Nociones basicas de seguridad en GNU/Linux Victor Leonel Orozco López Presentacion elaborada a partir del material de: Rene Mayorga - Debian-sv.

Presentación del tema: "Nociones basicas de seguridad en GNU/Linux Victor Leonel Orozco López Presentacion elaborada a partir del material de: Rene Mayorga - Debian-sv."— Transcripción de la presentación:

1 Nociones basicas de seguridad en GNU/Linux Victor Leonel Orozco López Presentacion elaborada a partir del material de: Rene Mayorga - Debian-sv

2 ¿Quien soy? ● En el software libre ● Usuario GNU/Linux desde 2003 (cualquiera que se imaginen) ● Tiempo completo desde 2006 (Gentoo) ● Administrador de sistemas desde el 2006 ● En software ● Certificado por tata consulting services como DBA en oracle ● Desarollo de aplicaciónes en J2EE desde el 2008 ● Experimentando siempre con free software (solaris, bsd y lo que venga) ● Miembro de lugusac, slgt y fundador del grupo de usuarios Linux de San Marcos ● Adicto a la cafeina, rss y la buena musica

3 Agenda ● ¿Que es GNU/Linux? ● ¿Es importante? ● Principios de seguridad ● Algunos consejos

4 GNU/Linux ● Sistema operativo ● Utilidades ● Un sistema libre inspirado en UNIX ● Cuatro libertades (compartir, estudiar, modificar y redistribuir)

5 Es importante ● Empresas como: – Google – Yahoo – Wordpress – Hi5 ● Todas estas empresas dan fe de que esto no es asi, incluso uds. podrian estar utilizando software libre

6 Asegurar al 100% un servidor ● ¿Como asegurar al 100% un servidor? – ¿Ideas?

7 Asegurar al 100% un servidor ● ¿Como asegurar al 100% un servidor? – ¿Ideas? ● Facil!!!. Desconectando el cable de energia y asegurandolo dentro de una caja fuerte.

8 Asegurar al 100% un servidor ● ¿Como asegurar al 100% un servidor? – ¿Ideas? ● Facil!!!. Desconectando el cable de energia y asegurandolo dentro de una caja fuerte. – Y aun asi podrian penetrar la caja y robar nuestra información

9 Principios de seguridad ● Principio # 0 ● Siempre seremos blanco de ataque.

10 Principios de seguridad ● Principio # 0 ● Siempre seremos blanco de ataque. – botnets – zombies – pr0n, ancho de banda

11 Principios de seguridad ● Principio # 1 ● El sistema operativo es tan seguro como nosotros querramos.

12 Principios de seguridad ● Principio # 1 ● El sistema operativo es tan seguro como nosotros querramos. – Pero hay sistemas que no ayudan ;). FacilidadSeguridad

13 Principios de seguridad ● Principio # 2 ● Pensar siempre en el *que necesito que haga* no que software voy a utilizar

14 Principios de seguridad ● Principio # 2 ● Pensar siempre en el *que necesito que haga* no que software voy a utilizar – Por ejemplo NO necesito chat, musica o ¿entorno grafico?, solo necesito que el software funcióne. – Los sistemas base y distribuciones normales son buena opción (debian, red hat)

15 Principios de seguridad ● Principio # 3 ● Nunca esta de más particionar

16 Principios de seguridad ● De lo comodo a lo incomodo / (raiz)

17 Principios de seguridad ● De lo comodo a lo incomodo / (raiz) /home /usr /tmp

18 ¿Porque? ● ¿Ideas?

19 ¿Porque? ● ¿Ideas? – Se propaga menos el daño – Mejor control – Para eso se hicieron las particiones – CONTROL DE PERMISOS

20 ¿Porque? ● ¿Ideas? – Se propaga menos el daño – Mejor control – Para eso se hicieron las particiones – CONTROL DE PERMISOS

21 Permisos ● ¿Que son?

22 Permisos ● Permisos=¿Quien hace que? ● ¿Quien? ● Usuarios ● Grupo ● Otros ● ¿Que? ● Leer ● Escribir ● Ejecutar

23 ¿Entonces como segmento? ● Proteger al usuario de si mismo /home * Escribir * Modificar * NO ejecutar

24 ¿Entonces como segmento? ● Proteger al sistema del administrador /home * Escribir * Modificar * NO ejecutar /usr * Solo deberia Ser posible MIENTRAS INSTALAMOS

25 ¿Entonces como segmento? ● Proteger al sistema del administrador /home * Escribir * Modificar * NO ejecutar /usr * Solo deberia Ser posible MIENTRAS INSTALAMOS /tmp * CUALQUIERA TIENE PERMISO * La preferida de Los hackers *NO ejecutar

26 ¿Entonces como segmento? ● Proteger al sistema del administrador /home * Escribir * Modificar * NO ejecutar /usr * Solo deberia Ser posible MIENTRAS INSTALAMOS /tmp * CUALQUIERA TIENE PERMISO * La preferida de Los hackers *NO ejecutar /var * Similar a la Anterior * El sistema SI Necesita escribir *NO ejecutar

27 Lo que logre ● Proteger al usuario de si mismo ● Proteger las rutas importantes para que los hackers no modifiquen ejecutables o reemplacen los existentes (ro) ● La idea es que solo el administrador pueda administrar y editar este esquema DE MANERA TEMPORAL

28 Software recomendado ● Planificar antes de instalar e instalar SOLO LO ESTRICTAMENTE NECESARIO

29 Algunos consejos ● Mis usuarios son una de mis mayores amenazas

30 Algunos consejos ● Mis usuarios son una de mis mayores amenazas – Cracklib para que el usuario no utilice contraseñas sencillas

31 Algunos consejos ● Mis usuarios son una de mis mayores amenazas – Cracklib para que el usuario no utilice contraseñas sencillas – De ser posible (y si el $$$ lo permite) utilizar kerberos

32 Algunos consejos ● Mis malas practicas tambien son una amenaza

33 Algunos consejos ● Mis malas practicas tambien son una amenaza – /etc/passwd el esqueleto de usuarios

34 Software recomendado ● Mis malas practicas tambien son una amenaza – /etc/passwd el esqueleto de usuarios ● Hay usuarios que no necesitan shell ● /bin/false

35 Software recomendado ● Mis malas practicas tambien son una amenaza – /etc/passwd el esqueleto de usuarios ● Hay usuarios que no necesitan shell ● /bin/false – No necesito superpoderes 24/7

36 Algunos consejos ● Mis malas practicas tambien son una amenaza – /etc/passwd el esqueleto de usuarios ● Hay usuarios que no necesitan shell ● /bin/false – No necesito superpoderes 24/7 ● No solo ROOT puede administrar

37 Algunos consejos ● Mis malas practicas tambien son una amenaza – /etc/passwd el esqueleto de usuarios ● Hay usuarios que no necesitan shell ● /bin/false – No necesito superpoderes 24/7 ● No solo ROOT puede administrar ● adm puede revisar status y yo puedo ser parte de adm

38 Algunos consejos ● Mis malas practicas tambien son una amenaza – /etc/passwd el esqueleto de usuarios ● Hay usuarios que no necesitan shell ● /bin/false – No necesito superpoderes 24/7 ● No solo ROOT puede administrar ● adm puede revisar status y yo puedo ser parte de adm ● Tener cuidado a quien dejo en wheel

39 Algunos consejos ● Cuidar mi acceso remoto, puede ser de dos filos

40 Algunos consejos ● Cuidar mi acceso remoto, puede ser de dos filos – Cambiar el puerto no funcióna (nmap)

41 Algunos consejos ● Cuidar mi acceso remoto, puede ser de dos filos – Cambiar el puerto no funcióna (nmap) – No permitir root por ssh, para eso es mejor estar frente a la pc

42 Algunos consejos ● Cuidar mi acceso remoto, puede ser de dos filos – Cambiar el puerto no funcióna (nmap) – No permitir root por ssh, para eso es mejor estar frente a la pc – Timeout considerable

43 Algunos consejos ● Cuidar mi acceso remoto, puede ser de dos filos – Cambiar el puerto no funcióna (nmap) – No permitir root por ssh, para eso es mejor estar frente a la pc – Timeout considerable – SOLO v2 ssh (jamas ssh 1, mucho menos telnet)

44 Algunos consejos ● Si tengo sospecha revisar siempre: – Los procesos (ps -fea) – Los puertos (netstat -ptua) – Cualquier cosa reciente (who, history), la paranoia a veces es buena

45 Algunos consejos ● Aislar cuando sea posible

46 Algunos consejos ● Aislar cuando sea posible – Jails (jaulas) de chroot

47 Algunos consejos ● Aislar cuando sea posible – Jails (jaulas) de chroot – Virtualización (lo que esta de moda)

48 Software ● Script kiddies – fail2ban – sshguard – scponly – samhain – syslog

49 Algo más ● Firewalls ● Tcpwrappers ● Backups ● Ldap, radius, kerberos ● Etc.

50 Gracias :D ● ¿Dudas, comentarios, sugerencias? – Blog: http://tuxtor.shekalug.orghttp://tuxtor.shekalug.org – Mail: tuxtor@shekalug.orgtuxtor@shekalug.org ● Esta licencia se encuentra bajo una licencia libre (GFDL v2) en – http://tuxtor.shekalug.org/talks http://tuxtor.shekalug.org/talks – Información: http://www.gnu.org/copyleft/fdl.htmlhttp://www.gnu.org/copyleft/fdl.html