Het ZIP is in het leven geroepen om enkele basic controles uit te voeren die onze veiligheid op het internet moeten garanderen. Afgezien van common sense tijdens het gebruik van een servercomputer is het verstandig om ons bijvoorbeeld te wapenen tegen onze crackende broeders. Of onze luisterende broeders. Deze criminelen hebben vele (geautomatiseerde) tools tot hun beschikking, ondanks dat het in Nederland verboden is om dergelijke tools zelfs maar op je computer te hebben staan. Maar ja, crackers kunnen overal ter wereld zitten. Waar kunnen we eigenlijk aangevallen worden? Dat is helaas op meerdere manieren.
- Crackers
Dit is de makkelijkste manier om te proberen. Vrijwel iedereen met een beetje netwerkkennis heeft wel toegang tot het internet. Die kan heel wat op u loslaten, maar u kunt zich er ook heel redelijk tegen wapenen. Zet op uw server gewoon geen poorten open. En controleer degene die u openzet wel nauwkeurig. Let er ook op dat al uw met internet verbonden hardware een password heeft. In onze huidige configuratie staat enkel poort 80 open.
- Internettap
Een internettap (wiki) is een illegale manier om te proberen binnen te komen. Er is ook speciale hardware voor nodig. Zo moet u wel met een password inloggen op uw router, maar als u vervolgens alles via een niet versleutelde verbinding verstuurd dan kunt u er vrijwel zeker van zijn dat het mogelijk is om bijv. passwords te onderscheppen. Dit kan ook door bijv. het wifi radio-signaal te onderscheppen. Die kan dus heel wat afluisteren, maar hier helpt encryptie.
- PING
Allereerst gaat een cracker je computer opzoeken. Ping wordt vooral gebruikt om netwerkverbindingen te controleren. Ping bekijkt of een ipadres of URL bestaat en on-air is en meet vervolgens de tijd die nodig is voor een antwoord van het aangeroepen apparaat. Om ons netwerk te testen doe:
ping 145.132.86.92
Ping is niet erg spectaculair, maar wel erg handig om netwerkverbindingen te testen. Ping bestaat dan ook onder ieder OS en het is zo simpel dat het ook veilig wordt geacht onder ieder OS. Het staat standaard dan ook vrijgegeven op alle apparatuur die ik ken. Maar het wordt ook gebruikt om bestaande IP adressen op te sporen. Ping kan worden uitgezet in onze router, onder DATA / FIREWALL. Doe dit.
- nslookup
Een NameServer lookup laat alle info zien die er bekend is in de nameservers op het internet. Doe:
nslookup robotigs.nl of
nslookup -type=soa robotigs.nl
- nmap
Neem van mij aan dat iedere cracker dit programma kent en het ook zal gebruiken. Hij gaat op die manier bergen informatie verzamelen over uw systeem. Zo gaat hij met:
sudo nmap -O localhost
kijken welke poorten er bij u openstaan. Iedere poort die openstaat geeft hem een potentiële kans op inbreken. Het nummer van de poort vertelt hem precies welk programma er draait en in combinatie met het OS weet hij of hij u kan aanvallen. Des te minder poorten er open staan des te minder risico u loopt. De veiligste weg is dan ook om altijd eerst te kijken op de server zelf wat er aan poorten openstaat en pas daarna te kijken wat de router daarvan ook nog eens doorlaat naar de buitenwereld. Een server heeft altijd poorten openstaan voor inkomend verkeer. Dat wil zeggen dat deze poorten data zullen verwerken als iemand ze daar naartoe stuurt. Het zijn natuurlijk niet de poorten zelf die het dataverkeer verwerken, maar de deamons die daartoe zijn opgestart door de server. De deamons bieden vervolgens een bepaalde service. Dat wil nog niet zeggen dat alle data wordt geaccepteerd, want het kan bij bepaalde service ook noodzakelijk zijn om bijv. te moeten inloggen. Daarom is een goede configuratie van de deamons erg belangrijk. Nmap is een programma dat wordt gebruikt om te kijken welke poorten er open staan op een bepaald IP-adres. Dat is vooral handig voor de systeembeheerder die zich wil wapenen tegen crackers. Des te minder poorten er open staan, des te minder aanvallen er mogelijk zijn. Aan de andere kant is het wel nodig om bepaalde poorten open te zetten, anders is er geen communicatie mogelijk. Maar zet ze gecontroleerd open. Nmap kan via Ubuntu installer worden geïnstalleerd.
- Poorten
De volgende stap die een cracker onderneemt is het bekijken van de poorten. Laten wij dat als eerste doen en zorgen dat er zo min mogelijk poorten openstaan. Laten we bij het begin beginnen en dat is bij de programma s die de poorten openen en de reden waarom ze worden geopend.
- 21/tcp ftp
Deze poort bedient de file transfer protocol aanvragen die binnenkomen via een niet beveiligde aanvraag (wiki). U kunt de status van deze poort controleren met: portprobe. Deze staat open op alle niveaus, dus zowel naar buiten, als binnen het thuisnetwerk alsook op localhost staat deze poort open. En dat willen we ook want dit is de poort waarmee we op afstand onze website kunnen bewerken. Doe nooit anonymus maar altijd dat een gebruiker moet inloggen. Zie ook vsftp set-up.
- 25/tcp smtp
Deze poort bedient de Simple Mail Transfer Protocol aanvragen die binnenkomen via een niet beveiligde aanvraag (wiki) en geeft als status: stealth. Dat is uitstekend.. U kunt de status van deze poort controleren met: portprobe. Deze staat open op alle niveaus, dus zowel naar buiten, als binnen het thuisnetwerk alsook op localhost staat deze poort open. En dat willen we ook want we willen mail kunnen ontvangen en zenden.
- 80/tcp http
Deze poort bedient de Hypertext Transfer Protocol aanvragen die binnenkomen via een niet beveiligde aanvraag (wiki). U kunt de status van deze poort controleren met: portprobe. Deze staat open op alle niveaus, dus zowel naar buiten, als binnen het thuisnetwerk alsook op localhost staat deze poort open. En dat willen we ook want dit is de poort die onze website aanbiedt, oftewel onze internet server. Omdat hij openstaat verdient de configuratie van Apache aandacht m.b.t. tot de veiligheid. Ditzelfde geldt natuurlijk ook voor alle modules van Apache zoals PHP.
- 139/tcp netbios-ssn
Deze poort bedient de Network Basic Input Output System aanvragen die binnenkomen via een niet beveiligde aanvraag (wiki). Dit is te checken met: portprobe en geeft als status: stealth. Dat is uitstekend. Dit is de poort die Samba aanbiedt, oftewel de netwerkschijven. Deze poort zal niet mogen werken voor gebruikers buiten ons lokale netwerk en mag dus ook niet geforward worden via de router. Deze poort is namelijk vatbaar voor een dDos aanval. En die willen we niet. Echter op ons lokale netwerk willen we ook een fileserver hebben waar we centraal bestanden op kunnen wegleggen en back-uppen. Blokken in de router is niet nodig, want hij wordt gewoonweg niet geopend en is dus closed. Kijk ook bij de Samba installatie.
- 445/tcp microsoft-ds
Deze poort bedient de Server Message Block aanvragen die binnenkomen via een niet beveiligde aanvraag (wiki). Dit is te checken met: portprobe en geeft als status: stealth. Dat is uitstekend. Dit is de vernieuwde port voor Samba. Is erg gevoelig voor wormen. Helaas is de poort nodig voor DHCP communicatie binnen een netwerk. Gelukkig heeft de provider hem voor ons van buitenaf geblokkeerd. Zou geen kwaad mogen kunnen omdat dit op een Linux machine draait. Blokken in router geeft zekerheid en is eleganter en gebeurt tegenwoordig dus ook default.
- 631/tcp ipp
Deze poort bedient de Internet Printing Protocol aanvragen die binnenkomen via een niet beveiligde aanvraag (wiki). Dit is te checken met: portprobe en geeft als status: stealth. Dat is uitstekend. Deze poort staat open vanwege cups: http://localhost:631/admin/. Dit staat enkel open op de localhost en wordt dus lokaal gebruikt om prints verzonden te krijgen.
- 5432/tcp postgresql
Deze poort bedient de PostgreSQL aanvragen die binnenkomen via een niet beveiligde aanvraag (wiki). Dit is te checken met: portprobe en geeft als status: stealth. Dat is op zich uitstekend, maar betekend ook dat ik niet van buitenaf met PgAdmin3 kan werken. Beter is dan ook om PgAdmin4 lopend te krijgen, zodat de opening sowieso beperkt kan blijven tot localhost.
|
