Memoria compartida segura
/ dev / shm se puede usar en un ataque contra un servicio en ejecución, como httpd. Modifique / etc / fstab para hacerlo más seguro.
Abra una ventana de terminal e ingrese lo siguiente:
sudo vi /etc/fstab
Agregue la siguiente línea y guarde. Deberá reiniciar para que esta configuración surta efecto:
tmpfs /dev/shm tmpfs defaults,noexec,nosuid 0 0
Endurezca la red con la configuración de sysctl
El archivo /etc/sysctl.conf contiene todas las configuraciones de sysctl. Evite el enrutamiento de origen de los paquetes entrantes y registre las IP con formato incorrecto, ingrese lo siguiente en una ventana de terminal
sudo vi /etc/sysctl.conf
Edite el archivo /etc/sysctl.conf y descomente o agregue las siguientes líneas:
# IP Spoofing protection
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# Ignore ICMP broadcast requests
net.ipv4.icmp_echo_ignore_broadcasts = 1
# Disable source packet routing
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
# Ignore send redirects
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
# Block SYN attacks
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5
# Log Martians
net.ipv4.conf.all.log_martians = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
# Ignore ICMP redirects
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
# Ignore Directed pings
net.ipv4.icmp_echo_ignore_all = 1
Para recargar sysctl con los últimos cambios, ingrese:
sudo sysctl -p
Prevenir la suplantación de IP
Abra una Terminal e ingrese lo siguiente:
sudo vi /etc/host.conf
Agregue o edite las siguientes líneas:
order bind,hosts
nospoof on
Endurecer PHP por seguridad
Edite el archivo php.ini:
sudo vi /etc/php5/apache2/php.ini
Agregue o edite las siguientes líneas:
disable_functions = exec,system,shell_exec,passthru
register_globals = Off
expose_php = Off
magic_quotes_gpc = On
Servidor de seguridad de aplicaciones web - ModSecurity
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Protección contra ataques DDOS (denegación de servicio) - ModEvasive
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Analizar registros y prohibir hosts sospechosos - DenyHosts y Fail2Ban
@DenyHosts
DenyHosts es un programa de Python que bloquea automáticamente los ataques SSH al agregar entradas a /etc/hosts.deny. DenyHosts también informará a los administradores de Linux sobre hosts ofensivos, usuarios atacados e inicios de sesión sospechosos.
Abra una Terminal e ingrese lo siguiente:
sudo apt-get install denyhosts
Después de la instalación, edite el archivo de configuración /etc/denyhosts.conf y cambie el correo electrónico y otras configuraciones según sea necesario.
Para editar la configuración del correo electrónico del administrador, abra una ventana de terminal e ingrese:
sudo vi /etc/denyhosts.conf
Cambie los siguientes valores según sea necesario en su servidor:
ADMIN_EMAIL = root@localhost
SMTP_HOST = localhost
SMTP_PORT = 25
#SMTP_USERNAME=foo
#SMTP_PASSWORD=bar
SMTP_FROM = DenyHosts nobody@localhost
#SYSLOG_REPORT=YES
@ Fail2Ban
Fail2ban es más avanzado que DenyHosts, ya que extiende la supervisión de registros a otros servicios, incluidos SSH, Apache, Courier, FTP y más.
Fail2ban escanea archivos de registro y prohíbe las IP que muestran signos maliciosos: demasiadas fallas de contraseña, búsqueda de exploits, etc.
En general, Fail2Ban luego se usaba para actualizar las reglas del firewall para rechazar las direcciones IP durante un período de tiempo especificado, aunque también se podría configurar cualquier otra acción arbitraria. Fuera de la caja, Fail2Ban viene con filtros para varios servicios (apache, courier, ftp, ssh, etc.).
Abra una Terminal e ingrese lo siguiente:
sudo apt-get install fail2ban
Después de la instalación, edite el archivo de configuración /etc/fail2ban/jail.local y cree las reglas de filtro según sea necesario.
Para editar la configuración, abra una ventana de terminal e ingrese:
sudo vi /etc/fail2ban/jail.conf
Active todos los servicios que desea que fail2ban supervise cambiando enabled = false a * enabled = true *
Por ejemplo, si desea habilitar la supervisión de SSH y la prohibición de la cárcel, busque la línea a continuación y cambie habilitado de falso a verdadero . Eso es.
[ssh]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
Si desea recibir correos electrónicos de Fail2Ban si los hosts están prohibidos, cambie la siguiente línea a su dirección de correo electrónico.
destemail = root@localhost
y cambie la siguiente línea de:
action = %(action_)s
a:
action = %(action_mwl)s
También puede crear filtros de reglas para los diversos servicios que desea que fail2ban supervise que no se proporcionan de forma predeterminada.
sudo vi /etc/fail2ban/jail.local
Puede encontrar buenas instrucciones sobre cómo configurar fail2ban y crear los diversos filtros en HowtoForge . Haga clic aquí para ver un ejemplo.
Cuando haya terminado con la configuración de Fail2Ban, reinicie el servicio con:
sudo /etc/init.d/fail2ban restart
También puede verificar el estado con.
sudo fail2ban-client status
Compruebe si hay rootkits: RKHunter y CHKRootKit.
Tanto RKHunter como CHKRootkit básicamente hacen lo mismo: verifique su sistema en busca de rootkits. No hay daño en usar ambos.
Abra una Terminal e ingrese lo siguiente:
sudo apt-get install rkhunter chkrootkit
Para ejecutar chkrootkit, abra una ventana de terminal e ingrese:
sudo chkrootkit
Para actualizar y ejecutar RKHunter. Abra una Terminal e ingrese lo siguiente
sudo rkhunter --update
sudo rkhunter --propupd
sudo rkhunter --check
Escanear puertos abiertos - Nmap
Nmap ("Network Mapper") es una utilidad gratuita y de código abierto para el descubrimiento de redes y la auditoría de seguridad.
Abra una Terminal e ingrese lo siguiente:
sudo apt-get install nmap
Escanee su sistema en busca de puertos abiertos con:
nmap -v -sT localhost
Escaneo SYN con lo siguiente:
sudo nmap -v -sS localhost
Analizar archivos de registro del sistema - LogWatch
Logwatch es un sistema de análisis de registro personalizable. Logwatch analiza los registros de su sistema y crea un informe que analiza las áreas que especifique. Logwatch es fácil de usar y funcionará directamente desde el paquete en la mayoría de los sistemas.
Abra una Terminal e ingrese lo siguiente:
sudo apt-get install logwatch libdate-manip-perl
Para ver la salida de logwatch, use menos:
sudo logwatch | less
Para enviar por correo electrónico un informe de logwatch de los últimos 7 días a una dirección de correo electrónico, ingrese lo siguiente y reemplace mail@domain.com con el correo electrónico requerido. :
sudo logwatch --mailto mail@domain.com --output mail --format html --range 'between -7 days and today'
Audite la seguridad de su sistema: Tiger.
Tiger es una herramienta de seguridad que se puede utilizar tanto como auditoría de seguridad como sistema de detección de intrusos.
Abra una Terminal e ingrese lo siguiente:
sudo apt-get install tiger
Para ejecutar Tiger ingrese:
sudo tiger
Toda la salida de Tiger se puede encontrar en / var / log / tiger
Para ver los informes de seguridad del tigre, abra una Terminal e ingrese lo siguiente:
sudo less /var/log/tiger/security.report.*
Para más ayuda
