6. Rc.Conf

[user@server /dir]#vi /etc/rc.conf

inetd_enable="NO" # выключить inetd

syslogd_enable="YES" # Конечно мы хотим вести регистрацию событий. Если вы планируете настроить

icmp_drop_redirect="YES" # Отключаем прием и отправку переадресовующих ICMP пакетов.

icmp_log_redirect="YES" # Регистрировать переадресовующие ICMP пакеты в журнальном файле

clear_tmp_enable="YES" # Очищать директорию /tmp при загрузке.

portmap_enable="NO" # Если не используется NFS

icmp_bmcastecho="NO" # Предотвращает springboarding и smurf атаки, запрещая серверу отвечать

# на широковещательные ping-пакеты.

fsck_y_enable="YES" # При ошибках файловой системы на этапе загрузки утилита fsck будет

# запущена с флагом -y (man fsck)

update_motd="NO" #Не обновлять файл с сообщением дня /etc/motd

tcp_drop_synfin="YES" # Отбрасывать synfin пакеты.

log_in_vain=1 # Позволяем записывать все попытки подключения

# к закрытым портам сервера.

sshd_enable="YES" # Это позволит сделать удаленный доступ к серверу более защищенным.

Сохраняем и выходим из vi.

ZZ

7. login.conf & auth.conf Алгоритм md5 использующийся для шифрования паролей

будет заменен на Blowfish алгоритм, который еще не взломан. Надежный алгоритм криптования необходим. Надежное криптование паролей это тоже часть

безопасности. Как было сказано на встрече в Нью-Йорке наличие надежного

алгоритма криптования паролей похоже на прихожую которая отлично защищена.

Никто не может справится с этой защитой, но есть много других способов что бы

обойти прихожую. Будут сделаны дополнительные настройки для защиты паролей,

которые помогут обезопасить сервер.

[user@server /dir]#vi /etc/login.conf

Делаем исправления в секции default:\

:passwd_format=blf:\ # заменяем алгоритм криптования паролей на

# Blowfish вместо идущего по умолчанию md5.

:passwordtime=52d:\ # период устаревания паролей 52 дня.

:mixpasswordcase=true:\ # предупреждать пользователей о том что пароли должны содержать

# разные символы (mixed-case passwords)

:minpasswordlen=9:\ # минимальная длина пароля 9 символов

:idletime=32:\ # автоматически отключать пользователей после

# 32-х минут бездействия

Сохраняем и выходим из vi.

ZZ

Теперь делаем базу.

cap_mkdb /etc/login.conf

Теперь необходимо изменить пароли всех пользователей, для того, что бы они были закриптованы при помощи алгоритма Blowfish.

Для пользователей, которые будут использовать bash должно быть написано /usr/local/bin/bash. Для пользователей, которые не должны иметь права регистрироваться в системе, например пользователь www для Apache, должно быть написано /sbin/nologin

Удалим пользователя toor

нажимаем dd на строке с пользователем toor

Теперь сделаем что бы пароли пользователей, которые будут добавляться в

дальнейшем криптовались алгоритмом Blowfish.

vi auth.conf

crypt_default=blf

Сохраняем и выходим из vi.

ZZ

8. Sysctl.Conf

vi /etc/sysctl.conf

net.inet.tcp.blackhole=2 # Это превращает машину в черную дыру при попытке подключиться к портам,

# которые не обслуживаются сервером.

net.inet.udp.blackhole=1

kern.ps_showallprocs=0 # только пользователь root может видеть все запущенные процессы