Linux Hardening Tipy & Triky. Jakub Suchý Red Hat Certified Engineer

Transkript

1 Linux Hardening Tipy & Triky Jakub Suchý Red Hat Certified Engineer

2 Obsah přednášky Situace bezpečnosti dříve a dnes Základy hardeningu Zabezpečení sítě Patching policy Diskuse

3 Situace dříve a dnes Minulost hacking je prestiž (Binary Division, Czert) Dnes bezpečnost je o businessu Bezpečnost je denním chlebem všech administrátorů Bruteforce na SSH stovky denně Stačí tedy dobrá hesla? Ne!

4 Situace dříve a dnes Hacker kropič: jeden exploit rozesetý na 1000 adres, snad se někdo chytí Hacker snipper: má cíl, zkusí vše, aby ho dostal

5 To, že nejsem paranoidní neznamená, že po mě nejdou

6 Já nemám nic zajímavého, po mě nepůjdou

7 Pro koho jsem zajímavý Pro botnet Pro warez Pro konkurenci Pro své zaměstnance Je zajímavé získat prestiž malá firma vs. banka

8 Zabezpečení systému Úvodní hardening a zabezpečení Testování Politika aktualizací a změn Udržování bezpečnosti a stability je nekončící, průběžný proces.

9 Základy hardeningu Q: Kdy začít se zabezpečováním serveru? a) Před instalací b) Po instalaci c) Po spuštění služeb

10 Základy hardeningu Q: Kdy začít se zabezpečováním serveru? a) Před instalací b) Po instalaci c) Po spuštění služeb

11 Základy hardeningu Před instalací Myslet na bezpečnost vždy nikdy nekončící proces Nepřipojovat server před provedením úprav

12 Rozdělení disků Rozdělit a nastavit parametry: / /home nosuid, nodev /var/log nodev, nosuid, noexec /tmp nodev, nosuid, noexec /usr - nodev

13 Co/kdo je největším nebezpečím systému?

14 Uživatelské účty Je možné přihlásit se na root? Založte uživatele admin Přístup pouze ze skupiny wheel auth required pam_wheel.so use_uid do /etc/pam.d/su Největším nebezpečím systému je administrátor

15 Uživatelské účty Stále nejběžnější způsob průniku John The Ripper crackuje hesla Rainbow tables

16 Základy hardeningu Omezit SUID bity find / -type f \( -perm o -perm \) -exec ls -lg {} \; Timeout root TMOUT=900 do /root/.bashrc

17 Zabezpečení sítě Minimalizujte: počet adres počet portů počet protokolů

18 IPv6 Budoucnost síťování? Po instalaci zapnuto! SSH, Apache, Bind, Xinetd podporují Firewall defaultně vypnutý v RHEL5 install ipv6 /bin/true do /etc/modprobe.d/ipv6

19 Nepotřebné služby Poslouchající služby: netstat -tanp grep LISTEN Je třeba kontrolovat zvenku! nmap -ss -O

20 Nepotřebné služby Odstranit: rpm -e <balíček> Vypnout: chkconfig <služba> off

21 Synchronizace času Proč? Souslednost událostí! Co se stalo a kdy Instalujte ntp!

22 Patching policy Proces postupu aktualizací systému Mluvíme o aktualizacích a testování funkčnosti Je policy důležitá?

23 Důležitost policy 1 server - ano! 150 serverů - ano! serverů - ano

24 Kde získám aktualizace? Red Hat Updates Všechny bezpečnostní problémy v Red Hatu jsou opraveny do 72 hodin od nahlášení -> Errata Na servery z up2date/yum: up2date -u yum update

25 Proces aktualizace

26 Proces aktualizace Nejenom technický proces Kdo, kdy, jak provádí updates

27 Red Hat Satellite Server Výrazná pomoc s celým workflow Dedikovaný Red Hat Network Řešení pro management, provisioning a monitoring serverů Doporučujeme od 50 serverů výše

28 Red Hat Satellite Server Management aktualizace skupin serverů Provisioning automatická instalace serverů Monitoring výkon a funkčnost serverů

29 Prakticky nmap na server ukázka výstupu Nessus scanner

30 Děkuji za pozornost Otázky? Jakub Suchý Red Hat Certified Engineer