Ubuntu szerver általános biztonsági beállításai (Fossa) - Laptörténet

KZoli: /* A fail2ban telepítése */

2020-05-20T06:48:06Z

A fail2ban telepítése

← Régebbi változat		A lap 2020. május 20., 06:48-kori változata
311. sor:		311. sor:
	===A fail2ban telepítése===		===A fail2ban telepítése===
	A [http://www.fail2ban.org/wiki/index.php/Main_Page fail2ban] egy ''framework'', amely hálózati szolgáltatások naplóinak figyelésére, és a szolgáltatással visszaélés (''abuse'', pl. SSH ''brute force'' vagy ''dictionary attack'') jeleit mutató távoli kliensek ideiglenes kitiltására szolgál a csomagszűrő tűzfal (''netfilter'') átmeneti átkonfigurálásával.		A [http://www.fail2ban.org/wiki/index.php/Main_Page fail2ban] egy ''framework'', amely hálózati szolgáltatások naplóinak figyelésére, és a szolgáltatással visszaélés (''abuse'', pl. SSH ''brute force'' vagy ''dictionary attack'') jeleit mutató távoli kliensek ideiglenes kitiltására szolgál a csomagszűrő tűzfal (''netfilter'') átmeneti átkonfigurálásával.

			''Megjegyzés:'' a fail2ban (''iptables'' hívásokkal) közvetlenül módosítja a ''netfilter''-t; ''ufw'' integráció '''TODO!'''.
	<pre>apt install fail2ban # Függőségként hozza magával a python-t</pre>		<pre>apt install fail2ban # Függőségként hozza magával a python-t</pre>
	Telepítés után a ''fail2ban'' csak az SSH-~~t védi (ami nekünk egyelőre meg is felel~~). Ha van megbízható (''trusted'') IP címünk vagy tartományunk, amellyel szemben az SSH védelmet szeretnénk mellőzni ~~(célszerűen megegyezhet a ''/etc/shorewall/hosts'' ''trs'' zónájával)~~, készítsünk egy ''overlay'' állományt ~~ennek megadására~~:		Telepítés után a ''fail2ban'' számos, előre definiált védelme közül csak az SSH van bekapcsolva (ld. ''/etc/fail2ban/jail.d/defaults-debian.conf''). Ha van megbízható (''trusted'') IP címünk vagy tartományunk, amellyel szemben az SSH védelmet szeretnénk mellőzni, készítsünk egy ''overlay'' állományt a védelem átkonfigurálására:
	<pre>touch /etc/fail2ban/jail.d/sshd.conf; chmod 600 /etc/fail2ban/jail.d/sshd.conf		<pre>touch /etc/fail2ban/jail.d/sshd.conf; chmod 600 /etc/fail2ban/jail.d/sshd.conf
	mcedit /etc/fail2ban/jail.d/sshd.conf</pre>		mcedit /etc/fail2ban/jail.d/sshd.conf</pre>
323. sor:		325. sor:
	bantime = 600		bantime = 600
	ignoreip = IP.IP.IP.IP IP.IP.IP.IP/MASK</pre>		ignoreip = IP.IP.IP.IP IP.IP.IP.IP/MASK</pre>
	A ~~beállítást~~ a ''fail2ban'' újraindításával érvényesítsük:		A majdani publikus kihelyezésre gondolva célszerű bekapcsolni az Exim védelmét is:
	<pre>systemctl restart fail2ban; tail -f /var/log/fail2ban.log # Jail 'sshd' started</pre>		<pre>touch /etc/fail2ban/jail.d/exim.conf; chmod 600 /etc/fail2ban/jail.d/exim.conf
	A későbbiekben ~~a védendő~~, egyéb szolgáltatások helyi beállításait is az ~~''ssh.conf''-hoz hasonlóan~~ létrehozandó, ''/etc/fail2ban/jail.d/*.conf'' beállító állományokban adhatjuk meg.		mcedit /etc/fail2ban/jail.d/exim.conf</pre>
			<pre>-rw------- root root /etc/fail2ban/jail.d/exim.conf

			[exim]
			enabled = true
			</pre>
			A beállításokat a ''fail2ban'' újraindításával érvényesítsük:
			<pre>systemctl restart fail2ban; tail -f /var/log/fail2ban.log # Jail 'sshd' started \| Jail 'exim' started</pre>
			A későbbiekben telepítendő, védeni kívánt egyéb szolgáltatások helyi beállításait az ugyanitt létrehozandó, ''/etc/fail2ban/jail.d/*.conf'' beállító állományokban adhatjuk meg.

	''Opcionális'' gyors tesztként egy, a telepítés alatt álló szervert TCP-n keresztül elérő gépről (ne a saját munkaállomásunkról!) próbáljunk SSH-n sikertelenül bejelentkezni, és figyeljük a ''/var/log/fail2ban.log'' állományban az IP kitiltását, illetve 10 perc utáni újraengedélyezését. Ha megadtunk megbízható IP-t vagy tartományt, ellenőrizhetjük, hogy az innen indított sikertelen lekérésekre a kitiltás nem történik meg.		''Opcionális'' gyors tesztként egy, a telepítés alatt álló szervert TCP-n keresztül elérő gépről (ne a saját munkaállomásunkról!) próbáljunk SSH-n sikertelenül bejelentkezni, és figyeljük a ''/var/log/fail2ban.log'' állományban az IP kitiltását, illetve 10 perc utáni újraengedélyezését. Ha megadtunk megbízható IP-t vagy tartományt, ellenőrizhetjük, hogy az innen indított sikertelen lekérésekre a kitiltás nem történik meg.

	==Jogi csűrcsavar==		==Jogi csűrcsavar==
	Talán nevetségesnek tűnik, de a [http://www.bastille-linux.org/ Bastille Linux] szerzői azt ajánlják, hogy írjunk egy figyelmeztetést, amely minden Linux login esetén megjelenik. Így ha valaki helyi vagy távoli konzolos belépéssel kerül a rendszerbe, akkor találkozik ezzel a figyelmeztetéssel, és utóbb nem mondhatja azt, hogy nem tudta, hogy tilosban jár, valamint nem panaszkodhat, hogy tevékenységét megfigyeltük, és ezzel megsértettük a személyiségi jogait. Tudom, hogy ez nagyon amerikai gondolkodás, de hátha (Al Caponét is adócsalásért sikerült, ugyebár)... A fentiek érdekében:		Talán nevetségesnek tűnik, de a [http://www.bastille-linux.org/ Bastille Linux] szerzői azt ajánlják, hogy írjunk egy figyelmeztetést, amely minden Linux login esetén megjelenik. Így ha valaki helyi vagy távoli konzolos belépéssel kerül a rendszerbe, akkor találkozik ezzel a figyelmeztetéssel, és utóbb nem mondhatja azt, hogy nem tudta, hogy tilosban jár, valamint nem panaszkodhat, hogy tevékenységét megfigyeltük, és ezzel megsértettük a személyiségi jogait. Tudom, hogy ez nagyon amerikai gondolkodás, de hátha (Al Caponét is adócsalásért sikerült, ugyebár)... A fentiek érdekében:

KZoli: /* Olvasnivaló */

2020-05-19T14:52:46Z

Olvasnivaló

← Régebbi változat		A lap 2020. május 19., 14:52-kori változata
458. sor:		458. sor:
	==Olvasnivaló==		==Olvasnivaló==
	* [http://www.szabilinux.hu/bw/bw00.html Biztonságos Web-szerver kialakítása Debian GNU/Linux 2.2 rendszeren]		* [http://www.szabilinux.hu/bw/bw00.html Biztonságos Web-szerver kialakítása Debian GNU/Linux 2.2 rendszeren]
	* [~~http~~://www.debian.org/doc/manuals/securing-debian-~~howto~~/ Securing Debian Manual]		* [https://www.debian.org/doc/manuals/securing-debian-manual/index.en.html Securing Debian Manual]

KZoli: /* Publikus környezetbe kihelyezés */

2020-05-19T14:51:39Z

Publikus környezetbe kihelyezés

← Régebbi változat		A lap 2020. május 19., 14:51-kori változata
456. sor:		456. sor:
	* Ügyeljünk arra, hogy nyilvánosan elérhető gépeken mindig erős (lehetőleg generált) jelszavak legyenek!		* Ügyeljünk arra, hogy nyilvánosan elérhető gépeken mindig erős (lehetőleg generált) jelszavak legyenek!
	<br>		<br>
			==Olvasnivaló==
			* [http://www.szabilinux.hu/bw/bw00.html Biztonságos Web-szerver kialakítása Debian GNU/Linux 2.2 rendszeren]
			* [http://www.debian.org/doc/manuals/securing-debian-howto/ Securing Debian Manual]

KZoli: /* Publikus környezetbe kihelyezés */

2020-05-19T14:51:11Z

Publikus környezetbe kihelyezés

← Régebbi változat		A lap 2020. május 19., 14:51-kori változata
429. sor:		429. sor:
	==Publikus környezetbe kihelyezés==		==Publikus környezetbe kihelyezés==
	A biztonsági megerősítést követően a szerver publikus környezetbe (DMZ, ''production'') kihelyezhető. A kihelyezésnél figyeljünk:		A biztonsági megerősítést követően a szerver publikus környezetbe (DMZ, ''production'') kihelyezhető. A kihelyezésnél figyeljünk:
	* a statikus IP megadására (''/etc/~~network~~/~~interfaces'');~~		* a statikus IP megadására (''/etc/netplan/*.yaml'');
	* ~~a ''/etc/resolv~~.~~conf~~''-beli nameserver megadására (127.0.0.1 ha fut rajta cacheing DNS), a belső hálózati nameserver bejegyzés kommentezésére (vigyázat, ha nem védjük meg, a DHCP kliens ezt periodikusan felülírja!);
	* a domain név esetleges megváltoztatására (''/etc/hosts'');		* a domain név esetleges megváltoztatására (''/etc/hosts'');
	* a levelezés átkonfigurálására:		* a levelezés átkonfigurálására:
437. sor:		436. sor:
	dpkg-reconfigure exim4-config</pre>		dpkg-reconfigure exim4-config</pre>
	átállítása "internetes gép" konfigurációra (minden más maradhat). Ezután ellenőrizzük, hogy a szerver milyen FQHN-vel (''Fully Qualified HostName'') jelentkezik be levélküldéskor:		átállítása "internetes gép" konfigurációra (minden más maradhat). Ezután ellenőrizzük, hogy a szerver milyen FQHN-vel (''Fully Qualified HostName'') jelentkezik be levélküldéskor:
	<pre>echo "Teszt" \| mail -s Teszt helocheck@~~cbl.~~abuseat.org; tail -f /var/log/exim4/mainlog</pre>		<pre>echo "Teszt" \| mail -s Teszt helocheck@abuseat.org; tail -f /var/log/exim4/mainlog</pre>
	Ez egy azonnal visszapattanó levelet eredményez, amelybe a ''helocheck'' beleírja az általunk ténylegesen használt FQHN-et. Ha ez nem egyezne meg a		Ez egy azonnal visszapattanó levelet eredményez, amelybe a ''helocheck'' beleírja az általunk ténylegesen használt FQHN-et. Ha ez nem egyezne meg a
	<pre>dig -x IP.IP.IP.IP # szerver publikus IP címe</pre>		<pre>dig -x IP.IP.IP.IP # szerver publikus IP címe</pre>

KZoli: /* Jogi csűrcsavar */

2020-05-19T14:44:04Z

Jogi csűrcsavar

← Régebbi változat		A lap 2020. május 19., 14:44-kori változata
427. sor:		427. sor:
	</pre>		</pre>
	'''Gyorsteszt:''' a következő belépés során a név és jelszó vagy kulcs megadása előtt a rövidebb, sikeres belépés esetén a hosszabb szövegváltozat is megjelenik.		'''Gyorsteszt:''' a következő belépés során a név és jelszó vagy kulcs megadása előtt a rövidebb, sikeres belépés esetén a hosszabb szövegváltozat is megjelenik.
			==Publikus környezetbe kihelyezés==
			A biztonsági megerősítést követően a szerver publikus környezetbe (DMZ, ''production'') kihelyezhető. A kihelyezésnél figyeljünk:
			* a statikus IP megadására (''/etc/network/interfaces'');
			* a ''/etc/resolv.conf''-beli nameserver megadására (127.0.0.1 ha fut rajta cacheing DNS), a belső hálózati nameserver bejegyzés kommentezésére (vigyázat, ha nem védjük meg, a DHCP kliens ezt periodikusan felülírja!);
			* a domain név esetleges megváltoztatására (''/etc/hosts'');
			* a levelezés átkonfigurálására:
			<blockquote>
			<pre>mount -o remount,exec /var # Szigorú csatolás esetén
			dpkg-reconfigure exim4-config</pre>
			átállítása "internetes gép" konfigurációra (minden más maradhat). Ezután ellenőrizzük, hogy a szerver milyen FQHN-vel (''Fully Qualified HostName'') jelentkezik be levélküldéskor:
			<pre>echo "Teszt" \| mail -s Teszt helocheck@cbl.abuseat.org; tail -f /var/log/exim4/mainlog</pre>
			Ez egy azonnal visszapattanó levelet eredményez, amelybe a ''helocheck'' beleírja az általunk ténylegesen használt FQHN-et. Ha ez nem egyezne meg a
			<pre>dig -x IP.IP.IP.IP # szerver publikus IP címe</pre>
			paranccsal megtudható reverse-zel, akkor manuálisan állítsuk be a helyes (reverse) FQHN-et. Ennek Exim-barát módja az alábbi extra konfigurációs állomány használata:
			<pre>-rw-r--r-- root root /etc/exim4/conf.d/main/99_exim4-config_custom_settings
			[...]
			# Custom settings - nor provided by maintainer,
			# nor customizable by Debian automagic

			[...]
			REMOTE_SMTP_HELO_DATA = "helyes.reverse.FQHN"</pre>
			Érvényesítsük a beállításokat:
			<pre>/usr/sbin/update-exim4.conf; systemctl reload exim4</pre>
			és ismételjük meg a ''helocheck'' tesztet. Siker esetén állítsuk helyre a ''/var'' szigorú csatolását:
			<pre>mount -o remount /var</pre>
			</blockquote>
			* szigorú partíció-csatolásra (''/etc/fstab.secure'').
			* Ha a gép előtt valamilyen hálózati forgalomszűrés történik (DMZ) azt is be kell állítani.
			* Ügyeljünk arra, hogy nyilvánosan elérhető gépeken mindig erős (lehetőleg generált) jelszavak legyenek!
			<br>

KZoli: /* Jogi csűrcsavar */

2020-05-19T14:43:09Z

Jogi csűrcsavar

← Régebbi változat		A lap 2020. május 19., 14:43-kori változata
353. sor:		353. sor:
	<pre>systemctl restart sshd</pre>		<pre>systemctl restart sshd</pre>
	* Belépés után egy hosszabb, két nyelvű figyelmeztetést jelenítünk meg (technikailag a ''message of the day'' szolgáltatással).		* Belépés után egy hosszabb, két nyelvű figyelmeztetést jelenítünk meg (technikailag a ''message of the day'' szolgáltatással).
	Ehhez letiltjuk a dinamikus faliújságot :) a ''/etc/pam.d/sshd'' állományban az alábbi ~~két~~ ''session'' kikommentezésével:		Ehhez letiltjuk a dinamikus faliújságot :) a ''/etc/pam.d/sshd'' állományban az alábbi ''session'' kikommentezésével:
	<pre>-rw-r--r-- root root /etc/pam.d/sshd		<pre>-rw-r--r-- root root /etc/pam.d/sshd

361. sor:		361. sor:
	# and a static (admin-editable) part from /etc/motd.		# and a static (admin-editable) part from /etc/motd.
	##session optional pam_motd.so motd=/run/motd.dynamic		##session optional pam_motd.so motd=/run/motd.dynamic
	##session optional pam_motd.so noupdate		session optional pam_motd.so noupdate
	[...]</pre>		[...]</pre>
	Letiltjuk az immáron már meg nem jelenített, változó tartalmak lekérését (''pingback'') a Canonical-től:		Letiltjuk az immáron már meg nem jelenített, változó tartalmak lekérését (''pingback'') a Canonical-től:

KZoli: /* Jogi csűrcsavar */

2020-05-19T14:38:36Z

Jogi csűrcsavar

@@ 352. sor: / 352. sor: @@
 és az ''sshd'' újtaindításával érvényesítsük a beállítást:
 <pre>systemctl restart sshd</pre>
-* Belépés után egy hosszabb, két nyelvű figyelmeztetést jelenítünk meg (technikailag a ''message of the day'' szolgáltatással):
+* Belépés után egy hosszabb, két nyelvű figyelmeztetést jelenítünk meg (technikailag a ''message of the day'' szolgáltatással).
 <pre>-rw-r--r-- root root /etc/motd
@@ 408. sor: / 426. sor: @@
 ********************************************************************************
 </pre>
-* Gyorsteszt: a következő belépés során a név és jelszó vagy kulcs megadása előtt a rövidebb, sikeres belépés esetén a hosszabb szövegváltozat is megjelenik.
+'''Gyorsteszt:''' a következő belépés során a név és jelszó vagy kulcs megadása előtt a rövidebb, sikeres belépés esetén a hosszabb szövegváltozat is megjelenik.

KZoli: /* A fail2ban telepítése */

2020-05-19T14:15:19Z

A fail2ban telepítése

← Régebbi változat		A lap 2020. május 19., 14:15-kori változata
328. sor:		328. sor:

	''Opcionális'' gyors tesztként egy, a telepítés alatt álló szervert TCP-n keresztül elérő gépről (ne a saját munkaállomásunkról!) próbáljunk SSH-n sikertelenül bejelentkezni, és figyeljük a ''/var/log/fail2ban.log'' állományban az IP kitiltását, illetve 10 perc utáni újraengedélyezését. Ha megadtunk megbízható IP-t vagy tartományt, ellenőrizhetjük, hogy az innen indított sikertelen lekérésekre a kitiltás nem történik meg.		''Opcionális'' gyors tesztként egy, a telepítés alatt álló szervert TCP-n keresztül elérő gépről (ne a saját munkaállomásunkról!) próbáljunk SSH-n sikertelenül bejelentkezni, és figyeljük a ''/var/log/fail2ban.log'' állományban az IP kitiltását, illetve 10 perc utáni újraengedélyezését. Ha megadtunk megbízható IP-t vagy tartományt, ellenőrizhetjük, hogy az innen indított sikertelen lekérésekre a kitiltás nem történik meg.
			==Jogi csűrcsavar==
			Talán nevetségesnek tűnik, de a [http://www.bastille-linux.org/ Bastille Linux] szerzői azt ajánlják, hogy írjunk egy figyelmeztetést, amely minden Linux login esetén megjelenik. Így ha valaki helyi vagy távoli konzolos belépéssel kerül a rendszerbe, akkor találkozik ezzel a figyelmeztetéssel, és utóbb nem mondhatja azt, hogy nem tudta, hogy tilosban jár, valamint nem panaszkodhat, hogy tevékenységét megfigyeltük, és ezzel megsértettük a személyiségi jogait. Tudom, hogy ez nagyon amerikai gondolkodás, de hátha (Al Caponét is adócsalásért sikerült, ugyebár)... A fentiek érdekében:

			* Belépés előtt egy rövid, angol nyelvű figyelmeztetést adunk (egy [https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=326027 régi hiba] miatt, SSH belépéskor ékezetes szöveg itt nem használható). Ennek tartalmát konzolos belépéshez a ''/etc/issue'', SSH belépéshez a ''/etc/issue.net'' állományban adhatjuk meg; ebben a leírásban mindkettőnél azonos szöveget használunk:
			<pre>-rw-r--r-- root root /etc/issue
			-rw-r--r-- root root /etc/issue.net

			********************************************************************************
			NOTICE TO USERS

			This computer system is the property of [OWNER].
			It is for authorized use only. Users (authorized or unauthorized) may not have
			any expectations - explicit or implicit - of privacy.

			********************************************************************************
			</pre>
			Az ''sshd'' beállításaiban a banner szöveg megjelenítése alapértelmezetten ki van kapcsolva, ezért (a beállító állományban a vonatkozó sor kommentezésének megszüntetésével) ezt kapcsoljuk be:
			<pre>-rw-r--r-- root root /etc/ssh/sshd_config

			[...]
			Banner /etc/issue.net
			[...]</pre>
			és az ''sshd'' újtaindításával érvényesítsük a beállítást:
			<pre>systemctl restart sshd</pre>
			* Belépés után egy hosszabb, két nyelvű figyelmeztetést jelenítünk meg (technikailag a ''message of the day'' szolgáltatással):
			<pre>-rw-r--r-- root root /etc/motd

			********************************************************************************
			FIGYELMEZTETÉS A FELHASZNÁLÓKNAK

			Ez a számítógépes rendszer a [TULAJDONOS] tulajdonát képezi.
			A rendszert csak a megfelelő felhatalmazás birtokában lehet használni.
			A rendszer jogosulatlan, illetve nem megfelelő használata munkajogi, polgári
			jogi és büntetőjogi felelősségre vonást vonhat maga után.

			A rendszerbe való belépést, a rendszer bármilyen módon történő használatát
			a tulajdonos megfigyeli, rögzíti, ellenőrzi és erről szükség esetén tájékoztatja
			a munkaadót, az intézkedésre jogosult hatóságokat, kormányzati és nyomozati
			szerveket, ügyészséget, bíróságot, az illetékes hatóságok hivatalnokait, továbbá
			a jogosulatlan használattal érintett magánszemélyeket, társaságokat és egyéb
			szervezeteket.

			A rendszerbe való belépéssel a Felhasználó hozzájárul az ily módon történő
			megfigyeléshez, rögzítéshez, ellenőrzéshez, az adatok – ide értve a felhasználó
			által megadott személyes adatokat is – tárolásához, továbbadásához, célhoz
			kötött felhasználásához. Az adatok kezelése a mindenkor hatályos adatvédelmi
			jogszabályoknak megfelelően történik.

			A Felhasználónak sem implicit, sem explicit elvárásai, követelései, kártérítési
			igényei nem lehetnek a titoktartással és a fentiekkel összefüggésben.

			A Felhasználó a belépéssel a fentieket elfogadja és magára nézve kötelezőnek
			ismeri el.

			********************************************************************************
			NOTICE TO USERS

			This computer system is the property of [OWNER].
			It is for authorized use only. Unauthorized or inappropriate use of this
			system may result in labor law procedures, administrative or disciplinary
			action and might induce civil and criminal liability.

			Access to this system is monitored, recorded, and checked by the owner of the
			system who might disclose it to the employer, law enforcement authorities,
			government agencies and investigative, prosecutorial, judicial, officials of
			the competent authorities, as well as to private individuals, companies and
			other organizations involved.

			By access to this system, Users consent to such monitoring, recording, checking
			and also to the storing, forwarding and utilizing data – including the Users'
			personal data. Data management is performed according to the effective
			regulations on the protection of personal data.

			Users may not have any expectations (explicit or implicit) of privacy.

			By access to this system Users indicate awareness of and consent to these
			terms and conditions.

			********************************************************************************
			</pre>
			* Gyorsteszt: a következő belépés során a név és jelszó vagy kulcs megadása előtt a rövidebb, sikeres belépés esetén a hosszabb szövegváltozat is megjelenik.
			<br>

KZoli: /* File jogosultságok szigorítása */

2020-05-19T13:45:24Z

File jogosultságok szigorítása

KZoli: /* A fail2ban telepítése */

2020-05-18T21:50:02Z

A fail2ban telepítése

@@ 310. sor: / 310. sor: @@
 ===A fail2ban telepítése===
 A [http://www.fail2ban.org/wiki/index.php/Main_Page fail2ban] egy ''framework'', amely hálózati szolgáltatások naplóinak figyelésére, és a szolgáltatással visszaélés (''abuse'', pl. SSH ''brute force'' vagy ''dictionary attack'') jeleit mutató távoli kliensek ideiglenes kitiltására szolgál a csomagszűrő tűzfal (''netfilter'') átmeneti átkonfigurálásával.
-<pre>apt-get install fail2ban # Függőségként hozza magával a python-t</pre>
+<pre>apt install fail2ban # Függőségként hozza magával a python-t</pre>
 Telepítés után a ''fail2ban'' csak az SSH-t védi (ami nekünk egyelőre meg is felel). Ha van megbízható (''trusted'') IP címünk vagy tartományunk, amellyel szemben az SSH védelmet szeretnénk mellőzni (célszerűen megegyezhet a ''/etc/shorewall/hosts'' ''trs'' zónájával), készítsünk egy ''overlay'' állományt ennek megadására:
 <pre>touch /etc/fail2ban/jail.d/sshd.conf; chmod 600 /etc/fail2ban/jail.d/sshd.conf
@@ 337. sor: / 318. sor: @@
 [sshd]
 enabled = true
 ignoreip = IP.IP.IP.IP IP.IP.IP.IP/MASK</pre>
 A beállítást a ''fail2ban'' újraindításával érvényesítsük:
@@ 343. sor: / 327. sor: @@
 ''Opcionális'' gyors tesztként egy, a telepítés alatt álló szervert TCP-n keresztül elérő gépről (ne a saját munkaállomásunkról!) próbáljunk SSH-n sikertelenül bejelentkezni, és figyeljük a ''/var/log/fail2ban.log'' állományban az IP kitiltását, illetve 10 perc utáni újraengedélyezését. Ha megadtunk megbízható IP-t vagy tartományt, ellenőrizhetjük, hogy az innen indított sikertelen lekérésekre a kitiltás nem történik meg.

← Régebbi változat		A lap 2020. május 19., 13:45-kori változata
108. sor:		108. sor:
	chmod 660 /var/log/wtmp # Who is logged in now. Use who to view		chmod 660 /var/log/wtmp # Who is logged in now. Use who to view
	chmod 660 /var/log/lastlog # Who has logged in before. Use last to view		chmod 660 /var/log/lastlog # Who has logged in before. Use last to view
	chmod 600 /etc/ftpusers # List of users that cannot(!) FTP		#chmod 600 /etc/ftpusers # List of users that cannot(!) FTP
	chmod 600 /etc/securetty # TTY interfaces that allow root logins		#chmod 600 /etc/securetty # TTY interfaces that allow root logins
	chmod 700 /etc/security # System access security policy files		chmod 700 /etc/security # System access security policy files
	chmod 750 /etc/init.d # Program start-up files		chmod 750 /etc/init.d # Program start-up files
	chmod 600 /etc/inetd.conf # Internet Superserver config file		#chmod 600 /etc/inetd.conf # Internet Superserver config file
	chmod 400 /etc/cron.allow # List of users permitted to use cron		#chmod 400 /etc/cron.allow # List of users permitted to use cron
	chmod 400 /etc/cron.deny # List of users denied access to cron		#chmod 400 /etc/cron.deny # List of users denied access to cron
	chmod 750 /etc/ssh # Secure shell config files		chmod 750 /etc/ssh # Secure shell config files
	chmod 600 /etc/sysctl.conf # Contains kernel tunable options		chmod 600 /etc/sysctl.conf # Contains kernel tunable options
122. sor:		122. sor:

	<small>Megjegyzés: Erre a scriptre ráférne egy frissítés! - '''TODO!'''</small>		<small>Megjegyzés: Erre a scriptre ráférne egy frissítés! - '''TODO!'''</small>

	==Partíciók csatolásának szigorítása==		==Partíciók csatolásának szigorítása==
	A partíciókat úgy csatoljuk fel, hogy csak a ''/'' (esetleg még a ''/srv'' vagy ''/srv/chroot'') partíció legyen írható és futtatható egyszerre. Célszerű a telepítő által létrehozott ''/etc/fstab file''-t két példányban lemásolni:		A partíciókat úgy csatoljuk fel, hogy csak a ''/'' (esetleg még a ''/srv'' vagy ''/srv/chroot'') partíció legyen írható és futtatható egyszerre. Célszerű a telepítő által létrehozott ''/etc/fstab file''-t két példányban lemásolni: