Linux mit Lynis analysieren und härten

Linux sorgt von Haus aus schon dafür, ein System möglichst sicher zu betreiben. Allerdings ist das immer von der Konfiguration des Systems und der installierten Pakete abhängig. Unsachgemäße Handhabung, mangelndes Wissen oder auch schlechte Dokumentationen können ein System schnell zur Angriffsfläche machen. Gerade Einplatinencomputer wie zum Beispiel ein Raspberry Pi hängen oft direkt im Internet und werden somit schnell ein Ziel für Angreifer. Neben einer Firewall, die wirklich nur den Traffic durchlässt, der wirklich erforderlich ist, aktuellen Paketen, sicheren Passwörtern und einer abgesicherten SSH Konfiguration müssen auch weitere Systemkomponenten möglicherweise gehärtet werden, um Angriffsflächen zu minimieren. Um das eingesetzte System zu analysieren gibt es mehrere Möglichkeiten. Eine davon ist das Open Source Audit Werkzeug “Lynis”. Es führt einige individuelle Tests durch und gibt Ratschläge wie das eigene System weiter abgesichert werden kann.

„Linux mit Lynis analysieren und härten“ weiterlesen

Windows Schreibschutz mit UWF

Windows wird in vielen öffentlichen Bereichen eingesetzt. Das können Rechner an Schulen, Universitäten, Behörden, Demo Räumen oder auch Thin Clients sein. Die wechselnden Benutzer und die unterschiedlich ausgeführten Aktivitäten sind also sehr abwechslungsreich und schwer zu kontrollieren. Gerade Windows ist ein Betriebssystem, welches nicht für den jahrelangen Dauereinsatz gemacht ist. Auch aus Sicherheitssicht kann ein mehr oder weniger frei zugänglicher Rechner ein Risiko darstellen. Natürlich ist es sinnvoll und wichtig, über ein vernünftiges Client Design und ein wohl überlegtes Berechtigungsmodell den Betrieb einzuschränken. Hinzu kommt noch das System “sauber” zu halten, was durchaus eine Herausforderung sein kann. Um den Administratoren solcher Rechner die Arbeit etwas zu erleichtern, gibt es unter Windows den “Einheitlichen Schreibfilter”. Die gängige Abkürzung “UWF” steht für “Universal Write Filter”.

„Windows Schreibschutz mit UWF“ weiterlesen

Firewall für Raspberry Pi mit iptabels

Für den Raspberry Pi bzw. den Banana Pi ist die Firewall iptables bereits mit an Board, jedoch nicht konfiguriert. Wer seinen Einplatinencomputer direkt im Internet hängen hat, sollte die Firewall aktivieren, um den Schutz des Systems zu erhöhen. Im Folgenden wird eine Beispielkonfiguration für eine statefull Firewall gezeigt. Diese kann je nach Einsatzzweck abweichen und erhebt keinesfalls den Anspruch auf Vollständigkeit. Es empfiehlt sich, ein aktuelles Backup vorzuhalten, um im worst case schnell wieder auf den Ursprungszustand zu kommen.

„Firewall für Raspberry Pi mit iptabels“ weiterlesen

DMZ für Cloudserver mit OpenWRT

Eigene Cloudserver, die über die heimische Leitung ins Internet gehängt werden, sind Dank Raspberry Pi, Banana Pi & Co. gerade schwer in Mode. Systeme, die im Internet erreichbar sind, bieten eine gewisse Angriffsfläche. Eine Grundabsicherung per Firewall ist hier natürlich ein Muss. Unter Linux eignet sich hier iptables, um sowohl den IPv4 als auch IPv6 Datenverkehr zu kontrollieren. Der Einsatz einer Statefull Firewall mit iptables ist hier beschrieben: Klick
Was passiert jedoch, wenn der Cloudserver doch kompromittiert wird? Da das System in aller Regel im eigenen Netz hängt und nur Ports von außen auf das System geöffnet wurden, ist es für einen Angreifer ein Leichtes, sich Zugriff auf weitere Ressourcen im Netzwerk zu verschaffen. Abhilfe schafft hier eine DMZ (Demilitarisierte Zone). Eine DMZ trennt einen gewissen Bereich vom eigenen Netzwerk. Zugriffe vom eigenen Netz in die DMZ sind erlaubt. Zugriffe von der DMZ in das eigene Netz werden im Optimalfall komplett unterbunden. Eine detaillierte Beschreibung zum Thema DMZ gibt es bei Wikipedia: Klick Wer einen Router mit OpenWRT betreibt, kann sich eine DMZ mit einem dedizierten VLAN selbst konfigurieren. Die Basis dieser Anleitung basiert auf dem entsprechenden OpenWRT Wiki Artikel: Klick Es gibt jedoch ein paar wichtige Einstellungen, die beim Einsatz eines Cloudservers nicht fehlen dürfen. Generell sind folgende Aktionen erforderlich:

„DMZ für Cloudserver mit OpenWRT“ weiterlesen

Gäste WLAN auf OpenWRT Access Point

Wer einen WLAN Access Point betreibt, möchte vielleicht auch ein extra Gäste WLAN einrichten, welches vom eigenen Heimnetzwerk getrennt ist. Gäste sollen schließlich nur Zugriff aufs Internet bekommen, ohne die heimischen Ressourcen sehen zu können. Einige Router bzw. Access Point Hersteller liefern so eine Funktionalität bereits mit der Standard Firmware mit. Bei der alternativen Open Source Router Firmware „OpenWRT“ lässt sich auch ein Gäste WLAN einrichten. Die Konfiguration hierfür muss jedoch in Handarbeit erledigt werden. Dieser Blogpost beschreibt die Einrichtung eines Gäste WLANs auf einem eigenständigen WLAN Access Point, der per Kabel mit dem Router verbunden ist. Die generelle Konfiguration eines WLAN Access Points ist im OpenWRT Wiki bereits gut beschrieben. Klick

„Gäste WLAN auf OpenWRT Access Point“ weiterlesen

Zwei Faktor Authentifizierung für WordPress

WordPress gehört zu den beliebtesten und meist verwendeten Blog Systemen. Gerade durch die große Verbreitung stehen Angriffe auf WordPress Blogs an der Tagesordnung. Daher ist es extrem wichtig, einem potenziellen Angreifer so viele Stöcke zwischen die Beine zu werfen wie nur möglich.

„Zwei Faktor Authentifizierung für WordPress“ weiterlesen

Netzwerkanalyse mit nmap

nmap ist eine Open-Source Software, um das eigene Netzwerk zu analysieren und zu überprüfen. Hierbei ist wichtig zu wissen, dass es aus rechtlichen Gründen nur im eigenen Netzwerk eingesetzt werden darf oder die Genehmigung zum Scannen eines fremden Netzes vorliegen muss! Seit 2007 gibt es den sogenannten Hackerparagraphen „§ 202c
Vorbereiten des Ausspähens und Abfangens von Daten“
, der dem Einsatz gewisser Tools nicht gerade offen gegenüber steht. Dazu gehört auch nmap. Wie soll es jedoch ohne den Einsatz solcher Tools möglich sein, sein eigenes System/Netz auf potentielle Schwachstellen zu prüfen? Nur weil ein Werkzeug eine gewisse Möglichkeit bietet, heisst es nicht, dass es auch genau dafür eingesetzt wird. Eine Kettensäge… Ach lassen wir das…

„Netzwerkanalyse mit nmap“ weiterlesen

SSL mit Perfect Forward Secrecy unter nginx

SSL ist in den letzten Tagen mal wieder in aller Munde. Dank des Heartbleed Bugs in OpenSSL ist es Angreifern möglich, entschlüsselte Informationen oder sogar den privaten Schlüssel des Zertifikats aus dem Speicher des Webservers zu ziehen, ohne dabei Spuren zu hinterlassen. Sollte der private Schlüssel in fremde Hände gelangen, lässt sich damit einiges an Schindluder treiben. Eine Möglichkeit wäre, bereits aufgezeichnete, jedoch verschlüsselte Kommunikation, nachträglich zu entschlüsseln. Um das zu verhindern, gibt es eine Funktion die sich „Perfect Forward Secrecy“ nennt. PFS nutzt nicht das Public Key Verfahren um einen Sitzungsschlüssel zu erzeugen. Für PFS wird das Diffie-Hellman Verfahren eingesetzt. Hier wird von beiden Seiten (Client/Server) ein gemeinsamer Sitzungsschlüssel erzeugt. Wer’s gern etwas genauer wissen will, kann sich folgenden Wiki Artikel durchlesen Klick

„SSL mit Perfect Forward Secrecy unter nginx“ weiterlesen