Laboratoriya ish – 15 Mavzu : Tizim xavfsizligini ta’minlash

Ikkinchi- Bu "xavfsizlikni kuchaytirish uchun yana nima qilish kerak?" Degan savolga asoslangan mutlaqo oqilona yondashuv. Majburiy talablar yo'q - faqat sizning bilimingiz, yorqin ongingiz va mohir qo'llaringiz. Masalan, bu yadro va / yoki dasturlar paketlarining versiyasini yangilash, SELinux -ni yoqish, majburlash, iptables xavfsizlik devorini sozlash.
Ikkinchi yondashuv bilan bog'liq hamma narsa odatda maxsus atama deb ataladi Linuxni qattiqlashtirishi, yana nimani "OS (yoki dasturiy ta'minot) ning asosiy xavfsizlik darajasini asosan standart vositalar yordamida oshirishga qaratilgan harakatlar" deb ta'riflash mumkin.
Muvofiqlik talablarining bajarilishi odatda PCI DSS yoki boshqa sertifikatlash auditi kabi qonuniy auditdan o'tishga tayyorgarlik jarayonida tekshiriladi. Qattiqlashtiruvchi komponentga ko'proq e'tibor qaratamiz. Barcha yirik sotuvchilar o'z mahsulotlarini taklif qilishadi Qattiqlashtiruvchi ko'rsatmalar- standart xavfsizlik mexanizmlari va dasturiy xususiyatlarini hisobga olgan holda xavfsizlikni kuchaytirish bo'yicha tavsiyalar va tavsiyalarni o'z ichiga olgan qo'llanmalar. Shunday qilib, shunga o'xshash qo'llanmalar Red Hat, Debian, Oracle, Cisco -da mavjud.
Qattiqlashish - bu axborot xavfsizligi dunyosining atamasi bo'lib, u tizim (dastur) xavfsizligini uning zaifligini kamaytirish orqali ta'minlash jarayonini bildiradi va, qoida tariqasida, faqat standart kommunal yoki himoya mexanizmlaridan foydalanadi.
Aytgancha, bizda bir marta Qattiqlashtirish variantlarini sozlash haqida maqola bor edi, lekin bu maqolada faqat sozlash haqida edi. Biz avval tizimimizni ixtisoslashtirilgan yordam dasturlari yordamida tekshiramiz, ya'ni biz xavfsizlik auditini o'tkazamiz, hozirgi himoya darajasini baholaymiz, keyin kerak bo'lganda xavfsizlik variantini o'chirib tashlaymiz. Xo'sh, yoki hatto variant sifatida: agar server allaqachon xavfsizlik nuqtai nazaridan tuzilgan bo'lsa, bizning vositalarimiz buni tekshirishi va, ehtimol, yana nima qilish kerakligini taklif qilishi mumkin.

Sinovlarni boshlash

Tizim vositasi va yuklash va xizmatlar guruhining test natijalari.

Kernel va Memory & Process auditorlik guruhining test natijalari

Foydalanuvchi va guruh va autentifikatsiya guruhining test natijalariAuditdan oldin tekshirish har doim yaxshi fikr yangi versiya Lynis:Agar siz testni boshlagan auditorning ismini yozmoqchi bo'lsangiz, -auditor parametrini qo'shing :

sudo lynis audit tizimi - c - auditor

Xavfsizlik auditining har qanday bosqichida Linux jarayoni tekshiruvlar davom ettirilishi mumkin (Enter) yoki majburiy tugatilishi mumkin (Ctrl + C). Amalga oshirilgan test natijalari /var/log/lynis.log katalogidagi Lynis jurnaliga yoziladi. Shuni esda tutingki, har bir keyingi ishga tushganda, jurnal fayli qayta yoziladi.
Avtomatik rejimda doimiy ravishda sinab ko'rish uchun siz -cronjob kaliti yordamida tegishli vazifani Cron rejalashtiruvchisiga belgilashingiz mumkin. Bunday holda, Linis belgilangan shablonga (konfiguratsiyaga) muvofiq ishga tushadi va keraksiz interaktiv xabarlar, savollar yoki ogohlantirishlarni ko'rsatmaydi. Barcha natijalar jurnalga saqlanadi. Masalan, yordam dasturini oyiga bir marta standart sozlamalar bilan ishga tushirish uchun skript:

#! / bin / sh AUDITOR = "avtomatlashtirilgan" DATE = $ (sana +% Y% m% d) XOST = $ (xost nomi) LOG_DIR = " / var / log / lynis" REPORT = ”$ LOG_DIR / report - $ (HOST). $ (DATE) " DATA = "$ LOG_DIR / report - ma'lumotlar - $ (HOST). $ (DATE). txt " cd / usr / local / lynis ... / lynis - c –auditor “$ (AUDITOR)” –cronjob> $ (REPORT) mv / var / log / lynis - hisobot. $ (ma'lumotlar) # Oxiri

Ushbu skriptni /etc/cron.monthly/lynis katalogiga saqlang. Va jurnallarni saqlash yo'llarini qo'shishni unutmang ( / usr / local / lynis va / var / log / lynis), aks holda u to'g'ri ishlamasligi mumkin.Tekshiruv natijalariga ko'ra mumkin bo'lgan holatlarning variantlari quyidagi ro'yxat bilan cheklangan: YO'Q, Zaif, Bajarildi, topildi, topilmadi, OK, OGOHLANTIRISH.


Vaziyatlarni ko'rsatishga misol