NetVision-Technik - Firewall/fail2ban/rkhunter

NetVision-Technik (http://www.netvision-technik.de/forum/index.php)

- Webserver (http://www.netvision-technik.de/forum/forumdisplay.php?f=9)

- - Firewall/fail2ban/rkhunter (http://www.netvision-technik.de/forum/showthread.php?t=7047)

Firewall/fail2ban/rkhunter

Bonjour ihr lieben..

in diesem TUT gehts um die erstellung einer firewall der installation von fail2ban und rkhunter..

wie die firewall aufgebaut ist dürfte den meisten bekannt sein..

als erstes schecken wir mit :

Code:

iptables -L

die Einstellungen wen noch nichst in der Richtung gemacht wurde sollte es so aussehn.

Code:

*****@****:~# iptables -L

Chain INPUT (policy ACCEPT)  <-- hier stehen die eingänge  (policy ACCEPT)steht dafür das alles offen ist

target     prot opt source               destination



Chain FORWARD (policy ACCEPT)  <-- hier steht der gesteuerte trafik

target     prot opt source               destination



Chain OUTPUT (policy ACCEPT)  <-- hier steht der ausgang 

target     prot opt source               destination

____________

so nun erstellen wir ne firewall mit :

Code:

nano firewall

den aufbau erklär ich jetzt nicht weiter am besten kopiert ihr euch die testfirewall die im anhang ist .(hab euch da die wichtigsten sachen rein gepackt was nicht bebraucht wird einfach rauslöschen oder umbenennen für zb:teamspeak shoutcast usw....

wen ihr soweit seit speichert sie ab geb ihr die rechte die sie brauch mit :

Code:

chmod +x firewall

und kopiert sie mit dem befehl :

Code:

cp firewall /etc/init.d/

damit ihr die firewall bei einem reboot oder so nicht neu starten müssen geb den befehl ein :

Code:

update-rc.d firewall defaults

jetzt starten wir die firewall mit :

Code:

./firewall

wen sie richtig laüft sollte es so aussehen

Code:

Mise à 0

Interdiction

Loopback

Ping ok

SSH ok

dns ok

radio ok

rtorrent ok

ntp ok

http ok

mail ok

teamspeak ok

hier mal meine....

wen ihr jetzt iptables -L ausführt werden alle einstellungen auf gelistet

so dad wars mit der firewall .
-------------------
weiter gehts mit fail2ban

installieren mit :

Code:

apt-get install fail2ban

so jetzt gehn wir in verzeichniss mit :

Code:

cd /etc/fail2ban

und kopieren uns zu erst die jail.conf mit :

Code:

cp jail.conf jail.conf.local

jetzt bearbeiten wir :

Code:

nano jail.conf.local

und stellen dort unseren ssh port ein und wir können unsere email hinterlegen damit wir benachritet werden wen jemand gebant wird

der wichtigste teil ist der hier im normal fal stehen alle sachen auf false um die dienste zu aktivieren stellen wir sie auf true...

Code:

[ssh]



enabled = true  

port    = ******  <--- da muss euer port rein

filter    = sshd

logpath  = /var/log/auth.log

maxretry = 3



# Generic filter for pam. Has to be used with action which bans all ports

# such as iptables-allports, shorewall

[pam-generic]



enabled = false

# pam-generic filter can be customized to monitor specific subset of 'tty's

filter    = pam-generic

# port actually must be irrelevant but lets leave it all for some possible uses

port = all

banaction = iptables-allports

port     = anyport

logpath  = /var/log/auth.log

maxretry = 6



[xinetd-fail]



enabled   = false

filter    = xinetd-fail

port      = all

banaction = iptables-multiport-log

logpath   = /var/log/daemon.log

maxretry  = 2





[ssh-ddos]



enabled = true

port    = ****** <--- da muss euer port rein

filter  = sshd-ddos

logpath  = /var/log/auth.log

maxretry = 6



#

# HTTP servers

#



[apache]



enabled = true

port    = http,https

filter    = apache-auth

logpath = /var/log/apache*/*error.log

maxretry = 6



# default action is now multiport, so apache-multiport jail was left

# for compatibility with previous (<0.7.6-2) releases

[apache-multiport]



enabled   = true

port      = http,https

filter      = apache-auth

logpath   = /var/log/apache*/*error.log

maxretry  = 6



[apache-noscript]



enabled = true

port    = http,https

filter  = apache-noscript

logpath = /var/log/apache*/*error.log

maxretry = 6



[apache-overflows]



enabled = true

port    = http,https

filter  = apache-overflows

logpath = /var/log/apache*/*error.log

maxretry = 2

-------------------------------

[apache-404]

enabled = true

port = https              <-- hier entweder http oder https rein !!

filter = apache-404

logpath = /var/log/apache*/error*.log

maxretry = 10

[apache-admin]                                                                diesen teil erstellen wir selber und fügen ihn hier ein(das sind die filter )

enabled = true 

port = https                <-- hier entweder http oder https rein !!

filter = apache-admin

logpath = /var/log/apache*/error*.log

maxretry = 6

[apache-w00tw00t]

enabled = true

filter = apache-w00tw00t

action = iptables[name=Apache-w00tw00t,port=80,protocol=tcp]

logpath = /var/log/apache2/access*.log

maxretry = 1

-----------------------------------------

#

# FTP servers

so abspeichern...
jetzt gehn wir in den filter ordner mit cd filter.d/

und erstellen die drei filter mit

Code:

nano apache-404.conf

Code:

nano apache-admin.conf

Code:

apache-w00tw00t.conf

filter sind im anhang einfach den jeweiligen rein kopieren und speichern

jetzt fail2ban neustarten mit :

Code:

/etc/init.d/fail2ban restart

und fertig sind wir mit fail2ban

-----------------------

jetzt installieren wir rkhunter

mit

Code:

apt-get install rkhunter

jetzt gehn wir in die datei mit

Code:

nano /etc/default/rkhunter

und schauen ob report_email auf root steht und cron_daily_run auf yes

das wars hoffe hab mich net blöd angestellt ..

mfg

aso als kleines extra könnt euch per email benachritigen lassen wen sich jemand auf ssh schaltet

in der .bashrc

ganz unten den schnipsel rein

Code:

echo ‘Acces SheLL Root’ `who` `date` | mail -s `hostname` Shell Root *****@***.***

Deine Bemühungen in allen Ehren ...
Aber schau dir mal die Formatierungsmöglichkeiten im Editor an ....
Zum Probieren gibt es das Test-Forum. Auch finde ich, das diese Art Tutorials ins Glossar gehören ...

vielmals sry.....

merci für ändern (code blöcke einfügen)

blick da noch net so ganz durch

geb mir nachher beim nächsten mehr mühe

Und schau dir mal die Grundlagen an. Shebang ist keine Sprache, eine shell keine Datei....

Zitat:

Zitat von SP4C3 (Beitrag 78919)

Und schau dir mal die Grundlagen an. Shebang ist keine Sprache, eine shell keine Datei....

stimmt ist geändert

merci

Hi,

danke fürs Tut. Aber möchte dennoch meckern ;)

Anmerkung rkhunter: Sollte nur installiert werden, wenn das System gerade frisch aufgesetzt ist, da es sonst nutzlos ist.

Virenproggi dient auch der Sicherheit, z.B. clamAV

Deine Testfirewall ist totaler Müll, und ich hoffe du hast die nicht im produktiven Einsatz. (diverse DoS Schwachstellen [PoD, Slowloris, ...], IP Spoofing, ...).

Die zusätzlichen fail2ban Filter ergeben irgendwie keinen Sinn. Die Funktion die diese "erfüllen", sollte besser in der Firewall integriert werden.

Was jetzt kommt ist nicht nett und klingt vielleicht hart. Aber mit ein bißchen Lesen und Lernen (~6h), hättest du sehr viel mehr aus dem Tut machen können. Und dann würde es den Usern vielleicht sogar was nutzen. Das was du hier geschrieben hast, schaut mir aus wie eine schnelle Googlesuche.

Zitat:

Zitat von bl0bb (Beitrag 78921)

moin blobb

thanks für die klare aussage nehm das nicht persönlich.....

wie oben schon gesagt muss man sich die firewall ja anpassen die test firewall dient nur als vorlage das man nicht alles selber schreiben muss......

wen sich jemand die mühe nicht machen will kann sie/er auch ne apf-firewall nehmen...

also fail2ban laüft eins A alle logs funktionieren klar kann das in die firewall packen....

das mit dem rkhunter stimmt zum teil,man kan den rkhunter schnell auf den neusten stand bringen mit : rkhunter --propupd

ne schnelle netvision suche war es keine:D

mfg

und thanks noch mal für die direkte antwort .

Da rkhunter über Hashwerte funktioniert, sollte das System schon frisch sein. Sonst werden Rootkits nicht erkannt..., denn du weißt doch nicht ob schon wer auf deinem System spazieren gegangen ist.

Und wie ich schon sagte, deine Testfirewall ist Müll, und sollte damit auch nicht als Vorlage dienen. Ein User der keine Ahnung von IPTables hat, dem nutzt dies eh nichts. Daher wäre APF sicherlich eine Alternative.

Zitat:

Zitat von bl0bb (Beitrag 78923)

Ein User der keine Ahnung von IPTables hat, dem nutzt dies eh nichts. Daher wäre APF sicherlich eine Alternative.

Du hast den nagel auf den kopf getroffen ....

Schönen Sontag noch:biggrin:

Noch ein kuerzer Hinweis.
Das hier vorgestellte ist KEINE! Firewall.
Das ist eher ein reiner Paketfilter, der lokal läuft.
Der Sicherheitsgewinn dadurch ist minimal, bis nicht vorhanden.
Das gilt im übrigen für alle lokal laufenden Paketfilter. Der Sinn einer Firewalllösung unter Windows ist auch primär ein anderer, als der "Ports dicht zu machen"...