Security | Записки системного администратора

Архивы рубрики ‘Security’

Настройка Logwatch для обработки Nginx-логов

Ноябрь 6th, 2014

Evgeniy Kamenev

1.Копируем три файла с httpd в nginx

# cp /usr/share/logwatch/default.conf/services/http.conf /etc/logwatch/conf/services/nginx.conf

1	# cp /usr/share/logwatch/default.conf/services/http.conf /etc/logwatch/conf/services/nginx.conf

# cp /usr/share/logwatch/default.conf/logfiles/http.conf /etc/logwatch/conf/logfiles/nginx.conf

1	# cp /usr/share/logwatch/default.conf/logfiles/http.conf /etc/logwatch/conf/logfiles/nginx.conf

# cp /usr/share/logwatch/scripts/services/http /etc/logwatch/scripts/services/nginx

1	# cp /usr/share/logwatch/scripts/services/http /etc/logwatch/scripts/services/nginx

2.Редактируем /etc/logwatch/conf/services/nginx.conf

# cat /etc/logwatch/conf/services/nginx.conf | grep nginx

1	# cat /etc/logwatch/conf/services/nginx.conf \| grep nginx

Title = "nginx"
LogFile = nginx

1 2	Title = "nginx" LogFile = nginx

3.Приводим к виду файл /etc/logwatch/conf/logfiles/nginx.conf

# cat /etc/logwatch/conf/logfiles/nginx.conf | grep -v \# | grep -v ^$

1	# cat /etc/logwatch/conf/logfiles/nginx.conf \| grep -v \# \| grep -v ^$

LogFile = nginx/*access.log
Archive = nginx/*access.log-*.gz
*ExpandRepeats
*ApplyhttpDate

LogFile = nginx/*access.log

Archive = nginx/*access.log-*.gz

*ExpandRepeats

*ApplyhttpDate

4.Тестируем работоспособность, запуская logwatch

# logwatch

1	# logwatch

Источник: http://rtfm.co.ua/nginx-dobavlenie-logov-pod-monitoring-logwatch/ http://8bitpipe.com/?p=516

Опубликовано в рубрике Nginx, Security, Security

Метки: logwatch, Nginx, security

Комментарии отключены

Установка и настройка Linux Malware Detect

Август 4th, 2014

Evgeniy Kamenev

1. Загрузка,распаковка,установка

# cd /tmp

# cd /tmp

# wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

1	# wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

# tar xvfz maldetect-current.tar.gz

1	# tar xvfz maldetect-current.tar.gz

# cd maldetect-*

1	# cd maldetect-*

# ./install.sh

1	# ./install.sh

………………………………………………
installation completed to /usr/local/maldetect
config file: /usr/local/maldetect/conf.maldet
exec file: /usr/local/maldetect/maldet
exec link: /usr/local/sbin/maldet
exec link: /usr/local/sbin/lmd
cron.daily: /etc/cron.daily/maldet

