Serversicherheit

tcs · 3. März 2005

Leute bitte dichtet Eure Linuxserver ab!
Es ist ein Irrglaube daß man nur durch die Verwendung von Linux vor allem Übel des Netzes gefeit ist.
Im Gegenteil:
Ein unsicherer Linuxrechner ist schneller aufgebrochen und gibt dem erfolgreichen Angreifer mehr Macht über alles was auf dem Ding läuft als ein Windows server. (kein flamewarstart bitte, der Satz soll die Wichtigkeit des Themas Systemsicherheit von Linux aufzeigen).

Erster Schritt sollte sein, im inetd daemon (google: inetd) alle nicht benötigten Dienste abzudrehen.
Man darf hier ruhig eher paranoid sein, weniger ist mehr.
Gesunde Einstellung ist, alles außer SSH mal zuzumachen und dann zu schauen mit welcher Minimalstlösung man alles zum laufen bekommt was man braucht.

Ach ja... Passwörter.
Rootpasswort: mindestens 15 Zeichen, Große, kleine Buchstaben, Ziffern und Sonderzeichen.

Tip:
Arbeitet mit Eselbrücken.
Ich habe mir hier einfach mal einen kleinen Satz genommen und werde den jetzt als Passwort verarbeiten und verstümmeln.

Passwort 1:
IhmhemekSguwdjaPvuv
(jeweils der erste Buchstabe der Wörter).

Passwort 2:
Ihmh3m3kSguwdjaPvuv
(e = 3)

Passwort 3:
Ih/\/\h3/\/\3kSguwdjaPvuv
(m = /\/\)

Dafür brauchen die normalen Crackprogramme Jahrzehnte.

Netzsicherheit (firewall):
Jetzt geht's endlich zum Topic des Postings, die firewall.
Ein Template für Server (basiert aif IPTABLES, google hilft):

Bash

#!/bin/sh


# This is the location of the iptables command
IPTABLES="/sbin/iptables"




case "$1" in
   stop)
      echo "Shutting down firewall..."
      $IPTABLES -F
      $IPTABLES -F -t mangle
      $IPTABLES -F -t nat
      $IPTABLES -X
      $IPTABLES -X -t mangle
      $IPTABLES -X -t nat

      $IPTABLES -P INPUT ACCEPT
      $IPTABLES -P OUTPUT ACCEPT
      $IPTABLES -P FORWARD ACCEPT
      echo "...done"
      ;;
   status)
      echo $"Table: filter"
      iptables --list
      echo $"Table: nat"
      iptables -t nat --list
      echo $"Table: mangle"
      iptables -t mangle --list
      ;;
   restart|reload)
      $0 stop
      $0 start
      ;;
   start)
    echo "Starting Firewall..."
    echo ""




##--------------------------Begin Firewall---------------------------------##




#----Default-Interfaces-----#


## Default external interface (used, if EXTIF isn't specified on command line)
DEFAULT_EXTIF="eth0"




#----Special Variables-----#


# IP Mask for all IP addresses
UNIVERSE="0.0.0.0/0"


# Specification of the high unprivileged IP ports.
UNPRIVPORTS="1024:65535"


# Specification of X Window System (TCP) ports.
XWINPORTS="6000:6063"


# Ports for IRC-Connection-Tracking
IRCPORTS="6665,6666,6667,6668,6669,7000"




#----Flood Variables-----#


# Overall Limit for TCP-SYN-Flood detection
TCPSYNLIMIT="5/s"
# Burst Limit for TCP-SYN-Flood detection
TCPSYNLIMITBURST="10"


# Overall Limit for Loggging in Logging-Chains
LOGLIMIT="2/s"
# Burst Limit for Logging in Logging-Chains
LOGLIMITBURST="10"


# Overall Limit for Ping-Flood-Detection
PINGLIMIT="5/s"
# Burst Limit for Ping-Flood-Detection
PINGLIMITBURST="10"






#----Automatically determine infos about involved interfaces-----#


### External Interface:


## Get external interface from command-line
## If no interface is specified then set $DEFAULT_EXTIF as EXTIF
if [ "x$2" != "x" ]; then
   EXTIF=$2
else
   EXTIF=$DEFAULT_EXTIF
fi
echo External Interface: $EXTIF


## Determine external IP
EXTIP="`ifconfig $EXTIF | grep inet | cut -d : -f 2 | cut -d \  -f 1`"
  if [ "$EXTIP" = '' ]; then
     echo "Aborting: Unable to determine the IP-address of $EXTIF !"
     exit 1
  fi
echo External IP: $EXTIP


## Determine external gateway
EXTGW=`route -n | grep -A 4 UG | awk '{ print $2}'`
echo Default GW: $EXTGW




echo " --- "
echo ""




#----Load IPTABLES-modules-----#




#Insert modules- should be done automatically if needed


#If the IRC-modules are available, uncomment them below


echo "Loading IPTABLES modules"


dmesg -n 1 #Kill copyright display on module load
/sbin/modprobe ip_tables
/sbin/modprobe iptable_filter
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
#/sbin/modprobe ip_conntrack_irc ports=$IRCPORTS
#/sbin/modprobe ip_nat_irc ports=$IRCPORTS
dmesg -n 6


echo " --- "




#----Clear/Reset all chains-----#


#Clear all IPTABLES-chains


#Flush everything, start from scratch
$IPTABLES -F
$IPTABLES -F -t mangle
$IPTABLES -F -t nat
$IPTABLES -X
$IPTABLES -X -t mangle
$IPTABLES -X -t nat


#Set default policies to DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP




#----Set network sysctl options-----#




echo "Setting sysctl options"


#Enable forwarding in kernel
echo 1 > /proc/sys/net/ipv4/ip_forward


#Disabling IP Spoofing attacks.
echo 2 > /proc/sys/net/ipv4/conf/all/rp_filter


#Don't respond to broadcast pings (Smurf-Amplifier-Protection)
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts


#Block source routing
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route


#Kill timestamps
echo 0 > /proc/sys/net/ipv4/tcp_timestamps


#Enable SYN Cookies
echo 1 > /proc/sys/net/ipv4/tcp_syncookies


#Kill redirects
echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects


#Enable bad error message protection
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses


#Log martians (packets with impossible addresses)
echo 1 > /proc/sys/net/ipv4/conf/all/log_martians


#Set out local port range
echo "32768 61000" > /proc/sys/net/ipv4/ip_local_port_range


#Reduce DoS'ing ability by reducing timeouts
echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout
echo 2400 > /proc/sys/net/ipv4/tcp_keepalive_time
echo 0 > /proc/sys/net/ipv4/tcp_window_scaling
echo 0 > /proc/sys/net/ipv4/tcp_sack




echo " --- "


echo "Creating user-chains"






#----Create logging chains-----#


##These are the logging-chains. They all have a certain limit of log-entries/sec to prevent log-flooding
##The syslog-entries will be fireparse-compatible (see http://www.fireparse.com)




#Invalid packets (not ESTABLISHED,RELATED or NEW)
   $IPTABLES -N LINVALID
   $IPTABLES -A LINVALID -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=INVALID:1 a=DROP "
   $IPTABLES -A LINVALID -j DROP


#TCP-Packets with one ore more bad flags
   $IPTABLES -N LBADFLAG
   $IPTABLES -A LBADFLAG -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=BADFLAG:1 a=DROP "
   $IPTABLES -A LBADFLAG -j DROP


#Logging of connection attempts on special ports (Trojan portscans, special services, etc.)
   $IPTABLES -N LSPECIALPORT
   $IPTABLES -A LSPECIALPORT -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=SPECIALPORT:1 a=DROP "
   $IPTABLES -A LSPECIALPORT -j DROP

#Logging of possible TCP-SYN-Floods
   $IPTABLES -N LSYNFLOOD
   $IPTABLES -A LSYNFLOOD -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=SYNFLOOD:1 a=DROP "
   $IPTABLES -A LSYNFLOOD -j DROP

#Logging of possible Ping-Floods
   $IPTABLES -N LPINGFLOOD
   $IPTABLES -A LPINGFLOOD -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=PINGFLOOD:1 a=DROP "
   $IPTABLES -A LPINGFLOOD -j DROP




#All other dropped packets
   $IPTABLES -N LDROP
   $IPTABLES -A LDROP -p tcp -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=TCP:1 a=DROP "
   $IPTABLES -A LDROP -p udp -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=UDP:2 a=DROP "
   $IPTABLES -A LDROP -p icmp -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=ICMP:3 a=DROP "
   $IPTABLES -A LDROP -f -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=FRAGMENT:4 a=DROP "
   $IPTABLES -A LDROP -j DROP


#All other rejected packets
   $IPTABLES -N LREJECT
   $IPTABLES -A LREJECT -p tcp -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=TCP:1 a=REJECT "
   $IPTABLES -A LREJECT -p udp -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=UDP:2 a=REJECT "
   $IPTABLES -A LREJECT -p icmp -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=ICMP:3 a=REJECT "
   $IPTABLES -A LREJECT -f -m limit --limit $LOGLIMIT --limit-burst $LOGLIMITBURST -j LOG --log-prefix "fp=FRAGMENT:4 a=REJECT "   
   $IPTABLES -A LREJECT -p tcp -j REJECT --reject-with tcp-reset
   $IPTABLES -A LREJECT -p udp -j REJECT --reject-with icmp-port-unreachable
   $IPTABLES -A LREJECT -j REJECT






#----Create Accept-Chains-----#




#TCPACCEPT - Check for SYN-Floods before letting TCP-Packets in

   $IPTABLES -N TCPACCEPT
   $IPTABLES -A TCPACCEPT -p tcp --syn -m limit --limit $TCPSYNLIMIT --limit-burst $TCPSYNLIMITBURST -j ACCEPT
   $IPTABLES -A TCPACCEPT -p tcp --syn -j LSYNFLOOD
   $IPTABLES -A TCPACCEPT -p tcp ! --syn -j ACCEPT




#----Create special User-Chains-----#




#CHECKBADFLAG - Kill any Inbound/Outbound TCP-Packets with impossible flag-combinations (Some port-scanners use these, eg. nmap Xmas,Null,etc.-scan)


   $IPTABLES -N CHECKBADFLAG
   $IPTABLES -A CHECKBADFLAG -p tcp --tcp-flags ALL FIN,URG,PSH -j LBADFLAG
   $IPTABLES -A CHECKBADFLAG -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j LBADFLAG
   $IPTABLES -A CHECKBADFLAG -p tcp --tcp-flags ALL ALL -j LBADFLAG
   $IPTABLES -A CHECKBADFLAG -p tcp --tcp-flags ALL NONE -j LBADFLAG
   $IPTABLES -A CHECKBADFLAG -p tcp --tcp-flags SYN,RST SYN,RST -j LBADFLAG
   $IPTABLES -A CHECKBADFLAG -p tcp --tcp-flags SYN,FIN SYN,FIN -j LBADFLAG






#FILTERING FOR SPECIAL PORTS




   #Inbound/Outbound SILENTDROPS/REJECTS (Things we don't want in our Logs)


      #SMB-Traffic
      $IPTABLES -N SMB

      $IPTABLES -A SMB -p tcp --dport 137 -j DROP
      $IPTABLES -A SMB -p tcp --dport 138 -j DROP
      $IPTABLES -A SMB -p tcp --dport 139 -j DROP
      $IPTABLES -A SMB -p tcp --dport 445 -j DROP
      $IPTABLES -A SMB -p udp --dport 137 -j DROP
      $IPTABLES -A SMB -p udp --dport 138 -j DROP
      $IPTABLES -A SMB -p udp --dport 139 -j DROP
      $IPTABLES -A SMB -p udp --dport 445 -j DROP
 
      $IPTABLES -A SMB -p tcp --sport 137 -j DROP
      $IPTABLES -A SMB -p tcp --sport 138 -j DROP
      $IPTABLES -A SMB -p tcp --sport 139 -j DROP
      $IPTABLES -A SMB -p tcp --sport 445 -j DROP
      $IPTABLES -A SMB -p udp --sport 137 -j DROP
      $IPTABLES -A SMB -p udp --sport 138 -j DROP
      $IPTABLES -A SMB -p udp --sport 139 -j DROP
      $IPTABLES -A SMB -p udp --sport 445 -j DROP




   #Inbound Special Ports

      $IPTABLES -N SPECIALPORTS

      #Deepthroat Scan
        $IPTABLES -A SPECIALPORTS -p  tcp --dport 6670 -j LSPECIALPORT
 
        #Subseven Scan
        $IPTABLES -A SPECIALPORTS -p tcp --dport 1243 -j LSPECIALPORT
                $IPTABLES -A SPECIALPORTS -p udp --dport 1243 -j LSPECIALPORT
                $IPTABLES -A SPECIALPORTS -p tcp --dport 27374 -j LSPECIALPORT
                $IPTABLES -A SPECIALPORTS -p udp --dport 27374 -j LSPECIALPORT
        $IPTABLES -A SPECIALPORTS -p tcp --dport 6711:6713 -j LSPECIALPORT 
 
        #Netbus Scan
        $IPTABLES -A SPECIALPORTS -p tcp --dport 12345:12346 -j LSPECIALPORT
        $IPTABLES -A SPECIALPORTS -p tcp --dport 20034 -j LSPECIALPORT
 
        #Back Orifice scan
        $IPTABLES -A SPECIALPORTS -p udp --dport 31337:31338 -j LSPECIALPORT
 
        #X-Win
        $IPTABLES -A SPECIALPORTS -p tcp --dport $XWINPORTS  -j LSPECIALPORT


      #Hack'a'Tack 2000
      $IPTABLES -A SPECIALPORTS -p udp --dport 28431 -j LSPECIALPORT






#ICMP/TRACEROUTE FILTERING




   #Inbound ICMP/Traceroute

      $IPTABLES -N ICMPINBOUND

      #Ping Flood protection. Accept $PINGLIMIT echo-requests/sec, rest will be logged/dropped
        $IPTABLES -A ICMPINBOUND -p icmp --icmp-type echo-request -m limit --limit $PINGLIMIT --limit-burst $PINGLIMITBURST -j ACCEPT
        #
        $IPTABLES -A ICMPINBOUND -p icmp --icmp-type echo-request -j LPINGFLOOD


        #Block ICMP-Redirects (Should already be catched by sysctl-options, if enabled)
        $IPTABLES -A ICMPINBOUND -p icmp --icmp-type redirect -j LDROP
 
        #Block ICMP-Timestamp (Should already be catched by sysctl-options, if enabled)
        $IPTABLES -A ICMPINBOUND -p icmp --icmp-type timestamp-request -j LDROP
        $IPTABLES -A ICMPINBOUND -p icmp --icmp-type timestamp-reply -j LDROP


        #Block ICMP-address-mask (can help to prevent OS-fingerprinting)
        $IPTABLES -A ICMPINBOUND -p icmp --icmp-type address-mask-request -j LDROP
        $IPTABLES -A ICMPINBOUND -p icmp --icmp-type address-mask-reply -j LDROP




        #Allow all other ICMP in
        $IPTABLES -A ICMPINBOUND -p icmp -j ACCEPT




   #Outbound ICMP/Traceroute

      $IPTABLES -N ICMPOUTBOUND

      #Block ICMP-Redirects (Should already be catched by sysctl-options, if enabled)
        $IPTABLES -A ICMPOUTBOUND -p icmp --icmp-type redirect -j LDROP
 
        #Block ICMP-TTL-Expired
      #MS Traceroute (MS uses ICMP instead of UDp for tracert)
      $IPTABLES -A ICMPOUTBOUND -p icmp --icmp-type ttl-zero-during-transit -j LDROP
        $IPTABLES -A ICMPOUTBOUND -p icmp --icmp-type ttl-zero-during-reassembly -j LDROP
 
        #Block ICMP-Parameter-Problem
        $IPTABLES -A ICMPOUTBOUND -p icmp --icmp-type parameter-problem -j LDROP
 
        #Block ICMP-Timestamp (Should already be catched by sysctl-options, if enabled)
        $IPTABLES -A ICMPOUTBOUND -p icmp --icmp-type timestamp-request -j LDROP
        $IPTABLES -A ICMPOUTBOUND -p icmp --icmp-type timestamp-reply -j LDROP


        #Block ICMP-address-mask (can help to prevent OS-fingerprinting)
        $IPTABLES -A ICMPOUTBOUND -p icmp --icmp-type address-mask-request -j LDROP
        $IPTABLES -A ICMPOUTBOUND -p icmp --icmp-type address-mask-reply -j LDROP




        ##Accept all other ICMP going out
        $IPTABLES -A ICMPOUTBOUND -p icmp -j ACCEPT




#----End User-Chains-----#   






echo " --- "




#----Start Ruleset-----#


echo "Implementing firewall rules..."




#################
## INPUT-Chain ## (everything that is addressed to the server)
#################




##GENERAL Filtering


  # Kill INVALID packets (not ESTABLISHED, RELATED or NEW)
  $IPTABLES -A INPUT -m state --state INVALID -j LINVALID
 
  # Check TCP-Packets for Bad Flags
  $IPTABLES -A INPUT -p tcp -j CHECKBADFLAG




##Packets FROM SERVER ITSELF


  #Local IF
  $IPTABLES -A INPUT -i lo -j ACCEPT
  #
  #Kill connections to the local interface from the outside world (--> Should be already catched by kernel/rp_filter)
  $IPTABLES -A INPUT -d 127.0.0.0/8 -j LREJECT




##Packets FROM THE NET




 ##ICMP & Traceroute filtering
 
  #Filter ICMP
  $IPTABLES -A INPUT -i $EXTIF -p icmp -j ICMPINBOUND
 
  #Block UDP-Traceroute
  $IPTABLES -A INPUT -p udp --dport 33434:33523 -j LDROP




 ##Silent Drops/Rejects (Things we don't want in our logs)


  #Drop all SMB-Traffic
  $IPTABLES -A INPUT -i $EXTIF -j SMB
 
  #Silently reject Ident (Don't DROP ident, because of possible delays when establishing an outbound connection)
  $IPTABLES -A INPUT -i $EXTIF -p tcp --dport 113 -j REJECT --reject-with tcp-reset




 ##Public services running (comment out to activate):


  # ftp-data
  #$IPTABLES -A INPUT -i $EXTIF -p tcp  --dport 20 -j TCPACCEPT
 
  # ftp
  #$IPTABLES -A INPUT -i $EXTIF -p tcp  --dport 21 -j TCPACCEPT


  # ssh
  $IPTABLES -A INPUT -i $EXTIF -p tcp --dport 22 -j TCPACCEPT


  #telnet
  #$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 23 -j TCPACCEPT


  # smtp
  #$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 25 -j TCPACCEPT


  # DNS
  #$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 53 -j TCPACCEPT
  #$IPTABLES -A INPUT -i $EXTIF -p udp --dport 53 -j ACCEPT


  # http
  $IPTABLES -A INPUT -i $EXTIF -p tcp --dport 80 -j TCPACCEPT


  # https
  $IPTABLES -A INPUT -i $EXTIF -p tcp --dport 443 -j TCPACCEPT


  # POP-3
  #$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 110 -j TCPACCEPT
 
  # IMAP
  #$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 143 -j TCPACCEPT
 
  # SMTPs
  #$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 465 -j TCPACCEPT
 
  # POP3s
  #$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 995 -j TCPACCEPT
 
  # IMAPs
  #$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 993 -j TCPACCEPT


 
 ##Separate logging of special portscans/connection attempts
 
  $IPTABLES -A INPUT -i $EXTIF -j SPECIALPORTS




 ##Allow ESTABLISHED/RELATED connections in
 
  $IPTABLES -A INPUT -i $EXTIF -m state --state ESTABLISHED -j ACCEPT
  $IPTABLES -A INPUT -i $EXTIF -p tcp --dport $UNPRIVPORTS -m state --state RELATED -j TCPACCEPT
  $IPTABLES -A INPUT -i $EXTIF -p udp --dport $UNPRIVPORTS -m state --state RELATED -j ACCEPT




 ##Catch all rule
  $IPTABLES -A INPUT -j LDROP










##################
## Output-Chain ##
##################






##Packets TO SERVER


  #Local IF
  $IPTABLES -A OUTPUT -o lo -j ACCEPT
 




##Packets TO NET




 ##ICMP & Traceroute


  $IPTABLES -A OUTPUT -o $EXTIF -p icmp -j ICMPOUTBOUND
 




 ##Silent Drops/Rejects (Things we don't want in our logs)


  #SMB
  $IPTABLES -A OUTPUT -o $EXTIF -j SMB


  #Ident
  $IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 113 -j REJECT --reject-with tcp-reset






 ##Public services running (comment out to activate):


  # ftp-data
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp  --sport 20 -j ACCEPT
 
  # ftp
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp  --sport 21 -j ACCEPT


  # ssh
  $IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT


  #telnet
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 23 -m state --state ESTABLISHED -j ACCEPT


  # smtp
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT


  # DNS
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 53 -j ACCEPT
  #$IPTABLES -A OUTPUT -o $EXTIF -p udp --sport 53 -j ACCEPT


  # http
  $IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT


  # https
  $IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT


  # POP-3
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT
 
  # IMAP
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 143 -m state --state ESTABLISHED -j ACCEPT
 
  # SMTPs
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 465 -m state --state ESTABLISHED -j ACCEPT
 
  # POP3s
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 995 -m state --state ESTABLISHED -j ACCEPT
 
  # IMAPs
  #$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport 993 -m state --state ESTABLISHED -j ACCEPT








 ##Accept all tcp/udp traffic on unprivileged ports going out


  $IPTABLES -A OUTPUT -o $EXTIF -s $EXTIP -p tcp --sport $UNPRIVPORTS -j ACCEPT
  $IPTABLES -A OUTPUT -o $EXTIF -s $EXTIP -p udp --sport $UNPRIVPORTS -j ACCEPT






##Catch all rule


$IPTABLES -A OUTPUT -j LDROP








$IPTABLES -A FORWARD -j LDROP








#------End Ruleset------#


echo "...done"
echo ""




echo "--> IPTABLES firewall loaded/activated <--"




##--------------------------------End Firewall---------------------------------##






   ;;
   *)
      echo "Usage: firewall (start|stop|restart|status) EXTIF"
      exit 1
esac


exit 0

Alles anzeigen

Bitte bitte immer scripts mehrmals durchlesen und nachvollziehen, startet niemals etwas auf einem Produktivsystem das Ihr nicht versteht.

Anmerkung zur Firewall:
Man kann in dem Ding haufenweise kürzen, es wird mehr als nötig geladen (z.B. nat, siehe google).
Ist grundsätzlich als Template gedacht.

So, genug gespammt und Paranoia gezeigt :wink:

Cheers

tcs

tas2580 · 3. März 2005

Guter Beitrag

Wobei man noch erwähnen sollte, dass man den Rootaccount nur benutzen sollte, wenn es unbedingt nötig ist. Am besten man sperrt für den Root sämtliche Zugänge von außen (SSH, FTP) und logt sich immer mit seinem normalen Account ein. Wenn man doch mal Rootrechte braucht kann man jederzeit mit "su" zum Root werden.

tcs · 3. März 2005

Hi,

ich benutze für solche Tätigkeiten eigentlich sudo sehr gerne.
Grund:
man braucht das "echte" rootpasswort nicht rauszurücken

Außerdem sieht man wer wann was als root gemacht hat.
Ah, noch was, wenigstens bei root:

Code

find ~/ -type d -exec chmod 700 {} \;
find ~/ -type f -exec chmod 600 {} \;

Danach sind alle Directories in z.B. /root nur für den Besitzer (root) lesbar.
Für die ganz gründlichen:

Code

ln -fs /dev/null ~/.bash_history

Vorausgesetzt man hat /bin/bash als shell.
Für vim gibt's auch noch so eine history, läßt sich genauso behandeln.
Zweck:
folgende Schritte ausführen:
als root anmelden

Code

mysqladmin -u root -p password 'juhublablabla'

abmelden.
Anmelden, 2x cursor rauf - blaß werden

Noch besser:

Code

tail /root/.bash_history

Ok, genug Panik :wink:

Cheers

tcs

tas2580 · 15. März 2005

Ein Gutes Buch zum Thema Sicherheit in Linux ist der Hacker's Guide. Ich hab das Buch selber hier neben meinem Rechner stehen. Wirklich sehr zu empfehlen.

tcs · 15. März 2005

Einer meiner Favoriten ist auch Kevin Mitnicks "Die Kunst der Täuschung"

Cheers

tcs

Morpheus · 15. März 2005

Zitat von tcs

Erster Schritt sollte sein, im inetd daemon (google: inetd) alle nicht benötigten Dienste abzudrehen.

Wenn man eine Firewall schon auf seinen Miet-Linux-Rootserver installiert und laufen hat, braucht man auch kein Script, von dem ich ( Windows-Benutzer ) kein
Wort verstanden habe. Vielleicht mal etwas einfacher erklären, dann versteht das auch einer, der nicht mit Linux groß geworden ist.

@Tobi: Bitte lass dein Forum nicht zum "Fachsimple-Forum" verkommen und achte bitte mal mehr drauf das auch Personen mit 0-Linux-Erfahrung etwas
verstehen. Es gibt genug andere Linux-Foren in dem mit Fachbegriffen um sich geworfen werden kann.

In diesem Sinne ... herzlichen Dank.

tcs · 15. März 2005

Hi,

mein Posting zielte darauf ab das Sicherheitsbewußtsein etwas zu fördern.
Natürlich ist es für "normale Windowsuser" nicht trivial einen Linux Server aufzusetzen, zu konfigurieren und zu warten. Gerade hier sehe ich allerdings auch die große Gefahr im Netz: es gibt haufenweise Anleitungen wie man "the windows way" einen Linux Server zum Laufen bringt (Stichwort "mit drei Mausklicks zum eigenen Server"). Vielleicht läuft der Server sogar. Aber sicher ist was anderes. Ein Server ist etwas völlig anderes als ein Desktop, leider wird dies immer wieder vergessen. Wie gesagt habe ich versucht deutlich zu machen daß die Arbeit erst anfängt wenn der Server läuft - um zu vermeiden daß ein Scheunentor mehr im Netz steht.
Daß das viel Arbeit ist und man sich einiges an Wissen aneignen muß sollte jedem bewußt sein.
Wenn die Postings bzw. der Inhalt oder die Aussage(n) nicht erwünscht sind werde ich selbstverständlich davon absehen weitere unverständliche Scripts zu posten und wünsche viel Vergnügen mit SuSE/Windows Standardinstallationen.

Cheers

tcs

tas2580 · 15. März 2005

@ Morpheus:
Du hast recht, "Linux Fachsimpel-Foren" gibt es genug. Natürlich möchte ich, dass das Forum auch oder gerade für Einsteiger geeignet ist weil es da recht wenig gibt und wenn man die Leute für Linux begestern kann wird es vielleicht irgendwann auch auf Workstations eine ernsthafte alternative zu Windows.

Das Thema Sicherheit ist nicht unbedingt einfach aber eben auch nicht unwichtig. Die Preise für Rootserver fallen immer weiter, deshalb mieten sich immer mehr Leute einen eigenen Server ohne zu wissen welche Arbeit damit verbunden ist. Das sind dann die Server die z.B von Spammern übernommen werden und mir die Mailbox zumüllen.

Aber zu viel Panik mache ist auch nicht gut, wer bereit ist sich zu informieren kann auch einen Server administrieren. Jeder hat irgendwann mal mit Linux angefangen und da seine Fehler gemacht aus denen er dann was gelernt hat. Natürlich macht man diese Fehler lieber auf dem Testrechner zuhause wie auf einem Server im Netz. Man sollte seinen Server als Hobby ansehen in das man auch mal Zeit investiert und Handbücher oder Foren liest.

Wir können hier ja mal einen Workaround zum Thema Linuxsicherheit für Einsteiger erstellen.

tcs · 15. März 2005

Zitat von Tobi

Wir können hier ja mal einen Workaround zum Thema Linuxsicherheit für Einsteiger erstellen.

Klingt nach einer guten Idee, ich würde am debian-Part gerne mithelfen :wink:

Cheers

tcs

Fhilgers · 15. März 2005

Nun dazu muss ich aber auch mal was sagen, denn wenn ich hier lese, das leute mit dem bisher geschriebenem nicht klarkommen, zeigt das deutlich das sich diese personen nicht mit linux auskennen, aber solche püersonen sollten sich auch keinen root zulegen, denn tcs hat schon recht, es geht schneller als man denkt und ein linux server ist geknackt, und das ding wird dann defintiv zu einer echten gefahr, denn im gegensatz zu nem heim pc hat der server doch eine "geringfügig" höhere und bessere anbindung und leistung.

Natürlich sollte nicht nur mit fachbegriffen rumgeworfen werden das ist klar, aber der tcs hat hier nicht übermäsig mit fachbegriffen rumgeworfen, sondern primär mit grundwissen was jeder haben sollte.

Denn leute bedenkt mal immer eines, mal abgesehen davond as wenn euer server gehackt wird euch das sauteuer kommen kann, werden dadurch zusätzlich auch ncoh andere belästigt, durch DoS attacken, oder ähnliches. BEvor man sich nen linux server zulegt sollte man eh erstmal zuhause mit linux klarkommen´und zwar wirklich gut, das man weiss wie man linux installiert und weiss wie man auf der KDE was macht nutzt da nichts.

tcs · 30. April 2005

Update zum Gebrauch von iptables auf Servern.

Nachdem ich in einem anderen Forum (rootforum.de) meinen Wissensstand etwas aufgefrischt habe muß ich mein erstes Posting korrigieren. Ein Linuxserver braucht keine lokale Firewall wenn er sauber konfiguriert ist.

Die Forensuche im o.a. Forum liefert weitere Infos dazu.

Cheers

tcs

McSchaf · 27. Mai 2005

Ihr habt ja recht, es geht schnell was schief u.s.w.

Aber die lieben anfänger die wollen lernen, und sind bereit dafür. Verstehen nur kein wort was du schreibst.
Die werden ihr root server auch net abschalten lassen bis die zuhause mehr erfahung haben.
Wiso sollte dennen man nicht unter die arme greifen und wirklich ein Workaround zum Thema Linuxsicherheit für Einsteiger erstellen.
Abgesehen davon wäre das ein super angebot für ne website.

Ich muss zugeben ich bin ein anfänger wenn man das so will. Und wenn andere mit fachwörter rum schmeissen komme ich manschmal auch net weiter, dauert halt bis ich diese geknackt habe.
Aber sicherheit ist das wichtigste und sollte für jeden depp geschrieben werden. Das ist meine meinung.

Wurde denn schon sowas geschrieben ???

tas2580 · 27. Mai 2005

Bis jetzt noch nicht, da das Topic bei mir ehrlich gesagt ein bisschen in Vergessenheit geraten ist.

Aber du hast Recht, es gibt genug Leute die einen Rootserver bestellt haben ohne zu wissen wie man damit umgeht. Einfach den Leuten zu erzählen sie sollen ihren Server wieder abbestellen ist bestimmt nicht der richtige Weg und hilft niemandem wirklich.

Auf der anderen Seite hab ich auch bei dem Wetter das wir zur Zeit haben nicht wirklich Lust mich hier in die Hitze zu setzen und ein Workaround zu schreiben, obwohl es bestimmt einigen Usern und auch dem Forum gut tun würde. Das Problem ist halt das das keine Sache von ein paar Minuten ist, sondern man sich schon hinsetzen und versuchen sollte das wichtigste so einfach wie möglich zusammenzufassen.

Naja mal schauen vielleicht pack ich mir ja einfach mal die Tage mein Laptop und setzt mich in Biergarten dazu. Bis dahin kann ich auf jeden Fall jedem nahe legen sich die Distribution die auf seinem Rootserver installiert ist sich zuhause zu installieren (geht auch wunderbar neben Windows) und selber probieren, Google sollte zum Thema Linux genug ausspucken, zum Thema Gameserver gibt es zwar nicht all zu viel (dehalb hab ich auch das Forum installiert) aber auch da läst sich viel durch versuche auf dem Heimrechner berwerkstätigen.

McSchaf · 28. Mai 2005

schön das mein beitrag was bewegt

Und ich denke mir mal das dies net schnell geht und ich bin der letzte der dies bei so ein wetter fordert.
Würde gerne helfen, aber leider kämpfe ich selber mir Linux beizubringen. Darum bin ich ja auch hier *G*
Aber wie gesagt ich bin nicht einer der leichtfertig mit ein root server umgeht.

Würde mich freuen sowas hier zu finden.

So ein schönnen sommersamstag noch.

McSchaf

tcs · 29. Mai 2005

Hi,

das mit den Workarounds/Anleitungen ist eine Sache die recht schwierig zu bewerkstelligen ist. Der größte Knackpunkt wurde bereits erwähnt - herumschmeißen mit Fachvokabular etc.

Hier gibt es zwei Möglichkeiten (sehr vereinfacht ausgedrückt, bitte um Nachsicht):

man verfaßt eine Schritt für Schritt Anleitung, von der Bestellung eines Servers über Konfiguration bis zur täglichen Routinekontrolle.
diese Anleitung paßt für Angebot A von Hoster A, verwendet wird Distribution BLAH in Version 1.0.6.4.7.8.12, Administrationstool XYZ in Version.... klar wo das hinführt?

Anleitungen in diesem Stil

Code

echo > /etc/apt/sources.list << EOF
deb http://ftp.de.debian.org/debian sarge main contrib non-free
deb http://ftp.de.debian.org/debian-non-US sarge/non-US main contrib non-free
EOF
apt-get update
apt-get dist-upgrade
apt-get install apache2 libapache-mod-php4 mysql-server
wget http://switch.dl.sourceforge.net/sourceforge/phpmyadmin/phpMyAdmin-2.6.2-pl1.tar.bz2
tar xjf phpMyAdmin-2.6.2-pl1.tar.bz2
usw. usf.

bringen auch nicht wirklich was, auch wenn man sie Buchstabengetreu in eine Shell hämmern kann und sich etwas tut.
Wichtig ist meiner Meinung nach daß man auch versteht was man tut, was man tun muß um was zu erreichen und zuallererst was man überhaupt will.
Das bringt mich zur zweiten Möglichkeit:

Unfein formuliert ist das das berühmte RTFM.
Jeder Admin ist dazu verpflichtet seine(n) Server sauber zu halten, das geht von der Konzeptionierung des Projekts _vor_ der Bestellung los.
googlelinks sind oft Gold wert :wink:

Zugegebenermaßen ist Möglichkeit zwei nicht unbedingt das angenehmste der Welt, durch diese Arbeit eignet man sich aber Verständnis von der Serveradministration an, ohne die geht's einfach nicht. Man kann einen Server mieten der mit SuSE und conf*** vorverschandelt ist, das Ding läuft. Und bis zum ersten Crack sieht man nichtmal die Shell. Die Foren im Netz platzen vor Meldungen im Stil

Zitat

Ich hab nen Server mit Linux 9.2 und confixx blablabla, nix geht, ich hab keine Ahnung was ich machen soll.
...

Diese Leute haben versäumt sich vorher zu informieren was da auf sie zukommt. Die Überraschung ist im besten Fall groß daß man tatsächlich eine Menge Arbeit da reinstecken muß. Im schlechtesten Fall ist das Entsetzen umso größer wenn der Provider mit einer zigtausend EUR Rechnung ankommt - und man sich fragt wo denn bitte **TB (1Terabyte = 1024 GB) Traffic herkommen.

Eine Art Grundeinstieg ist sicher wünschenswert, es gibt auch bereits ein paar ganz gute Ansätze im Netz. Dieses Stadium sollte man unbedingt "auskosten", hier ist man noch "im trauten Heim" wo keine Scriptkiddies Server zerstören wollen. Es ist auch nicht einfach damit getan sich Fachwissen aus mehreren Kilo Papier anzueignen, im Alltag kommt's auch auf die Geschwindigkeit an. Beispiel:
Ich sehe im Apachelog einen Query auf ein phpBB, Version Anno Staub, in dem sowas nettes wie "wget%20%blablabla" drin vorkommt. Ich kann jetzt anfangen rumzustochern und google zu befragen was denn das wohl sein könnte. Wenn ich als Admin aber diverse mögliche Angriffe bereits kenne ist meine erste Reaktion ein gepflegtes "shutdown -h now".
Man kann innerhalb weniger Sekunden ein paar duzend Rechner aus dem Netz spülen. Die Server hängen an Gigabit-Backbones, das sind Rohre mit denen nicht mehr zu spaßen ist.
Eigentlich warte ich ja noch auf eine Art Eignungstest bevor man einen rootie bekommt, oder eine Art Waffenschein... :wink:
Nicht praktikabel, aber ein gewisses Verantwortungsbewußtsein sollte doch gepflegt werden, das vermisse ich sehr oft.

So, genug Spam jetzt, das kommt davon wenn ich mich hinreißen lasse...

Cheers

tcs

Lord Cybertracker · 2. August 2005

Hallo,
ich muss Leider zugeben das ich auch einer derjenigen bin die da ins kalte Wasser gesprungen sind.
Wir sind eine Gamercommunity die bisher 3 Gameserver unterhallten haben und das war einfach zu Kostspielig so das wir da den Root genommen haben.
Hab auch schon mind 150€ nur in Bücher investiert und bin die am durchackern.
Aber komme schon gut voran.
Will auf dem Root auch unseren Mitgliedern Webseiten anbieten sowie die Stats und alles selber machen.
Habe auch schon so einige Fortschritte gemacht.
Erst mal ein großes Lob an euch in anderen Foren wird man da gleich dumm angemacht weil man es auf eigene Faust probiert.
Werde hier wohl Stammuser.
THX & Cu

Lord Cybertracker

AlexK2307 · 2. August 2005

Es werden immer wieder Confixx, Webmin oder andere Webinterfaces vorgeschlagen. Ich persönlich neige dazu, einem Webinterface gar nichts machen zu lassen. Zum einen sind die Funktionen manchmal sehr buggy (Webmin neigte früher dazu), zum anderen kann man sich mit den Webinterfaces auch vieles schießen. Manchmal geht es aber nicht anders. In so einem Fall würde ich allerdings das Webinterface "dichter" machen.

Ein Zugriff von außen muß nicht sein, wenn man ssh-Zugriff auf die Kiste hat. Dann erlaube ich lediglich Zugriff von 127.0.0.1 und arbeite über einen ssh-Tunnel. Der ssh-User hat auf dem System minimale Rechte und kann sich nur mit einem Public-RSA-Schlüssel authen.

Ist ein derartiges Vorgehen ratsam? Ich habe das nirgendwo gelesen, aber ich arbeite selbst mit einigen Tunnels und bin begeistert. Ich halte das auch für eine sinnvolle Vorgehensweise. Sollen wir dazu mal ein Tutorial machen? :book:

phantom00 · 10. September 2005

Hört sich sehr Interessant an mit dem Tunneling
Ein tut wär da nicht schlecht

AlexK2307 · 10. September 2005

Kann ich momentan aus Zeitgründen leider nicht machen. Aber zum Thema RSA-Auth und Tunneling sollte es doch einiges an Material geben.

http://www.debianhowto.de/de:h…r_oeffentliche_schluessel
http://www.fh-giessen.de/fachs…ndex.php/HOWTO_SSH-Tunnel (bischen knapp)
http://www.math.tu-clausthal.d…terial/vnc-anleitung.html

Serversicherheit

Jetzt mitmachen!

Teilen