LINUX-Sicherheits-Kochbuch

Größe: px

Ab Seite anzeigen:

Download "LINUX-Sicherheits-Kochbuch"

Adolf Knopp
vor 8 Jahren
Abrufe

1 2008 AGI-Information Management Consultants May be used for personal purporses only or by libraries associated to dandelon.com network. LINUX-Sicherheits-Kochbuch Daniel J. Barrett, Richard E. Silverman & Robert G. Byrnes Deutsche Übersetzung von Peter Klicman O'REILLY Beijing Cambridge Farnham Köln Paris Sebastopol Taipei Tokyo

LINUX-Sicherheits-Kochbuch Daniel J. Barrett, Richard E. Silverman & Robert G.

2 Vorwort XI System-Schnappschüsse mittripwire Tripwire einrichten Ausgabe der Policy und der Konfiguration Policy und Konfiguration ändern Grundlegende Integritätsprüfung Leseorientierte Integritätsprüfung Entfernte Integritätsprüfungen Ultra-paranoide Integritätsprüfung Teure, ultra-paranoide Integritätsprüfung Automatisierte Integritätsprüfungen Ausgabe des letzten Tripwire-Berichts Aktualisierung der Datenbank Dateien zur Datenbank hinzufügen Dateien aus der Datenbank ausschließen Windows VFAT-Dateisysteme prüfen Prüfen RPM-installierter Dateien Integritätsprüfung mit rsync Manuelle Integritätsprüfung 22 Firewalls mit iptables und ipchains Quelladress-Verifikation aktivieren Sperren von ausspionierten Adressen Den gesamten Netzwerkverkehr sperren Eingehenden Netzwerkverkehr sperren Ausgehenden Netzwerkverkehr blockieren Eingehende Service-Anfragen blockieren Zugriffe von einem entfernten Host sperren 34

9 Automatisierte Integritätsprüfungen 15 1.10 Ausgabe des letzten Tripwire-Berichts 16 1.11 Aktualisierung der Datenbank 17 1.12 Dateien zur Datenbank hinzufügen 17 1.

3 2.8 Zugriff auf einen entfernten Port blockieren Ausgehenden Zugriff auf alle Webserver eines Netzwerks blockieren Entfernten Zugriff blockieren, aber lokalen Zugriff erlauben Zugriffskontrolle über die MAC-Adresse Nur SSH-Zugriff erlauben Ausgehende Telnet-Verbindungen unterbinden Einen bestimmten Server schützen Pings unterdrücken Ausgabe der Firewall-Regeln Firewall-Regeln löschen Firewall-Regeln einfügen Eine Firewall-Konfiguration sichern Eine Firewall-Konfiguration laden Eine Firewall-Konfiguration testen Aufbau komplexer Regel-Bäume Das Logging vereinfachen 51 Zugriffskontrolle im Netz Ausgabe Ihrer Netzwerkschnittstellen Die Netzwerkschnittstelle aktivieren und deaktivieren Aktivieren/Deaktivieren eines Dienstes (xinetd) Aktivieren/Deaktivieren eines Dienstes (inetd) Neue Dienste einbinden (xinetd) Neue Dienste einbinden (inetd) Den Zugriff auf bestimmte entfernte Benutzer beschränken Den Zugriff auf bestimmte entfernte Hosts beschränken (xinetd) Den Zugriff auf bestimmte entfernte Hosts beschränken (xinetd mit libwrap) Den Zugriff auf bestimmte entfernte Hosts beschränken (xinetd mit tcpd) Den Zugriff auf bestimmte entfernte Hosts beschränken (inetd) Tageszeit-bezogene Zugriffsbeschränkungen Zugriffe auf einen SSH-Server auf bestimmte Hosts beschränken Zugriffe auf einen SSH-Server auf bestimmte Accounts beschränken Dienste auf bestimmte Verzeichnisse des Dateisystems beschränken Denial-of-Service-Angriffe verhindern Umleitung an einen anderen Socket Protokollieren von Zugriffen auf Ihre Dienste Root-Logins über Terminals unterbinden 77

16 Ausgabe der Firewall-Regeln 43 2.17 Firewall-Regeln löschen 44 2.18 Firewall-Regeln einfügen 45 2.19 Eine Firewall-Konfiguration sichern 46 2.20 Eine Firewall-Konfiguration laden 47 2.

