👩🏻‍🎨 👨‍⚖️ 🙏 लिनक्स उपयोगिता के साथ लिनक्स सुरक्षा की जाँच 📴 🌧️ 🤦🏽

हम यह पता लगाते हैं कि लिनक्स सिस्टम की ऑडिटिंग के लिए सबसे शक्तिशाली फ्रीवेयर उपयोगिताओं में से एक का उपयोग कैसे करें।

क्या आपने कभी सोचा है कि आपका लिनक्स सिस्टम कितना सुरक्षित है? कई लिनक्स वितरण हैं (प्रत्येक अपनी स्वयं की डिफ़ॉल्ट सेटिंग्स के साथ) जिस पर आप विभिन्न संस्करण संख्याओं के साथ दर्जनों सॉफ्टवेयर पैकेज चलाते हैं। इसके अलावा, पृष्ठभूमि में आपके ओएस पर ऐसी कई सेवाएं हैं जिनके बारे में आप कभी-कभी नहीं जानते हैं या इसके बारे में नहीं सोचते हैं।

सिस्टम के बारे में जानकारी प्राप्त करने के लिए, अर्थात्, सॉफ़्टवेयर की सामान्य स्थिति, नेटवर्क और सेवाओं को लिनक्स पर स्थापित के साथ अपने कंप्यूटर पर जांचें, बस कुछ कमांड चलाएं। लेकिन अब प्राप्त जानकारी के साथ क्या करना है? इसे कैसे समझें? आखिरकार, आपको विश्लेषण करने के लिए आवश्यक डेटा की मात्रा बहुत बड़ी है।

यह बेहतर होगा यदि आप केवल एक उपकरण चला सकते हैं जो सिस्टम की सुरक्षा के स्तर पर एक संरचित रिपोर्ट उत्पन्न करता है। लिनिस एक लोकप्रिय ओपन सोर्स टूल है जो लिनक्स और यूनिक्स आधारित प्रणालियों का ऑडिट करता है।

“यह सुरक्षा सेटिंग्स का एक व्यापक स्कैन करता है और सिस्टम पर ही चलता है। मुख्य लक्ष्य सुरक्षा सुविधाओं का परीक्षण करना और सिस्टम सुरक्षा के स्तर को और बेहतर बनाने के लिए सिफारिशें जारी करना है। यह सिस्टम-वाइड जानकारी, इंस्टॉल किए गए पैकेजों की जानकारी और संभावित कॉन्फ़िगरेशन त्रुटियों को भी स्कैन करता है। लिनिस [आमतौर पर] का उपयोग सिस्टम प्रशासक और सुरक्षा विशेषज्ञों द्वारा सिस्टम सुरक्षा के स्तर का आकलन करने के लिए किया जाता है ।

लिंग स्थापित करें

आप लिंग को स्थापित करने के लिए पैकेज प्रबंधकों का उपयोग कर सकते हैं। बशर्ते कि रिपॉजिटरी में संस्करणों की प्रासंगिकता के साथ आपका लिनक्स सिस्टम क्रम में है, उपयोगिता इस तरह से स्थापित की जा सकती है:

dnf install lynis

या ऐसा:

apt install lynis

हालाँकि, यदि आपकी रिपॉजिटरी में उपयोगिता संस्करण नवीनतम नहीं है, तो लिटिस को गिटहब के साथ स्थापित करना बेहतर है (मैं Red Hat Linux सिस्टम का उपयोग करता हूं, लेकिन इसी तरह के कमांड किसी भी लिनक्स वितरण पर काम करते हैं):

$ cat /etc/redhat-release
Red Hat Enterprise Linux Server release 7.8 (Maipo)
$
$ uname  -r
3.10.0-1127.el7.x86_64
$
$ git clone https://github.com/CISOfy/lynis.git
Cloning into 'lynis'...
remote: Enumerating objects: 30, done.
remote: Counting objects: 100% (30/30), done.
remote: Compressing objects: 100% (30/30), done.
remote: Total 12566 (delta 15), reused 8 (delta 0), pack-reused 12536
Receiving objects: 100% (12566/12566), 6.36 MiB | 911.00 KiB/s, done.
Resolving deltas: 100% (9264/9264), done.
$

जैसे ही आप रिपॉजिटरी को क्लोन करते हैं, उसमें जाएं और देखें कि आपके पास क्या उपलब्ध है, लिनिइस नामक एक फाइल ढूंढें। यह वास्तव में एक शेल स्क्रिप्ट है, इसलिए आप इसे खोल सकते हैं और पढ़ सकते हैं कि यह क्या करता है। वास्तव में, लिनिस को मुख्य रूप से लिपियों का उपयोग करके लागू किया जाता है:

$ cd lynis/
$ ls
CHANGELOG.md        CONTRIBUTING.md  db           developer.prf  FAQ             include  LICENSE  lynis.8  README     SECURITY.md
CODE_OF_CONDUCT.md  CONTRIBUTORS.md  default.prf  extras         HAPPY_USERS.md  INSTALL  lynis    plugins  README.md
$
$ file lynis
lynis: POSIX shell script, ASCII text executable, with very long lines
$

लिनिस लॉन्च करें

आइए -h ध्वज के उपयोग से सहायता चलाकर लिंगिस के साथ आरंभ करें :

$ ./lynis -h

तो आप मुख्य उपयोगिता कमांड के साथ खुद को परिचित कर सकते हैं। उदाहरण के लिए, आइए जानें इसका संस्करण:

$ ./lynis show version
3.0.0
$

लिनिस कमांड की पूरी सूची के लिए, टाइप करें:

$ ./lynis show commands

Commands:
lynis audit
lynis configure
lynis generate
lynis show
lynis update
lynis upload-only

$

लिनक्स सिस्टम का ऑडिट चलाना

यह सब निम्नलिखित कमांड से शुरू होता है:

$ ./lynis audit system

टीम शुरू करने के बाद हम एक विस्तृत रिपोर्ट प्राप्त करेंगे। चिंता मत करो, हम इसे थोड़ा बाद में समझेंगे। टीम के अन्य कार्य परिणाम भी सहेजे जाते हैं, इसलिए आप बाद में उनके पास लौट सकते हैं।

यहाँ लिंग लॉग को संग्रहीत करता है:

  Files:
  - Test and debug information      : /var/log/lynis.log
  - Report data                     : /var/log/lynis-report.dat

आप जांच सकते हैं कि क्या वास्तव में सभी आवश्यक फाइलें बनाई गई थीं:

$ ls -l /var/log/lynis.log
-rw-r-----. 1 root root 341489 Apr 30 05:52 /var/log/lynis.log
$
$ ls -l /var/log/lynis-report.dat
-rw-r-----. 1 root root 638 Apr 30 05:55 /var/log/lynis-report.dat
$

हम रिपोर्ट का अध्ययन करते हैं

लिंगिस काफी विस्तृत रिपोर्ट प्रदान करता है, इसलिए मैं केवल कुछ महत्वपूर्ण विषयों को कवर करूंगा। लिंगिस ने आरंभीकरण के दौरान जो पहली चीज की है, वह कंप्यूटर पर चल रहे ऑपरेटिंग सिस्टम के बारे में पूरी जानकारी प्राप्त करना है। फिर उपयोगिता जाँचती है कि आपके द्वारा इंस्टॉल किए गए सिस्टम टूल और प्लगइन्स कौन से हैं:

[+] Initializing program
------------------------------------
  - Detecting OS...                                           [ DONE ]
  - Checking profiles...                                      [ DONE ]

  ---------------------------------------------------
  Program version:           3.0.0
  Operating system:          Linux
  Operating system name:     Red Hat Enterprise Linux Server 7.8 (Maipo)
  Operating system version:  7.8
  Kernel version:            3.10.0
  Hardware platform:         x86_64
  Hostname:                  example
  ---------------------------------------------------
<<snip>>

[+] System Tools
------------------------------------
  - Scanning available tools...
  - Checking system binaries...

[+] Plugins (phase 1)
------------------------------------
 Note: plugins have more extensive tests and may take several minutes to complete
 
  - Plugin: pam
    [..]
  - Plugin: systemd
    [................]

रिपोर्ट को अलग-अलग खंडों में विभाजित किया गया है, और प्रत्येक अनुभाग [+] से शुरू होता है । कुछ खंड नीचे देखे जा सकते हैं।

[+] Boot and services
[+] Kernel
[+] Memory and Processes
[+] Users, Groups and Authentication
[+] Shells
[+] File systems
[+] USB Devices
[+] Storage
[+] NFS
[+] Name services
[+] Ports and packages
[+] Networking
[+] Printers and Spools
[+] Software: e-mail and messaging
[+] Software: firewalls
[+] Software: webserver
[+] SSH Support
[+] SNMP Support
[+] Databases
[+] LDAP Services
[+] PHP
[+] Squid Support
[+] Logging and files
[+] Insecure services
[+] Banners and identification
[+] Scheduled tasks
[+] Accounting
[+] Time and Synchronization
[+] Cryptography
[+] Virtualization
[+] Containers
[+] Security frameworks
[+] Software: file integrity
[+] Software: System tooling
[+] Software: Malware
[+] File Permissions
[+] Home directories
[+] Kernel Hardening
[+] Hardening
[+] Custom tests

अधिक स्पष्टता के लिए, लिनिस रंग सम्मेलनों का उपयोग करता है:

हरी: सब ठीक है
पीला: सब कुछ आवश्यक नहीं मिला, या एक विवादास्पद स्थिति पैदा हुई
लाल: यह एक समस्या है, इससे निपटने के लायक है

मेरे मामले में, कर्नेल हार्डनिंग अनुभाग में अधिकांश समस्याएं (लाल निशान) पाई गईं। कर्नेल में विभिन्न विन्यास योग्य पैरामीटर हैं जो इसके संचालन को निर्धारित करते हैं, और इनमें से कुछ पैरामीटर सुरक्षा के लिए जिम्मेदार हैं। वितरण उन्हें विभिन्न कारणों से डिफ़ॉल्ट रूप से स्थापित नहीं कर सकता है, लेकिन आपको उनमें से प्रत्येक की जांच करनी चाहिए और देखना चाहिए कि क्या आपको इसकी सुरक्षा आवश्यकताओं के आधार पर इसके मूल्य को बदलने की आवश्यकता है:

[+] Kernel Hardening
------------------------------------
  - Comparing sysctl key pairs with scan profile
    - fs.protected_hardlinks (exp: 1)                         [ OK ]
    - fs.protected_symlinks (exp: 1)                          [ OK ]
    - fs.suid_dumpable (exp: 0)                               [ OK ]
    - kernel.core_uses_pid (exp: 1)                           [ OK ]
    - kernel.ctrl-alt-del (exp: 0)                            [ OK ]
    - kernel.dmesg_restrict (exp: 1)                          [ DIFFERENT ]
    - kernel.kptr_restrict (exp: 2)                           [ DIFFERENT ]
    - kernel.randomize_va_space (exp: 2)                      [ OK ]
    - kernel.sysrq (exp: 0)                                   [ DIFFERENT ]
    - kernel.yama.ptrace_scope (exp: 1 2 3)                   [ DIFFERENT ]
    - net.ipv4.conf.all.accept_redirects (exp: 0)             [ DIFFERENT ]
    - net.ipv4.conf.all.accept_source_route (exp: 0)          [ OK ]
    - net.ipv4.conf.all.bootp_relay (exp: 0)                  [ OK ]
    - net.ipv4.conf.all.forwarding (exp: 0)                   [ OK ]
    - net.ipv4.conf.all.log_martians (exp: 1)                 [ DIFFERENT ]
    - net.ipv4.conf.all.mc_forwarding (exp: 0)                [ OK ]
    - net.ipv4.conf.all.proxy_arp (exp: 0)                    [ OK ]
    - net.ipv4.conf.all.rp_filter (exp: 1)                    [ OK ]
    - net.ipv4.conf.all.send_redirects (exp: 0)               [ DIFFERENT ]
    - net.ipv4.conf.default.accept_redirects (exp: 0)         [ DIFFERENT ]
    - net.ipv4.conf.default.accept_source_route (exp: 0)      [ OK ]
    - net.ipv4.conf.default.log_martians (exp: 1)             [ DIFFERENT ]
    - net.ipv4.icmp_echo_ignore_broadcasts (exp: 1)           [ OK ]
    - net.ipv4.icmp_ignore_bogus_error_responses (exp: 1)     [ OK ]
    - net.ipv4.tcp_syncookies (exp: 1)                        [ OK ]
    - net.ipv4.tcp_timestamps (exp: 0 1)                      [ OK ]
    - net.ipv6.conf.all.accept_redirects (exp: 0)             [ DIFFERENT ]
    - net.ipv6.conf.all.accept_source_route (exp: 0)          [ OK ]
    - net.ipv6.conf.default.accept_redirects (exp: 0)         [ DIFFERENT ]
    - net.ipv6.conf.default.accept_source_route (exp: 0)      [ OK ]

