Lynis Auditoria Servidor Linux

http://www.100security.com.br/lynis/

Lynis – Ferramenta de Auditoria e Hardening

Por: Marcos Henrique | 2242 Views | Deixe um Comentário

Partilhar4

Lynis é uma excelente ferramenta de Auditoria e Hardening para Linux, Unix e etc… possui um relatório bem detalhado e certamente vai auxiliar no processo de implantação de boas prática em um servidor.

Projeto: github.com/CISOfy/lynis

Site Oficial: cisofy.com

01 Passo

Realize o download do lynis

root@kali:/# git clone https://github.com/CISOfy/lynis

02 Passo

Entre no diretório do lynis e liste os arquivos.

root@kali:/# cd lynis/

root@kali:/lynis# ls

03 Passo

Execute o lynis para visualizar todos os parâmetros que ele disponibiliza.

root@kali:/lynis# ./lynis

04 Passo

Execute o lynis para auditar todo o sistema.

root@kali:/lynis# ./lynis audit system –auditor “100SECURITY” –Q

audit system : Audita todo o sistema

–auditor “100SECURITY” : Define o nome do Auditor

-Q (–quick) : Não aguarda a interação do Auditor

05 Passo

São gerados 02 arquivos de log, acesse o diretório /var/www e realize o download da ferramenta lynis-relatorios para ler o relatório gerado.

– Teste e detalhamento: /var/log/lynis.log
– Relatório: /var/log/lynis-repot.dat

root@kali:/lynis# cd /var/www/

root@kali:/var/www# git clone https://github.com/100security/lynis-relatorios

06 Passo

Entre no diretório e liste os arquivos.

root@kali:/var/www# cd lynis-relatorios/

root@kali:/var/www/lynis-relatorios#

07 Passo

Execute o script arquivos.sh para copiar os arquivos gerados pela ferramenta Lynis

root@kali:/var/www/lynis-relatorios# ./arquivos.sh

root@kali:/var/www/lynis-relatorios# ls -l

08 Passo

Abra o navegador e acesse: http://localhost/lynis-relatorios/lynis-relatorios.php

configuracao basica iptables servidor linux

https://www.vivaolinux.com.br/dica/Configuracao-basica-do-IPtables

CONFIGURAÇÃO BÁSICA DO IPTABLES

 

Segue abaixo, uma sugestão de configuração básica para o IPtables. 

É somente um cabeçalho com regras iniciais, sendo que você pode adaptá-las livremente, acrescentar suas próprias regras, comentar o que não precisa, etc. 

#!/bin/bash
#
#Desabilitando o tráfego entre as placas
#################################
echo 0 > /proc/sys/net/ipv4/ip_forward
#
##Apagando e restaurando as chains e tabelas
######################################
iptables -Z  # Zera as regras de todas as chains
iptables -F  # Remove as regras de todas as chains
iptables -X  # Apaga todas as chains
#iptables -t nat -Z
#iptables -t nat -F
#iptables -t nat -X
#iptables -t mangle -Z
#iptables -t mangle -F
#iptables -t mangle -X
#
##Proteção contra ping, SYN Cookies, IP Spoofing e proteções do kernel
##########################################################
echo 1 > /proc/sys/net/ipv4/tcp_syncookies          # Syn Flood (DoS)
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts  # Port scanners
echo 0 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses      # Sem resposta remota
for i in  /proc/sys/net/ipv4/conf/*; do
echo 0 > $i/accept_redirects                # Sem redirecionar rotas
echo 0 > $i/accept_source_route            # Sem traceroute
echo 1 > $i/log_martians                # Loga pacotes suspeitos no kernel
echo 1 > $i/rp_filter                  # Ip Spoofing
echo 1 > $i/secure_redirects; done                      # Redirecionamento seguro de pacotes
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all        # Sem ping e tracert
#
# Carregando os módulos - Não é necessário todos os módulos,
# somente aqueles que você irá utilizar.
# O iptables, por padrão, carrega os módulos principais automaticamente.
# Para identificar qual módulo adicional carregar, você deve elaborar todo o script
# e depois de acordo com o nome do alvo utilizado, você carrega o mesmo módulo.
# Por exemplo, se você utilizar a seguinte regra:
# iptables -A FORWARD -p udp -m multiport --dport 80,1024:65535 -j DROP
# o módulo "ipt_multiport" deve ser carregado.
# Abaixo estão quase todos os módulos.
################################
modprobe ip_tables
modprobe iptable_nat
modprobe iptable_filter
modprobe iptable_mangle
#
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ip_queue
modprobe ip_gre
#
modprobe ipt_LOG
modprobe ipt_MARK
modprobe ipt_REDIRECT
modprobe ipt_REJECT
modprobe ipt_MASQUERADE
modprobe ipt_TCPMSS
modprobe ipt_TOS
modprobe ipt_NETMAP
#
modprobe ipt_limit
modprobe ipt_mac
modprobe ipt_multiport
modprobe ipt_owner
modprobe ipt_state
modprobe ipt_tos
modprobe ipt_mark
modprobe ipt_tcpmss
modprobe ipt_string
modprobe ipt_statistic
#
modprobe nf_nat_pptp
modprobe nf_nat_proto_gre
#
# Definindo políticas padrões
######################
iptables  -P  INPUT DROP  # iptables a política padrão da chain INPUT é proibir tudo
iptables  -P  FORWARD DROP
iptables  -P  OUTPUT ACCEPT
#
# Liberando a Loopback
####################
iptables -A  INPUT -i lo -j ACCEPT
#
## Regras de segurança na internet e acessos
#####################################
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state NEW !  -i  ethx -j DROP    # Interface de entrada da internet
iptables -A FORWARD -m state --state NEW ! -i ethx -j DROP    # Interface de entrada da internet
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A FORWARD -m state --state INVALID -j DROP
#
# Redirecionamento para o Squid e mascaramento/compartilhamento
###########################################
iptables -t nat -A PREROUTING -i ethx -p tcp --dport 80 -j REDIRECT --to-port 3128  # Interface da rede interna
iptables -t nat -A POSTROUTING -o ethx -j MASQUERADE  # Interface de entrada da internet
#
# A partir daqui você pode inserir as regras de liberação e bloqueio, não esqueça habilitar no final o tráfego entre as placas.
#
# Habilitando o tráfego entre as placas
##########################
echo 1 > /proc/sys/net/ipv4/ip_forward
#

