Mostra notizie nelle discussioni
  • Avatar
    ☺
    Scritto da
    il 2017-07-01 17:15:39.0 alle 2017-07-01 17:15:39.0
    Trollate totali: 6369
    centOS and ubuntu hardening
    alright ho cominciato da centos perche' mi sembrava la cosa migliore, probabilmente non usero' affatto ubuntu ma solo centos, ergo selinux.

    sto picchiandomi con selinux dopo aver letto un po al riguardo, vi linko anche un bel video del DEFCON che mi ha aiutato molto a cominciare a raccapezzarmi in selinux.
    Cmq qualunque cosa io faccia non riesco ad attivare selinux sul vps centOS 6.5 minimal, poi mi e' venuto in mente che essendo dentro un OpenVZ container non ho il mio kernel quindi se non c'e' SElinux abilitato nel kernel che mi fanno usare loro posso picchiarmici quanto voglio ma non si abilitera' mai, nevvero?



    ottima introduzione a SElinux.



    TL;DR

    SElinux, specialmente su centOS aggiungo io, ha una configurazione di base fatta benissimo, considerato il funzionamento di selinux per non causarsi mal di testa di fatto si usa solo la policy 'targeted'.
    la cosa migliore da fare e' mettere selinux in permissive mode, ovvero far loggare tutto ma non bloccare niente, e poi usare audit2allow ed una serie di tool shipped con selinux che permettono di analizzare i log del permissive mode e creare automagicamente da questi le policy per il proprio server, poi lo si mette in enforcing mode e job done.

    se poi in seguito un singolo programma continua a non funzionare perche' viene bloccato da selinux si puo anche abilitare il permissive mode solo per un certo programma e mantenere il resto in enforcing.

    **Modificato dall'autore il 01.07.2017 17:24**
    Please consider the environment before printing this message, 50% of the above is useless!
    • Avatar
      ☺
      Scritto da
      ::1
      il 2017-07-01 17:21:47.0 alle 2017-07-01 17:21:47.0
      Trollate totali: 12321
      Re: centOS and ubuntu hardening
      Scritto da: dada216
      > OpenVZ

      Sono limitanti rispetto a KVM o Xen. Per il fdt non possiamo usarlo perché sia jvm che rvm hanno allocazioni di memoria fino a 4 volte superiori quando sono dentro una macchina OpenVZ. Avevo anche trovato tutta una spiegazione al riguardo, ma la regola in generale è che openvz vale quanto costa (ovvero poco).
      Young professional woman and busy mom.
      • Avatar
        ☺
        Scritto da
        il 2017-07-01 18:05:04.0 alle 2017-07-01 18:05:04.0
        Trollate totali: 6369
        Re: centOS and ubuntu hardening
        Scritto da: ::1
        > Scritto da: dada216
        > > OpenVZ
        >
        > Sono limitanti rispetto a KVM o Xen. Per il fdt non possiamo usarlo perché sia jvm che rvm hanno allocazioni di memoria fino a 4 volte superiori quando sono dentro una macchina OpenVZ. Avevo anche trovato tutta una spiegazione al riguardo, ma la regola in generale è che openvz vale quanto costa (ovvero poco).

        yep, me ne sto accorgendo, ho notato solo dopo un po questo:

        2.6.32-042stab120.16

        vuol dire che questi cosi qui li usero per testare config e farci altre cose, peccato pero' per selinux, avrei voluto averlo su tutti i server.

        il coso da 1024MB fa girare magento2 (apache 2.4 php7.0) senza troppi problemi, si riescono anche ad installare un po di moduli ed arriva intorno al GB di utilizzo di ram, con un po di tuning al .cnf di mysql sono sceso di qualche centinaio di mb e qundi va bene per testare.

        anche l'installazione di wordpress e' andata bene ed openvpn sono sicuro che funzionera' senza troppi problemi.

        assieme ovviamente non girano e comincia ad andare tutto a puttane, ma me l'aspettavo, non c'e' abbastanza ram.

        pure ssh-agent e la conf dei vari demoni sui vari server per fare il login con le chiavi e' andata liscia.

        l'unica cosa che mi ha dato un po di problemi e' stato installare mysql-5.6 in 128MB di ram, il modo di disabilitare innoDB e' cambiato recentemente e le varie guide non erano aggiornate, ho dovuto scavare nella documentazione di mysql per capire che bisognava disabilitarlo cosi da 5.6 in poi. specialmente per l'opzione in grassetto.

        # deprecated 
        #skip-innodb
        # probably not needed
        ignore-builtin-innodb
        
        # hell yeah!
        default-storage-engine=myisam
        default-tmp-storage-engine=myisam
        innodb=OFF
        


        mysql che gira su un vps separato con 128MBdi ram, il webserver sta servendo il sito ad 1 utente registrato con il carrello pieno.

        # free -m
                     total       used       free     shared    buffers   
        cached
        Mem:           128        114         13          8          0         39
        -/+ buffers/cache:         75         52
        Swap:            0          0          0
        



        riguardo al server mail forse ho trovato la soluzione per avere un dominio e farselo gestire senza dover pagare un occhio della testa per un paio di caselle email divertenti, basta registrarlo con gandi.net e 5 caselle per dominio (piu' alias e forward) sono incluse nella registrazione

        https://www.gandi.net/domain/mail

        Included free with your domain
        
        5 e-mail addresses, sharing a total of 1GB of disk space
        1,000 forwarding addresses and an unlimited number of mail aliases
        anti-spam and anti-virus protection
        
        And for a small extra fee per month:
        You can add as many email mailboxes as you want
        From 1 to 50 GB of disk space depending on your needs (starting at $1.30, £0.70, or €1.00 per additional GB per month for A rates, and $0.65, £0.35, or €0.50 per month excl. VAT for other rate scales).
        With the Mail Pack, you can have useful options such as a auto-responder, or dynamic alias addresses.
        


        speremmu che non sino spammer loro stessi ma vabbe.
        Please consider the environment before printing this message, 50% of the above is useless!
        • Avatar
          ☺
          Scritto da
          ::1
          il 2017-07-01 19:09:03.0 alle 2017-07-01 19:09:03.0
          Trollate totali: 12321
          Re: centOS and ubuntu hardening
          Scritto da: dada216
          > Scritto da: ::1
          > > Scritto da: dada216
          > > > OpenVZ
          > >
          > > Sono limitanti rispetto a KVM o Xen. Per il fdt non possiamo usarlo perché sia jvm che rvm hanno allocazioni di memoria fino a 4 volte superiori quando sono dentro una macchina OpenVZ. Avevo anche trovato tutta una spiegazione al riguardo, ma la regola in generale è che openvz vale quanto costa (ovvero poco).
          >
          > yep, me ne sto accorgendo, ho notato solo dopo un po questo:
          >
          > 2.6.32-042stab120.16
          >
          > vuol dire che questi cosi qui li usero per testare config e farci altre cose, peccato pero' per selinux, avrei voluto averlo su tutti i server.
          >
          > il coso da 1024MB fa girare magento2 (apache 2.4 php7.0) senza troppi problemi, si riescono anche ad installare un po di moduli ed arriva intorno al GB di utilizzo di ram, con un po di tuning al .cnf di mysql sono sceso di qualche centinaio di mb e qundi va bene per testare.
          >
          > anche l'installazione di wordpress e' andata bene ed openvpn sono sicuro che funzionera' senza troppi problemi.
          >
          > assieme ovviamente non girano e comincia ad andare tutto a puttane, ma me l'aspettavo, non c'e' abbastanza ram.
          >
          > pure ssh-agent e la conf dei vari demoni sui vari server per fare il login con le chiavi e' andata liscia.
          >
          > l'unica cosa che mi ha dato un po di problemi e' stato installare mysql-5.6 in 128MB di ram, il modo di disabilitare innoDB e' cambiato recentemente e le varie guide non erano aggiornate, ho dovuto scavare nella documentazione di mysql per capire che bisognava disabilitarlo cosi da 5.6 in poi. specialmente per l'opzione in grassetto.
          >
          >
          # deprecated 
          > #skip-innodb
          > # probably not needed
          > ignore-builtin-innodb
          > 
          > # hell yeah!
          > default-storage-engine=myisam
          > default-tmp-storage-engine=myisam
          > innodb=OFF
          > 

          >
          > mysql che gira su un vps separato con 128MBdi ram, il webserver sta servendo il sito ad 1 utente registrato con il carrello pieno.
          >
          >
          > # free -m
          > total       used       free     shared    buffers   
          > cached
          > Mem:           128        114         13          8          0         39
          > -/+ buffers/cache:         75         52
          > Swap:            0          0          0
          > 

          >
          >
          > riguardo al server mail forse ho trovato la soluzione per avere un dominio e farselo gestire senza dover pagare un occhio della testa per un paio di caselle email divertenti, basta registrarlo con gandi.net e 5 caselle per dominio (piu' alias e forward) sono incluse nella registrazione
          >
          > https://www.gandi.net/domain/mail
          >
          >
          > Included free with your domain
          > 
          > 5 e-mail addresses, sharing a total of 1GB of disk space
          > 1,000 forwarding addresses and an unlimited number of mail aliases
          > anti-spam and anti-virus protection
          > 
          > And for a small extra fee per month:
          > You can add as many email mailboxes as you want
          > From 1 to 50 GB of disk space depending on your needs (starting at $1.30, £0.70, or €1.00 per additional GB per month for A rates, and $0.65, £0.35, or €0.50 per month excl. VAT for other rate scales).
          > With the Mail Pack, you can have useful options such as a auto-responder, or dynamic alias addresses.
          > 

          >
          > speremmu che non sino spammer loro stessi ma vabbe.

          Gandi sono serissimi. Ho il mio dominio personale da loro, e ne ho sempre letto benissimo su HN da tutti. E non sono affiliati/associati a godaddy, che eticamente è cosa buona e giusta.
          Young professional woman and busy mom.
<softv>

Pagina generata in 217 millisecondi

Utenti attivi: 10 nell'ultimo minuto, 20 negli ultimi cinque minuti, 49 negli ultimi 15 minuti