Amanda Enterprise Server Meningkatkan Konfigurasi Keselamatan

Melumpuhkan Pengalihan ICMP

Pengguna yang berniat jahat boleh menggunakan mesej permintaan ICMP yang dibuat khas untuk melancarkan serangan Penolakan Perkhidmatan terhadap rangkaian. Sekiranya pengalihan ICMP tidak digunakan dalam reka bentuk rangkaian anda untuk mengemas kini jadual laluan dan pelayan sandaran juga tidak berfungsi sebagai penghala atau gerbang maka ICMP Redirect menerima dan mengirim pesan harus dinonaktifkan. Sangat mudah untuk melumpuhkan pengalihan ICMP di Linux (dan banyak sistem operasi seperti Unix) dengan menggunakan sistem fail proc (procfs) dan procfs itu sendiri paling mudah untuk digunakan melalui antara muka seperti sysctl.

Melumpuhkan Pengalihan ICMP Terima dan Hantar semasa masa jalan untuk semua antara muka dilakukan dengan sysctl dengan mengeluarkan arahan berikut.

Melumpuhkan Pengalihan ICMP untuk IPv4 pada waktu runtime:

Root@host# /sbin/sysctl -w net.ipv4.conf.all.accept_redirects = 0 Root@host# /sbin/sysctl -w net.ipv4.conf.all.send_redirects = 0

Melumpuhkan Pengalihan ICMP untuk IPv6 pada waktu runtime:

Root@host# /sbin/sysctl -w net.ipv6.conf.all.accept_redirects = 0 Root@host# /sbin/sysctl -w net.ipv6.conf.all.send_redirects = 0

Sekiranya anda ingin menentukan antara muka, misalnya eth0, maka anda akan mengganti 'semua' dalam contoh di atas dengan nama antara muka. Yaitu:

Root@host# /sbin/sysctl -w net.ipv4.conf.et0.accept_redirects = 0

Ini, bagaimanapun, adalah kaedah yang buruk kerana perubahan tidak akan berterusan untuk reboot. Lebih baik mengubah fail /etc/sysctl.conf untuk perubahan tetap jika ICMP Redirects tidak diterima dan dihantar.

Mengubah sysctl.conf untuk sistem operasi seperti RHEL dan SLES:

# Untuk IPv4
net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.all.send_redirects = 0

# Untuk IPv6
net.ipv6.conf.all.accept_redirects = 0 net.ipv6.conf.all.send_redirects = 0

Mengubah sysctl.conf untuk sistem operasi seperti Ubuntu dan Debian:

# Untuk IPv4
net / ipv4 / conf / all / accept_redirects = 0 bersih / ipv4 / conf / all / send_redirects = 0

# Untuk IPv6
net / ipv6 / conf / all / accept_redirects = 0 bersih / ipv6 / conf / all / send_redirects = 0

Konfigurasi Apache

Konsol Pengurusan Zmanda (ZMC) menguasakan Pelayan HTTP Apache (httpd). Oleh itu, semua pertimbangan keselamatan yang terpakai untuk mana-mana pelayan HTTP pengeluaran lain juga terpakai pada ZMC. Fail konfigurasi untuk contoh httpd Zmanda boleh didapati dalam direktori /opt/zmanda/amanda/apache2/ pada sistem fail.

Zmanda berusaha dengan tekun untuk memastikan konfigurasi lalai httpd selamat, tetapi penting untuk sentiasa mengikuti Kemas Kini Keselamatan Apache.

Beberapa masalah umum yang mungkin anda alami jika menggunakan versi Amanda Enterprise yang lebih lama termasuk:

Sijil Pelayan X.509

Zmanda tidak dibungkus dengan sijil pelayan X.509. Sekiranya pengguna ingin melaksanakan X.509 maka pengguna perlu membeli atau dihasilkan untuk digunakan dengan Pelayan HTTP Apache.

httpd.conf

Dalam beberapa versi lama Zmanda, anda mungkin mendapati bahawa header respons HTTP Set-Cookie tidak ada HttpOnly. Tambahkan entri berikut di httpd.conf:

Pengeditan pengepala Set-Cookie ^ (. *) $ 1; HttpOnly; Secure

Mulakan semula ZMC menggunakan: /etc/init.d/zmc_aee mulakan semula.

ssl.conf

Dalam versi lama Zmanda, anda mungkin ingin meningkatkan kekuatan cipher yang digunakan, dan menguatkan keutamaannya. Cari baris berikut di ssl.conf dan sama ada komen atau hapuskannya:

SSLCipherSuite SEMUA:! ANULL:! ADH:! ENULL:! RENDAH:! MEDIUM:! EXP: RC4 + RSA: + TINGGI

Dengan baris sebelumnya dikomentari atau dikeluarkan, tambahkan dua baris berikut:

SSLHonorCipherOrder On SSLCipherSuite ECDH + AESGCM: DH + AESGCM: ECDH + AES256: DH + AES256: ECDH + AES128: DH + AES: RSA + AESGCM: RSA + AES:! ANULL:! MD5:! DSS

Untuk maklumat tambahan mengenai cipher, dan untuk memastikan bahawa konfigurasi anda mematuhi polisi keselamatan anda: pastikan untuk memeriksa dokumentasi openssl.

SELinux

Untuk menguatkuasakan tahap keselamatan tambahan melalui kawalan akses mandatori (MAC), adalah dinasihatkan untuk melaksanakan SELinux. SELinux dilaksanakan dalam banyak pengedaran Linux yang popular dan maklumat tambahan mengenai penggunaannya dan Amanda Enterprise secara serentak boleh didapati dalam artikel SELinux dan Amanda Enterprise.