LINUX-сервер пошаговые инструкции инсталляции и настройки - Бруй В. В. , Карлов С. В

Шаг 2

Установите права доступа к файлу и определите его владельцем пользователя root:

[root@www /]# chmod 600 /etc/hostsentry/hostsentry.ignore [root@www /]# chown 0.0 /etc/hostsentry/hostsentry.ignore

Конфигурационный файл /etc/hostentry/hostsentry.modules

Шаг 1

Создайте файл /etc/hostentry/hostsentry.modules, содержащий список модулей, выполняемых при входе и выходе пользователя из системы:

moduleLoginLogout moduleFirstLogin moduleForeignDomain moduieMultipleLogins moduleRhostsCheck moduleHistoryTruncated moduleOddDirnames

Шаг 2

Установите права доступа к файлу и определите его владельцем пользователя root:

[root@www /]# chmod 600 /etc/hostsentry/hostsentry.modules [root@www /]# chown 0.0 /etc/hostsentry/hostsentry.modules

Конфигурационный файл /etc/hostsentry/moduleForeignDomain.allow

Шаг 1

Создайте файл /etc/hostsentry/moduleForeignDomain.allow, содержащий список доме-

нов, при удаленной регистрации с которых входы и выходы пользователей не регистрируются. Авторы рекомендуют добавить только свой собственный домен:

:0.)

Шаг 2

Установите права доступа к файлу и определите его владельцем пользователя root:

[root@www /]# chmod 600 /etc/hostsentry/moduleForeignDomain.allow [root@www /]# chown 0.0 /etc/ hostsentry/moduleForeignDomain.allow

Конфигурационный файл /etc/hostsentry/moduleMultipleLogins.allow

Создайте файл /etc/hostsentry/moduleMultipleLogins.allow, содержащий список хос-

тов, при удаленной регистрации с которых пользователям разрешено одновременно несколько регистраций в системе, т. е. информация о возникновении таких событий игнорируется HostSentry. Авторы рекомендуют добавить в этот файл только localhost:

# Place hosts in here you want this module to disregard logins from. localhost

Шаг 2

Установите права доступа к файлу и определите его владельцем пользователя root:

[root@www /]# chmod 600 /etc/hostsentry/moduleMultipleLogins.allow [root@www /]# chown 0.0 /etc/hostsentry/moduleMultipleLogins.allow

Файл инициализации /etc/init.d/hostsentry: hostsentry файл инициализации

Если вы хотите, что бы HostSentry автоматически запускался при загрузке системы, выполните следующие операции.

Шаг 1

Создайте файл /etc/init.d/hostsentry, содержащий следующие строки:

#!/bin/bash

#This shell script takes care of starting and stopping HostSentry.

#chkconfig: 345 98 85

#processname: hostsentry

#config: /etc/hostsentry/hostsentry.conf

#pidfile: /var/run/hostsentry.pid

#Source function library.

. /etc/init.d/functions

#Source networking configuration.

. /etc/sysconfig/network

#Check that networking is up.

[ ${NETWORKING} = "no" ] && exit 0

RETVAL=0

prog="HostSentry"

start() {

if [ -f /var/run/hostsentry.pid ] ; then pid=`cat /var/run/hostsentry.pid`

if [ "$pid" != "" ] ; then

echo $"HostSentry is already running" exit 0

fi

fi

echo -n $"Starting $prog: " cd /usr/lib/hostsentry daemon python hostsentry.py RETVAL=$?

echo

echo `ps aux | grep "python hostsentry.py" | cut --delimiter=" " -f 7` > /var/run/hostsentry.pid

[ $RETVAL -eq 0 ] && touch /var/lock/subsys/hostsentry return $RETVAL

}

stop() {

echo -n $"Shutting down $prog: " cd /usr/lib/hostsentry

killproc python hostsentry.py RETVAL=$?

echo

[ $RETVAL -eq 0 ] && rm -f /var/lock/subsys/hostsentry && rm -f

/var/run

/hostsentry.pid

return $RETVAL

}

restart() { stop start

}

condrestart() {

if [ -f /var/lock/subsys/hostsentry ]; then restart

fi

}

# See how we were called. case "$1" in

start) start

;;

stop) stop

;;

restart) restart

;;

condrestart) condrestart

;;

*)

echo $"Usage: $0 {start|stop|restart|condrestart}" exit 1

;;

esac

Шаг 2

Сделайте файл /etc/init.d/hostsentry исполняемым и определите его владельцем пользователя root:

[root@www /]# chmod 700 /etc/init.d/hostsentry [root@www /]# chown 0.0 /etc/init.d/hostsentry

Шаг 3 Для создания необходимых символьных ссылок выполните команды:

[root@www /]# chkconfig --add hostsentry [root@www /]# chkconfig --level 345 hostsentry on

Тестирование HostSentry

Шаг 1

Запустите HostSentry:

[root@www /]# /etc/init.d/hostsentry

Шаг 2 Зарегистрируйтесь в качестве обычного пользователя, имеющего учетную запись на данной системе.

В рассматриваемом примере использовалась учетная запись dymatel. В файле /var/log/messages должны появиться строки:

Apr 25 17:35:41 www hostSentry[4193]: securityalert: LOGIN User: dymatel TTY: pts/1 Host: drwalbr.und

Apr 25 17:35:41 www hostSentry[4193]: securityalert: Foreign domain login detected for user: dymatel from: drwalbr.und

Apr 25 17:35:41 www hostSentry[4193]: securityalert: Action being taken for user: dymatel

Apr 25 17:35:41 www hostSentry[4193]: securityalert: Module requesting action is: moduleForeignDomain

Apr 25 17:35:41 www hostSentry[4193]: securityalert: Action complete for module: moduleForeignDomain

наличие которых указывает на нормальную работу HostSentry.

Шаг 3 Теперь попробуйте зарегистрироваться в системе в качестве несуществующего пользователя, напри-

мер, tetushka_luba. В этом случае в файле /var/log/messages должны появиться строки:

Apr 28 09:43:15 www login(pam_unix)[1704]: check pass; user unknown

Apr 28 09:43:15 www login(pam_unix)[1704]: authentication failure; logname=LOGIN uid=0 euid=0 tty=tty2 ruser= rhost=

Apr 28 09:43:18 www login[1704]: FAILED LOGIN 1 FROM (null) FOR tetushka_luba, Authentication failure

234 Часть 4. Программное обеспечение для ограничения доступа к серверу...

Apr 28 09:43:21 www hostSentry[1002]: securityalert: LOGOUT User: LOGIN TTY: tty2 Host:

Apr 28 09:43:21 www hostSentry[1002]: adminalert: moduleRhostsCheck: logout: Cannot find user: LOGIN in passwd database: getpwnam(): name not found

Apr 28 09:43:21 www hostSentry[1002]: adminalert: ERROR: Module file: moduleRhostsCheck exec error: adminalert: moduleRhostsCheck: logout: Cannot find user: LOGIN in passwd database: getpwnam(): name not found. Continuing with processing

Apr 28 09:43:21 www hostSentry[1002]: adminalert: moduleHistoryTruncated: logout: Cannot find user: LOGIN in passwd database: getpwnam(): name not found

Apr 28 09:43:21 www hostSentry[1002]: adminalert: ERROR: Module file: moduleHistoryTruncated exec error: adminalert: moduleHistoryTruncated: logout: Cannot find user: LOGIN in passwd database: getpwnam(): name not found. Continuing with processing

Apr 28 09:43:21 www hostSentry[1002]: adminalert: moduleOddDirnames: logout: Cannot find user: LOGIN in passwd database: getpwnam(): name not found

Apr 28 09:43:21 www hostSentry[1002]: adminalert: ERROR: Module file: moduleOddDirnames exec error: adminalert: moduleOddDirnames: logout: Cannot find user: LOGIN in passwd database: getpwnam(): name not found. Continuing with processing

Apr 28 09:43:22 www hostSentry[1002]: securityalert: Login TTY: not found in TTY state DB.

Apr 28 09:43:23 www hostSentry[1002]: securityalert: LOGIN User: LOGIN TTY: tty2 Host:

Apr 28 09:43:23 www hostSentry[1002]: securityalert: Foreign domain login detected for user: LOGIN from:

Apr 28 09:43:23 www hostSentry[1002]: securityalert: Action being taken for user: LOGIN

Apr 28 09:43:23 www hostSentry[1002]: securityalert: Module requesting action is: moduleForeignDomain

Apr 28 09:43:23 www hostSentry[1002]: securityalert: Action complete for module: moduleForeignDomain

также указывающие на нормальную работу HostSentry.

Глава 18

PortSentry – программное обеспечение для автоматического ограничения доступа с систем, используемых для деструктивного воздействия

В этой главе:

1. Ограничения и допущения

2.Пакеты

3.Инсталляция с помощью rpm-пакетов

4.Компиляция, оптимизация и инсталляция Portsentry

5.Конфигурирование PortSentry

6.Конфигурационный файл /etc/portsentry/portsentry.conf

7.Конфигурационный файл /etc/portsentry/portsentry.ignore

8.Конфигурационный файл /etc/portsentry/portsentry.modes

9.Файл инициализации /etc/init.d/portsentry

10. Тестирование PortSentry

Система сетевой защиты позволяет ограничить доступ от различного рода злоумышленников, оставляя открытыми только некоторые порты, необходимые для нормального функционирования используемых вами служб. Существуют программы, осуществляющие сканирование всех портов сервера и выявление открытых портов. Одной из таких программ является программа Network Mapper (Nmap), исходные коды которой, описания по инсталляции, настройке и использованию могут быть получены с домашней страницы проекта http://www.insecure.org/nmap/. Сканирование портов – если оно не осуществляется администратором системы для проверки правильности настроек – является признаком повышенного интереса к вашей системе. Программа PortSentry позволяет обнаруживать факт сканирования портов и реагировать на это событие в автоматическом режиме, делая соответствующие записи в файле регистрации и запуская различные приложения.

Ограничения и допущения

Исходные коды находятся в каталоге /var/tmp.

Все операции выполняются пользователем с учетной записью root. Используется дистрибутив ASPLinux 7.3 (Vostok).

Перекомпиляция ядра не требуется.

Процедуры, описанные в этой главе, могут оказаться применимыми для других версий ядра и дистрибутивов Linux, но авторы этого не проверяли.

Пакеты

Последующие рекомендации основаны на информации, полученной с домашней страницы проекта http://www.psionic.com в сентябре 2002г. На момент написания этой главы – 25.04.2003 – с адреса http://www.psionic.com осуществляется переадресация на сервер компании Cisco System Inc. (http://www.cisco.com). По неофициальной и документально неподтвержденной информации, полученной авторами из различных списков рассылки, компания Psionic Software System приобретена Cisco System Inc. в конце 2002 г. Не смотря на это, разработчики проекта надеются в ближайшем будущем выложить исходные коды PortSentry для свободного использования в личных целях.

Исходные коды PortSentry содержатся в архиве portsentry-version.tar.gz (последняя доступная на момент написания главы стабильная версия portsentry-1.1.tar.gz). Надеемся, что в ближайшее время вы сможете найти в Интернете исходные коды этой удобной и необходимой на каждой серверной системе программы. В противном случае, никто не сможет запретить вам использовать исходные коды программы, свободно распространяемые ранее компанией Psionic Software System, для использования в личных целях. Вы также можете воспользоваться rpm-пакетом portsentry-1.1-2.asp.i386.rpm, входящим в комплект поставки дистрибутива ASPLinux 7.3 (Vostok).

ЗАМЕЧАНИЕ Авторы сожалеют, что лицензионное соглашение, по которому ранее распространялась программа PortSentry, не позволяет распространять ее без разрешения правообладателей.

Инсталляция с помощью rpm-пакетов

Если вы предпочитаете использование системы со стандартным ядром и программным обеспечением, установленным из rpm-пакетов, для установки или обновления пакета необходимо выполнить следующие операции.

ЗАМЕЧАНИЕ Авторы настоятельно рекомендуют устанавливать программное обеспечение из исходных кодов.

Шаг 1

Проверьте, установлен ли пакет PortSentry с помощью следующей команды:

[root@dymatel /]# rpm –iq portsentry

Шаг 2

В случае его отсутствия перейдите в каталог, где находится пакет portsentry-1.1- 2.asp.i386.rpm. Если вы в соответствии с рекомендациями главы 2 скопировали все пакеты, входящие в дистрибутив, в каталог /home/distrib, то выполните команду:

[root@www /]# cd /home/distrib

и установите:

[root@www distrib]# rpm –ihv portsentry-1.1-2.asp.i386.rpm

или обновите пакет:

[root@www distrib]# rpm –Uhv portsentry-1.1-2.asp.i386.rpm

После установки пакета перейдите к настройке программы.

Компиляция, оптимизация и инсталляция PortSentry

Шаг 1 Осуществите проверку подлинности имеющегося в вашем распоряжении архива с исходными кодами

с использованием процедур, описанных в шаге 1 радела «Компиляция, оптимизация и инсталляция

OpenSSL» главы 12.

Шаг 2

Распакуйте архив с исходными кодами в каталоге /var/tmp:

[root@www /]# cd /var/tmp/

[root@www tmp]# tar xzpf portsentry-1.1.tar.gz

Шаг 3

Измените заданное по умолчанию расположение файлов PortSentry и подкорректируйте флаги компиляции применительно к вашей архитектуре процессора. Для этого в файле /var/tmp/portsentry- 1.1/Makefile замените строку:

CFLAGS = -O -Wall

на

CFLAGS = -O2 -march=i686 -funroll-loops -Wall

Строки:

INSTALLDIR = /usr/local/psionic

CHILDDIR=/portsentry

на:

INSTALLDIR = /usr/sbin CONFIGDIR=/etc/portsentry

Строку:

@if [ ! -d $(INSTALLDIR) ]; then /bin/mkdir $(INSTALLDIR); fi

на:

@if [ ! -d $(INSTALLDIR) ]; then /bin/mkdir -p $(INSTALLDIR); fi

Строки:

@if [ "$(INSTALLDIR)" = "/usr/local/psionic" ]; then /bin/chmod 700 $(INSTALLDIR) ; fi

@echo "Creating portsentry directory $(INSTALLDIR)$(CHILDDIR)" @if [ ! -d $(INSTALLDIR)$(CHILDDIR) ]; then /bin/mkdir\ $(INSTALLDIR)$(CHILDDIR); fi

на:

@if [ "$(INSTALLDIR)" = "/usr/sbin" ]; then /bin/chmod 700 $(INSTALLDIR) ; fi

@echo "Creating portsentry directory $(CONFIGDIR)" @if [ ! -d $(CONFIGDIR) ]; then /bin/mkdir -p \ $(CONFIGDIR); fi

Строку:

chmod 700 $(INSTALLDIR)$(CHILDDIR)

на:

chmod 700 $(CONFIGDIR)

Строки:

cp ./portsentry.conf $(INSTALLDIR)$(CHILDDIR) cp ./portsentry.ignore $(INSTALLDIR)$(CHILDDIR)

cp ./portsentry $(INSTALLDIR)$(CHILDDIR)

на:

Шаг 1

Создайте (отредактируйте) файл /etc/portsentry/portsentry.conf в соответствии с приведенными ниже рекомендациями и вашими потребностями:

TCP_PORTS="1,11,81,82,83,1080,1720,1863,5190,8080"

UDP_PORTS="1,7,9,81,82,83,1080,1720,1863,5190,8080" ADVANCED_PORTS_TCP="1024"

ADVANCED_PORTS_UDP="1024" ADVANCED_EXCLUDE_TCP="113,139" ADVANCED_EXCLUDE_UDP="520,138,137,67" IGNORE_FILE="/etc/portsentry/portsentry.ignore" HISTORY_FILE="/var/portsentry/portsentry.history" BLOCKED_FILE="/var/portsentry/portsentry.blocked" RESOLVE_HOST="0"

BLOCK_UDP="0"

BLOCK_TCP="1"

KILL_ROUTE="/sbin/route add -host $TARGET$ reject" SCAN_TRIGGER="0"

PORT_BANNER="** UNAUTHORIZED ACCESS PROHIBITED **"

где строка:

TCP_PORTS="1,11,81,82,83,1080,1720,1863,5190,8080"

определяет TCP порты, которые должны прослушиваться PortSentry на предмет обнаружения сканирования вашей системы. Эта опция используется всеми режимами PortSentry, кроме режима Advanced Stealth Scan Detection, который полностью ее игнорирует, т. к. использует более гибкий и безопасный метод контроля портов. Именно этот режим используется в нашей конфигурации, поэтому не нужно определять эту опцию. Для других же режимов обнаружения сканирования определите в этой строке все TCP порты, которые, по вашему мнению, должны контролироваться PortSentry.

Строка:

UDP_PORTS="1,7,9,81,82,83,1080,1720,1863,5190,8080"

определяет UDP порты, которые должны прослушиваться PortSentry на предмет обнаружения сканирования вашей системы. Эта опция используется всеми режимами PortSentry, кроме режима Advanced Stealth Scan Detection, который полностью ее игнорирует, т. к. использует более гибкий и безопасный метод контроля портов. Именно этот режим используется в нашей конфигурации, поэтому не нужно определять эту опцию. Для других режимов обнаружения сканирования определите в этой строке все TCP порты, которые, по вашему мнению, должны контролироваться PortSentry.

Строка:

ADVANCED_PORTS_TCP="1024"

определяет максимальное значение номера TCP порта, до которого осуществляется контроль за сканированием. Все порты с меньшим значением номера контролируются на предмет сканирования. Предлагаемое значение по умолчанию – 1024 – соответствует диапазону зарезервированных портов.

Строка:

ADVANCED_PORTS_UDP = "1024"

определяет максимальное значение номера UDP порта, до которого осуществляется контроль за сканированием. Все порты с меньшим значением номера контролируются на предмет сканирования. Предлагаемое значение по умолчанию – 1024 – соответствует диапазону зарезервированных портов.

Строка:

ADVANCED_EXCLUDE_TCP="113,139"

определяет номера TCP портов из диапазона, определяемого опцией ADVANCED_PORTS_TCP, которые не должны контролироваться, например, порты, часто ошибочно используемые популярными удаленными клиентами.

Строка:

ADVANCED_EXCLUDE_UDP="520,138,137,67"

определяет номера UDP портов из диапазона, определяемого опцией ADVANCED_PORTS_UDP, которые не должны контролироваться, например, порты, часто ошибочно используемые популярными удаленными клиентами.

Строки:

IGNORE_FILE="/etc/portsentry/portsentry.ignore" HISTORY_FILE="/var/portsentry/portsentry.history"

BLOCKED_FILE="/var/portsentry/portsentry.blocked"

определяют местоположение других конфигурационных файлов PortSentry. Строка:

RESOLVE_HOST="0"

отключает использование DNS для повышения производительности. Если вы хотите получать информацию о системах, сканирующих ваши порты, не в виде IP-адресов, а в виде имен – измените значение опции RESOLVE_HOST с "0" на "1". Однако это может негативно сказаться на производительности вашей системы.

Строка:

BLOCK_UDP="0"

отключает автоматические отклики системы на UDP-запросы, затрудняя реализацию атак типа отказа в обслуживании путем использования массовой отправки фальсифицированных пакетов. Регистрация запросов при этом не отключается.

Строка:

BLOCK_TCP="1"

разрешает автоматические отклики на TCP-запросы. Строка:

KILL_ROUTE="/sbin/route add -host $TARGET$ reject"

предназначена для определения команды, ограничивающей доступ к вашей системе с IP-адреса, с которого осуществлялось сканирование портов. Для этого можно использовать IpTables или команду route. В рассматриваемом примере используется команда route, запрещающая доступ к системе с IP-адреса, передаваемого PortSentry в переменной $TARGET$.

ЗАМЕЧАНИЕ Авторы не рекомендуют использовать эту опцию для запуска (перед блокировкой доступа) программ, осуществляющих негативное воздействие на систему, с которой осуществляется сканирование, т. к. это противоречит известной пословице: «Не рой яму другому – сам в нее попадешь» и возможно ст. 272, 273 и 274 Уголовного кодекса РФ.

Строка:

SCAN_TRIGGER="0"

определяет максимальное количество попыток сканирования портов некоторого IP-адреса, после которого PortSentry начинает реагировать, т. е. выполнять команду, указанную в опции KILL_ROUTE.

Строка:

PORT_BANNER="** UNAUTHORIZED ACCESS PROHIBITED **"

определяет текстовое сообщение, которое будет появляться на удаленной системе при попытке соединения с системой, на которой запущен PortSentry.

Шаг 2

Установите права доступа к файлу и определите его владельцем пользователя root:

[root@www tmp]# chmod 600 /etc/portsentry/portsentry.conf [root@www tmp]# chown 0.0 /etc/portsentry/portsentry.conf

Конфигурационный файл /etc/portsentry/portsentry.ignore

В файл /etc/portsentry/portsentry.ignore следует добавить все системы, которые никогда не должны блокироваться PortSentry. К числу таких адресов, по крайней мере, относятся 127.0.0.1 и адреса сетевых интерфейсов вашего сервера.

Шаг 1

Например, для сервера www.dymatel.und, имеющего два сетевых интерфейса:

•eth0 (172.16.181.100, 172.16.181.101) в сети 172.16.181.0/24;

•eth1 (192.168.14.85) в сети 192.168.0.0/16

создайте файл /etc/portsentry/portsentry.ignore, содержащий следующие строки:

#Put hosts in here you never want blocked. This includes the IP addresses

#of all local interfaces on the protected host (i.e virtual host, multhome)

#Keep 127.0.0.1 and 0.0.0.0 to keep people from playing games.

#

#PortSentry can support full netmasks for networks as well. Format is:

#<IP Address>/<Netmask>

#

#Example:

#192.168.2.0/24