Evitar "travesuras" de ex-admin

Je... pues comprueba que no haya instalado algun rootkit. Reinstala software comprometido desde fuentes que confíes... cualquier cosa

Saludos.Ferdy

Sonara estupido pero si tienes red wifi , cambila el cifrado y compruebate las macs con acceso .

Sigo currando ciao ¡¡

Pues todo la verdad , desde los usuarios y cuentas y permisos de todo , puertos en el router , todo los procesos que se ejecutan en las maquinas , yo de arriba abakjo toda las maquinas y servidores de correos pues si ha redirecciones sospechosas , acceso a routers.

primero tienes que evaluar las formas de 'intromision' que puede tener ese ex-admin.

puede abrirte un puerto en el router para entar por SSH a algun PC, o puede dejarse la red wifi desprotegida...

como paso primario, cambiar claves de wifi y encriptar por WPA.
como paso secundario, resetear router ADSL o cable a configuracion por defecto y configurar el acceso a internet de nuevo.

en la salida a internet, por un concentrador y enchufa un ordenador viejo con 'ethereal' esnifeando la red durante 1 mes y guardando logs, sobre todo de los traficos 80, 22 y 21.

no te podras garantizar nunca que el tio no te va a entrar, pero si te entra, el log de 'ethereal' te valdra para denunciarlo y sacarle un buen pico...

Hola.

1.- Cambia el puerto sshd que por defecto se ejecuta en el 22 a otra cosa por ejemplo el 40022 o así.

2.- Cambia la configuración del sshd (en muchos localizada en /etc/ssh/sshdconfig o algo así era, busca y encontrarás) para que no permita logins como root, algo como allow root login a no, por descontado que elimina cualquier cuenta del sistema con shell que no te suene y cambia las passwords de las que son necesarias.

Esto, que en FreeBSD por ejemplo es lo estándar, aún no sé por qué en los sistemas Linux hay que hacerlo.... cosas de la vida.

3.- Elimina de la lista de sudoers todo lo que no te suene.

4.- Cambia las pass de las bases de datos, leer pasos anteriores y aplicarlo a mysql o lo que tengaís.

5.- Elimina los accesos a la administración por shell desde fuera salvo necesarios (elimina mapeos en el router o los routers).

Sinceramente, y te lo dice alguien que trabaja en esto desde hace tiempo, si el tío es bueno, nada de esto (ni nada de nada) te servirá, pero si es medianejo le paras los pies con esas cuatro cosas, y el resto es de pura lógica.

Ea, a divertirse. Salu2.

PD: También te puedes reir un rato instalando un honeypot en el puerto donde antes estaba el ssh, y "simular" la conexión loggeando todos los movimientos del susodicho, nada de esnifar paquetes y cosas raras, diversión pura y dura garantizada

A ver.... por partes:

en la salida a internet, por un concentrador y enchufa un ordenador viejo con 'ethereal' esnifeando la red durante 1 mes y guardando logs, sobre todo de los traficos 80, 22 y 21.

no te podras garantizar nunca que el tio no te va a entrar, pero si te entra, el log de 'ethereal' te valdra para denunciarlo y sacarle un buen pico...

No lo has hecho eso NUNCA, ¿ verdad ?

Si quieres hilar tan fino, NO USES ETHEREAL, usa un IDS.

1.- Cambia el puerto sshd que por defecto se ejecuta en el 22 a otra cosa por ejemplo el 40022 o así.

No sirve de nada

Sinceramente, y te lo dice alguien que trabaja en esto desde hace tiempo, si el tío es bueno, nada de esto (ni nada de nada) te servirá, pero si es medianejo le paras los pies con esas cuatro cosas, y el resto es de pura lógica.

No, para nada. Por mucho que la otra persona haya sido la que administraba las máquinas, es 'relativamente' fácil asegurar cualquier máquina que tocara.

Saludos,Ferdy

Ferdy escribió:A ver.... por partes:

No lo has hecho eso NUNCA, ¿ verdad ?

Si quieres hilar tan fino, NO USES ETHEREAL, usa un IDS.

dejarlo durante un mes, NUNCA, pero si por periodos de hasta 12 horas... y si, el trafico alamacenado era demencial, pero era lo mas fino que pude hilar...

no conocia IDS, nunca te acostaras sin saber una cosa mas... voy a buscar info...

