Назад | Перейти на главную страницу

Какие конкретные изменения вы вносите при усилении защиты новой установки NetBSD?

Я знаю большинство общих советов: «отключите ненужные службы», «нет, выключите ненужные службы», «минимальные привилегии» и т. Д. Я также видел несколько руководств и / или инструментов, например Bastille, для усиление защиты Linux-боксов, но ничего, что казалось бы приспособленным для NetBSD.

Предположим для этого списка, что я уже убедился root у меня нет доступа по SSH, но я не устанавливал серверное программное обеспечение.

Каковы ваши первые шаги по защите нового сервера NetBSD?

ОБНОВЛЕНИЕ: Для ясности, я ищу конкретные шаги. Я полностью самоучка, когда дело доходит до администратора сервера, но чувствую, что неплохо разбираюсь в общих принципах. Я ищу подробности по двум причинам:

  1. Чтобы узнать, есть ли что-нибудь специфичное для NetBSD, которое я упустил.
  2. Чтобы узнать, есть ли у других более эффективные методы претворения общих принципов в жизнь.

Спасибо.

Посмотри пожалуйста безопасность (8) в руководстве по NetBSD. Ты можешь:

  • Устанавливать уровень безопасности в rc.conf укрепить производственную систему
  • включить security.curtain = 1 в sysctl.conf чтобы пользователи не видели друг друга.
  • Сделайте соответствующие файлы неизменный или добавить только с участием chflags
  • Включить PaX mprotect и рандомизация разметки адресного пространства (aslr) расширения в sysctl.conf (security.pax.mprotect.global=1, security.pax.aslr.global=1)
  • Рассматривать Veriexec проверенные двоичные файлы

См. Также статью Элада Эфрата. Последние улучшения безопасности в NetBSD.

Обратите внимание, что функции, предотвращающие изменение двоичных файлов, также не позволяют вам обновить систему, поэтому подготовьтесь к выполнению обновлений в однопользовательском режиме.

Расширения PaX могут вообще помешать работе некоторых программ, таких как gnu make. Вы можете оставить флаги .global отключенными и установить флаги PaX на двоичной основе с помощью paxctl.

То же самое с любой системой:

  • Установите и настройте брандмауэр. Сделайте это как можно более ограничительным.
  • Убедитесь, что система регулярно обновляется
  • Отключить вход по паролю для ssh, разрешить только сертификаты
  • Установите хорошие процедуры регистрации и анализа журналов.
  • При настройке серверов: По возможности, но за решеткой (chroot jails)
  • Не устанавливайте X11, веб-браузер или любое не-серверное программное обеспечение (кроме рабочей станции, конечно ...).
  • Отключите его от сети ;-)

Как сказал СвенВ, основные концепции вполне применимы ко всем.

Подробную информацию можно найти в Центре интернет-безопасности. Контрольный показатель доступно для FreeBSD. Я полагаю, что это должно быть довольно легко перенести в вашу среду.