Depois de criar o script (com o nome de, por exemplo, firewall.sh), lembre de dar permissão de execução: 

# chmod +x /caminho/do/script/firewall.sh 

Exemplos:

• No Debian é em: /ect/init.d/firewall.sh
• No Slackware é em: /etc/rc.d/init.d/firewall.sh
• No Red Hat é em: /etc/rc.d/init.d/firewall.sh
• No openSuse é em: /ect/init.d/firewall.sh

O nome do script, aconselho a não colocar firewall.sh, pois é muito óbvio, coloque outro nome de sua escolha. 

Aqui tem uma regra simples, feita pelo próprio Rusty Russel, à qual você pode acrescentar para dar maior segurança na sua rede interna: 

## Carregando módulos de acompanhamento de conexões (desnecessário se compilados diretamente no kernel).
     insmod ip_conntrack
     insmod ip_conntrack_ftp

## Cria chain que rejeita novas conexões, exceto as vindas da rede interna.
     iptables -N block
     iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
     iptables -A block -m state --state NEW -i ! ppp0 -j ACCEPT  # em ppp0 coloque a sua interface de entrada da internet
     iptables -A block -j DROP

     ## Saltar das chains INPUT e FORWARD para a chain block.
     iptables -A INPUT -j block
     iptables -A FORWARD -j block

Retirado deste documento feito pelo próprio:

• HOWTO « netfilter.org

Conclusão: Estude o IPtables. Estude o IPtables. Estude o IPtables... 

Monitorar logs e alertas

https://www.vivaolinux.com.br/artigo/Monitoramento-automatico-de-logs-e-alertas-por-e-mail-Facil-e-explicado?pagina=3

Técnicas para melhoria da segurança do serviço SSH

Alterar a porta em que o servidor SSH ouve

Por default, o serviço SSH atende conexões na porta 22. Invasores usam software de scan de portas para identificar se os computador está rodando o serviço SSH. É recomendável mudar esta porta para um valor acima de 1024, visto que a maioria dos scanners de portas (inclusive o nmap), por default, não analisam portas altas.

Edite o arquivo /etc/ssh/sshd_config e procure por uma linha como:

  Port 22

Altere o número da porta e reinicie o serviço SSH:

  # /etc/init.d/ssh restart

Read more: http://www.linhadecodigo.com.br/artigo/2974/dicas-avancadas-de-seguranca-para-ssh.aspx#ixzz4cR6HtCWw

SSH time-lock

Você pode usar parâmetros diferentes do iptables para limitar as conexões ao seu serviço SSH por períodos de tempo pré-determinados. Você pode usar as diretivas /second, /minute, / hour ou /day, em qualquer dos exemplos abaixo.

No primeiro exemplo, se o usuário fornece a senha errada, seu acesso ao serviço SSH é bloqueado por um minuto, e o usuário só pode tentar um login por minuto a partir daquele momento:

  # iptables -A INPUT -p tcp -m state --syn --state NEW 
  --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT

Read more: http://www.linhadecodigo.com.br/artigo/2974/dicas-avancadas-de-seguranca-para-ssh.aspx#ixzz4cR65v1YK

D-TECT Wordpress Teste Vulnerabilidade

http://www.100security.com.br/d-tect/

SQL Injection - SQLMap Basico

http://www.100security.com.br/sqlmap/

instalar e configurar vnc ubuntu

http://atutoriais.com/linux/instalando-o-ubuntu-desktop-com-vnc-em-um-servidor/

SQUID com autenticação no Ubuntu

Instala squid e apache-utils

sudo apt-get install squid
apt-get install apache2-utils


Inicia o SQUID

sudo service squid start

Cria usuário e senha para logar no SQUID

htpasswd -c /etc/squid3/passwd [username]

