Что контролировать на шлюзе в части безопасности zabbix-ом?

Question

[Дядька Серёжа]

Что с точки зрения защиты информации нужно мониторить на шлюзе?
Исходные данные: OS FreeBSD + pfsense

Сейчас настроено:
1) Исходящий трафик (wan1+wan2+wifi) > 8Mb/s - общий мониторинг объема исх. трафика
2) Исходящий трафик на "wan1", "wan2" > 2Mb/s на {HOST.NAME} - мониторинг объема исх. трафика на внешних интерфейсах
3) Загрузка процессора > 70% (в нормальном же режиме < 0.1% :) )
4) Уведомление при 2х неправильном вводе пароля (лог auth.log)

Answer 1

[Adgh]

Как минимум:
Checksum of /etc/passwd

Comments

[Дядька Серёжа]

это уже мониторится по-умолчанию, что еще?

[Alister O]

/etc/group /etc/passwd /etc/gshadow /etc/shadow /etc/security/opasswd /etc/issue /etc/issue.net /etc/hosts /etc/sysconfig/network /etc/network /etc/selinux /etc/fstab /etc/rc.local /etc/ssh/ /var/log/*

[athacker]

Alister O: Дядька Серёжа: /etc/shadow во фре нет, там база паролей в /etc/master.passwd, и файлы с базами: /etc/pwd.db, /etc/spwd.db

Селинукса тоже, как вы понимаете из названия, на фре нету. Поэтому из всего вышеперечисленного, стоит мониторить только базы паролей, ядро: /boot/kernel/kernel, несколько бинарников: /usr/sbin/sshd. Конфиги ssh тоже можно, только лежит он в /etc/sshd/sshd_config.

[Alister O]

athacker: виноват, не правильно прочел вопрос

[Дядька Серёжа]

Alister O: athacker: Спасибо, мониторинг данных файлов настроен! Что-нибудь еще из файлов операционки поставить на контроль?

[Alister O]

Дядька Серёжа: https://www.opennet.ru/base/net/pam_linux.txt.html тут все необходимое

Answer 2

[res2001]

На счет безопасности ОС - это, видимо, не к Забиксу.
Для контроля целостности ОС можно воспользоваться чем-нибудь типа aide или подобной утилиты - по крайней мере узнаете не слишком поздно, что вас сломали.
Закрытый фаервол, авторизация ssh по ключу, бэкап - как-то все мимо забикса проходит :)

Comments

[Дядька Серёжа]

ну например, может какие логи необходимо парсить и выводить сообщение. я просто в freebsd еще даже не начинающий пользователь

[res2001]

Логи лежат в /var/log
Настройте, чтоб работал all.log (на сколько помню по умолчанию он выключен). Для включения надо в /etc/syslog.conf раскоментировать соответствующую строку, где упоминается all.log, а так же проверить, чтоб в /etc/newsyslog.conf строчка с all.log так же присутствовала и была раскоментирована. Создать all.log- touch /var/log/all.log. Перезапустить syslogd - service syslogd restart
После этого все сообщения будут падать в all.log (а так же и во все остальные файлы, которые настроены).
А дальше уже по ситуации - ловите то что вам нужно.
Если что, сообщения по авторизации лежат в auth.log - можно начать с него.

[Дядька Серёжа]

res2001: сделал уведомление при неудачном пароле по ssh, что еще интересного можно смотреть? Может Вы что мониторите.

[res2001]

Я мониторю ежедневные логи aide.
Кроме того полезно доступность сервера по пинг, если там крутятся дополнительные службы - доступность служб (телнетом или еще чем-то). Если это шлюз - доступность интернета.

[res2001]

Еще можно мониторить дисковое пространство - в ежедневных заданиях:
/etc/crontab задание periodic daily | weekly | monthly
Отчет от df делается в daily. Обычно отчеты уходят на электронную почту rootу (если sendmail настроен), но можно перенаправить в файл и мониторить файл.

[athacker]

Дядька Серёжа: товарищ, вас затрахают неудачными паролями на SSH. Мониторить их не имеет никакого смысла -- там будут десятки, а то и сотни таких сообщений в день. Особенно если у вас SSH на стандартном порту отвечает и открыт всем.

[res2001]

athacker: Protoss: да даже если и не на стандартном порту, все равно задолбают.
Поиграйтесь, потом отключите.

[athacker]

res2001: Да, могут. Мои наблюдения показывают, что перенос SSH на нестандартный порт снимает 99.99% проблем. Настолько, что на сайте у меня за год всего три попытки подбора пароля на SSH.