LINUX-сервер пошаговые инструкции инсталляции и настройки - Бруй В. В. , Карлов С. В

Безопасность сервера определяется не только типом и версией установленной операционной системы, но в основном, грамотной его настройкой. В этой главе рассматриваются некоторые из основных методов, обеспечивающих безопасность вашей системы, которые можно использовать для предотвращения атак из внешней или локальной сети.

Настройки BIOS

Отключите в настройках BIOS возможность загрузки системы с дискеты и/или загрузочного компактдиска и установите пароль на вход в BIOS. Это предотвратит попытки сторонних лиц загрузить систему, используя специальный загрузочный диск или изменить настройки BIOS (например, разрешить начальную загрузку диска или загрузку сервера без ввода пароля). Обратите внимание, что существует принципиальная возможность обойти эту меру защиты, получив физический доступ к серверу. Поэтому авторы настоятельно рекомендуют ограничить доступ как в помещение, где расположен сервер, так и внутрь его корпуса.

Отключение сервера от сети

Изменение настроек безопасности сервера не рекомендуется проводить на работающей в сети системе. Для остановки всех сетевых интерфейсов системы (программного отключения) выполните:

[root@drwalbr /]# /etc/init.d/network stop

Для запуска всех сетевых интерфейсов системы выполните:

[root@drwalbr /]# /etc/init.d/network start

Для остановки и запуска только одного сетевого интерфейса, выполните, соответственно:

[root@drwalbr /]# ifdown eth0 [root@drwalbr /]# ifup eth0

Концепция безопасности

Важно подчеркнуть, что нельзя успешно осуществлять действия, направленные на повышение безопасности, без четкого представления, чего вы хотите добиться и от чего должны быть защищены. Необходимо выработать концепцию безопасности, т. е. перечень организационно-технических мероприятий, которые обеспечат разумный компромисс между функциональностью системы и уровнем ее безопасности. Любая концепция безопасности должна основываться на некоторой степени недоверия к людям, как внутри, так и за пределами вашей организации.

Выбор правильного пароля

Отправная точка возведения здания безопасности сервера – пароль. Много людей сохраняют свою ценную информацию и файлы на компьютере. Единственной вещью, защищающей ее от постороннего внимания, является строка из нескольких символов, называемая паролем. В отличие от общераспространенного мнения, не существует паролей, которые нельзя было бы расшифровать. В действительности все пароли могут быть получены методами «социальной инженерии» или простым последовательным перебором.

Социальная разработка паролей сервера – самый простой и самый популярный способ получения доступа к учетным записям и серверам. Человеческий фактор еще никто не отменял. Часто знание таких простых вещей, как названия компаний, действующих или временных должностей пользователей, даты известных событий и др. приводят к потрясающим результатам.

Было бы неплохо запускать взломщика пароля на вашей системе каждую неделю. Он поможет в поиске и замене паролей, которые легко могут быть раскрыты. Также необходим механизм, проверяющий пароли с целью недопущения ненадежных паролей при выборе пользователями начальных паролей или изменении старых. Символьные строки, которые являются обычными словами или набранные в одном регистре, не содержащие чисел или специальных символов, не должны приниматься в качестве нового пароля.

Авторы рекомендуют следующие правила выбора паролей:

• пароль должен состоять, по крайней мере, из восьми символов, включая, одну цифру или специальный символ;

•пароль не должен быть тривиальным, т. е. чтобы его нельзя было предсказать, используя общедоступную информацию о пользователях (фамилии, адреса, памятные даты, телефоны и др. информация личного характера);

•пароль должен иметь ограниченный срок действия, по истечении которого должен быть выбран но-

вый;

•пароль должен блокироваться после нескольких (двух…трех попыток) его неправильного ввода.

Учетная запись суперпользователя root

Учетная запись root – самая привилегированная учетная запись на Unix-системе. Она не имеет никаких ограничений по безопасности. Поэтому очень просто, допустив ошибку в наборе команды, удалить критически важные системные файлы. При использовании этой учетной записи важно быть очень осторожным и внимательным.

Часто администраторы, зарегистрировавшись в качестве суперпользователя root, забывают выйти из системы после окончания работы. Поэтому желательно использовать автоматическое завершение сеанса оболочки bash после бездействия консоли в течение определенного периода времени.

Шаг 1

Установите специальную переменную, названную TMOUT, равную интервалу времени в секундах, по истечении которого при отсутствии ввода с клавиатуры произойдет выход из системы. Для этого в файле /etc/profile добавьте следующую строку где-нибудь после строки, начинающейся с HISTSIZE =:

HOSTNAME= ' /bin/hostname ' HISTSIZE=1000

TMOUT=3600

Значение, присвоенное переменной TMOUT = , выражено в секундах и составляет 1 час

((60*60)*1=3600*1=3600 с).

ЗАМЕЧАНИЕ Если вышеупомянутая строка вставлена в файл /etc/profile, то через 1 час произойдет автоматическое завершение сеансов всех пользователей системы. Если вы желаете установить для разных пользователей различные значения TMOUT то строка TMOUT=… должна быть добавлена в файл .bashrc , находящийся в домашнем каталоге пользователя.

Шаг 2

В файле /etc/profile в строкe:

export PATH USER LOGNAME MAIL HOSTNAME HISTSIZE INPUTRC

добавьте параметр TMOUT:

export PATH USER LOGNAME MAIL HOSTNAME HISTSIZE TMOUT INPUTRC

Для вступления изменений в силу завершите сеанс и зарегистрируйтесь в системе как суперпользователь root.

История оболочки командного интерпретатора

Для облегчения ввода повторяющихся команд, командный интерпретатор сохраняет до 1000 команд в файле ~/.bash_history (где " ~/ " является вашим домашним каталогом). Пользователь может вместо повторного набора команды с помощью клавиш <Стрелка вверх> и <Стрелка вниз> вывести ранее набранную команду в командную строку и исполнить ее нажатием клавиши <Enter>. Некоторые команды могут запрашивать пароль. В результате ошибочных действий пользователя этот пароль может быть введен в командную строку и, следовательно, сохраниться в файле .bash_history. Сокращение числа запоминаемых команд уменьшает вероятность сохранения в этом файле паролей, ошибочно введенных открытым текстом в командную строку. Для этого выполните некоторые действия.

Шаг 1

Значение параметра HISTSIZE в файле /etc/profile определяет число сохраняемых старых команд в файле .bash_history для всех пользователей системы. Для всех учетных записей мы рекомендовали бы устанавливать значение параметра HISTSIZE в файле /etc/profile не более 10.

Для этого в файле /etc/profile измените:

HISTSIZE=1000

на:

HISTSIZE=10

Шаг 2

Для того, чтобы файл .bash_history уничтожался при каждом выходе пользователя из системы, в файл /etc/profile после строки, в которой устанавливается значение параметра HISTSIZE, добавьте строку:

HISTSIZE=10

HISTFILESIZE=0

Шаг 3

В файле /etc/profile в строке:

export PATH USER LOGNAME MAIL HOSTNAME HISTSIZE TMOUT INPUTRC

добавьте параметр HISTFILESIZE:

export PATH USER LOGNAME MAIL HOSTNAME HISTSIZE HISTFILESIZB TMOUT

INPUTRC

Для вступления изменений в силу завершите сеанс и зарегистрируйтесь в системе как суперпользователь root.

Однопользовательский режим входа в систему

При использовании загрузчика LILO имеется возможность входа в однопользовательский режим. Это достигается путем ввода при загрузке LILO команды:

LILO: linux single

При этом вы регистрируетесь в системе как суперпользователь root без ввода пароля. Для того, чтобы система запрашивала пароль при входе в однопользовательский режим необходимо выполнить некоторые действия.

Шаг 1

В файле /etc/inittab измените строку:

id:3:initdefault:

на: id:3:initdefault:

~~:S:wait:/sbin/sulogin

Добавление этой строки потребует ввода пароля root перед продолжением загрузки в однопользовательском режиме (программа init инициализирует выполнение программы sulogin перед входом в оболочку).

