t 1.1 Tripwireeinrich~en.., :, 4

Transkript

1 ~~~~~ -- t5i:~. :'f'~ 1" nhalt j gc " ";::t~~~~"~~~,;~i,,,,j:(i,r",:'i); f "c;:,,;;i:~ ".i,.;.u~c~~1rj:(~;);j.tf ".~~g.}~~~'.~ :. t"u~~.6i~"'" ""."",,",C:] fß;,;" ; ",..,..., ""'"..-, [ ~::, i Vorwort X i 1 System-SchnappschüssemitTripwire 1 t 1.1 Tripwireeinrich~en.., :, 4 f 1.2 Ausgabe der Pohcy und der Konfguraton j 1.3 PolicyundKonfigurationändern Grundlegendentegritätsprüfung Leseorientiertelntegritätsprüfung Entferntentegritätsprüfungen Ultra-paranoide nt~gritätsp~~~ng :.' Teure, ultra-paranode ntegntatsprufung Automatisierte ntegritätsprüfungen Ausgabe des letzten Tripwire-Berichts AktualisierungderDatenbank Dateien zur Datenbank hinzufügen Dateien aus der Datenbank ausschließen WindowsVFAT-Dateisystemeprüfen Prlifen RPM-installierter Dateien ntegritätsprüfungmitrsync Manuelle ntegritätsprüfung 22 2 Firewallsmitiptablesundipchains Quelladress-Verifikation aktivieren Sperren von ausspionierten Adressen Den gesamten Netzwerkverkehr sperren Eingehenden Netzwerkverkehr sperren : 2.5 Ausgehenden Netzwerkverkehr blockieren f 2.6 Eingehende Service-Anfragen blockieren : 2.7 Zugriffe von einem entfernten Host sperren V

2 2.8 Zugriff auf einen entfernten Port blockieren Ausgehenden Zugriff auf alle Webserver eines Netzwerks blockieren Entfernten Zugriff blockieren, aber lokalen Zugriff erlauben Zugriffskontrolle über die MAC-Adresse NurSSH-Zugrifferlauben Ausgehende Telnet-Verbindungen unterbinden EinenbestimmtenServerschützen 42 ~.15 Pings unterdrücken AusgabederFirewall-Regeln 43, 2.17 Firewall-Regelnlöschen Firewall-Regelneinfügen Eine Firewall-Konfiguration sichern Eine Firewall-Konfiguration laden Eine Firewall-Konfiguration testen AufbaukomplexerRegel-Bäume Das Loggingvereinfachen 51 3 ZugriffskontrolleimNetz : 53 "' ~~. 3.1 Ausgabe hrer Netzwerkschnittstellen ;:, 3.2 Die Netzwerkschnittstelle aktivieren und deaktivieren AktivierenlDeaktivieren eines Dienstes (xinetd) AktivierenlDeaktivieren eines Dienstes (inetd) Neue Dienste einbinden (xinetd) NeueDiensteeinbinden(inetd) Den Zugriff auf bestimmte entfernte Benutzer beschränken Den Zugriff auf bestimmte entfernte Hosts beschränken (xinetd) Den Zugriff auf bestimmte entfernte Hosts beschränken (xinetd mit libwrap) Den Zugriff auf bestimmte entfernte Hosts beschränken (xinet~ mit tcpd) Den Zugriff auf bestimmte entfernte Hosts beschränken (inetd) Tageszeit-bezogene Zugriffsbeschränkungen Zugriffe auf einen SSH-Server auf bestimmte Hosts beschränken Zugriffe auf einen SSH-Server auf bestimmte Accounts beschränken Dienste auf bestimmte Verzeichnisse des Dateisystems beschränken Denial-of-Service-Angriffe verhindern Umleitung an einen anderen Socket Protokollieren von Zugriffen auf hre Dienste Root-Logins über Terminals unterbinden V nhalt

3 ~ 4 Authentifizierungstechniken und nfrastrukturen EntwicklungPAM-fähigerAnwendungen Starke Passwörter erzwingen mit PAM Zugriffskontrolllisten mit PAM erzeugen ValidierungeinesSSL-Zertifikats 86 " 4.5 Dekodierung eines SSL-Zertifikats 4.6 nstallation eines neuen SSL-Zertifikats Generierung eines SSL-CSRs (Certificate Signing Requests) Ein selbst signiertes SSL-Zertifikat erzeugen Eine Certifying Authority einrichten i 4.10 SSL-Zertifikate von DER in PEM umwandeln Einführung Kerberos Benutzer zu einem Kerberos-Bereich hinzufügen Hosts zu einem Kerberos-Bereich hinzufügen KerberosmitSSHnutzen KerberosmitTelnetverwenden MAP mit Kerberos absichern Kerberos mit P AM zur systemweiten Authentifizierung nutzen Autorisierung EineRoot-Login-Shellausführen X-Programmealsrootausführen Befehle mittels sudo unter einem anderen Benutzer ausführen Die Passwort-Authentifizerung bei sudo umgehen Passwort-Authentifizierung in sudo erzwingen Host-basierte sudo-autorisierung Rechte über sudo an Benutzergruppen vergeben Ausführung beliebiger Programme innerhalb eines Verzeichnissesübersudo Kbmmandoargumente mit sudo unterbinden GemeinsameNutzungvonDateienüberGruppen Eine gemeinsam genutzte Datei über sudo auf Leserechte beschränken Autorisierung von Passwort-Änderungen mittels sudo Daemons über sudo starten und anhalten Die foot-fähigkeiten mit sudo einschränken Prozesseübersudobeenden sudo-aufrufeausgeben sudo-aufrufe entfernt protokollieren Root-RechteüberSSHteilen Root-BefehleüberSSHausführen Root-Rechte mit Kerberos-su teilen , nhalt V

4 6 Ausgehende Netzwerkverbindungen schützen Auf einem entfernten Rechner einloggen Entfernte Programme ausführen KopierenentfernterDateien AuthentifizierungmittelsPublicKey(OpenSSH) Authentifizierung mittels Public Key (OpenSSH-Client,. SSH2-Server, OpenSSH-Schlüssel) Authentifizierung mittels Public Key (OpenSSH-Client, SSH2-Server,SSH2-Schlüssel) Authentifizierung mittels Public Key (SSH2-Client, OpenSSH-Server) Authentifizierung über vertrauenswürdigen Host (Trusted Host) Authentifizierung ohne Passwort (interaktiv) Authentifizierungincron-]obs Einen SSH-Agenten beim Ausloggen beenden Host-orientierte Anpassung von SSH Standardvorgaben des SSH-Clients ändern Andere TCP-Sessions durch SSH tunneln Passwörternachhalten Dateienschützen Datei-Zugriffsrechteverwenden Schutz eines gemeinsam genutzten Verzeichnisses Verzeichnis-Listing unterdrücken Dateien mit einem Passwort verschlüsseln EntschlüsselungvonDateien Public Key-Verschlüsselung bei GnuPG einrichten Ausgabe hres Keyrings Einen Standard-Schlüssel festlegen Gemeinsame Nutzung öffentlicher Schlüssel Schlüssel in hren Keyring aufnehmen Dateienfürandereverschlüsseln SigniereneinerTextdatei Signieren und Verschlüsseln von Dateien Erzeugen einer separaten Signaturdatei Prüfen einer Signatur AusgabevonPublicKeys Einen privaten Schlüssel sichern Verzeichnisse verschlüsseln hren Schlüssel in einen Keyserver aufnehmen Neue Signaturen auf einen Keyserver hochladen Schlüssel von einem Keyserver abrufen V nhalt

5 7.22 Einen Schlüssel widerrufen Verschlüsselte Dateien mit Emacs verwalten Verschlüsselte Dateien mit vim verwalten Backupsverschlüsseln PGP-Schlüssel mit GnuPG verwenden schützen Verschlüsselt mitEmacs Verschlüsselt mitvim Verschlüsselte MailmitPine Verschlüsselt mitMozilla Verschlüsselte Mail mit Evolution Verschlüsselt mitmutt Verschlüsselt mitelm Verschlüsselt mitMH Einen POP/lMAP-Mailserver mit SSL betreiben EineSSLMail-Verbindungtesten POP/lMAPmitSSLundPinesichern POP/MAPmitSSLundmuttsichern POP/MAP mit SSL und Evolution schützen POP/lMAP mit stunnel und SSL sichern POP/lMAPmitSSHsichern POP/lMAPmitSSHundPinesichern , Mail mit einem»unsichtbaren«server empfangen ' Einen SMTP-Servervon beliebigen Clients nutzen Testen und überwachen Testen von Login-Passwörtern Qohn the Ripper) Testen von Login-Passwörtern (CrackLib) AcCounts ohne Passwort ermitteln Superuser-Accountsaufspüren AccountsaufverdächtigeNutzunguntersuchen Accounts bei mehreren Systemen auf verdächtige Nutzung untersuchen Test hres Suchpfads Dateisysteme effizient durchsuchen setuid- oder setgid-programme finden SchreibbareDateienaufspüren NachRootkitssuchen Nach offenen Ports suchen 243,- nhalt X

6 9.14 Lokale Netzwerk-Aktivitäten untersuchen TracingvonProzessen Netzwerk-Trafficbeobachten Netzwerk-Traffic beobachten (GU) Netzwerk- Traffic nach Strings durchsuchen Unsichere Netzwerk-Protokolle erkennen Einstieg in Snort Packet-SniffingmitSnort MitSnortEinbrücheerkennen Snort-Alarm-Meldungen verstehen Logging mit Snort Snort-Logs in separate Dateien aufteilen Den Regelsatz von Snort aktualisieren und optimieren System-Meldungen in Log-Dateien umleiten (syslog) Eine syslog-konfiguration testen LoggingaufentferntenRechnern Log-Dateien rotieren ~; Meldungen an den System-Logger senden Log-Einträge über Shell-Skripten schreiben Log-Einträge mit Perl schreiben Log-EinträgemitCschreiben Log-Dateienkombinieren Logs mit logwatch zusammenfassen Einen logwatch-filter definieren Überwachung aller ausgeführten Befehle Ausgabe aller ausgeführten Befehle Parsing des Prozess-Accounting-Logs Sich von einem Hack»erholen« Einen»lncident Report«ausfüllen ndex , x nhalt