Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

wichtigen Programmen und allen Treibern auf einer Diskette ! Siehe
http://www.toms.net
• Entfernen Sie alle unnötigen User und Gruppen aus den Dateien
/etc/passwd und /etc/group
• Entfernen Sie alle SUID und GID - Programme auf der Firewall. Sie finden Sie
mit dem Befehl: find / -perm -04000 , optional -print -exec rm {} ";"
• Alle verbleibenden Dienste, z.B. der SYSLOGD sollten in einer CHROOT()
Umgebung installiert sein, was bedeutet, daß ein Angreifer, wenn er ein
buffer overflow Problem des Dämon ausnutzt, höchstens auf ein
Unterverzeichnis der Festplatte zugreifen kann. Wer sich intensiver damit
beschäftigen muß, der findet im Kapitel chroot() weitere Tips.
• Alle verbleibenden Dienste sollten unter minimalen Userrechten laufen, z.B.
nobody und nogroup
• Die Einträge aller User außer root und userxyz in der Datei /etc/passwd
sollten statt /bin/bash den Dummy- Eintrag /bin/false erhalten.
• Entfernen alle überflüssigen Protokolle aus dem Kernel durch
Neukonfiguration und Neukompilation des Kernels.
• Entfernung aller überflüssigen Dämonen aus den Startup - Skripten
/etc/inittab, /sbin/init.d/rc.?d oder /etc/rc.d/rc.?d sowie der Datei
/etc/rc.local. Nachten sollte man stets auch auf die Dateien .profile,
/etc/profile und .bashrc oder .cshrc
• Enfernung des KERNELD, damit keine Treiber dynamisch nachgeladen
werden können.
• Überprüfen Sie die Authentizität aller noch verbleibenden Programme,
Libraries oder Dämonen auf Quellcode-Ebene. Falls Sie nicht sicher sind,
überprüfen Sie die MD5 Prüfsummen. Es könnte hierzu notwendig sein, daß
viele Teile neu kompiliert werden müssen. Kompilieren Sie stets mit der
Option -static in dem Makefile.
• Damit Sie sicher sein können, daß die verbleibenden Dämonen buffer
overflow sicher sind, benutzen Sie die Kompiler der o.a. SecureLINUX
Distributionen.
Wie Sie sehen, gibt es gute Gründe, eine Firewall nicht mit einer fertigen LINUX
Distribution, wie z.B. RedHat oder S.u.S.E. Linux aufzubauen. Es gibt viel zu viel Software
und aktive Dämonen, die man alle unbedingt ausschalten muß. Eine Firewall ist und bleibt
ein äußerst sensibles Stück Software, wo ein einziger Fehler schon zuviel ist. Als
Systemadministrator der Firewall sollte man alle noch vorhandenen User auf der Firewall
gnadenlos eliminieren. Es sollte nur noch ein Useraccount und root auf der Firewall
existieren. Übrigens sollte man sich einmal Gedanken darüber machen, welche Accounts
bei einer Standard-Distribution, wie z.B. S.u.S.E. LINUX standardmäßig existieren:
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/bin/bash
daemon:x:2:2:daemon:/sbin:/bin/bash
lp:x:4:7:lp daemon:/var/spool/lpd:/bin/bash
news:x:9:13:News system:/etc/news:/bin/bash
uucp:x:10:14::/var/lib/uucp/taylor_config:/bin/bash
games:x:12:100::/tmp:/bin/bash
man:x:13:2::/var/catman:/bin/bash
at:x:25:25::/var/spool/atjobs:/bin/bash
postgres:x:26:2:Postgres Database Admin:/var/lib/pgsql:/bin/bash
lnx:x:27:27:LNX Database Admin:/usr/lib/lnx:/bin/bash
mdom:x:28:28:Mailing list agent:/usr/lib/majordomo:/bin/bash
yard:x:29:29:YARD Database Admin:/usr/lib/YARD:/bin/bash
wwwrun:x:30:65534:Daemon user for apache:/tmp:/bin/bash
squid:x:31:65534:WWW proxy squid:/var/squid:/bin/bash
fax:x:33:14:Facsimile Agent:/var/spool/fax:/bin/bash
gnats:x:34:65534:Gnats Gnu Backtracking System:/usr/lib/gnats:/bin/bash
Erstellt von Doc Gonzo - http://kickme.to/plugins