保护SSH的利器——sshguard

保护SSH的利器——sshguard

由于服务器开放着SSH协议，经常在互联网上会有一些莫名的“骇客”在扫描我服务器的22端口并试图登录，这给服务器安全带来了很多的隐患。如何保障SSH的安全，自然成为了我们管理员工作的重中之重。 -

BSD 的Ports系统收录了N多的 SSH保护软件，其中有denyhosts,sshit,sshguard,file2ban(ports中无此项)等，起初，我用denyhosts来 阻挡SSH的恶意登录，发现它是调用TCP wrapper来实现的，感觉上并不是太好。后来，无意间发现了SSHguard,它可以结合BSD系统内置的防火墙(IPFW、PF、IPFILTER)来过滤SSH登录，非常不错。实现过程如下： -

1）安装SSHguard -

# cd /usr/ports/security/sshguard-pf
# make install distclean

2)删除syslogd里的注释，启动SSHguard -

auth.info;authpriv.info |exec /usr/local/sbin/sshguard

3）重新加载syslogd -

# /etc/rc.d/syslogd reload

如看到以下信息，证明成功启动 -

Nov 20 08:00:01 test sshguard[54247]: Started successfully [(a,p,s)=(4, 420, 1200)], now ready to scan.

详细内容请访问：http://v.securepub.com/read-htm-tid-1164.html

Hyper-V安全威胁靠边站 安全配置不难办

Hyper-V安全威胁靠边站 安全配置不难办

谈到IT安全，很多人觉得厂商对此最感兴趣，还有一些人则非常谨慎。IT专业人士已经意识到虚拟化又给他们增加了一个潜在的攻击面。不过，虽然总会发现新的攻击源，但虚拟环境还是建立在安全的基础之上。

　　在这种情况下，我们最大的敌人可能就是我们自己。虽然恶意软件的共同特征仍然是依靠已知攻击，而最常见的恶意攻击通常是利用用户的行为危及他们自己的安全。作为虚拟化管理员，我们需要更多安全配置来减少这种情况的发生。

　　真实世界的虚拟层攻击

　　如果你认为虚拟机攻击只不过是一个概念，那让我们看一下VMware的漏洞（CVE - 2009- 1244），这个漏洞在2009年首次公布。黑客可以通过攻击一个虚拟机进而摆脱内置的虚拟安全限制，并取得虚拟主机的控制权。虽然这个漏洞迅速被修补，但它仍然是一种可用攻击。

　　另外一个有名的攻击是通过虚拟机的虚拟总线对没有打过补丁的Windows Server 2008或者R2的Hyper-V主机进行服务攻击。微软通过MS10-102修复了这个漏洞。

　　对Hyper-V影响重大的配置考量

　　虽然许多IT部门都很注重服务器的 补丁管理，但是给虚拟主机打补丁却很痛苦。让所有虚拟机离线，或甚至是将它们转移到另一个Hyper-V的群集成员中，这都非常耗时， 而且我经常发现，它们在资源过量使用时会无法完成。把虚拟层看作是硬件虽然可以取得短期的稳定，但实际上它却产生了一个潜在的安全漏洞，所以虚拟层的补丁 管理是至关重要的。

　　攻击和最新的补丁是明显要关心的事，但是此刻也许是你最不需要担心的，因为真正针对虚拟层的代码攻击相对来说并不 常见。管理员们经常假设一些可能不存在的某种级别的安全或隔离，并且为了减轻虚拟机的日常管理负担而忽略了一些警告和最佳实践。这些错误的选择往往很快便 被忘记。但是，当你的系统受到攻击时，你就会意识到了。

　　让我们把关注的焦点放在微软的Hyper-V上，为了减少攻击面，我们需要在 系统初始安装时就采取一些关键的步骤。首先是虚拟网络设置。虚拟层上承载了很多虚拟交换机，使用虚拟主机上的网卡可以让这些虚拟交换机用各种方式连接到物 理层。一旦配置错误，这些虚拟连接就可能导致严重的问题。

　　如果你把你的管理网络分给来宾虚拟机，攻击向量会允许一台虚拟机访问 Hyper-V管理操作系统，如果得到正确的授权，还可以访问Hyper-V主机和设置或其它虚拟机。默认情况下，该选项是关闭的。但是为了解决多台机器 管理或是网络接口卡（NIC）可用性有限的问题，很多管理员又启用了该选项。启用这个设置会是个安全隐患，因为你可以从它群集的任一台虚拟机来攻击这个管 理系统。因此，对专有的管理网络要使用物理网络适配器，千万不要把这些NIC分给虚拟机流量。

　　你也可以配置Hyper-V来识别 VLAN，以便在逻辑上隔离来自不同虚拟机的流量。虽然这个方法很妙，可以将不同的VLAN混合并匹配到一台物理机或集群主机上的单个物理网卡上，但这并 不能真正地提高安全性。从表面上看，如果不从网络层配置访问规则和路由的话，不同VLAN的虚拟机之间是无法通讯的。但实际上，通往每个虚拟机的所有数据 都经过这块物理网卡，这让黑客攻击VLAN成为可能。因此，适用于物理环境的规则也适用于虚拟环境......

详细链接请访问：http://v.securepub.com/read-htm-tid-1165.html