उदाहरण के लिए SSH को देखें। यह प्रणाली का एक महत्वपूर्ण हिस्सा है और इसे संरक्षित किया जाना चाहिए। यहां लाल रंग में कुछ भी उजागर नहीं किया गया है, लेकिन एसएसएच सेवा की सुरक्षा में सुधार के लिए लिनिस के पास कई सुझाव हैं:

[+] SSH Support
------------------------------------
  - Checking running SSH daemon                               [ FOUND ]
    - Searching SSH configuration                             [ FOUND ]
    - OpenSSH option: AllowTcpForwarding                      [ SUGGESTION ]
    - OpenSSH option: ClientAliveCountMax                     [ SUGGESTION ]
    - OpenSSH option: ClientAliveInterval                     [ OK ]
    - OpenSSH option: Compression                             [ SUGGESTION ]
    - OpenSSH option: FingerprintHash                         [ OK ]
    - OpenSSH option: GatewayPorts                            [ OK ]
    - OpenSSH option: IgnoreRhosts                            [ OK ]
    - OpenSSH option: LoginGraceTime                          [ OK ]
    - OpenSSH option: LogLevel                                [ SUGGESTION ]
    - OpenSSH option: MaxAuthTries                            [ SUGGESTION ]
    - OpenSSH option: MaxSessions                             [ SUGGESTION ]
    - OpenSSH option: PermitRootLogin                         [ SUGGESTION ]
    - OpenSSH option: PermitUserEnvironment                   [ OK ]
    - OpenSSH option: PermitTunnel                            [ OK ]
    - OpenSSH option: Port                                    [ SUGGESTION ]
    - OpenSSH option: PrintLastLog                            [ OK ]
    - OpenSSH option: StrictModes                             [ OK ]
    - OpenSSH option: TCPKeepAlive                            [ SUGGESTION ]
    - OpenSSH option: UseDNS                                  [ SUGGESTION ]
    - OpenSSH option: X11Forwarding                           [ SUGGESTION ]
    - OpenSSH option: AllowAgentForwarding                    [ SUGGESTION ]
    - OpenSSH option: UsePrivilegeSeparation                  [ OK ]
    - OpenSSH option: AllowUsers                              [ NOT FOUND ]
    - OpenSSH option: AllowGroups                             [ NOT FOUND ]

मेरे सिस्टम पर एक भी कंटेनर या वर्चुअल मशीन नहीं चल रही है। तो, अफसोस, यहाँ पढ़ने के लिए कुछ भी नहीं होगा।

[+] Virtualization
------------------------------------

[+] Containers
------------------------------------

लिंगिस कुछ फाइलों के विशेषाधिकारों की जांच करता है, क्योंकि यह सुरक्षा के दृष्टिकोण से महत्वपूर्ण है।

