yazar Frederic Raynal Yazar hakk�nda: Frederic Raynal INRIA 'da (Institut National de Recherche en Informatique et Automatique). "computed image tattooing " konusunda bir tez haz�rl�yor.Ayr�ca, Bastille-Linux'un geli�iminde g�rev ald�. ��erik: Giri� Sunum Kurulum Ad�m ad�m IPChains Yama Kurulumu Dosya izinleri Hesap g�venli�i Boot G�venli�i G�venli Inetd Azalt�lm�� Kullan�c� Ayg�tlar� MiscPAM Konfigirasyonu Logging �oky�nl� Daemonlar Sendmail Sisteme Uzaktan Eri�im DNS Apache Yazd�rma FTP Biraz daha hile ve ipucu Sonu� Kaynaklar Bu makaleyle ilgigi g�r�� bildirim formu

Bastille-Linux

�eviri : Hasan Serhan Ak�n

�zet:

Haziran ba�lar�nda piyasaya ��kan, Bastille-Linux'un 1.1 s�r�m� yeni bir linux da��t�m� de�il ancak sisteminizi olas� zay�fl�klara kar�� daha iyi koruyabilecek bir grup betik. Yazarlar�n yakla��m� ise olduk�a e�itici ve b�ylelikle bizler bu betiklerileri kurarken pek �ok �ey ��renebilece�iz.

Giri�

Bu proje Jon Lasser(ana koordinat�r) ve Jay Beale(temel geli�tirici) taraf�ndan y�netilmekte. Pek �ok di�er geli�tirici, yaz�l�m tasar�mc�s� ve beta s�r�mlerini test edenler dahi bu i�te pay sahibiler.

Her �eyden �nce,�unu a��kl��a kavu�tural�m:Bastille-Linux yeni bir linux da��t�m� de�il! Sadece Linux g�venli�ini geli�tirmek niyetiyle perl ile yaz�lm�� bir grup betik.

Burada bilgisayar g�venli�i �u anlamama gelmektedir:Makininize istenmeyen ki�ilerin giri�i nas�l engellenebilir?.Basitille-Linux, Linux da��t�m�n�z�n temel kurulumunu de�i�tirerek cevab�n bir k�sm�n� olu�turmakta.

Her sistem y�neticisinin basit bir g�revi, kullan�c� ihtiya�lar�n� bilmek ki bu sadece onlar�n istekleri degildir ayn� zamanda kullan�lmayan programlar�n a�da �al��mas�n� �nlemektir ki b�ylelikle a� g�venlik a��klar�n�n olu�umuna mani olunmu� olunur.Bana yol g�sterici insanlardan biri demi�ti ki:En az yapt���n daha iyidir.:)Tabii ki o algoritma kar���kl���ndan bahsediyordu ancak bu a� y�netimi i�in de s�ylenebilir:�al��an ne kadar �ok �ey varsa bu o kadar sald�r� alan� sa�lar.Savunmas�zl��� azaltmak i�in ger�ekten ihtiyac�n�z olan �eyleri kurmal�s�n�z.

Bastille-Linux sald�r� olas�l�klar�n� azaltmaya �al���r.Buna ula�abilmek i�in yaz�l�m tasar�mc�lar� �ok e�itici bir yakla��ma sahipler:Onlar yapacaklar�n� ad�m ad�m anlatmaktalar.

Sunum

Kullan����zl��� bir yana , Bastille-Linux son derece e�itici.Kodlar detayl� bir bi�imde a��klamal� olarak yaz�lm��.Burada,geli�tiriciler kullan�c�y� e�itmeyi ama�l�yorlar. Mevcut cevaplar�n sonu�lar�n� ve sorular�n i�eri�ini anlat�yorlar. Bu da Bastille-Linux'u kullan�m� kolay yap�yor.

