Protegendo meu servidor de seus próprios usuários

Question

Existe alguma ferramenta para verificar o sistema de arquivos do meu servidor quanto a vulnerabilidades de permissão?

Meu servidor é um servidor de e-mail e web de baixa segurança que executa nosso e-mail e site locais. Qualquer pessoa na minha organização pode usar o servidor, mas atualmente sou o único usuário.

Eu planejo dar acesso em nível de usuário às pessoas e quero ter certeza de que, se elas forem brincar (perfeitamente bem), elas não poderão quebrar nada de importante, como conf arquivos e tal. No meu caso, se um arquivo conf for excluído, apenas recriá-lo, sem perda de dinheiro ou qualquer coisa, mas prefiro não ter que gastar tempo fazendo isso.

    

Answer 1

Minha primeira recomendação seria que o sistema fosse atualizado automaticamente.

Assumindo um sistema Debian, se não você pode encontrar os comandos equivalentes.

apt-get update
apt-get upgrade

Coloque-os em um trabalho diário cron para atualizar regularmente. No entanto, também faça isso manualmente de vez em quando, pois às vezes essas atualizações precisam de uma entrada manual. Versões mais recentes do apt-get suportam um unattended para atualizações também, mas eu ainda gosto de executá-lo de vez em quando. Me dá paz de espírito.

Então eu recomendo que você procure o EOL (fim da vida) da distribuição linux que você implantou.

Assumindo um sistema Debian, você pode encontrá-los todos nessa página. link

Por exemplo, no momento desta postagem:

Version Code name   Release date        End of life date
8.0     Jessie      April 25th 2015     ~June 6th 2018 (full) / ~June 6th 2020 (LTS)

Isso lhe dá um prazo de June 6th 2018 se você instalou Jessie onde você deveria voltar e atualizar as fontes do apt para pular para a próxima versão.

Lembre-se de que, com LTS ( long term support ), sua distribuição ainda receberá atualizações de segurança por um período após o fim da vida útil, mas não é para sempre.

Não deixe seu servidor fazer parte do próximo link relatório mundial de vulnerabilidade.

Alguns outros passos que seriam relevantes para as suas necessidades:

• Configure seus outros usuários como usuários regulares com ID > 1000
• Configure um cron job para relatar a você todos os arquivos graváveis do mundo por e-mail
• Desativar logins de senha do root do SSH para evitar que alguém force o conteúdo por dentro

Answer 2

Você pode usar alguma ferramenta IDS orientada ao host que verifique a integridade do arquivo do sistema. Ossec é um bom exemplo. Ele envia alertas de correio quando detectar algum arquivo de sistema modificado.