yazar Frederic Raynal Yazar hakkında: Frederic Raynal INRIA 'da (Institut National de Recherche en Informatique et Automatique). "computed image tattooing " konusunda bir tez hazırlıyor.Ayrıca, Bastille-Linux'un gelişiminde görev aldı. İçerik: Giriş Sunum Kurulum Adım adım IPChains Yama Kurulumu Dosya izinleri Hesap güvenliği Boot Güvenliği Güvenli Inetd Azaltılmış Kullanıcı Aygıtları MiscPAM Konfigirasyonu Logging Çokyönlü Daemonlar Sendmail Sisteme Uzaktan Erişim DNS Apache Yazdırma FTP Biraz daha hile ve ipucu Sonuç Kaynaklar Bu makaleyle ilgigi görüş bildirim formu

Bastille-Linux

Çeviri : Hasan Serhan Akın

Özet:

Haziran başlarında piyasaya çıkan, Bastille-Linux'un 1.1 sürümü yeni bir linux dağıtımı değil ancak sisteminizi olası zayıflıklara karşı daha iyi koruyabilecek bir grup betik. Yazarların yaklaşımı ise oldukça eğitici ve böylelikle bizler bu betiklerileri kurarken pek çok şey öğrenebileceğiz.

Giriş

Bu proje Jon Lasser(ana koordinatör) ve Jay Beale(temel geliştirici) tarafından yönetilmekte. Pek çok diğer geliştirici, yazılım tasarımcısı ve beta sürümlerini test edenler dahi bu işte pay sahibiler.

Her şeyden önce,şunu açıklığa kavuşturalım:Bastille-Linux yeni bir linux dağıtımı değil! Sadece Linux güvenliğini geliştirmek niyetiyle perl ile yazılmış bir grup betik.

Burada bilgisayar güvenliği şu anlamama gelmektedir:Makininize istenmeyen kişilerin girişi nasıl engellenebilir?.Basitille-Linux, Linux dağıtımınızın temel kurulumunu değiştirerek cevabın bir kısmını oluşturmakta.

Her sistem yöneticisinin basit bir görevi, kullanıcı ihtiyaçlarını bilmek ki bu sadece onların istekleri degildir aynı zamanda kullanılmayan programların ağda çalışmasını önlemektir ki böylelikle ağ güvenlik açıklarının oluşumuna mani olunmuş olunur.Bana yol gösterici insanlardan biri demişti ki:En az yaptığın daha iyidir.:)Tabii ki o algoritma karışıklığından bahsediyordu ancak bu ağ yönetimi için de söylenebilir:Çalışan ne kadar çok şey varsa bu o kadar saldırı alanı sağlar.Savunmasızlığı azaltmak için gerçekten ihtiyacınız olan şeyleri kurmalısınız.

Bastille-Linux saldırı olasılıklarını azaltmaya çalışır.Buna ulaşabilmek için yazılım tasarımcıları çok eğitici bir yaklaşıma sahipler:Onlar yapacaklarını adım adım anlatmaktalar.

Sunum

Kullanışşızlığı bir yana , Bastille-Linux son derece eğitici.Kodlar detaylı bir biçimde açıklamalı olarak yazılmış.Burada,geliştiriciler kullanıcıyı eğitmeyi amaçlıyorlar. Mevcut cevapların sonuçlarını ve soruların içeriğini anlatıyorlar. Bu da Bastille-Linux'u kullanımı kolay yapıyor.

Daha ileri kullanıcılar içinperl ile yazılmış kaynak kod son derece net:Her yorum hangi şeyin ne yaptığını açıklamakta

Burada 1.1.0 sürümünün bir kaç özelliği bulunmakta:

• Betikler şu an zaten kullanılmış sistemlerde çalışabilmekteler.
• undo fonksiyonu : her Bastille-Linux değişiklik dosyası tekrar kurulum için yedeklenir
• İlk olarak, Bastille-Linux RedHat ve Mandrake için çıkarıldı:Artık bu geçerli değil. Şu an betiği çalıştırdığınız dağıtıma göre doğru dosya yolunu sağlayan bir modül var.

Bu genel modüller şunlar için kullanılır:

1. Firewall yüklenimi
2. Sistem yazılımı yenilenmesi
3. SUID-rootda Audit programları
4. Yararsız servisleri kısıtlamak veya aktifliğini kaldırmak

Bazı güvenlik fonksiyonları farklı koruma seviyelerini sunar(bu daha öce söylediğimim fazla ve karışık programların çalıştırılmasıyla ilgili söylediklerime ters düşüyor ancak birgün başvurmak zorunda kalabilirsiniz)Her servis ve olası güvenlik açığını korumak zorunda değilsiniz.Böylece eğer biri herhangi bir şekilde görevini yapamazsa bir diğeri onun yerine sisteminizi korumaya devam eder.

Kurulum

Bastille-Linux zipli arşiv dosyası olarak .tgz at bastille-linux.sourceforge.net adresinden temin edilebilir. Bu arşiv sadece 134 Ko kadar. Download edildikten sonra, bu arşiv dosyayısını açın (tar xzf Bastille-1.1.0.tgz).

Dört betik Bastille-Linux'u yönetir:

• InteractiveBastille.pl : Bu betik kullanıcıya sistemde ne yapılacağına dair sorular sorar.Sonra verilen cevaplara göre bir config dosyası oluşturur.
• AutomatedBastille.pl : Bir konfigirasyon betiği yardımıyla firewall kullanımı seçimini önererek varsayılan konfigirasyonu yükler.Bu script daha fazla sürdürülmez.
• BackEnd.pl : Bu ise sistem değişiklikleri ile ilgilidir.Parametrelerini ilk verdiğiniz cevaplardan alır.
• Undo.pl : BackEnd.pl'i çalıştırdığınızda birkaç dosya sistemi(/etc/syslog.conf,/etc/inetd.conf, /etc/hosts.*, ...) değiştirilir.Tehlike ihtimaline karşı restore edilebilmeye imkan sağlamak için /root/Bastille/undo dizinine backup dosyalarını yedekler.

Başlamadan önce birkaç not.

1. Betiği /root/Bastille dizinin altından çalıştıracağınızı zannediyorsunuz ... İleriki bir versiyonda bu değişebilir ve bu betiği herhangi bir yerden çalıştırabiliyor olabilirsiniz (Belki bu, yazıyı okurken çoktan yapılmış olabilir )
2. İki modül hesap oluşturulmasına olanak sağlar ... tabii shadow passwords'u sisteminize kurduktan sonra. Bu varsayılan kurulum, fakat /etc/passwd'un şifre tutmadığına , /etc/shadow dosyasına erişebilmek için root olamanız gerektiğini ve son dosyanıngerçekten şifreleri tutması gerektiğini kontrol edin !
3. Bastille-Linux halen modüller arasındaki bağlantıları gerçekleştirememekte,kernel konfigürasyonunda olduğu gibi (gelecek bir sürümde bu mevcut olacak).Bir modüldeki cevaba ve sonuçlarına dikkat edin.Böylece, IPChains modülünün 2049 nolu portu kapamasını ve çeşitli daemon modülünden aktif daemonlar listesinde NFS'i tutmasını sağlayabilirsiniz (NFS bu portu kullanır).

Adım adım

IPChains

Bu betik iyi bir yöntemle çalışır. Hesabı iki ağ arayüzüne alır:biri dışarıyla haberleşme diğeri yerel ağla haberleşme.Amaç,makinedeki mevcut servisleri saptamak ve diğerlerini durdurmaktır.Varsayılanı dışarıdan gelen herşeyi reddetmektir. Sonra,betik bazı servislerin mevcut olmasını sağlayacak kuralları tanımlar.

Betik TCP,UUDP ve ICMP protokollerini yönetir. Bu betik, izlemek için yada her protokolden sakınmak amacıyla servislerin listelerini sağlar

Yama kurulumu

Maalesef,bu betik çok iyi çalışmıyor,oldukça karışık çünkü önce kurulmuş paketleri aralarından da güncellenmiş olanlarını saptamanız gerekiyor. Sonra,yamayı indirmeli ve kurmadan önce onu değiştirilip değiştirilmediğini kontrol etmelisiniz.(transer esnasında yada bir hacker tarafından değiştirilmiş olabilir) Bu sadece kullandığınız dağıtıma bağlı

Şu dakikada, Jay Beale bu adımı elle gerçekleştirmenizi fakat ihmal etmemenizi önermektedir. Bu modülün daha işlevsel sürümü geliştirilme aşamasında ve çok yakında çıkacak

