Administración avanzada de GNU/Linux (PDF) - SW Computación

Administración avanzada de GNU/Linux
ª FUOC • XP04/90785/00019
En caso de poner los firewalls, podemos considerar si usar este mecanismo
como único y quitar los wrappers: podría hacerse, ya que
los firewalls (en este caso mediante iptables) ofrecen un mecanismo
muy potente que nos permite seguir a un paquete por tipo, por protocolo
y por lo que está haciendo en el sistema. Un buen firewall podría
ser más o menos suficiente, pero, por si acaso, más medidas de
seguridad no vienen mal. Y en caso de que el firewall no estuviese
bien diseñado y dejase escapar algunos paquetes, el wrapper sería
la medida, a nivel de servicio, para parar los accesos no deseados.
Por poner una metáfora que se suele utilizar, si nos planteásemos
nuestro sistema como la defensa de un castillo medieval, el foso y
primeras murallas serían el firewall, y la segunda muralla de contención,
el wrapper.
9.10. Actividades para el lector
1) Supongamos que colocamos en nuestra máquina un sitio web,
por ejemplo con Apache. Nuestro sitio está pensado para diez
usuarios internos, pero no controlamos este número. Más adelante
nos planteamos poner en Internet este sistema, ya que creemos
que puede ser útil para los clientes, y lo único que hacemos es poner
el sistema con una IP pública en Internet. ¿Qué tipo de ataques
podría sufrir este sistema?
2) ¿Cómo podemos detectar los ficheros con suid en nuestro sistema?
¿Qué comandos serán necesarios? ¿Y los directorios con
SUID o SGID? ¿Por qué es necesario, por ejemplo, que /usr/bin/
passwd tenga bit de SUID?
3) Los ficheros .rhosts, como hemos visto, son un peligro importante
para la seguridad. ¿Podríamos utilizar algún método automático
que comprobase su existencia periódicamente? ¿Cómo?
4) Supongamos que queremos deshabilitar un servicio del cual sabemos
que tiene el script /etc/init.d/servicio que lo controla: queremos
desactivarlo en todos los runlevels en los que se presenta.
¿Cómo encontramos los runlevels en los que está? (por ejemplo,
buscando enlaces al script).
ANOTACIONES
387