Безопасность в Линуксе с нуля

Xakep, номер #040, стр. 040-060-4

Сетевая безопасность

Наиболее важная часть моего труда - обеспечить тебя должной инфой о твоей сетевой секьюрности, ведь не секрет, что ты большую часть своего времени проводишь в Инете. Поэтому поговорим об этом подробно. Существует очень много тулзенок для обеспечения такой безопасности, большинство из которых по дефолту входят во многие дистрибутивы Linux. Первым делом, выходя в сеть, посмотри, какие доступные сервисы ты предлагаешь. Главное правило: НЕТ ВКЛЮЧЕННЫХ СЕРВИСОВ - НЕТ ОТКРЫТЫХ ПОРТОВ - НЕТ ДОСТУПА. Для просмотра всех запущенных сервисов переключись на рута и набей следующую команду:

netstat -tap |grep LISTEN,

это выдаст тебе список запущенных сервисов на данный момент. Если список чересчур длинный, то всерьез стоит подумать об отключении некоторых сервисов. Если у тебя есть сомнения в предназначении какого-либо сервиса, набери команду

grep '^finger' /etc/inetd.conf

и получишь инфу по данному сервису. Тебе выдадут что-то типа этого:

/usr/sbin/tcpd /usr/sbin/in.fingerd

Осталось только в мане посмотреть про in.fingerd, чтобы понять, нужен ли тебе данный сервис в этот момент. Хотя ты, как читатель Х, их предназначение должен знать наизусть :).

Все те, которые ТЕБЕ не нужны, вырубай, больше не парясь о том, что тебя поимеют через не отключенные тобой эти сервисы. Есть несколько способов отрубить ненужные тебе сервисы. Один из них - это использование файла /etc/inetd.conf. Просто посмотри, какие сервисы там предложены. Что не нужно, просто отключи, прибавив # в начале строки. Другим способом является отключка сервисов в файле /etc/services. Но этот способ неудобен тем, что и локальные юзеры не смогут найти отключенные сервисы и, соответственно, использовать их. Кроме того, необходимо проверить /etc/rc.d/rcX.d, где X - системный уровень; проверь там на наличие ненужных сервисов. Но файлы в этой директории ведут на /etc/rc.d/init.d, поэтому, изменив init.d, ты изменишь и rcX.d. «А какие сервисы оставлять?» - спросишь ты. Вот список тех, которые я бы УБРАЛ:

1. NFS (Network File System) и соответствующие сервисы, такие как fsd, lockd, mountd, statd, ortmapper и так далее. Если ты в танке, то знай, что NFS - это стандартный Юникс сервис для расшаренного пользования файлами и папками при соединении.

2. rpc.* сервисы, Remote Procedure Call.*, они обычно идут от NFS.

3. Printer сервисы тоже.

4. Протокол Rlogin. Это серверный протокол, и о нем я писал в одном из предыдущих номеров Х.

5. Telnet. Когда нет особой необходимости в нем, отруби и его. Ведь его можно заменить ssh.

6. FTP. Как и телнет, его можно заменить на scp, входящий в ssh.

Вот и все. Не забудь после всех манипуляций с отключкой сервисов проверить, какие остались. Формат соответствующей команды ты знаешь.

Почтовые сервисы

Включают в себя Sendmail, qmail and MTA's. Несмотря на их значимость, они очень подвержены сетевым атакам. Если ты юзаешь Сендмейл, то сразу предупрежу, что этот сервис имеет такую огроменную историю взломов, что убедись, что у тебя последняя его версия. Свежак всегда тебя ждет на http://www.sendmail.org. Но все-таки это не по-хацкерски. И в лом каждый раз скачивать новую версию сендмайла, и еще туева хуча причин. Короче, порекомендую вместо sendmail юзать qmail. Он достаточно быстрый, стабильный и, главное, секьюрный. Сайт http://www.qmail.org.