Обновил статью 4.10.2011
В этой статье расскажу, о правилах файерволов, которые позволяют бороться с паразитируещим траффиком (фрагментированные пакеты, неправильные бродкасты, …). Приведу примеры для таких файерволов: ipfw, pf, iptables. В некоторых из них будут специфические правила, которые отсутствуют в других.
Расскажу о замечательной утилите, которая поможет повысить безопасность вашей ОС. Суть её заключается в следующем: она сканнирует все файлы (или те, которые укажите в конфиге) и составляет базу, вычисляя контрольную сумму каждого файла. Потом можно будет периодически запускать программу и сравнивать контрольные суммы: если изменились – значит стоит задуматься о присутствии нежданного гостя. Сама программа состоит из трёх утилит: tripwire(собственно управление базой файлов: создание, апдейт, чек), twadmin (для управления конфигами программы), twprint (для создания plain-text отчётов, ибо отчёты она пишет в бинарном виде). Хочу так же добавить, что программа оснащена достаточной документацией, так что даже самому-самому чайнику можно будет разобраться.
В данной статье пойдёт речь о том, как запретить определённым сертификатам подключаться. Такая задача может возникнуть, если например, работиник работал на дому через VPN, а потом уволился. Естественно, что ключи у него остались и он может в любой момент подключится к вашей сети и завладеть вашими данными. Это не хорошо с точки зрения безопасности.
Ежедневно наблюдаю такую ситуацию
Feb 23 02:59:13 mail sshd[47740]: Invalid user abuse from 221.6.179.212
Feb 23 02:59:17 mail sshd[47743]: Invalid user adam from 221.6.179.212
Feb 23 02:59:21 mail sshd[47745]: Invalid user admin from 221.6.179.212
Feb 23 02:59:26 mail sshd[47747]: Invalid user admin from 221.6.179.212
Feb 23 02:59:30 mail sshd[47749]: Invalid user administrator from 221.6.179.212
Feb 23 02:59:34 mail sshd[47751]: Invalid user admin from 221.6.179.212
В сети есть сервак с поднятой на нём samb’ой и собстенно есть папка public, где все хранят свои файлы. Права на шару 777, то есть всем всё можно. Поскольку место под шару ограничено, то бывает такое, что места не хватает, и какой-то редиска удаляет файлы другого такого же редиски, что бы залить очередную Санту-Барбару. Потом начинаются жалобы, кто удалил и подобное.
В качестве увеличения безопасности захотелось поставить шифрование паролей вместо обычногоMD5 -> Blowfish. Для этого нужно сделать несколько шагов.