Что сделать для безопасности в linux на домашней машине?

Question

[Dysnystaxis]

Решил уходить с Windows, пал выбор на Debian. В windows хватало фаервола и проактивной защиты. А что сделать в linux? Фаервол поставил, порты закрыл, с root понятно. Что еще? Какие процессы отключить? Какие логи смотреть? Привычка от windows еще не ушла. :)

Answer 1

[Сергей Жуматий]

• chkrootkit+rkhunter = и не надо никаких касперских.
  
• Добавить в списки репозиториев обновления безопасности, регулярно накатывать обновления (обычно в графическом режиме она сама предлагает), при выходе новых версий ОС обновляться (лучше всего через месяцок после релиза). В отличие от RH-подобных, тут версию обновить можно на ходу, даже без перезагрузки (потом как-нибудь хорошо бы перегрузиться, чтобы новое ядро заработало).
  
• Для перестраховки - если есть какие-то сервисы типа почты (на приём), ssh, vnc и т.п., то запретить вход по ssh по паролю (только ключ), поставить fail2ban.
  
• Можно ещё logwatch/logcheck, чтобы в логи смотреть проще (они сами обо всём нестандартном/подозрительном расскажут). SELinux/apparmor - по желанию, ибо если настроить раз, то потом на каждый системный чих надо отключать/править, что может подзадолбать.
  

Comments

[fpir]

Всё это правильно и верно. Для сервера. На декстопном достаточно ставить обновления из репов по умолчанию и сильно думать, добавляя туда что-то.

[Сергей Жуматий]

Верно. Хотя chkrootkit/rkhunter и logwatch я ставлю и на десктопе, времени почти не отнимает, а интересно наблюдать...
Ну, и подключить "deb security.debian.org jessie/updates main contrib non-free" всё-таки стоит (вместо jessie пишем что надо).
А на практике я взломанного linux-десктопа не видел ни разу. Сервера - бывает, но в основном это дыры php или дефолтные/слабые пароли. Так чтобы прямо КАРАУЛВЗЛОМАЛИ надо ОЧЕНЬ постараться и это делается целенаправленно, десктоп так ломать никто не будет.

[esidisi]

Еще можно добавить о разметке диска. И параметрах монтирования.

Answer 2

[fpir]

Однажды к мастеру учения пришёл неофит и сказал:
Учитель, меня терзают сомнения. Когда я исповедовал путь Windows, у меня были и антивирусы, и брандмаузеры, и чистильщики реестра, и другие утилиты, которые меня защищали. Сейчас-же, я чувствую себя беззащитным перед опасностями интернета.
Тогда учитель связал ему шнурки и велел-Беги!
Что-же это значит, Учитель?
Когда дом изначально хорошо спроектирован, нет смысла в дополнительных подпорках.
И тогда неофит познал дзен.

Answer 3

[Илья Ерохин]

Да нормально там все с безопасностью по умолчанию. Просто не вешать лишнего на открытые порты и обновляться вовремя.

Comments

[SMA2]

Аналогично и с Windows. Живу без антивирусов и файрволов (кроме встроенных) уже лет 5. Не ставлю ПО со всякими какашками внутри - полет нормальный.

[Gonchik Tsymzhitov]

SMA2: И при этом не используете интернет? или только определенные сайты?

Answer 4

[beduin01]

Как ни крути, но с безопасностью в Linux местами хуже чем у Windows. Поэтому рекомендуется поставить антивирус. К примеру Kaspersky Endpoint Security для Linux.

Comments

[Niko]

и в каком месте хуже

[nirvimel]

Вот она - агония аверов и их распространителей подельников. Пипл массово потянулся на нормальную ОС с дырявого решета и вся (анти)вирусня больше не нужна даже для домохозяек (для остальных она никогда не была нужна). Грядет закат их бизнеса и в бессмысленной агонии своей они сочиняют совсем уж смехотворные лозунги про плохую безопасность в Linux. Поймите, этот рынок не ваш, вам нет в этом светлом будущем, где даже домохозяйкам не придется платить кому-то дань за то, чтобы чувствовать себя в безопасности.

[Илья Ерохин]

бред полный

[beduin01]

И чем же Линукс нормальая ОС? Дыр больше чем в винде (опять таки смотрите статистику). Вирусы? На том же андроиде вообще без антивируса жизнь невозможно. Сплошные траяны и локеры. Или это теперь не линукс? Недавно ставил Убанту на посмотреть. Те же проблемы что и 10 лет назад.

[kale]

nirvimel: Пока есть 'спецы' типа beduin01, аверы и касперски не останутся без работы...

