Vizualizare sursă pentru „Asigurarea sa maşină de Debian”

<span data-link_translate_en_title="Securing its Debian machine"  data-link_translate_en_url="Securing+its+Debian+machine"></span>[[:en:Securing its Debian machine]][[en:Securing its Debian machine]]
<span data-link_translate_ru_title="Обеспечение его машины под управлением Debian"  data-link_translate_ru_url="%D0%9E%D0%B1%D0%B5%D1%81%D0%BF%D0%B5%D1%87%D0%B5%D0%BD%D0%B8%D0%B5+%D0%B5%D0%B3%D0%BE+%D0%BC%D0%B0%D1%88%D0%B8%D0%BD%D1%8B+%D0%BF%D0%BE%D0%B4+%D1%83%D0%BF%D1%80%D0%B0%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D0%B5%D0%BC+Debian"></span>[[:ru:Обеспечение его машины под управлением Debian]][[ru:Обеспечение его машины под управлением Debian]]
<span data-link_translate_pl_title="Zabezpieczanie swojej maszynie Debiana"  data-link_translate_pl_url="Zabezpieczanie+swojej+maszynie+Debiana"></span>[[:pl:Zabezpieczanie swojej maszynie Debiana]][[pl:Zabezpieczanie swojej maszynie Debiana]]
<span data-link_translate_fr_title="Sécuriser sa machine Debian"  data-link_translate_fr_url="S%C3%A9curiser_sa_machine_Debian"></span>[[:fr:Sécuriser sa machine Debian]][[fr:Sécuriser sa machine Debian]]
<br />

Acest articol este rezultatul unei traduceri automate efectuate de către software-ul. Puteți vizualiza sursa articol [[:fr:Sécuriser sa machine Debian|aici]].<br /><span data-translate="fr"></span>

<No. trad><span data-link_translate_ja_title="その Debian マシンを確保"  data-link_translate_ja_url="%E3%81%9D%E3%81%AE+Debian+%E3%83%9E%E3%82%B7%E3%83%B3%E3%82%92%E7%A2%BA%E4%BF%9D"></span>







==Introducerea ==
Asigura siguranţa sa maşină este un punct esenţial care nu trebuie subestimat sub sancţiunea de a deveni ţinta atacurilor diferite. Puterea curent de computere de astăzi a face intruziuni ca tehnici de atac de forţă brută sau  Bruteforce '' foarte simplu să pună în aplicare pentru a avea acces de administrator la ţintă într-o maşină de timp scurt.
''<br>
Pe această pagină veţi găsi o listă non-exhaustivă de piese pentru a asigura server Debian pe puncte diferite, cum ar fi contul de rădăcină , SSH  de acces, firewall, etc...
<br> <div style="background-color: #FF9999;">'Avertizare ''': Înainte de a face orice modificări la sistemul de planul întotdeauna o copie de rezervă a fişierelor în cazul manipulării necorespunzătoare. ''
Pe un server de producţie, asiguraţi-vă că pentru a efectua aceste operațiuni în timpul orelor pentru a minimiza impactul acţiunilor dumneavoastră. <br>

==Cerinţe preliminare ==
Unul dintre premisă esenţială pentru securitatea serverului lui este de a menţine sale pachete în versiunea lor cele mai până la data în care este posibil. Un număr semnificativ de defectele descoperite sunt corectate repede de către dezvoltatorii de pachete şi aplicaţii implicate, ori de câte ori este posibil ar trebui să păstreze întotdeauna sistemului său de a actualiza şi, astfel, să evite defecte de securitate.
Păstrând sistemul Debian la zi, asiguraţi-vă că aveţi o listă de arhive oficiale pentru a actualiza. Puteţi găsi o listă de folositor la Ikoula arhive si instructiuni de instalare  </div>.

==Directoarele utilizatorilor ==
În mod implicit pe un sistem Debian, directoare de utilizatori sunt accesibile pentru alte conturi locale prezente pe masina. [[:fr:Quelles_sont_les_sources_des_d%C3%A9p%C3%B4ts_debian_chez_Ikoula| la aceasta adresa]]
Pentru a depăşi acest glitch în securitate, este necesar să reconfiguraţi comportamentul implicit.
;Asiguraţi-vă că directoarele sunt citite doar de către proprietarii lor respective 
<br>
<syntaxhighlight lang="bash"> dpkg-reconfigure adduser</syntaxhighlight>
==Rădăcină acces ==
Permite conexiuni din contul  [[File:dpkg-reconfigureadduser.png||dpkg-reconfigure adduser]]rădăcină '' După prima utilizare, în general, nu este o idee bună. Într-adevăr contul  ''rădăcină '' ou ''superutilizatorul '' are acces deplin la sistemul dvs. ''În cazul în care atacatorul vine pentru a avea acces la contul  <br>superutilizatorul '' Acesta va avea controlul total al maşinii dumneavoastră.
===Comanda sudo ===
Pentru a reduce riscul se poate, de exemplu, adăugaţi un utilizator care, dacă este necesar, va obţine drepturile noastre  ''superutilizatorul '' utilizând comanda  ''sudo''.
;În primul rând avem nevoie pentru a crea un nou utilizator  :
''
Apoi, umple câmpurile, precum şi de ola care preferinţă va fi alcătuit din litere mici, litere şi numere.
;Acum vom instala sudo :
<syntaxhighlight lang="bash"> adduser votre_utilisateur</syntaxhighlight>
;Acum că utilizatorul nostru este creat şi că sudo este instalat acesta va trebui să fie în grupul sudo să utilizaţi comanda :
<syntaxhighlight lang="bash"> apt-get install sudo</syntaxhighlight>

De acum utilizatorul nostru poate dacă este necesar, preceda comanda care doriţi sudo pentru a rula cu permisiunile  <syntaxhighlight lang="bash"> usermod -a -G sudo votre_utilisateur </syntaxhighlight>superutilizatorul ''.
''Parola va fi întrebat înainte de a executa orice comanda.
<br> 

===Să interzică conectare rădăcină ===
Acum that noi avem un alt utilizator de exemplu putem preveni conectarea la sistemul nostru din contul  <syntaxhighlight lang="bash"> sudo cat /etc/password </syntaxhighlight>root''.''

;Mai întâi trebuie să editaţi configuraţia serviciul ssh fişierul 
<br>

;Găsi şi editaţi următoarea linie în fişierul sshd_config, prin schimbarea  <syntaxhighlight lang="bash">  vi /etc/ssh/sshd_config </syntaxhighlight>Da '' par ''no''. Necesare pentru a decomentaţi linia ştergând simbolul  #.
''

Amintiţi-vă, apoi salvaţi şi închideţi fişierul de configurare. <syntaxhighlight lang="bash">  PermitRootLogin no </syntaxhighlight>
;Atunci când vor fi repornite serviciul SSH modificările vor avea efect.
<br>
<syntaxhighlight lang="bash"> /etc/init.d/ssh restart </syntaxhighlight>
<br> <div style="background-color: #FFCC99;">'Consiliul ''': Este recomandat să întotdeauna păstraţi SSH terminale ca root pe durata testelor. Într-adevăr mishandling ar face conexiunea la sistemul imposibil. ''
De aceea este recomandat deschiderea unui al doilea terminal pentru a testa conexiunea şi utilizarea de modificări pe noul utilizator. <br>

==SSH acces ==
Datorită soluţiilor anterior sistemul nostru este deja foarte bine securizat, dar am încă poate spori aceasta prin implementarea unui fişier cheie de autentificare. </div>
De obicei, conexiune şi de autentificare pe sistemul dumneavoastră este efectuat printr-o pereche de conectare /parola. Putem înlocui această metodă, care nu este infailibil de autentificare cheie. <br>
Odată ce punerea în aplicare de schimbare în timpul fiecare nou sistem de conexiune va urmări dacă utilizatorul încearcă să se conecteze are o cheie validă şi dacă acesta are permisiunea de a efectua un login pentru acest utilizator. <br>
Deşi metoda nu este foarte simplu de manevrat de autentificare cheie dosar necesită persoana care doresc să intre în sistemul că are acest fişier. Deci, ne poate întări securitatea comparativ cu o parolă care poate fi ghicit de  <br>forţă brută ''''
Mai multe neajunsuri, cu toate acestea, sunt prezente atunci când este selectată această metodă, este imperativ să aibă fişierul cheie indiferent de locatia de conexiune, de exemplu între calculatoare la locul de muncă şi la domiciliu. <br>
Trebuie să adăugat manual fiecare fişier cheie nou, care va fi permis accesul la sistemul dvs., în cazul de exemplu de a adăuga un utilizator nou sau acces de o persoană autorizată la sistemul dumneavoastră.

