Mida tähele panna?

[laurivosandi]

Lahedad paranoiad sunnivad midagi ette võtma. Seni pole ma mingeid turvameetmeid harrastanud, mida kasutada ja mida tähele panna?

antivirus?
tulemüür?
failisüsteemide krüpteerimine?
rootkit?

[imapi]

linuxi all vast rootkits ja firewalls kõige tähtsamad

[PeTzZz]

Rootkits ja tulemüür kindlasti jah.

Viirusetõrjeprogrammiga võiks ka vahel (kasvõi harva) arvuti ikka üle skännida.

Meilikliendi tõmmatavates meilides võib vahel (harva) windowsi jaoks loodud uss sees olla näiteks. Linuxis nad küll midagi ei tee, aga meilikast võiks puhas ikka olla. Clamav-i meiliskännerit võib näiteks kasutada. Ei ole täpselt kursis, kuidas see pookub meilikliendiga, aga lihtsusab küll.

Failisüsteemi krüpteerimine, kuigi ma sellest midagi ei tea, on vast väga hea vahend, kui soovid, et partitsioonidele ka otse füüsiliselt ligi ei pääsetaks (võõrad).

[antik]

Rootkits ja tulemüür kindlasti jah.

Viirusetõrjeprogrammiga võiks ka vahel (kasvõi harva) arvuti ikka üle skännida.

Meilikliendi tõmmatavates meilides võib vahel (harva) windowsi jaoks loodud uss sees olla näiteks. Linuxis nad küll midagi ei tee, aga meilikast võiks puhas ikka olla. Clamav-i meiliskännerit võib näiteks kasutada. Ei ole täpselt kursis, kuidas see pookub meilikliendiga, aga lihtsusab küll.

Failisüsteemi krüpteerimine, kuigi ma sellest midagi ei tea, on vast väga hea vahend, kui soovid, et partitsioonidele ka otse füüsiliselt ligi ei pääsetaks (võõrad).

Las viirusetõrjega tegelevad meiliserverid, milleks lolli mängida ja endale igast saasta sisse installida.

[johnsmith]

Viirusetõrjeskanner ise on turvarisk, käib kogu aeg kuskilt mingeid uuendusi laadimas. Normaalses arvutis niukest parasiit proget (selle all mõtlen utiili millega midagi kasulikku teha ei saa) üldse olla ei tohiks.
Välja arvatud muidugi gateway serverid mille taga on windowsid.

Muidugi tuleks olla tähelepanelik mis utiile ja kust endale alla laaditakse,
kuigi ajamisõigus võib olla kasutajal on seal võimalikult setuid bit aktiivne
ja ta võib teha juure õigustega ükskõik mida.
Näitena võib tuua "passwd" utiili mis muudab ainult juurele kirjutamisõigust
omavaid faile.
Keda huvitab leiab need nii :"find / -perm +4000 -print"

Failiõigused on linuxis see mis on tähtis kui ikka juure õigustega protsesse
ei käita ei tohiks turvalisus olla probleemiks.
Vastupidiselt windowsile ei muutu linuxis iga koodijupp automaatselt aetavaks programmiks ja ei ole võimalik ilma kasutaja abita endale mingit viirust asendada.

Chkrootkiti ma olen ikka vahest kasutanud kuigi midagi kunagi leidnud see pole.

Tcpdumpiga saab elimineerida kõik normaalseid porte kasutavad teenused
ja fikseerida kõik kahtlaseid porte (mida ei tea ise kasutavat) kasutavad
teenused ja loomulikult saab selle liikluse salvestada faili edasiseks analüüsiks.

Failide krüpteerimine on ikka mõistlik siis kui transportida tähtsat teavet
füüsiliselt teise kohta. Ma ei kujuta ette kui ikka füüsilist arvuti turvalisust ei ole karanteeritud siis muutuvad mõtetuks ka kõik muud abinõud.
Kui ma kellegi kõvakettaga ära jalutan siis on ainult aja ja tehnika küsimus millal kodeering on murtud.
Andmeturvalisuse osas tuleks anda anda erinevatele andmetele erinev turvalisuse aste. Need failid mida keegi mingil juhul ei tohiks näha tuleks siis
krüpteerida ja hoida kindlas kohas. Igasugust jama krüpteerida pole mõtet kuna see on väga ressusrsinõudlik neid siis kogu aeg lahti dekrüptida.