[DevMan]

............................................________
....................................,.-'"...................``~.,
.............................,.-"..................................."-.,
.........................,/...............................................":,
.....................,?......................................................,
.................../...........................................................,}
................./......................................................,:`^`..}
.............../...................................................,:"........./
..............?.....__.........................................:`.........../
............./__.(....."~-,_..............................,:`........../
.........../(_...."~,_........"~,_....................,:`........_/
..........{.._$;_......"=,_......."-,_.......,.-~-,},.~";/....}
...........((.....*~_......."=-._......";,,./`..../"............../
...,,,___.`~,......"~.,....................`.....}............../
............(....`=-,,.......`........................(......;_,,-"
............/.`~,......`-...................................../
.............`~.*-,.....................................|,./.....,__
,,_..........}.>-._...................................|..............`=~-,
.....`=~-,__......`,.................................
...................`=~-,,.,...............................
................................`:,,...........................`..............__
.....................................`=-,...................,%`>--==``
........................................_..........._,-%.......`
...................................,

[beduin01]

Аргументы то будут? Или опять слепая вера в неуязвимость Linux?))

[xotkot]

beduin01: он же написал:

Дыр больше чем в винде (опять таки смотрите статистику).

понял ? смотри статистику
хотя что он имел под этим в виду, может смертность пользователей той или иной оси

п.с.
по поводу Андроид и Линукс
«Android is not Linux»
https://geektimes.ru/post/113491/

[kale]

"Как ни крути, но с безопасностью в Linux местами хуже чем у Windows." beduin01: Вы то себя аргументами не утруждаете. Тогда не ждите от других..

[TImohius]

beduin01: Если использовать официальные репозитории и источники приложений, то все буде хорошо. Когда пользователь устанавливает приложение с плей-маркета, ему показывают, что приложение хочет. И если например будильнику нужно отправлять смс или что то подобное, стоит задуматься.

[Niko]

то есть плэймаркет это показатель небезопасности системы или это статистика?

[beduin01]

Андроид тот же линукс. Там автору в коммента доступно объяснили. Ну а дыр и в линукс и в андроид больше чем у винде это факт

[Niko]

beduin01: в голове у тебя дырка

[beduin01]

Niko_F: посмотри статистику)

[thenno]

beduin01: а где такую статистику посмотреть можно, если не секрет? По-моему Вы фантазируете.

[CityCat4]

Парни, ну отстаньте от бедуина. "Не стреляйте в пианиста, он играет, как умеет". То есть - сколько заплатили, столько и старается комментов набацать.

[beduin01]

CityCat4: а тоесть мне еще за комменты платят?)) Линукс-логика всегда была очень странная. Снимите наконец розовые очки

[DevMan]

посоны, расходимся. у бедуина D головного мозга и разговоры разговаривать с ним бесполезно.
я гарантирую это!

[beduin01]

Бесполезно отрицать факты. Факт 1. Андроид это линукс. 2. Под андроид троянов и вирусов тьма 3. Дыр в самом линуксе вне андроида тоже тьма. С безопасностью все не просто плохо, а очень плохо и ситуация не меняется. Статистику по биллютеням по безопасности можно посмотреть и сравнить с количеством дыр в Windows. У меня на нем антивируса нет и никогда не было, так что смешно про линуксбезопасность читать ей богу

[xotkot]

beduin01:

Андроид тот же линукс.

с таким же успехом можно утверждать что ReactOS это тот же Windows

Там автору в коммента доступно объяснили.

в комментах могут много чего писать, как за так и против, это нормально, это не отменяет значение самой статьи, а также мнение разработчиков андроид(google) по этому вопросу. Здесь вам стоило в качестве контр аргумента привести статью с противоположным аргументированным мнением, а ещё лучше написать статью на хабре по этому поводу, думаю многие с интересом почитали.

Дыр больше чем в винде (опять таки смотрите статистику).

3. Дыр в самом линуксе вне андроида тоже тьма.

здесь уже ближе к теме
ждём от вас с нетерпением статистику о тьме дыр в "линуксе вне андроида" в сравнении с виндой. Удачи.

[CityCat4]

beduin01: Конечно платят. Ну или Быть может Вы идейный тролль :-)

[Дмитрий Логвиненко]

Евгений Валентинович, перелогинтесь

[Валентин]

beduin01: в андроиде весь софт работает внутри ява-машины, которая прав имеет дофига и больше, и собственно многие уязвимости андроида - это именно ява-машины уязвимости. При этом во всех остальных дистрибутивах линукса этой машины нет, как нет и всех её уязвимостей и всего софта, написанного под неё. Посему одни зловреды под все линуксы, а другие - под андроид. И именно потому, что в андроиде окромя простейших консольных софтин ничего линуксового и не запустить без костылей, равно как и во все остальные дистрибутивы ява-машину андроидовскую не поставить, и говорят что андроид - не линукс. Операционка ведь ценна не сама по себе, а лишь как средство для запуска софта, который нужен пользователю. А софт под андроид свой.
Дыры есть везде, был бы линукс настолько же популярен, насколько винда - дыр в нём нашли бы наверняка столько же. Вот только их и устранили бы уже все, всем миром потому что, а с виндой такой финт не катит, программистов Майкрософт на затыкание всех дыр не хватает. Вкупе с более удачной во многом архитектурой линукса мы имеем то, что несмотря на наличие дыр многие из них не так уж и легко эксплуатировать, грубо говоря то, что в вашем доме нет замка на 2ой двери не делает дом менее безопасным, ведь вторая дверь ведет во двор, а двор окружен каменной 10метровой стеной.

[Николай Шаманович]

Ян Ко:
Небольшое уточнение:
>Ведроид как бывшая ОС для видеокамер построена на базе ядра GNU Linux
Таки нужно разделять понятия GNU/Linux и ядро Linux, где первое это ОС, а второе это ядро. Короче говоря Android - это Linux без GNU.
https://www.gnu.org/gnu/gnu-linux-faq.html#linuxsy...

[Сергей Жуматий]

Будьте любезны, запустите-ка мне Android-трояна на моём Debian, очень прошу, хочу посмотреть на это :)))
Реальных LINUX-вирусов до сих пор не больше сотни, а уж работающих вообще единицы, т.к. дыры в отличие от Win/Mac тут закрываются в течении дней, а не месяцев, а то и лет... Больше стоит обратить внимание на дыры в браузерах и flash/sliverlight/java. Вот там можно и нарваться (по слухам).

[beduin01]

У Linux нет никакой архитектуры. Это тупо монолит. А дыры есть даже такие такие неожиданные как в Винде. Я что-то не припомню, чтобы в Винде блокировку экрана можно было обойти зажатым Энтером. Или это опять не линукс а его кривая оболочка, которая разумеется ну никак не Linux?

[Евгений]

beduin01: Пользуюсь Windows без антивируса. Теперь когда пароль набран :) дайте ссылку на такой способ. Просто интересно

[rasergiy]

beduin01 Вы просто неадекватны, либо жирнющщий тролль. Я администрирую достаточно большую корпоративную сеть, Все подобные критические места у нас сделаны на FreeBSD/Linux. Как пример один из элементов корпоративной сети это почтовый релей фильтрующий спам и вирусы, чтобы виндовый эксчендж (стоящий позади релея) не загнулся от столкновения с реальным миром :D
В личном использовании от виндоус отказался более 10 лет назад. Многих людей перетащил на линукс. Те, кто прочухал тему - больше никогда в винду не вернется по своему желанию (таких людей не мало). За все это время я не словил под линуксом ни одного вируса, я никогда не видел ни одного трояна или вируса, и не слышал чтобы кто словил, при том, что на предприятии занимаюсь всеми нестандартными вопросами антивирусной защиты. Когда-то в юности писал полиморфы под эту Вашу винду))) А под виндой там только успевай отправлять в антивирьные лабы новые штаммы вирей и троянов ;)))

[Dim Boy]

тоесть в защищенную систему пихнуть фсб софт.

[rasergiy]

В чистом Linux честно говоря вообще никто не сидит, кроме ядерщиков или разрабов embedded девайсов. Обычно под Linux понимают семейство GNU/Linux, а это и близко не андроид ;)

[flipix]

beduin01: Это ты по багрепорту сравниваешь сколько у кого дыр? )))))

[lVlOzART]

beduin01: ни единого адекватного сообщения, ни единого внятного аргумента. Может обошли экран блокировки зажатием энтера и попали в ОС под гостевым аккаунтом? Вполне возможно, жена также пыль протирала и "сломала защиту". Вам следует лично ознакомиться с линукс системами, а еще лучше почитать про chmod и root и понять, что если вы вошли в систему (в правильно настроенную) лишь по нажатию энтера, то будете беспомощным котенком, который лупится на рабочий стол и названия папок. Мне Ваше мнение категорически противит и читать Ваши комментарии смешно.

[beduin01]

Мне про дырявость винды читать смешно. Хоть бы кто факты привел.

Answer 5

[hobbyte]

Предложу странное:
- поставте в виртуалку линь, поиграйтесь, посканируйте, поубивайте его(нежно);
- когда поймёте как с ним обращаться, ставте на реальное железо.

Answer 6

[Pan Propan]

Там по умолчанию все норм, насколько я знаю. Можешь спокойно банеры кликать)

Answer 7

[chupasaurus]

Фаерволл стоит по умолчанию, просто неактивен и по желанию доводится нужной кондиции.
Если стоит sudo, параноить можно, читая /var/log/auth.log

Comments

[Dysnystaxis]

То есть достаточно, например, в gufw закрыть порты? Sudo нет, значит auth.log не рассматриваем?. А что с процессами? Я извиняюсь за глупые вопросы.

[chupasaurus]

Достаточно закрыть порты из мест, которые не должны иметь доступ (например, при установке KDE в зависимостях у akonadi есть mysql сервер). Если стоит сервер ssh - у него свой лог. В дебиане с безопасностью все хорошо (дыры закрываются Debian Security Team вплоть до sid), лишних процессов там не будет.

Answer 8

[CityCat4]

Логи все сложены в /var/log, смотрим, читаем. Лишние порты не открывать - и будет счастье. Вообще в сети полно описаний того, как настроить линух относительно безопасным способом. Правда, в любом случае нужно понимать что делаешь - ну это нужно даже в винде...

Answer 9

[Александр]

Неуловимые джо...

Answer 10

[Василий]

вдобавок к уже имеющемуся - настройте SELinux