Root Check

[yasMouh]

لسلام عليكم ورحمة الله وبركاته
أخواني الأكارم أٌقدم لكم هذه المجموعة من الدروس المنتقاة لحماية و زيادة أمن السيرفر وجعله مستقرا وقد قمت بجمع هذه الدروس من أشهر المواقع الأجنبية في مجال حماية السيرفر وارجو ان ن يساعد كل من ليس لديه خبرة في إدارة وحماية السيرفر قد استفاد من هذه الدروس ولنبدأ بالدرس الأول:
================================================== ===================
Root Check
================================================== ===================
يقوم بفحص وعمل سكان للنظام لمعرفة ما إذا كان هناك أي تروجان ويقوم بفحص البورتات ومعرفة إذا كان هناك أي مخترق كما يقوم بفحص اللوغ و السماحيات والكثير...

تعليمات التنصيب
-------
قم بالدخول إلى السيرفر كرووت
نفذ التعليمات التالية:

كود PHP:

كود PHP:    wget http://www.ossec.net/rootcheck/files/rootcheck-0.4.tar.gz 

tar -xvzf rootcheck-0.4.tar.gz 
cd rootcheck-0.4 
./install 


ذلك تكون قد قمت بتنزيل الرووت تشيك على السيرفر وعندما ينتهي التنصيب ستستقبل الرسالة التالية:

كود PHP:

    Compilation sucessfull. Ready to go. 
--------------------------------------------------------- 
Thats it! If everything went ok, you should be ready to run RootCheck. If you any doubts 
 about installation, please refer to INSTALL file. You can also find additional information  
at :   http://www.ossec.net/rootcheck/  Improves, patches, comments are very welcome. 

--------------------------------------------------------- 


فحص النظام
-------
الآن بعد ان قمت بالتنصيب يمكنك فحص النظام من خلال التعليمة التالية:

كود PHP:

 
                           ./rootcheck.pl 


ستنتقل بعدها إلى شاشة تفاعلية وستخزن جميع المعلومات في الملف
results.txt
حيث ستجد معلومات واضحة عن الملفات المشتبه بها وما قام به البرنامج أثناء الفحص
إذا أردت معلومات أكثر عن الرووت تشيك يمكن أن تجدها في الموقع
[]

والله ولي التوفيق

[yasMouh]

الفكرة الثانية

----------------
================================================== ===============
Changing APF log for TDP/UDP drops
================================================== ===============
إذ كنت مضجرا من رؤية ملف
/var/log/messages
ممتلئا من الرسائل المرسلة من قبل الـجدار الناري apf فيوجد حل بإنشاء ملف لوغ منفصل من أجل TCP/UDP OUTPUT and drops
وهذا سيحعل ملف لوغ الرسائل غير ممتلئ كثيرا وسهل التصفح

المتلطلبات:
-----
اصدار جادر ناري
APF Firewall 0.9.3 او أعلى كما انه يمكن أن يعمل على إصدار أدنى لكن ذلك لم يجرب لمعرفة إذا كان يعمل أم لا


تغيير إعدادات الـ APF Firewall
------------------------
1- قم بالدخول إلى السيرفر كرووت

2- انشئ ملف لوغ جديد فقط من أجل the TCP/UDP output/drops from APF

كود PHP:

                           touch /var/log/iptables 


3- قم بتغيير السماحيات من أجل تقييد النفاذ:

كود PHP:

                           chmod 600 /var/log/iptables 


4- يجب علينا القيام بعمل باك لملف الـ syslog من أجل الأمان في حال قمنا باي خطأ عبر التلعليمة:

كود PHP:

                           cp /etc/syslog.conf /etc/syslog.conf.bak 


5- تغيير الـ syslog ليجبر الـ iptables ليستخدم ملف اللوغ الجديد:

كود PHP:

                            pico /etc/syslog.conf 


6- أضف ما يلي في نهاية الملف:

كود PHP:

    # Send iptables LOGDROPs to /var/log/iptables  
kern.=debug /var/log/iptables 


- احفظ التغييرات
ctrl + X then Y
8- اعد تشغيل خدمة syslogd لتنفيذ التعديلات الجديدة :

كود PHP:

 
                           /sbin/service syslog reload 


9- عمل نسخة احتياطية للـ أ.ب.اف:

كود PHP:

                           cp /etc/apf/firewall /etc/apf/firewall.bak 


10- فتح الـ أ.ب.ف وعمل تعديلات عليه:

كود PHP:

                           pico /etc/apf/firewall 


11- قم بالبحث عن DROP_LOG
ستجد المقطع التالي

كود PHP:

    if ***91; "$DROP_LOG" == "1" ***93;; then 
# Default TCP/UDP INPUT log chain 
        $IPT -A INPUT -p tcp -m limit --limit $LRATE/minute -i $IF -j LOG --log-prefix "** IN_TCP DROP ** " 
        $IPT -A INPUT -p udp -m limit --limit $LRATE/minute -i $IF -j LOG --log-prefix "** IN_UDP DROP ** " 


قم بتبديله بالتالي:

كود PHP:

    if ***91; "$DROP_LOG" == "1" ***93;; then 
# Default TCP/UDP INPUT log chain 
        $IPT -A INPUT -p tcp -m limit --limit $LRATE/minute -i $IF -j LOG --log-level debug 
        $IPT -A INPUT -p udp -m limit --limit $LRATE/minute -i $IF -j LOG --log-level debug 


12- ابحث عن DROP_LOG أكثر من مرة حتى تجد المقطع التالي:

كود PHP:

    if ***91; "$DROP_LOG" == "1" ***93; && ***91; "$EGF" == "1" ***93;; then 
# Default TCP/UDP OUTPUT log chain 
        $IPT -A OUTPUT -p tcp -m limit --limit $LRATE/minute -o $IF -j LOG --log-prefix "** OUT_TCP DROP ** " 
        $IPT -A OUTPUT -p udp -m limit --limit $LRATE/minute -o $IF -j LOG --log-prefix "** OUT_UDP DROP ** " 


قم بتبديله إلى

كود PHP:

    if ***91; "$DROP_LOG" == "1" ***93; && ***91; "$EGF" == "1" ***93;; then 
# Default TCP/UDP OUTPUT log chain 
        $IPT -A OUTPUT -p tcp -m limit --limit $LRATE/minute -o $IF -j LOG --log-level debug 
        $IPT -A OUTPUT -p udp -m limit --limit $LRATE/minute -o $IF -j LOG --log-level debug 


- احفظ التغييرات على الجدار الناري:
Ctrl + X then Y
14- أعد تشغيل الـجدار الناري لتنفيذ التعليماتت الجديدة عبر الأمر:

كود PHP:

                           /etc/apf/apf –r 


15- نفذ الأمر للتأكد من أن ملف اللوغ الجديد يستقبل الرسائل:

كود PHP:

                           tail –f /var/log/iptables 


ستجد أشياء مكتوبة كهذه:

كود PHP:

 
                           Aug 27 15:48:31 fox kernel: IN=eth0 OUT= MAC=00:0d:61:37:76:84:00:d0:02:06:08:00:08:00 SRC=192.168.1.1 DST=192.168.1.1 LEN=34 TOS=0x00 PREC=0x00 TTL=118 ID=57369 PROTO=UDP SPT=4593 DPT=28000 LEN=14 


كذلك يمكن فحص ملف اللوغ الأساسي بانه لا يتسقبل معلومات من الجدار الناري عبر الأمر

كود PHP:

                           tail –f /var/log/messages 


لمزيد من المعلومات يمكن الإطلاع على الرابط
[]

[yasMouh]

الفكرة الثالثة:
----------------
How to Disable Telnet

ان التيلينت خلال عملية الولوج أو تسجيل الدخول ترسل اسم المستخدم وكلمة السر بشكل واضح وبدون تشفير لذلك يجب ان يتم تعطيلها على السيرفر واستبدالها بالSSh
بعض مزودي خدمة الاستضافة لا يقومو بتعطيل هذه الخدمة بشكل افتراضي ويجب الانتباه إلى ذلك وتعطيلها كما ان التيلنيت تصغي إلى الرسائل الداخلة والخارجة عبر البورت رقم 23 وإليكم كيفية إلغاء تفعيل هذه الخدمة:
1- قم بالدخول إلى السيرفر كرووت من خلال اس اس اتش
2- قم بتنفيذ الأمر التالي:

كود PHP:

                            pico /etc/xinetd.d/telnet 


3- ابحث عن السطر
disable = no
وغيره إلى
disable = yes
4- قم بإعادة تشغيل خدمة inetd service عبر الأمر:

كود PHP:

                            /etc/rc.d/init.d/xinetd restart 


5- قد تبقى هذه الخدمة فعالة بعد الذي فعلناه لذلك لضمان أنها ليست فعالة نفذ الامر:

كود PHP:

    /sbin/chkconfig telnet off 


6- اعمل سكان للسيرفر للتأكد من أن البورت 23 مغلق:

كود PHP:

    nmap -sT -O localhost 


7- نفذ الأمر التالي لكي تتأكد من انه لا يوجد اي عملية خاصة بالتيلينت فعالة وإذا وجدت اي واحدة دمرها ب kill:

كود PHP:

                           ps -aux | grep telnet 


[WOLF_DZ]

جزاك الله كل خير
اخي ابو جاسم
تحيتي لك

[MdMn HaCk3r]

لاهنت اخي الغالي ابو جاسم
****ً لك