NSA uke 43. Tjenester i LAN Tjenester på verter

Transkript

1 NSA uke 43 Tjenester i LAN Tjenester på verter

2 Tjenerster i et LAN og tjenster på verter. Ting å være oppmerksom på: Ha en politikk på hvilke tjenester vi ønsker å bruke. Identifisere behov. Hvordan disse tjenestene skal brukes. Hva kjøres på de forskjellige vertene? Er tjenestene riktig konfigurert? Vi må derfor som første skritt finne ut hva som kjøres default, hvordan disse startes, konfigurasjonen og og vi ønsker å kjøre disse. Husk at OS distributør har tatt mange valg for oss.

3 Etter en boot kan vi se på prossesser som går (ps aux): ps aux USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND root ? S 08:29 0:07 init [3]... kernel stuff skipped... root ? S 08:29 0:00 /sbin/syslogd -a /var/lib/dhcp/dev/log root ? S 08:29 0:00 /sbin/klogd -c 1-2 root ? SW 08:29 0:00 [knodemgrd_0] root ? SW 08:29 0:00 [khubd] root ? SW 08:29 0:00 [pccardd] root ? SW 08:29 0:00 [pccardd] root ? S 08:29 0:00 /sbin/cardmgr root ? S 08:29 0:00 /sbin/resmgrd bin ? S 08:29 0:00 /sbin/portmap root ? S 08:30 0:00 /usr/sbin/sshd -o PidFile /var/run/sshd.init.pid nobody ? S 08:30 0:00 /usr/x11r6/bin/xfs -nodaemon -user nobody -port 7100 nobody ? S 08:30 0:00 /usr/sbin/in.identd -e nobody ? S 08:30 0:00 /usr/sbin/in.identd -e nobody ? S 08:30 0:00 /usr/sbin/in.identd -e nobody ? S 08:30 0:00 /usr/sbin/in.identd -e root ? S 08:30 0:00 /usr/sbin/nscd root ? S 08:30 0:00 /usr/sbin/nscd root ? S 08:30 0:00 /usr/sbin/nscd root ? S 08:30 0:00 /usr/sbin/nscd root ? S 08:30 0:00 /usr/sbin/nscd root ? S 08:30 0:00 /usr/sbin/nscd root ? S 08:30 0:00 /usr/sbin/nscd root ? S 08:30 0:00 /usr/sbin/cron mail ? S 08:30 0:00 sendmail: Queue runner@00:30:00 for /var/spool/clientmque root ? S 08:30 0:00 sendmail: accepting connections daemon ? S 08:30 0:00 lpd Waiting root ? S 08:30 0:00 /usr/sbin/inetd... user prossesses skipped...

4 Sjekke med nmap på åpne porter: bluemaster:/home/torejo # nmap -ss localhost Starting nmap V ( ) Interesting ports on localhost ( ): (The 1593 ports scanned but not shown below are in state: closed) Port State Service 21/tcp open ftp 22/tcp open ssh 25/tcp open smtp 37/tcp open time 111/tcp open sunrpc 113/tcp open auth 515/tcp open printer 6000/tcp open X11 bluemaster:/home/torejo # nmap -su localhost Starting nmap V ( ) Interesting ports on localhost ( ): (The 1463 ports scanned but not shown below are in state: closed) Port State Service 37/udp open time 111/udp open sunrpc 123/udp open ntp 799/udp open unknown 800/udp open mdbs_daemon

5 Hva starter vi opp i default runlevel (/rcx.d/)? bluemaster:/etc/init.d/rc3.d # ls grep ^S S01random S05network S06syslog S07hotplug S08pcmcia S08resmgr S10portmap S10sshd S11xfs S14fbset S14identd S15kbd S16hwscan S16nscd S16sendmail S17cron S18lpd S20inetd S21mysound S21nvidmodule

6 Vi kan finne ut litt om standard porter fra filen /etc/services. En liste over tildeling av porter finnes på numbers Noen tjenester krever at visse linjer i /etc/services ikke er kommentert ut, men det hjelper vanligvis ikke å kommentere ut en port her. Merk at port er reserverte. Eksempel fra /etc/services: ftp 21/tcp # File Transfer [Control] fsp 21/udp # official is File Transfer, ftp use no udp ssh 22/tcp # SSH Remote Login Protocol ssh 22/udp # SSH Remote Login Protocol telnet 23/tcp # Telnet telnet 23/udp # Telnet # 24/tcp any private mail system # 24/udp any private mail system smtp 25/tcp mail # Simple Mail Transfer smtp 25/udp mail # Simple Mail Transfer # 26/tcp Unassigned # 26/udp Unassigned

7 Vi trenger å vite litt om tjenestene på vertene våre. Vi kan starte med å se hva distributøren av OS har valgt ved å studere oppstartsscript. Sjekk altså init.d/ katalogen, samt rcx.d/ katalogen. De fleste oppstartsscrit er kommentert, og forteller hva som startes. Vi kan deretter sjekke manualsiden for den enklte tjeneste, for å finne ut hva disse tjenestene gjør, og hvordan de konfigureres. Når man lager egne oppstartsscript skal disse også kommenteres så andre kan se hva som utføres. Velg også navn på scritpene som sier noe om hva som startes.

