Bastille Linux

[Verwijderd]

Ik heb een probleem met Bastille-Linux. Het is een hardening tool om je Linux distributie te securen. Ik wil dat graag doen bij mijn Linux distributie maar ik heb het volgende probleem:

Als ik deze tool start dan kan ik niet meer op ssh komen. De auth.log file zegt: Refused connect from: ... en dan ffff en dan het ip adres. Even googlen en dan dan zie ik dat er veel antwoorden met hosts.allow aanpassen komen. Nou dit heb ik dus gedaan.

Ik heb geen deny rules in mijn hosts.deny staan. De hosts.allow kun je een verwijzing maken naar een ander bestand waarin je ip adres staat en nog steeds werkt het niet.

Heeft iemand ervaring met deze tool

[HunterPro]

wat dacht je van je sshd-config file? (in /etc/ssh). Als je niet weet hoe dergelijke dingen werken, is het wellicht een leuk idee om met zo'n tool bezig te gaan, maar veel beter word je er niet van ben ik bang.

[dion_b]

Een van de eerste dingen die gedaan wordt om te hardenen is om root login via SSH te verbieden. Om root te worden moet je eerst als user inloggen en dan via su werken. Probeer je toevallig als root in te loggen?

[Verwijderd]

Ja maar dat is makkelijk te omzeilen door PermitRoorLogon = yes te zetten. Dan kan je inderdaad inloggen als root. Maar als je in BastilleLinux de optie met de vraag "Would you like to set a default-deny on TCP Wrappers and xinetd? " op no zet dan werkt het wel. Ik dacht dat TCP wrappers kijkt naar de host.deny en host.allow file? Daarin staan namelijk geen andere entries die iets kunnen verbieden in mijn config. En als ik SSHD = ALL allow erin zet dan zou het eigenlijk moeten werken.Toch? Of is er nog een andere file

[Equator]

zoek eens naar xinetd
Het is een soort lagensysteem: (beware, het is voor mij enige tijd geleden)

• firewall (ip tables)
• xinetd
• pam
• deamon eigen config
• hosts.allow / deny files

Voordat je uberhaubt mag verbinden moet je van boven naar beneden erdoor komen.

[boukej]

Verwijderd schreef op woensdag 09 augustus 2006 @ 11:41:Als ik deze tool start dan kan ik niet meer op ssh komen. De auth.log file zegt: Refused connect from: ...

Dat klopt. Dit komt door deze regel in /etc/hosts.allow:

code:

# but everything else is denied & reported with safe_finger
ALL : ALL : spawn (/usr/sbin/safe_finger -l @%h | /bin/mail -s "Port Denial noted %d-%h" root) & : DENY

Wanneer je hier een uitzondering op wilt maken (en dat wil je voor sshd) dan moet je boven de bovenstaande regel een uitzondering opgeven. Dit kan als volgt:

code:

sshd : ALL

Op mijn Debian 3.1 box ziet /etc/hosts.allow er als volgt uit:

code:

# /etc/hosts.allow: list of hosts that are allowed to access the system.
#                   See the manual pages hosts_access(5), hosts_options(5)
#                   and /usr/doc/netbase/portmapper.txt.gz
#
# Example:    ALL: LOCAL @some_netgroup
#             ALL: .foobar.edu EXCEPT terminalserver.foobar.edu
#
# If you're going to protect the portmapper use the name "portmap" for the
# daemon name. Remember that you can only use the keyword "ALL" and IP
# addresses (NOT host or domain names) for the portmapper, as well as for
# rpc.mountd (the NFS mount daemon). See portmap(8), rpc.mountd(8) and
# /usr/share/doc/portmap/portmapper.txt.gz for further information.
#
# Bastille: default deny
# no safe_finger for in.fingerd (prevent loops)
in.fingerd : ALL : DENY
# prevent issues with local services and sshd
ALL: LOCAL, 127.0.0.1
sshd : ALL
# but everything else is denied & reported with safe_finger
ALL : ALL : spawn (/usr/sbin/safe_finger -l @%h | /bin/mail -s "Port Denial noted %d-%h" root) & : DENY

Indien mogelijk/wenselijk kun je achter sshd een ip adres invoeren in plaats van ALL (zodat alleen vanaf die host met het opgegeven ip adres verbinding gemaakt kan worden; in het onderstaande voorbeeld vanaf 123.123.123.123).

code:

sshd : 123.123.123.123

Succes!!!