4 Authentifizierungstechniken und Infrastrukturen Entwicklung PAM-fähiger Anwendungen Starke Passwörter erzwingen mit PAM Zugriffskontrolllisten mit PAM erzeugen Validierung eines SSL-Zertifikats Dekodierung eines SSL-Zertifikats Installation eines neuen SSL-Zertifikats Generierung eines SSL-CSRs (Certificate Signing Requests) Ein selbst signiertes SSL-Zertifikat erzeugen Eine Certifying Authority einrichten SSL-Zertifikate von DER in PEM umwandeln Einführung in Kerberos Benutzer zu einem Kerberos-Bereich hinzufügen Hosts zu einem Kerberos-Bereich hinzufügen Kerberos mit SSH nutzen Kerberos mit Telnet verwenden IMAP mit Kerberos absichern Kerberos mit PAM zur systemweiten Authentifizierung nutzen 109 Autorisierung Eine Root-Login-Shell ausführen X-Programme als root ausführen Befehle mittels sudo unter einem anderen Benutzer ausführen Die Passwort-Authentifizerung bei sudo umgehen Passwort-Authentifizierung in sudo erzwingen Host-basierte sudo-autorisierung Rechte über sudo an Benutzergruppen vergeben Ausführung beliebiger Programme innerhalb eines Verzeichnisses über sudo Kommandoargumente mit sudo unterbinden Gemeinsame Nutzung von Dateien über Gruppen Eine gemeinsam genutzte Datei über sudo auf Leserechte beschränken Autorisierung von Passwort-Änderungen mittels sudo Daemons über sudo starten und anhalten Die root-fähigkeiten mit sudo einschränken Prozesse über sudo beenden sudo-aufrufe ausgeben sudo-aufrufe entfernt protokollieren Root-Rechte über SSH teilen Root-Befehle über SSH ausführen Root-Rechte mit Kerberos-su teilen 133 I VII

8 Ein selbst signiertes SSL-Zertifikat erzeugen 91 4.9 Eine Certifying Authority einrichten 92 4.10 SSL-Zertifikate von DER in PEM umwandeln 95 4.11 Einführung in Kerberos 96 4.

5 Ausgehende Netzwerkverbindungen schützen Auf einem entfernten Rechner einloggen Entfernte Programme ausführen Kopieren entfernter Dateien Authentifizierung mittels Public Key (OpenSSH) Authentifizierung mittels Public Key (OpenSSH-Client, SSH2-Server, OpenSSH-Schlüssel) Authentifizierung mittels Public Key (OpenSSH-Client, SSH2-Server, SSH2-Schlüssel) Authentifizierung mittels Public Key (SSH2-Client, OpenSSH-Server) Authentifizierung über vertrauenswürdigen Host (Trusted Host) Authentifizierung ohne Passwort (interaktiv) Authentifizierung in cron-jobs Einen SSH-Agenten beim Ausloggen beenden Host-orientierte Anpassung von SSH Standardvorgaben des SSH-Clients ändern Andere TCP-Sessions durch SSH tunneln Passwörter nachhalten 160 Dateien schützen Datei-Zugriffsrechte verwenden Schutz eines gemeinsam genutzten Verzeichnisses Verzeichnis-Listing unterdrücken Dateien mit einem Passwort verschlüsseln Entschlüsselung von Dateien Public Key-Verschlüsselung bei GnuPG einrichten Ausgabe Ihres Keyrings Einen Standard-Schlüssel festlegen Gemeinsame Nutzung öffentlicher Schlüssel Schlüssel in Ihren Keyring aufnehmen Dateien für andere verschlüsseln Signieren einer Textdatei Signieren und Verschlüsseln von Dateien Erzeugen einer separaten Signaturdatei Prüfen einer Signatur Ausgabe von Public Keys Einen privaten Schlüssel sichern Verzeichnisse verschlüsseln Ihren Schlüssel in einen Keyserver aufnehmen Neue Signaturen auf einen Keyserver hochladen Schlüssel von einem Keyserver abrufen 184 VIII

6 Authentifizierung mittels Public Key (OpenSSH-Client, SSH2-Server, SSH2-Schlüssel) 146 6.7 Authentifizierung mittels Public Key (SSH2-Client, OpenSSH-Server).. 148 6.

6 7.22 Einen Schlüssel widerrufen Verschlüsselte Dateien mit Emacs verwalten Verschlüsselte Dateien mit vim verwalten Backups verschlüsseln PGP-Schlüssel mit GnuPG verwenden 191 schützen Verschlüsselte Mail mit Emacs Verschlüsselte Mail mit vim Verschlüsselte Mail mit Pine Verschlüsselte Mail mit Mozilla Verschlüsselte Mail mit Evolution Verschlüsselte Mail mit mutt Verschlüsselte Mail mit elm Verschlüsselte Mail mit MH Einen POP/IMAP-Mailserver mit SSL betreiben Eine SSL Mail-Verbindung testen POP/IMAP mit SSL und Pine sichern POP/IMAP mit SSL und mutt sichern POP/IMAP mit SSL und Evolution schützen POP/IMAP mit stunnel und SSL sichern POP/IMAP mit SSH sichern POP/IMAP mit SSH und Pine sichern Mail mit einem»unsichtbaren«server empfangen Einen SMTP-Server von beliebigen Clients nutzen 218 Testen und überwachen Testen von Login-Passwörtern (John the Ripper) Testen von Login-Passwörtern (CrackLib) Accounts ohne Passwort ermitteln Superuser-Accounts aufspüren Accounts auf verdächtige Nutzung untersuchen Accounts bei mehreren Systemen auf verdächtige Nutzung untersuchen Test Ihres Suchpfads Dateisysteme effizient durchsuchen setuid- oder setgid-programme finden Gerätedateien schützen Schreibbare Dateien aufspüren Nach Rootkits suchen Nach offenen Ports suchen 243

4 Verschlüsselte Mail mit Mozilla 198 8.5 Verschlüsselte Mail mit Evolution 199 8.6 Verschlüsselte Mail mit mutt 199 8.7 Verschlüsselte Mail mit elm 200 8.8 Verschlüsselte Mail mit MH 201 8.

7 9.14 Lokale Netzwerk-Aktivitäten untersuchen Tracing von Prozessen Netzwerk-Traffic beobachten Netzwerk-Traffic beobachten (GUI) Netzwerk-Traffic nach Strings durchsuchen Unsichere Netzwerk-Protokolle erkennen Einstieg in Snort Packet-Sniffing mit Snort Mit Snort Einbrüche erkennen Snort-Alarm-Meldungen verstehen Logging mit Snort Snort-Logs in separate Dateien aufteilen Den Regelsatz von Snort aktualisieren und optimieren System-Meldungen in Log-Dateien umleiten (syslog) Eine syslog-konfiguration testen Logging auf entfernten Rechnern Log-Dateien rotieren Meldungen an den System-Logger senden Log-Einträge über Shell-Skripten schreiben Log-Einträge mit Perl schreiben Log-Einträge mit C schreiben Log-Dateien kombinieren Logs mit logwatch zusammenfassen Einen logwatch-filter definieren Überwachung aller ausgeführten Befehle Ausgabe aller ausgeführten Befehle Parsing des Prozess-Accounting-Logs Sich von einem Hack»erholen« Einen»Incident Report«ausfüllen 309 Index 313

23 Snort-Alarm-Meldungen verstehen 278 9.24 Logging mit Snort 280 9.25 Snort-Logs in separate Dateien aufteilen 282 9.26 Den Regelsatz von Snort aktualisieren und optimieren 283 9.

Ähnliche Dokumente

t 1.1 Tripwireeinrich~en.., :, 4

t 1.1 Tripwireeinrich~en.., :, 4 ~~~~~ -- t5i:~. :'f'~ 1" nhalt j gc " ";::t~~~~"~~~,;~i,,,,j:(i,r",:'i); f "c;:,,;;i:~ ".i,.;.u~c~~1rj:(~;);j.tf ".~~g.}~~~'.~ :. t"u~~.6i~"'" ""."",,",C:] fß;,;" ; ",..,..., ""'"..-, [ ~::, i Vorwort..........................................................