8 Noen vanlige script i init.d. (Navnene kan variere noe fra distributør til distributør): amanda: Advanced Maryland Automatic Network Disk Archiver. En backup server. amd: Automount daemon. Brukes ofte for å montere NFS volumer på forespørsel. arpwatch: En daemon som logger og bygger en database over Ethernet/IP adresser som er på et LAN. autofs: En automounter daemon. bootparamd: En boot parameter server. dhcpd: Starter en lokal DHCP server.

9 gated: Gateway routing daemon. Håndterer nettverks routing protokoller. httpd: Starter Apache web server. identd: Starter identd bruker informasjons tjeneste. Likner på finger. inetd: Internet Super server daemon. Starter andre tjenester. innd: En lokal Usenet news server. iptables: Setter opp brannmur. kadmin: Starter Kerberos administrasjons server. Har å gjøre med autentifisering. Brukes på større site er. ldap: Lightweight Directory Access Protocol tjeneste. Brukes på større site er. linuxconf: Konfigurasjon av maskin gjennom et web inteface. lpd: Printer server.

10 mars nwe: Håndterer Novell Netware fil og printertjenester. mysqld: Håndterer MySQL datadase server. named: Håndterer DNS server. netfs: Monterer NFS, Samba og NetWare filsystemer. network: Konfigurerer nettverks interfacer. Mange andre tjenester er avhenging av at dette er gjort før disse startes. nfs: Setter opp NFS tjenester. nscd: Name Switch Cache daemon. Cacher navneforespørsler av forskjellig slag. (Can be a pain in the ass on debug). ntpd: Lokal netverks tid server. portmap: RPC portmap håndterer. Brukes av NFS. routed: Oppdaterer dynamisk kjernens routingtabeller. rstatd: Samler og leverer systeminformasjon for andre maskiner på et LAN.

11 ruserd: Gir informasjon om brukere som er logget på. rwalld: Brukere kan skrive meldinger til en terminal til andre brukere på et LAN. rwhod: Gir informasjon om hvem som er logget på og hva disse gjør. sendmail: Lokal mailservice. smb: Samba fil og printer deling. atalkd: Apple fil og printer deling. snmpd: Simple Network Management daemon. sshd: Secure shell server mm. Daemon. syslog: Starter syslogd xfs: X Windows fontserver. xinetd: Tilsvarer inetd, starter andre tjenester. yp* : Tjenseter forbundet med NIS passord server.

12 Eksempel: tcp_wrappers. Programmet tcpd gir mulighet til å definere access control lister for lokale tjenester ved å tillate og nekte tilgang fra spesifiserte nettverk, systemer eller brukere. Dette er implementert i biblioteket libwrap.a. Dette er kompilert inn i for eksempel inetd, sshd, portmap og tcpd. Tilgang / ikke tilgang kontrolleres gjennom filene /etc/hosts.allow og /etc/hosts.deny

13 Følgende regler gjelder: (1) Hvis en innkommende forespørsel matcher en regel i /etc/hosts.allow, så tillates tilgang. (2) Hvis en forespørsel ikke har en matchende allow regel, men har en matchende deny regel så nektes tillgang. (3) Hvis en forespørsel ikke har hverken allow eller deny regel så tillates tilgang. En god politikk er å nekte alt, slik at vi positivt må gi tilgang.

14 Eksempel på /etc/hosts.deny: bluemaster:/etc # cat hosts.deny # See tcpd(8) and hosts_access(5) for a description. ALL : ALL Eksempel på /etc/hosts.allow: bluemaster:/etc # cat hosts.allow ALL : localhost ALL : in.ftpd: sshd: iu.hio.no.no sshdfwd-x11: iu.hio.no portmap: rpc.mountd: rpc.statd: Merk her at det kun gies positiv tilgang. Alt nektes i utgangspunktet.

15 Om maskinene dere arbeider med: Bruk tid på å finne ut hva som kjøres, og hvorfor. Sett dere inn i hvordan disse tjenestene er konfigurert. Kjør kun helt nødvendige tjenester. Vi skal sette opp flere etterhvert. Bruk ssh/sftp, og ikke telnet/ftp hvis ikke spesielle grunner tilsier dette. Sett opp /etc/hosts.deny allow restriktivt i utgangspunktet.

16 Litt om X Windows: X Windows er konfigurert i filen /etc/x11/xf86config Vi bruker somregel et program, for eksempel SaX, Xconfigurator eller liknende for konfigurasjonen. Vi kan finjustere for hånd etterpå. Filen /etc/x11/xf86config er delt opp i seksjoner. Merk at automatiske konfiguratorer ofte lager lange konfiguasjonsfiler. Xserveren aktivitet logges i /var/log/xfree86.0.log