Security

[root]

Beste WHT'ers

Het blijft altijd achter de feiten aan lopen m.b.t. security, maar toch zijn er een aantal standaard zaken die je kunt regelen waardoor de kans op een succesvolle hack aardig gereduceerd kan worden. Mischien zijn er veel meer tips en truuks en daarom dit topic. Share je kennis met anderen

- Update van de laatse patches
- Installatie Open SSH ( telnet disabled )
- Installatie custom firewall ( gschield bv )
- Installatie van Portsenty in " Honeypot mode "
- Installatie van LCAP ( aangepaste kernel modules kunnen niet geladen worden LKMs )
- Installatie van Logwatch
- Installatie van Fcheck ( werkt hetzelfde als Tripwire )
- Installatie van chkrootkit

Dit is een kleine greep uit de standaard wijzigen die ik aanbreng, graag hoor ik van anderen wat deze doen om een succesvolle hack tegen te gaan.

[The MAzTER]

...

[Digiover]

Wat misschien net zo belangrijk is als een goede (secure) installatie is het op de hoogte blijven van de laatste ontwikkelingen en vulnerabilities. Subscribe je op mailinglists zoals (NT)Bugtraq, CERT, Secunia en de mailinglist(s) van je distributie.

PS ensimguru, de meerwaarde van portsentry zie ik niet in, ik vind het een beetje een paranoia tool (welke ook nog eens heel gevaarlijk kan zijn in active mode).

[brambi]

Ik hou er nogal van om de banners (versie nummers etc) van servers zoveel mogelijk te disablen. Voor de rest kick ik op goede logging. En arpwatch dat heb ik ook draaien.

[Domenico]

grsec (met gebruik van ACL's) bijvoorbeeld -> http://www.grsecurity.net/

[root]

Origineel geplaatst door Digiover
Wat misschien net zo belangrijk is als een goede (secure) installatie is het op de hoogte blijven van de laatste ontwikkelingen en vulnerabilities. Subscribe je op mailinglists zoals (NT)Bugtraq, CERT, Secunia en de mailinglist(s) van je distributie.

PS ensimguru, de meerwaarde van portsentry zie ik niet in, ik vind het een beetje een paranoia tool (welke ook nog eens heel gevaarlijk kan zijn in active mode).

Portcentry in " Honeypot" -mode is een stukje Intrusion Detection. Portscan is nog altijd de eerste methode voor een intrusion poging.

Door deze in honeypot -mode te draaien wordt je niet alleen gewaarschuwd voor een poging ( en inderdaad soms onnodig ), maar wordt meteen acces geblocked voor de intruder. Ik laat portcentry op bepaalde gaten in de firewall draaien. Poorten waar geen service op draait. Dus een intruder scanned wel degelijk je server af naar poorten om binnen te komen, anders had hij deze gaten niet gevonden.

Een intruder komt dus vanzelf in 1 van de honeypots die uitgezet zijn. Op dat moment zal ipchains een rule toevoegen waardoor verdere access geblocked wordt. Ik zie het nut er wel degelijk van in.

[Digiover]

Origineel geplaatst door ensimguru
(Portsentry)
Door deze in honeypot -mode te draaien wordt je niet alleen gewaarschuwd voor een poging ( en inderdaad soms onnodig ), maar wordt meteen acces geblocked voor de intruder.

Leuk als je vanaf je router/gateway wordt gescanned ;-)

[root]

Origineel geplaatst door Digiover


Leuk als je vanaf je router/gateway wordt gescanned ;-)

Router of gateway stuurt alleen een aangevraagd requests door. Dat wil zeggen een router zet alleen requests door die een externe machine aanvraagt. Hij zal nooit op eigen houtje je poorten gaan scannen.

Ik vraag me dan ook af wat je hier mee bedoelt. Fysiek zal een router zelf nooit scannen.

[Digiover]

Heel hypothetisch gesproken zijn er middelen waarmee ik d.m.v. bepaalde spoofingtechnieken mezelf kan voordoen als jouw router en een scan op je server(s) uitvoeren.

Tames van der Does had, bij de NLUUG najaarsconverentie, een interessante presentatie over (N|H)IDS en hun voor- en nadelen.

[root]

Dan nog alert portcentry d.m.v. een admin mail. En ik vrees hypothetisch gezien dat een tech ons eigen adres wel herkend.

Vergeet niet alles is preventief ! achter de feiten loop je altijd aan. Graag hoor ik jou voorzorg maatregelen, zoals dit topic ook bedoelt was.

[wdv]

Origineel geplaatst door ensimguru
Dan nog alert portcentry d.m.v. een admin mail. En ik vrees hypothetisch gezien dat een tech ons eigen adres wel herkend.

Vergeet niet alles is preventief ! achter de feiten loop je altijd aan. Graag hoor ik jou voorzorg maatregelen, zoals dit topic ook bedoelt was.

De vraag is alleen of die mail dan nog aankomt

[Digiover]

Momenteel hebben wij zelf erg weinig voorzorgsmaatregelen, het is namelijk nog in ontwikkeling. Denk dan bijvoorbeeld aan een FreeBSD doos als firewall, passive IDS (Snort), ACL's, logwatch en updates uitvoeren zodra deze beschikbaar zijn.

[wdv]

Hmm, misschien even aardig als wij dan ook nog op de vraag reageren

Wij zijn zelf _zeer_ actief in security. Alle daemons (Mail, DNS, WWW) draaien bijvoorbeeld chrooted. Bovendien draaien wij op OpenBSD. OpenBSD's goal is om de #1 OS qua security te zijn, iets wat wij als hoster ook proberen na te streven.

Daarnaast draaien PHP/CGI scripts ook onder eigen username bij ons, dus knap als je aan andermans files kan komen (of de klant moet natuurlijk zelf domme file permissions instellen).

Ook proberen wij onze klanten veilig te stellen door mail te scannen op virussen, je mail kan beter 2x dan 1x gescanned worden op virussen zeg ik altijd maar

[root]

Origineel geplaatst door wdv


De vraag is alleen of die mail dan nog aankomt

Dan snap je portcentry niet helemaal geloof ik.

[wdv]

Origineel geplaatst door ensimguru


Dan snap je portcentry niet helemaal geloof ik.

Ik snap het wel, dacht alleen niet goed na..
Foutje, bedankt