Mul endal tulemüüris laisad reeglid, seestpoolt luban kõike, väljast keelan
kõik ja luban eraldi. Muidugi kui konfiks tulemüüri kuskil kus turvalisus võib olla probleemiks siis muidugi lubaks kasutajatel ainult teatud porte kasutada
ja avaks porte siis kui vaja.

[PeTzZz]

Las viirusetõrjega tegelevad meiliserverid, milleks lolli mängida ja endale igast saasta sisse installida.

Teenusepakkujatel on reeglina viirusetõrjekontroll siis peal?

Viirusetõrjeskanner ise on turvarisk, käib kogu aeg kuskilt mingeid uuendusi laadimas. Normaalses arvutis niukest parasiit proget (selle all mõtlen utiili millega midagi kasulikku teha ei saa) üldse olla ei tohiks.
Välja arvatud muidugi gateway serverid mille taga on windowsid.

Üldiselt tuleb linuxi viiruseskänneritega manuaalselt skännida ning uuendustega on sama lugu. Hetkel ei paista neid viiruseid üldse tulevat jah, kuid olen vahel väga harva kontrolli siiski jooksutanud.

[AlienDontBoogie]

kas linuxis on ka nagu windoesis, et viirusetõrjed meelitavad viiruseid kohale, et näidata, et raha ei läinud tuulde.

[johnsmith]

Üldiselt tuleb linuxi viiruseskänneritega manuaalselt skännida ning uuendustega on sama lugu. Hetkel ei paista neid viiruseid üldse tulevat jah, kuid olen vahel väga harva kontrolli siiski jooksutanud.

Need mida ta leiab (kui leiab) on siiski windowsi viirused.
Idee on selles, et mitte saata edasi windowsi viiruseid teistele kes kasutavad windowsit. Selleks peab olema tore ühiskondlikult aktiivne inimene mina leian, et saavad seda mida on tellinud kui kasutavad Billi OS -i.
Reaalseid linuxi viiruseid on vähe ja harvad neist on jõudnud laboratooriumist välja. Linuxile viiruse kirjutamisega ei saa hakkama skripti kiddied kasutades visual basicut ja windows XP -d. Linuxile viiruse kirjutaja peab olema eriti hea C++ programmeerija kes tunneb väga hästi linuxi libc librasid.

Isegi siis kui see programmeerija kirjutab viiruse ja viirus saabub emailiga peab
kasutaja andma sellele viirusele aetava programmi õigused ja ainult siis saab seda programmi jooksutada. Linux ei aja ühtegi koodi automaatselt nagu üks teine lahe süsteem.

Teine asi crackimine aga see on tulemüüri teema, linuxil on palju programme millel on kuulsusrikas minevik nagu näiteks sendmail. Millel on aastate jooksul avastatud meeletult turvaauke. Kui mingi port on lahti võib cracker üritada jooksutada mingit programmi kinni mis kuulab porti kinni ja selle kaudu saada juure õigused. See on seotud C keelega mis ei kontrolli näiteks puskuri ülevoolamist vaid kirjutab suvalisse kohta mälus. Sellepärast ei tohiga protsesse ajada juurena.

Jään ikka oma arvamuse juurde mis puudutab viirusetõrjet.

[PeTzZz]

johnsmith, aitäh, et olukorda veits valgustasid.

[indrek]

Läpakate korral peaks krüptofailisüsteemi kasutamine olema absoluutselt elementaarne kui seal midagigi olulist leidub. Ja erinevalt johnsmithist olen ma küll kohe väga kindel, et kui kasutada vähegi mõsitlikku paroolipoliitikat (st et ei kasuta sama parooli, mis linuxi useril, mitte mingil juhul ei kasuta parooli, mida kusagi veebis kasutatakse - vaadake oma firefoxis Preferences-privacy-password-view saved passwords - ja parool on piisavalt pikk ja mõttetu dictionary attacki vältimiseks), siis ei ole realistlik eeldada, et keegi murraks vähegi adekvaatsema krüptosüsteemi lahti.

Kõige mõistlikum on kasutada LUKSi - kas siis kogu /home partitsiooni krüpteerimiseks või mõne kataloogi jaoks (nt failipõhise failisüsteemina, seda hea backupida kah). Sealjuures ei ole overhead tähelepandav. Ilmselt on paljudele ka oluline, et leidub tarkvara (http://www.freeotfe.org/), mis selle failisüsteemi windowsi alla ära mountib (kui vaja nt. backupdvd-lt saada ligi kiirelt andmetele), sealjuures saab seda kasutada portable mode's, ehk käivitada tarkvara USB-pulgalt või cd-lt. Tingimus muidugi siis see, et failisüsteem oleks midagi windowsi poolt toetatavat ehk reeglina fat32.

Läpakal kasutan ise hetkel Encfs-i, mis pole nii hea (ressursinõudlus suurem, pole nii portatiivne jne), aga oli omal ajal kiirelt vaja enne reisi mõned kataloogid ära krüpteerida ja selle püstipanek võttis vist kolm minutit, hiljem pole viitsinud muutma hakata seadistust.

Ise olen endal krüpteerinud siis kataloogi ~/safe, mis ühe desktopiikooniklikiga mountitakse/unmountitakse ja kust on lingitud harjumuspärased kataloogid nagu ~/work jne.

[johnsmith]

Ma just röhuksin sellele, et eri andmeid peab erinevalt käsitlema.
Kui on selline vinge ärisaladus siis vöib olla peab tegema sellised eeskirjad, et majast seda faili välja ei saa viia muud moodi kui turvafirma soomusautos.

Kui minna ostma kassakappi siis kvalifitseeritud spetsialist ei paku sulle kassakappi mida ei saa lahti murda vaid selle asemel teab ta rääkida kui kaua ja milliseid vahendeid peab kasutama millise kapi lahtimurdmiseks.

Just kontseptsioon on tähtis, mida salastada ja kuidas.

[antik]

Läpakate korral peaks krüptofailisüsteemi kasutamine olema absoluutselt elementaarne

Kuidas seda tehakse FreeBSDs

Valmistame ette krüpteeritud ketta:

Kood: Vali kõik

# dd if=/dev/random of=/dev/ad0 bs=1m
# geli init -b /dev/ad0
Enter new passphrase:
Reenter new passphrase:

Nüüd aktiveerime uue krüptreeritud ketta:

Kood: Vali kõik

# geli attach /dev/ad0
Enter passphrase:
GEOM_ELI: Device ad0.eli created.
GEOM_ELI:     Cipher: AES
GEOM_ELI: Key length: 128
GEOM_ELI:     Crypto: software

Märgistame kettad ja tekitame failisüsteemi:

Kood: Vali kõik

# bsdlabel -w /dev/ad0.eli
# bsdlabel -e /dev/ad0.eli
# newfs /dev/ad0.elia

Monteerime:

Kood: Vali kõik

# mount /dev/ad0.elia /fixed

Nüüd saame installeerida sellele failisüsteemile FreeBSD operatsioonisüsteemi.
Muidugi peab jätma ühe partitsiooni lihtsalt kernelile, et süsteem saaks üles buutida, võtmed säilitatakse kas samas partitsioonis kerneliga või välisel meedial- parooli peab käsitsi sisestama. On võimalik ka buutida kernel USB flash kettalt, tehes niimoodi BSD olemasolu süsteemis vähem märgatavaks, petteks võib installeerida sinna vabale kettaruumile mingi vana windows- kui keegi selle läpaka näiteks ära varastab, siis ei saa nad kunagi aru, et seal midagi tähtsat üldse peal oli.

SWAP ketta krüpteerimine käib nii:

Kood: Vali kõik

# echo "/dev/ad0.elib none swap sw 0 0" > /etc/fstab

Näitasin Teile praegu järgmise PC-BSD ühte võimalikku installeerimise varianti sülearvutitele- hetkel testime, kas on piisavalt lihtne tavakasutajatele- muidugi ei pea nad neid käske ise sisestama- installer teeb seda üks kord ja automaatselt, küsitakse ainult parooli. Kui testid läbitakse edukalt, siis loodan, et me näeme seda võimalust PC-BSD versioonis 1.4.

[PeTzZz]

Mida te SELinux-ist arvate?

[antik]

Mida te SELinux-ist arvate?

Niipalju, kui ma olen jälginud SELinuxi tegemisi ja võrrelnud seda TrustedBSD-ga siis kahjuks jääb SELinux kõvasti maha- suurem osa feature on ikka veel beetad ja testimisel.


SELinux vs. CVS-2006-3626

TrustedBSD Project - sarnane SELinuxile. Suurem osa koodi on juba integreeritud FreeBSD reliisides.

Security Event Auditing.
File System Access Control Lists.
Mandatory Access Control (MAC)

[markus]

Huvitav, ma olen tykk aega m6elnud, et kyll on kahju, et BSD-l midagi SELinuxi laadset pole. Hoolimata sellest, et ma pole oma j2rjega veel ei BSD ega SELinuxi uurimseni j6udnud.