Daha ileri kullan�c�lar i�inperl ile yaz�lm�� kaynak kod son derece net:Her yorum hangi �eyin ne yapt���n� a��klamakta

Burada 1.1.0 s�r�m�n�n bir ka� �zelli�i bulunmakta:

• Betikler �u an zaten kullan�lm�� sistemlerde �al��abilmekteler.
• undo fonksiyonu : her Bastille-Linux de�i�iklik dosyas� tekrar kurulum i�in yedeklenir
• �lk olarak, Bastille-Linux RedHat ve Mandrake i�in ��kar�ld�:Art�k bu ge�erli de�il. �u an beti�i �al��t�rd���n�z da��t�ma g�re do�ru dosya yolunu sa�layan bir mod�l var.

Bu genel mod�ller �unlar i�in kullan�l�r:

1. Firewall y�klenimi
2. Sistem yaz�l�m� yenilenmesi
3. SUID-rootda Audit programlar�
4. Yarars�z servisleri k�s�tlamak veya aktifli�ini kald�rmak

Baz� g�venlik fonksiyonlar� farkl� koruma seviyelerini sunar(bu daha �ce s�yledi�imim fazla ve kar���k programlar�n �al��t�r�lmas�yla ilgili s�ylediklerime ters d���yor ancak birg�n ba�vurmak zorunda kalabilirsiniz)Her servis ve olas� g�venlik a����n� korumak zorunda de�ilsiniz.B�ylece e�er biri herhangi bir �ekilde g�revini yapamazsa bir di�eri onun yerine sisteminizi korumaya devam eder.

Kurulum

Bastille-Linux zipli ar�iv dosyas� olarak .tgz at bastille-linux.sourceforge.net adresinden temin edilebilir. Bu ar�iv sadece 134 Ko kadar. Download edildikten sonra, bu ar�iv dosyay�s�n� a��n (tar xzf Bastille-1.1.0.tgz).

D�rt betik Bastille-Linux'u y�netir:

• InteractiveBastille.pl : Bu betik kullan�c�ya sistemde ne yap�laca��na dair sorular sorar.Sonra verilen cevaplara g�re bir config dosyas� olu�turur.
• AutomatedBastille.pl : Bir konfigirasyon beti�i yard�m�yla firewall kullan�m� se�imini �nererek varsay�lan konfigirasyonu y�kler.Bu script daha fazla s�rd�r�lmez.
• BackEnd.pl : Bu ise sistem de�i�iklikleri ile ilgilidir.Parametrelerini ilk verdi�iniz cevaplardan al�r.
• Undo.pl : BackEnd.pl'i �al��t�rd���n�zda birka� dosya sistemi(/etc/syslog.conf,/etc/inetd.conf, /etc/hosts.*, ...) de�i�tirilir.Tehlike ihtimaline kar�� restore edilebilmeye imkan sa�lamak i�in /root/Bastille/undo dizinine backup dosyalar�n� yedekler.

Ba�lamadan �nce birka� not.

1. Beti�i /root/Bastille dizinin alt�ndan �al��t�raca��n�z� zannediyorsunuz ... �leriki bir versiyonda bu de�i�ebilir ve bu beti�i herhangi bir yerden �al��t�rabiliyor olabilirsiniz (Belki bu, yaz�y� okurken �oktan yap�lm�� olabilir )
2. �ki mod�l hesap olu�turulmas�na olanak sa�lar ... tabii shadow passwords'u sisteminize kurduktan sonra. Bu varsay�lan kurulum, fakat /etc/passwd'un �ifre tutmad���na , /etc/shadow dosyas�na eri�ebilmek i�in root olaman�z gerekti�ini ve son dosyan�nger�ekten �ifreleri tutmas� gerekti�ini kontrol edin !
3. Bastille-Linux halen mod�ller aras�ndaki ba�lant�lar� ger�ekle�tirememekte,kernel konfig�rasyonunda oldu�u gibi (gelecek bir s�r�mde bu mevcut olacak).Bir mod�ldeki cevaba ve sonu�lar�na dikkat edin.B�ylece, IPChains mod�l�n�n 2049 nolu portu kapamas�n� ve �e�itli daemon mod�l�nden aktif daemonlar listesinde NFS'i tutmas�n� sa�layabilirsiniz (NFS bu portu kullan�r).

Ad�m ad�m

IPChains

Bu betik iyi bir y�ntemle �al���r. Hesab� iki a� aray�z�ne al�r:biri d��ar�yla haberle�me di�eri yerel a�la haberle�me.Ama�,makinedeki mevcut servisleri saptamak ve di�erlerini durdurmakt�r.Varsay�lan� d��ar�dan gelen her�eyi reddetmektir. Sonra,betik baz� servislerin mevcut olmas�n� sa�layacak kurallar� tan�mlar.

Betik TCP,UUDP ve ICMP protokollerini y�netir. Bu betik, izlemek i�in yada her protokolden sak�nmak amac�yla servislerin listelerini sa�lar

Yama kurulumu

Maalesef,bu betik �ok iyi �al��m�yor,olduk�a kar���k ��nk� �nce kurulmu� paketleri aralar�ndan da g�ncellenmi� olanlar�n� saptaman�z gerekiyor. Sonra,yamay� indirmeli ve kurmadan �nce onu de�i�tirilip de�i�tirilmedi�ini kontrol etmelisiniz.(transer esnas�nda yada bir hacker taraf�ndan de�i�tirilmi� olabilir) Bu sadece kulland���n�z da��t�ma ba�l�

�u dakikada, Jay Beale bu ad�m� elle ger�ekle�tirmenizi fakat ihmal etmemenizi �nermektedir. Bu mod�l�n daha i�levsel s�r�m� geli�tirilme a�amas�nda ve �ok yak�nda ��kacak

Dosya �zinleri

• Would you like to set more restrictive permissions on the administration utilities [N] ?
  Baz� programlar herkesin eri�ebilece�i durumda olmamal�d�r.Bastille-Linux size programlar�n etkileyici bir listesini sa�lar ki bunlar�n haklar� 0750 yap�labilir.
• Sonraki SUID bit ile ilgilidir. Bu bit bir program�n root haklar�na sahip bir kullan�c� taraf�ndan �al��t�r�lmas�na izin verir. ('s' 4, 7 and 10 durumunda)
  >>ls -l /bin/ping
  -rwsr-xr-x 1 root root 17968 Mar 6 15:57 /bin/ping
  Bu bit, kullan�m� kolayla�t�r�rken g�venli�i azalt�r. E�er biri bir a���� tesbit ederse, o ki�i root olabilecektir.
  Bastille-Linux bu bitin mount/umount, ping, dump/restore, cardctl, ... gibi programlardan kald�rmalar�n� �nerir.Bu liste di�erlerinin i�inden ping ve traceroute 'u i�erirki bu ikisi sunucunun durumunu kontrol eder.Bunlar�n SUID bitlerini kald�rmak pek ak�ll�ca de�ildir ancak makinenin standart kullan�m�n� engellemez.
  Bu SUID-root programlar�n�n listesi i�inde r-komut �eklindeki komutlar� dahi bulabilirsiniz.Bu rcp, rlogin veya rsh gibi programlarla ilgilidir. Bunlar a�a g�nderilen verileri �ifrelemezler. Dahas� bunlar 'authentication'(do�rulama) sayesinde sadece IP adreslerini kullan�rlar. Bu yetersizdir (aldat�lma olas�l��� vard�r).

Hesap g�venli�i

• Would you like to set up a second UID 0 account [N] ?
  Bu soruya verilecek yes cevab� sisteminizde ba�ka bir root hesab� olu�turur.Bu durumda yeni olu�turdu�unuz root hesab�n�n kullanmak yerine ,orjinal olan�n� kulanmamal�s�n�z .Bu root �ifresinin k�r�lma olas�l���n� iki kat artt�r�r... ancak size root bilgisini kimin kulland���n� /var/log dosyalar�ndan g�rme olan��� tan�r .
• May we take strong steps to disallow the dangerous r-protocols? [Y]
  Yukar�da bahsedildi�i gibir-komutlar� bir makine �zerinde yeni bir hesap almakta g��l� bir vas�tad�r: �ifreler a��k yaz� dosyalar� halinde transfer edilirler!
  Bastille-Linux r-komutlar�n�n PAM (Pluggable Authentication Modules) ile �al��mas�n� yasaklar,izinlerin �al��t�r�lmas�n� kald�r�r, tcp_wrapper (rlogind, rexecd and rshd)'da bulunan sunucular� durdurur.Bunlar yorum olarak konulmalar� gereken /etc/inetd.conf dosyas�ndan konfig�re edilir.
• Would you like to enforce password aging? [Y]
  �ifreler her 180 g�nden sonra de�i�tirilecektir.�ifresi de�i�memi� hesaplar�n etkinlikleri durdurulacakt�r.
• Would you like to create a non-root user account? [N]
  root hesab�n�z� m�mk�n oldu�unca az kullan�n.Ger�ekte rm -rf / komutunu root olarak �al��t�rmak tam bir felakettir... fakat s�radan bir kullan�c� i�in bu biraz daha k���k �apta bir felakettir. Sadece y�netimle ilgili i�ler root olarak yap�lmal�d�r.
•  Would you like to restrict the use of cron to administrative accounts? [Y]
  cron i�lerin otomatik olarak yap�lmas�n� sa�lar.�rne�in, bir y�netici d�zenli esaslarda dosyalar�n b�t�nl���n� kontrol i�in veya /var/log'da dosyalar� aramak i�in bunu kullanabilir.Di�er taraftan,her kullan�c�ya �ok fazla bir ayr�cal�k izni vermeye de yarayabilir.Bastille-Linux /etc/cron.allow isimli, kullan�c�lar�n bu servisi kullanabilece�i bilgisini i�eren bir dosya olu�turur.

Boot G�venli�i

A��k�as� bu yeterli de�ildir. Bir bilgisayar� fiziksel olarak korumak i�in, BIOS �ifresi konulmal�,makine sadece hard diskden boot edilmeli , kasa ba�ka biri hard diskini takamayacak �ekilde kitlenmeli... Bu ,tabii ki,paranoyak�a bir davran�� ve g�zel bir nedeniniz olmad��� s�rece bunlar� yapman�z gereksiz.

Yaz�l�m a��s�ndan,baz� k�s�tlamalar a�a��da bahsedilen ile mukayese edildi�inde iyi bir uzla�� sa�lar.

• Would you like to password-protect the LILO prompt? [N]
  Yes cevab�, rebootlamadan sonra sisteme istenmeyen ki�ilerin giri�ini engeller.
• Would you like to reduce the LILO delay time to zero? [N]
  Bu yol, boot esnas�nda birilerinin parametre sa�lamas�n� engellemeye yarar.E�er sisteminizde farkl� i�letim sistemleri �al���yorsa,bunu yapmamal�s�n�z.��nk� sadece varsay�lan i�letim sistemi �al��acakt�r.
• Do you ever boot Linux from the hard drive? [Y]
  E�er �nceki sorulardan birine evet cevab� verdiyseniz ve diskinizde LILO kurulu ise buna da LILO de�i�ikliklerinin diske yaz�lmas� i�in yes cevab�n� verin.
• Would you like to write the LILO changes to a boot floppy? [N]
  E�er bir boot flopy'e sahipseniz,acil durum veya linuxu boot etme yolunun bu olmas� durumu i�in de�i�tirilmeyi onaylay�n.
• Would you like to disable CTRL-ALT-DELETE rebooting? [N]
  Bu birinin makineyi rebootlamas�n� engellemek i�indir.Fakat elektrik ba�lant�s� korunmad��� s�rece faydas�zd�r:-)
• Would you like to password protect single-user mode? [Y]
  Daha �nceden de g�rd���m�z �zere hi�kimsenin makinede root olmamas�n� sa�lamak g�zel bir fikir gibi g�r�n�yor.

G�venli Inetd

�rne�in, RedHat6.0 DNS'deki bir hata uzaktan root olabilmeye olanaktan�yordu.Bahsedilen servisin etkinli�ini kald�rmak yada ayr�cal�klar� azaltmak bu s�k�nt�dan korunmay� sa�l�yordu.

Baz� protokoller,daha �nce bahsedilen r-komutlar� hatta ftp veya telnet gibi protokoller olduk�a savunmas�z. Ba�kalar� makine hesaplar�ndaki bilgileri elde edebilme olana��na (Mesela;finger veya identd)sahipler. Bu servislerden bir �o�u, verilen bir servisin dosyalar�nin(/etc/hosts.{allow, deny} arac�l��� ile) giri�ini kontrole olanak tan�yan tcp_wrapper  taraf�ndan y�netilir. Sonra, bir kez paketleyici istemcinin servise giri�ine onay verdi�inde ,iletisimdeki sunucuya istemde bulunur.

Bu k�s�m hala biraz kat� ancak gelecek s�r�mlerde de�i�tirilmeli.

• Would you like to modify inetd.conf and /etc/hosts.allow to optimize use of Wrappers? [Y]
  Bastille-Linux bu iki dosyay� kurar. �htiya�lar�n�z do�rultusunda daha eksiksiz parametrelerle ge�mek a��s�ndan bu dosyalara bir g�z atmak ilgi �ekici olabilir.
• Would you like to set sshd to accept connections only from a small list of IP addresses? [N]
  sshd g�venli bir y�ntemle ba�lant�y� sa�layan bir daemond�r (anahtar de�i�iklikleri,�ifre ve veri kodlamalar� ...).Bu telnet, rlogin, rsh, rcp ve ftp ile tam bir yer de�i�ikli�i durumunda. ssh '�n BSD lisans� alt�ndakine e�de�erini s�yleyelim: OpenSSH.
• Would you like to make "Authorized Use" banners? [Y]
  Makinenize ba�lanmaya �al�lan herkes bu sunucuya ba�lanmas�na izin verilip verilmedi�ine dair bir uyar� mesaj� alacakt�r. Bu mesaj /etc/motd dosyas�nda bulunabilir.

Azalt�lm�� Kullan�c� Ayg�tlar�

Daha sonra,kimse hi�bir�ey derlemek zorunda de�ilse sadece server�n bulundu�u makineden derleyici kald�r�l�r. 

MiscPAM konfig�rasyonu

PAM '�n a��l�m� "Pluggable Authentification Module" �eklindedir. Bu, sistem y�neticisinin her uygulama i�in kullan�c� "authentication"lar�n�n �e�itlerini,onlar�n sahip oldu�u haklar�,kullanabilece�i kaynaklar�...vb se�mesini sa�layan bir k�t�phanedir.

• Would you like to put limits on system resource usage? [Y]
  /etc/security/limits.conf dosyas� sistem limitlerini i�erir. Bastille-Linux onlar� �u yolla de�i�tirir:
  • core dosyalar� 0 ile s�n�rland�r�l�r;
  • Her kullan�c� 150 process �al��t�rabilmekle s�n�rland�r�l�r ;
  • Azami dosya �l��s� 40Mb ile s�n�rland�r�l�r.
  Her de�er daha sonra konfigirasyon dosyas�ndan do�rudan de�i�itirilir.
• Should we restrict console access to a small group of user accounts? [N]
  RedHat6.0/6.1 'da konsoldan ba�lanan kullan�c�lar ,CD-ROM'u mount edebilmek gibi ayr�cal�klara sahipler. Kullan�c�lar�n bir grubuna konsoldan giri�i k�s�tlamak m�mk�nd�r.Bu soru bu kullan�c�lar i�in b�yle bir y�ntem uygulay�p uygulamamay� tan�mlamaya olanak tan�r.

Logging

E�er az say�da �al��an servisiniz varsa her problem /var/log dosyalar�ndan s�ratle g�sterilece�i dikkate de�erdir.Di�er taraftan, sisteminizde gereksiz pek �ok servis �al���r durumdaysa /var/log dosyalar� �ok b�y�k olucak ve y�netilmesi daha zorla�acakt�r (Bu durumda bu i� i�in haz�rlanm�� betikler kullan�labilir).

Bu mod�l /etc/syslog.conf dosyas�na yemi kontroller ekler.

• Would you like to add additional logging? [Y]
  Bastille-Linux �ekirdekden gelen mesajlar ve �nemli sorunlar�n (firewall mesajlar� bu kategorinin bir k�sm�n� olu�turur)kayd� i�in bir /var/log/kernel dosyas� olu�turur. Baz� bilgiler 2 terminale g�nderilir (TTY 7 and 8). /var/log/loginlog isimli yeni bir dosya sisteme ba�lanan kullan�c�lar� kaydeder.
• Do you have a remote logging host? [N]
  E�er mesajlar�n�z� yollayaca��n�z ba�ka bir makine yoksa cevab�n�z hay�r olmal�.
• Would you like to set up process accounting? [N]
  Linux alt�nda, komutkar�n ne zaman ve kim taraf�ndan kullan�ld���n� kay�tlamak m�mk�nd�r.E�er makine aktivitesini konrol etmek faydal�ysa bu kay�t �abucak �ok b�y�k bir dosya halini al�r.Tabii ki bu �ok sistem kayna�� t�ketir ve ihtiyac�n�z olmad�k�a bu �zelli�i etkin halde tutmamak daha iyi olur.

�oky�nl� Daemonlar

Sendmail

Daha �nce s�yledi�imiz gibi sendmail'in ileti almak ve yollamak i�in daemon olarak �al��t�r�lmas� gereksizdir.Ev kullan�c�lar� i�in sendmail (netscape olduk�a yaras�zd�r,��nk� herhangi bir mail istemcisi rmail, pine, mutt, vb...) kullan�l�r.�leti kabul edebilmek i�in sendmail 'i d�zenli bir temel �zerinde mailbox�n�z� kontrol amac�yla etkin hale ge�irebilirsiniz .
 

• Do you want to leave sendmail running in daemon mode? [Y]
  Hen�z g�rd�k ki pek �ok durumda bu faydas�z ve tehlikelidir, o halde onu aktif halde kullanmamak daha iyidir. .
• Would you like to run sendmail via cron to process the queue? [N]
  Bunu kullanmakla, sendmail her 15 dakikada bir mail s�ras�n� kontrol eder. Bu parametreleri /etc/sysconfig/sendmail dosyas�ndan de�i�tirebilirsiniz.
• Would you like to disable the VRFY and EXPN sendmail commands? [Y]
  Bu komutlar hackerlar ve spamming i�in faydal� bilgi sa�lar.

Sisteme Uzaktan Eri�im

session key uzunlu�u 128 biti a�mayan yaz�l�malr kulllanabilirsiniz .�nce session key'in . ne oldu�unu anlatal�m.Bu veriyi �ifrelemekte kullan�lan bir anahtard�r. Bu session key, istemci ve sunucu taraf�ndan ad�m ad�m kurulur:anahtar de�i�im protokol�nden ( pek �ok durumunda Diffie-Hellman) gelir,kurulumda her �yenin anahtar�n�n bir k�sm�ndan bir anahtar i�erir.Daha sonra bu session key simetrik bir algoritmaya g�re �ifrelemekte kullan�l�r.B�ylece, Unix parolalar�n� �ifrelemekte kullan�lan DES 56bitlik bir anahtarla simetrik bir algoritmad�r.

128 bitlik anahtar i�lerin g�venli�i ve rahatl���n�n garantisi i�in olduk�a yeterlidir:EVET!Bug�n dahi DES'in �ok da g�venli olmad��� s�ylenmektedir.En iyi sald�r�lar pek �ok insan�n sahip oldu�u CPU g�� menzilinin i�inde olmaz. Di�er taraftan 2k uzunlu�undaki bir anahtar�n bulunmas�n�n k uzunlu�undaki bir anahtardan daha zor oldu�una inanmak bir hatad�r.Olay�n bir par�as� olarak e�er zorluk bir eksponensiyal ise bu anahtar boyutundan daha h�zl� b�y�r.  k uzunlu�unun bir anahtar� i�in 2^k ihtimal anahtar mevcuttur (ve ayn� �ekilde 2k uzunluk i�in 2^2k). Sonra anahtar uzunlu�unu   2 ile �arp�p,  olas� anahtarlar� ekleriz.DES(56 bit)'i k�rman�n zorlu�unu farketti�inizde 128 bit anahtarlar� k�r�lamaz olarak umabilirsiniz.  Sald�ran olarak bakt���n�zda ise,  bu s�n�r� art�rmak   sadece zorlu�u imkans�z seviyeden daha imkans�z seviyeye ta��r.

4 farkl� yaz�l�m paketi benzer hizmetleri sa�lar: