![[HaBo]](/styles/default/logoklein.png){kind=small}
bitmuncher
Senior-Nerd
Linux ist Linux, egal ob das nun SuSE, Debian oder Foobar heisst. Und Linux ist heutzutage keineswegs mehr das sichere System, das es einmal war.
Wenn du mit SuSE gut klargekommen bist, dann bleib bei SuSE. Dort hast du dann allerdings 2 Möglichkeiten dich um dein System zu kümmern. Entweder du gehst den Weg über YaST oder du deaktivierst SuSEConfig und kannst das System dann auch ohne YaST verwalten.
Soweit ich informiert bin, bietet dir SuSE bereits bei der Installation die Möglichkeit zur Verschlüsselung einzelner Partitionen. Wenn du also bestimmte Ordner verschlüsselt haben willst, dann kannst du dafür entweder Container verwenden, die du erst nach der Installation erstellst und dann via fstab in die entsprechenden Ordner mountest oder du packst hinter diese Ordner gleich verschlüsselte Partitionen in passender Grösse.
Ein paar grundlegende Sicherungsmaßnahmen sollte man bei jeder Linux-Distro beachten. Dazu gehören einfache Dinge wie eine Passwort-Policy, die dafür sorgt, dass Passwörter nicht endlos gültig sind, System-User, die keine Shell haben, deaktivieren von Crons für normale User usw.. In der Praxis könnte das in etwa so aussehen:
Dann noch in die Modprobe-Blacklist alle Module, die man nicht braucht um bei so netten Bugs wie dem wunderbar_emporium nicht gleich anfällig zu sein. In der /etc/passwd prüfen, dass nur jene User, die es wirklich brauchen, eine echte Shell haben. Alle anderen sollte man auf nologin o.ä. setzen. Sofern man Remote-Logins (z.B. via SSH) zulässt, sollte man dafür sinnvolle Timeout-Werte im System festlegen. Verbindungen sollten nicht ewig offen bleiben dürfen.
Das wäre das "Basic Hardening", das ich für jedes Linux empfehlen würde, egal welchen schicken Namen es hat. Die Default-Settings sind bei allen Distros auf einfache Benutzbarkeit und nicht auf Sicherheit ausgelegt. Allerdings bieten brauchbare Distros (also z.B. nicht Mint
) einen "Hardening Guide" an.
SuSE: https://www.suse.com/documentation/sles11/singlehtml/book_hardening/book_hardening.html
Debian: https://www.debian.org/doc/manuals/securing-debian-howto/index.de.html
CentOS: HowTos/OS Protection - CentOS Wiki
Fedora: Chapter*2.*Basic Hardening Guide
RHEL: https://access.redhat.com/documenta...t_Enterprise_Linux-6-Security_Guide-en-US.pdf
Die sollte man für seine Distro durchaus mal durcharbeiten und die für's eigene System sinnvollen Sachen umsetzen.
Wenn du mit SuSE gut klargekommen bist, dann bleib bei SuSE. Dort hast du dann allerdings 2 Möglichkeiten dich um dein System zu kümmern. Entweder du gehst den Weg über YaST oder du deaktivierst SuSEConfig und kannst das System dann auch ohne YaST verwalten.
Soweit ich informiert bin, bietet dir SuSE bereits bei der Installation die Möglichkeit zur Verschlüsselung einzelner Partitionen. Wenn du also bestimmte Ordner verschlüsselt haben willst, dann kannst du dafür entweder Container verwenden, die du erst nach der Installation erstellst und dann via fstab in die entsprechenden Ordner mountest oder du packst hinter diese Ordner gleich verschlüsselte Partitionen in passender Grösse.
Ein paar grundlegende Sicherungsmaßnahmen sollte man bei jeder Linux-Distro beachten. Dazu gehören einfache Dinge wie eine Passwort-Policy, die dafür sorgt, dass Passwörter nicht endlos gültig sind, System-User, die keine Shell haben, deaktivieren von Crons für normale User usw.. In der Praxis könnte das in etwa so aussehen:
Code:
# sorge dafuer, dass Passwoerter max. 180 Tage alt sein duerfen
perl -npe 's/PASS_MAX_DAYS\s+99999/PASS_MAX_DAYS 180/' -i /etc/login.defs
# und sie duerfen nur ein Mal am Tag geaendert werden
perl -npe 's/PASS_MIN_DAYS\s+0/PASS_MIN_DAYS 1/g' -i /etc/login.defs
# sinnvolle umask-Werte fuer neu angelegte Dateien
perl -npe 's/umask\s+0\d2/umask 077/g' -i /etc/bashrc
# verbiete crons fuer normale user
touch /etc/cron.allow
chmod 600 /etc/cron.allow
awk -F: '{print $1}' /etc/passwd | grep -v root > /etc/cron.deny
touch /etc/at.allow
chmod 600 /etc/at.allow
awk -F: '{print $1}' /etc/passwd | grep -v root > /etc/at.deny
# mach die firewall komplett dicht fuer eingehende verbindungen
# nur ausgehende und zu diesen zugehoerige verbindungen werden akzeptiert
cat > /etc/init.d/firewall << EOF
#!/bin/bash
echo "Starting firewall"
LOGLIMIT=20
IPTABLES=/usr/sbin/iptables
case "$1" in
start)
# alle alten Regeln entfernen
echo "Loesche alte Regeln"
$IPTABLES -F
$IPTABLES -X
$IPTABLES -t nat -F
# setting some procfs values
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo 0 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
echo 61 > /proc/sys/net/ipv4/ip_default_ttl
echo 1 > /proc/sys/net/ipv4/tcp_abort_on_overflow
echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout
echo 3 > /proc/sys/net/ipv4/tcp_syn_retries
echo 3 > /proc/sys/net/ipv4/tcp_synack_retries
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# im Loopback koennen wir jedem trauen
$IPTABLES -A INPUT -i lo -j ACCEPT
# erlaube Pings
$IPTABLES -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
# erlaube SSH? dann die folgende zeile mit dazu nehmen
# $IPTABLES -A INPUT -p tcp --dport 22 --tcp-flags ALL SYN -j ACCEPT
;;
*)
echo "Usage: `basename $0` {start}" >&2
exit 64
;;
esac
exit 0
EOF
ln -s /etc/init.d/firewall /etc/rc3.d/
ln -s /etc/init.d/firewall /etc/rc5.d/
chmod +x /etc/init.d/firewall
/etc/init.d/firewall start
# mach auch noch die TCP-Wrapper dicht
echo "ALL:ALL" >> /etc/hosts.denyDas wäre das "Basic Hardening", das ich für jedes Linux empfehlen würde, egal welchen schicken Namen es hat. Die Default-Settings sind bei allen Distros auf einfache Benutzbarkeit und nicht auf Sicherheit ausgelegt. Allerdings bieten brauchbare Distros (also z.B. nicht Mint
) einen "Hardening Guide" an. SuSE: https://www.suse.com/documentation/sles11/singlehtml/book_hardening/book_hardening.html
Debian: https://www.debian.org/doc/manuals/securing-debian-howto/index.de.html
CentOS: HowTos/OS Protection - CentOS Wiki
Fedora: Chapter*2.*Basic Hardening Guide
RHEL: https://access.redhat.com/documenta...t_Enterprise_Linux-6-Security_Guide-en-US.pdf
Die sollte man für seine Distro durchaus mal durcharbeiten und die für's eigene System sinnvollen Sachen umsetzen.
