Wzmacnianie systemu operacyjnego Linux, to lekcja o tym, jak możesz zabezpieczyć swój system operacyjny Linux?
Cóż, istnieje wiele różnych sposobów zabezpieczenia systemu operacyjnego.
Nie jest więc podatny na wirusy ani ataki, ani na nic, co mogłoby zaszkodzić Twojemu systemowi.
Jest to więc również jeden z najważniejszych tematów.
I Linux i wiele razy rekruterzy zatrudniają.
Manager zada Ci to pytanie, jak zabezpieczasz swój system Linux lub jak wzmacniasz swój system
operacyjny?
Istnieje kilka, wiele różnych sposobów, nawet jeśli korzystasz z Internetu, znajdziesz wiele różnych sposobów.
Ale myślę, że najbardziej podstawowe, które każdy powinien znać, są następujące.
Pierwsza dotyczy zarządzania kontem.
Jak zabezpieczasz konta użytkowników, jeden z obowiązujących standardów polityki?
Następnie zajmiemy się usuwaniem niechcianych pakietów, wszystkich pakietów, które zainstalowałeś w swoim systemie.
Jeśli ich nie potrzebujesz, to dlaczego trzymasz je, aby je usunąć?
Następnie musimy zatrzymać niewykorzystane usługi.
Jeśli działa usługa, która nie jest wymagana w twoim systemie, zatrzymaj ją, wyrzuć.
Sprawdź porty nasłuchowe.
Czasami masz porty, które nasłuchują ruchu, ruchu przychodzącego, ale tak naprawdę nie potrzebujemy
żadnego z tych danych przychodzących.
Więc co robimy, aby powstrzymać ich przed zabezpieczeniem S. H. Konfiguracja obejmie, że później włączymy tablice IP
zapory, czyli całą robotę i zaporę w nowszej wersji.
Oczywiście ponownie omówimy szczegółowo, w jaki sposób możemy włączyć zaporę ogniową w naszym systemie, aby
nasz system był bezpieczniejszy, ponieważ Linux w C Linux to nowa funkcja, którą omówimy również w ramach tej lekcji, zmieniając
numery pomocy technicznej usług .
Na przykład, jeśli twój port działa na, powiedzmy, S. H. 22, możesz go zmienić na inny
port.
Więc haker, który o tym wie, no wiesz, port o godzinie 22 biegnie po S. H. kiedy spróbują, zostaną
odrzuceni.
Na koniec dbaj o aktualność systemu.
Powinieneś więc mieć zainstalowane wszystkie poprawki bezpieczeństwa.
Omówmy je wszystkie.
Jeden po drugim.
Loguję się do następnego systemu.
Więc mam tutaj maszynę z Linuksem.
Zalogowałem się przez konsolę.
Więc pierwszą rzeczą, o której rozmawialiśmy, jest zarządzanie kontami użytkowników.
Jak możemy to zabezpieczyć?
Cóż, pierwszą rzeczą, którą powinienem w tym zamieścić, jest konwencja nazewnictwa.
Kiedy tworzysz nazwę użytkownika, na przykład Oracle lub admin, zalecam wszystkim, aby nie używali
tych nazw użytkowników, ponieważ bardzo łatwo jest przewidzieć te nazwy użytkowników.
Więc zamiast Oracle, wybierasz jak Oracle, raz, dwa, trzy lub raz, dwa,
trzy, Oracle zamiast administratora, wybierasz administratora lub administratora TI.
Jak więc uzyskać wszystkie nazwy użytkowników, abyś mógł zobaczyć plik z hasłami i zobaczyć listę wszystkich użytkowników,
których mamy w naszym systemie.
Widzisz tutaj pierwszą kolumnę przed rozmową i mieliśmy nazwę użytkownika jak Spider-Man Spider, to moje
imię i wiele innych jak NFL chudy.
Możesz więc zmienić nazwę użytkownika na inną.
Więc to nie jest łatwe do odgadnięcia.
Innym sposobem, powiedziałbym, jest domyślnie, gdy tworzony jest użytkownik, po uruchomieniu polecenia reklama użytkownika, a następnie
tworzysz użytkownika.
Automatycznie przypisuje identyfikator użytkownika, który zwykle zaczyna się od trzech cyfr lub cztery cyfry to tysiąc
tak dalej.
Więc poleciłbym również lub jako standard branżowy, aby używać czegokolwiek od 10000 i więcej.
Więc w ten sposób nietrudno zgadnąć.
Inny sposób dotyczy zasad dotyczących haseł.
Teraz, jak często zmienia się Twoje hasło, jak długie powinno być hasło.
Wszystkie te informacje można zobaczyć, uruchamiając stronę poleceń, która zmienia się, jeśli zrobisz minus L na
nazwie użytkownika, czyli ja, zobaczysz tutaj ostatnią zmianę hasła.
Nadszedł czas i zmieniam hasło.
Eksplorator haseł, nigdy hasło nieaktywne.
Więc hasło wygasło.
Nigdy.
To nie jest dobry znak, ponieważ jest to środowisko laboratoryjne do celów szkoleniowych, nie obchodzi mnie to.
Ale w środowisku korporacyjnym i środowisku produkcyjnym powinna być data zmiany hasła.
To samo dotyczy aktywnego.
Konto hasła wygasa, gdy wygasa hasło, kilka dni ostrzeżenia przed wygaśnięciem hasła i tak
dalej, wszystkie te informacje można zmienić.
Możesz ustawić swój własny standard w zależności od wymagań Twojej firmy.
Możesz uruchomić polecenie H h z pomocą dash dash, aby znaleźć więcej informacji, jak wprowadzić te zmiany
dla każdego użytkownika.
Ponadto, jeśli przejdziesz do tego pliku muszli, zobaczysz odmowę zezwolenia po Birute.
Jeśli usuniesz plik muszli, zobaczysz, że każdy użytkownik ma tę nazwę użytkownika.
Jest to hasło na końcu hasła w tym wywołaniu i zawiera te numery.
Są to te same liczby, które zdefiniowaliśmy i zmieniamy wiek.
Możesz zmienić albo za pomocą tego polecenia, zobaczyć zmianę, albo przejść bezpośrednio do XY Sherifa i dokonać
zmiany.
Zobacz tutaj, siódemka odnosi się do tej siódemki.
To dziewięć dziewięć dziewięć odnosi się do tego dziewięć dziewięć dziewięć.
Zero odnosi się do tego zera.
Możesz więc uzyskać więcej informacji o tym, jak możesz to zmienić, ale możesz to
zrobić za pomocą cienia etsi lub zmiany h.
Wolałbym, abyś mimo wszystko używał zmian do przodu.
Kolejny inny plik, na który powinieneś spojrzeć, to ATSE Login and deaths.
Jest to plik, w którym możesz również zdefiniować niektóre parametry i te parametry to otwórzmy plik ponownie,
a zobaczysz tutaj maksymalne hasło, maksymalną liczbę dni.
To są ustawienia domyślne.
Możesz to zrobić na podstawie użytkownika.
Lub jeśli chcesz zastosować do ustawienia domyślnego, możesz go użyć tutaj.
Minimalna długość hasła C pięć.
Jeśli ty, jeśli użytkownik wprowadza hasło, to nie jest to akceptacja.
Musi być pięć.
I oczywiście polecam przejść co najmniej 12 lub 13 i zmienić to właśnie tutaj.
Możesz także wyłączyć wszystkie hasła, inny plik, który faktycznie zarządza kontami użytkowników i jego
bezpieczeństwem to ETSI Pandi, katalog i autoryzacja systemu plików.
Kiedy spojrzysz na ten plik, ma on wiele innych parametrów, które możesz zdefiniować.
Chcę, żebyś spędził tu trochę czasu, a nawet sprawdził to w Internecie i przestudiował każdą dziedzinę tego pliku, aby dokładnie
zrozumieć, jak to działa.
Następny, który mamy, to powyżej usuń niechciane pakiety, prawda?
Jak więc uzyskać listę wszystkich pakietów, aby uzyskać listę pakietów?
Myślę, że powinieneś wiedzieć, że jeśli zapomniałeś, to w porządku.
