Защитите свой сервер Linux

Содержимое этих файлов выглядит примерно так:

 # default: off  # description: A daytime server. This is the tcp  # version.   service daytime  {        type            = INTERNAL        id              = daytime-stream        socket_type     = stream        protocol        = tcp        user            = root        wait            = no        disable         = yes  } 

Если вам не нужно или вы не знакомы ни с одной из перечисленных служб, перейдите в файл и установите для атрибута disable значение «Да», пока не сможете ознакомиться с использованием этой службы. Убедитесь, что всякий раз, когда вы вносите какие-либо изменения в эти файлы, вы перезапускаете daemon inet daemon используя:

 # /etc/rc.d/init.s/inet restart 

IPCHAINS

  ipchains - это ответ Linux на брандмауэр.  Есть много интересных трюков, которые можно выполнить с помощью ipchains , и вы можете найти эти трюки в Google.  Но сам модуль довольно прост в использовании, когда вы освоите его.  Я надеюсь, что вы можете остаться со мной в этом вопросе, поскольку это может показаться слишком техническим.  ПОЖАЛУЙСТА, БУДЬТЕ ОСТОРОЖНЫ, КАК ВЫ МОЖЕТЕ ПРОСТО ЗАБЛОКИРОВАТЬ СЕБЯ ИЗ СВОЕЙ СОБСТВЕННОЙ КОРОБКИ.

  Важно признать, что ipchains самом деле относится к трем отдельным цепям.  Типичная команда ipchain состоит из нескольких частей. 

  Во-первых, он несет одну из 3 команд. 

Чтобы настроить цепочку, вы можете использовать:

 # ipchains --F input  # ipchains --A input REJECT 

Это общая команда, которая по существу останавливает весь входящий трафик. Первая команда сбрасывает цепочку ввода, а вторая команда добавляет новое правило в цепочку ввода, которое отклоняет весь трафик.

Вы могли бы сделать это, если бы вы были полностью отключены от сети, но большая часть мира — нет. Почти каждый Linux-блок в мире подключен к сети или Интернету, поэтому использование такой общей команды нереально.

Давайте рассмотрим еще несколько доступных нам вариантов, чтобы настроить более интеллектуальную систему фильтрации. Допустим, ваш Linux-сервер является сервером разработки, доступным только в локальной сети. IP-адрес его сетевого устройства 192.168.25.4 и маска сети 255.255.255.0.

Обратите внимание, что в Linux вы можете определить сетевой IP-адрес исходного компьютера через ifconfig или в Windows, используя команду ipconfig в командной строке. Остальная сеть также находится в частном блоке 192.168.xx.

Вы можете написать правило, которое выглядит так:

 # ipchains --A input --I eth0  -s 192.168.1.0/255.255.255.0 --d 192.168.25.4 --j ACCEPT 

Что, черт возьми, это значит? Давайте проанализируем.

Лучший выбор для межсетевого экрана ipchains лежит в его документации, которую можно найти здесь .

Другие хитрости

Некоторые другие приемы, которые вы можете выполнить для дополнительной защиты вашего сервера, связаны с файлами hosts * вашего сервера.

В /etc/hosts.deny и /etc/hosts.allow вы можете иметь дело с элементами, называемыми упаковщиками tcp, которые просто «оборачивают» службу в определенное правило. Ваш файл hosts.allow может выглядеть примерно так:

 // Allow localhost  ALL : 127.0.0.1  // Allow SSH Access to anyone except from 192.168.1.101  sshd : ALL EXCEPT 192.168.1.101 : ALLOW 

Ваш файл /etc/hosts.deny может выглядеть примерно так:

 // No one can connect via anything except loopback localhost  ALL : ALL EXCEPT 127.0.0.1:DENY 

Обнаружения вторжений

Вы можете рассмотреть возможность использования пакета, такого как Tripwire, для обнаружения вторжений. Он не поставляется с Redhat, но вы можете получить исходный код и скомпилировать его самостоятельно. Он работает так, что создает и сравнивает хэши критических файлов, чтобы определить, были ли внесены какие-либо изменения.

Эффективный хакер не просто взломает вашу систему. Он также создаст черный ход для себя, чтобы он мог получить доступ в другое время. В большинстве случаев эти бэкдоры находятся в эксплуатируемых файлах, и это один из способов защиты от этого.

Резюме

Есть много других хитростей и советов, доступных для системного администратора, который заботится о безопасности. Ключ к эффективности — всегда быть в тонусе и быть готовым мыслить нестандартно. Как правило, существует более одного способа шкурить кошку, и хакеры постоянно изобретают или открывают новые способы.

Пожалуйста, не читайте эту статью и думайте, что это главное и окончательное решение для безопасности системы. Эти советы просто царапают поверхность. Счастливой охраны!