По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Каждый день в цифровом мире "рождаются" новые уязвимости. Администраторы систем часто заняты управлением серверами и игнорируют очевидные проблемы безопасности.
Сканирование сервера Linux на наличие проблем с безопасностью - непростая задача. Вот почему существует множество инструментов, которые помогут сисадминам.
OpenVAS является одним из таких инструментов с открытым исходным кодом, который позволяет проверять ваш сервер Linux на наличие существующих уязвимостей. Можно установить собственные правила или использовать правила, предоставленные сообществом.
На протяжении многих лет OpenVAS эффективно использует свои возможности для системных администраторов, а также для специалистов по безопасности. Рассмотрим это подробнее.
Что такое OpenVAS?
OpenVAS – это открытая система оценки уязвимости (Open Vulnerability Assessment Scanner). В основном OpenVAS предоставляет пользователю удобный и простой интерфейс, чтобы вам не приходилось существенно изменять программное обеспечение.
Кроме того, он предоставляет базу данных встроенных тестов, которые обновляются ежедневно. Как будет показано ниже в этом учебном пособии, при входе пользователя в устройство, которое он хочет сканировать, программное обеспечение будет проверять версии любого программного обеспечения, которое работает в системе, и если какие-либо уязвимости будут записаны в базе данных OpenVAS, она покажет пользователю возможные уязвимости программного обеспечения в системе.
Возьмем, например, программное обеспечение VSFTPD с версией v2.3.4. Известно, что это обеспечение уязвимо и позволяет злоумышленнику использовать команды для запуска зараженной системы. Если бы вы не знали об этом, быстрое сканирование OpenVAS уведомило бы вас.
Как установить OpenVAS?
Система OpenVAS должна быть доступна во всех основных дистрибутивах Linux. Просто используйте диспетчер пакетов своего дистрибутива, чтобы установить ее.
Чтобы установить OpenVAS на Ubuntu, необходимо включить пространство хранилища.
sudo add-apt-repository universe
sudo apt update
sudo apt install openvas
Установка может занять довольно много времени, даже если качество и скорость вашего подключения надежны. Последней строкой в окне установки будет указан код, созданный для системного администратора, который рекомендуется хранить в безопасном месте.
Как использовать OpenVAS?
Рассмотрим, как настроить OpenVAS и запустить его.
Управление пользователями OpenVAS
Чтобы создать нового пользователя или изменить пароль системного администратора или другого пользователя, необходимо выполнить следующие действия:
openvasmd –create-user=<user>
openvasmd –user=<user> --new-password=<password>
Запуск и остановка OpenVAS
Для запуска сканера уязвимостей OpenVAS необходимо выполнить следующую команду:
sudo openvas-start
Чтобы остановить OpenVAS, просто замените start на stop:
sudo openvas-stop
После запуска OpenVAS его веб-интерфейс можно найти по адресу https://localhost: 9392
После принятия самозаполняющегося сертификата и подключения перед вами появится главная панель управления. На панели мониторинга отображаются все сведения о выполняемом сканировании. Им можно управлять, а также выполнять новое сканирование с панели мониторинга.
В разделе «Сканирование» (Scans) вы увидите следующие рубрики: задачи, отчет, результаты (Tasks, Report, Results) .
Задачи: В этом разделе можно создать и запустить новое сканирование.
Отчет: В окне «Отчеты» (Reports) можно просмотреть сведения о выполненном программой или подготовленном вами отчете.
Результаты: Наконец, в этом разделе можно увидеть результаты сканирования и их критичность. Это поможет вам выбрать соответствующие меры безопасности для вашего сервера.
Время обновления: В правом верхнем углу можно увидеть опцию: нет автоматического обновления. Это означает, что в преддверии результатов, если вы хотите увидеть, что OpenVAS нашел до этого момента, вы должны обновить страницу самостоятельно. Это, конечно, можно изменить и модифицировать на 30 секунд, 1 минуту, 2 минуты и 5 минут соответственно.
Сканирование слабых мест
Чтобы проверить нашу систему или сервер на наличие уязвимостей, необходимо создать задачу. Перейдите в раздел Сканирования -> Задача -> Новая задача.
Здесь имеется несколько вариантов:
В поле Имя необходимо указать имя сканирования. Возможно, это имя сервера, который необходимо сканировать, или вы также можете задать текущую дату. Вам решать.
Можно указать тип сканера. Можно выполнить поиск CVE, cve хранятся в базе данных. Кроме того, можно настроить конфигурацию сканирования для определения скорости и детализации сканирования.
В целях сканирования необходимо указать IP-адрес сервера Linux, который требуется сканировать. На данном этапе следует отметить, что проверяемый IP-адрес не обязательно должен находиться в одной сети. Можно также сканировать общедоступный сервер.
Возможности сканирования не ограничиваются только одним IP-адресом. Также можно использовать несколько IP-адресов и портов или услуги, например, SSH.
И, наконец, вы готовы начать сканирование. Запустите сканирование и дождитесь результатов. Сканирование может занять несколько минут. Если вам нужен безопасный сервер Linux, я думаю, вы можете подождать несколько минут.
После завершения сканирования результат будет доступен на вкладке Результаты. Преимущество системы в том, что все результаты сканирования сохраняются на вкладке Отчеты. Это означает, что можно проконсультироваться и проанализировать результаты прошлых сканирований.
Лично я предпочитаю OpenVAS среди всех сканеров уязвимостей. Он обеспечивает детальное сканирование через достаточно удобный для пользователя интерфейс. Это свободный и открытый исходный код. Я также предлагаю использовать Fail2Ban для защиты вашего сервера Linux от атак bruteforce.
В этой статье мы объясним, как узнать, кто использует тот или иной файл в Linux. Это поможет вам узнать системного пользователя или процесс, который использует открытый файл.
Как узнать, кто использует файл в Linux?
Мы можем использовать команду lsof (которая является аббревиатурой от List Of Opened Files), чтобы узнать, использует ли кто-то файл, и если да, то кто. Он читает память ядра в поиске открытых файлов и перечисляет все открытые файлы. В этом случае открытый файл может быть обычным файлом, каталогом, специальным файлом блока, специальным файлом символов, потоком, сетевым файлом и многими другими, поскольку в Linux все является файлом.
Lsof используется в файловой системе, чтобы определить, кто использует какие-либо файлы в этой файловой системе. Вы можете запустить команду lsof в файловой системе Linux, и выходные данные идентифицируют владельца и информацию о процессах для процессов, использующих файл, как показано в следующих выходных данных.
$ lsof /dev/null
Список всех открытых файлов в Linux
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
systemd 1480 merionet 0r CHR 1,3 0t0 6 /dev/null
sh 1501 merionet 0r CHR 1,3 0t0 6 /dev/null
sh 1501 merionet 1w CHR 1,3 0t0 6 /dev/null
dbus-daem 1530 merionet 0u CHR 1,3 0t0 6 /dev/null
xfce4-ses 1603 merionet 0r CHR 1,3 0t0 6 /dev/null
xfce4-ses 1603 merionet 1w CHR 1,3 0t0 6 /dev/null
at-spi-bu 1604 merionet 0r CHR 1,3 0t0 6 /dev/null
dbus-daem 1609 merionet 0u CHR 1,3 0t0 6 /dev/null
at-spi2-r 1611 merionet 0u CHR 1,3 0t0 6 /dev/null
xfconfd 1615 merionet 0u CHR 1,3 0t0 6 /dev/null
xfwm4 1624 merionet 0r CHR 1,3 0t0 6 /dev/null
xfwm4 1624 merionet 1w CHR 1,3 0t0 6 /dev/null
xfce4-pan 1628 merionet 0r CHR 1,3 0t0 6 /dev/null
xfce4-pan 1628 merionet 1w CHR 1,3 0t0 6 /dev/null
Thunar 1630 merionet 0r CHR 1,3 0t0 6 /dev/null
Thunar 1630 merionet 1w CHR 1,3 0t0 6 /dev/null
xfdesktop 1632 merionet 0r CHR 1,3 0t0 6 /dev/null
xfdesktop 1632 merionet 1w CHR 1,3 0t0 6 /dev/null
....
Чтобы вывести список файлов, открытых для конкретного пользователя, выполните следующую команду: замените merionet вашим именем пользователя.
$ lsof -u merionet
Список файлов, открытых пользователем:
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
systemd 1480 merionet cwd DIR 8,3 4096 2 /
systemd 1480 merionet rtd DIR 8,3 4096 2 /
systemd 1480 merionet txt REG 8,3 1595792 3147496 /lib/systemd/systemd
systemd 1480 merionet mem REG 8,3 1700792 3150525 /lib/x86_64-linux-gnu/libm-2.27.so
systemd 1480 merionet mem REG 8,3 121016 3146329 /lib/x86_64-linux-gnu/libudev.so.1.6.9
systemd 1480 merionet mem REG 8,3 84032 3150503 /lib/x86_64-linux-gnu/libgpg-error.so.0.22.0
systemd 1480 merionet mem REG 8,3 43304 3150514 /lib/x86_64-linux-gnu/libjson-c.so.3.0.1
systemd 1480 merionet mem REG 8,3 34872 2497970 /usr/lib/x86_64-linux-gnu/libargon2.so.0
systemd 1480 merionet mem REG 8,3 432640 3150484 /lib/x86_64-linux-gnu/libdevmapper.so.1.02.1
systemd 1480 merionet mem REG 8,3 18680 3150450 /lib/x86_64-linux-gnu/libattr.so.1.1.0
systemd 1480 merionet mem REG 8,3 18712 3150465 /lib/x86_64-linux-gnu/libcap-ng.so.0.0.0
systemd 1480 merionet mem REG 8,3 27112 3150489 /lib/x86_64-linux-gnu/libuuid.so.1.3.0
systemd 1480 merionet mem REG 8,3 14560 3150485 /lib/x86_64-linux-gnu/libdl-2.27.so
...
Еще одно важное использование lsof - выяснение процесса прослушивания определенного порта. Например, определите процесс, прослушивающий порт 80, с помощью следующей команды.
$ sudo lsof -i TCP:80
Процессы, прослушивающие порт:
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
httpd 903 root 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 1320 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 1481 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 1482 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 1493 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 1763 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 2027 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 2029 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 2044 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 3199 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
httpd 3201 apache 4u IPv6 20222 0t0 TCP *:http (LISTEN)
Примечание: поскольку lsof читает память ядра при поиске открытых файлов, быстрые изменения в памяти ядра могут привести к непредсказуемым результатам. Это один из основных недостатков использования команды lsof.
Для получения дополнительной информации, смотрите справку lsof:
$ man lsof
На этом все! В этой статье мы объяснили, как узнать, кто использует тот или иной файл в Linux.
Хочу рассказать, как настроить DHCP Snooping и DAI (Dynamic Arp Inspection). Материал будет полезен начинающим сетевым администраторам.
Коротко о технологии DHCP Snooping и DAI
Данные функции защищают вашу сеть от подмены DHCP сервера. На коммутаторах вручную настраиваются доверенные порты, которые как правило подключены к маршрутизатору или DHCP серверу. Также доверенными портами назначаются UpLink порты.
Другая возможность это Dynamic Arp inspection. Тоже защитная функция, предотвращающая атаку типа Man-in-The-Middle. Это такой вид атаки, когда к вашей сети подключается устройство злоумышленника и, например, объявляет, что IP адрес, принадлежащий авторизованному серверу, принадлежит ему. После этого все данные, которые отправляются на сервер переходят через устройство злоумышленника.
Настройка DHCP Snooping и DAI
Чтобы включить функцию DHCP Snooping нужно для начала задать доверенные и не доверенные порты. Все порты, к которому подключены конечные пользователи считаются не доверенными. Так как DHCP Snooping и DAI настраиваются в связке я не буду делить это на отдельные части:
AccSwitch#conf t
AccSwitch(config)#
AccSwitch(config)#int ra gi1/0/1-46
AccSwitch(config-if-range)#ip dhcp snooping limit rate 15
AccSwitch(config-if-range)#ip arp inspection limit rate 100
Тут мы задаем количество пакетов, которые должны проходить через не доверенный интерфейс. Обычно такого числа пакетов хватает для получения и обновления IP адреса. Далее настраиваем доверенные интерфейсы:
AccSwitch(config)#int ra gi1/0/47-48
AccSwitch(config-if-range)#ip dhcp snooping trust
AccSwitch(config-if-range)#ip arp inspection trustПосле этого глобально включаем DHCP Snooping, но НЕ ARP Inspection:
AccSwitch(config)#ip dhcp snooping
AccSwitch(config)#ip dhcp snooping vlan 200
AccSwitch(config)#no ip dhcp snooping information optionПоследняя команда отключает опцию 82, которая используется коммутатором в DHCP пакетах, идущих от DHCP клиента через коммутатор к DHCP серверу. Опция 82 содержит информацию об устройстве (например, MAC адрес коммутатора) и информацию о номере порта с которого идет запрос для того, чтобы сервер, опираясь на полученную информацию, смог выдать IP адрес DHCP клиенту из нужной подсети.
Далее переходим к настройке DAI. Если у вас в сети есть устройства со статическим IP адресом, то нужно как-то сказать коммутатору, чтобы порты, к которым подключены такие устройства не проверялись. Для этого существуют ARP списки доступа. Важно, чтобы название access-list-а было именно DAI. По личному опыту знаю, что в противном случае нужно вводить дополнительные команды. А так все работает без лишних команд.
AccSwitch(config)#
AccSwitch(config)# arp access-list DAI
AccSwitch(config-arp-nacl)# permit ip host 192.168.200.25 mac host 0017.6111.a309
В таком порядке добавляем IP адреса всех устройств со статическим IP. Дополнительно можно настроить Sorce Guard. Этим мы конкретное устройство к порту коммутатора, таким образом другое устройство подключенное к указанному порту не сможет выдать себя за привязанное:
AccSwitch(config)#ip source binding 0017.6111.a309 vlan 200 192.168.200.14 interface Gi1/0/5
Также под не доверенными интерфейсами нужно ввести команду ip verify source, которые проверяет источник запросов.
Важно! После всех настроек, приведенных выше, ждем сутки-две чтобы DHCP Snooping таблица заполнилась. В противном случае DAI будет блокировать все запросы, и пользователи не смогут работать в сети. Когда таблица заполнена включаем arp inspection:
AccSwitch(config)#ip arp inspection vlan 200