Yks kysimus puhtast uudishimust siiski: kas TrustedBSD on ka OpenBSDsse oma tee leidnud juba?

[antik]

Huvitav, ma olen tykk aega m6elnud, et kyll on kahju, et BSD-l midagi SELinuxi laadset pole. Hoolimata sellest, et ma pole oma j2rjega veel ei BSD ega SELinuxi uurimseni j6udnud.

Yks kysimus puhtast uudishimust siiski: kas TrustedBSD on ka OpenBSDsse oma tee leidnud juba?

Ma kahtlustan, et OpenBSD on kaugemale läinud, kui TrustedBSD project- kuid kindlasti on nad sealt midagi enda jaoks leidnud. Väga palju koodi liigub erinevate BSD projektide vahel.

[kessu]

Leidsin endal Chrookit üle ja leidsin kaks imelikku asja, mida teha?

Kood: Vali kõik

Checking `bindshell'... INFECTED (PORTS:  37998)
eth0: PACKET SNIFFER(/sbin/dhclient3[5467])

Mis need on? Kas on mõtet pabistada?

[johnsmith]

Leidsin endal Chrookit üle ja leidsin kaks imelikku asja, mida teha?

Kood: Vali kõik

Checking `bindshell'... INFECTED (PORTS:  37998)
eth0: PACKET SNIFFER(/sbin/dhclient3[5467])

Mis need on? Kas on mõtet pabistada?

Tõenäoliselt valehäire pole küll ise googletanud kas teistel ka neid esineb.....
Esimene rivi kahtlustab mingit tagaust pordis 37998
See käsk näitab mis pordid on avatud ning mis proged neid kuulavad

Kood: Vali kõik

netstat -tnulp

Lase see väljund siia siis on selge pilt mis su masinas toimub.

Teine rivi kahtlustab, et dhclient binaari on keegi (või mõni teine programm) näppinud see tähendab muutnud ning nüüd dhclient tegeleb hoopis sinu järgi nuuskimisega või millegi muu kurjaga.



Muidugi dhclient ongi ju packet sniffer kuna peab püüdma kõiki pakette, et saada konfiguratsiooni andmeid serverist.
Kontrollida saad seda võrreldes näiteks oma /sbin/dhclient binaar md5 summat sellega mis on asendusmeedial kust sa süsteemi asendasid muidugi juhul kui sa pole uuendanud seda neti kaudu.
Dpkg -l on ka need need md5 summad andmebaasis olemas aga neid jälle võis troojalane muuta...........

Ära nüüd väga murelikuks muutu ilmselt valehäire.

[Catfish]

Äkki viskaksite sellele listile ka pilgu peale,
et seal midagi kahtlast ei toimuks

Aktiivsed internetiühendused (ainult serverid)
Proto VvJrk SaatJrk Kohalik aadress Väline aadress Olek PID/Program name
tcp 0 0 0.0.0.0:6881 0.0.0.0:* LISTEN 5167/ktorrent
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN 2799/portmap
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 3178/sshd
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 2931/cupsd
tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 3084/master
tcp 0 0 :::40843 :::* LISTEN 4830/java
tcp 0 0 :::45100 :::* LISTEN 4830/java
tcp 0 0 :::22 :::* LISTEN 3178/sshd
tcp 0 0 ::1:631 :::* LISTEN 2931/cupsd
tcp 0 0 ::1:25 :::* LISTEN 3084/master
tcp 0 0 192.168.0.100:5214 :::* LISTEN 4830/java
udp 0 0 0.0.0.0:5353 0.0.0.0:* 2871/avahi-daemon:
udp 0 0 0.0.0.0:111 0.0.0.0:* 2799/portmap
udp 0 0 0.0.0.0:60530 0.0.0.0:* 2871/avahi-daemon:
udp 0 0 0.0.0.0:631 0.0.0.0:* 2931/cupsd
udp 0 0 :::40843 :::* 4830/java
udp 0 0 :::6347 :::* 4830/java
udp 0 0 :::4444 :::* 5167/ktorrent
udp 0 0 :::5353 :::* 4830/java

[obundra]

111 peal jookseb portmap, vajalik siis kui üle nfsi faile jagad teiste linuxi masinatega ja 25 peal tundub olema postfix(mailiserver).Kui ei kasuta, siis tasuks teenus kinni keerata.Avahi olen ka ise teadlikult kinni keeranud, sest ei kasuta seda, seda pead ise teadma kas sulle on ta vajalik.