Linux - Sicherheit

• Black Hats
• Grey Hats
• White Hats
• Script Kiddies
• Mitarbeiter

Beliebte Szenarien sind:

• Datendiebstahl
• Entführung (Hijacking)
• Denial-of-Service
• Ransomware
• Man-In-The-Middle
• Zombies und Bots
• Crypto Mining (Cryptojacking)ptojackingCryptojackingCryptojackingccs

• Sichere Passwörter
• Hardware-Token (USB-Stick mit Zertifikat, Yubi-Key)
• Mehrfaktor-Authentifizierung

Installation/Konfiguration
auf Debian 7 (Wheezy)

   # apt-get install apparmor apparmor-profiles apparmor-utils

   # perl -pi -e 's,GRUB_CMDLINE_LINUX="(.*)"$,GRUB_CMDLINE_LINUX="$1 apparmor=1 security=apparmor",' /etc/default/grub

   # update-grub

   # reboot

Kontrolle:

   # grep armor /proc/cmdline             (Es muss u.a. "apparmor=1 security=apparmor" auftauchen)

   # ps auxZ | grep -v ^unconfined    (Linux-Daemons anzeigen, die reglementiert werden)

   # aa-status                                        (Alle Reglementierungen anzeigen, auch Apps wie Webbrowser)

     ==> Hierbei lässt sich beobachten, dass sich Anwendungen in zwei grundlegenden Modi befinden können:

           a) enforce (Profile anwenden, blockieren)

                   --> Eine leicht modifizierte Unterform ist "audit", dieser Modus loggt alles mit

                         (abgearbeitete und nicht abgearbeitete Regeln für Debugging-Zwecke)

           b) complain (Profile nicht anwenden, alles akzeptieren, = Lernmodus)

          -->  Entprechende Kommandos: aa-enforce, aa-audit, aa-complain

Vorgefertigte Profile mit Zugriffsregeln werden in unterschiedlichem Umfang von den Distributionen ausgeliefert, sie liegen unter:

   /etc/apparmor.d/

z.B.:  ls -l /etc/apparmor.d/*mbd

                 -rw-r--r-- 1 root root  680 Jul 16  2012 /etc/apparmor.d/usr.sbin.nmbd

                 -rw-r--r-- 1 root root 1396 Okt 15 11:12 /etc/apparmor.d/usr.sbin.smbd

Ziel: Profilerstellung mit 'aa-genprof' für die Webbrowser "netsurf" und "midori":

     # apt-get install netsurf midori

   ==> Neues Profil im Monitor-Modus für "netsurf" erzeugen (Interaktive Überwachung beim Starten einer App)

    # aa-genprof /usr/bin/netsurf

    Jetzt als normaler Benutzer netsurf starten und einige Webseiten ansteuern:

    ALT  +  F2:  netsurf

   --> (S)can -> (A)allow {Diese Taste festhalten bis "(S)ave Changes" zu lesen ist} -> (S)ave -> (F)inish

   Finished generating profile for /usr/bin/netsurf. ("netsurf" läuft jetzt bereits im "enforce"-Modus)

   Kontrolle   cd /etc/apparmor.d ; view usr.bin.netsurf-gtk

                   aa-status | less

                   ALT  +  F2:  netsurf

   ==> Neues Profil im Monitor-Modus für "midori" erzeugen

    # aa-genprof /usr/bin/midori

    Jetzt als normaler Benutzer Midori starten und einige Webseiten ansteuern

    ALT  +  F2:  midori

   --> S -> A -> S -> F

   Finished generating profile for /usr/bin/midori. (Midori läuft jetzt bereits im "enforce"-Modus)

ls -ltrc | tail -5

drwxr-xr-x 2 root root 4096 Okt 15 10:38 local

drwxr-xr-x 2 root root 4096 Okt 15 10:47 cache

-rw-r--r-- 1 root root 1396 Okt 15 11:12 usr.sbin.smbd

-rw-r--r-- 1 root root 5287 Okt 15 12:48 usr.bin.netsurf-gtk

-rw-r--r-- 1 root root 6366 Okt 15 13:04 usr.bin.midori

   Nun wieder als normaler Benutzer testen, ob alles läuft:

   ALT  +  F2: midori

Es tritt ein Fehler auf:

Neben dem syslog meldet das Terminal beim Starten von "midori" ebenso aussagekräftig die Ursache:

  #     Die Konfiguration konnte nicht geladen werden: Keine Berechtigung

  #     I/O error : Permission denied

  #     I/O error : Permission denied

  #     I/O warning : failed to load external entity "/home/axel/.config/midori/session.xbel"

--> Das read-Recht 'r'  muss in folgender Zeile hinzugefügt werden:

      /home/*/.config/midori/session.xbel rw,

Nach Änderungen in dieser Datei die Regeln neu einlesen z.B. durch wiederholendes Ausführen des selben Modis: 'aa-enforce usr.bin.midori'

AUFGABE: Richten Sie ein Profil für den PDF-Reader "evince" ein. Prüfen Sie, ob Ihre Distribution bereits ein solches mitbringt.

