zeropage.de | IT | security

zeropage is © by the L13-Crew, all part of TUI-NET

"Härten"/hardening

Wozu macht man das? Man will für ein System eine höhere Sicherheitsstufe erreichen. Auch hier bezieht sich das im Wesentlichen auf die folgenden Punkte:

Erschwerung der Übergriffe durch Dritte
Absicherung gegen Hard- und/oder Softwarefehler
Vermeiden/Reduzieren von / Absichern gegen Nutzerfehlbedienungen

Zum "Härten" von Linux (und anderer Software) gibt es schon einiges Material und auch Projekte. Hier möchte ich daher einfach mal die Punkte aufführen, die mir so tagtäglich an Systemen auffallen. Dabei wird 'security by obscurity' i.A. aussen vor gelassen.

generelle Tipps

nur Dienste anbieten, die auch gebraucht werden
aktuelle Sicherheitsupdates einspielen, ggf. Mailinglisten und NewsGroups verfolgen
Server: kein Bildschirmschoner
Server: sinnvolle Handlungen für CTRL+ALT+DEL, Power, Reset usw. einstellen
Server: ggf. WoL (Wake-on-LAN) oder Wake-on-Modem etc.
Server: remote-Einwahl via Modem parallel zu LAN (out-of-band-Management)
Überwachungsrichtlinien, Systemrichtlinien & ähnliche policies definieren
Logfiles: anlegen (lassen) und auch auswerten

Linux

Kernel selber konfigurieren & kompilieren, alle unnoetigen Teile weglassen
Sicherheits-Patches zum Kernel hinzufuegen (z.B. openwall)
im Kernel (ab 2.6) das Entfernen von Modulen unterbinden
weiterfuehrend: im Kernel auf Module verzichten und dann auch das Laden von Modulen unterbinden
auf inetd verzichten oder zumindestens keine unnoetigen Dienste anbieten
Dienste so weit wie moeglich und sinnvoll z.B. ueber SSL/TLS absichern
Dienste nur an die Interfaces binden, an denen sie benoetigt werden
nur Nutzern der Gruppe 'wheel' ein su erlauben
telnet und die r-Tools abschalten; remote-Login nur per ssh
ssh-key-fingerprints ausserhalb der Maschinen speichern zwecks Vergleich
ssh als root nicht gestatten
/bin/sh kein Link auf bash, sondern tatsaechlich abgespeckte Shell
auf gute Verzeichnisstruktur achten (z.B. wo liegen die FTP- und WWW-homes?) - ggf. auf die LSB zurueckgreifen
eigene Filesysteme/Partitionen fuer / und /boot, empfohlen noch /tmp, weiterfuehrend fuer /opt, /usr, /usr/local, /var, /var/spool/XYZ (mail, news, print, ...). Rechnern mit Logins fuer normale User in jedem Fall /home (evtl. als Link auf /var/home)
dann koennen einige Filesysteme auch read-only gemountet werden
/boot nur read-only mounten, zum updaten des Kernels z.B. ein Script verwenden
bei den angebotenen Diensten (ftp, mail, news, proxy, www, ...) die Anzeige der Build-Nr. (Versions-Nr., Name der eingesetzten Software) unterbinden
...

Kernel-update-Script

Hier ein Beispiel fuer ein Kernel-update-Script, welches den Tipp mit dem read-only-mounten von /boot beruecksichtigt.

#!/bin/sh
KERNEL=/usr/src/linux
mount -o remount,rw /boot
cp $KERNEL/.config /boot/$HOSTNAME.config
cp $KERNEL/arch/i386/boot/bzImage /boot/
cp $KERNEL/System.map /boot/
lilo
mount -o remount,ro /boot

Windows

am besten erst den Default User bearbeiten, dann die eigentlichen Nutzer anlegen

ggf. aktuelle ServicePacks/Hotfixes einspielen

unnoetige Dienste deaktivieren

%DuS%\All Users\Start Menu\Programs\Startup

%DuS%\*\Start Menu\Programs\Startup

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

HKEY_USERS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

HKEY_USERS\*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\run

Autostart (Administrator, Nutzer, Alle Nutzer, Default Nutzer)

Systemsteuerung durchklickern

RPC-Dienst nur an loopback binden: [link]

security is an exercise in applied paranoia