Encontra o caminho do ncsa_auth

dpkg -L squid3 | grep ncsa_auth

Informa o caminho do ncsa_auth no squid.conf


Configuração do squid.conf

acl myhost srcdomain dominio_da_maquina
http_access allow myhost

http_port 3128

auth_param basic program CAMINHO_DO_NCSA_AUTH /etc/squid/passwd
auth_param basic children 5
auth_param basic realm NOME_DO_USUARIO_CRIADO_ANTERIORMENTE
auth_param basic credentialsttl 2 hours
auth_param basic casesensitive off
acl ncsa_users proxy_auth REQUIRED
http_access allow ncsa_users

Recarrega o SQUID

sudo service squid reload

Configura o proxy do navegador com o domínio e porta do SQUID.

Fonte: http://blog.nocdib.com/Setting-up-a-Squid-proxy-using-Digital-Ocean/

Putty SSH Tunnel Proxy Windows

94:72:55:9f:a3:b4:59:f1:c1:b0:ab:17:b9:35:29:cc (ECDSA) 18:11:e2:0a:18:51:b8:f2:5e:a6:0b:6e:c3:c5:43:59 (RSA)00:25:47 up 82 days, 9:17, 0 users, load average: 0.10, 0.06, 0.09

Main Questions Terms Abuse Music Donate Tutorials Staff

Tunneling with PuTTY (Windows)

This guide assumes you are using Windows and have already set up PuTTY to connect. If not, have a look here. Don't worry linux or mac users, tunneling is so ridiculously simple there it doesn't need so much of a guide.

Navigate to the Tunnels configuration page, and add a new dynamic tunnel on port 9090. The port you use doesn't actually matter, however for this example we'll use 9090. If you can't use 9090, you must remember to use the same port here as you do later.

Verify that the Tunnels page now looks like this. The important bit is D9090 in the list. Now that you've added it, click Open and connect as you would normally do.

Having connected, you are now tunneling over SSH. You need to leave this window open the whole time while you browse, since PuTTY is keeping the tunnel open. You can actually use your Anapnean shell in this PuTTY window, just as you would normally: it's a normal connection with the tunnel added on in the background.

Clicking on Settings in Internet Explorer, or Proxy Settings in Google Chrome, should open this dialogue. Navigate through to the Advanced Proxy section and add localhost:9090 as a SOCKS Proxy.

Finally, you may like to use a website that tells you your IP address, in order to verify that tunneling is working correctly. We have hosted a small file that will verify that you are tunneling your browsing through Anapnea.

This work is licensed under a Creative Commons Attribution-NonCommercial-ShareAlike 3.0 Unported License.

Como criar um pendrive bootável do Windows no Linux usando o WinUSB

http://www.edivaldobrito.com.br/como-criar-um-pen-drive-bootavel-windows-no-ubuntu/

Como criar um pendrive bootável do Windows no Linux usando o WinUSB

Para criar um pendrive bootável do Windows no Linux usando o WinUSB, faça o seguinte:
Passo 1. Plugue o pendrive;
Passo 2. Inicie o programa, digitando winusbgui no Dash (ou em um terminal, seguido da tecla TAB);
Passo 3. Na tela do programa, informe onde está a imagem ISO do Windows (1) e selecione a unidade do pendrive (2). Depois, clique no botão “Install” (3);

Como gravar uma imagem ISO no Linux

Mas se você precisar apenas gravar uma imagem ISO qualquer, pode usar esses tutoriais do blog:
Como gravar uma imagem ISO Usando o Nautilus
Como gravar uma imagem ISO usando o Terminal
Como criar um pendrive de instalação

Como criar um pendrive bootável do Windows no Linux usando o WinUSB no terminal

Se você tiver algum problema com a versão gráfica do programa e quiser criar um pendrive bootável do Windows no Linux com o WinUSB a partir da linha de comando, faça o seguinte:
Passo 1. Abra um terminal (no Unity use as teclas CTRL + ALT + T);
Passo 2. Descubra qual unidade física será usada, usando este comando;

lsblk

Passo 3. Para criar um pendrive bootável do Windows no Linux usando o WinUSB no terminal, o comando tem essa sinatxe;

sudo winusb --format /path/to/windows.iso  device

Passo 4. Colocando ele em prática, ele ficaria assim (ajuste win10.iso para o nome da imagem do Windows e /dev/hdc para o endereço identificado no passo 2);

sudo winusb --format /home/andrei/Downloads/win10.iso /dev/sdc

Desinstalando o WinUSB

Para desinstalar o WinUSB, faça o seguinte:
Passo 1. Abra um terminal;
Passo 2. Desinstale o programa, usando os comandos abaixo;

sudo apt-get remove winusb

sudo apt-get autoremove