Усиление защиты сервера Ubuntu 14.04

maketech111 ALL=(ALL) NOPASSWD: ALL

sudo passwd -l root

sudo passwd -u root

sudo swapon -s

Filename                                Type            Size    Used    Priority

sudo dd if=/dev/zero of=/swapfile bs=4M count=1000

sudo mkswap /swapfile

sudo swapon /swapfile
sudo swapon -s

Filename                                Type            Size    Used    Priority
/swapfile                               file<
Отключить учетную запись root
 0       -1

sudo nano /etc/fstab

/swapfile swap swap defaults 0 0

sudo echo 0 >> /proc/sys/vm/swappiness
sudo echo vm.swappiness = 0 >> /etc/sysctl.conf

sudo nano /etc/sysctl.conf

net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 1

sudo sysctl -p

sudo nano /etc/default/irqbalance

ENABLED=0

sudo openssl version -v
sudo openssl version -b

OpenSSL 1.0.1 10 Mar 2012
built on: Wed Jan  2 18:45:51 UTC 2015

sudo apt-get update
sudo apt-get upgrade openssl libssl-dev
sudo apt-cache policy openssl libssl-de
Отключить IPv6
ь проверьте версию и запустите


sudo openssl version -b

Это выведет что-то вроде следующего:

built on: Mon Apr  7 20:31:55 UTC 2014

Защитите консоль, общую память, /tmp и /var/tmp
Защитите консоль
По умолчанию в вашей системе включено множество терминалов. Вы можете разрешить только один терминал и отключить остальные терминалы.
Чтобы разрешить только «tty1» и отключить другие терминалы, отредактируйте файл «/etc/securetty».

sudo nano /etc/securetty

Добавьте/измените следующие строки:

tty1
#tty2
Отключить IRQBALANCE
pan>#tty4
# etc ...

Чтобы защитить файл «/etc/securetty», измените права доступа к файлу и выполните следующие команды:

sudo chown root:root /etc/securetty
sudo chmod 0600 /etc/securetty

Защита общей памяти
Любой пользователь может использовать общую память для атаки на работающую службу, например Apache или httpd. По умолчанию общая память подключена для чтения/записи с разрешением на выполнение.
Чтобы повысить безопасность, отредактируйте файл «/etc/fstab».

sudo nano /etc/fstab
Исправить ошибку OpenSSL Heartbleed
iv>
tmpfs     /run/shm    tmpfs     ro,noexec,nosuid        0       0

Чтобы внести изменения без перезагрузки, можно запустить

sudo mount -a

Защитить /tmp и /var/tmp
Временные каталоги, такие как /tmp, /var/tmp и /dev/shm, открывают злоумышленникам возможность предоставить место для запуска сценариев и вредоносных исполняемых файлов.
Безопасная папка /tmp 
Создайте файл файловой системы размером 1 ГБ для раздела /tmp.

sudo dd if=/dev/zero of=/usr/tmpDSK bs=1024 count=1024000
sudo mkfs.ext4 /usr/tmpDSK

Создать резервную копию текущей папки /tmp:

sudo cp -avr /tmp /tmpbackup

Смонтируйте новый раздел /tmp и установите правильные разрешения.

sudo mount -t tmpfs -o loop,noexec,nosuid,rw /usr/tmpDSK /tmp
sudo chmod 1777 /tmp

Скопируйте данные из папки резервной копии и удалите папку резервной копии.

sudo cp -avr /tmpbackup/* /tmp/
sudo rm -rf /tmpbackup

Установите /tmp на вкладке fbtab.

sudo nano /etc/fstab

Добавьте следующую строку:

/usr/tmpDSK /tmp tmpfs loop,nosuid,noexec,rw 0 0

Проверьте свою запись в fstab.

sudo mount -a

Безопасный /var/tmp: 
Некоторые программы используют эту папку как временную, поэтому ее также следует защитить.
Чтобы защитить /var/tmp, с
Защитите консоль, общую память, /tmp и /var/tmpЗащитите консоль

sudo mv /var/tmp /var/tmpold
sudo ln -s /tmp /var/tmp
sudo cp -avr /var/tmpold/* /tmp/

Установить ограничения безопасности и отключить нежелательные сервисы
Установить ограничения безопасности
Чтобы защитить вашу систему от атак с помощью форк-бомбы, вам следует установить ограничение процессов для ваших пользователей.
Чтобы настроить это, отредактируйте файл «/etc/security/limits.conf»,

sudo nano /etc/security/limits.conf

и отредактируйте следующую строку:

user1 hard nproc 100
@group1 hard nproc 20

Это позволит пользователям определенной группы не иметь максимум двадцати процессов и максимально увеличить количество процессов до с
Защита общей памяти
p>
Отключите ненужные службы
Множество служб в Ubuntu занимают память и дисковое пространство, которые могут вам понадобиться. Отключение или удаление ненужных служб может улучшить общую производительность системы.
Чтобы узнать, какие службы запущены в данный момент, выполните следующую команду:

sudo initctl list | grep running

Вы можете отключить его, выполнив эту команду.

sudo update-rc.d -f service_name remove
sudo apt-get purge service_name

Исправить уязвимость Shellshock Bash:
Уязвимость Shellshock позволяет хакерам назначать переменные среды Bash и получать несанкционированный доступ к системе. Эту уязвимость очень легко использовать.
Чтобы проверить уязвимость системы, выполните следующую команду:

sudo env i='() { :;
Защитить /tmp и /var/tmp
rable' bash -c "echo Bash vulnerability test"

Если вы видите приведенный ниже вывод, это означает, что ваша система уязвима.

Your system is Bash vulnerable
Bash vulnerability test

Чтобы устранить эту уязвимость, выполните следующую команду:

sudo apt-get update ; sudo apt-get install --only-upgrade bash

Если вы запустите команду еще раз, вы увидите:

bash: warning: VAR: ignoring function definition attempt
bash: error importing function definition for `VAR'
Bash vulnerability test

Вывод:
Здесь мы объяснили основные вещи, которые вы можете сделать, чтобы усилить защиту Ubuntu. Теперь у вас должно быть достаточное представление об основных методах обеспечения безопасности, которые вы можете реализовать на своем сервере Ubuntu. Надеюсь, что этот пост будет вам полезен.
Ссылка :  Руководство по усилению защиты Ubuntu 
Установить ограничения безопасности и отключить нежелательные сервисы
Установить ограничения безопасности
Отключите ненужные службы
Исправить уязвимость Shellshock Bash:
Вывод: