Руководство АНБ по безопасной конфигурации Linux-сервера

[@gigimon]

А чего зашкаливает?
Правильно делают, нечего музыку слушать, а камера так вообще потенциальный канал утечки

[@4dmonster]

Ну alizar же писал в хорошем смысле слова.

[@DiZeee]

отличный набор ссылок! отдельное спасибо за Debian и Ubuntu.

[@izmalk]

Классно, не знал. Очень полезная инфа имхо, а по поводу паранойи — стоит цель сделать безопасно, а не удобно. Например такие стандарты безопасности стоит применять в гос. учреждениях для рабочих ПК. Что важнее — обеспечить безопасность сведений о налогоплательщиках, например, или дать возможность сотрудницам пользовать вконтактик, асечку, скайпик и т.п.?
Конечно эти правила не для слепого применения, но они являются очень неплохим подспорьем для организации работы по обеспечению информационной безопасности на местах. Обязательно почитаю, спасибо

[@Alexx_ps]

Как раз в гос. учреждениях работники больше всего любят саботировать неудобные для них вещи. Тупо отключают те же антивирусники. Ладно сейчас появилось ПО для более тонкого разграничения досутпа к приложениям, вообще лишили их возможности взаимодействовать с антивирусом.

[@izmalk]

Я и не говорил что им это должно понравиться или кто-то озаботится о их комфорте. На самом деле я утверждал практически обратное.
Как раз список всего, что можно выпилить чтобы сделать еще безопаснее в данном случае полезнее всего. В случае с гос. конторами НУЖНО исходить из того, что пользователь не только дурак, но и может попытаться обойти ограничения.

[@klyavin]

Это вопрос отношения к службе. У нас оно плачевное, вот и саботаж отсюда же.

[@Scratch]

… И применив все эти указания вы откроете тайную нычку, по которой АНБ вас поимеет.
Паранойя, ничего не могу с собой поделать.

[@tripiz]

Реально — первое что я подумал, прочитав пост :)

[@tranquil]

Интересно, для rhel5 это набор практических инструкций.
А для windows 7 просто рекламная брошюра.

[@bondbig]

Все логично. Какая ОС, такие и инструкции. trollface.jpg

[@psihoz]

Спасибо за ссылки! Небольшое замечание — для Cisco IOS там руководство по настройке коммутаторов.

[@greynix]

я всегда предполагал, что такие структуры как АНБ используют собственноручно созданные дистрибутивы, пусть и на базе RH но с уже выкинутыми ненужными програмами и специальными настройками. Что то неверится что они берут обычный RH5 и начинают пилить…

[@VolCh]

А кто сказал, что используется в АНБ? Это как если бы ФСБ выпустило руководство по настройке безопасности на госпредприятиях. Да и для негос было бы полезно, например тем, кто сертифицируется на обработку ПДн.

[@vitroot]

А отключение core dumps им чем помешал? Мол, нефиг какашки держать на дисках? :)

[@ComodoHacker]

Канал утечки видимо

[@rtzra]

Кто его знает что может в дамп вывалиться — вдруг какой пароль открытым текстом.

[@vitroot]

ман для redhat — 200 страниц.
маи для debian/ubuntu — 87 страниц.

Варианты:

1. Debian по дефолту безопаснее
2. Debian не умеет многое отключать
3. RedHat имеет больше ненужных свистелок
4. В Debian все сделать куда проще и быстрее

или я что-то упустил?

[@miwa]

Да, упустили. Документы составлены в разных организациях. Соответственно, с разными подходами к объяснениям/коментариям, разным оформлением и т.д.

[@Shark]

Причем одна из них — коммерческая, а другая — чуть ли не военная, ответственная в том числе и за информационную безопасность страны (не самой маленькой, к тому же).

[@qmax]

«двумя синими полосками отмечены истории, анекдоты»

[@Shark]

К слову, anecdote — это не обязательно шутка. Это история, которая не была опубликована (т. е. не подтверждённая фактами). Типа: «А вот мне знакомый рассказывал, что у них…»

[@ivlis]

Они больше работают с редхатом.

[@fakedream]

о! спасибо, не знал про ее существование

[@videns]

Советую так же ознакомиться с набором документов CIS — cisecurity.org/
Неплохие стандарты по Debian, FreeBSD, MacOS:
www.cisecurity.org/tools2/freebsd/CIS_FreeBSD_Benchmark_v1.0.5.pdf
cisecurity.org/tools2/linux/CIS_Debian_Benchmark_v1.0.pdf
www.cisecurity.org/tools2/osx/CIS_MacOSX_10.5_Benchmark_v1.0.pdf

[@Smasher]

О как вовремя. Как раз возникла необходимость настроить RHEL по максимуму безопасно.

[@gluk]

а про «выраженный трешак типа proftpd» можно поподробнее, со ссылками?

[@gluk]

Да, дырки в нем время от времени находят как и много в чем другом. Странно что последняя дырка, сообщения о которой датируются не декабрем, а ноябрем 2010 года прошли мимо меня несмотря на то что списки рассылки по дырам в софте я регулярно читаю. Тем не менее меня через него почему-то ни разу не взломали. Странно, правда?

[@gluk]

Ну, панели без менеджмента сами по себе зло и рассадники заразы. На линуксе я сам proftpd не ставлю, но не из-за дырок, а из-за того что так и не могу понять как у него авторизация через пам работает и почему на практике она работает с вероятностью 1/3. Но на фре у меня стоит именно он в том числе и на нескольких production-серверах, потому что стандартный фришный ftp-сервак, насколько я помню, еще дырявее. Естественно, любой мой ftp-сервак представляется не собой, а Microsoft IIS'ом.

[@elusive]

Это только мне показалось, что тег «Cisco IOS» слегка не в тему?
А за ссылки спасибо конечно.

[@impass]

потому что именно на этой системе работают многочисленные серверы правительства и спецслужб США

спасибо, АНБ, мы учтём :-3

[@impass]

у Дебиана вполне свой официальный мануал есть
Securing Debian Manual

This document describes security in the Debian project and in the Debian operating system. Starting with the process of securing and hardening the default Debian GNU/Linux distribution installation, it also covers some of the common tasks to set up a secure network environment using Debian GNU/Linux, gives additional information on the security tools available and talks about how security is enforced in Debian by the security and audit team.

[@tripiz]

Ой, что-то не верится чтобы АНБ делало что-то просто так… может в этой кипе зашит хитросплетенный бэкдор, известный факт, что по долгу их службы им бы выгоднее было наоборот иметь доступных для их ключа замочка. Как версия, если верить в теории заговоров…

[@ananazzz]

Когда вы начнете настраивать серверы по их инструкции, разве при этом вы не будете соображать, что делаете в системе? Тогда начните с # rm -Rf /* из-под рута )

[@PTPtupit]

Спасибо хабру. nsa сайт может быть полезен.