Dosya İzinleri

• Would you like to set more restrictive permissions on the administration utilities [N] ?
  Bazı programlar herkesin erişebileceği durumda olmamalıdır.Bastille-Linux size programların etkileyici bir listesini sağlar ki bunların hakları 0750 yapılabilir.
• Sonraki SUID bit ile ilgilidir. Bu bit bir programın root haklarına sahip bir kullanıcı tarafından çalıştırılmasına izin verir. ('s' 4, 7 and 10 durumunda)
  >>ls -l /bin/ping
  -rwsr-xr-x 1 root root 17968 Mar 6 15:57 /bin/ping
  Bu bit, kullanımı kolaylaştırırken güvenliği azaltır. Eğer biri bir açığı tesbit ederse, o kişi root olabilecektir.
  Bastille-Linux bu bitin mount/umount, ping, dump/restore, cardctl, ... gibi programlardan kaldırmalarını önerir.Bu liste diğerlerinin içinden ping ve traceroute 'u içerirki bu ikisi sunucunun durumunu kontrol eder.Bunların SUID bitlerini kaldırmak pek akıllıca değildir ancak makinenin standart kullanımını engellemez.
  Bu SUID-root programlarının listesi içinde r-komut şeklindeki komutları dahi bulabilirsiniz.Bu rcp, rlogin veya rsh gibi programlarla ilgilidir. Bunlar ağa gönderilen verileri şifrelemezler. Dahası bunlar 'authentication'(doğrulama) sayesinde sadece IP adreslerini kullanırlar. Bu yetersizdir (aldatılma olasılığı vardır).

Hesap güvenliği

• Would you like to set up a second UID 0 account [N] ?
  Bu soruya verilecek yes cevabı sisteminizde başka bir root hesabı oluşturur.Bu durumda yeni oluşturduğunuz root hesabının kullanmak yerine ,orjinal olanını kulanmamalısınız .Bu root şifresinin kırılma olasılığını iki kat arttırır... ancak size root bilgisini kimin kullandığını /var/log dosyalarından görme olanığı tanır .
• May we take strong steps to disallow the dangerous r-protocols? [Y]
  Yukarıda bahsedildiği gibir-komutları bir makine üzerinde yeni bir hesap almakta güçlü bir vasıtadır: Şifreler açık yazı dosyaları halinde transfer edilirler!
  Bastille-Linux r-komutlarının PAM (Pluggable Authentication Modules) ile çalışmasını yasaklar,izinlerin çalıştırılmasını kaldırır, tcp_wrapper (rlogind, rexecd and rshd)'da bulunan sunucuları durdurur.Bunlar yorum olarak konulmaları gereken /etc/inetd.conf dosyasından konfigüre edilir.
• Would you like to enforce password aging? [Y]
  Şifreler her 180 günden sonra değiştirilecektir.Şifresi değişmemiş hesapların etkinlikleri durdurulacaktır.
• Would you like to create a non-root user account? [N]
  root hesabınızı mümkün olduğunca az kullanın.Gerçekte rm -rf / komutunu root olarak çalıştırmak tam bir felakettir... fakat sıradan bir kullanıcı için bu biraz daha küçük çapta bir felakettir. Sadece yönetimle ilgili işler root olarak yapılmalıdır.
•  Would you like to restrict the use of cron to administrative accounts? [Y]
  cron işlerin otomatik olarak yapılmasını sağlar.Örneğin, bir yönetici düzenli esaslarda dosyaların bütünlüğünü kontrol için veya /var/log'da dosyaları aramak için bunu kullanabilir.Diğer taraftan,her kullanıcıya çok fazla bir ayrıcalık izni vermeye de yarayabilir.Bastille-Linux /etc/cron.allow isimli, kullanıcıların bu servisi kullanabileceği bilgisini içeren bir dosya oluşturur.

Boot Güvenliği

Açıkçası bu yeterli değildir. Bir bilgisayarı fiziksel olarak korumak için, BIOS şifresi konulmalı,makine sadece hard diskden boot edilmeli , kasa başka biri hard diskini takamayacak şekilde kitlenmeli... Bu ,tabii ki,paranoyakça bir davranış ve güzel bir nedeniniz olmadığı sürece bunları yapmanız gereksiz.

Yazılım açısından,bazı kısıtlamalar aşağıda bahsedilen ile mukayese edildiğinde iyi bir uzlaşı sağlar.

• Would you like to password-protect the LILO prompt? [N]
  Yes cevabı, rebootlamadan sonra sisteme istenmeyen kişilerin girişini engeller.
• Would you like to reduce the LILO delay time to zero? [N]
  Bu yol, boot esnasında birilerinin parametre sağlamasını engellemeye yarar.Eğer sisteminizde farklı işletim sistemleri çalışıyorsa,bunu yapmamalısınız.Çünkü sadece varsayılan işletim sistemi çalışacaktır.
• Do you ever boot Linux from the hard drive? [Y]
  Eğer önceki sorulardan birine evet cevabı verdiyseniz ve diskinizde LILO kurulu ise buna da LILO değişikliklerinin diske yazılması için yes cevabını verin.
• Would you like to write the LILO changes to a boot floppy? [N]
  Eğer bir boot flopy'e sahipseniz,acil durum veya linuxu boot etme yolunun bu olması durumu için değiştirilmeyi onaylayın.
• Would you like to disable CTRL-ALT-DELETE rebooting? [N]
  Bu birinin makineyi rebootlamasını engellemek içindir.Fakat elektrik bağlantısı korunmadığı sürece faydasızdır:-)
• Would you like to password protect single-user mode? [Y]
  Daha önceden de gördüğümüz üzere hiçkimsenin makinede root olmamasını sağlamak güzel bir fikir gibi görünüyor.

Güvenli Inetd

Örneğin, RedHat6.0 DNS'deki bir hata uzaktan root olabilmeye olanaktanıyordu.Bahsedilen servisin etkinliğini kaldırmak yada ayrıcalıkları azaltmak bu sıkıntıdan korunmayı sağlıyordu.

Bazı protokoller,daha önce bahsedilen r-komutları hatta ftp veya telnet gibi protokoller oldukça savunmasız. Başkaları makine hesaplarındaki bilgileri elde edebilme olanağına (Mesela;finger veya identd)sahipler. Bu servislerden bir çoğu, verilen bir servisin dosyalarınin(/etc/hosts.{allow, deny} aracılığı ile) girişini kontrole olanak tanıyan tcp_wrapper  tarafından yönetilir. Sonra, bir kez paketleyici istemcinin servise girişine onay verdiğinde ,iletisimdeki sunucuya istemde bulunur.

Bu kısım hala biraz katı ancak gelecek sürümlerde değiştirilmeli.

• Would you like to modify inetd.conf and /etc/hosts.allow to optimize use of Wrappers? [Y]
  Bastille-Linux bu iki dosyayı kurar. İhtiyaçlarınız doğrultusunda daha eksiksiz parametrelerle geçmek açısından bu dosyalara bir göz atmak ilgi çekici olabilir.
• Would you like to set sshd to accept connections only from a small list of IP addresses? [N]
  sshd güvenli bir yöntemle bağlantıyı sağlayan bir daemondır (anahtar değişiklikleri,şifre ve veri kodlamaları ...).Bu telnet, rlogin, rsh, rcp ve ftp ile tam bir yer değişikliği durumunda. ssh 'ın BSD lisansı altındakine eşdeğerini söyleyelim: OpenSSH.
• Would you like to make "Authorized Use" banners? [Y]
  Makinenize bağlanmaya çalılan herkes bu sunucuya bağlanmasına izin verilip verilmediğine dair bir uyarı mesajı alacaktır. Bu mesaj /etc/motd dosyasında bulunabilir.

Azaltılmış Kullanıcı Aygıtları

Daha sonra,kimse hiçbirşey derlemek zorunda değilse sadece serverın bulunduğu makineden derleyici kaldırılır. 

MiscPAM konfigürasyonu

PAM 'ın açılımı "Pluggable Authentification Module" şeklindedir. Bu, sistem yöneticisinin her uygulama için kullanıcı "authentication"larının çeşitlerini,onların sahip olduğu hakları,kullanabileceği kaynakları...vb seçmesini sağlayan bir kütüphanedir.

• Would you like to put limits on system resource usage? [Y]
  /etc/security/limits.conf dosyası sistem limitlerini içerir. Bastille-Linux onları şu yolla değiştirir:
  • core dosyaları 0 ile sınırlandırılır;
  • Her kullanıcı 150 process çalıştırabilmekle sınırlandırılır ;
  • Azami dosya ölçüsü 40Mb ile sınırlandırılır.
  Her değer daha sonra konfigirasyon dosyasından doğrudan değişitirilir.
• Should we restrict console access to a small group of user accounts? [N]
  RedHat6.0/6.1 'da konsoldan bağlanan kullanıcılar ,CD-ROM'u mount edebilmek gibi ayrıcalıklara sahipler. Kullanıcıların bir grubuna konsoldan girişi kısıtlamak mümkündür.Bu soru bu kullanıcılar için böyle bir yöntem uygulayıp uygulamamayı tanımlamaya olanak tanır.

Logging

Eğer az sayıda çalışan servisiniz varsa her problem /var/log dosyalarından süratle gösterileceği dikkate değerdir.Diğer taraftan, sisteminizde gereksiz pek çok servis çalışır durumdaysa /var/log dosyaları çok büyük olucak ve yönetilmesi daha zorlaşacaktır (Bu durumda bu iş için hazırlanmış betikler kullanılabilir).

Bu modül /etc/syslog.conf dosyasına yemi kontroller ekler.

• Would you like to add additional logging? [Y]
  Bastille-Linux çekirdekden gelen mesajlar ve önemli sorunların (firewall mesajları bu kategorinin bir kısmını oluşturur)kaydı için bir /var/log/kernel dosyası oluşturur. Bazı bilgiler 2 terminale gönderilir (TTY 7 and 8). /var/log/loginlog isimli yeni bir dosya sisteme bağlanan kullanıcıları kaydeder.
• Do you have a remote logging host? [N]
  Eğer mesajlarınızı yollayacağınız başka bir makine yoksa cevabınız hayır olmalı.
• Would you like to set up process accounting? [N]
  Linux altında, komutkarın ne zaman ve kim tarafından kullanıldığını kayıtlamak mümkündür.Eğer makine aktivitesini konrol etmek faydalıysa bu kayıt çabucak çok büyük bir dosya halini alır.Tabii ki bu çok sistem kaynağı tüketir ve ihtiyacınız olmadıkça bu özelliği etkin halde tutmamak daha iyi olur.

Çokyönlü Daemonlar

Sendmail

Daha önce söylediğimiz gibi sendmail'in ileti almak ve yollamak için daemon olarak çalıştırılması gereksizdir.Ev kullanıcıları için sendmail (netscape oldukça yarasızdır,çünkü herhangi bir mail istemcisi rmail, pine, mutt, vb...) kullanılır.İleti kabul edebilmek için sendmail 'i düzenli bir temel üzerinde mailboxınızı kontrol amacıyla etkin hale geçirebilirsiniz .
 

• Do you want to leave sendmail running in daemon mode? [Y]
  Henüz gördük ki pek çok durumda bu faydasız ve tehlikelidir, o halde onu aktif halde kullanmamak daha iyidir. .
• Would you like to run sendmail via cron to process the queue? [N]
  Bunu kullanmakla, sendmail her 15 dakikada bir mail sırasını kontrol eder. Bu parametreleri /etc/sysconfig/sendmail dosyasından değiştirebilirsiniz.
• Would you like to disable the VRFY and EXPN sendmail commands? [Y]
  Bu komutlar hackerlar ve spamming için faydalı bilgi sağlar.

Sisteme Uzaktan Erişim

session key uzunluğu 128 biti aşmayan yazılımalr kulllanabilirsiniz .Önce session key'in . ne olduğunu anlatalım.Bu veriyi şifrelemekte kullanılan bir anahtardır. Bu session key, istemci ve sunucu tarafından adım adım kurulur:anahtar değişim protokolünden ( pek çok durumunda Diffie-Hellman) gelir,kurulumda her üyenin anahtarının bir kısmından bir anahtar içerir.Daha sonra bu session key simetrik bir algoritmaya göre şifrelemekte kullanılır.Böylece, Unix parolalarını şifrelemekte kullanılan DES 56bitlik bir anahtarla simetrik bir algoritmadır.

128 bitlik anahtar işlerin güvenliği ve rahatlığının garantisi için oldukça yeterlidir:EVET!Bugün dahi DES'in çok da güvenli olmadığı söylenmektedir.En iyi saldırılar pek çok insanın sahip olduğu CPU güç menzilinin içinde olmaz. Diğer taraftan 2k uzunluğundaki bir anahtarın bulunmasının k uzunluğundaki bir anahtardan daha zor olduğuna inanmak bir hatadır.Olayın bir parçası olarak eğer zorluk bir eksponensiyal ise bu anahtar boyutundan daha hızlı büyür.  k uzunluğunun bir anahtarı için 2^k ihtimal anahtar mevcuttur (ve aynı şekilde 2k uzunluk için 2^2k). Sonra anahtar uzunluğunu   2 ile çarpıp,  olası anahtarları ekleriz.DES(56 bit)'i kırmanın zorluğunu farkettiğinizde 128 bit anahtarları kırılamaz olarak umabilirsiniz.  Saldıran olarak baktığınızda ise,  bu sınırı artırmak   sadece zorluğu imkansız seviyeden daha imkansız seviyeye taşır.

4 farklı yazılım paketi benzer hizmetleri sağlar: