По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Всем привет! Одной из серьезных потребностей системы Linux является регулярное обновление последних обновлений безопасности или обновлений, доступных для соответствующего дистрибутива.
Сегодня мы расскажем, как настроить дистрибутив CentOS и RHEL 7/6 для автоматического обновления необходимых пакетов безопасности при необходимости. Другие дистрибутивы Linux из тех же семейств (Fedora или Scientific Linux) могут быть настроены аналогичным образом.
Настройка автоматических обновлений безопасности в системах CentOS и RHEL
На CentOS или RHEL 7/6 необходимо установить пару нужных пакетов:
# yum update -y && yum install yum-cron -y
Включение автоматического обновления безопасности на CentOS и RHEL 7
После завершения установки откройте /etc/yum/yum-cron.conf и найдите эти строки и установите следующие значения:
update_cmd = security
update_messages = yes
download_updates = yes
apply_updates = yes
Кстати, у нас есть статья, как сделать автоматическое обновление пакетов безопасности на Debian или Ubuntu
Первая строка указывает, что команда автоматического обновления будет:
# yum --security upgrade
В то время как другие строки включают уведомления и автоматическую загрузку, и установку обновлений безопасности.
В следующих строках также указывается, что уведомления будут отправляться по электронной почте от root@localhost на ту же учетную запись. Можно выбрать другую, если необходимо.
emit_via = email
email_from = root@localhost
email_to = root
Включение автоматического обновления безопасности на CentOS и RHEL 6
Изначально cron настроен на немедленную загрузку и установку всех обновлений, но мы можем изменить это в файле конфигурации /etc/sysconfig/yum-cron, установив два параметра на yes.
# Don't install, just check (valid: yes|no)
CHECK_ONLY=yes
# Don't install, just check and download (valid: yes|no)
# Implies CHECK_ONLY=yes (gotta check first to see what to download)
DOWNLOAD_ONLY=yes
Чтобы включить уведомление по электронной почте об обновлениях пакета безопасности, установите для параметра MAILTO нужный почтовый адрес.
# by default MAILTO is unset, so crond mails the output by itself
# example: MAILTO=root
MAILTO=wiki@merionet.com
И наконец запускаем наш yum-cron сервис:
------------- Для CentOS/RHEL 7 -------------
systemctl start yum-cron
systemctl enable yum-cron
------------- Для CentOS/RHEL 6 -------------
# service yum-cron start
# chkconfig --level 35 yum-cron on
Успех! Вы успешно настроили автоматические обновления CentOS и RHEL 7/6.
В этой статье мы обсудили, как регулярно обновлять ваш сервер с помощью последних обновлений безопасности. Кроме того, вы узнали, как настроить уведомления по электронной почте, чтобы быть в курсе новых патчей.
По статистике, в данный момент более 90% всех заражений происходят по электронной почте. Цифра кажется безумной только на первый взгляд, но, я уверен, вы также открывали множество ссылок и писем просто на полном автомате, или же даже по причине любопытства.
Давайте сначала разберем возможные способы атаки через электронную почту, а затем рассмотрим способы борьбы со злоумышленниками.
Способы и средства атаки
В общем и целом, атаки на электронную почту можно условно разделить на целевые (spear-phishing) и на атаки массового поражения.
В первом случае письмо приходит вам от доверенного человека, чаще всего даже вашего начальника и родственника, и там используется какой-либо посыл для того, чтобы вы открыли файл или же перешли по ссылке. Очевидно, что 99,99% людей попадутся на этот крючок, т.к такие письма ничем не вызывают подозрения - ни доменом, ни смыслом написанного, ни типом вложения. Все выглядит ровно так, как в тысяче других уже открытых прежде вами писем. Но есть нюанс - чаще всего для повышения открываемости таких писем используются психологические приемы. К числу таких приемов относятся призывы к срочности, помощи или жажде наживы, так что если письмо отличается от большинства прочих письма от вашего знакомого/начальника - будьте внимательны.
Во втором случае злоумышленники просто массово рассылают письмо с вредоносной ссылкой или вредоносным файлом, причем зачастую это выглядит как запароленный архив и сам пароль в тексте письма. С такими письмами бороться не в пример проще программно-аппаратными методами, но и ложными фишинговыми рассылками по вашей компании, чтобы бы сразу стал понятен список пользователей, которые склонны открывать такие письма.