Vom einfachen 'chroot' bis hin zu

• firejail
• systemd-nspawn
• Linux Container (LXC)
• bubblewrap

Einrichtung:

Installation

  # apt-get install aide-common aide-dynamic

Konfiguration (Nicht mit in die DB aufzunehmende Pfade am Ende der Datei notieren)

  # vi /etc/aide/aide.conf

        !/usr

        !/opt

        !/home

        !/dev

        !/var

        !/tmp

        !/srv

        !/selinux

        !/root

        !/sys

        !/proc

        !/run

        !/net

        !/media

Initialisierung (Dabei wird eine erste Datenbank '/var/lib/aide/aide.db.new' erzeugt)

  # aideinit

ACHTUNG: die Datei 'aide.db.new' muss auf einen read only Medium (CD/DVD) gesichert werden, um

später ausschlißen zu können, dass die Referenzdatenbank vom Angreifer verändert wurde.

Testweise eine Datei verändern

   # chmod 777 /bin/ps

Prüfung der Datenintegrität

  # aide --config /var/lib/aide/aide.conf.autogenerated --check

  (Hier muss gemeldet werden, dass das Programm '/bin/ps' verändert wurde.

Aufzeichnungsfilter (Capture-Filter) werden mit tcpdump-Sprache definiert,

für Display-Filter kommt eine eigene Sprache zum Einsatz.

Capturefilter:

   -i <INTERFACE>

   host <Remote Host>

   and      (== Log. UND Verknüfpung)

   not       (Negierung des Filters)

   port <Port Number>

Z.B. bei SSH-Login auf Firewall:

   tcpdump -i eth0 host 192.168.8.200 and not port 22

Ganze Netzwerk scannen:

   # nmap -P0  -v  192.168.8.0/24

Ein spezieller Angriff zum Testen der Verwundbarkeit mit Hilfe der Scripting Engine

(Dateien unter /usr/share/nmap/scripts/):

   # nmap --script  http-malware-host  192.168.8.102

Intensiver Scan:

   # namp -A -T4 192.168.8.102

Erzeugen Sie eine Tabelle namens "eingehend" mit einer Regel "dropping", die alle eingenden Anfragen zum Port 135 blockieren.

nft add table eingehend

nft list tables

    table eingehend

nft list table eingehend

    table ip eingehend {

    }

nft add chain ip  eingehend  dropping  { type filter  hook input  priority 0 \; }

nft list table eingehend

    table ip eingehend {

           chain dropping {

                 type filter hook input priority 0;

           }

    }

nft add rule ip eingehend dropping  iif eth0 tcp dport 135  drop

nft list table eingehend

    table ip eingehend {

           chain dropping {

                    type filter hook input priority 0;

                    iif eth0 tcp dport epmap drop

          }

   }

Server-Listening mit "netcat":

     nc -l 135 < /etc/hostname

  ->  Kein Zugriff von außen auf diesen Dienst möglich!

NAT sicherer machen:

iptables -t nat -A PREROUTING -i eth1 -s any/0 -j DNAT --to-destination 0.0.0.0

• gufw (GUI für ufw)
• fwbuilder (allg. Werkzeug um z.B. auch für Cisco Firewallskripte zu erstellen)
• firewall-config (für 'firewalld')

Wie heißen Konfigurationsdateien für Clients?

  a) Systemweit: /etc/ssh/ssh_config

  b) Bentzerspezifisch:  ~/.ssh/config

         Mit 'StrictHostKeyChecking yes' kann festgelegt werden, dass keine
         neuen Server mehr akzeptiert werden sollen.

         ("ask" ist Standardeinstellung, mit "no" wird keine Frage mehr gestellt,
         ob der Server vertrauenswürdig sei, die Datei '~/.ssh/known_hosts' wird

         automatisch mit dem Publickey versehen)

Wie würde ein ssh-Tunnel definiert werden müssen, wenn Sie zum Port 25 des Rechners mail.example.com ein sicherer Verbindung aufbauen wollen?

Der E-Mail-Client soll später mit der Mail-Serveradresse 'localhost:2555' konfiguriert werden.

Der entfernte ssh-Server auf 'mail.example.com' lauscht auf dem Standard-Port 22.

Lösung:

    ssh -L  2555:localhost:25  mail.example.com

Ein enstprechender zweiter Tunnel für das Abholen von E-Mail via IMAP könnte so lauten:

    ssh -L 1143:localhost:143 mail.example.com