"डेवलपर्स से काली लिनक्स" पुस्तक

हाय, हब्रोज़ितेली! लेखक आपको काली लिनक्स की मूल बातें और क्षमताओं के लिए कदम से कदम मिलाएंगे। यह पुस्तक लिनक्स कमांड लाइन और इसकी अवधारणाओं के साथ काम करने के लिए एक छोटा पाठ्यक्रम प्रदान करती है, जो काली लिनक्स के लिए विशिष्ट इंस्टॉलेशन परिदृश्यों का वर्णन करती है। इस पुस्तक को पढ़ने के बाद, आप सीखेंगे कि काली लिनक्स को कैसे कॉन्फ़िगर करें, डिबग करें और संरक्षित करें, साथ ही साथ डेबियन वितरण पैकेज के शक्तिशाली पैकेज प्रबंधक के साथ काम करें। बड़े कॉर्पोरेट नेटवर्क सहित किसी भी वातावरण में काली लिनक्स को ठीक से स्थापित करने का तरीका जानें। अंत में, आपको जटिल विषयों से परिचित होना होगा: कर्नेल को संकलित करना, अपनी स्वयं की आईएसओ छवियां बनाना, औद्योगिक एन्क्रिप्शन और गोपनीय जानकारी की पेशेवर सुरक्षा।

अध्याय 7. काली लिनक्स का संरक्षण और नियंत्रण

एक बार जब आप अधिक गोपनीय और हाई-प्रोफाइल कार्यों के लिए काली लिनक्स का उपयोग करना शुरू करते हैं, तो आपको सबसे अधिक संभावना होगी कि आप अपनी स्थापना सुरक्षा को अधिक गंभीरता से लें। इस अध्याय में, हम पहले सुरक्षा नीति पर चर्चा करते हैं, इसे निर्धारित करने में सबसे महत्वपूर्ण बिंदुओं पर प्रकाश डालते हैं, और आपके सिस्टम और सुरक्षा पेशेवर के रूप में कुछ खतरों पर ध्यान देते हैं। हम लैपटॉप और डेस्कटॉप के लिए सुरक्षा उपायों पर भी चर्चा करेंगे और फायरवॉल और पैकेट फ़िल्टरिंग पर अलग से विचार करेंगे। अंत में, हम मॉनिटरिंग टूल और रणनीतियों को स्पर्श करेंगे और आपके सिस्टम के लिए संभावित खतरों का पता लगाने के लिए उनका उपयोग करने के सबसे प्रभावी तरीके दिखाएंगे।

7.1। सुरक्षा नीति परिभाषा

सामान्य शब्दों में सुरक्षा पर चर्चा करना अनुचित है, क्योंकि यह अवधारणा अवधारणाओं, उपकरणों और प्रक्रियाओं की एक विस्तृत श्रृंखला का प्रतिनिधित्व करती है जो सार्वभौमिक नहीं हैं। उनके बीच चयन करने के लिए आपके लक्ष्यों का सटीक प्रतिनिधित्व आवश्यक है। सिस्टम सुरक्षा कई सवालों के जवाब के साथ शुरू होती है। उपयोगिताओं के मनमाने ढंग से सेट के जल्दबाजी और लापरवाह कार्यान्वयन से सुरक्षा पहलुओं को गलत तरीके से परिभाषित करने का जोखिम होता है।

शुरू में एक विशिष्ट लक्ष्य की पहचान करना सबसे अच्छा है। इस समस्या को हल करने का सही तरीका निम्नलिखित प्रश्नों के उत्तर होंगे।

1. क्या आप की रक्षा करने की कोशिश कर रहे हैं? सुरक्षा नीति अलग-अलग होगी जो आप की रक्षा करना चाहते हैं: कंप्यूटर या डेटा। बाद के मामले में, आपको यह भी जानना होगा कि कौन सी जानकारी को सुरक्षा की आवश्यकता है।

2. आप अपने आप को बचाने के लिए क्या प्रयास कर रहे हैं? गोपनीय डेटा के रिसाव से? जानकारी के आकस्मिक नुकसान से? सेवाओं के प्रावधान में विफलता के कारण हुए नुकसान से?

3. आप किससे खुद को बचाने की कोशिश कर रहे हैं? सिस्टम के एक सरल उपयोगकर्ता के टाइपो से बचाने के लिए और घुसपैठियों के एक विशिष्ट समूह से बचाने के लिए सुरक्षा उपाय पूरी तरह से अलग होंगे।

शब्द "जोखिम" आमतौर पर इन कारकों को उदारतापूर्वक परिभाषित करने के लिए उपयोग किया जाता है: क्या संरक्षित करने की आवश्यकता है, क्या रोका जाना चाहिए, और किसकी गलती से यह हो सकता है। रिस्क मॉडलिंग के लिए तीनों प्रश्नों के उत्तर की आवश्यकता होती है। परिणामी मॉडल के आधार पर, आप एक सुरक्षा नीति विकसित कर सकते हैं और इसे विशिष्ट कार्यों का उपयोग करके लागू कर सकते हैं।

ब्रूस श्नेयर, एक वैश्विक सुरक्षा विशेषज्ञ (न सिर्फ कंप्यूटर), आदर्श वाक्य के तहत काम करके मुख्य सुरक्षा मिथकों में से एक का मुकाबला करने की कोशिश कर रहा है: "सुरक्षा एक प्रक्रिया है, उत्पाद नहीं।" संभावित आक्रमणकारियों के लिए खतरे और साधन उपलब्ध होने के साथ समय पर संरक्षित परिवर्तन की आवश्यकता है। यहां तक ​​कि अगर सुरक्षा नीति मूल रूप से आदर्श रूप से डिजाइन और कार्यान्वित की गई थी, तो आपको कभी भी वहां नहीं रुकना चाहिए। जोखिम घटक विकसित हो रहे हैं, और इसे रोकने के तरीकों को तदनुसार विकसित किया जाना चाहिए।

