Bezpečnost v linuxu (diskuse)

[Zdeněk Burda]

Nemám na desktopu žáný firewall ani žádné extra zabezpečení, ale jsem za jedním kvalitním FW schovaný a jeho adminovi plně důvěřuju (tímto zdravím Matouše).

[VícNežNic]

A nemusíš třeba kreslit do vzduchu nějaké znaky nebo zazpívat určitou melodii, když chceš aby nějaký paket prošel? Hm, ale to možná ještě v iptables není

[Zdeněk Burda]

Správce fw je trochu víc paranoidní, ale zaříkávání zatím provozovat nemusím

[VícNežNic]

No jen počkej až najde správný patch a volbu nastavení pro iptables

[©]

ROFL

[Jan Jílek]

Používám zaříkadlo a firewall. Předpokládám, že oboje stačí.

[Pmx]

Mám jen "hardwarový" firewall. A kdybych neměl a byl k Síti připojen přímo, tak bych použil něco jednoduchého v iptables. Antivir nemám (proboha na co? na .exe?).

Co by v Linuxu vlastně mohlo být vůbec nebezpečného, něco ve stylu windowsového RPC ve své době? Standardní instalace inteligentní Linuxové distribuce bude odpovídat snad maximálně tak na ICMP...

[Michal Kubeček]

Ono unixové RPC taky nebývalo vždy zrovna synonymem absolutní bezpečnosti…

[Michal Kubeček]

Dodnes když vidím spuštěný portmap, běhá mi mráz po zádech…

[#Tom]

V mnohých distribucích se běžně po instalaci spouštějí všelijaké hovadiny. Jako by nestačilo, že stejnou chybu dělají v MS...

[Michal Kubeček]

Už to naštěstí není, co to bývalo (tak ve druhé polovině devadesátých let). Dnesky bývá mnohdy defaultně spuštěný jen sshd.

[LinX2]

me se defaultne pousti sshd. Muze to byt problem ? Jak se to vypina? Mam gentoo

[#Tom]

Pokud víte, co je SSH a míníte jej používat, tj. přihlašovat se k tomu počítači po síti, je dobré jej mít nainstalován včetně serveru (sshd). Pokud nevíte, co to je, nebo jej nepotřebujete, tak je rozumné jej vypnout nebo rovnou odinstalovat. Vypnout to jde třeba tak, že se smažou symbolické odkazy v /etc/rc.d/rc<různá čísla>.d/{S nebo K}{číslice}sshd. Ta cesta může vypadat všelijak, Gentoo neznám.

P.S.: Pokud po instalaci takové distribuce, jako je Gentoo, neumíte nastavit spouštění služeb, měl byste použít nějakou jinou. (Třeba Slackware, Fedoru, Debian, ...) A nebo lépe číst návod ke Gentoo - tam to musí být napsáno.

[Käyttäjä 11133]

Pokud se ti v Gentoo spousti sshd tak sis to musel sam nastavit. Vypnes to tak, ze napises jako root rc-update del sshd default

[LinX2]

diky, rovnou jsem to odinstaloval.

[Petr_N]

No ale nekdy se to muze hodit

[Zdeněk Burda]

Tak to si vem zimní bundu

vodik:~# rpcinfo -p
   program vers proto   port
    100000    2   tcp    111  portmapper
    100000    2   udp    111  portmapper
    100003    2   udp   2049  nfs
    100003    3   udp   2049  nfs
    100003    4   udp   2049  nfs
    100003    2   tcp   2049  nfs
    100003    3   tcp   2049  nfs
    100003    4   tcp   2049  nfs
    100021    1   udp  32768  nlockmgr
    100021    3   udp  32768  nlockmgr
    100021    4   udp  32768  nlockmgr
    100021    1   tcp  32769  nlockmgr
    100021    3   tcp  32769  nlockmgr
    100021    4   tcp  32769  nlockmgr
    100005    1   udp    678  mountd
    100005    1   tcp    681  mountd
    100005    2   udp    678  mountd
    100005    2   tcp    681  mountd
    100005    3   udp    678  mountd
    100005    3   tcp    681  mountd
    391002    2   tcp    915  sgi_fam
    100024    1   udp   1000  status
    100024    1   tcp   1000  status

[Michal Kubeček]

Ale jo, na počítači, který používám na školení, to vypadá podobně. Ale kdybych věděl o něčem jednoduchém, co by dokázalo nahradit NFS a nepotřebovalo to RPC, asi bych neváhal…

[Zdeněk Burda]

NFS používám hlavně kvůli Solarisu. V Linuxu kolikrát raději mountuju vzdálené svazky přes sambu.

[Michal Kubeček]

Mně na Sambě vadí jednak broadcasty jmenné služby NetBIOSu, jednak příliš vysoká režie. Se Sambou jsem se na 100 Mb/s síti ještě nedostal přes nějakých 9.6 MB/s, zatímco NFS zvládne asi 11.2 MB/s, což je prakticky totéž jako HTTP, FTP a další podobné protokoly, tj. praktické maximum.

Uvažoval jsem i o věcech jako Coda nebo AFS, ale připadalo mi to pro mé účely jako kanón na vrabce.

[LinX2]

a co říkáte na článek na root.cz ? >>> http://www.root.cz/clanky/bude-vas-linux-potrebovat-antivirus/

[#Tom]

Antivirus je na nic (a hlavně ClamAV). Když jsem ho před pár dny opět zkoušel, tak jsem jej vypustil na starý FAT32 oddíl plný dokumentů a starých archivů. Našel tam jeden zavirovaný DOSový .EXE a pár makrovirů ve wordových dokumentech, které jsem snad nikdy neotevřel. A těch 16 GB to kontrolovalo snad 12 hodin, možná ještě víc.

Nicméně na serveru by se nějaký jiný antivirus mohl hodit, pokud je to poštovní či souborový server pro okenní stanice.

[Ctirad Feřtr]

Na poštovním serveru je ClamAV k nezaplacení. Za ten rok co jsem ho nasadil se ještě nestalo, že by něco prošlo až ke klientům (kde se to cedí ještě přes Nod, jehož karanténa nicméně zeje prázdnotou).

[outrage]

Jak kde, iptables + /etc/hosts*

BTW: Je nutne nastavovat FW v pripade, ze mam v /etc/hosts.deny ALL:ALL nebo to delam zcela zbytecne? I kdyz paranoidity neni nikdy nazbyt, ze...

[Pmx]

/etc/hosts.* není firewall, ne všechny programy se tím musí řídit (AFAIK).

[David Watzke]

Žádnej firewall, nemám veřejnou IP. Ostatně i kdybych měl...

[hufhendr]

Doma jsem ve 2. bezpečnostní zóně. První je HW firewall, který by měl zajišťovat nějakou bezpečnost, nemám jej ale plně ve své správě. Za ním běží moje OpenBSD jako NAT + firewall, http jedu navíc přes Squid. Linux stanice jako takové už nejsou chráněné, samozřejmě na nich neběží zbytečné služby, na Windows je antivir Avast + antispam, na Net je Mozilla.

V práci mám Linux chráněný jen přes /etc/hosts.deny a neprovozuji prakticky žádné služby.

Samozřejmě cítím prostor pro zlepšení, ale relativně se cítím v bezpečí.