El problema no es el tráfico... son las eternas y múltiples vulnerabilidades que tiene ethereal. Obviamente el tráfico es ENORME, pero con unos buenos filtros de captura lo podrías remediar.

Sobre los IDS, siempre escuché que snort es muy bueno

Saludos.Ferdy

Ferdy escribió:No sirve de nada

Sirve más que tener el puerto que todo aspirante a manejar un Linux aprende que es para conectarse a la máquina, abierto de par en par escuchando justo en sitio que se le supone.

Evidentemente cualquiera con dos dedos de frente hace un barrido de puertos y da con el en.... ¿digamos 3 min?, pero claro, si podemos hacerle perder ese tiempo, ¿por qué facilitarle la vida?.

Ferdy escribió:No, para nada. Por mucho que la otra persona haya sido la que administraba las máquinas, es 'relativamente' fácil asegurar cualquier máquina que tocara.

Si normalmente no me cuesta mucho trabajo en máquinas que yo no administro, menos me cuesta aún en máquinas que administre yo, no estoy diciendo que no haya forma de evitarlo, estoy diciendo que si el tio es BUENO (cosa que hoy en día la verdad es que no abunda) uno tiene que realizar un muy buen trabajo, y evidentemente los consejos que he dado antes solo pararían a un "n00b admin".

El tema es que por fortuna o por desgracia el 85% (ma o menos) de los que hoy se consideran sysadmins entran en esa categoría.

Por cierto, legalmente hablando, los logs de comunicaciones no sirven como prueba de nada en un juicio, es una gran putada y un absurdo, puesto que si quieres empapelar a alguien que te esté dando por saco tus equipos tienes que pedir una orden judicial ANTES de que el tio cometa el delito...

Pero bueno, es una cosa que no me extraña de este país, aún recuerdo cuando tuve que pagar una multa (que luego me cobré de vuelta POR SUPUESTO) por dejar mal aparcado el coche.... habría sido normal si no me lo hubieran ROBADO el día anterior...

En fins... un saludo

Sirve más que tener el puerto que todo aspirante a manejar un Linux aprende que es para conectarse a la máquina, abierto de par en par escuchando justo en sitio que se le supone.

Evidentemente cualquiera con dos dedos de frente hace un barrido de puertos y da con el en.... ¿digamos 3 min?, pero claro, si podemos hacerle perder ese tiempo, ¿por qué facilitarle la vida?.

Eso se llama 'falsa sensación de seguridad'. Y el hecho de que haya un servicio MUY seguro como ssh escuchando en su puerto no implica ningún problema.

Saludos.Ferdy

Ferdy escribió:
Eso se llama 'falsa sensación de seguridad'.

Bueno, yo lo llamaría "distraer al enemigo", no te hace más seguro... pero molesta

Ferdy escribió:Y el hecho de que haya un servicio MUY seguro como ssh escuchando en su puerto no implica ningún problema.

Saludos.Ferdy

Desde luego el servicio ssh sería el menor de mis problemas llegado el caso de que tuviera que preocuparme de ello. En MI caso concreto habría otras 6 vulnerabilidades a día de hoy que alguien con conocimientos podría aprovechar para ganar control sobre la máquina (eso me recuerda que tengo que parchearlas ).

Como bien digo antes, son formas de ver las cosas, cada cual tiene SU manera de hacerlo, yo particularmente para servicios que NO me interese que se pueda acceder de forma estándar uso un puerto no estándar, a otros igual se la pela el tema... como reza el dicho "cada maestrillo tiene su librillo".

Salu2.

Desde que Ferdy me dijo lo de PaX y Grsecurity he estado compilando nucleos 2.6 parcheados con estas opciones y haciendo pruebas de rendimiento, en las que este no caia tanto como dicen en algunas webs.
EL problema es que en la pagina de pax dicen que es experimental para kernels 2.6 y quisiera saber que version del kernel usais y si habeis encontrado problemas. Mi idea era montarlo en 3 servidores corriendo los servicios mas comunes (APache, Bind, Postfix...).
Muchas gracias por todo.