इसके अलावा, अतिरिक्त बाधाओं जो उपलब्ध नीतियों की सीमा को सीमित कर सकती हैं, उन पर विचार किया जाना चाहिए। सिस्टम की सुरक्षा के लिए आप क्या करने को तैयार हैं? नीतिगत चयन के लिए यह मुद्दा बहुत महत्वपूर्ण है। बहुत बार, जवाब केवल नकद लागत के दृष्टिकोण से निर्धारित किया जाता है, लेकिन अन्य तत्वों को ध्यान में रखा जाना चाहिए, जैसे कि संभावित असुविधा जो सिस्टम के उपयोगकर्ताओं को भुगतना होगा, या इसके प्रदर्शन की गिरावट।

एक बार जोखिम मॉडलिंग करने के बाद, आप एक उपयुक्त सुरक्षा नीति विकसित करने के बारे में सोच सकते हैं।

चरम सीमाएं हैं जिन्हें आवश्यक सुरक्षा के स्तर पर निर्णय लेते समय विचार किया जाना चाहिए। एक ओर, बुनियादी प्रणाली सुरक्षा प्रदान करना बेहद सरल है।

उदाहरण के लिए, यदि सुरक्षा के लिए परिभाषित प्रणाली में केवल एक उपयोग किया गया कंप्यूटर शामिल है, जिसका उपयोग केवल दिन के अंत में कुछ संख्याओं को जोड़ने के लिए किया जाता है, तो यह एक उचित निर्णय होगा कि इसे बचाने के लिए कुछ विशेष न किया जाए। ऐसी प्रणाली का सही मूल्य कम है, और डेटा का मूल्य पूरी तरह से शून्य है, क्योंकि वे कंप्यूटर पर संग्रहीत नहीं हैं। एक संभावित हमलावर जो इस प्रणाली में प्रवेश करता है, उसे केवल एक कैलकुलेटर प्राप्त होगा। ऐसी प्रणाली की सुरक्षा की लागत हैकिंग की लागत से अधिक होने की संभावना है।

विपरीत परिस्थितियों में किसी भी प्रतिबंध पर काबू पाने के साथ गोपनीय डेटा की गोपनीयता को पूरी तरह से संरक्षित करने का मामला होगा। इस मामले में, जानकारी का पूर्ण विनाश (फाइलों के सुरक्षित उन्मूलन, हार्ड डिस्क को छोटे टुकड़ों में टुकड़े टुकड़े करना, फिर इन टुकड़ों को एसिड आदि में भंग करना) एक उपयुक्त समाधान है। यदि कोई अतिरिक्त आवश्यकता है कि डेटा भविष्य के उपयोग के लिए संग्रहीत किया जाना चाहिए (आवश्यक उपलब्धता में नहीं) और लागत अभी भी एक निवारक नहीं है, तो सबसे अच्छा विचार इरीडियम और प्लैटिनम मिश्र धातु प्लेटों पर डेटा को पहाड़ों के नीचे बम आश्रयों में संग्रहीत करना होगा। दुनिया, जिनमें से प्रत्येक (निश्चित रूप से) एक सेना द्वारा वर्गीकृत और संरक्षित है।

हालाँकि ये तरीके अतिरंजित लग सकते हैं, फिर भी वे कुछ जोखिमों के लिए उपयुक्त समाधान हो सकते हैं, क्योंकि वे आपको दिए गए प्रतिबंधों के साथ अपने लक्ष्यों को प्राप्त करने की अनुमति देते हैं। एक सूचित निर्णय के आधार पर, कोई सुरक्षा नीति किसी भी अन्य की तुलना में कम या ज्यादा पर्याप्त नहीं है।

एक अधिक विशिष्ट मामले पर लौटते हुए, एक सूचना प्रणाली को संगत और मुख्यतः स्वतंत्र उप-प्रणालियों में विभाजित किया जा सकता है। इन सभी की अपनी आवश्यकताएं और सीमाएं हैं, इसलिए इन सब प्रणालियों में से प्रत्येक के लिए एक सुरक्षा नीति का जोखिम मूल्यांकन और विकास अलग से किया जाना चाहिए। आपको हमेशा याद रखना चाहिए कि एक छोटे से हमले की सतह एक बड़े से बचाने के लिए आसान है। नेटवर्क संगठनों को इस तरह से डिज़ाइन किया जाना चाहिए: कमजोर सेवाओं को कम संख्या में कंप्यूटर पर केंद्रित होना चाहिए, और बाद वाले को न्यूनतम संख्या में मार्गों या नियंत्रण बिंदुओं के माध्यम से पहुंच योग्य होना चाहिए। तर्क सरल है: पूरे बाहरी दुनिया के सभी कमजोर कंप्यूटरों की तुलना में ब्रेकपॉइंट्स की रक्षा करना आसान है। यह इस बिंदु पर है कि नेटवर्क फ़िल्टरिंग (फ़ायरवॉल सहित) के लाभ स्पष्ट हो जाते हैं। इस फ़िल्टरिंग को विशेष उपकरणों का उपयोग करके लागू किया जा सकता है, लेकिन एक सरल और अधिक लचीला समाधान एक सॉफ्टवेयर फ़ायरवॉल का उपयोग करना है जो लिनक्स कर्नेल में एकीकृत है।

7.2। संभव सुरक्षा उपाय

जैसा कि ऊपर उल्लेख किया गया है, इस सवाल का एक भी जवाब नहीं है कि काली लिनक्स की सुरक्षा कैसे करें। यह सब इस बात पर निर्भर करता है कि आप इसका उपयोग कैसे करते हैं और वास्तव में आप किस प्रकार की रक्षा करना चाहते हैं।

सर्वर पर

यदि आप सार्वजनिक सर्वर पर काली लिनक्स का उपयोग करते हैं, तो आपको उन सभी डिफ़ॉल्ट पासवर्ड को बदलकर नेटवर्क सेवाओं की रक्षा करनी चाहिए, जो संभवत: कॉन्फ़िगर किए जा सकते हैं, और संभवत: फ़ायरवॉल (अनुभाग 7.3 "नेटवर्क सेवाओं का उपयोग" और 7.4 "फ़ायरवॉल का उपयोग करके उन तक पहुंच को सीमित करके या पैकेट फ़िल्टरिंग ”, क्रमशः, नीचे देखें)।

यदि आप उपयोगकर्ता खाते की जानकारी सीधे सर्वर पर या नेटवर्क सेवाओं में से किसी एक में स्थानांतरित करते हैं, तो मजबूत पासवर्ड सेट करना सुनिश्चित करें (उन्हें ब्रूट हमलों का सामना करना होगा)। उसी समय, आप fail2ban प्रोग्राम को कॉन्फ़िगर कर सकते हैं, जो नेटवर्क पर संपूर्ण खोज (आईपी पते को फ़िल्टर करके जो असफल लॉगिन प्रयासों की सीमा को पार कर जाता है) द्वारा पासवर्ड क्रैकिंग को बहुत जटिल करता है। आप apt अद्यतन कमांड का उपयोग करके fail2ban को स्थापित कर सकते हैं और फिर apt स्थापित करें विफलता 2ban।

यदि आप वेब सेवाओं का उपयोग करते हैं, तो उन्हें HTTPS प्रोटोकॉल के माध्यम से काम करने के लिए कॉन्फ़िगर करें ताकि नेटवर्क बिचौलिये आपके ट्रैफ़िक की निगरानी न करें (जिसमें प्रमाणीकरण शामिल हो सकता है)।

लैपटॉप पर

एक पैठ परीक्षण विशेषज्ञ के लैपटॉप को एक खुले सर्वर के समान जोखिमों का सामना नहीं करना पड़ता है: उदाहरण के लिए, आप शौकिया पटाखे द्वारा आकस्मिक हमलों के लिए कम संवेदनशील हैं, और यदि ऐसा होता है, तो संभवतः आपके पास इस बिंदु पर सक्रिय नेटवर्क सेवाएं नहीं होंगी।

असली जोखिम अक्सर तब होता है जब आप एक क्लाइंट से दूसरे क्लाइंट में जाते हैं। उदाहरण के लिए, आपका लैपटॉप एक यात्रा के दौरान चोरी हो सकता है या सीमा शुल्क द्वारा जब्त किया जा सकता है। यही कारण है कि यह पूर्ण डिस्क एन्क्रिप्शन का उपयोग करने के लायक है (धारा 4.2 के "पूरी तरह से एन्क्रिप्टेड फ़ाइल सिस्टम पर इंस्टॉल करना" देखें) और संभवतः यह भी nuke फ़ंक्शन सेट कर रहा है (अध्याय 9 में साइडबार को "अतिरिक्त सुरक्षा के लिए स्वयं-विनाश पासवर्ड सेट करना" देखें): डेटा कि आप अपने काम के दौरान एकत्र हुए गोपनीय हैं और अधिकतम सुरक्षा की आवश्यकता है।

आपको फ़ायरवॉल नियमों की भी आवश्यकता हो सकती है (नीचे अनुभाग 7.4 देखें), लेकिन सर्वर पर उसी उद्देश्य के लिए नहीं। आप संभवतः अपने वीपीएन एक्सेस द्वारा उत्पन्न ट्रैफ़िक को छोड़कर सभी आउटगोइंग ट्रैफ़िक को ब्लॉक करना चाहेंगे। ये सेटिंग्स नेटवर्क सुरक्षा सेटिंग्स के समान हैं, इसलिए जब वीपीएन काम करना बंद कर देता है, तो आप तुरंत इसे नोटिस करेंगे (स्थानीय नेटवर्क एक्सेस पर लौटने के बजाय)। इस प्रकार, आप वेब या अन्य नेटवर्क गतिविधियों को ब्राउज़ करते समय अपने ग्राहकों के आईपी पते नहीं देते हैं। इसके अलावा, यदि आप स्थानीय आंतरिक संपर्क करते हैं, तो नेटवर्क में उत्पन्न होने वाले शोर को कम करने के लिए अपनी गतिविधियों की निरंतर निगरानी करना सबसे अच्छा है, जो ग्राहकों और उनकी सुरक्षा प्रणालियों का ध्यान आकर्षित कर सकता है।

7.3। नेटवर्क सेवा संरक्षण

यह अनुशंसा की जाती है कि आप उन सेवाओं को अक्षम कर दें जिनका आप उपयोग नहीं कर रहे हैं। काली इस कार्य को सरल करता है, क्योंकि अधिकांश नेटवर्क सेवाएं पहले से ही डिफ़ॉल्ट रूप से अक्षम हैं।
जब तक सेवाएं अक्षम रहती हैं, वे सुरक्षा जोखिम नहीं उठाते हैं। हालांकि, आपको निम्नलिखित कारकों के कारण उन्हें चालू करते समय सावधान रहना चाहिए।

1. डिफ़ॉल्ट रूप से, उनके पास फ़ायरवॉल नहीं है, इसलिए यदि वे सभी नेटवर्क इंटरफेस पर सुनते हैं, तो वे बड़े पैमाने पर जनता के लिए सुलभ हैं।

2. कुछ सेवाओं में क्रेडेंशियल्स नहीं होते हैं और आप उन्हें पहले उपयोग पर सेट करने की अनुमति देते हैं; दूसरों के पास मानक (और इसलिए व्यापक रूप से ज्ञात) साख है। सुनिश्चित करें कि आप (फिर से) एक पासवर्ड सेट करें जो केवल आपके लिए जाना जाता है।

3. कई सेवाएं रूट विशेषाधिकारों (पूर्ण प्रशासक अधिकारों के साथ) के साथ जारी की जाती हैं, इसलिए अनधिकृत पहुंच या सुरक्षा उल्लंघनों के परिणाम आमतौर पर गंभीर होते हैं।

हम यहां उन सभी उपकरणों को सूचीबद्ध नहीं करेंगे जो डिफ़ॉल्ट क्रेडेंशियल के साथ आते हैं। इसके बजाय, आपको संबंधित पैकेज के लिए README.Debian फ़ाइल और साथ ही सेवा की आवश्यक सुरक्षा सुनिश्चित करने के लिए विशेष रखरखाव की आवश्यकता है या नहीं यह जानने के लिए docs.kali.org और tools.kali.org पृष्ठों की जांच करनी चाहिए।

यदि आप वास्तविक समय में शुरू करते हैं, तो रूट पासवर्ड टोअर है। इसलिए, आपको रूट खाते के पासवर्ड को बदलने से पहले या खाता कॉन्फ़िगरेशन में पासवर्ड-आधारित लॉगिन बैरिंग स्थापित करने से पहले SSH को सक्षम नहीं करना चाहिए।

यह भी अच्छी तरह से ज्ञात तथ्य है कि बीईएफ परियोजना (पहले से स्थापित बीफ़-एक्सएस पैकेज से) में डिफ़ॉल्ट क्रेडेंशियल हैं: बीफ़ उपयोगकर्ता नाम और बीफ़ पासवर्ड, जो कॉन्फ़िगरेशन फ़ाइल में "जबरन" सेट किए जाते हैं।

7.4। फ़ायरवॉल या पैकेट फ़िल्टरिंग

एक फ़ायरवॉल हार्डवेयर, सॉफ़्टवेयर, या इनबाउंड या आउटबाउंड नेटवर्क पैकेट (इनबाउंड या स्थानीय नेटवर्क से आउटबाउंड) का विश्लेषण करने वाले कंप्यूटर उपकरणों का एक टुकड़ा है और केवल उन्हीं को पास करता है जो कुछ पूर्वनिर्धारित शर्तों को पूरा करते हैं।

एक फ़िल्टरिंग नेटवर्क गेटवे एक प्रकार का फ़ायरवॉल है जो पूरे नेटवर्क की सुरक्षा करता है। आमतौर पर, इसे नेटवर्क के प्रवेश द्वार के रूप में कॉन्फ़िगर किए गए समर्पित कंप्यूटर पर इस तरह से स्थापित किया जाता है कि यह नेटवर्क के अंदर और बाहर आने वाले सभी पैकेटों का विश्लेषण कर सकता है। वैकल्पिक रूप से, एक स्थानीय फ़ायरवॉल है, जो एक विशिष्ट कंप्यूटर पर चलने वाली सॉफ़्टवेयर सेवा है, जो उस कंप्यूटर पर कई सेवाओं तक पहुँच को फ़िल्टर करने या प्रतिबंधित करने के लिए, संभवतः, स्पाइवेयर से आउटगोइंग कनेक्शन को रोकने के लिए जिसे उपयोगकर्ता दुर्घटना या जानबूझकर स्थापित कर सकता है।

लिनक्स कर्नेल में एक अंतर्निहित नेटफिल्टर फ़ायरवॉल है। किसी भी फ़ायरवॉल को कॉन्फ़िगर करने के लिए कोई एकल समाधान नहीं है, क्योंकि नेटवर्क और उपयोगकर्ता की आवश्यकताएं अलग-अलग हैं। हालाँकि, आप iptables और ip6tables कमांड का उपयोग करके यूजर स्पेस से नेटफिल्टर को नियंत्रित कर सकते हैं। बाद के बीच का अंतर यह है कि पूर्व IPv4 नेटवर्क के लिए काम करता है, जबकि बाद वाला IPv6 पर काम करता है। चूंकि नेटवर्क प्रोटोकॉल के दोनों ढेर कई वर्षों तक काम करने की संभावना है, इसलिए दोनों उपकरणों को समानांतर में उपयोग किया जाना चाहिए। आप उत्कृष्ट GUI आधारित fwbuilder उपयोगिता का उपयोग कर सकते हैं, जो फ़िल्टरिंग नियमों का एक चित्रमय प्रतिनिधित्व प्रदान करता है।

हालांकि, यदि आप नेटफिल्टर (लिनक्स फ़ायरवॉल के कार्यान्वयन) को कॉन्फ़िगर करने का निर्णय लेते हैं, तो हम इस बात पर ध्यान देंगे कि यह कैसे काम करता है।

नेटफिल्टर सर्ज रक्षक व्यवहार

नेटफिल्टर फ़िल्टर चार अलग-अलग तालिकाओं का उपयोग करता है जो पैकेजों पर तीन प्रकार के संचालन को नियंत्रित करने वाले नियमों को संग्रहीत करते हैं:

1. फ़िल्टर फ़िल्टरिंग नियमों को संदर्भित करता है (एक पैकेट को स्वीकार करना, अस्वीकार या अनदेखा करना);

2. नेट (नेटवर्क एड्रेस ट्रांसलेशन) स्रोत या गंतव्य पते और पैकेट पोर्ट के अनुवाद को संदर्भित करता है;

3. mangle IP पैकेट्स (ToS फ़ील्ड (सेवा का प्रकार) और विकल्प सहित) में अन्य परिवर्तनों को संदर्भित करता है;

4. कच्चे अन्य मैनुअल बदलावों को कनेक्शन ट्रैकिंग सिस्टम तक पहुँचने से पहले वे (पैकेज) को मैनुअल परिवर्तन की अनुमति देते हैं।

प्रत्येक तालिका में चेन नामक नियमों की सूची होती है। फ़ायरवॉल पूर्वनिर्धारित स्थितियों के आधार पर पैकेट को संसाधित करने के लिए मानक श्रृंखला का उपयोग करता है। व्यवस्थापक अन्य चेन बना सकता है जो केवल तभी उपयोग किया जाएगा जब मानक चेन (सीधे या अप्रत्यक्ष रूप से) में से किसी एक को स्थानांतरित किया जाए।

फ़िल्टर तालिका में तीन मानक श्रृंखलाएँ हैं:

1. INPUT - उन पैकेटों को संदर्भित करता है जिनका उद्देश्य स्वयं फ़ायरवॉल है;

2. OUTPUT - फ़ायरवॉल से आने वाले पैकेट को संदर्भित करता है;

3. फॉरवर्ड - फ़ायरवॉल से गुजरने वाले पैकेट को संदर्भित करता है (जो न तो उनका स्रोत है और न ही गंतव्य)।

नेट टेबल में तीन मानक श्रृंखलाएँ भी हैं:

1. PREROUTING - पैकेज के आने के तुरंत बाद बदलने के लिए;

2. पोस्टिंग - जब वे भेजने के लिए तैयार हों तो पैकेज बदलना;

3. OUTPUT - स्वयं फ़ायरवॉल द्वारा उत्पन्न पैकेट को संशोधित करने के लिए।

इन जंजीरों को अंजीर में दिखाया गया है। 7.1।


प्रत्येक श्रृंखला नियमों की एक सूची है; प्रत्येक नियम शर्तों का एक समूह है और जब शर्तों को पूरा किया जाता है तो एक कार्रवाई की जाती है। पैकेट को संसाधित करते समय, फ़ायरवॉल एक के बाद एक संबंधित श्रृंखला, एक नियम को स्कैन करता है, और जब एक नियम के लिए शर्तों को पूरा किया जाता है, तो यह प्रसंस्करण जारी रखने के लिए निर्दिष्ट कार्रवाई के लिए (इसलिए -j पैरामीटर में) कूदता है। सबसे सामान्य प्रकार के व्यवहार मानकीकृत हैं, और उनके लिए विशेष क्रियाएं हैं। इन मानक कार्यों में से एक को निष्पादित करना श्रृंखला के प्रसंस्करण को बाधित करता है, क्योंकि पैकेट के आगे भाग्य पहले से ही पूर्व निर्धारित है (नीचे उल्लिखित अपवाद को ध्यान में रखे बिना)। निम्नलिखित नेटफिल्टर क्रियाएं हैं।

1. ACCEPT (ACCEPT) - पैकेट को अपने मार्ग से आगे बढ़ने की अनुमति देता है।

2. प्रतिक्रिया - ICMP त्रुटि पैकेट (इंटरनेट नियंत्रण संदेश प्रोटोकॉल) का उपयोग करके पैकेट को अस्वीकार करें (- iptables के लिए -reject-with प्रकार अस्वीकृति के लिए त्रुटि का प्रकार निर्धारित करता है)।

3. DROP - पैकेज को हटाएं (अनदेखा करें)।

4. LOG (REGISTER) - पैकेज का वर्णन करने वाला संदेश (syslogd daemon के माध्यम से) पंजीकृत करें। कृपया ध्यान दें कि यह कार्रवाई प्रसंस्करण में बाधा नहीं डालती है, और अगले नियम से श्रृंखला निष्पादन जारी रहता है, इसलिए अस्वीकार किए गए पैकेटों के पंजीकरण के लिए लॉग और REJECT / DROP दोनों नियमों की आवश्यकता होती है। पंजीकरण से संबंधित सामान्य मापदंडों में शामिल हैं:

• -लॉग-स्तर, एक डिफ़ॉल्ट चेतावनी के साथ, सिसलॉग गंभीरता को इंगित करता है;
• --log- उपसर्ग आपको लॉग संदेश के बीच अंतर करने के लिए एक पाठ उपसर्ग निर्दिष्ट करने की अनुमति देता है;
• --log-tcp- अनुक्रम, --log-tcp-options और --log-ip-options अतिरिक्त डेटा को इंगित करते हैं जिन्हें संदेश में रखा जाना चाहिए: क्रमशः टीसीपी सीरियल नंबर, टीसीपी पैरामीटर और आईपी पैरामीटर।

5. उल्गोग - उलॉग के माध्यम से एक संदेश पंजीकृत करें, जो बड़ी संख्या में संदेशों को संसाधित करने के लिए syslogd से बेहतर अनुकूलित और अधिक कुशल हो सकता है; ध्यान दें कि लॉग की तरह यह क्रिया भी, कॉलिंग चेन में अगले नियम के लिए प्रसंस्करण लौटाती है।

6. chain_name - निर्दिष्ट श्रृंखला पर जाएं और उसके नियमों का मूल्यांकन करें।

7. RETURN - वर्तमान श्रृंखला के प्रसंस्करण को रद्द करें और कॉलिंग श्रृंखला पर वापस लौटें; यदि वर्तमान श्रृंखला मानक है, तो कोई कॉलिंग चेन नहीं है, इसलिए इसके बजाय डिफ़ॉल्ट कार्रवाई की जाती है (iptables के लिए -P पैरामीटर का उपयोग करके परिभाषित किया गया है)।

8. SNAT (केवल नेट टेबल में) - सोर्स नेटवर्क एड्रेस ट्रांसलेशन (SNAT) लागू करें। अतिरिक्त पैरामीटर लागू होने वाले सटीक परिवर्तनों का वर्णन करते हैं, जिनमें-to- स्रोत पता: पोर्ट पैरामीटर शामिल है, जो आईपी पते और / या पोर्ट के नए स्रोत को परिभाषित करता है।

9. DNAT (केवल नेट टेबल में) - गंतव्य नेटवर्क पता अनुवाद (DNAT) लागू करें। अतिरिक्त पैरामीटर उपयोग किए जाने वाले सटीक परिवर्तनों का वर्णन करते हैं, जिनमें-to- गंतव्य पता पैरामीटर शामिल है: पोर्ट जो IP पते और / या पोर्ट के नए स्रोत को परिभाषित करता है।

10. MASQUERADE (केवल नेट टेबल में) - मास्किंग लागू करें (स्रोत NAT का विशेष मामला)।

11. REDIRECT (केवल नैट टेबल में) - फ़ायरवॉल के इस पोर्ट पर पैकेट को खुले रूप से अग्रेषित करें। आप एक खुले सर्वर को कॉन्फ़िगर करने के लिए एक वेब प्रॉक्सी का उपयोग कर सकते हैं, जो क्लाइंट साइड पर कॉन्फ़िगरेशन के बिना काम करता है, और जबकि क्लाइंट का मानना ​​है कि यह प्राप्तकर्ता से कनेक्ट हो रहा है, संदेश वास्तव में प्रॉक्सी सर्वर से गुजरते हैं। --To- पोर्ट्स पैरामीटर port (s) पोर्ट या पोर्ट रेंज को निर्दिष्ट करता है, जहां पैकेट को अग्रेषित किया जाना चाहिए।

अन्य क्रियाएं, विशेष रूप से उन मेंटल टेबल से संबंधित, जिन्हें इस उपधारा में शामिल नहीं किया गया था। पूरी सूची के लिए, iptables (8) और ip6tables (8) मैनुअल पेज देखें।

Iptables और ip6tables कमांड के लिए सिंटैक्स

Iptables और ip6tables कमांड का उपयोग टेबल, चेन और नियमों को प्रबंधित करने के लिए किया जाता है। उनकी पैरामीटर -t तालिका इंगित करती है कि किस तालिका के साथ काम करना है (डिफ़ॉल्ट रूप से, फ़िल्टर तालिका)।

आदेशों

सर्किट के साथ बातचीत करने के लिए मुख्य पैरामीटर नीचे सूचीबद्ध हैं।

1.-श्रृंखला श्रृंखला में निहित नियमों को सूचीबद्ध करती है। नाम रिज़ॉल्यूशन को अक्षम करने के लिए -n विकल्प के साथ उपयोग किया जाता है (उदाहरण के लिए, iptables -n -L INPUT आने वाले पैकेट के नियमों को प्रदर्शित करता है)।

2.-एन चेन एक नई चेन बनाता है। आप कई उद्देश्यों के लिए नई श्रृंखला बना सकते हैं, जिसमें एक नई नेटवर्क सेवा का परीक्षण करना या नेटवर्क हमले को रद्द करना शामिल है।

3. -X श्रृंखला खाली और अप्रयुक्त श्रृंखला को हटाती है (उदाहरण के लिए, iptables -X ddos-attack)।

4.-एक श्रृंखला नियम किसी दिए गए श्रृंखला के अंत में एक नियम जोड़ता है। याद रखें, नियमों को ऊपर से नीचे तक संसाधित किया जाता है, नियमों को जोड़ते समय इस क्षण पर विचार करना न भूलें।

5. -I श्रृंखला rule_number नियम निर्दिष्ट संख्या के साथ नियम से पहले नियम सम्मिलित करता है। -एक विकल्प के साथ, चेन में नए नियमों को दर्ज करते समय प्रसंस्करण आदेश पर विचार करें।

6. -D श्रृंखला rule_number (या -D श्रृंखला नियम) श्रृंखला में नियम को हटाता है; पहला सिंटैक्स इंगित करता है कि एक निश्चित संख्या वाले नियम को हटा दिया जाना चाहिए (iptables -L --line-numbers कमांड नियम संख्याओं को प्रदर्शित करता है), और दूसरा नियम को इसके सार द्वारा हटाए जाने की पहचान करता है।

7. -एफ श्रृंखला श्रृंखला को रीसेट करती है (इसके सभी नियमों को हटाती है)। उदाहरण के लिए, आउटगोइंग पैकेट से जुड़े सभी नियमों को हटाने के लिए, आप iptables -F OUTPUT कमांड दर्ज करेंगे। यदि कोई श्रृंखला निर्दिष्ट नहीं है, तो तालिका के सभी नियम हटा दिए जाते हैं।

8.-चेन एक्शन किसी दिए गए चेन के लिए डिफॉल्ट एक्शन या "पॉलिसी" को परिभाषित करता है। कृपया ध्यान दें: यह नीति केवल मानक सर्किट पर लागू है। डिफ़ॉल्ट रूप से सभी इनबाउंड ट्रैफ़िक को निकालने के लिए, आपको iptables -P INPUT DROP कमांड जारी करना होगा।

नियम

: -j _. , ( ) , , , .

-p IP-. tcp, udp, icmp icmpv6. TCP- --source-port --destination-port .

. , -p « , , ». .

-s -s / (source) . , -d -d / (destination).
-i , ; -o — , .

--state ( ipt_ conntrack ). NEW , , ESTABLISHED , , RELATED , , ( ftp- FTP).

iptables ip6tables, . , , — , .
, IP- 10.0.1.5 31.13.74.0/24 C , :

# iptables -A INPUT -s 10.0.1.5 -j DROP # iptables -A INPUT -s 31.13.74.0/24 -j DROP # iptables -n -L INPUT Chain INPUT (policy ACCEPT) target prot opt source destination DROP all -- 10.0.1.5 0.0.0.0/0 DROP all -- 31.13.74.0/24 0.0.0.0/0 

एक अन्य iptables कमांड का उपयोग अक्सर किसी विशिष्ट सेवा या पोर्ट के लिए नेटवर्क ट्रैफ़िक की अनुमति देने के लिए किया जाता है। उपयोगकर्ताओं को SSH, HTTP और IMAP से कनेक्ट करने में सक्षम करने के लिए, आपको निम्न कमांड चलाने होंगे:

 # iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT # iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT # iptables -A INPUT -m state --state NEW -p tcp --dport 143 -j ACCEPT # iptables -n -L INPUT Chain INPUT (policy ACCEPT) target prot opt source destination DROP all -- 10.0.1.5 0.0.0.0/0 DROP all -- 31.13.74.0/24 0.0.0.0/0 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:143 

अच्छे कंप्यूटर स्वच्छता का नियम पुराने और अनावश्यक नियमों को साफ करना है। Iptables नियम को हटाने का सबसे आसान तरीका नियमों को पंक्ति संख्या द्वारा संदर्भित करना है, जिसे आप --line- संख्या पैरामीटर का उपयोग करके प्राप्त कर सकते हैं। सावधान रहें: जब आप एक नियम को रीसेट करते हैं, तो श्रृंखला के सभी बाद के नियम फिर से बनाए जाएंगे।

 # iptables -n -L INPUT --line-numbers Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP all -- 10.0.1.5 0.0.0.0/0 2 DROP all -- 31.13.74.0/24 0.0.0.0/0 3 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22 4 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 5 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:143 # iptables -D INPUT 2 # iptables -D INPUT 1 # iptables -n -L INPUT --line-numbers Chain INPUT (policy ACCEPT) num target prot opt source destination 1 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22 2 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 3 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:143 

ऊपर वर्णित सामान्य स्थितियों के आधार पर अधिक विशिष्ट स्थितियां मौजूद हैं। अधिक जानकारी के लिए iptables (8) और ip6tables (8) मैनुअल देखें।

नियम बनाएं

प्रत्येक नए नियम में iptables या ip6tables के लिए एक कॉल की आवश्यकता होती है। इन आदेशों को मैन्युअल रूप से दर्ज करना थकाऊ हो सकता है, इसलिए कॉल को आमतौर पर एक स्क्रिप्ट में संग्रहीत किया जाता है, और नतीजतन, सिस्टम को कंप्यूटर बूट के साथ हर बार समान रूप से कॉन्फ़िगर किया जाता है। यह स्क्रिप्ट हाथ से लिखी जा सकती है, लेकिन आप इसे उच्च स्तरीय उपकरण जैसे fwbuilder के साथ तैयार करने में भी रुचि ले सकते हैं।

 # apt install fwbuilder 

सिद्धांत सरल है। पहले चरण में, उन सभी तत्वों का वर्णन करें जो नए नियमों में शामिल होंगे:

1. फ़ायरवॉल अपने नेटवर्क इंटरफेस के साथ ही;

2. आईपी पते की उचित श्रेणियों के साथ नेटवर्क;

3. सर्वर;

4. सर्वर पर होस्ट की गई सेवाओं से संबंधित पोर्ट।

फिर सरल खींचें और ड्रॉप क्रियाओं का उपयोग करके नियम बनाएं, जैसा कि अंजीर में दिखाया गया है। 7.2। कई संदर्भ मेनू एक स्थिति को बदल सकते हैं (उदाहरण के लिए, इसे अस्वीकार करें)। फिर आपको कार्रवाई का चयन और कॉन्फ़िगर करने की आवश्यकता है।


IPv6 के लिए, आप या तो IPv4 और IPv6 के लिए दो अलग-अलग नियम बना सकते हैं, या सिर्फ एक बना सकते हैं और fwbuilder को ऑब्जेक्ट्स को दिए गए पतों के अनुसार नियमों का अनुवाद करने दें।

Fwbuilder टूल एक स्क्रिप्ट बनाएगा जो आपके द्वारा परिभाषित नियमों के अनुसार फ़ायरवॉल को कॉन्फ़िगर करता है। इसकी मॉड्यूलर वास्तुकला आपको विभिन्न प्रणालियों के लिए स्क्रिप्ट उत्पन्न करने की अनुमति देती है, जिसमें लिनक्स के लिए iptables, FreeBSD के लिए ipf और OpenDD के लिए pf शामिल हैं।

हर बूट के लिए नियम तय करना

हर बार जब मशीन बूट करती है तो फ़ायरवॉल नियमों को लागू करने के लिए, आपको फ़ाइल / etc / नेटवर्क / इंटरफेस के ऊपर निर्देश में कॉन्फ़िगरेशन स्क्रिप्ट को पंजीकृत करने की आवश्यकता होती है। निम्न उदाहरण में, स्क्रिप्ट को /usr/local/etc/arrakis.fw में संग्रहीत किया जाता है।

 auto eth0 iface eth0 inet static address 192.168.0.1 network 192.168.0.0 netmask 255.255.255.0 broadcast 192.168.0.255 up /usr/local/etc/arrakis.fw 

यह उदाहरण मानता है कि आप नेटवर्क इंटरफेस को कॉन्फ़िगर करने के लिए ifupdown पैकेज का उपयोग कर रहे हैं। यदि आप कुछ और उपयोग कर रहे हैं (नेटवर्क मैनजर या सिस्टमड-नेटवर्कड कहते हैं), तो इंटरफ़ेस शुरू करने के बाद स्क्रिप्ट को निष्पादित करने के तरीके के बारे में जानने के लिए उपयुक्त दस्तावेज देखें।

7.5। निगरानी और लॉगिंग

गोपनीयता और डेटा सुरक्षा सुरक्षा के महत्वपूर्ण पहलू हैं, लेकिन सेवाओं की उपलब्धता सुनिश्चित करना भी उतना ही महत्वपूर्ण है। एक व्यवस्थापक और सुरक्षा विशेषज्ञ के रूप में, आपको यह सुनिश्चित करना चाहिए कि सब कुछ ठीक से काम करता है, और आपकी जिम्मेदारी समय पर असामान्य व्यवहार और सेवाओं के बिगड़ने की पहचान करना है। निगरानी और लॉगिंग सॉफ़्टवेयर सुरक्षा के इस पहलू में एक महत्वपूर्ण भूमिका निभाता है, जो सिस्टम और नेटवर्क में क्या हो रहा है, इसकी समझ प्रदान करता है।

इस खंड में, हम कई उपकरणों को देखेंगे, जिनका उपयोग काली प्रणाली के कई पहलुओं की निगरानी के लिए किया जा सकता है।

लॉगचेक के साथ लॉग की निगरानी

लॉगचेक डिफ़ॉल्ट रूप से हर घंटे लॉग फाइलों की निगरानी करता है और आगे के विश्लेषण के लिए ई-मेल संदेशों को गैर-मानक लॉग संदेश भेजता है।

मॉनिटर की गई फ़ाइलों की सूची को /etc/logcheck/logcheck.logfiles पर संग्रहीत किया जाता है। यदि /etc/rsyslog.conf फ़ाइल को पूरी तरह से पुनर्निर्माण नहीं किया गया है, तो डिफ़ॉल्ट मान ठीक से काम करेगा।

लॉगचेक प्रोग्राम विभिन्न स्तरों के विवरण का उपयोग करके रिपोर्ट कर सकता है: पैरानॉयड (पैरानॉयड), सर्वर (सर्वर) और वर्कस्टेशन (वर्कस्टेशन के लिए)। पैरानॉयड मोड बहुत वर्बोज़ है और शायद फ़ायरवॉल जैसे विशिष्ट सर्वर तक सीमित होना चाहिए। सर्वर मोड का उपयोग डिफ़ॉल्ट रूप से किया जाता है और इसे अधिकांश सर्वरों के लिए अनुशंसित किया जाता है। वर्कस्टेशन मोड स्पष्ट रूप से वर्कस्टेशन के लिए डिज़ाइन किया गया है और बेहद संकुचित है, अन्य "भाइयों" की तुलना में अधिक संदेशों को फ़िल्टर करता है।

यदि आप लंबे समय तक अपंजीकृत ईमेल के प्रति घंटा बैचों को प्राप्त नहीं करना चाहते हैं, तो तीनों मामलों में, लॉगचेक को संभवतः अतिरिक्त संदेशों (स्थापित सेवाओं के आधार पर) को बाहर करने के लिए कॉन्फ़िगर किया जाना चाहिए। चूंकि संदेश चयन तंत्र जटिल है, इसलिए फ़ाइल /usr/share/doc/logcheck-database/README.logcheck-database.gz को कठिनाइयों के मामले में पढ़ा जाना आवश्यक है।

लागू नियमों को कई प्रकारों में विभाजित किया जा सकता है:

1. जो लोग संदेश को हैकिंग प्रयास के रूप में योग्य करते हैं (/etc/logcheck/cracking.d/ निर्देशिका में एक फ़ाइल में संग्रहीत);

2. अनदेखा हैकिंग प्रयास (/etc/logcheck/cracking.ignore.d/);

3. जो संदेश को सुरक्षा चेतावनी के रूप में वर्गीकृत करते हैं (/etc/logcheck/violations.d/);

4. अनदेखा किया गया सुरक्षा चेतावनी (/etc/logcheck/violations.ignore.d/);

5. अंत में, वे जो अन्य संदेशों पर लागू होते हैं (सिस्टम ईवेंट के रूप में व्यवहार किए जाते हैं)।

मैसेज को इग्नोर करने के लिए ign.d.d फाइल का इस्तेमाल किया जाता है। उदाहरण के लिए, हैकिंग प्रयास या सुरक्षा चेतावनी के रूप में चिह्नित एक संदेश (एक नियम के रूप में, /etc/logcheck/violations.d/myfile में संग्रहीत) केवल /etc/logcheck/ignolations.ignore.d/myfile में एक नियम द्वारा अनदेखा किया जा सकता है या फ़ाइल /etc/logcheck/changes.ignore.d/myfile- एक्सटेंशन में।

एक सिस्टम ईवेंट को हमेशा रिपोर्ट किया जाता है, जब तक कि किसी एक डायरेक्टरी /etc/logcheck/ignore.d.किंग्सपेरानॉइड, सर्वर, वर्कस्टेशन} में से किसी एक में नियम का पालन नहीं होता है। बेशक, केवल उन कैटलॉगों पर विचार किया जाता है जिनके विस्तार का स्तर चयनित ऑपरेटिंग मोड के बराबर या उससे अधिक है।

वास्तविक समय गतिविधि की निगरानी

शीर्ष इंटरैक्टिव टूल उन प्रक्रियाओं की एक सूची प्रदर्शित करता है जो वर्तमान में चल रही हैं। डिफ़ॉल्ट सॉर्ट वर्तमान प्रोसेसर लोड पर आधारित होता है और इसे कुंजी पी का उपयोग करके प्राप्त किया जा सकता है। अन्य अनुदेश सॉर्टिंग में कब्जे वाली मेमोरी (कुंजी एम), कुल प्रोसेसर समय (कुंजी टी) और प्रक्रिया पहचानकर्ता (कुंजी एन) द्वारा छंटनी होती है। कुंजी कश्मीर दर्ज किए गए पहचानकर्ता के साथ प्रक्रिया को समाप्त करता है। कुंजी आर प्रक्रिया की प्राथमिकता को बदल देती है।

जब कोई प्रणाली अतिभारित लगती है, तो शीर्ष यह देखने के लिए एक बढ़िया उपकरण है कि कौन सी प्रक्रियाएँ CPU समय के लिए प्रतिस्पर्धा कर रही हैं या बहुत अधिक मेमोरी का उपभोग कर रही हैं। इसलिए, यह जांचना दिलचस्प है कि संसाधनों का उपभोग करने वाली प्रक्रियाएं वास्तविक सेवाओं से मेल खाती हैं जिन्हें कंप्यूटर पर होस्ट किया जाना चाहिए। Www-data की तरह काम करने वाली एक अज्ञात प्रक्रिया को वास्तव में सूची से बाहर खड़ा होना चाहिए और इसका अध्ययन किया जाना चाहिए, क्योंकि यह सबसे अधिक संभावना है कि एक वेब अनुप्रयोग में भेद्यता का उपयोग करके सिस्टम पर स्थापित और चल रहा है।

शीर्ष उपकरण बहुत लचीला है, और इसके मैनुअल में विस्तृत जानकारी है कि इसके इंटरफ़ेस को कैसे अनुकूलित किया जाए और इसे आपकी व्यक्तिगत आवश्यकताओं और आदतों के अनुकूल बनाया जाए।

सूक्ति-प्रणाली-मॉनीटर ग्राफिकल टूल शीर्ष के समान है और मोटे तौर पर समान कार्य प्रदान करता है।

»पुस्तक की अधिक जानकारी प्रकाशक की वेबसाइट पर पाई जा सकती है
» सामग्री
» अंश

लिनक्स - लिनक्स के लिए कूपन पर 20% की छूट