On Wed, 1 Jul 2009 22:13:53 +0700
Strong and Humble wrote:
> Спасибо за Ваш ответ, Oleg:
> > корень в ro монтировать, ибо тоже нефиг в штатном режиме туда
> > чего-то писать.
>
> А обновлять как - постоянно перемонтировать?
>
Просмотрел обновления на своем сервере: в среднем раз в неделю. Не
сильно большой головняк. Тем более, у меня по крону обновление. Там
же можно попросить на время обновления в rw перемонтировать.
> И ещё, как fail2ban может помочь мне, если:
>
> 1. я использую только ssh и *неавторизованный* доступ к паутине;
>
> 2. по ssh доступ - только для одного польз-ля, по ключу - подобрать
> - наврядли.
>
А в опциях так прям и сказано: пускать только по ключу?
> 3. Доступ по ssh разрешён не более, скажем, 4 соединения в полчаса.
>
> ??
>
> Скорее, тут м/б найдена дыра в ssh-сервере, но тут и fail2ban не
> поможет - если соединения случаются...
>
У вас компания, для которой экономически выгодно заказывать поиск не
публичной уязвимости? Если нет, то в нормальном дистрибутиве
обновления безопасности появляются через несколько часов после
появления баги в багтраке.
> Однако, не понятно:
>
> 1. Можно ли автоматически обработать весь поток через
> маршрутизатор, слив его предварительно, для анализа: "как взломали
> сервер? Как они работают с ним?"
>
Чем tcpdump не устраивает? Дампим соединение на подозреваемые порты и
смотрим вдумчиво.
> 2. Как заставить службы работать не с правами админ-а?
>
Все нормальные службы умеют менять uid/gid процесса на желаемый. И в
конфиге имеют соответствующие опции, от имени кого им работать.
-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 36257; Возраст листа: 2169; Участников: 1384
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/880785