R. str. M. minus wpust, a następnie wciskasz enter.
Kiedy naciśniesz Enter, otrzymasz garść listy wszystkich pakietów.
Hmm.
Teraz ile pakietów mam w swoim systemie, żeby to było dla Ciebie jak quiz.
Powiedz mi, ile było paczek.
Cóż, polecenie to R. str. M. jako Kuai W. Św. Munsell i to zliczy każde wyjście liniowe R. str. M..
Czy mogę mieć całkowitą liczbę paczek.
Trzynaście sto pięćdziesiąt.
Jest więc tak wiele pakietów, że naprawdę tego nie potrzebuję.
Więc po co nam to.
Pozbądź się ich.
Aby pozbyć się pakietu, polecenie to R. str. M. minus E i nazwa pakietu.
Pamiętaj też, że usuwając pakiet, zapewni to, że ten pakiet jest zależny od innego
pakietu.
Więc bądź bardzo ostrożny.
Jeśli usuniesz pakiet i to, a ten pakiet ma zależności od innego pakietu lub innych pakietów,
zależności od tego, będziesz mieć pewne uszkodzenia i niektóre programy, które nie będą działać poprawnie.
Więc po prostu bądź ostrożny, wtedy mamy następny przystanek na korzystanie z usług.
OK, jak otrzymamy listę wszystkich usług, które obsługujemy?
Jeśli uruchomisz systemowy ctrl myślnik a, da ci to wszystko, co jest aktywne lub nieaktywne.
Więc jeśli istnieje usługa, która jest aktywna i naprawdę jej nie potrzebujesz, możesz ją po prostu zatrzymać.
Jeśli system obsługuje strony, dlaczego potrzebujesz na nim usługi FSA?
Dobrze.
Dlatego wstrzymaliśmy usługę.
Następny, który mamy tutaj, dotyczy sprawdzenia punktów odsłuchowych.
Jak teraz sprawdzimy porty nasłuchowe?
Z każdą uruchomioną usługą jest powiązany port.
Więc jeśli uciekasz, to ta podstawowa Dashty ty i.
str. Biały, dlaczego wybieram te opcje na Pacyfik?
Po prostu do tego przywykłem.
Możesz wybrać różne opcje, aby sprawdzić porty.
Więc kiedy wejdę, zobaczysz wszystkie porty, które są teraz otwarte i nasłuchują.
Zobacz, tutaj jest adres IP.
A to jest mój lokalny adres IP.
I znowu, to jest mój lokalny adres IP.
A zobaczysz wszystko co potem ma tego portu jeden jeden 53, 22, sześć, 31, 25.
Powiedz mi, co jest 53 dla sekwestra.
Cóż, jeśli nie pamiętasz, 53 dotyczy DNS.
I jak powiedziałem, DNS to, na czym działa.
Również jedno z ważnych pytań.
Więc jeśli ty, jeśli twoja maszyna nie służy jako DNS, dlaczego mamy uruchomione 53 porty?
Tak więc zatrzymanie następnego, które mamy, polega na zabezpieczeniu konfiguracji.
Teraz, jeśli wiesz, że logując się zdalnie do systemu, jakiego protokołu używasz, używasz S. H. oraz na Porcie
22.
Więc to również może być zabezpieczone.
Więc jeśli przejdziesz do seed slash S. H. a potem jest plik o nazwie SAHD Config, a
kiedy naciśniesz Enter, tym więcej zobaczysz, że ten plik można zmodyfikować i wiele jego parametrów można zmodyfikować,
aby uczynić SSA bezpieczniejszym.
A jakie są te rzeczy, które można modyfikować?
Dwie podstawowe, w których zwykle wprowadzam zmiany, to Nie.
Jednym z nich jest zmiana portu.
Więc teraz, jeśli widzisz, że port działa na dwadzieścia dwa, zmieniłbym go na 10, 22 lub
inny port, który chciałbym mieć.
Więc w moim systemie jest bezpieczniejszy.
Inną rzeczą, którą lubię robić za każdym razem, gdy buduję system, jest to, że wchodzę i włączam to teraz.
Widzisz tutaj, ten znak haszujący wszystko, co zaczyna się od haszowania.
To powszechne.
Więc usunę ten znak hash i powiem zezwól na logowanie i powiem nie.
Dlaczego?
Bo jeśli się loguję lub ktoś loguje się do systemu jako niegrzeczny, to zaprzeczy.
Powinni zalogować się jako sami i w ten sposób mogą stać się Twoją trasą.
Powodem tego jest to, że za każdym razem, gdy użytkownik się loguje, powiedzmy, że się loguję, moja aktywność zostanie
zalogowana w tym czasie, a ja się loguję i o której zostałem wprowadzony.
Tak więc wszystkie te informacje o śledzeniu zostaną zapisane i znacznie łatwiej będzie zrozumieć, kto zrobił
co z systemem.
Oto kilka rzeczy, które zrobię z konfiguracją SSA.
Następnie włączyliśmy zaporę lub brak zapory.
Jak powiedziałem, istnieje starsza wersja firewalla, która działa w RedHat 6 i starsza nazywa się tablicami IP.
Nowsza wersja zapory ogniowej o siódmej i powyżej zapory ogniowej d pełni tę samą funkcję, co Piemonte ma kilka
ulepszonych funkcji.
Możesz to sprawdzić ponownie, jeśli chcesz teraz dowiedzieć się więcej o firewallu, mógłbym powiedzieć, co robi
firewall.
Zapora, gdy masz ją włączoną w swoim systemie, robi to, że możesz odfiltrować, co oznacza,
że jeśli chcesz akceptować tylko ruch przychodzący w jednym przecinku dwadzieścia dwa, możesz powiedzieć zaporze.
Hej, zapora akceptuje tylko ruch przychodzący przez dwadzieścia dwa lub tylko ruch przychodzący z czterech lub jednego.
Dwadzieścia trzy, cztery do trzech.
Wszystko, co chcesz, aby wprowadzić zmiany w zaporze.
Wszystko, co chcesz, aby usługa działała.
Więc firewall jest jak strażnik, obrońca lub strażnik dla twojego systemu, który pozwala komuś lub
ruchowi na wejście lub i pozwala ruchowi opuścić polecenia, które musisz znać
dla zapory, jak w GUI, w nowszej wersji Linux, jeśli używasz Google, możesz
uruchomić firewall, dash config wciśnij enter i zobaczysz, że przyniesie to dobre to Google pozwoli ci włączyć
usługi, pozwala włączyć porty na portach, usunąć protokoły lub protokoły.
Jeśli widzisz, czy chcesz dodać port, powiedzmy, że jeśli domyślnie włączysz zaporę w systemie,
wszystko zablokuje.
Więc po włączeniu zapory nie będzie rozmawiał z nikim na zewnątrz.
Teraz będzie ktoś z tobą rozmawiał.
Jak więc włączyć komunikację?
Dodajesz porty, klikasz na dodaj, umieszczasz port.
Nie, powiedzmy, że chcę, aby wszyscy ze mną rozmawiali i jestem serwerem DNS, więc mów do mnie.
Trzy, pozwalam na to.
Dobre.
Kliknij OK i dobrze, idealnie.
Więc tak działa firewall lub IP w nowszym systemie i to jest fajne.
Co jeśli nie mam kodu?
OK, za to.
Jest jeszcze jedno polecenie dla polecenia tekstowego lub wiersza poleceń, które jest zaporą ogniową, które służy do
polecenia.
A potem pomożesz, dostaniesz dużo informacji.
Jak znajdziesz lub jak zapytasz lub jak usuniesz port i wszystkie słowa i mamy polecenie
tabele IP, więc i trafisz w tabele.
Możesz po prostu pomóc, a zobaczysz wszystkie informacje, które masz w tej chwili.
Jeśli włączysz usługi IP, a następnie uruchomisz tabele IP, aby wyświetlić listę, i tak wyświetli listę wszystkich
usług.
Plik konfiguracyjny dla tabel IP, starsza wersja to etsi this config.