………………………………………………

installation completed to /usr/local/maldetect

config file: /usr/local/maldetect/conf.maldet

exec file: /usr/local/maldetect/maldet

exec link: /usr/local/sbin/maldet

exec link: /usr/local/sbin/lmd

cron.daily: /etc/cron.daily/maldet

# rm  -rf /tmp/maldetect*

1	# rm -rf /tmp/maldetect*

2. Настройкаконфигурационногофайла

# cat /usr/local/maldetect/conf.maldet | grep -v \# | grep -v ^$

1	# cat /usr/local/maldetect/conf.maldet \| grep -v \# \| grep -v ^$

# Включить отправку сообщений
email_alert=1
# Формирование темы сообщений
email_subj="maldet alert from $(hostname)"
# E-Mail, на который будет отправлено уведомление о найденных/подорительных файлах
email_addr=your@email
# Не отправлять отчет,если все подозрительные файлы были очищены/исправлены
email_ignore_clean=0
# Помещать подозрительные файлы на карантин
quar_hits=0
# попытаться очистить файл от зловредного кода(требует активации/включения опции quar_hits)
quar_clean=1
#Блокировать вход для пользователя, в файлах которого обнаружилось malware(требует активации/включения опции quar_hits)
quar_susp=0
# Минимальный универсальный идентификатор пользователя(uid) , с которого разрешается блокировать пользователя.
quar_susp_minuid=500
# Максимальная глубина вложений,на которой будут проверяться файлы
maxdepth=15
# Минимальный размер файла в байтах, включенный в сканирование
minfilesize=32
# Максимальный размер файла, включенный в сканирование
maxfilesize="768k"
hexdepth=61440
hex_fifo_scan=1
hex_fifo_depth=524288
# Если установлен Clamav, использовать его бинарник clamscan как поисковый движок
clamav_scan=1
# Разрешить запускать сканирование не от пользователя root
public_scan=0
inotify_base_watches=15360
inotify_stime=30
inotify_minuid=500
inotify_webdir=public_html
inotify_nice=10

# Включить отправку сообщений

email_alert=1

# Формирование темы сообщений

email_subj="maldet alert from $(hostname)"

# E-Mail, на который будет отправлено уведомление о найденных/подорительных файлах

email_addr=your@email

# Не отправлять отчет,если все подозрительные файлы были очищены/исправлены

email_ignore_clean=0

# Помещать подозрительные файлы на карантин

quar_hits=0

# попытаться очистить файл от зловредного кода(требует активации/включения опции quar_hits)

quar_clean=1

#Блокировать вход для пользователя, в файлах которого обнаружилось malware(требует активации/включения опции quar_hits)

quar_susp=0

# Минимальный универсальный идентификатор пользователя(uid) , с которого разрешается блокировать пользователя.

quar_susp_minuid=500

# Максимальная глубина вложений,на которой будут проверяться файлы

maxdepth=15

# Минимальный размер файла в байтах, включенный в сканирование

minfilesize=32

# Максимальный размер файла, включенный в сканирование

maxfilesize="768k"

hexdepth=61440

hex_fifo_scan=1

hex_fifo_depth=524288

# Если установлен Clamav, использовать его бинарник clamscan как поисковый движок

clamav_scan=1

# Разрешить запускать сканирование не от пользователя root

public_scan=0

inotify_base_watches=15360

inotify_stime=30

inotify_minuid=500

inotify_webdir=public_html

inotify_nice=10

3. Базовые команды для работы с утилитой maldet Принудительное обновление баз с сайта rfxn.com

# maldet --update(-u)

1	# maldet --update(-u)

Принудительно обновление версии скрипта с сайта rfxn.com

# maldet --update-ver(-d)

1	# maldet --update-ver(-d)

Проверка всех папок и фалов в каталоге /home

# maldet --scan-all  /home

1	# maldet --scan-all /home

NOTE: quarantine is disabled! set quar_hits=1 in conf.maldet or to quarantine results run: maldet -q 073014-2238.12001
FILE HIT LIST:
{MD5}gzbase64.inject.unclassed.533 : /tmp/maldetect-1.4.2/files/clean/gzbase64.inject.unclassed

NOTE: quarantine is disabled! set quar_hits=1 in conf.maldet or to quarantine results run: maldet -q 073014-2238.12001

FILE HIT LIST:

{MD5}gzbase64.inject.unclassed.533 : /tmp/maldetect-1.4.2/files/clean/gzbase64.inject.unclassed

Поместить в карантин все подозрительные файлы при обнаружении их […]

Опубликовано в рубрике Centos, Security, Security

Метки: Linux Malware Detect, security

Комментарии отключены

Установка и настройка Rkhunter на Centos/Debian

Июль 28th, 2014

Evgeniy Kamenev

Установка и настройка Rkhunter на Centos Установка через менеджер пакетов yum 1. Установка через менеджер пакетов yum

# yum  install  rkhunter

1	# yum install rkhunter

Просмотр части файлов, которые создаются при установке rkhunter

# rpm -ql rkhunter-1.4.2-3.el6.noarch | grep "etc\|log"

1	# rpm -ql rkhunter-1.4.2-3.el6.noarch \| grep "etc\\|log"

