{"id":84742,"date":"2022-10-07T14:44:46","date_gmt":"2022-10-07T19:44:46","guid":{"rendered":"https:\/\/blogging-techies.com\/sw\/10-linux-hardningstips-for-nyborjare-sysadmins\/"},"modified":"2022-10-07T14:44:46","modified_gmt":"2022-10-07T19:44:46","slug":"10-linux-hardningstips-for-nyborjare-sysadmins","status":"publish","type":"post","link":"https:\/\/blogging-techies.com\/sw\/10-linux-hardningstips-for-nyborjare-sysadmins\/","title":{"rendered":"10 Linux-h\u00e4rdningstips f\u00f6r nyb\u00f6rjare SysAdmins"},"content":{"rendered":"
\n

Linux-system \u00e4r s\u00e4kra genom design och ger robusta administrationsverktyg. Men oavsett hur v\u00e4ldesignat ett system \u00e4r beror dess s\u00e4kerhet p\u00e5 anv\u00e4ndaren.<\/p>\n

Nyb\u00f6rjare tar ofta \u00e5r att hitta den b\u00e4sta s\u00e4kerhetspolicyn f\u00f6r sina maskiner. Det \u00e4r d\u00e4rf\u00f6r vi delar med oss \u200b\u200bav dessa viktiga Linux-h\u00e4rdningstips f\u00f6r nya anv\u00e4ndare som du. Ge dem ett f\u00f6rs\u00f6k.<\/p>\n

<\/span> 1. Till\u00e4mpa policyer f\u00f6r starka l\u00f6senord<\/span><\/h2>\n

L\u00f6senord \u00e4r den prim\u00e4ra autentiseringsmetoden f\u00f6r de flesta system. Oavsett om du \u00e4r hemanv\u00e4ndare eller professionell, \u00e4r det ett m\u00e5ste att uppr\u00e4tth\u00e5lla solida l\u00f6senord. Inaktivera f\u00f6rst tomma l\u00f6senord. Du kommer inte att tro hur m\u00e5nga som fortfarande anv\u00e4nder dem.<\/p>\n

