Securiser serveur dedie - Historique des versions

Let's Go le 3 février 2015 à 04:08

2015-02-03T04:08:56Z

Let's Go : /* RKHunter */

2015-02-02T17:13:25Z

‎RKHunter

Let's Go : /* Utilisation */

2015-02-02T17:05:31Z

‎Utilisation

Let's Go : /* Logwatch */

2015-02-02T17:04:40Z

‎Logwatch

Let's Go le 2 février 2015 à 16:16

2015-02-02T16:16:57Z

Let's Go le 2 février 2015 à 14:19

2015-02-02T14:19:37Z

Voir les modifications

Let's Go : /* Configuration Fail2Ban */

2015-02-02T12:46:56Z

‎Configuration Fail2Ban

Let's Go : /* Configuration Fail2Ban */

2015-01-31T15:03:42Z

‎Configuration Fail2Ban

Let's Go : /* Configuration Fail2Ban */

2015-01-31T14:55:18Z

‎Configuration Fail2Ban

Let's Go : /* Installation Fail2Ban */

2015-01-31T13:55:06Z

‎Installation Fail2Ban

@@ Ligne 7 : / Ligne 7 : @@
 * Fail2Web,
 * Logwatch,
-* Portsentry,
+* Psad,
-* Port Knocking,
+* Snort,
 * RKHunter
@@ Ligne 486 : / Ligne 486 : @@
    logwatch restart
-=<font color="blue">Portsentry</font>=
+=<font color="blue">Psad</font>=
-==<font color="blue">Installation Portsentry</font>==
+==<font color="blue">Installation Psad</font>==
 =<font color="blue">Port Knocking</font>=
-==<font color="blue">Installation Port Knocking</font>==
+==<font color="blue">Installation Snort</font>==

← Version précédente		Version du 2 février 2015 à 17:13
Ligne 494 :		Ligne 494 :

	=<font color="blue">RKHunter</font>=		=<font color="blue">RKHunter</font>=
		+
	==<font color="blue">Installation RKHunter</font>==		==<font color="blue">Installation RKHunter</font>==
		+
		+	apt-get install rkhunter -y
		+
		+
		+	==<font color="blue">Configuration RKHunter</font>==
		+
		+	Voici la configuration par défaut :
		+
		+	# Defaults for rkhunter automatic tasks
		+	# sourced by /etc/cron.*/rkhunter and /etc/apt/apt.conf.d/90rkhunter
		+	#
		+	# This is a POSIX shell fragment
		+	#
		+	# Set this to yes to enable rkhunter daily runs
		+	# (default: true)
		+	CRON_DAILY_RUN=""
		+	# Set this to yes to enable rkhunter weekly database updates
		+	# (default: true)
		+	CRON_DB_UPDATE=""
		+	# Set this to yes to enable reports of weekly database updates
		+	# (default: false)
		+	DB_UPDATE_EMAIL="false"
		+	# Set this to the email address where reports and run output should be sent
		+	# (default: root)
		+	REPORT_EMAIL="root"
		+	# Set this to yes to enable automatic database updates
		+	# (default: false)
		+	APT_AUTOGEN="false"
		+	# Nicenesses range from -20 (most favorable scheduling) to 19 (least favorable)
		+	# (default: 0)
		+	NICE="0"
		+	# Should daily check be run when running on battery
		+	# powermgmt-base is required to detect if running on battery or on AC power
		+	# (default: false)
		+	RUN_CHECK_ON_BATTERY="false"
		+
		+	Nous ne voyons pas l'utilité de la modifier, après libre à vous de l'adapter à vos besoins.

@@ Ligne 398 : / Ligne 398 : @@
 ==<font color="blue">Utilisation</font>==
-Générer un rapport dans le termina, la valeur '''Output''' doit être définis sur '''stdout''' :
+Générer un rapport dans le terminal, la valeur '''Output''' doit être définis sur '''stdout''' :
    logwatch
@@ Ligne 406 : / Ligne 406 : @@
 logwatch –detail high –logfile messages –mailto votre_mail@domaine.fr
 ==<font color="blue">Configuration Logwatch</font>==

@@ Ligne 379 : / Ligne 379 : @@
 =<font color="blue">Logwatch</font>=
 ==<font color="blue">Installation Logwatch</font>==
 =<font color="blue">Portsentry</font>=

@@ Ligne 22 : / Ligne 22 : @@
    aptitude install fail2ban -y
-=<font color="blue">Configuration Fail2Ban</font>=
+==<font color="blue">Configuration Fail2Ban</font>==
 [[Fichier:Warning.png]] Pensez à faire des sauvegardes des fichiers que vous modifiez !<br />

@@ Ligne 64 : / Ligne 64 : @@
    maxretry = 6
-Remplacer '''false''' par '''true''' pour activer le jail puis redémarrez Fail2Ban (service fail2ban restart ou invoke-rc.d fail2ban restart).
+Remplacer '''false''' par '''true''' pour activer le jail puis redémarrez Fail2Ban ('''service fail2ban restart''' ou '''invoke-rc.d fail2ban restart''').
@@ Ligne 74 : / Ligne 74 : @@
 Si vous avez un serveur web sous apache, activer les jails le concernant.
 Si vous avez un serveur FTP, activer le jail en conséquence.<br />
-Si vous avez un serveur web Nginx, il vous faudra ajouter ses jails :
+Si vous avez un serveur web Nginx, vous pourrez ajouter ses jails dans '''/etc/fail2ban/jail.conf''':
 	<br /><code>[nginx-auth]<br />
@@ Ligne 164 : / Ligne 164 : @@
          user .* password mismatch.*client: <HOST>
    ignoreregex =
 '''nginx-login.conf'''
@@ Ligne 179 : / Ligne 201 : @@
    ignoreregex =
-[http://snippets.aktagon.com/snippets/554-how-to-secure-an-nginx-server-with-fail2ban source de cette configuration]
+On créer la configuration pour le jail '''portscan''':
-Les logs de Fail2Ban sont dans le répertoire '''/var/log/fail2ban'''.
+'''portscan.conf'''
 =<font color="blue">Interface Web pour Fail2Ban</font>=

@@ Ligne 17 : / Ligne 17 : @@
 =<font color="blue">Configuration Fail2Ban</font>=
-[[Fichier:Warning.png]] Pensez à faire des sauvegardes des fichiers que vous modifiez !
+[[Fichier:Warning.png]] Pensez à faire des sauvegardes des fichiers que vous modifiez !<br />
 [[Fichier:Warning.png]] Nous utilisons l'éditeur '''nano''' donc pour sauvegarder une modification, faites '''CTRL''' + '''O''' puis '''Entrée'''.
@@ Ligne 185 : / Ligne 185 : @@
 =<font color="blue">Les commandes Fail2Ban</font>=

← Version précédente		Version du 31 janvier 2015 à 14:55
Ligne 16 :		Ligne 16 :

