Seguridad en la partición /tmp y /dev/shm en Linux

Para mantener el servidor libre de rookits (programas o conjuntos de programas que se esconden para tomar el control del sistema) es una buena idea aumentar el nivel de seguridad. Un administrador de sistemas en el caso de servidores Linux, puede crear una partición independiente para el directorio /tmp y montar (usar el comando mount para agregar más dispositivos en un sistema de archivos) esto con los parámetros noexec y nosuid. Para realizar este procedimiento no es necesario reiniciar el sistema operativo o crear reparticiones de la unidad del disco duro.

1) En primer lugar se debe proteger el directorio /tmp:

Se creará un archivo de 2GB para la partición /tmp parition y se elegirá el sistema de archivos ext3 para tmp:
# dd if=/dev/zero of=/dev/tmpFS bs=1024 count=2000000
# /sbin/mkfs.ext3 /dev/tmpFS

Crear una copiar de seguridad de su actual unidad /tmp:
# cp -Rpf /tmp /tmp_backup

Montar una nueva partición tmp y cambiar los permisos:
# mount -o loop,noexec,nosuid,rw /dev/tmpFS /tmp
# chmod 1777 /tmp

Copiar la información respaldada al nuevo tmp:
cp -Rpf /tmp_backup/* /tmp/

Si usted ejecuta el commando ‘mount’ usted debería obtener algo similar a esto:
/dev/tmpFS on /tmp type ext3 (rw,noexec,nosuid,loop=/dev/loop0)

Editamos con un editor de texto (como vim, pico) /etc/fstab y agregamos está línea:
/dev/tmpFS /tmp ext3 loop,nosuid,noexec,rw 0 0

Actualizamos el archivo fstab para la nueva entrada con:
# mount -o remount /tmp

Ahora usted puede intentar ejecutar un script sobre la partición /tmp, si usted obtiene un mensaje de “permiso denegado”, implica que está totalmente segura.

2)  Seguridad en /var/tmp:

Esto debe hacerse debido a que algunas aplicaciones usan la carpeta temporal /var/tmp, y cualquiera puede acceder a ella, por tal caso necesita ser protegida.

Renombrar esto y crear un enlace simbólico a  /tmp:
# mv /var/tmp /var/tmp1
# ln -s /tmp /var/tmp

Copiamos los antiguos archives nuevamente:
# cp /var/tmpantiguo/* /tmp/

Nota: Usted debe reiniciar todos los servicios relacionados que puedan estar utilizando la partición montada /tmp.

3)  Seguridad en /dev/shm:

Para terminar de realizar todas las tareas de forma correcta, usted debe proteger /dev/shm para detener que rookots se ejecuten aquí.

Editando su /etc/fstab:
# nano /etc/fstab

Se debe cambiar:
“none /dev/shm tmpfs defaults,rw 0 0″ a
“none /dev/shm tmpfs defaults,nosuid,noexec,rw 0 0″

Y posteriormente Remontar la unidad /dev/shm:
# mount -o remount /dev/shm

Recomendaciones generales

• Siempre actualizar el kernel cuando sale un bug de seguridad.

• Estar apuntado a la lista de seguridad de Debian/RH/MDK y hacer updates en cuanto salen avisos.

• Estar apuntado a otras listas de seguridad, y si sale un bug en ellas y aun no ha llegado el aviso de Debian/RH/MDK, comprobar si tenemos el bug y si hace falta cortar el servicio.

• Tener un kernel, si es posible, estático, es decir: las opciones que necesito las tengo integradas como Y (nunca como modulos), y en la segunda opcion del make menuconfig (las de los modulos), quito el soporte de modulos: como no se pueden cargar modulos, no me pueden cargar los modulos de los rootkits. En determinados casos no se podrá dejar sin soporte de módulos (si necesitamos vmware, lmsensors, bluetooth …), pero en un servidor que no tenga nada de esto, es prácticamente obligatorio.

• Cambiar diferentes opciones de PHP:

• Activar el safe_mode = on de php.ini para PHP4. Eso hace que cuando se ejecuta un script que es de usuario:grupo, ese script sólo puede acceder a ficheros de usuario:grupo. Es decir, no podria hacer un cat del /etc/passwd aunque tenga permiso de lectura para todos. El safemode tampoco permite ejecutar comandos (para que no te hagan via fallos de apache ids, uname -a, y demás). A veces no es posible activar el safemode, depende de si tenemos alguna aplicación que sea incompatible con él o no (por ejemplo, algunos webmails no funcionan si activas safe_mode) (http://es2.php.net/features.safe-mode).
• Desactivar Register_globals (a Off) si las aplicaciones PHP que usemos están bien realizadas (es decir, deben acceder a las variables de los formularios mediante $_POST[‘VARIABLE’]). Conviene que leas el manual de PHP relativo a register_globals para saber qué hace antes de tocar nada (http://es.php.net/register_globals).Al respecto del safe_mode y register_globals, minskog nos comenta lo siguiente:“Solo un apunte, si necesitas safe_mode off o globas_register a on para alguna aplicacion en concreto, y sabes que esa aplicacion está bien hecha y que el acceso a ese directorio lo controlas tú, por ejemplo gallery o vhcs , hay una directiva que te permite sobreescribir la conf de php (evidentemente por seguridad no funciona en .htaccess). Sería php_admin_flag:

  php_admin_flag safe_mode off
  php_admin_flag register_global on

  Esto te permite dejar el server con safe_mode y register_globals a nivel de server, y desactivarlos donde necesites/quieras. Reitero que NO funciona en .htaccess por seguridad, tiene que ir en la conf de apache.”

• Desactivar el Error Reporting de forma que no aparezcan por pantalla errores de PHP/Base de datos (no dando pistas de nombres de tablas, bases de datos, etc.). Para ello, cambiar las opciones display_errors, y/o error_reporting de php.ini. (http://es.php.net/error_reporting).

• Mi servidor de correo es qmail (sin fallos de seguridad desde 1997 y aun esperando que alguien lo reviente por un premio de 100.000 $). Es infinitamente más seguro que un sendmail. Otra gran opción es postfix, o no correr ningún servidor de correo si no es necesario.
• Si no necesitamos ningún servidor de correo abierto al exterior, reconfigurar el que usemos para que sólo escuche en 127.0.0.1.
• Si no vamos a utilizar remotamente mysql, añadir la opción del skip-networking en el /etc/my.cnf. Con esto conectaremos vía socket local y se dejarán de aceptar conexiones en el puerto 3306.
• Si no es necesario, desinstalar portmap y servicios asociados (rpc, statd, nfs-kernel-server, etc.).
• Los directorios /tmp y /var/tmp montados aparte como particiones con opciones nosuid, noexec y nodev. Estas opciones evitan que los usuarios puedan ejecutar scripts o binarios en esas particiones.

• Binarios de compilación y descarga con permisos restringidos (gcc, make, wget, lynx…).

• Instalar algún software de control de binarios como tripwire, aide y algún chequeador de rootkits como chkrootkit y rkhunter.(Nota, una vez instalado, basta con añadir estas 2 líneas al /etc/crontab:

   00 4 * * * root rkhunter --update > /dev/null 2>&

  1 30 4 * * * root rkhunter -c --nocolors --cronjob --report-mode --createlogfile --skip-keypress --quiet 

  )

• Los logs de los analizadores (tripwire, rkhunter, etc.), no dejarlos nunca en el sistema, enviarlos por email a una máquina externa (para evitar que los “juackers” los falseen y nos engañen).

• Cambiar SSH de puerto, por ejemplo al 26 (editando el /etc/services y luego el /etc/init.d/inetd.conf o xinetd).

• Finalmente, un buen firewall (por ejemplo, shorewall) debe cerrar el acceso a todos los puertos que no debieran estar permitidos por debajo de 1024. Pese a disponer del firewall, quitar todos los servicios y desinstalar todos los paquetes no necesarios.

Particiones del sistema

Unos consejos a la hora de crear particiones:

Para propósito general, con un disco de 20 gigas o más, recomiendo las siguientes particiones:

• / -> por ejemplo de 2 a 4 gigas sería suficiente para el sistema.
• /tmp -> entre medio giga y un giga sobrado.
• /var -> partición de 2 a 4 gigas montada como nodev,nosuid,noexec.
• /var/log -> partición de 2 gigas montada con nodev,nosuid,noexec.
• /home -> partición gorda para albergar /home y así separar los datos del sistema (así / puede ser más pequeña, y en /home puedes poner quotas).

Yo no pondría /etc aparte.

Además así si te es necesario también puedes montar /home con noexec y demás si no vas a ejecutar binarios desde ellas …

Estos valores son orientativos, los puedes aumentar segun el disco que tengas, pero realmente, se supone que /home tendrá los datos de mucho volumen (así que será una de las particiones más gordas), y /var tendrá al final las bases de datos (así que también necesitarás algo de espacio, pero no sé cuánto, depende de lo que tengas), y tambien puedes poner los ficheros de mysql en /home/bbdd, por ej. Luego /var/log está aparte para asegurar que un crecimiento de los logs no tira abajo el sistema.

Y con todas esas particiones, / no necesita ser muy grande porque los datos están en otros sitios y una debian estandar no pasa de medio giga. Yo le pongo 5 para tener espacio para compilar kernels y cosas de esas, pero sobra mucho…

Permisos sobre binarios de compilación y descargas

Por último, recomiendo lo siguiente:

 chmod 0700 /usr/bin/make

chmod 0700 /usr/bin/gcc*

chmod 0700 /usr/bin/as86

chmod 0700 /usr/bin/lynx

chmod 0700 /usr/bin/wget

chmod 0700 /usr/bin/curl

chmod 0700 /usr/bin/nc 

Así te aseguras de que sólo root puede compilar. Como sólo root puede compilar, si entran como www-data no podrán compilar los rootkits a partir del codigo fuente, y tampoco ejecutarlos por el noexec. Además, no podrán descargar los rootkits y exploits porque no tendrán disponible wget ni lynx.

Antes de cambiar estos permisos recordad que los usuarios dejarán de poder utilizar estos binarios, con lo que si tenemos algún script que corra como usuario o algún user que los utilice, tenemos que tenerlo en cuenta.

Cambiar SSH de puerto: del 22 al 26:

Les muestro los cambios realizados en mi sistema:

 # grep ssh-new /etc/services

ssh-new 26/tcp # SSH Remote Login Protocol

ssh-new 26/udp # SSH Remote Login Protocol

 # grep ssh-new /etc/inetd.conf

ssh-new stream tcp nowait root /usr/sbin/tcpd /usr/sbin/sshd -i

(hay que acordarse de abrirlo también en el firewall).

En otras distribuciones necesitas modificar xinetd.