Mémoire partagée sécurisée
/ dev / shm peut être utilisé dans une attaque contre un service en cours, tel que httpd. Modifiez / etc / fstab pour le rendre plus sécurisé.
Ouvrez une fenêtre de terminal et entrez les informations suivantes:
sudo vi /etc/fstab
Ajoutez la ligne suivante et enregistrez. Vous devrez redémarrer pour que ce paramètre prenne effet:
tmpfs /dev/shm tmpfs defaults,noexec,nosuid 0 0
Durcir le réseau avec les paramètres sysctl
Le fichier /etc/sysctl.conf contient tous les paramètres sysctl. Empêcher le routage source des paquets entrants et enregistrer les adresses IP mal formées, entrez les informations suivantes dans une fenêtre de terminal
sudo vi /etc/sysctl.conf
Editez le fichier /etc/sysctl.conf et supprimez le commentaire ou ajoutez les lignes suivantes:
# IP Spoofing protection
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# Ignore ICMP broadcast requests
net.ipv4.icmp_echo_ignore_broadcasts = 1
# Disable source packet routing
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
# Ignore send redirects
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
# Block SYN attacks
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5
# Log Martians
net.ipv4.conf.all.log_martians = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
# Ignore ICMP redirects
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
# Ignore Directed pings
net.ipv4.icmp_echo_ignore_all = 1
Pour recharger sysctl avec les dernières modifications, entrez:
sudo sysctl -p
Empêcher l'usurpation d'adresse IP
Ouvrez un terminal et entrez les informations suivantes:
sudo vi /etc/host.conf
Ajoutez ou modifiez les lignes suivantes:
order bind,hosts
nospoof on
Harden PHP pour la sécurité
Editez le fichier php.ini:
sudo vi /etc/php5/apache2/php.ini
Ajoutez ou modifiez les lignes suivantes:
disable_functions = exec,system,shell_exec,passthru
register_globals = Off
expose_php = Off
magic_quotes_gpc = On
Pare-feu d'applications Web - ModSecurity
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Protéger des attaques par déni de service (DDOS) - ModEvasive
http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server
Analyser les journaux et interdire les hôtes suspects - DenyHosts et Fail2Ban
@DenyHosts
DenyHosts est un programme python qui bloque automatiquement les attaques SSH en ajoutant des entrées à /etc/hosts.deny. DenyHosts informera également les administrateurs Linux des hôtes offensants, des utilisateurs attaqués et des connexions suspectes.
Ouvrez un terminal et entrez les informations suivantes:
sudo apt-get install denyhosts
Après l’installation, éditez le fichier de configuration /etc/denyhosts.conf et modifiez l’adresse électronique ainsi que d’autres paramètres, le cas échéant.
Pour modifier les paramètres de messagerie de l'administrateur, ouvrez une fenêtre de terminal et entrez:
sudo vi /etc/denyhosts.conf
Modifiez les valeurs suivantes selon vos besoins sur votre serveur:
ADMIN_EMAIL = root@localhost
SMTP_HOST = localhost
SMTP_PORT = 25
#SMTP_USERNAME=foo
#SMTP_PASSWORD=bar
SMTP_FROM = DenyHosts nobody@localhost
#SYSLOG_REPORT=YES
@ Fail2Ban
Fail2ban est plus avancé que DenyHosts dans la mesure où il étend la surveillance des journaux à d'autres services, notamment SSH, Apache, Courier, FTP, etc.
Fail2ban analyse les fichiers journaux et interdit les adresses IP présentant les signes malveillants - trop d'échecs de mot de passe, recherche d'exploits, etc.
Généralement, Fail2Ban est ensuite utilisé pour mettre à jour les règles de pare-feu afin de rejeter les adresses IP pour une durée spécifiée, bien que toute autre action arbitraire puisse également être configurée. Prêt à l'emploi, Fail2Ban est fourni avec des filtres pour divers services (apache, courrier, ftp, ssh, etc.).
Ouvrez un terminal et entrez les informations suivantes:
sudo apt-get install fail2ban
Après l’installation, éditez le fichier de configuration /etc/fail2ban/jail.local et créez les règles de filtrage selon les besoins.
Pour modifier les paramètres, ouvrez une fenêtre de terminal et entrez:
sudo vi /etc/fail2ban/jail.conf
Activez tous les services que vous souhaitez surveiller avec fail2ban en remplaçant enabled = false par * enabled = true *.
Par exemple, si vous souhaitez activer la surveillance SSH et l'interdiction de jail, recherchez la ligne ci-dessous et remplacez enabled par false en true . C'est ça.
[ssh]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
Si vous souhaitez recevoir des emails de Fail2Ban si des hôtes sont bannis, remplacez la ligne suivante par votre adresse email.
destemail = root@localhost
et changez la ligne suivante de:
action = %(action_)s
à:
action = %(action_mwl)s
Vous pouvez également créer des filtres de règle pour les différents services que vous souhaitez que fail2ban surveille et qui ne sont pas fournis par défaut.
sudo vi /etc/fail2ban/jail.local
Des instructions sur la façon de configurer fail2ban et créer les différents filtres peuvent être trouvés sur HowtoForge - cliquez ici pour un exemple
Une fois la configuration de Fail2Ban terminée, redémarrez le service avec:
sudo /etc/init.d/fail2ban restart
Vous pouvez également vérifier l'état avec.
sudo fail2ban-client status
Recherchez les rootkits - RKHunter et CHKRootKit.
Les deux rkhunter et ChkRootKit font essentiellement la même chose - vérifier votre système pour rootkits. Pas de mal à utiliser les deux.
Ouvrez un terminal et entrez les informations suivantes:
sudo apt-get install rkhunter chkrootkit
Pour exécuter chkrootkit, ouvrez une fenêtre de terminal et entrez:
sudo chkrootkit
Pour mettre à jour et exécuter RKHunter. Ouvrez un terminal et entrez les informations suivantes
sudo rkhunter --update
sudo rkhunter --propupd
sudo rkhunter --check
Analyser les ports ouverts - Nmap
Nmap ("Network Mapper") est un utilitaire gratuit et à source ouverte pour la découverte de réseaux et l'audit de sécurité.
Ouvrez un terminal et entrez les informations suivantes:
sudo apt-get install nmap
Analysez votre système pour les ports ouverts avec:
nmap -v -sT localhost
SYN scanning avec les éléments suivants:
sudo nmap -v -sS localhost
Analyser les fichiers journaux du système - LogWatch
Logwatch est un système d'analyse de journal personnalisable. Logwatch analyse les journaux de votre système et crée un rapport analysant les zones que vous spécifiez. Logwatch est facile à utiliser et fonctionnera dès la livraison sur la plupart des systèmes.
Ouvrez un terminal et entrez les informations suivantes:
sudo apt-get install logwatch libdate-manip-perl
Pour afficher la sortie de logwatch, utilisez moins:
sudo logwatch | less
Pour envoyer par courrier électronique un rapport de surveillance des journaux des 7 derniers jours à une adresse électronique, entrez ce qui suit et remplacez mail@domaine.com par l'adresse électronique requise. :
sudo logwatch --mailto mail@domain.com --output mail --format html --range 'between -7 days and today'
Auditez la sécurité de votre système - Tiger.
Tiger est un outil de sécurité qui peut être utilisé à la fois comme audit de sécurité et comme système de détection d’intrusion.
Ouvrez un terminal et entrez les informations suivantes:
sudo apt-get install tiger
Pour courir tigre entrez:
sudo tiger
Toutes les sorties de Tiger se trouvent dans / var / log / tiger
Pour afficher les rapports de sécurité du tigre, ouvrez un terminal et entrez les informations suivantes:
sudo less /var/log/tiger/security.report.*
Pour plus d'aide