	=<font color="blue">Configuration Fail2Ban</font>=		=<font color="blue">Configuration Fail2Ban</font>=
		+
		+	[[Fichier:Warning.png]] Pensez à faire des sauvegardes des fichiers que vous modifiez !
		+	[[Fichier:Warning.png]] Nous utilisons l'éditeur '''nano''' donc pour sauvegarder une modification, faites '''CTRL''' + '''O''' puis '''Entrée'''.
		+
		+
		+	cp /etc/fail2ban/jail.conf{,.defaut}
		+	cp /etc/fail2ban/fail2ban.conf{,.defaut}
		+
		+
		+	Le fichier '''fail2ban.conf''' ne sera pas expliquez dans ce tutoriel car nous n'en voyons pas l'utilité.
		+
		+
		+	Maintenant, comment paramétrer toutes ces variables ?
		+
		+	* ignoreip = 127.0.0.1/8 [[Fichier:icon11.gif]] Ajouter votre IP si vous avez la chance d'avoir une IP fixe, ceci aura pour effet de ne pas vous bannir en cas de mauvaise manipulation.
		+	* bantime = 600 [[Fichier:icon11.gif]] Durée du bannissement en cas d'échec.
		+	* maxretry = 3 [[Fichier:icon11.gif]] Nombre d'erreurs maximales pouvant être atteints avant d'être ban.
		+	* destemail = root@localhost [[Fichier:icon11.gif]] Adresse mail recevant les notifications des bans.
		+	* action = %(action_)s [[Fichier:icon11.gif]] devra être remplacé par '''action = %(action_mwl)s''' ou '''action = %(action_mw)s''' si la variable '''destmail''' est modifié.
		+
		+	Voici la configuration que j'utilise personnellement :
		+	ignoreip = 127.0.0.1/8
		+	bantime = 604800
		+	findtime = 3600
		+	maxretry = 3
		+
		+	Vous pouvez coupler la variable '''bantime''' à '''findtime''' (par défaut, fixé à 10 minutes) cependant faites attention avec l'utilisateur de cette valeur car elle peut nuire aux performances de votre serveur vu qu'elle analyse en approfondi les logs. La solution la plus adaptée est de choisir un grand 'findtime' et un très grand 'bantime' : 3600 et 86400, ou encore 86400 et 604800 comme le montre ma configuration ci-dessus.
		+
		+	Il faudra modifier le numéro du port SSH dans le jail si il n'écoute pas sur le port 22.
		+
		+	Rechercher le jail '''ssh''' et remplacer la ligne :
		+
		+	port = ssh
		+
		+	par
		+
		+	port = VOTRE_PORT
		+
		+
		+	Regardons comment activer les différents services, prenons l'exemple du jail '''ssh-ddos''' :
		+	Par défaut :
		+	[ssh-ddos]
		+	enabled = false
		+	port = ssh
		+	filter = sshd-ddos
		+	logpath = /var/log/auth.log
		+	maxretry = 6
		+
		+	Remplacer '''false''' par '''true''' pour activer le jail puis redémarrez Fail2Ban (service fail2ban restart ou invoke-rc.d fail2ban restart).
		+
		+
		+	Liste des jails pouvant être activés :
		+	* pam-generic
		+	* xinetd-fail
		+	* ssh-ddos
		+
		+	Si vous avez un serveur web sous apache, activer les jails le concernant.
		+	Si vous avez un serveur FTP, activer le jail en conséquence.<br />
		+	Si vous avez un serveur web Nginx, il vous faudra ajouter ses jails :
		+
		+	<br /><code>[nginx-auth]<br />
		+	enabled = true<br />
		+	filter = nginx-auth<br />
		+	action = iptables-multiport[name=NoAuthFailures, port="http,https"]<br />
		+	logpath = /var/log/nginx/error*.log<br />
		+	bantime = 600 # 10 minutes<br />
		+	maxretry = 6<br />
		+
		+	[nginx-login]<br />
		+	enabled = true<br />
		+	filter = nginx-login<br />
		+	action = iptables-multiport[name=NoLoginFailures, port="http,https"]<br />
		+	logpath = /var/log/nginx/access*.log<br />
		+	bantime = 600 # 10 minutes<br />
		+	maxretry = 6<br />
		+
		+	[nginx-badbots]<br />
		+	enabled = true<br />
		+	filter = apache-badbots<br />
		+	action = iptables-multiport[name=BadBots, port="http,https"]<br />
		+	logpath = /var/log/nginx/access*.log<br />
		+	bantime = 86400 # 1 day<br />
		+	maxretry = 1<br />
		+
		+	[nginx-noscript]<br />
		+	enabled = true<br />
		+	action = iptables-multiport[name=NoScript, port="http,https"]<br />
		+	filter = nginx-noscript<br />
		+	logpath = /var/log/nginx/access*.log<br />
		+	maxretry = 6<br />
		+	bantime = 86400 # 1 day<br />
		+
		+	[nginx-proxy]<br />
		+	enabled = true<br />
		+	action = iptables-multiport[name=NoProxy, port="http,https"]<br />
		+	filter = nginx-proxy<br />
		+	logpath = /var/log/nginx/access*.log<br />
		+	maxretry = 0<br />
		+	bantime = 86400 # 1 day<br /></code>
		+
		+	Maintenant, nous allons déclarer les fichiers de configuration des nouveaux jails dans '''/etc/fail2ban/filter.d/''' :
		+
		+	Créer les fichiers suivants en copiant le code donné ci-dessous :
		+
		+	'''nginx-proxy.conf'''
		+
		+	<code>nano -w /etc/fail2ban/filter.d/nginx-proxy.conf</code>
		+
		+	#Proxy filter /etc/fail2ban/filter.d/nginx-proxy.conf:
		+	#
		+	# Block IPs trying to use server as proxy.
		+	#
		+	# Matches e.g.
		+	# 192.168.1.1 - - "GET http://www.something.com/
		+	#
		+	[Definition]
		+	failregex = ^<HOST> -.GET http.
		+	ignoreregex =
		+
		+	'''nginx-noscript.conf'''
		+
		+	<code>nano -w /etc/fail2ban/filter.d/nginx-noscript.conf</code>
		+
		+	# Noscript filter /etc/fail2ban/filter.d/nginx-noscript.conf:
		+	#
		+	# Block IPs trying to execute scripts such as .php, .pl, .exe and other funny scripts.
		+	#
		+	# Matches e.g.
		+	# 192.168.1.1 - - "GET /something.php
		+	#
		+	[Definition]
		+	failregex = ^<HOST> -.GET.(\.php\|\.asp\|\.exe\|\.pl\|\.cgi\|\scgi)
		+	ignoreregex =
		+
		+	'''nginx-auth.conf'''
		+
		+	<code>nano -w /etc/fail2ban/filter.d/nginx-auth.conf</code>
		+
		+	#
		+	# Auth filter /etc/fail2ban/filter.d/nginx-auth.conf:
		+	#
		+	# Blocks IPs that fail to authenticate using basic authentication
		+	#
		+	[Definition]
		+	failregex = no user/password was provided for basic authentication.*client: <HOST>
		+	user .* was not found in.*client: <HOST>
		+	user .* password mismatch.*client: <HOST>
		+	ignoreregex =
		+
		+	'''nginx-login.conf'''
		+
		+	<code>nano -w /etc/fail2ban/filter.d/nginx-login.conf</code>
		+
		+	#
		+	# Login filter /etc/fail2ban/filter.d/nginx-login.conf:
		+	#
		+	# Blocks IPs that fail to authenticate using web application's log in page
		+	#
		+	# Scan access log for HTTP 200 + POST /sessions => failed log in
		+	[Definition]
		+	failregex = ^<HOST> -.*POST /sessions HTTP/1\.." 200
		+	ignoreregex =
		+
		+
		+	[http://snippets.aktagon.com/snippets/554-how-to-secure-an-nginx-server-with-fail2ban source de cette configuration]
		+
		+	Les logs de Fail2Ban sont dans le répertoire '''/var/log/fail2ban'''.
		+
		+
		+
		+	=<font color="blue">Les commandes Fail2Ban</font>=
		+
		+	Les principales commandes à retenir :
		+	* fail2ban-client start
		+	* fail2ban-client stop
		+	* fail2ban-client reload
		+	* fail2ban-client status
		+
		+	Pour avoir une liste plus complète, exécuter '''fail2ban-client''' en SSH.

@@ Ligne 9 : / Ligne 9 : @@
 Si vous n'avez pas Fail2Ban d'installer, faites ceci '''ROOT''' :
-   apt-get install fail2ban
+   apt-get install fail2ban -y
 ou
-   aptitude install fail2ban
+   aptitude install fail2ban -y
-−
-−
 =<font color="blue">Configuration Fail2Ban</font>=