| RSS



Меню

Bookmark and Share


Статистика
Ваш IP: 34.229.63.28
Вы используете: v





Сейчас на сайте:

Тех поддержка ->

Облако тэгов
ОС видио Tor Обратная сторона антенна 4.6 PHP Эксплоит Windows Server 2008 qip Virtual chroot kernel proc sysctl tune FreeBSD bridge Boot Disk Bluetooth GEO game directx Emulator Python Shell DDoS червь Conficker вирус троян Лаборатория Касперского пиратство apple iPhone ИТ-отрасль Щеголев Microsoft экономический кризис Twitter социальная сеть анонимность Лицензия Open Source ASP.NET MVC уязвимость MySQL база данных файлообмен закон франция пират Skype мобильный Deutsche Telekom Хакер киберпреступник Trend Micro кибератака Германия робот утечка данных персональные данные ноутбук интернет Китай цензура ядро Linux Торвальдс Windows Vista Acer Linux патент браузер Firefox Internet Explorer Opera Net Applications Safari Intel Linux Foundation Moblin Oracle патч банкомат кардер HSM IBM X-Force Cofee сша кибервойна Эстония Dell ИТ-специалист хакерские атаки Pirate Bay контроль кибербезопасность язык программирования The Pirate Bay Пиратская партия утечка информации приговор Mozilla Chrome безопасность Госдума СМИ Windows 8 Баллмер взлом Пентагон ботнет Украина Facebook Cisco cloud Windows XP нетбук торрент музыка биометрический nokia ФБР IP-адрес CIPAV Comcast sms RSA java Google CAPTCHA Symantec спам конфиденциальная информация инсайдер Perimetrix антивирус тест Anti-Malware Windows 7 операционная система Windows провайдер авторское право RapidShare UNIX свиной грипп шантаж дети EFF BluWiki копирайт экстремизм Panda Security cloud computing McAfee Cybercrime Response Unit Bottle Domains HTTPS ICANN студент шпионское ПО Норвегия школьник New York Times XSS YouTube Warner Music кибершпионаж КНДР Ubuntu свободное ПО AMD ATI касперский Россия РФ сервер хостинг фальшивый антивирус Comodo CA Wi-Fi D-Link суд пароль блог фишинг Одноклассники медведев контрафакт мошенник штраф Sony GPS по Gumblar JAVASCRIPT хакеры вредоносное ПО Yahoo ФАС компьютер Софт MPAA кибероружие PandaLabs Red Hat Минкомсвязи сбой ASUSTeK Computer мошенничество Доктор Веб ВКонтакте Cyber-Arc исходный код PCI DSS МВД фильтр порнография BREIN свобода слова Казахстан GEMA Autodesk сисадмин Gmail кредитная карта кибермошенник LiveJournal шифрование криптография Deep Purple банк нанотехнологии Wikipedia zero-day ColdFusion выборы кража данных DNS BIND Android BASIC атака Black Hat Mac OS X Click Forensics Clampi домен фсб Прокуратура Уголовное дело icq Barrelfish киберпреступность Sophos AT&T ошибка Electa Gamma Knife OpenBSD DARPA военные Сайт Visual Studio 2010 .NET Framework 4 Chrome OS электронная почта турция конференция спамер FTC полиция российская ОС Koobface Великобритания БЕЛОРУССИЯ грузия BSA Bittorrent облачные вычисления Azure Европа Dr.Web Билл Гейтс спецслужбы Cryzip Живой Журнал Royal Bank of Scotland смартфон Canonical Pwn2Own F-Secure Symbian Hotmail фильм

Главная » Статьи » Общие Статьи

Крепим FreeBSD

Вступление

Эта статья описывает определенные шаги, которые должен предпринять админ для конфигурирования рабочей станции на основе FreeBSD 4.x. В общем говоря все это применимо и для сервера, но явно недостаточно - в случае сервера необходимо предпринять ряд дополнительных мер.

Основа

Известно, что FreeBSD одна из самых безопасных операционных систем, однако и для ее окончательного укрепления необходимо поработать ручками, не полагаясь на дефолтовые установки.

Прежде всего после установки ОС необходимо отключит все сервисы, которые не нужны. Допустим, что вам нужен лишь FTP и SSHD для работы в локальной сети. Для отключения всех сервисов подредактируйте /etc/rc.conf, примерно так как показано в этом файле.

Выключили? Замечательно. Теперь беремся за /etc/inetd.conf и разкомментируем там ftp. Все остальные службы в файле конфигурации должны быть закрыты до тех пор, пока они вам не понадобятся. Идем дальше: в /usr/local/etc/rc.d/. В этом (или из этого :) месте httpd, rpcd и другие демоны инициализируются, так что делайте chmod -x всему тому, что вам не нужно. Или проще удалите/переместите удалите их если они вам не нужны. Перегружайте машину и выполняйте sockstat -l4. Примерно должно вылезти следующее:

root sshd 432 4 tcp4 *:22 *:*
root lpd 72 7 tcp4 *:515 *:*
root syslogd 60 5 udp4 *:514 *:*
root inetd 445 4 tcp4 *:21 *:*

Если видите что-то лишнее - возвращайтесь в /usr/local/etc/rc.d/ и убивайте все, что под руку попадется. 

Пользователи

Если вы единственный, кто пользуется компьютером, то вам нужно всего два пользователя для работы кроме рута. Первый для доступа по ftp (передача данных по ftp не шифруется, а потому может быть перехвачена), с минимальными правами и не включенный wheel group (группа с group-id = 0, разрешающая root доступ пользователям на машине, вне ее невозможно применить команду su root даже зная пароль). Второй пользователь будет использоваться только для SSH, он может входить в wheel group и потому пароль нельзя передавать по незащищенным протоколам типа ftp, telnet, pop и т.д. Для пущей надежности подредактируйте /etc/ftpusers. Если у вас на машине больше одного человека, то для каждого из них должна соблюдаться аналогичная политика обеспечения безопасности.

Файрвол

Файрволы обычно используются не только для защиты машины от внешних проникновений, но и для предотвращения DoS и DDoS атак. FreeBSD поставляется с уже готовой программой ipfw, довольно гибкой и мощной. Я расскажу вам о том, как настроить ipfw для работы с модемным соединением, которое наиболее часто встречается в домах. 

Прежде всего вам с ядро надо добавить следующие строки (о подобных изменениях мы уже много раз писали)

options IPFIREWALL
options IPFW2 # Для FreeBSD < 4.7 используйте IPFW вместо IPFW2
options IPFIREWALL_VERBOSE # Пишем логи о каждом "загубленном" пакете.
options IPFIREWALL_VERBOSE_LIMIT=100 # Защищает лог от массы повторяющихся сообщений
options IPDIVERT # Разрешаются divert sockets.Эта опция добавляет к FireWall еще возможность некоторые IP-пакеты "заворачивать" на дополнительную обработку в прикладные программы (основные проверки делаются в ядре). С помощью этого механизма вы можете писать свои программы, которые смогут выполнить более сложную фильтрацию пакетов или даже их преобразование (NAT, тунель IP в IP, и т.п.).

options TCP_DROP_SYNFIN # Игнорируем все ТСР пакеты с SYN и FIN, что затрудняет удаленное определение версии ОС. В случае работы веб-сервера такое игнорирование не рекомендуется.

Компилим ядро и перед перезагрузкой в /etc/rc.conf добавляем:

firewall_enable="YES"
firewall_script="/etc/firewall/ifpw.rules" # где хранятся правила для файрвола 
natd_enable="YES"
natd_interface="tun0" # или eth0 если вы лезете в Инет через локалку
natd_flags="-dynamic"
ppp_nat="NO" # выключаем network address translation

Дальше правим сами правила, как сказано выше в /etc/firewall/ создаем ifpw.rules и пишем туда примерно следующее. Вот и все, перезагружаем компьютер. Для проверки, после ребута, наберите ipfw show - должны появится те правила поведения файрвола, что вы ввели раньше. Если вы захотите выключить файрвол - ipfw -f flush. Для добавления новых команд на лету - ipfw add Rule_Number Rule.

Тестируем

Конечно же необходимо проверить как работает ваша только возведенная защита. Вам понадобится кто-то во внешней сети, попросите его протестить ваш компьютер каким-либо сканером, например тем же nmap, примерно так:

nmap -v -O -sS your.host.com

 если все случилось правильно, то он должен увидеть только те порты, что вы разрешили.

Оригинал

Категория: Общие Статьи | Добавил: aka_kludge (21.08.2008)
Просмотров: 1587 | Рейтинг: 0.0/0
Всего комментариев: 0
Добавлять комментарии могут только зарегистрированные пользователи.
[ Регистрация | Вход ]
    Главная      
...
На службе : дней

07:22
Обновить


Пользователи
aka_kludge
qwerty
LeadyTOR
aka_Atlantis
AdHErENt
mAss
Sissutr
hiss
DrBio
tHick

Поиск


Copyright tHR - TeAM 2023 г. admin: aka_kludge (ICQ:334449009) Moderator's: LeadyTOR, ... Яндекс.Метрика