По сути, отдельно также можно упомянуть обычный спам, который, казалось бы, совершенно безопасен. Но давайте обратимся к обычной математике: в день сотрудник тратит 30 секунд на удаление/прочтение спам-писем, а в компании 5000 сотрудников. Это значит, что сотрудники тратят в день практически 42 часа на борьбу со спамом. Нехило, да?
Способы и средства защиты
Давайте попробуем проанализировать сказанное выше и подумать, как можно защититься от такого добра, и для анализа возьмем второй сценарий с массовым фишингом.
Для начала нужно проверить домен на его наличие в различным репутационных списках
Оценить домен с помощью Защита вашего e-mail происходит с помощью специальной многоуровневой фильтрации, которая уже выполняет проверку отправляющего сервера на основе представленных данных SPF, DMARC, DKIM;
Оценить вложения на предмет их "злокачественности", то есть прогнать через антивирусные движки и при необходимости "обезвредить" - то есть преобразовать файлы с макросами в pdf формат и пометить письмо как подозрительное;
Отправить вложения в песочницу, если они поступили из странного источника и не отдавать письмо пользователю до получения вердикта;
Проверить ссылки в письме и открыть их через прокси-сервер, для определения точного сайта;
Оценить изображения в письме на предмет спама/вредоносов;
Сравнить содержимое письма с теми шаблонами вредоносных рассылок, которые происходят в мире в данный момент;
SPF - представлен в роли расширения для протокола SMTP. С помощью него возможно проверить подлинность домена отправителя; DMARC - является технической спецификацией, предназначенной для защиты электронной почты от спама и фишинговых писем; DKIM - цифровая подпись. Письмо отправленной из обслуживаемого домена присваивает себе такую подпись;
Использование этих технологий позволяет вам быть уверенным в двух вещах: ваш почтовый домен никто не спуфит, и что отправитель - это легитимный товарищ;
К сожалению, даже эти 7 шагов не являются панацеей, хотя их и можно выполнять автоматически с помощью специализированных решений, вроде Barracuda, Cisco ESA, FortiMail и пр. Касперских.
Кроме того, нужно быть уверенным, что:
Учетные записи не были скомпрометированы;
Ваша почтовый сервер не упадет от DDoS атаки;
Ваши сотрудники используют VPN для доступа к вашему почтовому серверу;
У всех сотрудников установлен антивирус на рабочих станциях;
Вы используете надежное и современное решение по защите почты, а именно - почтовую прокси, к примеру одну из перечисленных выше;
Вы постоянно проводите обучение ваших сотрудников азам ИБ и возможных типов атак с помощью электронной почты;
Вы шифруете исходящую и входящую почту с помощью PGP-ключей;
Обсудим некоторые особенности защиты E-mail от Google, Yandex, Mail.ru
Когда вы используете корпоративную почту от одного из известных IT-гигантов, вы уже оказываетесь защищены многослойной системой безопасностью. Но есть большое "но" - а именно тот факт, что вы не можете тюнинговать эту защиту именно под специфику вашей организации (если не говорить про защиту O365 от Microsoft).
Кроме того, двухфакторная аутентификация также является важной функцией, и все значимые представители облачных почтовых служб дают вам такой функционал. К примеру, Яндекс.Почта имеет двухэтапную систему аутентификации пользователей, а сервис Gmail обеспечивает защиту с помощью токен-ключа. Это может означать только одно, если же вы потеряли свой пароль, то злоумышленник никак не сможет получить доступ к вашей электронной почте без специального кода, пришедшего вам на SMS.
Привет! В статье расскажем про сетевые порты, которые необходимо открыть на вашем фаерволе для корректного пользовательского доступа и работы оконечных устройств. В статье указаны дефолтные и порты, и, с точки зрения безопасности, мы рекомендуем их сменить на нестандартные.
Доступ администратора системы
Порт
Транспорт (UDP/TCP)
Назначение
Смена порта
Безопасность
Дополнительно
22
TCP
Подключение к SSH консоли
Может быть изменен только через Linux CLI
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие)
Порт используется для SSH подключения к АТС извне
80 FreePBX2001 PBXact
TCP
Графический интерфейс по HTTP (не HTTPS)
Можно поменять через графический интерфейс по пути System Admin > Port Management
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие)
Используется для пользовательского доступа к WEB - интерфейсу АТС
443
TCP
Графический интерфейс по HTTPS
Можно поменять через графический интерфейс по пути System Admin > Port Management
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие)
Используется для пользовательского доступа к WEB - интерфейсу АТС. Использует SSL шифрование
Доступ для SIP/IAX устройств
Порт
Транспорт (UDP/TCP)
Назначение
Смена порта
Безопасность
Дополнительно
5060
UDP
Порт получения телефонной сигнализации модулем chan_PJSIP
Есть возможность изменить порт в рамках графического интерфейса АТС в модуле SIP Settings
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие)
Стандартный порт для сигнализации модуля chan_PJSIP
5061
Порт получения защищенной телефонной сигнализации модулем chan_PJSIP
Есть возможность изменить порт в рамках графического интерфейса АТС в модуле SIP Settings
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие)
Защищенный порт для сигнализации модуля chan_PJSIP
5160
UDP
Порт получения телефонной сигнализации модулем chan_SIP
Есть возможность изменить порт в рамках графического интерфейса АТС в модуле SIP Settings
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие)
Стандартный порт для сигнализации модуля chan_SIP
5161
Порт получения защищенной телефонной сигнализации модулем chan_SIP
Есть возможность изменить порт в рамках графического интерфейса АТС в модуле SIP Settings
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие)
Защищенный порт для сигнализации модуля chan_SIP
10000-20000
UDP
Получение RTP потока в рамках SIP сессии
Есть возможность изменить порт в рамках графического интерфейса АТС в модуле SIP Settings
Можно открывать данные диапазон и, зачастую, это является требование SIP - провайдеров (RTP трафик зачастую приходит с различных IP - адресов)ё
Порты, необходимые для голосовой составляющей телефонного звонка
4569
UDP
Работа протокола IAX
Есть возможность изменить порт в рамках графического интерфейса АТС в модуле SIP Settings
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие)
Используется для транкового объединения серверов и оконечных устройств.
Доступ к UCP (User Control Panel)
Порт
Транспорт (UDP/TCP)
Назначение
Смена порта
Безопасность
Дополнительно
81
TCP
Графический интерфейс UCP по HTTP (не HTTPS)
Порт можно поменять через FreePBX в System Admin > Port Management
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие). Для удаленных пользователей используйте HTTPS
Порт доступа к пользовательской панели UCP
4443
TCP
Графический интерфейс UCP по HTTPS
Порт можно поменять через FreePBX в System Admin > Port Management
Можно оставлять открытым в сеть, так как трафик шифрован, а так же происходит аутентификация пользователей
Порт доступа к пользовательской панели UCP с помощью SSL шифрования
8088
TCP
Порт для WebRTC клиентов
Порт можно поменять через FreePBX в Advanced Settings > Asterisk Builtin mini-HTTP > HTTP Bind Port
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие). Для удаленных пользователей используйте HTTPS
Необходим для реализации WebRTC звонков через UCP (звонок через броузер)
8089
TCP
Порт для шифрования WebRTC клиентов
Порт можно поменять через FreePBX в Advanced Settings > Asterisk Builtin mini-HTTP > HTTPS Bind Port
Можно оставлять открытым в сеть, так как трафик шифрован, а так же происходит аутентификация пользователей
Необходим для реализации WebRTC звонков с шифрованием через UCP (звонок через броузер)
8001
TCP
Node Server - получение информации в реальном времени в рамках UCP
Порт можно поменять через FreePBX в Advanced Settings > UCP NodeJS Server > NodeJS Bind Port
Не рекомендуется оставлять порт открытым в публичную сеть (не вызывающую доверие)
Процесс отвечает за real - time активности: всплывающая информация, чаты и прочее
8003
TCP
Node Server (защищенные подключения)
Порт можно поменять через FreePBX в Advanced Settings > UCP NodeJS Server > NodeJS HTTPS Bind Port
Можно оставлять открытым в сеть, так как трафик шифрован, а так же происходит аутентификация пользователей
Процесс отвечает за real - time активности: всплывающая информация, чаты и прочее
Остальные порты зависят от ваших конкретных требований: наличие RMS компонента мониторинга, Zulu, функционала провижнинга (EPM) и прочие.