awk -F: '($2 == \"\") {print}' \/etc\/shadow<\/pre>\n
K\u00f6r kommandot ovan som root f\u00f6r att se vilka konton som har tomma l\u00f6senord.  Om du hittar n\u00e5gon med ett tomt l\u00f6senord, l\u00e5s anv\u00e4ndaren direkt.  Du kan g\u00f6ra detta genom att anv\u00e4nda f\u00f6ljande.<\/p>\n
passwd -l USERNAME<\/pre>\n
Du kan ocks\u00e5 st\u00e4lla in l\u00f6senords\u00e5ldring f\u00f6r att s\u00e4kerst\u00e4lla att anv\u00e4ndare inte kan anv\u00e4nda gamla l\u00f6senord.  Anv\u00e4nd kommandot chage f\u00f6r att g\u00f6ra detta fr\u00e5n din terminal.<\/p>\n
chage -l USERNAME<\/pre>\n
Detta kommando visar det aktuella utg\u00e5ngsdatumet.  Anv\u00e4nd kommandot nedan f\u00f6r att st\u00e4lla in l\u00f6senordets utg\u00e5ng efter 30 dagar.  Anv\u00e4ndare kan anv\u00e4nda Linux-l\u00f6senordshanterare f\u00f6r att h\u00e5lla onlinekonton s\u00e4kra.<\/p>\n
chage -M 30 USERNAME<\/pre>\n
<\/span>  2. S\u00e4kerhetskopiera v\u00e4sentliga data<\/span><\/h2>\n
\n<\/figure>\n
Om du menar allvar med dina data, st\u00e4ll in regelbundna s\u00e4kerhetskopior.  P\u00e5 s\u00e5 s\u00e4tt, \u00e4ven om ditt system kraschar, kan du \u00e5terst\u00e4lla data snabbt.  Men att v\u00e4lja r\u00e4tt backupmetod \u00e4r avg\u00f6rande f\u00f6r Linux-h\u00e4rdning.<\/p>\n
Om du \u00e4r en hemanv\u00e4ndare kan det r\u00e4cka med att klona data till en h\u00e5rddisk.  F\u00f6retag beh\u00f6ver dock sofistikerade s\u00e4kerhetskopieringssystem som erbjuder snabb \u00e5terst\u00e4llning.<\/p>\n
<\/span>  3. Undvik \u00e4ldre kommunikationsmetoder<\/span><\/h2>\n
Linux st\u00f6der m\u00e5nga fj\u00e4rrkommunikationsmetoder.  Men \u00e4ldre Unix-tj\u00e4nster som telnet, rlogin och ftp kan utg\u00f6ra allvarliga s\u00e4kerhetsproblem.  S\u00e5 f\u00f6rs\u00f6k att undvika dem.  Du kan ta bort dem helt f\u00f6r att minska s\u00e4kerhetsproblemen i samband med dem.<\/p>\n
apt-get --purge remove xinetd nis tftpd tftpd-hpa telnetd > rsh-server rsh-redone-server<\/pre>\n
Detta kommando tar bort n\u00e5gra ofta anv\u00e4nda men f\u00f6r\u00e5ldrade tj\u00e4nster fr\u00e5n Ubuntu\/Debian-maskiner.  Om du anv\u00e4nder ett RPM-baserat system, anv\u00e4nd f\u00f6ljande ist\u00e4llet.<\/p>\n
yum erase xinetd ypserv tftp-server telnet-server rsh-server<\/pre>\n
<\/span>  4. S\u00e4kra OpenSSH<\/span><\/h2>\n
SSH-protokollet \u00e4r den rekommenderade metoden f\u00f6r fj\u00e4rrkommunikation f\u00f6r Linux.  Se till att s\u00e4kra din OpenSSH-serverkonfiguration (sshd).  Du kan l\u00e4ra dig mer om hur du konfigurerar en SSH-server h\u00e4r.<\/p>\n
Redigera \/etc\/ssh\/sshd_config<\/strong> fil f\u00f6r att st\u00e4lla in s\u00e4kerhetspolicyer f\u00f6r ssh.  Nedan finns n\u00e5gra vanliga s\u00e4kerhetspolicyer som alla kan anv\u00e4nda.<\/p>\n
PermitRootLogin no # disables root loginMaxAuthTries 3 # limits authentication attemptsPasswordAuthentication no # disables password authenticationPermitEmptyPasswords no # disables empty passwordsX11Forwarding no # disables GUI transmissionDebianBanner no # disbales verbose bannerAllowUsers *@XXX.X.XXX.0\/24 # restrict users to an IP range<\/pre>\n
<\/span>  5. Begr\u00e4nsa CRON-anv\u00e4ndning<\/span><\/h2>\n
CRON \u00e4r en robust jobbschemal\u00e4ggare f\u00f6r Linux.  Det till\u00e5ter administrat\u00f6rer att schemal\u00e4gga uppgifter i Linux med hj\u00e4lp av crontab.  D\u00e4rf\u00f6r \u00e4r det viktigt att begr\u00e4nsa vem som kan k\u00f6ra CRON-jobb.  Du kan ta reda p\u00e5 alla aktiva cronjobs f\u00f6r en anv\u00e4ndare genom att anv\u00e4nda f\u00f6ljande kommando.<\/p>\n
crontab -l -u USERNAME<\/pre>\n
\n<\/figure>\n
Kontrollera jobben f\u00f6r varje anv\u00e4ndare f\u00f6r att ta reda p\u00e5 om n\u00e5gon utnyttjar CRON.  Du kanske vill blockera alla anv\u00e4ndare fr\u00e5n att anv\u00e4nda crontab f\u00f6rutom du.  K\u00f6r f\u00f6ljande kommando f\u00f6r detta.<\/p>\n
echo $(whoami) >> \/etc\/cron.d\/cron.allow# echo ALL >> \/etc\/cron.d\/cron.deny<\/pre>\n
<\/span>  6. Genomf\u00f6r PAM-moduler<\/span><\/h2>\n
Linux PAM (Pluggable Authentication Modules) erbjuder kraftfulla autentiseringsfunktioner f\u00f6r appar och tj\u00e4nster.  Du kan anv\u00e4nda olika PAM-policyer f\u00f6r att s\u00e4kra systemets inloggning.  Till exempel, kommandona nedan begr\u00e4nsar \u00e5teranv\u00e4ndning av l\u00f6senord.<\/p>\n
# CentOS\/RHELecho 'password sufficient pam_unix.so use_authtok md5 shadow remember=5' >> > \/etc\/pam.d\/system-auth# Ubuntu\/Debianecho 'password sufficient pam_unix.so use_authtok md5 shadow remember=5' >> > \/etc\/pam.d\/common-password<\/pre>\n
De begr\u00e4nsar anv\u00e4ndningen av l\u00f6senord som har anv\u00e4nts under de senaste fem veckorna.  Det finns m\u00e5nga fler PAM-policyer som ger extra lager av s\u00e4kerhet.<\/p>\n
<\/span>  7. Ta bort oanv\u00e4nda paket<\/span><\/h2>\n
Att ta bort oanv\u00e4nda paket minskar attackytan p\u00e5 din maskin.  S\u00e5 vi rekommenderar att du tar bort s\u00e4llan anv\u00e4nda paket.  Du kan se alla f\u00f6r n\u00e4rvarande installerade paket med hj\u00e4lp av kommandona nedan.<\/p>\n
yum list installed # CentOS\/RHEL apt list --installed # Ubuntu\/Debian<\/pre>\n
\n<\/figure>\n
S\u00e4g att du vill ta bort det oanv\u00e4nda paketet vlc.  Du kan g\u00f6ra detta genom att k\u00f6ra f\u00f6ljande kommandon som root.<\/p>\n
yum remove vlc # CentOS\/RHELapt remove vlc # Ubuntu\/Debian<\/pre>\n
<\/span>  8. S\u00e4kra k\u00e4rnparametrar<\/span><\/h2>\n
Ett annat effektivt s\u00e4tt f\u00f6r Linux-h\u00e4rdning \u00e4r att s\u00e4kra k\u00e4rnparametrarna.  Du kan konfigurera dessa parametrar med sysctl<\/strong> eller genom att \u00e4ndra konfigurationsfilen.  Nedan finns n\u00e5gra vanliga konfigurationer.<\/p>\n
kernel.randomize_va_space=2 # randomnize address base for mmap, heap, and stackkernel.panic=10 # reboot after 10 sec following a kernel panicnet.ipv4.icmp_ignore_bogus_error_responses # protects bad error messagesnet.ipv4.ip_forward=0 # disables IP forwardingnet.ipv4.icmp_ignore_bogus_error_responses=1 # ignores ICP errors<\/pre>\n
Detta \u00e4r bara n\u00e5gra grundl\u00e4ggande konfigurationer.  Du kommer att l\u00e4ra dig olika s\u00e4tt att konfigurera k\u00e4rnan med erfarenhet.<\/p>\n
<\/span>  9. Konfigurera iptables<\/span><\/h2>\n
Linux-k\u00e4rnor tillhandah\u00e5ller robusta filtreringsmetoder f\u00f6r n\u00e4tverkspaket via dess Netfilter API.  Du kan anv\u00e4nda iptables f\u00f6r att interagera med detta API och st\u00e4lla in anpassade filter f\u00f6r n\u00e4tverksf\u00f6rfr\u00e5gningar.  Nedan finns n\u00e5gra grundl\u00e4ggande iptables-regler f\u00f6r s\u00e4kerhetsfokuserade anv\u00e4ndare.<\/p>\n
-A INPUT -j REJECT # reject all inbound requests-A FORWARD -j REJECT # reject traffic forwarding-A INPUT -i lo -j ACCEPT-A OUTPUT -o lo -j ACCEPT # allow traffic on localhost# allow ping requests-A OUTPUT -p icmp -j ACCEPT # allow outgoing pings# allow established\/related connections-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT# allow DNS lookups-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT# allow http\/https requests-A OUTPUT -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT-A OUTPUT -p tcp -m tcp --dport 443 -m state --state NEW -j ACCEPT# allow SSH access-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT-A OUTPUT -p tcp -m tcp --dport 22 -j ACCEPT<\/pre>\n
<\/span>  10. \u00d6vervaka loggar<\/span><\/h2>\n
Du kan anv\u00e4nda loggar f\u00f6r att b\u00e4ttre f\u00f6rst\u00e5 din Linux-maskin.  Ditt system lagrar flera loggfiler f\u00f6r appar och tj\u00e4nster.  Vi skisserar de v\u00e4sentliga h\u00e4r.<\/p>\n
  \/var\/log\/auth.log \u2014 loggar auktoriseringsf\u00f6rs\u00f6k \/var\/log\/daemon.log \u2014 loggar bakgrundsappar \/var\/log\/debug \u2014 loggar fels\u00f6kningsdata \/var\/log\/kern.log \u2014 \u2013 loggar k\u00e4rndata \/var\/log\/syslog \u2014 loggar systemdata \/var\/log\/faillog \u2014 loggar misslyckade inloggningar  <\/p>\n
<\/span> B\u00e4sta Linux-h\u00e4rdningstips f\u00f6r nyb\u00f6rjare<\/span><\/h2>\n
Att s\u00e4kra ett Linux-system \u00e4r inte s\u00e5 sv\u00e5rt som du tror.  Du kan st\u00e4rka s\u00e4kerheten genom att f\u00f6lja n\u00e5gra av tipsen som n\u00e4mns i den h\u00e4r guiden.  Du kommer att bem\u00e4stra fler s\u00e4tt att s\u00e4kra Linux n\u00e4r du f\u00e5r erfarenhet.<\/p>\n
    Om f\u00f6rfattaren<\/strong><\/p>\n
            Rubaiat Hossain (47 artiklar publicerade)
<\/strong><\/p>\n
Rubaiat \u00e4r en CS-examen med en stark passion f\u00f6r \u00f6ppen k\u00e4llkod.  F\u00f6rutom att vara en Unix-veteran, \u00e4r han ocks\u00e5 intresserad av n\u00e4tverkss\u00e4kerhet, kryptografi och funktionell programmering.  Han \u00e4r en ivrig samlare av begagnade b\u00f6cker och har en aldrig sinande beundran f\u00f6r klassisk rock.<\/p>\n
                            Mer fr\u00e5n Rubaiat Hossain<\/p>\n
<\/span>Prenumerera p\u00e5 v\u00e5rt nyhetsbrev<\/span><\/h4>\n
G\u00e5 med i v\u00e5rt nyhetsbrev f\u00f6r tekniska tips, recensioner, free e-b\u00f6cker och exklusiva erbjudanden!<\/p>\n
Klicka h\u00e4r f\u00f6r att prenumerera<\/p>\n<\/p><\/div>\n  
\n
\n
Table of Contents<\/p>\nToggle<\/span><\/path><\/svg><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n