[HowTo] Absicherung und Administration eines Linux-Servers (Stand: 29. 11. 2015)

#!/bin/bash

### KERNEL-OPTIONEN

# Antispoofing
echo "1" > /proc/sys/net/ipv4/conf/all/arp_filter
echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

# martian packets loggen?
echo "0" > /proc/sys/net/ipv4/conf/all/log_martians

# ICMP Redirects verweigern
echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects
echo "0" > /proc/sys/net/ipv4/conf/all/send_redirects

# Source Routing deaktivieren
echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

# ICMP Broadcast Echos ignorieren
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

# Bogus ICMP-Errors ignorieren
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses 

# Forwarding aktivieren (wird nur benötigt, wenn das System routet)
echo "1" > /proc/sys/net/ipv4/ip_forward

### GENERELLE EINSTELLUNGEN

lan="eth1"
wan="eth0"
intern=10.0.0.0/24

### FILTERREGELN

# Vorhandene Tabellen löschen (die nat-Zeile wird nur benötigt, wenn das System routet)
iptables -F
iptables -t nat -F
iptables -t mangle -F 

# Default-Policy: alles droppen
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# Default-Policy: alles natten, erst beim Filtern verwerfen (wird nur benötigt, wenn das System routet)
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

# Akzeptiere Verbindungsaufbauten aus dem LAN  (wird nur benötigt, wenn das System routet)
iptables -A FORWARD -s $intern -i $lan -o $wan -j ACCEPT

# Akzeptiere alle Pakete, die zu einer aufgebauten Verbindung gehören
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Akzeptiere lokalen Traffic
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Alle Pakete bei der Weiterleitung nach aussen maskieren (wird nur benötigt, wenn das System routet)
iptables -t nat -A POSTROUTING -o $wan -j MASQUERADE

# DNS (das System darf DNS-Verbindungen zu zwei Systemen aufbauen)
iptables -A OUTPUT -d 1.2.3.4,5.6.7.8 -p tcp --dport 53 -j ACCEPT
iptables -A OUTPUT -d 1.2.3.4,5.6.7.8 -p udp --dport 53 -j ACCEPT

# FTP (das System darf FTP-Verbindungen zu zwei Systemen aufbauen)
iptables -A OUTPUT -p tcp -d 1.2.3.4 --dport 21 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p tcp -d 5.6.7.8 --dport 21 -m state --state NEW -j ACCEPT

# HTTP
iptables -A INPUT -p tcp --sport 80 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT

# HTTPS
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 443 -j ACCEPT

# NTP
iptables -A OUTPUT -p udp -d 1.2.3.4 --dport 123 -j ACCEPT

# SSH (läuft auf 10.0.0.1 auf Port 12345, Anfragen von 1.2.3.4 werden zugelassen und direkt auf den richtigen Port weitergeleitet)
iptables -A INPUT -p tcp -s 1.2.3.4 --dport 22 -j ACCEPT
iptables -t nat -A PREROUTING -s 1.2.3.4 -p tcp --dport 22 -j DNAT --to 10.0.0.1:12345
iptables -A INPUT -p tcp --dport 12345 -m conntrack --ctstate NEW -j ACCEPT

### LOGGING

# alles, was durch die vorherigen Regeln nicht erfasst wurde, wird  abgewiesen (rejected) und geloggt (sehr nützlich für die anfängliche  Fehlersuche)
iptables -A INPUT -j LOG --log-prefix "DROPPED_INPUT: " --log-level=5
iptables -A INPUT -j REJECT
iptables -A OUTPUT -j LOG --log-prefix "DROPPED_OUTPUT: " --log-level=5
iptables -A OUTPUT -j REJECT
iptables -A FORWARD -j LOG --log-prefix "DROPPED_FORWARD: " --log-level=5
iptables -A FORWARD -j REJECT

### Speichern der Regeln
iptables-save > /etc/iptables.conf

#!/bin/bash

### KERNEL-OPTIONEN

# Antispoofing
echo "1" > /proc/sys/net/ipv4/conf/all/arp_filter
echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

# martian packets loggen?
echo "0" > /proc/sys/net/ipv4/conf/all/log_martians

# ICMP Redirects verweigern
echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects
echo "0" > /proc/sys/net/ipv4/conf/all/send_redirects

# Source Routing deaktivieren
echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

# ICMP Broadcast Echos ignorieren
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

# Bogus ICMP-Errors ignorieren
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses 

### FILTERREGELN

# Vorhandene Tabellen löschen
iptables -F
iptables -t mangle -F

# Default-Policy: alles droppen
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# Akzeptiere alle Pakete, die zu einer aufgebauten Verbindung gehören
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Akzeptiere lokalen Traffic
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# DNS (das System darf DNS-Verbindungen zu zwei Systemen aufbauen)
iptables -A OUTPUT -d 1.2.3.4,5.6.7.8 -p tcp --dport 53 -j ACCEPT
iptables -A OUTPUT -d 1.2.3.4,5.6.7.8 -p udp --dport 53 -j ACCEPT

# FTP (das System darf FTP-Verbindungen zu zwei Systemen aufbauen)
iptables -A OUTPUT -p tcp -d 1.2.3.4 --dport 21 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p tcp -d 5.6.7.8 --dport 21 -m state --state NEW -j ACCEPT

# HTTP
iptables -A INPUT -p tcp --sport 80 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT

# HTTPS
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 443 -j ACCEPT

# NTP
iptables -A OUTPUT -p udp -d 1.2.3.4 --dport 123 -j ACCEPT

# SSH (läuft auf 10.0.0.1 auf Port 12345, Anfragen von 1.2.3.4 werden zugelassen und direkt auf den richtigen Port weitergeleitet)
iptables -A INPUT -p tcp -s 1.2.3.4 --dport 22 -j ACCEPT
iptables -t nat -A PREROUTING -s 1.2.3.4 -p tcp --dport 22 -j DNAT --to 10.0.0.1:12345
iptables -A INPUT -p tcp --dport 12345 -m conntrack --ctstate NEW -j ACCEPT 

### LOGGING

# alles, was durch die vorherigen Regeln nicht erfasst wurde, wird abgewiesen (rejected) und geloggt (sehr nützlich für die anfängliche Fehlersuche)
iptables -A INPUT -j LOG --log-prefix "DROPPED_INPUT: " --log-level=5
iptables -A INPUT -j REJECT
iptables -A OUTPUT -j LOG --log-prefix "DROPPED_OUTPUT: " --log-level=5
iptables -A OUTPUT -j REJECT
iptables -A FORWARD -j LOG --log-prefix "DROPPED_FORWARD: " --log-level=5
iptables -A FORWARD -j REJECT

### Speichern der Regeln
iptables-save > /etc/iptables.conf

#!/bin/bash

# alle vorhandenen Regeln löschen
iptables -F
iptables -t nat -F
iptables -t mangle -F

# Default-Policies wiederherstellen
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

@version: 3.3
@include "scl.conf"
@include "`scl-root`/system/tty10.conf"

options {
        chain_hostnames(no);
        check_hostname(no);
        keep_hostname(yes);
        stats_freq(0);
        mark_freq(0);
        use_fqdn(yes);
};

source src_local        { unix-stream("/dev/log" max-connections(256)); internal(); file("/proc/kmsg"); tcp(); udp(); };
source src_remote       { udp ( ip(10.0.0.1) port(514) ); };
source kernsrc          { file("/proc/kmsg"); };

destination authlog     { file("/var/log/auth.log" owner("root") perm(0644) ); };
destination debug       { file("/var/log/debug.log" owner("root") perm(0644) );  };
destination mysql       { sql(type(mysql) host("localhost")  username("db_user") password("db_passwort") database("syslog")  table("logs") columns("host", "facility", "priority", "level", "tag",  "program", "msg", "fo", "lo") values("$HOST", "$FACILITY", "$PRIORITY",  "$LEVEL", "$TAG", "$PROGRAM", "$MSG",  "$YEAR-$MONTH-$DAY\t$HOUR:$MIN:$SEC",  "$YEAR-$MONTH-$DAY\t$HOUR:$MIN:$SEC") indexes("host", "facility",  "priority", "program", "fo", "lo")); };
destination mail        { file("/var/log/mail.log" owner("root") perm(0644)); };
destination messages    { file("/var/log/messages" owner("root") perm(0644)); };

filter f_auth           { facility(auth, authpriv); };
filter f_auth_mail_msg  { facility(auth, authpriv, mail) and level(warn...emerg); };
filter f_mail           { facility(mail); };
filter f_messages       { level(info..emerg) and not facility(auth, authpriv, mail); };

log { source(src_local); filter(f_auth); destination(authlog); };
log { source(src_local); filter(f_mail); destination(mail); };
log { source(src_local); filter(f_messages); destination(mysql); destination(messages); };
log { source(src_local); filter(f_auth_mail_msg); destination(mysql); destination(messages); };
log { source(src_remote); destination(mysql); destination(messages); };

set uid tenshi
set gid tenshi

set pidfile /var/run/tenshi/tenshi.pid

# Hier müssen wir natürlich Logfiles auswählen, welche 1) tatsächlich  existieren und 2) überwacht werden sollen. Ich habe bei mir  beispielsweise noch das Mail-Log eingetragen.
set logfile /var/log/auth.log
set logfile /var/log/messages

# Wie viel Zeit soll zwischen dem Versenden von Mails mindestens vergehen? Muss bei unter 60 Sekunden liegen
set sleep 5
# Wie viele Einträge soll eine Mail maximal beinhalten?
set limit 800
set pager_limit 2
set mask ___
set mailserver localhost
# Betreffzeile der von tenshi versendten Mails, falls es bei den folgenden Queues nicht festgelegt wurde
set subject tenshi report
set hidepid on

# syntax: set queue <queue_name> <mail_from> [pager:]<mail_to> <cron_spec> [<subject>]
# die folgenden Zeile bewirkt, dass mit "misc" markierte Meldungen zwischen 9 und 17 Uhr alle 2 Stunden verschickt werden
set queue misc     fritz@mail.de fritz@mail.de [0 9-17/2 * * *]
# gemäß der nächsten Zeile werden mit "critical" geflaggte Meldungen  sofort verschickt, der Betreff wird auf "tenshi CRITICAL report" gesetzt
set queue critical fritz@mail.de fritz@mail.de [now] tenshi CRITICAL report

# wenn eine Zeile mehrfach auftaucht, wird sie nicht mehrfach in die  Mail gepackt, sondern es wird vermerkt, wie oft sie ins Log geschrieben  wurde
repeat ^(?:last message repeated|above message repeats) (\\d+) times?

# Zeilen, welche mit "trash ^" beginnen, werden verworfen
trash ^hub.c
trash ^usb.c
trash ^uhci.c
trash ^sda
trash ^Initializing USB
trash ^scsi0 : SCSI emulation
trash ^Vendor:
trash ^Type:
trash ^Attached scsi removable
trash ^SCSI device sda
trash ^sda: Write
trash ^/dev/scsi
trash ^WARNING: USB
trash ^USB Mass Storage
trash ^/dev
trash ^ISO
trash ^floppy0
trash ^end_request
trash ^Directory
trash ^I/O error: dev 08:(.+), sector

critical ^Oops
critical ^Linux
critical ^init

#Wenn man will, kann man die Definitionen auf verschiedene Dateien  aufteilen, welche man dann hier einbindet. Ich persönlich habe lieber  alles in einer großen Datei
includedir /etc/tenshi/includes-active

#Mit der folgenden Zeile bewirkt man, dass alles, was nicht definiert wurde, im misc-Report landet.
misc .*

group ^sshd
        critical,misc ^sshd: pam_unix\(sshd_auth\): authentication failure; .+
        critical,misc ^sshd: Failed (none|password) for .+
        critical,misc ^sshd: Illegal user
        critical,misc ^sshd: Invalid user .+
        trash ^sshd: Accepted publickey for root from 192.168.0.(1|2|3|4|10|11|13|14|15) port .+ ssh2
        trash ^sshd(\[.*\])?: Connection closed by 192.168.0.\.* \[preauth\]
        trash ^sshd: pam_unix\(sshd:session\): session (closed|opened) for user (fritz|root)( by \(uid=0\))?
        trash ^sshd: Received disconnect from .+: .+: disconnected by user
        trash ^sshd: Received signal 15; terminating.
        trash ^sshd: Server listening on (\:\:|0.0.0.0) port (22|12345).
group_end