Onderwerp: Server beveiligen

Origineel geplaatst door klasje.be



Tip: een lijstje met alle linux commando's kan soms handig zijn

Kan ik ergens dit commando's vinden?
Maar dan ook alle commando's
Als ik google krijg ik maar een klein lijstje.

Bedankt allemaal voor jullie reacties.

Voor linux zijn er duizenden commando's.
Het hangt eerst en vooral al af van welke linux distributie je gebruikt en ten 2de van welke tools geinstalleerd zijn.

Aangezien het open source is meestal, zijn er duizenden varianten.

Ik raad je aan een linux 4 newbies boek 2de hands te kopen, daar staan veel handige dingen in voor in geval van nood.

(ps,netstat,pstree,uitleg pid's,reboot,rpm,...)


TIP: man commando
Je krijgt dan een lijst met uitleg over dat commando/programma met alle mogelijke schakelopties bij!
ZEER HANDIG

Ben je nieuw in linux, en je wilt een bestand bekijken/aanpassen, dan raad ik je nano aan als editor, dit lijkt een beetje op de linux variant van wordpad.
De commando's staan er netjes bij.
Vi is ook heel goed, maar daar is het moeilijk om de commando's van terug te vinden als je in een bestand zit en de juiste toetsencombinatie niet meer weet.

Tip: ^=control toets

Uw server beheren:
http://help.ovh.com/LaunchServices/contenu.html

Server beveiligen:
http://www.ccc4.nl/instaleer-server.htm
(Slaag de direct admin deeltjes over en verander de rest, het is zeeeer goed uitgelegd hier!)

En dan als laatste moet je eens opzoeken op de site van de makers van je linux hoe je deze update naar de laatste versie.

Bij ons is het:
http://www.clarkconnect.com/help/release_notes/3.2.php
Sectie update


Mvg,
klasje

Ja tip schaf ook een linux boek aan. Ik heb hier zelf van "bijna" alle distro's een dik boek. ALtijd handig maar toch kies ik eerder voor google omdat daar een search engine op zit (duh.. zucht*)

Maar gewoon lekker doorgaan jo je leert van vanzelf wel

klasje.be

Hartelijk bedankt voor je uitegbreide informatie.
Dankzij jou links heb ik chkrootkit geinstalleerd en uitgevoerd.
En ook Brute Force Detection

Wat ik ook wou doen maar niet lukt :

Code:

Sta 1 IP adres toe om in te loggen in shh:

(nog niet getest, met dank aan: Jan Reilink)

Compileer sshd zodat het het gebruik van TCPWrappers ondersteund (libwrap (--with-libwrap=/path_to_libwrap.a/), uitleg). Zet in je /etc/hosts.deny:
quote:
--------------------------------------------------------------------------------
ALL: ALL
--------------------------------------------------------------------------------

en in je /etc/hosts/allow:
quote:
--------------------------------------------------------------------------------
sshd: xxx.xxx.xxx.xxx
--------------------------------------------------------------------------------

Zo heeft alleen IP adres xxx.xxx.xxx.xxx toegang tot de sshd.

Kan je dit mischien wat uitegbreider uitleggen?

Dat is nu net iets waar ik nog niet mee durf experimenteren, iemand anders die er wel veel van kent aub?
(Ik weet dat dit allemaal kinderspel is voor jullie!)

Wat lukt er specifiek niet? (juist)

Kun je duidelijker aangeeft wat je niet lukt?

Het is een kwestie van de hosts.allow en hosts.deny editten, maar let op dat je hier geen foute dingen mee doet..... Foutjes hiermee kunnen flinke problemen opleveren.

Waarom ga je er vanuit dat sshd *NIET* is gecompileerd met tcp_wrappers? Probeer het eerst, en lukt het niet, check dan de logfiles.

Inzake Trebbor: iedereen is begonnen met op zijn bek te gaan, maar de manier waarop, en hoe hard je op je bek gaat is wel een verschil. Niemand zal zonder rijlessen in een auto stappen (zonder grote brokken te maken). Neemt niet weg dat als je de nodige ervaring hebt je niet vrijgewaard bent van brokken. Idem hierzo. Probeer thuis eerst eens Fedora/Debian oid, en ga daarmee aan de slag.

En mensen die denken dat hun server na 3 maanden dicht is spreek ik later wel Die missen dus duidelijk nog die ervaring.

FYI: ik dacht eerst ook dat mijn nieuwe servertje dicht was. Alles prima. Ga naar (toendertijd) WideXS, de dag d'rop was hij gehackt.

Moraal van het verhaal: geen. Ga nooit er vanuit dat je er bent, lees altijd. Security en systeembeheer is leuk overigens

Nou...
Ik wil dat er maar vanaf 1 vaste ip kan ingelogd worden op SSH
Omdat ik zelf een vaste ip adres heb is dat wel handig.

Zoals ik het begrijp moet je dit bestand wijzigen :

/etc/hosts/hosts.allow en /etc/hosts/hosts.deny

Nu is mijn vraag waar moet precies het door jou gegeven code's komen?

dat zal /etc/hosts.allow en /etc/hosts.deny worden.

Verder geef je het antwoord zelf boven

Als je nog niets met die bestanden hebt gedaan staat alles nog geremt (#).

Dus daar heb je geen last van.... die regels die hier gepost zijn gewoon toevoegen onderaan....

1 tip: Zet er meer als 1 ip in. Mocht je ISP zo aardig zijn om het toch te veranderen of je hebt het verkeerde ingetoetst dan hang je. Kortom vul je eigen ip in plus die van een ander die kan testen voor je. Laat die gene testen of hij erbij kan en probeer het daarna bij jezelf (zolang jij verbinding hebt gaat er niets mis, je merkt het pas de volgende keer dat je probeerd te connecten).

Daarnaast is het natuurlijk altijd handig om van andere locaties er bij te kunnen voor het geval dat.

Om een voorbeeld te geven hoe ik ssh heb beveiligd:

- Geen root toegang
- geen toegang via wachtwoord
- Er zijn maar 2 gebruikers die uberhaupt kunnen inloggen
- Toegang alleen met een SSL certificate
- Toegang alleen vanaf een aantal reeksen (eigen ips) en vanaf een 5 tal locaties (hosts.allow/deny)
- En als laatste via iptables nog het eea filteren

Paranoid?? Hmm.. zou kunnen. Laat ik zeggen dat ik erg voorzichtig ben en van fouten heb geleerd (hoop ik )

Ook zo'n certificaat is niet 100% veilig. Zo'n certificaat is iemand ook te ontfutselen.

Niks is 100% veilig...

Origineel geplaatst door mrleejohn
Ook zo'n certificaat is niet 100% veilig. Zo'n certificaat is iemand ook te ontfutselen.

Niks is 100% veilig...

Uiteraard is niks 100% veilig. Zelfs het doorknippen van de netwerkkabel niet want dan zouden ze er nog fysiek bij kunnen.

Maar je kan het ze natuurlijk wel zo lastig mogelijk maken.... dan nemen ze vanzelf een machine waar ze zo naar binnen wandelen.

Origineel geplaatst door ryankalkhoven
Maar je kan het ze natuurlijk wel zo lastig mogelijk maken.... dan nemen ze vanzelf een machine waar ze zo naar binnen wandelen.

Of het wordt een uitdaging en dus interessanter

Origineel geplaatst door Digiover


Of het wordt een uitdaging en dus interessanter

In dat geval heb je het over de slimmere jongens en daar zijn er dan ook al een stuk minder van. Voor hun valt er bijna niet te beveiligen.

Ik schat in dat het grootste deel 70/80% door snelle scans woorden gedaan door spammers en kiddies en die gaan voor de makkelijke en snelle acties. Tenminste zo heb ik het altijd "geleerd".

Meer dan 70/80% ;-)