Security Hacks: Linux & BSD

Neste artigo abordaremos alguns "Security Hacks" para sistemas Linux e *BSD, ou seja, implementações simples que irão ajudar você a melhorar a segurança de seus servidores. Vamos conhecer algumas dicas matadoras e softwares que farão a diferença nesta empreitada.

[ Hits: 71.312 ]

Por: Anderson L Tamborim em 08/07/2004 | Blog: http://y2h4ck.wordpress.com


FreeBSD: MAC Paranóia



Quando pararmos para pensar em nossos sistemas Unix, veremos que às vezes ele nos passa muita informação, às vezes Mais do que gostaríamos que ele passasse. Por exemplo, quando um usuário comum ao sistema Linux/FreeBSD se loga na máquina, consegue facilmente visualizar o que os outros usuários estão fazendo, de onde estão conectados e etc, também é muito fácil verificar todos os outros processos que estão em uso na máquina.

Se pensarmos como um Security Officer deve pensar, isso é informação demais nas mãos de um possível atacante. Felizmente, graças a um projeto da TrustedBSD temos um meio de barrar essas informações adicionais aos nossos usuários, o Mandatory Access Control ( MAC ) Framework.

OBS: Por questão de informação, o MAC framework é considerado em fase de testes, portanto é desaconselhável para máquinas e servidores em produção. Instale e faça testes primeiro em outras máquinas para o devido fim.

Preparando o sistema


Para utilizar o Mandatory Access Control Framework teremos que fazer com que nosso kernel tenha suporte ao MAC, para tanto iremos adicionar a ele:

options MAC

Depois recompile a kernel e voilá, terá um kernel pronto para o uso do MAC. Caso você não saiba ou não tenha muita prática em recompilar kernel de sistemas FreeBSD, dê uma lida neste link:
Enquanto seu kernel recompila, utilize o tempo para ler o "man 4 mac", você verá que temos muitos módulos diferentes que oferecem suporte a vários tipos de políticas diferentes para segurança. Neste hack vamos ver apenas os mais simples para pegar gosto pela coisa.

Vendo outros usuários


Um dos problemas de sistemas como o Linux e o FreeBSD é que facilmente se consegue visualizar outros usuários. Por exemplo:
  • utilizando o comando "w" pode-se visualizar outros usuários no sistema
  • com o comando "ps aux" podemos obter todos os processos do sistema
  • com o comando "socketstat -4" ou "netstat -na" poderemos ver todos os sockets abertos e em uso no sistema.

O módulo MAC_ SEEOTHERUIDS daria um jeito nisso para nós. Você pode carregá-lo manualmente para experimentá-lo:

# kldload mac_seeotheruids
Security policy loaded: TrustedBSD MAC/seeotheruids (mac_seeotheruids)

Caso você deseje que o módulo seja carregado toda vez quando o sistema iniciar, basta adicionar a seguinte linha ao arquivo /boot/loader.conf:

mac_seeotheruids_load="YES"

Caso você deseje não usar mais o módulo, basta digitar:

# kldunload mac_seeotheruids
Security policy unloaded: TrustedBSD MAC/seeotheruids (mac_seeotheruids)

Bom, agora que carregamos o módulo, iremos realizar alguns testes para ver se tudo está correndo bem. Logue-se no sistema com um usuário normal e tente listar processos e verificar outros usuários no sistema:

$ w
$ ps aux
$ socketstat -4
$ netstat -na


Você verá que o resultando sempre retornará as informações apenas do próprio usuário, ele então não conseguirá obter nenhuma outra informação adicional. Um pequeno problema que iremos notar logo de cara é que isso se aplica inclusive ao root, portanto teremos que liberar de algum modo o root para visualizar tudo. Para tanto usaremos o seguinte esquema:

# sysctl -a | grep seeotheruids
security.mac.seeotheruids.enabled: 1
security.mac.seeotheruids.primarygroup_enabled: 0
security.mac.seeotheruids.specificgid_enabled: 0
security.mac.seeotheruids.specificgid: 0

sysctl é usado para modificar valores para o kernel sem ter que recompilá-lo ou rebootar o sistema. Os valores dos calls podem ser alterados se você não quiser os valores padrões.

Vamos ver então como liberar o root desse controle:

# sysctl -w security.mac.seeotheruids.specificgid_enabled=1
security.mac.seeotheruids.specificgid_enabled: 0 -> 1

Agora vemos que modificamos o gid específico para 1, então o root ficará fora do controle.
Página anterior     Próxima página

Páginas do artigo
   1. Introdução: Security Hacks
   2. FreeBSD: MAC Paranóia
   3. Linux: Criando um firewall com iptables
   4. OpenBSD: OS fingerprint Fuzzy
   5. Linux & FreeBSD: Chrootkit
   6. Testando a senha de seus usuários
   7. Linux & FreeBSD: Criando regras para seu Snort
   8. Considerações finais
   9. Bibliografia
Outros artigos deste autor

Snort avançado: Projetando um perímetro seguro

Análise Forense - Aspectos de perícia criminal

Seguraça extrema com LIDS

Análise passiva (parte 2)

Carnivore e Altivore: Os predadores do FBI

Leitura recomendada

SSH Blindado - Protegendo o seu sistema de ataques SSH

Framework OSSIM - Open Source Security Information Management

Protegendo seu Linux de ataques de brute force via ssh

webCalendar: a agenda e o PAM

Configuração "automágica" de servidor Linux PDC Samba

  
Comentários
[1] Comentário enviado por PgDn em 08/07/2004 - 03:22h

ótimo artigo.. no melhor estilo apresentação.. o resto vai de quem tem vontade de buscar...
muito bom... até o proximo

[2] Comentário enviado por slex em 08/07/2004 - 09:32h

o link para o chkroot esta errado.


o certo e' http://www.chkrootkit.org/


[3] Comentário enviado por Ragen em 08/07/2004 - 09:34h

Olá Anderson,

Você falou sobre palestras em seu artigo... Notei em seus artigos anteriores que voce tem muita atencao com os assuntos referentes à seguranca.

Entao... Mal lhe pergunte, por acaso você vai ir na H2HC?

[]'s

Ragen

[4] Comentário enviado por pereira.celso em 08/07/2004 - 11:02h

kra muito bom artigo...parabens e valeu!

espero q vc continue com outros artigos sobre segurança!
foi um dos melhores artigos que eu li...

parabens de novo
[]'s
Celso

[5] Comentário enviado por engos em 08/07/2004 - 11:18h

Fiz um artigo praticamente sobre o mesmo assunto, mas diria que seria um pré-requisito para o seu, só estou esperando ser postado... seria legal ter uma crítica sua que com esse artigo ganhou meu respeito.

O interessante é que você colocou bastante coisa importante e explicou algumas, mas outras não.

Tirando as explicações que ficaram faltando, outras estão um pouco fraca, acho que isso foi um erro do artigo, pois deixou algo do tipo: "Aqui estão os comandos, se virem para saber se podem ou não fazer e o que vai/pode acarretar futuramente".

No geral gostei do artigo como um todo, mas achei muito fraca a explicação, pois nem todos vão entender o que você colocou, eu mesmo fiquei com muitas dúvidas no Snort.

Continue com os artigos que esse foi interessante...

[]s

[6] Comentário enviado por y2h4ck em 08/07/2004 - 22:07h

Caro Engos, obrigado pela crítica... alguns termos quero deixar claros.. como disse no início do Artigo, eu não considero ele como um "como fazer" mas sim um " como buscar ". Quero mostrar algumas soluções interessantes para o pessoal, como vc disse algumas eu dei mais atenção devido a não serem tão trivais, como por exemplo fuzzy no OpenBSD ... poucos aqui ja utilizaram. Questão do snort... no próprio site do snort temos muita documentação em PDF mostrando como fazer regras para o mesmo e então decidi não gastar o tempo falando sobre algo ja tão documentendo.

Todo caso agradeço a todos que leramo Texto.

Obrigado

Anderson

[7] Comentário enviado por y2h4ck em 08/07/2004 - 22:21h

ah só pra completar a questão de "Aqui estão os comandos, se virem para saber se podem ou não fazer e o que vai/pode acarretar futuramente", não sei onde o senhor viu isso ... porem apenas disse que PESQUISAS SE FAZEM NECESSÁRIAS... alguem que cre piamente em algo que leh ... realmente não está apto a fazer nada ... devemos ler e pesquisar sobre o assunto que lemos... como disse ... e um "como pesquisar"... portanto, encerro aqui o ensejo :)

regards

[8] Comentário enviado por fr33m4n em 08/07/2004 - 22:46h

O Artigo esta muito bom mesmo....
Na medida.

Parabens y2h4ck.

Abraços

Carlos

[9] Comentário enviado por agk em 08/07/2004 - 22:50h

Ótimo artigo, ajuda a abrir os olhos para alguns pontos importantes para a proteção do sistema, que comumente passam desapercebidos pelos administradores de segurança/redes.

