Teie Linuxiga arvutite turvalisus?
Moderaator: Moderaatorid
Ma tegin vanast kastist kontorisse gateway, tulemüüri ja dhcp serveri.
Kasutasin FreeBSD -d mulle meeldib, et FreeBSD lubab kontrollida igat aspekti
installi ajal midagi ei installita ilma sinu teadmata.
Ei ole ju olemas mingit keskmist kasutajat kelle järgi süsteem on by default
confitud.
Kast on nüüd surisenud mingi aasta aega kontori nurgas, proovisin mingi päev puttyga sisse logida aga ei kasutajanimi ega salasõna pole enam meeles.
Meil oli ennem mingi ruuter millele pidi kogu aeg resette tegema kuna ühendus kadus ära. Nüüd kasutajad tõmbavad oma windoozad käima ja kõik töötab..
Kasutasin FreeBSD -d mulle meeldib, et FreeBSD lubab kontrollida igat aspekti
installi ajal midagi ei installita ilma sinu teadmata.
Ei ole ju olemas mingit keskmist kasutajat kelle järgi süsteem on by default
confitud.
Kast on nüüd surisenud mingi aasta aega kontori nurgas, proovisin mingi päev puttyga sisse logida aga ei kasutajanimi ega salasõna pole enam meeles.
Meil oli ennem mingi ruuter millele pidi kogu aeg resette tegema kuna ühendus kadus ära. Nüüd kasutajad tõmbavad oma windoozad käima ja kõik töötab..
Laadisin uued ipfw tulemüüri reeglid toimib nagu kell:
allow tcp from { 85.156.0.0/16 or 85.157.0.0/16 } to me 22
Kuna ipfw on kompileeritud kernelisse by default keelab kõik
siis nüüd ainult soome ip -ga saab sisse logida teiste jaoks
on port 22 shielded.
Ftp ja http on lahti kõigi jaoks.
muidugi Soomes on veel c kategooria ip -sid neid võib siis reeglitesse
lisada kui vaja või kui sõidan Eestisse siis lisan eesti ip -d.
allow tcp from { 85.156.0.0/16 or 85.157.0.0/16 } to me 22
Kuna ipfw on kompileeritud kernelisse by default keelab kõik
siis nüüd ainult soome ip -ga saab sisse logida teiste jaoks
on port 22 shielded.
Ftp ja http on lahti kõigi jaoks.
muidugi Soomes on veel c kategooria ip -sid neid võib siis reeglitesse
lisada kui vaja või kui sõidan Eestisse siis lisan eesti ip -d.
johnsmith, iptablesi geoip mooduliga ei pea käsitsi ip vahemikke määrama.Näiteks reegel
keelab kõik sissetulevad ühendused pordile 22 kui päring ei tule Soome ip-lt.
Kood: Vali kõik
iptables -A INPUT -p tcp --dport 22 -m geoip ! --src-cc FI -j DROPAsjalik, ainult siinkohal pole FreeBSD ja Linuxi kernel ühilduvad.
Netfilter on osa linuxi kernelit ja selle kompileerimine FreeBSD
kernelisse pole ilmselt võimalik.
Peale nende reeglite sisestamist pole mul enam rünnakuid olnud.
Kahjuks pole maakohased ip-d ühes tükis nii, et töökindlus võib
kannatada ipfw -d kasutades.
Arin peab ilmselt andmebaasi kõikidest maakohastest ip -dest.
Iptablesid kasutades seda probleemi ilmselt pole ja sellise
reegli kasutamine on igatpidi mõistlik.
Netfilter on osa linuxi kernelit ja selle kompileerimine FreeBSD
kernelisse pole ilmselt võimalik.
Peale nende reeglite sisestamist pole mul enam rünnakuid olnud.
Kahjuks pole maakohased ip-d ühes tükis nii, et töökindlus võib
kannatada ipfw -d kasutades.
Arin peab ilmselt andmebaasi kõikidest maakohastest ip -dest.
Iptablesid kasutades seda probleemi ilmselt pole ja sellise
reegli kasutamine on igatpidi mõistlik.
Kui tulemüüris kõik mittevajalik ära keelata, kontodele korralikud paroolid valida (mitte kasutaja "test", parool "test"), igasuguste anomaaliate avastamiseks logcheck käima lükata, ning kord-paar nädalas uuendused peale tõmmata, siis saan mina öösiti magada küll.
Kui lõputu SSH kallal kangutamine närvidele hakkab käima, siis piiran ühenduskatsete arvu kahele minutis. Palun väga, eks proovige brute-force rünnakut kiirusega kaks korda minutis
Plaanis on ka port knocking. See on veidi ebamugav, aga väga-väga tõhus. Põhimõte on selles, et enne kui SSH jaoks TCP port lahti tehakse, tuleb teha ühenduskatsed paari määratud porti. Koputad näiteks portide 9988 ja 1243 pihta ning selle peale avatakse sulle 5 minutiks port 22.
Kui lõputu SSH kallal kangutamine närvidele hakkab käima, siis piiran ühenduskatsete arvu kahele minutis. Palun väga, eks proovige brute-force rünnakut kiirusega kaks korda minutis
Plaanis on ka port knocking. See on veidi ebamugav, aga väga-väga tõhus. Põhimõte on selles, et enne kui SSH jaoks TCP port lahti tehakse, tuleb teha ühenduskatsed paari määratud porti. Koputad näiteks portide 9988 ja 1243 pihta ning selle peale avatakse sulle 5 minutiks port 22.
Viimati muutis DaStoned, 11.01.2007, 18:06, muudetud 2 korda kokku.
When the shit hits the fan, keep your mouth shut!