Шаг 2 Для того, чтобы сделанные изменения вступили в силу, выполните:

[root@drwalbr /]# /sbin/init q

Отключение возможности выключения системы с помощью комбинации клавиш

<Ctrl>+<Alt>+<Delete>

Для отключения возможности выключения (перезагрузки) системы с помощью комбинации клавиш <Ctrl>+<Alt>+<Delete> в файле /etc/inittab удалите (закомментируйте) строку:

ca::ctrlaltdel:/sbin/shutdown -t3 -r now

т. е.:

#ca::ctrlaltdel:/shin/shutdown-t3-r now

Шаг 2 Для того, чтобы сделанные изменения вступили в силу, выполните:

[root@drwalbr /]# /sbin/init q

Ограничение заданного по умолчанию числа запущенных виртуальных консолей ttys

По умолчанию в ASPLinux допускается одновременный запуск шести виртуальных консолей в стандартных выполняемых уровнях. На сервере с высоким уровнем безопасности следует ограничиться двумя виртуальными консолями и заодно сэкономить некоторые ресурсы, которые могут быть задействованы для выполнения других процессов.

Шаг 1

В файле /etc/inittab удалите (закомментируйте) следующие строки:

1:2345: respawn: /sbin/mingetty ttyl

2:2345: respawn: /sbin/mingetty tty2 3:2345: respawn: /sbin/mingetty tty3 4:2345: respawn: /sbin/mingetty tty4 5:2345: respawn: /sbin/mingetty tty5

6:2345: respawn: /sbin/mingetty tty6

т. е.:

1:2345: respawn: /sbin/mingetty ttyl 2:2345: respawn: /sbin/mingetty tty2

#3:2345: respawn: /sbin/mingetty tty3

#4:2345: respawn: /sbin/mingetty tty4

#5:2345: respawn: /sbin/mingetty tty5

#6:2345: respawn: /sbin/mingetty tty6

Шаг 2 Для того, чтобы сделанные изменения вступили в силу, выполните:

[root@drwalbr /]# /sbin/init q

LILO и файл /etc/lilo.conf

Если вы используетесь LILO в качестве загрузчика операционной системы, то для обеспечения безопасности системы необходимо установить ряд параметров загрузчика в файле /etc/lilo.conf. К числу таких параметров относятся:

•параметр timeout=00 – определяет длительность интервала времени в десятых долях секунды в течение которого LILO ожидает пользовательского ввода (например, команды на переход в однопользовательский режим, выбор загружаемого образа ядра и т. п.);

•опция restricted – указывает на необходимость запроса пароля только, если параметры определены в командной строке (например, linux single). Эту опцию следует использовать только совместно с параметром password;

•опция password=Secretnoe$l0vo – указывает на необходимость запроса пароля при загрузке образа ядра (при использовании опции restricted пароль будет запрашиваться только при введении параметров загрузки в командной строке, обычная загрузка будет осуществляться без ввода пароля).

Для установки опций безопасности выполните следующий алгоритм.

Шаг 1

Отредактируйте файл /etc/lilo.conf, добавив или изменив строки, в соответствии с рекомендациями:

boot=/dev/hda prompt timeout=00 lba32

default=linux-2.4.18

# ASPLinux image=/boot/vmlinuz-2.4.18-5asp initrd=/boot/initrd.2.4.18-5asp.img restricted

password= Secretnoe$l0vo label=ASPLinux-2.4.18 root=/dev/hda8

read-only

Шаг 2

Поскольку конфигурационный файл /etc/lilo.conf теперь содержит незашифрованный пароль, доступ к нему следует разрешить только пользователю root:

[root@drwalbr /]# chmod 600 /etc/lilo.conf

Для того, чтобы сделать файл неизменяемым, наберите:

[root@drwalbr /]# chattr +i /etc/lilo.conf

ЗАМЕЧАНИЕ В случае необходимости переконфигурирования LILO не забудьте снять атрибут запрета изменений с файла /etc/lilo.conf с помощью команды:

[root@drwalbr /]# chattr -i /etc/lilo.conf .