/etc/cron.daily/rkhunter
/etc/logrotate.d/rkhunter
/etc/rkhunter.conf
/etc/sysconfig/rkhunter
/var/log/rkhunter

/etc/cron.daily/rkhunter

/etc/logrotate.d/rkhunter

/etc/rkhunter.conf

/etc/sysconfig/rkhunter

/var/log/rkhunter

2.Изменяем адрес ,на который будет приходит уведомление в случае появления Warning при проверке

# nano /etc/sysconfig/rkhunter

1	# nano /etc/sysconfig/rkhunter

MAILTO=your@email
DIAG_SCAN=no

1 2	MAILTO=your@email DIAG_SCAN=no

3.Настраиваем конфигурационный файл rkhunter.conf

# cp /etc/rkhunter.conf /etc/rkhunter.conf~

1	# cp /etc/rkhunter.conf /etc/rkhunter.conf~

# nano /etc/rkhunter.conf

1	# nano /etc/rkhunter.conf

MAIL-ON-WARNING=your@email
LOGFILE=/var/log/rkhunter/rkhunter.log
APPEND_LOG=1
ALLOW_SSH_PROT_V1=0
ALLOW_SSH_ROOT_USER=unset
SSH_CONFIG_DIR=/etc/ssh
ENABLE_TESTS=ALL
DISABLE_TESTS="suspscan deleted_files packet_cap_apps apps"
PKGMGR=RPM
SUSPSCAN_DIRS=/tmp /var/tmp
SUSPSCAN_MAXSIZE=10240000
SUSPSCAN_THRESH=200

MAIL-ON-WARNING=your@email

LOGFILE=/var/log/rkhunter/rkhunter.log

APPEND_LOG=1

ALLOW_SSH_PROT_V1=0

ALLOW_SSH_ROOT_USER=unset

SSH_CONFIG_DIR=/etc/ssh

ENABLE_TESTS=ALL

DISABLE_TESTS="suspscan deleted_files packet_cap_apps apps"

PKGMGR=RPM

SUSPSCAN_DIRS=/tmp /var/tmp

SUSPSCAN_MAXSIZE=10240000

SUSPSCAN_THRESH=200

[…]

Опубликовано в рубрике Centos, Debian/Ubuntu, Security, Security, Security Tools, System

Метки: rkhunter, security

Комментарии отключены

Использование Nmap

Январь 17th, 2014

Evgeniy Kamenev

Сканер портов Nmap Введение Программа nmap относится к числу сканеров портов и сканеров безопасности систем. Программа позволяет администраторам сканировать отдельные хосты и целые сети, определяя поддерживаемые типы сервиса и другие параметры. Nmap поддерживает множество методов сканирования — UDP, TCP connect(), TCP SYN (half open), ftp proxy (bounce attack), Reverse-ident, ICMP (ping sweep), FIN, ACK sweep, […]

Опубликовано в рубрике Centos, Linux/Unix General, Security, Security, Security Tools

Метки: Nmap

Комментарии отключены

Использование Ipset

Ноябрь 6th, 2013

Evgeniy Kamenev

Использование Ipset Создание списка(ов) ipset -N badips iphash badips – имя списка iphash – тип списка(только для единичных адресов) nethash – тип списка (только для подсетей адресов) (man ipset для подробностей) Добавление адресов в этот список ipset -A badips 99.88.77.66 Создание правила в iptables для использования списка: iptables -A INPUT -m set —set badips src […]

Опубликовано в рубрике Linux/Unix General, Security

Метки: ipset

Комментарии отключены

Архивы рубрики ‘Security’

Настройка Logwatch для обработки Nginx-логов

Установка и настройка Linux Malware Detect

Установка и настройка Rkhunter на Centos/Debian

Использование Nmap

Использование Ipset

Страницы

Свежие записи

Архивы

Рубрики

Админ-панель