[10] Comentário enviado por ace rush em 08/07/2004 - 23:32h

Muito bom o artigo.

Alem de informar me incentivou a pesquisar mais sobre os assuntos!!

MANDOU BEM y2h4ck!

[11] Comentário enviado por mrfreeze em 09/07/2004 - 00:05h

Otimo artigo.
Achei muito boa a ideia de dar um overview de assuntos variados sobre a seguranca de sistemas *BSD e Linux.
Considero esse metodo muito eficiente para liberar a imaginacao dos leitores. Essas pequenas dicas "liberam a mente dos leitores" deixando eles livres para pesquisarem o assunto que lhes forem uteis.

Continue assim!

[12] Comentário enviado por n1nj4 em 09/07/2004 - 00:51h

Ae, doutor Anderson!

Mandou benzasso no seu artigo!

Parabéns!!!!!! ;-)

[ ]'s n1nj4

[13] Comentário enviado por removido em 30/10/2004 - 20:33h

A minha compilação - mdk 10.0 dá o seguinte erro:

Cracktest.c:6:19: crack.h: No such file or directory
Cracktest.c: In function `main':
Cracktest.c:14: error: parse error before '{' token
Cracktest.c: At top level:
Cracktest.c:18: error: parse error before "else"
Cracktest.c:21: warning: parameter names (without types) in function declaration
Cracktest.c:21: error: conflicting types for `exit'
/usr/include/stdlib.h:612: error: previous declaration of `exit'
Cracktest.c:21: warning: data definition has no type or storage class

Como resolver ???

[14] Comentário enviado por y2h4ck em 25/11/2004 - 10:40h

voce deve instalar o Cracklib em seu linux, ai sim compilará

[15] Comentário enviado por fernandoamador em 25/12/2004 - 02:39h

Ótima. Recomendo.

[16] Comentário enviado por caveira em 17/02/2005 - 03:16h

sua matéria é muito boa para sabermos que alguns pequenos detalhes podem nos ajudar a evitar algumas dores de cabeça.
Parabéns.......

[17] Comentário enviado por marcosmurillo em 08/06/2005 - 17:04h

foi muito bom continua assim.. é Viva linux .


[18] Comentário enviado por d4rkness em 09/06/2005 - 16:53h

Muito bom artigo... Bem didático e auto explicativo.
Parabéns.

[19] Comentário enviado por reimon em 23/03/2006 - 15:16h

Parabéns Pelo artigo, só o firewall linux ficou muito simples, poderia ser mais completo.

[20] Comentário enviado por xALEXANDRE em 16/08/2006 - 18:29h

Muito útil e bom artigo!

[21] Comentário enviado por atheist em 19/08/2006 - 10:05h

Bom.

[22] Comentário enviado por tpramos em 05/09/2006 - 14:51h

Otimo .... principalmente a parte do chkrootkit

[23] Comentário enviado por fabri em 10/10/2006 - 16:15h

Achei este artigo Módulo Security News , que voces acham......
Tô cum mêdo...
fabri

"Softwares de código aberto têm mais brechas de segurança que proprietário, diz pesquisa
Aplicativos proprietários são em média cinco vezes mais seguros se comparados a projetos open source
Da redação
DATA - 09 Out 2006 FONTE - Módulo Security News


O Departamento de Segurança Nacional dos EUA, em parceria com a Universidade de Standford e a desenvolvedora de software Coverity, analisou os 50 maiores projetos de software de código aberto na atualidade e concluiu que eles apresentam mais brechas de segurança do que softwares de código proprietário.

A análise feita pelas três instituições demonstra que o código proprietário é, em média, cinco vezes mais seguro. O estudo utilizou um detector de erros automático e nenhum software de código aberto dos projetos avaliados apresentou um número menor de vulnerabilidades em comparação a aplicativos proprietários. Como exemplo, a pesquisa citou que um código proprietário desenvolvido por uma empresa aeroespacial apresenta um nível de segurança cinco vezes maior que o mais seguro dos códigos open source."






[24] Comentário enviado por slaypher em 26/01/2007 - 19:39h

Olá,

Um bom artigo mesmo, mas gostaria de saber, é possível aplicar FPFuzzy em máquinas GNU/Linux? Eu procurei na Internet e não encontrei nada que me ajudasse a fazer isso. Alguma dica?


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner
Linux banner
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts