Konfiguration Zuerst werden die Login Möglichkeiten beschränkt.

# echo console > /etc/securetty

Folgend werden diverse Konfigurationspunkte am Es wird ein neuer Account erzeugt, der einen nicht System beschrieben, die zu einem höheren Sicherleicht zu erratenden Namen besitzt. (Security by heitslevel beitragen. Obscurity)

# adduser sadmin1

1. BIOS Passwort

# passwd sadmin1

Ein BIOS Passwort ist zu vergeben.

Daraufhin wird in der Datei /etc/sudoers ein neuer

der über die Rechte von root verfügt.

2. Grub Passwort In der Datei /etc/passwd wird daher die erste Zeile insofern abgeändert, dass dem user root keine Lo-Ebenso kann der Bootloader Grub mit einem gin Shell zur Verfügung gestellt wird. Passwort versehen werden. Die folgenden Schritte root:x:0:0:root:/root:/sbin/nologin beschreiben diesen Prozess.

Alle zukünftigen Arbeiten am System werden mit /sbin/grub

dem User sadmin1 durchgeführt. Ein beispielhafter grub> md5crypt

Aufruf (als User „sadmin1“) eines sonst nur root

Password: ****

zugänglichem Programm sähe daher folgendermaßen aus. Encrypted: $1$HXkKy0$xpLu8eJffYgM0uosS. ELh1

# sudo up2date grub> quit

Daraufhin wird die folgende Zeile unter /boot/ grub/grub.conf hinzugefügt.

password -md5 $1$HXkKy0$xpLu8eJffYgM0uosS .ELh1

4. Updates

3. root-Account

# sudo rpm --import /mnt/cdrom/RPM-GPG-KEY

Oftmals wird zwar ein starkes Passwort für den User root vergeben, doch wird zumeist verkannt, Danach können die Updates aus dem Redhat Netdass der Useraccount auch auf andere Weise, wie

beispielsweise durch ein Exploit, übernommen werden kann.

Für diesen Fall gilt es auszuschließen, dass der User root zu viel Handlungsspielraum besitzt.

work bezogen werden. Dabei ist darauf zu achten, Vorteil der oben beschriebenen Verfahren ist zum dass das System im Redhat Network einem Chan-einen, dass das Passwort (auch nicht zum Teil!) nel zugeordnet ist. in einem Wörterbuch (Dictionary) zu finden und zum anderen leicht zu merken ist. Die Verwendung

# sudo up2date -u

eines solchen Passworts wird für ein umfassendes Sicherheitskonzept als grundlegend angesehen.

5. Passwörter

Komplexe Passwörter, die jedoch auf einem Zettel oder schlimmstenfalls in einer Datei auf einer Fest-

Erfahrungsgemäß wird in Bezug auf Passwörter platte abgespeichert werden gehören nicht (!) in ein

immer von einer Mindestlänge und Mindestkomals hinreichend sicher zu bewertendes Sicherheits-plexität gesprochen. Leider sorgen diese Anfordekonzept.

rungen meist dafür, dass das Passwort entweder aufgeschrieben werden muss oder nicht dem

Zur Überprüfung der Passwörter kann das Pro-entspricht, was sich der Autor ursprünglich bei der

gramm „john“ eingesetzt werden.

Erstellung der Richtlinien gedacht hat.

Das Programm kann von „http://www.openwall. com/john“ bezogen werden.

Häufig werden Passwörter verwendet, die folgendermaßen geartet sind. # tar -xvzf john-1.6.tar.gz # cd john-1.6/src

admin2006!

# make linux-x86-any-elf

!userX!

# cd ../run

%root%

# sudo ./john /etc/shadow

root1234567890

Zwar entsprechen die Passwörter in den Beispielen der Richtlinie des jeweiligen Systems, doch sind diese Verfahrensweisen so weit verbreitet, dass viele in Untergrundkreisen kursierenden Programme zur Erzeugung von „Dictionaries“ um Funktionen erweitert wurden, die eben solche Wörter erzeugen. 6. Klartextprotokolle Weitaus bessere Methoden zur Erzeugung von Passwörtern sind unter anderem folgende. Die Verwendung von Klartextprotokollen sollte weitestgehend vermieden werden. Beispielweise ist

Anfangsbuchstaben

vom Einsatz eines Telnet-Zugangs abzusehen.

Man verwendet einen Satz und extrahiert die

Statt der Protokolle POP3 oder HTTP, sollten die

Anfangsbuchstaben. Beispielsweise würde der Satz

Protokolle „POP3 over SSL“ und „HTTPS“ einge-

„Sprich Freund und tritt ein“, bei dem man die

setzt werden.

ersten beiden Buchstaben extrahiert das Passwort

Jede unverschlüsselte Verbindung kann eventuell

„SpFruntrei“ erzeugen, welches in keinem Wörter-Passwörter im Klartext übertragen. Beispielsweise

buch zu finden ist.

wird bei POP3 das Anmeldepasswort des Nutzers immer im Klartext zum Serverdienst übertragen.

Ersetzung

Auch in geswitchten Netzen können solche Ver-Zwar existieren teilweise schon Programme, welche

bindungen abgehört werden. Daher ist von deren

gezielt die Ersetzung von Buchstaben nachahmen,

Verwendung, soweit es möglich ist, unbedingt

jedoch ist diese Methode immer noch als ebenso

abzusehen.

einfach wie effektiv anzusehen. Man verändert das Passwort in diesem Fall so, dass

Beispiel zum Abhören einer POP3 Anmeldung

man Buchstaben des Wortes durch Sonderzeichen

# sudo /usr/sbin/tcpdump -A | grep PASS

oder Zahlen ersetzt. Beispielsweise würde das der Satz „Am Anfang war das Wort“ zu folgendem

Passwort „@m@nf@ngw@rd@$W0rt“ oder das Wort „Matrix“ zu „M@tr!ck$“. Die Ersetzung muss nicht immer gleich aussehen. Je nachdem, wie der Benutzer Ersetzung vornimmt, kann aus „Matrix“ auch das Passwort „M4tr1ck§“ generiert werden.

7. SSH Auf dem Serversystem liefert ein Blick in die Datei /var/log/secure eventuell nützliche Hinweise. Bei der Verwendung des SSH-Dienstes ist die Au- #sudo tail -20 /var/log/secure

thentifizierung per öffentlichem Schlüssel (public Key) gegenüber der Authentifizierung per Passwort

8. Sonstige Dienste

vorzuziehen.

Die zu startenden Dienste sollten einer Prüfung

Zuerst muss die Datei /etc/ssh/sshd_config bearbei-unterzogen werden, ob ihre Ausführung wirklich

tet werden.

als notwendig zu bewerten ist. Die Administration erreicht man durch folgendes Port 22 Protocol 2 Kommando.

# sudo system-config-services hostkey /etc/ssh/ssh_host_rsa_key hostkey /etc/ssh/ssh_host_dsa_key

RSAAuthentication yes

PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys

X11Forwarding no

9. Security Level Konfigurieren Auf dem entfernten Administrationssystem sollten jetzt folgende Schritte ausgeführt werden. Redhat Enterprise Linux stellt eine grafische Ober- (alsuser, der später zugreifen will)

fläche zur Security-Konfiguration bereit.

# ssh-keygen -t rsa # cat ~/.ssh/id_rsa.pub | ssh sadmin1@ # sudo system-config-securitylevel

remotehost ‘cat - >> ~/.ssh/authorized_ keys’

Hier können Einstellungen zur integrierten Firewallfunktion und zum integrierten SELinux vorge-

Danach kann die Passwortauthentifizierung auf

nommen werden.

dem Serversystem ausgeschalten werden.

Danach kann Firestarter entweder über das Menü unter „Systemwerkzeuge“ oder per Kommandozei-

# Logt Seltsame Error Messages

FWBuilder

net.ipv4.icmp_ignore_bogus_error_re-

11.Kernel Parameter Infos

http:// www.redhat.com/f/pdf/rhel/WHP0006US_ Über diverse Kernelparameter kann die Systemsi-Execshield.pdf

cherheit zusätzlich erhöht werden. Die Kernelpara-Um die in RHEL 4 mitgelieferte Exec-Shield Funkmeter aktivieren bzw. deaktivieren diverse Funktitionalität nutzen zu können, muss ebenso ein onen des Kernels.

Kernelparameter gesetzt werden. Den aktuellen Die Kernelparameter werden hierzu in der Datei

- -

13. Logwatch Exec-Shield-Status des Kernels erfährt man mittels folgendem Kommando.

Das Software-Paket “LogWatch” analysiert über # cat /proc/sys/kernel/exec-shield

einen Cronjob die Log-Dateien des Servers-Systems und sendet dem Systemadministrator eine Zusam-

Die Bedeutungen der Werte sind wie folgt definiert.

menfassung der Auffälligkeiten per Mail. exec-shield=0

Das Programmpaket wird auf Redhat Systemen

Immer deaktiviert

standardmäßig installiert. Ein cron Skript ist eben- exec-shield=1 so schon vorhanden und wird täglich ausgeführt. Einem entfernten Mailaccount können dadurch Per default deaktiviert, außer für Anwendungen, wichtige Informationen des Systems übermittelt die es gezielt aktivieren werden. Folgende Einstellungen sind dazu in der exec-shield=2 Datei /etc/log.d./logwatch.conf vorzunehmen. Per default aktiviert, außer für Anwendungen, die MailTo = responsible@dmznet.kunde.de es gezielt deaktivieren Detail = Low exec-shield=3

Immer aktiviert

In einem hochsicheren System muss der Kernelparameter zumindest auf einen Wert von „2“ gesetzt werden. In Systemen, in denen Anwendungen betrieben werden, bei denen nicht bekannt ist, wie 14. Bastille Hardening Program sie auf den Speicherschutz reagieren, sollte (wenn möglich) die Anwendung eine gewisse Zeit mit (optional)

dem Speicherschutz (Parameter 2 oder 3) getestet werden. Wenn keine Zeit zum Testen zur Verfü-Bei Bastille Linux handelt es sich um einen Vergung steht, kann der per default eingestellte Wert such, durch Code-Modifikationen ein bestehendes „1“ so belassen werden. Linux/Unix-System gegen Sicherheitslücken und Angriffe zu härten.

In diesem Modus ist der Speicherschutz allerdings

Die Initiatoren des Projekts, John Lasser und Jay nur unzureichend in Verwendung, wodurch dir

Beale, konnten bei der Entwicklung aus bereits Gefahr von 0-day Exploits weiterhin bestehen

vorhandener Expertise im Härten von Solaris- und bleibt.

Quellen Linux-Systemen zehren. Als Basis für die Implementierung von Bastille Linux nutzen sie die Maßgaben von Security-Instanzen wie SANS oder Kurt

Definitionen - http://www.wikipedia.de

Seifried. Daneben verwerten sie nach eigener Aussage jede nur erreichbare Informationsquelle zur Redhat Security Guide - http://mirror.centos.org/ laufenden Weiterentwicklung von Bastille Linux. centos/4/docs/html/rhel-sg-en-4/

Download SSH - http://www.ssh.com/support/documentati-http://www.bastille-linux.org/running_bastil-on/online/ssh/adminguide/32/Public-Key_Authenle_on.htm tication-2.html

# sudo rpm -Uvh Bastille-3.0.8-1.0.noarch.rpm

Des Weiteren wird Perl-Tk oder Perl-Curses für die Konfiguration des Bastille Systems vorausgesetzt.

Download

http://tinyurl.com/bh2qr

# sudo rpm -Uvh --nodeps perl-Tk-804.027-9.el4.at.i386.rpm

Danach kann Bastille gestartet werden.

# sudo /usr/sbin/bastille -x

Bastille Linux wird leider nur in englischer Sprache angeboten. Es ermöglicht an Hand diverser Fragenkataloge zu relevanten Themen eine Härtung des Systems vorzunehmen, auch wenn kein weit reichendes Expertenwissen zu einem Themenbereich vorhanden ist.

Bastille kann somit als eigenständiges Hardening-Tool angesehen werden, welches zusätzlich eingesetzt werden kann, aber nicht muss. Es dient vor allem der schnellen und unkomplizierten Systemhärtung.

Sollte zur Härtung des Zielsystems weniger als eine Stunde zur Verfügung stehen, kann Bastille ersatzweise zu einer weiterführenden Systemhärtung verwendet werden.

GNU Free Documentation License regarding them.

The “Invariant Sections” are certain Secondary Sections who-Version 1.2, November 2002

se titles are designated, as being those of Invariant Sections, in the notice that says that the Document is released under Copyright (C) 2000,2001,2002 Free Software Foundation, this License. If a section does not fit the above definition of Inc.

Secondary then it is not allowed to be designated as Invariant. 51 Franklin St, Fifth Floor, Boston, MA 02110-1301 USA The Document may contain zero Invariant Sections. If the Everyone is permitted to copy and distribute verbatim copies Document does not identify any Invariant Sections then there of this license document, but changing it is not allowed. are none.

0. PREAMBLE

The “Cover Texts” are certain short passages of text that are listed, as Front-Cover Texts or Back-Cover Texts, in the noti-The purpose of this License is to make a manual, textbook, or ce that says that the Document is released under this License. other functional and useful document “free” in the sense of A Front-Cover Text may be at most 5 words, and a Back-Cofreedom: to assure everyone the effective freedom to copy and ver Text may be at most 25 words. redistribute it, with or without modifying it, either commercially or noncommercially. Secondarily, this License preserves A “Transparent” copy of the Document means a machine-for the author and publisher a way to get credit for their work, readable copy, represented in a format whose specification is while not being considered responsible for modifications available to the general public, that is suitable for revising the made by others.

document straightforwardly with generic text editors or (for images composed of pixels) generic paint programs or (for This License is a kind of “copyleft”, which means that deridrawings) some widely available drawing editor, and that is vative works of the document must themselves be free in the suitable for input to text formatters or for automatic translatisame sense. It complements the GNU General Public License, on to a variety of formats suitable for input to text formatters. which is a copyleft license designed for free software. A copy made in an otherwise Transparent file format whose markup, or absence of markup, has been arranged to thwart We have designed this License in order to use it for manuals or discourage subsequent modification by readers is not for free software, because free software needs free documen-Transparent. An image format is not Transparent if used for tation: a free program should come with manuals providing any substantial amount of text. A copy that is not “Transpathe same freedoms that the software does. But this License is rent” is called “Opaque”. not limited to software manuals; it can be used for any textual work, regardless of subject matter or whether it is published Examples of suitable formats for Transparent copies include as a printed book. We recommend this License principally for plain ASCII without markup, Texinfo input format, LaTeX works whose purpose is instruction or reference. input format, SGML or XML using a publicly available DTD, and standard-conforming simple HTML, PostScript or PDF 1. APPLICABILITY AND DEFINITIONS designed for human modification. Examples of transparent image formats include PNG, XCF and JPG. Opaque formats This License applies to any manual or other work, in any include proprietary formats that can be read and edited only medium, that contains a notice placed by the copyright holder by proprietary word processors, SGML or XML for which the saying it can be distributed under the terms of this Licen-DTD and/or processing tools are not generally available, and se. Such a notice grants a world-wide, royalty-free license, the machine-generated HTML, PostScript or PDF produced unlimited in duration, to use that work under the conditions by some word processors for output purposes only. stated herein. The “Document”, below, refers to any such manual or work. Any member of the public is a licensee, and is The “Title Page” means, for a printed book, the title page addressed as “you”. You accept the license if you copy, modify itself, plus such following pages as are needed to hold, legibly, or distribute the work in a way requiring permission under the material this License requires to appear in the title page. copyright law.

For works in formats which do not have any title page as such, “Title Page” means the text near the most prominent A “Modified Version” of the Document means any work appearance of the work’s title, preceding the beginning of the containing the Document or a portion of it, either copied verbody of the text. batim, or with modifications and/or translated into another language.

A section “Entitled XYZ” means a named subunit of the Document whose title either is precisely XYZ or contains XYZ A “Secondary Section” is a named appendix or a front-matin parentheses following text that translates XYZ in another ter section of the Document that deals exclusively with the language. (Here XYZ stands for a specific section name menrelationship of the publishers or authors of the Document tioned below, such as “Acknowledgements”, “Dedications”, to the Document’s overall subject (or to related matters) “Endorsements”, or “History”.) To “Preserve the Title” of and contains nothing that could fall directly within that such a section when you modify the Document means that it overall subject. (Thus, if the Document is in part a textbook remains a section “Entitled XYZ” according to this definition. of mathematics, a Secondary Section may not explain any mathematics.) The relationship could be a matter of histori-The Document may include Warranty Disclaimers next to the cal connection with the subject or with related matters, or of notice which states that this License applies to the Document. legal, commercial, philosophical, ethical or political position

- 0 -

These Warranty Disclaimers are considered to be included by reference in this License, but only as regards disclaiming 4. MODIFICATIONS

warranties: any other implication that these Warranty Disclaimers may have is void and has no effect on the meaning of

this License. 2. VERBATIM COPYING

You may copy and distribute the Document in any medium, either commercially or noncommercially, provided that this License, the copyright notices, and the license notice saying this License applies to the Document are reproduced in all * A. Use in the Title Page (and on the covers, if any) a title

copies, and that you add no other conditions whatsoever to those of this License. You may not use technical measures to obstruct or control the reading or further copying of the copies you make or distribute. However, you may accept compensation in exchange for copies. If you distribute a large enough number of copies you must also follow the conditions in section 3.

You may also lend copies, under the same conditions stated above, and you may publicly display copies.

3. COPYING IN QUANTITY

If you publish printed copies (or copies in media that commonly have printed covers) of the Document, numbering more than 100, and the Document’s license notice requires Cover Texts, you must enclose the copies in covers that carry, clearly and legibly, all these Cover Texts: Front-Cover Texts on the front cover, and Back-Cover Texts on the back cover. Both covers must also clearly and legibly identify you as the publisher of these copies. The front cover must present the full title with all words of the title equally prominent and visible. You may add other material on the covers in addition. Copying with changes limited to the covers, as long as they preserve the title of the Document and satisfy these conditions, can be treated as verbatim copying in other respects.

If the required texts for either cover are too voluminous to fit legibly, you should put the first ones listed (as many as fit reasonably) on the actual cover, and continue the rest onto adjacent pages.

If you publish or distribute Opaque copies of the Document numbering more than 100, you must either include a machine-readable Transparent copy along with each Opaque copy, or state in or with each Opaque copy a computer-network location from which the general network-using public has access to download using public-standard network protocols a complete Transparent copy of the Document, free of added material. If you use the latter option, you must take reasonably prudent steps, when you begin distribution of Opaque copies in quantity, to ensure that this Transparent copy will remain thus accessible at the stated location until at least one year after the last time you distribute an Opaque copy (directly or through your agents or retailers) of that edition to the public.

It is requested, but not required, that you contact the authors of the Document well before redistributing any large number of copies, to give them a chance to provide you with an updated version of the Document.

- -

If the Modified Version includes new front-matter sections or that you follow the rules of this License for verbatim copying appendices that qualify as Secondary Sections and contain no of each of the documents in all other respects. material copied from the Document, you may at your option designate some or all of these sections as invariant. To do this, You may extract a single document from such a collection, add their titles to the list of Invariant Sections in the Modified and distribute it individually under this License, provided you Version’s license notice. These titles must be distinct from any insert a copy of this License into the extracted document, and other section titles. follow this License in all other respects regarding verbatim copying of that document.

You may add a section Entitled “Endorsements”, provided it contains nothing but endorsements of your Modified Version 7. AGGREGATION WITH INDEPENDENT WORKS by various parties--for example, statements of peer review or that the text has been approved by an organization as the A compilation of the Document or its derivatives with other authoritative definition of a standard. separate and independent documents or works, in or on a volume of a storage or distribution medium, is called an You may add a passage of up to five words as a Front-Cover “aggregate” if the copyright resulting from the compilation Text, and a passage of up to 25 words as a Back-Cover Text, is not used to limit the legal rights of the compilation’s users to the end of the list of Cover Texts in the Modified Version. beyond what the individual works permit. When the Docu-Only one passage of Front-Cover Text and one of Back-Cover ment is included in an aggregate, this License does not apply Text may be added by (or through arrangements made by) to the other works in the aggregate which are not themselves any one entity. If the Document already includes a cover text derivative works of the Document. for the same cover, previously added by you or by arrangement made by the same entity you are acting on behalf of, you If the Cover Text requirement of section 3 is applicable to may not add another; but you may replace the old one, on these copies of the Document, then if the Document is less explicit permission from the previous publisher that added the than one half of the entire aggregate, the Document’s Cover old one. Texts may be placed on covers that bracket the Document within the aggregate, or the electronic equivalent of covers if the The author(s) and publisher(s) of the Document do not by Document is in electronic form. Otherwise they must appear this License give permission to use their names for publicity on printed covers that bracket the whole aggregate. for or to assert or imply endorsement of any Modified Version. 8. TRANSLATION

5. COMBINING DOCUMENTS Translation is considered a kind of modification, so you may distribute translations of the Document under the terms You may combine the Document with other documents re-of section 4. Replacing Invariant Sections with translations leased under this License, under the terms defined in section 4 requires special permission from their copyright holders, but above for modified versions, provided that you include in the you may include translations of some or all Invariant Seccombination all of the Invariant Sections of all of the original tions in addition to the original versions of these Invariant documents, unmodified, and list them all as Invariant Sections Sections. You may include a translation of this License, and of your combined work in its license notice, and that you all the license notices in the Document, and any Warranty preserve all their Warranty Disclaimers. Disclaimers, provided that you also include the original English version of this License and the original versions of those The combined work need only contain one copy of this Licen-notices and disclaimers. In case of a disagreement between the se, and multiple identical Invariant Sections may be replaced translation and the original version of this License or a notice with a single copy. If there are multiple Invariant Sections or disclaimer, the original version will prevail. with the same name but different contents, make the title of each such section unique by adding at the end of it, in paren-If a section in the Document is Entitled “Acknowledgements”, theses, the name of the original author or publisher of that “Dedications”, or “History”, the requirement (section 4) to section if known, or else a unique number. Make the same Preserve its Title (section 1) will typically require changing adjustment to the section titles in the list of Invariant Sections the actual title.

in the license notice of the combined work.

9. TERMINATION

In the combination, you must combine any sections Entitled “History” in the various original documents, forming one sec-You may not copy, modify, sublicense, or distribute the Dotion Entitled “History”; likewise combine any sections Entitled cument except as expressly provided for under this License. “Acknowledgements”, and any sections Entitled “Dedica-Any other attempt to copy, modify, sublicense or distribute tions”. You must delete all sections Entitled “Endorsements.” the Document is void, and will automatically terminate your rights under this License. However, parties who have received

6. COLLECTIONS OF DOCUMENTS copies, or rights, from you under this License will not have their licenses terminated so long as such parties remain in full You may make a collection consisting of the Document and compliance.

other documents released under this License, and replace the individual copies of this License in the various documents 10. FUTURE REVISIONS OF THIS LICENSE

with a single copy that is included in the collection, provided

- -

The Free Software Foundation may publish new, revised versions of the GNU Free Documentation License from time to time. Such new versions will be similar in spirit to the present version, but may differ in detail to address new problems or concerns. See http://www.gnu.org/copyleft/.

Each version of the License is given a distinguishing version number. If the Document specifies that a particular numbered version of this License “or any later version” applies to it, you have the option of following the terms and conditions either of that specified version or of any later version that has been published (not as a draft) by the Free Software Foundation. If the Document does not specify a version number of this License, you may choose any version ever published (not as a draft) by the Free Software Foundation.

- -