[redhat] beveiligen van server en netwerk

[JVaags]

Hoi,

Omdat ik laatst mijn server opnieuw moest inrichten had ik nu mooi de gelegeheid een nieuw beveiligingsbeleid op te zetten. Ik ben een modem internetter dus ik heb een variabel ip maar toch vind ik dat de server en lan veilig moeten zijn.

Ik heb het hier dan moet name over het beveiligen van services op de server en zorgen dat de achterliggende clients dmv een iptables firewall rustig kunnen internetten.

Ik heb dus het script van monmotha gedownloaded en geinstalleerd (had ik voorheen ook) en ik heb het zo gezet dan alle paketten die ik niet wil worden gedropt. Dat werkt.

Nu hoorde ik ook dat je ook ICMP pakketten kunt droppen zodat je geen last hebt van gasten die je met een hoge packet size gaan pingen zodat je zelf onbewust je eigen lijn laat digslippen (je gaat immers me dezelfde packet size antwoorden)

Ik heb nu BAD_ICMP=5 9 10 15 16 17 18 is dat voldoende?

Ik heb alle services die ik draai op het interne lan (ssh, samba, mserver en httpd) zo ingesteld dat je er alleen vanaf 192.168.0.0 bij kunt komen. Als je een nmap naar het externe ip doet (dus achter de firwall langs) krijg ik dit:

(The 1539 ports scanned but not shown below are in state: closed)
Port State Service
111/tcp open sunrpc
901/tcp open samba-swat
1024/tcp open kdm

Is dit goed of niet? Want wat doen die surpc en kdm? En hoe krijg ik de swat poort dicht voor het externe ip? Ik heb in de /etc/xinetd.d/swat config file gezet dat hij alleen vanaf 192.168.0.0 toegangkelijk is, maar dat is schijnbaar dus niet genoeg.

Verder heb ik de belangrijkste services waar mogelijk geupdated naar de laatste versie. Ik heb het hier over openssh, apache, samba en iptables.

Verder heb ik op de werkstations Esafe als virusscanner draaien. En das ook niet onbelangrijk

Zie ik nog iets over het hoofd?

[Verwijderd]

gebruik je al iets van cracklib oid. om je passwords te checkken?

[Verwijderd]

Wil je alle pings (ICMP echo) droppen of alleen van een bepaalde grote? Je kan namelijk gewoon ICMP echo sub types blocken met iptables. Kijk voor een lijstje van alle subtypes hier: http://www.spirit.com/Resources/icmp.html
Wat ik vaak zie in firewall scripts die je op internet ziet, dat ze vaak wel een default DROP policy hebben voor TCP en UDP, maar voor ICMP niet. Dit vind ik wat vreemd, want je hebt maar een klein aantal ICMP types nodig voor de goede werking (en optimale) van de TCP/IP stack.

Verder snap ik niet wat je met achter de firewall langs scannen bedoelt. Heb je vanaf een remote machine jouw externe ip adres gescanned of vanaf je interne netwerk?

Heb je xinetd wel opnieuw gestart nadat je de configuratie van samba-swat aan had gepast?

Sunrpc zou ik absoluut verwijderen (heeft een leuk verleden van exploits) als je geen services draait die hier gebruik van maken (zoals NFS). Zowiezo geldt op het gebied dat je alle onnodige services moet verwijderen.