=== Schimba portul implicit  ===
Una dintre modalităţile cele mai eficiente pentru a opri automat teste lansat împotriva servere este schimba implicit SSH port pe maşina dvs.
Pentru a face aceasta editaţi fişierul  <br>'sshd_config'''
''
; Găsi şi editaţi următoarea linie din fişierul prin modificarea valorii de unul ales 
<syntaxhighlight lang="bash"> vi /etc/ssh/sshd_config </syntaxhighlight>
; Reporniţi serviciul SSH 
<syntaxhighlight lang="bash"># What ports, IPs and protocols we listen for
Port 22
</syntaxhighlight>
<syntaxhighlight lang="bash"> /etc/init.d/ssh restart </syntaxhighlight> <div style="background-color: #FFCC99;">'Notă ''': Acum conectaţi la calculatorul dumneavoastră va fi specifică noul port SSH : SSH utilizator @IPAddress  -p Votre_port''
</div>
=== Genera o pereche de chei  ===
==== Windows ====
<br>
Puteţi genera cheia de la PuTTYgen software-ul disponibil pentru Windows.
[[File:puttygen.png|thumb|right|PuTTYgen sous Windows]]
==== Linux ====
În linux aveţi posibilitatea să tastaţi următoarea comandă  :
<br>

=== Copiaţi o pereche de chei  ===
Atunci când este generat perechea ne trebuie acum indică server ce sunt persoanelor autorizate să se conecteze la utilizatorul nostru nou.
Pentru a face acest lucru fiecarui utilizator al sistemului nostru are un fişier  <syntaxhighlight lang="bash"> ssh-keygen </syntaxhighlight>'ssh/authorized_keys''' prezente în directorul local.

;În cazul în care vă sunt în prezent genera keypair sistem Debian utilizaţi următoarea comandă pentru a copia automat cheie în fişierul.
''

;Alternativ puteţi adăuga manual cheia publică la dosar de către persoane autorizate 
Dacă dosarul .ssh nu există în folderul locale noastre utilizatorului vom crea 
<syntaxhighlight lang="bash"> ssh-copy-id votre_utilisateur@IP_VotreServeur </syntaxhighlight>
;Acum, avem nevoie pentru a crea un fişier  <syntaxhighlight lang="bash">mkdir .ssh
chmod 700 .ssh
</syntaxhighlight>'authorized_keys''' în dosarul .ssh nostru 
''
; Cheia publică este apoi adaugă la dosar, rezultatul ar fi similar cu acest exemplu 
<syntaxhighlight lang="bash"> vi .ssh/authorized_keys
</syntaxhighlight>
Se salvează şi închide fişierul.
; Motive de securitate vom va restricţiona accesul la fişierul nostru 
<syntaxhighlight lang="bash"> ssh-rsa AAAB3NzaC1yc2EAAAADAQaSdMTJXMy3MtlQhva+j9CgguyVbU3nCKneB+KjKiS/1rggpFmu3HbXBnWSUdf votre_utilisateur@machine.locale </syntaxhighlight>
De acum utilizatorul nostru este permis să se conecteze la maşină.


==Paravanul de protecție ==
Folosind un paravan de protecţie este recomandat pentru a asigura sistemul dvs. <syntaxhighlight lang="bash"> chmod 600 .ssh/authorized_keys
</syntaxhighlight>
Firewall-ul este de multe ori prima linie de apărare de maşini împotriva exterior, este într-adevăr el, care vor analiza trafic care trece între calculatorul dumneavoastră şi din afara. <br>
Datorită firewall vă sunt capabili de a bloca sau permite acces computer din exterior la anumite protocoale sau porturi, asigurând astfel securitatea sistemului dvs.
===Politicile de securitate ===
În cazul unui firewall este necesar pentru a defini o politică de securitate să fie puse în aplicare. Fără o definiţie eficiente alegerea blocarea sau permisiunea de porturi şi protocoale ar fi destul de aleatoare. <br>
Prin urmare, este necesar să se definească în avans o politică clară pentru securitatea reţelei sale de calculator sau masina lui. <br>
<br>
Diversele politici frecvent utilizate includ politicilor  <br>'lista albă ''' şi de  '''lista neagră '''.
====Lista albă ====
Principiul politicii  '''lista albă ''' este blochează tot traficul intră fără excepţie şi permite în mod explicit numai porturi şi protocoale că suntem absolut siguri de securitatea lor.
Această politică de securitate are multe avantaje comparativ cu  '''lista neagră '''. Într-adevăr tot traficul nu explicit permis va fi blocat, acest lucru va preveni cele mai multe tentative de conexiune că noi nu ar fi avut neapărat reflexul de a asigura. ''
Unul dintre dezavantajele acestei politici este obligaţia de a defini fiecare porturi sau protocoalele utilizate să nu blocheze executarea serviciilor noastre  ( de exemplu protocolul  <br>http'' portul  80 )Prin urmare, trebuie să ştim fiecare port utilizate de maşină şi să menţină reguli atunci când adăugarea sau ştergerea unui serviciu.
Cu privire la ieşire în majoritatea cazurilor nu este considerată ca riscante tuturor autorizate, într-adevăr ar trebui să ştiu de trafic lăsând masina ta sau de reţea. Cu toate acestea, este recomandabil să păstreze o urmă de ieşire de securitate.
====Lista neagră ====
Principiul politicii  '''lista neagră ''' este să permită tot traficul de intrare fără excepţie şi pentru a bloca în mod explicit numai porturile şi protocoalele care am sunt sigur că acestea prezintă un risc pentru securitate. ''
Această politică de securitate are multe dezavantaje în comparaţie cu  <br>'lista albă '''. Într-adevăr permite tot traficul intră fără nici o restricţie nu este recomandat, blocarea implicate numai în cazul unui port sau explicit stabilit protocolul.
Cu privire la ieşire în majoritatea cazurilor nu este considerată ca riscante tuturor autorizate, într-adevăr ar trebui să ştiu de trafic lăsând masina ta sau de reţea. Cu toate acestea, este recomandabil să păstreze o urmă de ieşire de securitate.
===IPTables ===
IPTables este cu siguranţă cel mai cunoscut software-ul firewall disponibile pentru Debian.

Iată câteva comenzi practice privind :
;Instalarea de iptables 
''
; Lista normele stabilite în prezent 
<syntaxhighlight lang="bash"> sudo apt-get install iptables </syntaxhighlight>
; Normele stabilite de purjare 
<syntaxhighlight lang="bash"> sudo iptables -L </syntaxhighlight>
;Adăuga o regulă 
<syntaxhighlight lang="bash">
sudo iptables -F
sudo iptables -X
</syntaxhighlight>
<syntaxhighlight lang="bash">
# Autoriser les connexions entrantes sur le port ssh(22) tcp depuis l'adresse ip x.x.x.x par exemple
sudo iptables -A INPUT -p tcp --dport ssh -s x.x.x.x -j ACCEPT
</syntaxhighlight> <div style="background-color: #FFCC99;">'Notă ''': Atenţie în cazul o adresă IP dinamică, ca va fi schimbat IP-ul va fi incapabil la spre log into SSH pe server !''
Utilizaţi atenţie atunci când atribuirea o adresă IP care ar putea fi dinamic, de exemplu cea a internet caseta la domiciliu. <br>
;Ştergeţi o regulă
</div>

<syntaxhighlight lang="bash">
# Supprimer la règle n°2 de la catégorie OUTPUT
sudo iptables -D OUTPUT 2
</syntaxhighlight>
[[Category:Server_dedicat]]
[[Category:Linux]]
<br />

<br />
<comments />