Búsqueda de sitios web

Las 10 mejores comprobaciones de seguridad de Red Hat Enterprise Linux 5

A pesar de haber superado la marca de más de media década desde su lanzamiento, Red Hat Enterprise Linux (RHEL) 5 sigue siendo de uso generalizado y seguirá siendo compatible con Red Hat hasta el 30 de noviembre de 2020. Las mejoras de seguridad en versiones posteriores de RHEL, como la seguridad mejorada de Linux (SELinux) y la seguridad de las máquinas virtuales (es decir, Svirt) garantizan una actualización oportuna, pero las organizaciones que no pueden hacerlo aún pueden reforzar RHEL 5 para una postura de seguridad sólida.

A continuación se presentan 10 comprobaciones de seguridad críticas para garantizar que su implementación de RHEL 5 esté adecuadamente reforzada contra los ataques cibernéticos.

Las 10 principales comprobaciones de seguridad críticas para RHEL 5

1. Monte sistemas de archivos con directorios editables por el usuario en particiones separadas.

Asegúrese de que los sistemas de archivos con directorios grabables por el usuario estén montados en particiones separadas durante la instalación inicial. Los siguientes son ejemplos de este tipo de directorios:

  • /hogar
  • /Tmp
  • /var/tmp

2. Utilice nosuid, nodev y no exec.

En muchos casos, los piratas informáticos utilizarán directorios de almacenamiento temporal, como /tmp, para almacenar y ejecutar programas maliciosos. Alterar las opciones de montaje en /etc/fstab para restringir el acceso de los usuarios en los sistemas de archivos apropiados durante la configuración del sistema puede evitar esto:

  • noexec impide la ejecución de binarios en un sistema de archivos
  • nosuid evitará que el bit setuid surta efecto
  • La opción nodev impide el uso de archivos de dispositivo en el sistema de archivos

3. Deshabilite el arranque desde medios extraíbles.

Configurar el BIOS de su sistema para deshabilitar el arranque desde CD/DVD/USB evita que el software malicioso se cargue subrepticiamente. Además, el acceso a la configuración del BIOS debe estar protegido por contraseña.

4. Establezca una contraseña para el gestor de arranque de GRUB.

El gestor de arranque de GRUB debe estar protegido con contraseña, ya que los posibles atacantes pueden usarlo para arrancar en modo de usuario único para obtener acceso de root.

  1. Genere un hash de contraseña mediante /sbin/grub-md5-crypt
  2. Agregue el hash a la primera línea de /etc/grub.conf: password --md5 passwordhash

Esto evita efectivamente que los usuarios ingresen al modo de usuario único.

5. No use yum-updates predeterminados.

Las actualizaciones son fundamentales para mantener su sistema seguro, pero las versiones predeterminadas de yum-updatesd son defectuosas; En su lugar, aplique actualizaciones configurando un trabajo cron. Esto se puede lograr a través de los siguientes pasos:

1. Deshabilite el servicio yum-updatesd: /sbin/chkconfig yum-updatesd desactivado
2. Crea el archivo yum.cron:

#!/bin/sh
/usr/bin/yum -R 120 -e 0 -d 0 -y update yum
/usr/bin/yum -R 10 -e 0 -d 0 -y update

Este fichero debe ser ejecutable y colocarse en /etc/cron.daily o /etc/cron.weekly.

6. Elimine X Windows del sistema.

Lo más probable es que no necesite una GUI para las tareas generales de administración del servidor. Por lo tanto, es mejor eliminar X Windows para eliminar la posibilidad de que sea explotado:

  • yum groupremove "Sistema de ventanas X"

7. Asegúrese de que /boot sea de solo lectura.

Esta carpeta está configurada en modo RW de forma predeterminada, a pesar de que solo se usa para leer/cargar módulos y el kernel. Por lo tanto, debe establecerse en solo lectura en /etc/fstab:

  • /dev/sda1 /boot ext2 por defecto ro 1 2

8. Restrinja el acceso SSH.

SSH debe estar restringido del acceso root y limitado a un subconjunto de usuarios. Esto se puede lograr añadiendo lo siguiente a /etc/ssh/sshd_config:

PermitRootLogin no
Protocolo 2

A continuación, se debe añadir el grupo sshusers a /etc/ssh/sshd_config:

PermitirGrupos sshusers

9. Asegúrese de que los servicios innecesarios estén deshabilitados.

Utilice el siguiente comando para deshabilitar los servicios superfluos:

  • /sbin/chkconfig servicename desactivado

Los siguientes servicios se pueden desactivar de forma segura si no están en uso:

  • Anacrón
  • apmd
  • autofs
  • avahi-daemon
  • bluetooth
  • Tazas
  • Primer arranque
  • gpm
  • haldaemon
  • oculto
  • hplip
  • isdn
  • kdump
  • kudzu
  • mcstrans
  • MDModer
  • Bus de mensajes
  • microcode_ctl
  • pcscd
  • readahead_pronto
  • readahead_later
  • rhnsd
  • setroubleshoot

10. Configure su sistema para solicitar la contraseña de root antes de ingresar al modo de usuario único.

Su sistema debe estar configurado para solicitar la contraseña de root antes de ingresar al modo de usuario único para evitar una posible explotación (por ejemplo, volcar hashes de contraseña). Esto se puede lograr añadiendo la siguiente línea a /etc/inittab:

  • su:S:wait:/sbin/sulogin

¿Está buscando una forma de verificar que estos controles de seguridad se implementan automáticamente, con solo unos pocos clics del mouse? El conjunto de pruebas basadas en políticas de ScriptRock puede validar que estas comprobaciones de seguridad estén en su lugar y sean coherentes en todos sus nodos de servidor RHEL 5. Pruébalo hoy con nosotros.

Fuentes

http://www.puschitz.com/SecuringLinux.shtml

Artículos relacionados