetseid auke olevat.

ohjah.. ja sellest saaks veel heietada piikalt-pikalt...

[Tiiger]

Kuidas luua eriti lollikindlat salasõna?

http://forte.delfi.ee/news/digi/kuidas- ... gle+Reader

[Tom]

Kood: Vali kõik

#grep -m10 failure /var/log/auth.log
Aug 22 07:15:58 server2 sshd[15336]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=ppp78-37-249-20.pppoe.avangarddsl.ru  user=root
Aug 22 07:16:12 server2 sshd[15336]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=ppp78-37-249-20.pppoe.avangarddsl.ru  user=root
Aug 22 08:37:24 server2 sshd[21624]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host56-115-dynamic.247-95-r.retail.telecomitalia.it  user=root
Aug 22 08:37:38 server2 sshd[21624]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=host56-115-dynamic.247-95-r.retail.telecomitalia.it  user=root
Aug 22 09:18:37 server2 sshd[25099]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=201-34-170-75.bnut3702.dsl.brasiltelecom.net.br  user=root
Aug 22 09:18:53 server2 sshd[25099]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=201-34-170-75.bnut3702.dsl.brasiltelecom.net.br  user=root
Aug 22 09:21:42 server2 sshd[25376]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=122-57-110-63.jetstream.xtra.co.nz  user=root
Aug 22 09:21:58 server2 sshd[25376]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=122-57-110-63.jetstream.xtra.co.nz  user=root
Aug 22 10:22:57 server2 sshd[30287]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=125-237-164-40.jetstream.xtra.co.nz  user=root
Aug 22 10:23:15 server2 sshd[30287]: PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=125-237-164-40.jetstream.xtra.co.nz  user=root

Venemaalt ikka üritatakse koguaeg surkida.
Mis neist luhtunud katsetest otsida, pigem peaks vist õnnestunud logimised üle vaatama
Kas need on sul koduarvutile tehtud "urgitsemised" või mõni 24/7 töös olev server? Ma sellepärast küsin, et kas ma peaks omal kodus ka selliseid asju igaks juhuks jälgima? Mul küll arvuti kogu aeg sees ei ole, aga mine sa tea...

[obundra]

Mis neist luhtunud katsetest otsida, pigem peaks vist õnnestunud logimised üle vaatama
Kas need on sul koduarvutile tehtud "urgitsemised" või mõni 24/7 töös olev server? Ma sellepärast küsin, et kas ma peaks omal kodus ka selliseid asju igaks juhuks jälgima? Mul küll arvuti kogu aeg sees ei ole, aga mine sa tea...

Õnnestunud logimise katseid ei olnud hetkel käepärast ja näitesse kõlbasid luhtunud katsed ka.See on koduse gateway logist.Ssh on lubatud ainult ühele õigusteta kasutajale+denyhosts+iptablesi reeglid ssh sessioonide piiramiseks ja pordiskänni vastu.Lisaks saadab Logwatch hommikukohvi kõrvale ülevaate süsteemis toimunust.

[Tom]

Ssh on lubatud ainult ühele õigusteta kasutajale+denyhosts+iptablesi reeglid ssh sessioonide piiramiseks ja pordiskänni vastu.Lisaks saadab Logwatch hommikukohvi kõrvale ülevaate süsteemis toimunust.

Õigusteta kasutajale tähendab, et juurikana sisse logida ei saa ja sudo ka ei ole? Mul on lihtsalt kolepikk salasõna pandud.
Mina oma lühikese arukesega mõtlesin seda, et kuna ma peale ssh ja torrenti mingeid võrgus rippuvaid rakendusi ei kasuta, siis on muud pordid kinni ja tulemüüri vaja pole. Samas, et neid rakendusi kasutada, peaksin nad tulemüürist läbi lubama ja siis on ikkagi sama hea, kui tulemüüri polekski. Või olen ma valesti aru saanud?

[illukas]

logid on märksõna:
vastavate teenuse logid
tulemüüri logi

lisaks protsessitabel (top ps), muudetud failiõigused (chmod), chroot, jail, grsec, kernel security, pax, jne...
http://www.gentoo.org/proj/en/hardened/grsecurity.xml

Siin foorumis võimatu kirja panna mida kõikke peaks vaatama, pane google otsingusse linux security ja hakka otsast lugema, teatud lugemise järel saad mingisuguse pildi ette...

[insippo]

snort on minuarust asi mis teeb seda kõike.Milleks otse teha kui muidugi saab ju ringiga.1 lihtsamaid asju ju ?Logides tuhlata on muidugi hea soovitus küll.Olen mina loll aga mitte nii.

[illukas]

Snort teeb palju kuid mitte kõikke!

Teisalt paariks korraks snorti installida ja confiida- no ma ei tea, nii loll ei ole jällegi mina...

[gnu]

Põhimõtteliselt saad veel peale ssl/https krüpteeringu kasutada ka tor'i, et ip aadresse segada.

gnupg võtmeid ja otr pluginaid kasutada, siis pättide eest sa ennast juba kaitsed.

Veebilehitsejas saad javascripti lubada ainult teatud saitidel noscript pluginaga ja kui veel põhjalik tahad olla, siis gnu libreJS abiga filtreerida non-free javascripte saitidel.

firefoxi saad asendada trisquel abrowser või gnu icecat brauseriga + libre-linux

[ertserts]

Küsimus on küll 4-aasta tagune kuid ikkagi värske ja aktuaalne. 21 saj. peab arvutkasutaja Internetis mida võiks võrrelda lausa 19 saj. Metsiku Läänega saama ise hakkama. Kuigi jah nende kahe sajandi erinevus on selles, et nüüdses Internetis ei pruugi "ellu jääda" julgem, kiirem ja tugevam.

Arvan et eelkõige tuleks arvuti ja serveri alast turvariski minimaliseerida sellega et kasutad tarkvara ja teenuseid mida tõesti on vaja. Serveriteenuste puhul siis seda, et kui sa ei vaja ftp-, ssh-, samba- või veebi serverit siis sa lihtsalt seda oma operatsioonisüsteemi ei installi. Kui sa aga näiteks installid oma Linux arvutisse või serverisse ssh-serveri, ei konfigureeri seda piisavalt turvaliseks, suunad teenuse välisvõrku default 22 tcp pordiga siis võib sinu ssh serveriga juhtuda selline lugu. Ehk siis sinu väikese serveri vastu hakkavad ebatervet huvi tundma hiinlased, ameeriklased, venelased, türklased, tailased ja teised maailma vinnilised kräkkerid. Sellest kõigest tuleks "the neverending story".

Kui sülearvuti on pidevas liikumises siis võiks vähemalt /home olla krüpteeritud puhuks kui sülekas "minema jalutab". Sellisel sülekal ei tohiks võimalusel olla lahti mitte ühtegi välist tcp teenust. Vastasel juhul oled mõnes tundmatus avalikus arvutivõrgus justkui püksata. Internetis surfateski tuleks olla tähelepanelik. Näiteks Firefoxis on arvutikasutajate jaoks loodud küllaltki head 'Add-ons'id: TrafficLight (Bitdefender security), Fake Domain, WorldIP, Foxy Detective, Adblock Plus jt. Oskuslikul kasutusel on need Firefox pluginad suurepärased "kaitserelvad" Internetis liikumiseks ja "ellu jäämiseks".

Samas Linuxis olev /var/log failifarm on sysadminile suur lugemisnauding. Kuid arvuti tavakasutajale vaevalt et mingit erutust tekitab igavast terminalist teksti logide lappamine ja lugemine. Kui kodukasutaja arvutis on Linux ja see on tarkvaraliselt up-to-date siis on juba seegi suur samm edasi turvalisuse suunas. Kahjuks pole võimalik turvariski kõrvaldada vaid seda saab ainult minimaliseerida. Inimene on juba kord selline, emotsionaalne loom, täis eksiarvamusi ja vigu.

[Yeeha]

...Kui sülearvuti on pidevas liikumises siis võiks vähemalt /home olla krüpteeritud...

Kuidas on SED ssd-dega ja Linuxiga? Et pm windowsis self-encrypting ssd lukustab ära bitdefender aga linuxis vist midagi analoogset pole(OPAL 2.0 standardil mingit SEDi kontrollprogrammi) ja tuleb kasutada bioses hdd passwordi?

Lisaks ma jooksutasin korra Tigerit ja avastasin sellise rea, kas on reaalne oht:

Searching for Suckit rootkit... Warning: /sbin/init INFECTED

3ndaks, kas LAMPi default install ubuntus on turvaline? Mysql ntx alguses võtab vastu ainult 127.0.0.1 . Ma sellega midagi maailmale näitamiseks ei ole plaanind panna ega confind, lihtsalt kasutan oma väikeste harjutuste testimiseks.

Edit: okei see Suckit on vist false positive, googeldasin.

[gnu]

Arvan et eelkõige tuleks arvuti ja serveri alast turvariski minimaliseerida sellega et kasutad tarkvara ja teenuseid mida tõesti on vaja. Serveriteenuste puhul siis seda, et kui sa ei vaja ftp-, ssh-, samba- või veebi serverit siis sa lihtsalt seda oma operatsioonisüsteemi ei installi. Kui sa aga näiteks installid oma Linux arvutisse või serverisse ssh-serveri, ei konfigureeri seda piisavalt turvaliseks, suunad teenuse välisvõrku default 22 tcp pordiga siis võib sinu ssh serveriga juhtuda selline lugu. Ehk siis sinu väikese serveri vastu hakkavad ebatervet huvi tundma hiinlased, ameeriklased, venelased, türklased, tailased ja teised maailma vinnilised kräkkerid. Sellest kõigest tuleks "the neverending story".

ssh server võib vabalt pordi 22 peal jooksta.
sshguard ja rssh on lisaks.

Tuttavatele võid jagada kasutajat, mis on rssh kesta peal ja rssh.conf failis allowsftp # tagant eemaldatud.

[priit]

Ma isiklikult kasutan oma serveris fail2ban-nimelist tarkvaratükki, mis SSH kaudu sissetrügijaid ära blokib firewallis. Keegi pole kunagi sisse saanud, aga proovijad jätkub, peamiselt Vene- ja Hiinamaalt. Eile nt nii 50-60 aadressi blokitud.