Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Linux Autres OS BSD [freebsd] Blinder le systeme

[freebsd] Blinder le systeme

51 réponses
Avatar
MaXX
Bonjour à tous,

Désolé de crossposter, mais je ne parviens pas à choisir le groupe le plus
approprié, merci de placer le suivi dans le bon groupe.

Je compte réinstaller le serveur web du boulot début Juillet afin de patcher
toutes les applications et l'OS en un coup et en profiter pour remettre au
propre mes procédures.

PME de 5 personnes; 2 site web sous apache-2.0.53_1 + squid-2.5.9_3 (2
failles) derrière un pare-feu géré par notre FAI, 4 bases
postgresql-server-7.4.7_2, isc-dhcp3-server-3.0.1.r14_6, pas de serveur
mail, sauvegarde sur DVD-RW tout les 2 jours. L'OS a été mis à jour le 21
avril par un buildworld, mais de nouvelles failles sont apparues depuis.

Une fois que j'aurais tout terminé, j'aimerais faire "une sorte de photo" de
tous les exécutables du système (nom de fichier / hash MD5) et la graver
sur CD afin de vérifier toute les nuits (au pire à intervalle régulier en
fonction du temps nécessaire) qu'il n'y a aucune altération
(rootkit/corruption d'origine suspecte).

Bien que ce soit facile à mettre en place (et détectable) via un crontab, je
me demande si c'est une mesure d' _alerte_ suffisante et si il n'y a pas
quelque chose de plus simple/sur.

L'idée de base est d'être prévenu par mail le plus rapidement possible de
toute modification, quitte à mettre le serveur hors ligne avant qu'il n'ait
pu faire trop de dégâts.

Pour l'instant, cette machine tourne en mode "parano" (kern.securelevel=5),
system accouting activé, j'essaie d'inspecter les logs tout les 2 à 4
jours, mais je ne me sens pas assez à l'aise.

Si quelqu'un peut me donner des informations pour blinder le système...

J'en suis au point de vouloir booter la machine sur un cd live avec
uniquement les données sur le disque dur; quitte à sacrifier qq Mb de
RAM... Bonne idée, perte de temps ou pur délire?

Vos idées, avis, expériences et commentaires sont les bienvenus..

Merci d'avance,

--
MaXX
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
2 3 4 5 6
Avatar
VANHULLEBUS Yvan
(Marc Espie) writes:

In article ,
VANHULLEBUS Yvan wrote:
Nom de fichier + MD5 est aujourd'hui considere comme "leger", meme si
les exploitations concretes sont encore experimentales pour ce que
j'en ai vu (en tout cas pas facilement generalisables).


Concretement, on ne sait pas generer un fichier ayant le meme MD5 qu'un
fichier donne, mais on sait generer deux fichiers de MD5 identique.


Concretement, on sait produire un "executable" (binaire ou script), et
en produire un autre qui fait "globalement la meme chose", qui est
different, et qui a le meme MD5 (si j'ai bien suivi). Par contre, on
ne sait faire ca que si le premier executable est construit d'une
facon bien particuliere, actuellement, ce qui rend le truc
inexploitable "dans la vraie vie du monde du dehors".


[....]
La question qui se pose, c'est la perennite de la chose: MD5 a du plomb
dans l'aile, et peut-etre que la prochaine faille finira de tout casser.
Note que SHA1 n'est pas beaucoup mieux loti, il se pose la question de
savoir par quoi les remplacer...


MD5 a du plomb dans l'aile, et aujourd'hui, mettre en place "n'importe
quoi" qui utilise MD5, c'est un peu idiot (sauf si c'est du HMAC_MD5,
si j'ai bien suivi, parceque HMAC se contrefout de ces problemes de
generations de collisions, toujours si j'ai bien compris, est-ce qu'un
expert en crypto pourrait expliquer pourquoi je viens de dire
n'importe quoi et ce qu'il en est reellement ? :-).

SHA0 est aussi a peu pres dans le meme etat (a peine mieux), SHA1
soupconne (toujours si j'ai bien suivi), et reste a passer a du SHA256
voire du SHA512 (ou du SHA384, mais on m'a aussi explique que c'etait
"un bidouillage" par rapport a SHA512).


Dans le pire des cas, je pense qu'un SHA32768 devrait etre massivement
deploye pour qu'on puisse enfin dormir tranquille quelques mois :-)


A +

VANHU.


Avatar
Michel Arboi
On Fri Jun 24 2005 at 09:12, MaXX wrote:

Tu bosses pour la DST
Je ne travaille pas pour eux...



Si tu travaillais pour eux, tu ne t'en vanterais pas :-]

Mais j'accorde la même importance à une adresse email qu'à un numéro
de carte Visa...


Grosse erreur, à mon humble avis : si l'on veut que la sécurité reste
économique et ne coûte pas plus cher que les attaques, les moyens de
défense doivent être proportionnés à la valeur de ce qu'ils
protègent. Une adresse e-mail ne permet pas de siphonner ton compte en
banque.

je préfère bouffer sur mon temps libre que de me retrouver un jour avec la
liste de nos membres à vendre sur la toile (où le patron qui me fusille)...


C'est un autre problème, pénal celui-ci (protection des données
personnelles). Dit autrement, tu protèges ta liberté, ce qui a un prix
plus élevé que n'importe quel tas de silicium.

Pour moi un exemple simple: Tu t'abonne à une mailing-list respectable, et
la machine qui gère le mailing se fait hacker par un zozo quelconque qui
publie/revend ton mail perso au plus offrant; Tu est heureux de recevoir
des tonnes de crasses tout les jours?


Et si un membre de la respectable liste publie lui même les
coordonnées des adhérents ? Ou envoie son archive personnelle à un
pote moins sérieux ?
Je vais replacer une théorie personnelle (à mon grand âge, on radote).
Les Romains avaient un mince cordon de troupes sur la frontière de
l'Empire. Quand la pression des Barbares s'est accrue, les légions
étaient incapables de les empêcher de franchir la frontière et les
Barbares s'égaillaient dans tout l'Empire.
Je retrouve souvent ce "principe du Limes" : un fortin devant, là où
il y a Internet et les pas-beaux, et des passoires derrière.
La "défense en profondeur", il n'y a que ça qui marche.
Tu ne laisses pas trainer ton adresse e-mail ? Bien. Mais sois prêt à
activer un filtre anti-spam le jour où les cochonneries vont commencer
à pleuvoir. Et si ça continue, sois prêt à la griller et en ouvrir une
autre. Ceinture, bretelle et parachute.
Au final, c'est moins cher qu'un gros système doûteux.

--
http://arboi.da.ru
NASL2 reference manual http://michel.arboi.free.fr/nasl2ref/


Avatar
Benjamin Pineau
Le 23 Jun 2005 15:43:27 GMT,
Nicob écrivais:

Sous Linux, il y a /dev/shm qui est bien pratique comme zone en rwx (par
défaut). D'ailleurs, j'ai vu plusieurs exploits (par exemple pour
awstats) qui utilisaient cette facilité ...


Oui, disont ro dans la cage chroot (ou jail, puisqu'on parle de freebsd).
À ma connaissance apache n'a pas besoin d'accéder aux segments de mémoire
partagés de cette façon (par contre il lui faut un /dev/null). Et je n'en sait
pas plus concernant postgresql.
En complément: sous FreeBSD il n'y a normallement pas besoin d'executables
dans /dev (ormi les répertoires bien sûr), mais il est vrai que l'absence
de bit d'éxecution n'est généralement pas un obstacle très efficace (tant
qu'un interpréteur ou chargeur dynamique reste à portée de main).

Avatar
MaXX
Cedric Blancher wrote:
Le Fri, 24 Jun 2005 11:34:14 +0000, MaXX a écrit :
Faut être sûr que les applis/CGIs/autres sont propres... Par ex un machin
qui permet une injection SQL; dans ce cas que la BDD soit locale ou
distante ne changera rien, seuls les droits sur les différents objets
peuvent éviter de tout casser (au moins limiter les dégâts).
Tu remarqueras que je n'ai pas dit que c'était plus sûr, mais que ça

évitait que le httpd n'écrive sur le disque. Et je n'ai pas non plus
parlé de distance... Bref...
Oups... Désolé, je crois que la chaleur me joue des tours... Enfin ça reste

valable...

--
MaXX


Avatar
MaXX
Michel Arboi wrote:
On Fri Jun 24 2005 at 09:12, MaXX wrote:
Tu bosses pour la DST
Je ne travaille pas pour eux...

Si tu travaillais pour eux, tu ne t'en vanterais pas :-]

Mais j'accorde la même importance à une adresse email qu'à un numéro
de carte Visa...
Grosse erreur, à mon humble avis : si l'on veut que la sécurité reste

économique et ne coûte pas plus cher que les attaques, les moyens de
défense doivent être proportionnés à la valeur de ce qu'ils
protègent. Une adresse e-mail ne permet pas de siphonner ton compte en
banque.
Bah, c'était un exemple... Si mon serveur tombe et qu'un petit malin

parviens par un moyen ou par un autre à passer outre mes sécurités ce sont
des données médicales qui sortent, donc mode paranoïaque ON... Je préfère
que ces données restent là où elles sont...
J'ai parlé avec le créateur de l'appli propriétaire de la boite et il n'a
pas pu me dire pourquoi je savais lire les données en clair avec ethereal
(requêtes SQL et autres sans compter sur le fait que cette base est stoquée
sur un partion FAT, bonjour la sécurité)... Je suis fier (mais limite
enragé) d'être le seul de la boite à me préoccuper de la sécurité et je
veux remettre le tout à plat pour repartir sur de meilleures bases.
J'ai déjà largement amélioré le bastringue mais je n'oserait pas m'en vanter
tellement ce truc me fous les boulles...

je préfère bouffer sur mon temps libre que de me retrouver un jour avec
la liste de nos membres à vendre sur la toile (où le patron qui me
fusille)...
C'est un autre problème, pénal celui-ci (protection des données

personnelles). Dit autrement, tu protèges ta liberté, ce qui a un prix
plus élevé que n'importe quel tas de silicium.
CF. plus haut...


Pour moi un exemple simple: Tu t'abonne à une mailing-list respectable,
et la machine qui gère le mailing se fait hacker par un zozo quelconque
qui publie/revend ton mail perso au plus offrant; Tu est heureux de
recevoir des tonnes de crasses tout les jours?
Et si un membre de la respectable liste publie lui même les

coordonnées des adhérents ? Ou envoie son archive personnelle à un
pote moins sérieux ?
Je vais replacer une théorie personnelle (à mon grand âge, on radote).
Si tu le dis.. Mais je persiste, les "vieux" ont plus d'expérience que les

"gamins" (comme moi). Usenet est fait pour partager...

Les Romains avaient un mince cordon de troupes sur la frontière de
l'Empire. Quand la pression des Barbares s'est accrue, les légions
étaient incapables de les empêcher de franchir la frontière et les
Barbares s'égaillaient dans tout l'Empire.
Pour sauver l'honneur, je préfère me battre que de poser les armes au

premier méchant que je vois... Et c'est gratifiant en plus...

Je retrouve souvent ce "principe du Limes" : un fortin devant, là où
il y a Internet et les pas-beaux, et des passoires derrière.
Je préfère administrer une machine plutôt qu'un passoire... Pas toi?


La "défense en profondeur", il n'y a que ça qui marche.
Tu ne laisses pas trainer ton adresse e-mail ? Bien. Mais sois prêt à
activer un filtre anti-spam le jour où les cochonneries vont commencer
à pleuvoir. Et si ça continue, sois prêt à la griller et en ouvrir une
autre.
Ha? depuis 1997 je n'ai jamais reçu plus de 10 spam par jour (score SA

<10)... Je dois avoir un bon ISP...

Ceinture, bretelle et parachute.
Au final, c'est moins cher qu'un gros système doûteux.



--
MaXX

Péket + soleil = mal de tête



Avatar
Benjamin Pineau
Le 23 Jun 2005 15:43:27 GMT,
Nicob écrivais:

[...] utiliser mod_security, mod_dossevasive [...]


Euh, pour moi, moins il y a de code qui tourne, moins il y a de chances
d'avoir des problèmes. Une recherche Google me donne au moins un bug pour


Je suis d'accord avec ça. Mais parfois le choix est difficile. Faut-il par
exemple -et dans le cas qui nous intéresse- privilégier un serveur plus léger
qu'apache, sachant qu'il aura sûrement bénéficié d'un audit plus sommaire ?

chacun de ces modules :

http://www.securityfocus.com/bid/9885
http://security.lss.hr/en/index.php?pageÞtails&ID=LSS-2005-01-01


En fait mod_security peut facilement être utilisé en IDS pur, sur une machine
"aveugle" (inacessible), ce qui réduire considérablement son exposition.
Concernant mod_dossevasive, c'est un module vraiment light, et j'espère que
les problèmes de jeunesses sont passés (je ne l'ai pas audité, celà dit).
Dans de nombreux cas je préfererai l'utiliser même s'il était encore
concerné par la faille que vous citez: ayant récement subit un DoS
(involontaire) sur un cgi un peu lent, je préfère une faille locale à choisir
(du moins sur les serveur n'ayant pas d'utilisateurs locaux).

Celà dit ces deux modules sont des gadgets amha, par rapport aux autres
mesures de sécurisation disont, de bon sens.


Avatar
MaXX
Dominique Blas wrote:
[...]
SMS? Short Message System?
Service !


[...]
Mais il faut un modem-GSM, c'est cher, c'est vrai.
Il existe 2 autres solutions : les passerelles Web/SMS et le service SMS
sur ligne fixe de FT.
Ce que je cherche c'est un moyen de me beeper quand la ligne ADSL tombe ou

quoi que ce soit d'autre suffisamment 'grave' (critères à définir).

J'ai, je ne sais pourquoi, un caisse avec 10 modems US Robotics 56K dans le
local des archives.. Autant en recycler un.

Sous Windows 95 j'avais un petit logiciel qui envoyait les messages
directement en composant le numéro du centre de service de mon opérateur...

[...]
Faut savoir déléguer parfois ou se syndiquer :-)
Il y a des jours où j'aimerais...

[...]
Comme tu dis ça je sens que je vais relire à deux fois les clauses de mon
assurance voyage quand je vais partir en Australie...
L'assurance peut se résumer à débrancher le portable dès le retrait des

billets.
J'y compte bien vu les coûts en roaming ;-)


Du reste c'est surtout le contrat de travail pour lequel il faudra
vérifier les clauses : ton employeur pourra-t-il te reprocher de n'avoir
pas vérifier qu'il avait bien compris tes consignes ?
Lui non, sa femme oui...


[...]
Les coûts (mon temps) je m'en préoccupe peu, je met en place au boulot,
je répercute chez moi donc j'allie l'utile à l'agréable en quelques
sortes. Je ne me casses pas la tête pour des heures (je sais je suis
con).
Tu n'es pas con, c'est con. Car ne pas répercuter ces coûts biaise le

véritable coût de l'infrastructure ce qui ne permet pas de comparer par
rapport aux solutions équivalentes du marché. Ta hiérarchie est sans
doute très contente de cet état mais n'est pas consciente que c'est
elle, un jour, qui en paiera les frais.
D'accord sur ce point.


[...]
Désassmebler une femme ça a son charme également :
MOV, JMP, ADD, SUB, ADD, SUB, MUL !
MDR!

[...]

Toi, tu es dans une PME hein ?
TPE même...


Ca se voit tout de suite :-)
db


--
MaXX


Avatar
Dominique Blas

[...]

Je vais replacer une théorie personnelle (à mon grand âge, on radote).
Les Romains avaient un mince cordon de troupes sur la frontière de
l'Empire. Quand la pression des Barbares s'est accrue, les légions
étaient incapables de les empêcher de franchir la frontière et les
Barbares s'égaillaient dans tout l'Empire.
Je retrouve souvent ce "principe du Limes" : un fortin devant, là où
il y a Internet et les pas-beaux, et des passoires derrière.


Ce qui est amusant c'est que l'on observait le même principe il y a 9
ans, disons aux débuts de la médiatisation de la sécurité info : un
pare-feu devant pour montrer au chef que l'on avait fait quelque chose
comme qui disaient dans les media, dépensé beaucoup d'argent et que donc
ça devait être bien fait.
Le prestataire avait en général bien fait son boulot : configurer le biniou.
Mais juste à côté le serveur de terminaux asynchrone était largement
ouvert, on ajoute quelques modems également en accès libre et les boîtes
vocales largement détournables.

En clair, la sécurité globale n'était, en règle générale, qu'un lointain
concept y compris dans les grands comptes : je me souviens d'un cas où
il y avait 3 firewalls en série !
Mais bon, normal, c'est ce dont la presse parlait, avant tout.
Mais en 2005, tout de même. Je me refuse à croire que la défense en
profondeur ne soit pas la règle générale. Je ne parle pas des PME bien
entendu.

db

--

Courriel : usenet blas net

Avatar
Michel Arboi
On Sat Jun 25 2005 at 05:34, Dominique Blas wrote:

Je me refuse à croire que la défense en profondeur ne soit pas la
règle générale. Je ne parle pas des PME bien entendu.


Je ne connais qu'une grosse entreprise qui ait son réseau correctement
cloisonné. Je ne dis pas que ça soit la seule ; en revanche, j'en
connais plusieurs qui ont un énorme réseau à plat, où le moindre ver
fait un carton s'il arrive à entrer... et où des vers sont déjà
entrés, bien évidemment, car le pire est toujours possible.

Certains messages ne sont visiblement pas encore bien passés :-(

fu2: fr.comp.securite

Avatar
espie
In article <42bc6b09$0$31312$,
Dominique Blas wrote:
Mais bon, normal, c'est ce dont la presse parlait, avant tout.
Mais en 2005, tout de même. Je me refuse à croire que la défense en
profondeur ne soit pas la règle générale. Je ne parle pas des PME bien
entendu.


Ca depend de plein de facteurs humains, tout ca, meme en dehors des PME.
En particulier, il y a souvent des contraintes budgetaires, du management
qui ne realise pas forcement le cout reel de sa securite (et donc qui
embauche des admin sys certifies Windows 2003), voire des sacs de noeuds
politiques.

J'ai pas mal d'echos de politique de securite a la con, ou les gens ne
peuvent pas faire les choses de manieres saines, parce que l'acces aux
infos ne se fait pas en fonction du boulot, mais en fonction du statut
(si, si, ca existe).

Cote firewalls, entre ceux qui sont tombes dans les promesses marketings
de telle ou telle boite, et ceux qui n'ont pas vraiment realise toutes les
implications de leurs problemes de securite, il y a aussi de quoi faire...

Bref, tu as les boites qui ont morfle, et qui ont refait leur securite,
et celles qui n'ont pas encore ete piratees...

2 3 4 5 6