Konfiguracja IP i sześć do porównania pliku to konfekcja tablic IP, a jest to plik, do którego możesz wejść i zmodyfikować, jeśli
nie chcesz modyfikować w wierszu poleceń, możesz zmodyfikować za pomocą pliku, a następnie ponownie
uruchomić usługi.
W nowszej wersji nazwa pliku to ETSI Firewall, witryna, w której C lub D jest brudna, a firewall to firewall
dot com.
To jest ten, który możesz modyfikować.
Następnie przejdziemy do następnego o zabezpieczeniu naszego systemu, którym jest zmiana.
Przepraszamy, włącz s e Linux.
Co to jest C Linux.
Teraz pozwólcie, że przeczytam wam coś naprawdę z Internetu to standardowa definicja SC Linux, SC
Linux oznacza bezpieczeństwo, a Linux to architektura bezpieczeństwa zintegrowana z jądrem od dwóch do sześciu X przy użyciu
modułu bezpieczeństwa Linux, znanego również jako LSM.
Jest to projekt Agencji Bezpieczeństwa Narodowego Stanów Zjednoczonych, który jest skrótem od NSA lub
w skrócie NSA i społeczności SLA.
Integracja Exelis z głosem korporacyjnym Readhead Linux była wspólnym wysiłkiem NSA i rudej.
Asulin określa prawa dostępu i transmisji każdego użytkownika, każdego procesu aplikacji i systemu.
Więc mamy F, wiesz, każdy system operacyjny ma aplikację, ma proces, ma swoją klasę
jako użytkownik.
Dobrze.
Rozmawialiśmy więc o uprawnieniach użytkownika i jak je zmienić?
Zmieniamy go teraz na mod zmiany.
Jak możemy zmienić uprawnienia procesu?
Jak zmienić uprawnienia aplikacji?
Dobrze.
Cóż, nie jest to możliwe w systemie operacyjnym.
Więc co zrobiliśmy, mamy SC Linux, który kontroluje dostęp, uprawnienia dostępu procesu i
aplikacji.
I sięga głęboko, głęboko w szczegóły i kontroluje każdy dostęp do pliku, pliku konfiguracyjnego.
Jeśli chciałeś przeprosić, jeśli chciałeś włączyć SC Linux, pierwszą rzeczą, którą musisz zrobić, to uruchomić status
Passi, aby upewnić się, czy działa, czy nie.
A jeśli widzisz to, jak widzisz w moim systemie, ponieważ status Linuksa jest włączony.
Wiele firm, które pracowały w przeszłości i wiele osób, z
którymi rozmawiałem, zwykle wyłącza SC Linux, co rozumiem, ponieważ wiele razy są tam komputery.
I dlaczego biegam w pracy pro bono, żeby oni naprawdę tego nie potrzebowali?
Dodatkowo, SLN to bardzo nowsza technologia i jest nieco skomplikowana po wdrożeniu do twojego systemu.
Musisz więc mieć bardzo szczegółowe i lepsze zrozumienie SC Linux.
Więc jeśli chcesz to wyłączyć, wszystko, co musisz zrobić, to przejść do ATSE, mówi config i robisz V. JA. Po prostu robię
na razie więcej i zobaczysz tutaj.
Pozwól mi wyczyścić ekran, aby nie było zamieszania, gdy na niego spojrzysz.
Więc widzisz tutaj, wszystko, co ma znaki hash, jest oczywiście powszechne.
Więc widzisz tutaj, widzę Linuksa w równym stopniu.
Oznacza to, że jest to siła i jest włączona.
Istnieją trzy tryby SC Linux.
Jednym z nich jest egzekwowanie, co oznacza egzekwowanie zasad bezpieczeństwa SC Linux.
Właśnie wtedy drugi jest permisywny, co oznacza ostrzeżenie systemu azylowego, ale nie wymusza
polityki.
Więc jak ktoś wprowadza jakieś zmiany, to wypisze, hej, coś się działo, ale to
nie zatrzyma.
Potem jest jeszcze jeden.
Ostatnim jest oczywiście wyłączenie, które wyłącza SC Linux.
Więc możesz to zmienić tutaj.
A kiedy już to zrobisz, zaleca się ponowne uruchomienie systemu.
Czyli żeby sprawdzić parametry pliku, powiedzmy na przykład, czy pójdę bezpośrednio do domu i to są pliki i
katalogi, które mam.
Więc jeśli po prostu podaję status lub po prostu przepraszam, po prostu to i powiedzmy, że mam ten plik o nazwie Lala Land.
Zobaczysz tutaj.
I mówi mi o tym wszystko.
Podczas gdy pliki nazywają rozmiar, który ma blokować blok IO, a tutaj mówi Access, który jest odczytywany, zapisywany,
wykonywany, zapisywany, już to omówiliśmy.
A jeśli nie, to już wiesz, że można to zdefiniować za pomocą modu zmiany.
Corkman Teraz, jeśli zauważysz tutaj, jest to nowa rzecz, kontekst tego konkretnego pliku jest zdefiniowany, gdzie obiekt jest
używany w twoim domu.
Tak więc jest sufit, śledź, który bezpośrednio należy do którego użytkownika lub który plik.
Daje również dostęp, modyfikator, zmianę planszy i wszystkie inne informacje.
Mogliśmy zmienić tylko odczyt, zapis i wykonanie.
Dobrze.
Ale wszystkie te dodatkowe rzeczy, jeśli chcesz to mieć, to i tak można je zrobić u Selznicka.
Są inne polecenia, do których chciałbym się przyjrzeć, których nie będę tutaj
omawiał, ponieważ Selznick to ogromny temat tylko dla twojej wiedzy lub po to, abyś miał to trochę wyeksponowane, że powinieneś wiedzieć,
czym jest Sille.
W każdym razie niektóre polecenia Linux to S. H. Con, które zmieniają plik w kontekście bezpieczeństwa.
Następnie mamy politykę czeską, która jest kompilatorem polityki Celldex, a pozostałe to nowa rola.
Ustaw C.
Bool zestaw C.
Bool poprawił semantykę plików i tak wiele poleceń, których tutaj nie omówię.
Załączam też trochę dokumentacji, którą możesz przeczytać.
Więc chodzi o Essy Linux.
Teraz ta przedostatnia część, którą chciałem w COHRE, dotyczy usługi wystawiania zmian.
Ponieważ numery portów teraz również omówiłem to trochę w konfiguracji C so Secich, gdzie można było
zmienić port 22 na inny.
Możesz również wprowadzić tę samą zmianę w innych usługach, na przykład DNS domyślnie na 53.
Dobrze.
Możesz również wprowadzić te zmiany, aby system był bezpieczniejszy.
A ostatnia dotyczy aktualizowania systemu operacyjnego.
Nie oznacza to, że po prostu wchodzisz do trybu online, aktualizujesz wszystko i po prostu aktualizujesz wszystko.
Wszystkie pakiety, które posiadasz, nie musisz robić lub nie musisz aktualizować każdego pakietu.
Ale musisz upewnić się, że szczególnie wszystko, co jest związane z bezpieczeństwem, musisz zaktualizować.
A jak jesteśmy na bieżąco z bezpieczeństwem?
Cóż, jedną rzeczą jest to, że nadal działasz na Abdelalu zaktualizowanym.
Dobrze.
Ale czy to jest właściwy sposób?
Cóż, mogę powiedzieć, że jestem na bieżąco ze wszystkimi alertami, które otrzymuję od
RedHat lub S. O. S lub nawet Windows, za każdym razem, gdy pojawia się
problem lub pojawia się nowa łatka, otrzymuję powiadomienie.
Mam e-mail.
Więc polecam zrobić to samo.
Śmiało i zarejestruj się w Readhead Dotcom na sento.
Jak tylko otrzymasz którąkolwiek z tych aktualizacji, wejdź i złóż wniosek.
W ten sposób dbasz o bezpieczeństwo swojego systemu.
W każdym razie chodzi o to, jak można zabezpieczyć lub zawsze wzmocnić swój system.
Jeśli omówisz tutaj wszystko szczegółowo i jeśli ktoś zadaje ci pytania, zaufaj mi, jeśli pójdziesz z
tym, osiągniesz sukces.
W porządku.
Powodzenia.