Шаг 3 Для того, чтобы изменения вступили в силу, выполните:

[root@drwalbr /]# /sbin/lilo –v

LILO version 21.7-3, Copyright (C) 1992-1998 Werner Almesberger Linux Real Mode Interface library Copyright (C) 1998 Josh Vanderhoof Development beyond version 21 Copyright (C) 1999-2001 John Coffman Released 29-Mar-2001 and compiled at 06:06:43 on Jun 4 2002.

Reading boot sector from /dev/hda Merging with /boot/boot.b

Boot image: /boot/vmlinuz-2.4.18-5asp

Mapping RAM disk /boot/initrd.2.4.18-5asp.img Added ASPLinux-2.4.18 *

/boot/boot.0300 exists - no backup copy made. Writing boot sector.

GRUB и файл /boot/grub/grub.conf

GRUB очень важна, так как это первая выполняемая программа при запуске компьютера, и мы должны обеспечить безукоризненную ее работу во избежание всевозможных сбоев. В заданной по умолчанию инсталляции она уже достаточно хорошо защищена. Мы постараемся объяснить, как сделан ее конфигурационный файл. На наш взгляд, по сравнению с LILO, GRUB более удобен при конфигурации. Далее приводятся значения заданного по умолчанию конфигурационного файла GRUB и рекомендуемые методы защиты. Полужирный текст – части конфигурационного файла /boot/grub/grub.conf, которые должны быть откорректированы в соответствии с вашими потребностями:

default 0 splashimage=/boot/grub/splash.xpm.gz timeout 0

password --md5 $1$RFEae/$MxXN6ck3laZMTy8ajwINk0 title ASPLinux-2.4.18

root (hd0,0)

kernel /boot/vmlinuz-2.4.18-5asp ro root=/dev/sda5 initrd /boot/initrd.2.4.18-5asp.img

boot

Опция default

используется в конфигурационном файле для определения заданной по умолчанию загрузки. Значение "0" обозначает заданный по умолчанию вариант. Для сервера, где Linux – единственная операционная система, заданная по умолчанию загрузка будет и единственной. Другие варианты не задаем.

Опция timeout

используется для определения времени ожидания в секундах перед тем, как автоматически загрузить заданный по умолчанию вариант загрузки.

Опция splashimage

определяет графическое изображение, отображаемое при загрузке GRUB. Решайте сами – сохранять этот параметр или удалять. Если вы хотите удалить его, то удалите и вышеупомянутую строку со сжатым изображением.

Опция password

используется для сообщения GRUB о необходимости ввода пароля и отвергает любое интерактивное управление, пока вы не нажимаете клавишу <p> и не введете правильный пароль. Параметр -md5 сообщает GRUB, что в качестве пароля требуется значение в формате MD5. Если он пропущен, GRUB предполагает, что указанный пароль – обычный текст. При установке ASPLinux загрузчик GRUB устанавливается без опции password и, следовательно, строки, содержащей пароль в зашифрованном виде, в вашем конфигурационном файле не будет. Для установки пароля выполните:

[root@drwalbr /]# grub-md5-crypt

Password:SecretnoeSlovo

$1$RFEae/$MxXN6ck3laZMTy8ajwINk0

В результате выполнения команды пароль автоматически будет занесен в конфигурационный файл. После использования команды новый пароль уже записан в конфигурационном файле.

Опция title

используется для определения имени варианта загружаемой системы. Она очень полезна при использовании нескольких операционных систем. В данном случае введите любую строку.

Опция root

грамма установки ASPLinux устанавливает дополнительные учетные записи операционной системы, даже если соответствующие им службы не установлены на сервере. Наличие неиспользуемых учетных записей упрощает несанкционированный доступ к системе.

Шаг 1 Удаление учетной записи пользователя из системы осуществляется с помощью команды вида:

[root@drwalbr /]# userdel username

Сведения о пользователях, имеющих учетные записи на системе, содержатся в файле /etc/passwd: root:x:0:0:root:/root:/bin/bash

bin:x:1:1:bin:/bin:/sbin/nologin

daemon:x:2:2:daemon:/sbin:/sbin/nologin

adm:x:3:4:adm:/var/adm:/sbin/nologin

lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin

sync:x:5:0:sync:/sbin:/bin/sync

shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown

halt:x:7:0:halt:/sbin:/sbin/halt

mail:x:8:12:mail:/var/spool/mail:/sbin/nologin

news:x:9:13:news:/var/spool/news:

uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin

operator:x:11:0:operator:/root:/sbin/nologin

games:x:12:100:games:/usr/games:/sbin/nologin

gopher:x:13:30:gopher:/var/gopher:/sbin/nologin ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin nobody:x:99:99:Nobody:/:/sbin/nologin

vcsa:x:69:69:virtual console memory owner:/dev:/sbin/nologin rpm:x:37:37::/var/lib/rpm:/bin/bash mailnull:x:47:47::/var/spool/mqueue:/dev/null

Необходимо удалить пользователей, учетные записи которых выделены жирным шрифтом.

Шаг 2 Удаление группы пользователей осуществляется с помощью команды:

[root@drwalbr /]# groupdel groupname

Сведения о группах пользователей содержатся в файле /etc/group: root:x:0:root

bin:x:1:root,bin,daemon

daemon:x:2:root,bin,daemon

sys:x:3:root,bin,adm

adm:x:4:root,adm,daemon

tty:x:5:

disk:x:6:root

lp:x:7:daemon,lp

mem:x:8:

kmem:x:9:

wheel:x:10:root

mail:x:12:mail

news:x:13:news

uucp:x:14:uucp

man:x:15:

games:x:20: gopher:x:30: dip:x:40: ftp:x:50: lock:x:54: nobody:x:99: users:x:100: floppy:x:19: vcsa:x:69: utmp:x:22: rpm:x:37: mailnull:x:47:

slocate:x:21:

Необходимо удалить группы пользователей, выделенные жирным шрифтом.

Шаг 4

Установка атрибута immutable (т. е. запрет любых изменений) может использоваться для предотвращения случайного удаления или перезаписи защищенного файла. Он также препятствует созданию символьной ссылки к файлу, которая может использоваться для атаки, основанной на удалении файлов

/etc/passwd, /etc/shadow, /etc/group или /etc/gshadow.

Для установки атрибута immutable для файлов паролей и групп выполните:

[root@drwalbr /]# chattr +i /etc/passwd [root@drwalbr /]# chattr +i /etc/shadow [root@drwalbr /]# chattr +i /etc/group [root@drwalbr /]# chattr +i /etc/gshadow

Если в дальнейшем потребуется добавить или удалить пользователей, пароли, группу пользователей или файлы групп, или установить rpm-пакет, который автоматически добавляет нового пользователя и/или группу пользователей, вы должны снять атрибут immutable с файлов /etc/passwd, /etc/shadow,

/etc/group и /etc/gshadow. Для этого:

[root@drwalbr /]# chattr -i /etc/passwd [root@drwalbr /]# chattr -i /etc/shadow [root@drwalbr /]# chattr -i /etc/group [root@drwalbr /]# chattr -i /etc/gshadow

Управление монтированием файловых систем

Вы можете управлять монтированием файловых систем, размещенных на отдельных разделах диска, с использованием опций монтирования файловых систем:

• defaults – все операции (quota, read-write и suid) разрешены;

•noquota – отсутствуют квоты для пользователей;

•nosuid – отсутствует доступ SUID/SGID;

•nodev – отсутствует доступ к символьным или специальным устройствам;

• noexec – запрещено выполнение любых файлов;

•quota – все пользователи имеют квоты;

•ro – разрешен доступ только для чтения;

Шаг 1

Отредактируйте файл /etc/fstab в соответствии с вашими потребностями, например, заменив строки:

Шаг 2 Для перемонтирования файловых систем с новыми опциями выполните:

[root@drwalbr /]# mount /usr -oremount [root@drwalbr /]# mount /var/lib -oremount [root@drwalbr /]# mount /home -oremount [root@drwalbr /]# mount /tmp -oremount

Проверить правильность монтирования файловых систем можно с помощью команды:

[root@drwalbr/]# cat /proc/mounts

Полезно смонтировать каталог /usr, в который устанавливаются основные пользовательские программы, с опцией ro (только чтение). При этом устраняется возможность замены критичных, с точки зрения безопасности системы, файлов.

ЗАМЕЧАНИЕ При установке программ из исходных кодов или rpm-пакетов в указанный каталог необходимо перемонтировать его без опции ro. Для этого удалите из файла /etc/fstab опцию ro и перемонти-

руйте каталог с помощью команды mount -oremount.

Права доступа к файлам сценариев запуска и остановки процессов

В каталоге /etc/init.d находятся файлы сценариев запуска и остановки процессов, запускаемых при загрузке системы. Обычным пользователям, а также злоумышленникам, получившим права доступа обычных пользователей, совершенно не обязательно знать, что находится в этих файлах. Поэтому настоятельно рекомендуем разрешить доступ к этим файлам (чтение, запись и исполнение) только пользователю

root:

[root@drwalbr /]# chmod 0700 /etc/init.d/*

При установке программы, использующей сценарий в каталоге /etc/init.d, не забывайте проверять права доступа к вновь созданному или измененному сценарию.

Специальные символы у программ, владельцем которых является root

Обычный пользователь сможет выполнить программу с правами суперпользователя root, если в правах доступа к файлу программы установлен, так называемый, SUID или SGID бит (символ "s" в правах доступа, например, -rwsr-xr-x или -r-xr-sr-x допускаемый символ). Поскольку эти программы предоставляют специальные привилегии пользователю, который их выполняет, важно удалить SUID и SGID из прав доступа файлов программ, владельцем которых является root, и которые не должны выполняться другими пользователями. Это делается следующим образом.

Шаг 1

Для получения списка программ, имеющих в правах доступа SUID или SGID-биты, выполните:

[root@drwalbr /]# find / -type f \( -perm -04000 -o -perm -02000 \) -exec

Шаг 2

Снимите SUID-биты в правах доступа к следующим файлам:

[root@drwalbr /]# chmod a-s /bin/mount [root@drwalbr /]# chmod a-s /bin/umount [root@drwalbr /]# chmod a-s /bin/ping [root@drwalbr /]# chmod a-s /usr/bin/wall [root@drwalbr /]# chmod a-s /usr/bin/chage [root@drwalbr /]# chmod a-s /usr/bin/gpasswd [root@drwalbr /]# chmod a-s /usr/bin/chfn [root@drwalbr /]# chmod a-s /usr/bin/chsh [root@drwalbr /]# chmod a-s /usr/bin/newgrp [root@drwalbr /]# chmod a-s /usr/bin/write [root@drwalbr /]# chmod a-s /usr/sbin/ping6 [root@drwalbr /]# chmod a-s /usr/sbin/traceroute6 [root@drwalbr /]# chmod a-s /usr/sbin/usernetctl [root@drwalbr /]# chmod a-s /sbin/netreport

Запрещение внутренним компьютерам сообщать серверу свой MAC-адрес

Злоумышленник может легко изменить IP-адрес своего компьютера и представиться в виде другого компьютера для вашей системы. Для исключения (осложнения) реализации такого мероприятия следует запретить всем локальным компьютерам в вашей сети сообщать серверу свой MAC (Media Access Control) и IP-адрес.

Для этого необходимо сделать следующее.

Шаг 1

Для каждого компьютера в сети узнайте его MAC-адрес:

[root@drwalbr /]# ifconfig

MAC-адресом компьютера являются символы, стоящие после HWaddr в первой строке вывода ко-

манды ifconfig. В данном примере - 00:80:48:CB:BD:73.

Шаг 2

После определения MAC-адреса, соответствующего определенному IP-адресу, их нужно добавить в ARP таблицу сервера:

[root@drwalbr /]# arp -s 172.16.181.103 00:80:48:CB:BD:73

или:

[root@drwalbr /]# arp -s karlnext.und 00:80:48:CB:BD:73

Шаг 3 Проверьте правильность внесенных изменений:

[root@drwalbr /]# arp