Archiv verlassen und diese Seite im Standarddesign anzeigen : Linux Distributionen und Sicherheit
linux_freund
11.01.06, 15:38
Hi,
ich probiere mich mal kurz zu fassen :-)
Bei mir in der Firma läuft gerade ein kleiner Wettbewerb. Man soll einen Server unter Linux aufsetzen, welcher bestimmte Dienste Installiert haben soll (DHCP, DNS, Samba als PDC, Apache und Mailserver). Die Server soll im laufe des Projektes Angriffen ausgesetzt werden und es soll versucht werden auf das System zugriff zu bekommen und eine best. Datei Auszulesen und eine weitere Datei zu hinterlegen.
Des weiteren soll eine Gegengruppe nacher für 30 min Rootzugriff bekommen und das System verändern dürfen, aber es darf keine Datei gelöscht werden höchstens verändert.
Ich habe mir jetzt schon gedanken gemacht, welche Distribution man nehmen könnte. Ich weiß das die Gegenpartei wahrscheinlich Fedora Core einsetzen wird und werde ich diese Distribution wohl nicht nutzen um einen kleinen Vorteil zu haben. Kann mir jemand von euch eine gute und sichere Distribution empfehlen. Suse möchte ich übrigens auch nur ungern nehmen. Die Sicherheit ist vorallem sehr wichtig.
Meine zweite Frage währe wie man am besten ein System nach einen lädierten Zustand wieder zurück in den Grundzustand bekommt.
Eine weitere Bedingung ist, dass wir von unseren Servern aus keinen direkten Zugang zum Internet bekommen, daher müsste man eine Distribution wählen wo schon viel auf den CDs aktuelles enthalten ist, weil man sonst andauernd mit Rohlingen hin und her die Daten Transportieren müsste, weil man ja auch keine Auto Update Funktionen von den Distries verwenden könnte.
vielleicht ein debian, oder bsd... gentoo dürfte dir bestimmt zulange dauern oder? :cool:
na wenns um sicherheit geht dann wird wohl openbsd das beste sein:
zitat von www.openbsd.org: "Only one remote hole in the default install, in more than 8 years!"
spricht ja wohl für sich
fürs zurücksetzen: iso-image von festplatte machen... das kannst dann immer wieder zurückspielen... wenn du eine kleine partition wählst geht das auch nicht so arg lang.
linux_freund
11.01.06, 16:17
Danke erstmal für die schnelle Antwort, dass bin ich sonst in diesem Forum nicht so gewohnt *positiv überrascht*
OpenBSD ist ja Unix. Wie ist das denn mit Paketen dafür und die Komplexität der dazugehörigen Installation? Also bräuchte ja aufjedenfall
Bind
Samba
Apache
Postfix
Gibts diese Pakete als so eine Art RPM für OpenBSD? Wie ist das denn mit Zugriff auf den Samba Server? Als Bedingung war noch gegeben, dass die Mobilen Mitarbeiter auf den Samba Zugreifen können. Kann man sowas generell nur mit VPN sicher lösen oder kennt ihr da noch andere Verfahren?
OpenBSD kann man ja auch der offiziellen Website nur bestellen. Kann man das auch irgendwo runterladen (inoffi...)?
Gentoo fande ich jetzt nicht schlecht nur hab ich gelesen, dass es sehr aufwändig zu installieren ist wegen der schlechten Hardwareunterstützung.
Hi,
OpenBSD kann man ja auch der offiziellen Website nur bestellen. Kann man das auch irgendwo runterladen (inoffi...)?
ich hoffe was die Systemsicherheit betrifft bist du aufmerksamer:
http://www.openbsd.org/ftp.html
Ja, die "Standardsachen" gibts für Openbsd mit Sicherheit alle.
EDIT: BSD hat eine sogenannte Ports-Collection, das ist sogar noch eleganter als RPM.
Gentoo fande ich jetzt nicht schlecht nur hab ich gelesen, dass es sehr aufwändig zu installieren ist wegen der schlechten Hardwareunterstützung.
Schlechte Hardwareunterstützung? Vielleicht solltest du auch mal etwas genauer lesen bevor du irgendetwas schreibst, von dem du offenbar keine Ahnung hast.
Sorry, aber die Hälfte deines Posts ist Quark.
baumgartner
11.01.06, 16:43
bezüglich Fileänderungen:
es gibt ein perlmodul welches Informationen über dateisystemänderung vom kernel ausliest.
Dies könntest du mitloggen und danach sofort feststellen welche Dateien verändert wurden.
OS würde ich dir dann Debian empfehlen.
Achja, es gibt noch nette programme die offene ports faken, mit denen kann man dann noch etwas verwirrung sorgen bei solchen sachen. :)
linux_freund
11.01.06, 16:48
Ruhig Blut! Jetzt mutier hier mal nicht zum Troll.
Also ich habe jetzt nur auf die Informationen von Wikipedia in diesem fall zurück gegriffen:
"Um Gentoo zu installieren, sollte man fundiertes Wissen über seine Hardware und über GNU/Linux mitbringen oder zumindest entsprechend Zeit, um die ausführliche Dokumentation zu lesen."
Mit Hardwareunterstützung meine ich, dass es relativ aufwendig ist die Hardware einzurichten und nicht fehlende Treiber!
Also ich habe gerade mal auf OpenBSD nachgeschaut und es stimmt das man das dort runterladen kann. Ich schwöre aber das ich vor gut einen halben Jahr oder länger mal auf OpenBSD.org war und da stand, dass man OpenBSD auf der offiziellen Seite nur bestellen könnte. Dies würde gemacht werden um halt ein bischen Geld reinzubekommen.
linux_freund
11.01.06, 17:57
Mal noch eine Frage. Was ist eigenlich mit Ubuntu als Distri? Hab gerade gelesen, dass die auch auf Servern installiert wird. Dachte immer es wäre eine ausschließliche Desktop Distri. Ist Ubuntu sicher für die Anforderungen die ich erwähnt habe?
Der Gestreifte
11.01.06, 18:06
Ist Ubuntu sicher für die Anforderungen die ich erwähnt habe?Wenn Du schon debian stable im Auge hattest, bist Du damit eher auf der sicheren Seite, von wegen ausgetestete Software vs neue, "ungetestete".
Ich meine mal gelesen zu haben, dass sich das hier (http://www.debian.org/doc/manuals/securing-debian-howto/) auch auf ubuntu anwenden lässt.
Was ist mit Trustix (http://www.trustix.org) oder Adamantix (http://www.adamantix.org)
Beides auf Sicherheit ausgelegte Distributionen.
OpenBSD hätte sicher den Vorteil, dass deine Gegner in der halben Stunde wohl erstmal gucken müssen was da wie läuft.
Davon ab halte ich es aber für sehr schwer bis unmöglich bei einer aktuellen Distribution von außen Rootrechte zu erlangen. Egal was man da jetzt nimmt.
Das fehlende Internet ist schon übel da wird man wohl ums manuelle herunterladen von Patches und das Brennen von CDs nicht herumkommen.
Den Sinn des Ganzen sehen ich noch nicht so ganz.
ThorstenHirsch
11.01.06, 18:12
Also wenn Du nen sicheren Rechner bauen willst, dann reicht es nicht mal ansatzweise, sich für die Distribution zu entscheiden, die eine halbwegs sichere Grundkonfiguration hat. Eine viel größere Rolle spielt die Konfiguration der bereitgestellten Dienste. Informiere Dich lieber hier etwas ausgiebiger, als dass Du jetzt stundenlang darüber diskutierst, ob Ubuntu oder Suse die bessere Wahl ist - denn abgesehen von den Pflichtdiensten, wirst Du ja hoffentlich eh alles ausschalten - womit die Grundkonfiguration/Wahl der Distribution fast schon egal ist.
Ich würde ein möglichst abgedrehtes Linux benutzen, zum Beispiel gobolinux. In 30 Minuten schauen die da nicht durch.
Wenn die SElinux bei fc ordentlich anwenden, werdet ihr es ganz schön schwierig haben. Adamantix, ein gehärtetes Debian, wäre auch eine Überlegung wert. Hat auf jedenfall den coolsten Namen :)
ThorstenHirsch
11.01.06, 18:33
security by obscurity :rolleyes:
...naja, in einem zeitlimitiertem Szenario sind die Vorteile nicht von der Hand zu weisen.
linux_freund
11.01.06, 18:56
Danke nochmal für Eure angagierte Teilnahme!
Also ich habe gerade nochmal die Aufgabenstellung gelesen und da stand, dass man als OS Linux verwenden muss. Also kann ich dann OpenBSD wohl nicht nehmen und muss mir eine Linuxdistribution herraussuchen.
es gibt ein perlmodul welches Informationen über dateisystemänderung vom kernel ausliest.
Dies könntest du mitloggen und danach sofort feststellen welche Dateien verändert wurden.
Jo danke werde ich dann mal nach schauen. Ich hatte sonst noch überlegt gehabt halt ne Image anzulegen oder ganz dreißt einfach ein Zweites Linux auf den selben Rechner nochmal aufsetzen und so ein Täuschungsbetriebsystem erzeugen.
Wenn die SElinux bei fc ordentlich anwenden, werdet ihr es ganz schön schwierig haben. Adamantix, ein gehärtetes Debian, wäre auch eine Überlegung wert. Hat auf jedenfall den coolsten Namen
Werde mir die Distries mal beide anschauen.
...als dass Du jetzt stundenlang darüber diskutierst, ob Ubuntu oder Suse die bessere Wahl ist - denn...
Ich bin überhaupt kein Freund von SUSE! Mit der Fachmaterie setze ich mich natürlich auseinander, aber wollte erstmal nach einer schon relativ sicheren Grundlage suchen!
Das fehlende Internet ist schon übel da wird man wohl ums manuelle herunterladen von Patches und das Brennen von CDs nicht herumkommen.
Den Sinn des Ganzen sehen ich noch nicht so ganz.
Ja mit dem Internet ist echt übel, deswegen will ich auch eine halbwegskomplette Distri wo ich nicht alles nach Updaten muss. Wir machen das in der Firma als Projekt im Zusammenhang mit der Ausbildung so als kleiner Wettkampf. Mein Chef hat das übrigens mal in der CT gelesen, weil die Uni's das untereinander auch zum Teil machen.
Um nochmal auf Gentoo zurück zukommen. Seht ihr da irgendwelche totalen Vorteile im Gegensatz zu anderen Linux Distries, weil ich Gentoo noch nie ausprobiert habe, deswegen Frage ich.
Warum bist du kein Freund von SUSE? Ansonsten würde ich dir den SLES9 in Verbindung mit SELinux nahe legen. Gibt es als Eval-Version bei Novell zum download.
Kannst in dem Fall auch CentOS nehmen ist auch ein Enterprise Linux auf Basis von RHEL4 aber frei und Kostenlos verfügbar und speziell für Server.
linux_freund
11.01.06, 20:28
Also nichts gegen SUSE und ich finde SUSE auch eigentlich gut und bin froh über jede Konkurenz, welche zu M$ existiert. Nur ist SUSE halt nicht wirklich kostenlos, also keine Frage die Version kannst du Downloaden usw. aber es ist halt ein Unternehmen was logischerweise Gewinn und Umsatz machen will und muss. Also wenn ich Linux professionell einsetzen müsste, also für Firmennetze etc. würde ich wohl auch auf SUSE oder Redhat o.ä. umsteigen.
Ich wüsste jetzt aber auch nicht was SUSE besseres anbietet im Gegensatz zu freien Distries wie Debian, Fedora usw. , also mir fällt jetzt nur der YAST ein und Support. Und für sowas soll man soviel mehr bezahlen? Könnt mich ja mal aufklären falls ich noch was übersehen habe bzw. nicht weiß.
SuSE ist ebenso frei und kostenlos wie andere Distributionen auch.
Die Enterprise-Produkte mal ausgenommen.
linux_freund
11.01.06, 20:47
Ja das meinte ich ja so ungefähr, eben auf die Enterprise Produkte bezogen. Wie ist das denn bei Suse Professionell? Das kostet doch auch Geld mein ich oder?
Im Laden auf DVD mit Handbuch im Karton mit zusätzlicher unfreier Software? Sicher.
SuSE Prof ist und war aber nie SuSE Enterprise.
linux_freund
11.01.06, 21:40
Ach so. Was ist nen für ne unfreie Software bei Suse Prof. bei? Also ich hatte mir mal vor geraumer Zeit mal Suse 9.0 auf DVD bei Ebay ersteigert und fande das Adminhandbuch ja nicht schlecht auch, wenn es ein bisschen oberflächlich war, aber trotzdem sehr lesenswert, aber wenn ich jetzt Suse sehe im Vergleich zu Fedora Core 4 was ich jetzt benutze, dann sehe ich jetzt keinen imensen Nachteil für Fedora Core. Die Grundlegenden Pakete die man doch wirklich braucht (Lampp, Bind, Samba, dhcp, postfix, sendmail oder qmail) sind doch OpenSource. Ob die Updates von Suse jetzt wesentlich schneller und besser sind, als die man sich über YUM installiert kann ich jetzt nicht beurteilen.
Suse ist imho gar keine so schlechte Idee, dieweil Novell den AppArmor dazu packt, mit dem man Zugriffe von aussen weiter einschränken kann.
Diesbezüglich kam vorgestern eine Meldung (http://www.heise.de/newsticker/meldung/68177) auf heise, die auch umschreibt was da passieren soll, oder halt eben nicht.
Da der AppArmor recht unbekannt ist, könnte Er für deine Mitspieler einen netten Stolperstein darstellen.
Ich würde sagen, die Distri ist an sich völlig egal.
Klar kann man eine nehmen, die vom Grundkomzept anders ist (z.B. SOL) - was bei der Zeitbeschränkung auch helfen kann - aber im realen Einsatz wiederum keinen wirklichen Vorteil bringt.
Ansonsten würde ich "wie üblich" auf eine minimale Installation setzen, die nur das nötigste bietet und dann schauen, dass alle Dienste sauber und sicher konfiguriert sind mit den ensprechenden Mitteln (tripwire, snort, iptables, chroot, snare, ids, ...)
Und wenn es ein "Bastelprojekt" werden soll evtl. LFS oder Slackware - da hat man wohl am ehesten die Chance das so zu machen, dass 100% nur gewünschtes auf der Kiste landet...
Und als Editor nur den vi installieren :ugly:
na perfekt - damit kann ja jeder umgehen.
Nimm lieber emacs - ich habe mal verzweifelt 'ne halbe Stunde oder so versucht, das Ding zu beenden (Rechner hatte kein Internet), weil ich mich an die Tastenkombi nicht erinnern konnte... :-)
oder nimm ed - dann kommen sie über das änder eine Konfigdatei nicht hinaus, wenn überhaupt...
Aber es kann schon reichen, vi nur für bestimmte Benutzer ausführbar zu machen oder ihn umzubennen :-)
Ich würde ein möglichst abgedrehtes Linux benutzen, zum Beispiel gobolinux. In 30 Minuten schauen die da nicht durch.
Ja die Idee ist gut. Vor allen wenn man sich an die Unix-verzeichnissstruktur gewöhnt hat :ugly:
Gentoo fande ich jetzt nicht schlecht nur hab ich gelesen, dass es sehr aufwändig zu installieren ist wegen der schlechten Hardwareunterstützung.
Wo hast du bitte diesen Sch*** gelesen?
Ich empfehle Dir tripwire, um nachher festzustellen, welche Files von den Gegnern geaendert wurden...
linux_freund
12.01.06, 21:31
Hi sorry das ich jetzt erst antworte, aber ich hatte heute Abendschule...trotzdem schon mal danke.
Also ich finde die Idee mit Slackware gar nicht so schlecht muss ich sagen. Was mich mal interessieren würde, weil ich mir nicht unbedingt alle möglichen CDs runterladen möchten von der jeweiligen Distri, ob ihr mir z.B. mir sagen könntet wie ich es hinbekommen kann, dass ich ein Debian oder Slackware mit allen benötigten Features bekommen die ich brauche und wenn es geht alles auf einer CD, weil ich brauch ja nicht eine graphische Oberfläche usw.
Das Problem ist halt, dass ich wie erwähnt keine direkte Internetverbindung zur Verfügung habe, daher muss das so gelöst werden, dass ich die hauptsächlich benötigten Service usw. bekomme. Vorallem hab ich auch kein Boch z.B. 10 CDs oder wieviele das jetzt entgültig von Debian sind runterzuladen.
Hi sorry das ich jetzt erst antworte, aber ich hatte heute Abendschule...trotzdem schon mal danke.
Also ich finde die Idee mit Slackware gar nicht so schlecht muss ich sagen. Was mich mal interessieren würde, weil ich mir nicht unbedingt alle möglichen CDs runterladen möchten von der jeweiligen Distri, ob ihr mir z.B. mir sagen könntet wie ich es hinbekommen kann, dass ich ein Debian oder Slackware mit allen benötigten Features bekommen die ich brauche und wenn es geht alles auf einer CD, weil ich brauch ja nicht eine graphische Oberfläche usw.
Das Problem ist halt, dass ich wie erwähnt keine direkte Internetverbindung zur Verfügung habe, daher muss das so gelöst werden, dass ich die hauptsächlich benötigten Service usw. bekomme. Vorallem hab ich auch kein Boch z.B. 10 CDs oder wieviele das jetzt entgültig von Debian sind runterzuladen.
Im Zeitschriftenhandel gibt es ständig Magazine mit CDs und DVDs... Hab selber so ziemliche jede Distri gesaugt... Frag einfach nen Bekannten oder so so ne CD hat man in ca 10 minuten unten, kommt auf Server und Internetverbindung an ;)
linux_freund
12.01.06, 22:48
jepp da hast du recht. Ne ich hab ne 1 MBit DSL Leitung, aber mein Brenner ist leider defekt...ist den Debian trotzdem sicher genug auch wenn ich es nicht übers Internet Updaten kann? Wie ist das bei Slackware und Sicherheit?
Also abgespeckte Varianten von Debian, Slackware oder anderen Distries gibt es also nicht? Also wo halt nur alle typischen Pakete drauf enthalten sind die in den meisten Fällen beim Serveraufbau benötigt werden.
Powered by vBulletin® Version 4.2.5 Copyright ©2024 Adduco Digital e.K. und vBulletin Solutions, Inc. Alle Rechte vorbehalten.