[+] File Permissions
------------------------------------
  - Starting file permissions check
    File: /boot/grub2/grub.cfg                                [ SUGGESTION ]
    File: /etc/cron.deny                                      [ OK ]
    File: /etc/crontab                                        [ SUGGESTION ]
    File: /etc/group                                          [ OK ]
    File: /etc/group-                                         [ OK ]
    File: /etc/hosts.allow                                    [ OK ]
    File: /etc/hosts.deny                                     [ OK ]
    File: /etc/issue                                          [ OK ]
    File: /etc/issue.net                                      [ OK ]
    File: /etc/motd                                           [ OK ]
    File: /etc/passwd                                         [ OK ]
    File: /etc/passwd-                                        [ OK ]
    File: /etc/ssh/sshd_config                                [ OK ]
    Directory: /root/.ssh                                     [ SUGGESTION ]
    Directory: /etc/cron.d                                    [ SUGGESTION ]
    Directory: /etc/cron.daily                                [ SUGGESTION ]
    Directory: /etc/cron.hourly                               [ SUGGESTION ]
    Directory: /etc/cron.weekly                               [ SUGGESTION ]
    Directory: /etc/cron.monthly                              [ SUGGESTION ]

रिपोर्ट के अंत में, लिंग ऑडिट परिणामों के आधार पर सुधार करता है। प्रत्येक वाक्य एक विवरण के साथ शुरू होता है, और परीक्षण ( टेस्ट-आईडी ) जो इसे उत्पन्न करता है, इसके बगल में कोष्ठक में इंगित किया गया है। अगली पंक्ति समस्या के समाधान का सुझाव देती है, यदि यह मौजूद है:

Suggestions (47):
  ----------------------------
  * If not required, consider explicit disabling of core dump in /etc/security/limits.conf file [KRNL-5820]
      https://cisofy.com/lynis/controls/KRNL-5820/

  * Check PAM configuration, add rounds if applicable and expire passwords to encrypt with new values [AUTH-9229]
      https://cisofy.com/lynis/controls/AUTH-9229/

लिंग विवरण विवरण आदेश का उपयोग करके प्रत्येक सुधार प्रस्ताव के बारे में अतिरिक्त जानकारी प्राप्त करना संभव बनाता है , इसके बाद टेस्ट-आईडी परीक्षण नंबर :

./lynis show details TEST-ID

उदाहरण के लिए, SSH-7408 परीक्षण के लिए और अधिक जानकारी प्राप्त करने के लिए, मैं $ दर्ज करता हूं ।/lynis विवरण SSH-7408 दिखाता है और प्राप्त करता हूं :

$ ./lynis show details SSH-7408
2020-04-30 05:52:23 Performing test ID SSH-7408 (Check SSH specific defined options)
2020-04-30 05:52:23 Test: Checking specific defined options in /tmp/lynis.k8JwazmKc6
2020-04-30 05:52:23 Result: added additional options for OpenSSH < 7.5
2020-04-30 05:52:23 Test: Checking AllowTcpForwarding in /tmp/lynis.k8JwazmKc6
2020-04-30 05:52:23 Result: Option AllowTcpForwarding found
2020-04-30 05:52:23 Result: Option AllowTcpForwarding value is YES
2020-04-30 05:52:23 Result: OpenSSH option AllowTcpForwarding is in a weak configuration state and should be fixed
2020-04-30 05:52:23 Suggestion: Consider hardening SSH configuration [test:SSH-7408] [details:AllowTcpForwarding (set YES to NO)] [solution:-]

यातना नहीं की कोशिश करो

इसलिए यदि आप अपने लिनक्स सिस्टम की सुरक्षा के बारे में अधिक जानना चाहते हैं, तो लिंगिस को देखें। और, यदि आप इस बारे में अधिक जानकारी प्राप्त करना चाहते हैं कि यह उपयोगिता कैसे काम करती है, तो यह सभी जानकारी कैसे एकत्रित करती है, इसकी शेल लिपियों में खुदाई। अन्य उपयोगिताओं के साथ, यह पहली बार एक आभासी मशीन पर इसे आज़माने के लिए समझ में आता है।

आप किन उपकरणों का उपयोग करते हैं? टिप्पणियों में साझा करें।

एक विज्ञापन के रूप में

VDSina किसी भी ऑपरेटिंग सिस्टम पर सर्वर प्रदान करता है - पहले से स्थापित OS में से एक चुनें, या अपनी छवि से इंस्टॉल करें। दैनिक भुगतान सर्वर या बाजार पर एक अनूठा प्रस्ताव - अनन्त सर्वर!