Dotaz: Zabezpeceni webserveru pomoci iptables

[Mike.M]

Dobry den, mam taky problemmam webserver s Linuxem v osekane verzi bez X je to stara masinka ale na toto vyhovuje. ale problem je v tom ze ja kazdy tyden na nem najdu nejake konfiguraky, vetsinou nejake smeti, ktere dela skodu. Muj firewall je zde

$IPTABLES -F -t mangle
$IPTABLES -F -t nat
$IPTABLES -F
$IPTABLES -Z
$IPTABLES -X

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P FORWARD DROP

# (ochrana pred SYN floods)

$IPTABLES -N syn-flood
$IPTABLES -A syn-flood -m limit --limit 10/s --limit-burst 10 -j RETURN
$IPTABLES -A syn-flood -j DROP

$IPTABLES -A INPUT -i eth0  -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A INPUT -i eth0 -p TCP --dport 21  -j ACCEPT     #  FTP server
$IPTABLES -A INPUT -i eth0  -p TCP --dport 80  -j ACCEPT     #  WWW server

ale stejne se mi tam normalne dostane. Ucet tam je jen root a je chranen heslem. Nevite jak zistit jestli tam leze prez ssh nebo nejak vyuziva 80 port.

Odpovědi

[Míra]

Nešloby použít návod na root?

[Sinuhet]

Tak si defaultne dejte na OUTPUT taky DROP a poustejte je ESTABLISHED. Zazaplatujte si kernel, apache, ftpko. Projdete si logy. A pak zkuste byt kreativni pri cekani na vetrelce. Treba kdyz se nekdo prihlasi, aby vam to poslalo maila se zajimavejma informacema (co je kam zrovna pripojeny, atd). Predstavivosti se meze nekladou.

[Mike.M]

Tak zrovna vcera sem se toho chytl. Ten cizi mi tam leze prez SSH, ale nechapu jak se muze lognout jako root, kdyz je chranen heslem. Ale z bash-history sem zistil, ze mi prepisuje nakratko firewall a dela si tam co chce. Sice stranky nemeni ale pridava slozky a jine veci. Tak opatreni nasledujici, pomoci

last

sem zistil lognute uziv. jeho IP ale pokazde je jina tak ted mam k SSH jeste

-m mac --mac-source 00:00....

snad uz se tam nedostane. Uvidime.

[Michal Čihař]

No možná by bylo lepší zvolit silnější heslo .

[Filip Jirsák]

Nepřidal si třeba svůj klíček do /root/.ssh/authorized_keys?

[imro]

NO tak to s tou mac adresou ti je naprd a nepomoze ti to.

[Sinuhet]

Problem je, za jakmile se vam jednou nekdo naboural do pocitace, nemuzete nicemu v nem verit. Jak se muze prihlasit jako root? Treba tak, ze vam naistaloval rootkita, jez schovava proces, kterej napriklad kazdy den v 04:23 rano otevre na portu 68423 root shell pro kazdeho, kdo se v tuhle minutu na tento port pripoji. Nebo tentyz shell otevre, pokud se na port 80 (ten mate otevrenej kvuli apachi) poslou specialni data, ktera zachyti ten rootkit uz v kernelu. Atd. Predstavivosti se opet meze nekladou.

Suma sumarum, pokud si s nim nechcete hrat, nalakat ho do pasti a zjistit, kdo to je, (nebo na to nemate dostatecne znalosti) tak se rovnou presunte k dalsimu kroku - celej system smazte a znovu nainstalujte.

P.S. S MAC adresou si opravdu nepomuzete. Leda by se k vam onen vytecnik dobyval z vedlejsiho kompu.

[svaca]

JJ, mel jsem kdysi podobny problem a jen proto, ze jsem mel na roota opravdu trapny heslo a tak sel reinstal.

BTW neni problem tam prihodit pristup nato ssh jen z urcitych IP adres.

[zelial]

jojo, mac adresa by k necemu byla jen v priade, ze je utocnik na stejnem segmentu (a i tak by si ji mohl lehce zmenit).

dobra zprava je, ze pokud za sebou nechava takovy svincik, tak se asi moc nesnazi maskovat (nebo to neumi), takze tam mozna (jeste) nemate moc rootkitu ;)

zacnete s tim zabezpecovanim ssh, jak radi ostatni. pokud to nepomuze, tak si zkotrolujte jestli sshd porad jeste pracuje pro vas - udelejte md5sum na tom stroji(a jeste jednou z jineho pocitace) a md5sum binarky z cisteho balicku stazeneho z netu.

mimochodem jake adresare a "jine veci" tam pridava? snazi se neco instalovat?

[zelial]

a jeste drobnost k tomu firewallu: nikde tam nemate skok do toho syn-flood retezce, takze je tam zbytecne...