设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [13316] 2018-10-18_运维安全等保视角下的SSH加固之旅 ...
返回列表 发新帖
查看: 2|回复: 0

[13316] 2018-10-18_运维安全等保视角下的SSH加固之旅

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-56

积分

管理员

积分
-56
发表于 5 天前 | 显示全部楼层 |阅读模式
2018-10-18_运维安全等保视角下的SSH加固之旅 运 维 安 全   |   等 保 视 角 下 的 S S H 加 固 之 旅 F o r r e s t X 3 8 6   F r e e B u f   2 0 1 8 - 1 0 - 1 8 * 本 文 原 创 作 者 ： F o r r e s t X 3 8 6 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 x 0 0   前 言 前 言 前 段 时 间 在 搞 等 保 ， 根 据 等 保 的 安 全 要 求 ， 需 要 对 公 司 的 服 务 器 进 行 安 全 加 固 ， 其 中 就 涉 及 到 对 前 段 时 间 在 搞 等 保 ， 根 据 等 保 的 安 全 要 求 ， 需 要 对 公 司 的 服 务 器 进 行 安 全 加 固 ， 其 中 就 涉 及 到 对 S S H   S e r v e r 的 的 加 固 。 正 好 最 近 有 空 ， 笔 者 将 加 固 过 程 的 一 些 经 验 ， 总 结 分 享 一 下 ， 于 是 有 了 本 文 。 加 固 。 正 好 最 近 有 空 ， 笔 者 将 加 固 过 程 的 一 些 经 验 ， 总 结 分 享 一 下 ， 于 是 有 了 本 文 。 0 x 0 1   等 保 视 角 下 的 等 保 视 角 下 的 S S H   加 固 之 旅 加 固 之 旅 等 保 规 范 中   对 主 机 安 全 要 求 有 以 下 一 个 方 面 1 ） 身 份 鉴 别 2 ） 访 问 控 制 3 ） 审 计 4 ） 入 侵 防 范 根 据 这 4 点 规 范 要 求 ， 结 合 实 际 加 固 经 验 ， 总 结 如 下 一 、 服 务 端 的 加 固 ： 一 、 服 务 端 的 加 固 ： 1 、 登 录 认 证 维 度 的 加 固 、 登 录 认 证 维 度 的 加 固 1 ） 、 选 择 安 全 的 登 录 认 证 方 式 首 推 公 钥 认 证 方 式 通 过 a n s i b l e   批 量 更 新 ， 或 者 通 过 堡 垒 机 的 定 时 任 务 实 现 对 管 理 的 服 务 器 上 的 公 钥 进 行 批 量 更 新 如 果 需 要 再 进 一 步 提 升 安 全 性 ， 可 在 公 钥 认 证 的 基 础 上 增 加 二 次 认 证 ， 相 关 文 章 有 ： 基 于 短 信 的 二 次 认 证 基 于 T O T P 的 二 次 认 证 严 禁 选 择 基 于 密 码 的 、 基 于 主 机 的 认 证 方 式 ：
如 果 有 条 件 的 可 以 接 入 K e r b e r o s   认 证 2 ） 选 择 安 全 的 s s h - k e y 生 成 算 法 生 成 的 k e y s s h   k e y   常 见 算 法 及 安 全 性 D S A ：   已 被 证 明 不 安 全 ， 且 从 O p e n S S H   S e r v e r   7   之 后 便 不 再 支 持 R S A ：   R S A 算 法 产 生 的 私 钥 的 安 全 性 依 赖 于 密 钥 的 长 度 ， 如 果 密 钥 的 长 度 小 于 3 0 7 2 ， 则 不 够 安 全 ， 比 如 常 见 的 2 0 4 8 位 的 s s h   k e y   是 不 够 安 全 的 ， 1 0 2 4 位 直 接 被 标 记 为 不 安 全 E C D S A ： 这 个 算 法 产 生 的 密 钥 安 全 性 依 赖 于 当 前 机 器 产 生 的 随 机 数 的 强 度 E d 2 5 5 1 9 ：   目 前 最 为 推 荐 的 s s h   k e y   生 成 算 法 ， 安 全 性 最 好 ！ 如 何 查 看 当 前 认 证 公 钥 k e y 加 密 算 法 及 其 强 度 ： 如 何 生 成 E d 2 5 5 1 9 算 法 的 k e y   呢 ？ s h e l l 下 执 行 命 令 ： 3 ） 基 于 权 限 最 小 化 原 则 ， 限 制 不 同 用 户 使 用 不 同 角 色 的 账 户 有 的 同 学 登 录 s s h   服 务 器 是 为 了 执 行 日 常 的 运 维 操 作 命 令 ， 有 的 同 学 则 单 存 为 了 上 传 下 载 文 件 ， 根 据 权 限 最 小 化 原 则 ， 则 给 与 日 常 运 维 的 同 学 以 普 通 s s h 账 户 ， 可 以 获 取 s h e l l ， 限 制 只 有 上 传 下 载 需 求 的 同 学 只 能 s f t p 登 录 s s h   服 务 器 建 议 参 考 文 章 :   运 维 安 全   |   如 何 限 制 指 定 账 户 不 能 S S H 只 能 S F T P 在 指 定 目 录 2 、 网 络 层 的 访 问 控 制 、 网 络 层 的 访 问 控 制 1 ） 禁 止 端 口 转 发 通 过 禁 止 T C P 端 口 转 发 ， 可 以 禁 止 S S H   远 程 端 口 和 本 地 端 口 转 发 功 能 ， 也 可 以 禁 止 S S H   远 程 隧 道 的 建 立 2 )   限 制 指 定 的 I P 才 能 连 接 如 果 接 入 了 堡 垒 机 ， 则 限 制 只 允 许 堡 垒 机 的 I P 连 接 除 了 在 防 火 墙 上 做 规 则 限 制 ， 还 可 以 通 过 T C P   W r a p p e r   和 s s h d _ c o n f i g 的 配 置 命 令 3 、 审 计 角 度 的 加 固 、 审 计 角 度 的 加 固
按 照 等 保 的 要 求 ， 服 务 器 对 日 常 的 运 维 行 为 必 须 保 留 日 志 ， 便 于 审 计 为 了 实 现 等 保 的 审 计 要 求 ， 可 以 选 择 加 入 堡 垒 机 ， 或 者 将 s s h   登 录 日 志 、 b a s h   操 作 日 志 集 中 转 发 之 S O C 或 者 内 部 日 志 平 台 （ 比 如 通 过 s y s l o g 方 式 ） ， 可 以 参 考 的 文 章 有 :   安 全 运 维 之 如 何 将 L i n u x 历 史 命 令 记 录 发 往 远 程 R s y s l o g 服 务 器 4 、 、 o p e n s s h   s e r v e r   本 身 的 安 全 加 固 本 身 的 安 全 加 固 及 时 更 新 o p e n s s h   s e r v e r 及 其 依 赖 的 o p e n s s l 库 的 补 丁 ， 比 如 o p e n s s h   s e r v e r 就 曾 曝 出 过 比 较 严 重 漏 洞 ： O p e n S S H 现 中 危 漏 洞 ， 可 致 远 程 代 码 执 行 建 议 关 注 ： o p e n s s h   官 方 安 全 通 告 ： h t t p s : / / w w w . o p e n b s d . o r g / s e c u r i t y . h t m l 5 、 、 S S H   S e r v e r   的 入 侵 防 范 的 入 侵 防 范 1 ） s s h   相 关 后 门 进 行 排 查 、 比 如 o p e n s s h   后 门 等 ， 相 关 文 章 有 ： 一 款 短 小 精 致 的 S S H 后 门 分 析 L i n u x 安 全 运 维 丨 O p e n S S H 安 全 浅 析 2 ） s s h   登 录 日 志 的 排 查 安 全 运 维 之 如 何 找 到 隐 匿 于 l a s t 和 w 命 令 中 的 s s h 登 录 痕 迹 二 、 客 户 端 安 全 加 固 二 、 客 户 端 安 全 加 固 从 p u t t y 、 w i n s c p   被 爆 携 带 后 门 到 x s h e l l 多 个 版 本 被 爆 后 门 ， 客 户 端 软 件 的 安 全 性 值 得 我 们 投 入 更 多 的 精 力 去 关 注 与 改 进 ， 不 然 再 牛 逼 的 服 务 端 加 固 也 无 济 于 事 百 度 软 件 中 心 版 p u t t y 被 曝 恶 意 捆 绑 软 件 远 程 终 端 管 理 工 具 X s h e l l 被 植 入 后 门 代 码 事 件 分 析 报 告 从 等 保 安 全 性 要 求 ， 建 议 禁 止 使 用 破 解 版 的 s s h   c l i e n t   软 件 ， 比 如 S e c u r e C R T   等 ， 避 免 软 件 供 应 链 污 染 导 致 的 安 全 问 题 。 建 议 从 正 规 官 网 下 载 X s h e l l 、 M o b a X t e r m 、 p u t t y 、 w i n s c p 等 s s h   客 户 端 软 件 。 0 x 0 2   总 结 总 结 从 法 律 对 网 络 安 全 要 求 趋 严 的 大 环 境 下 ， 对 服 务 器 的 有 效 的 加 固 是 比 不 可 少 的 环 节 ， 本 文 抛 砖 引 玉 ， 希 望 更 多 的 业 内 从 业 人 员 分 享 自 己 的 一 线 经 验 。 笔 者 行 文 匆 忙 ， 定 有 不 足 之 处 ， 还 望 各 位 斧 正 ！ 0 x 0 3   参 考 参 考 h t t p : / / w w w . f r e e b u f . c o m / s e c t o o l / 1 5 9 4 8 8 . h t m l h t t p : / / w w w . f r e e b u f . c o m / c o l u m n / 1 6 3 6 3 1 . h t m l h t t p : / / w w w . f r e e b u f . c o m / c o l u m n / 1 6 3 6 3 1 . h t m l h t t p s : / / b l o g . g 3 r t . n l / u p g r a d e - y o u r - s s h - k e y s . h t m l
* 本 文 原 创 作 者 ： F o r r e s t X 3 8 6 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 22:31 , Processed in 0.193436 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表