Безопасность сервера
Что сервер показывает наружу и что держит после обновления, политика паролей и fail2ban, служба с минимальными правами, AppArmor и auditd — до подготовки нового сервера к публикации.
10 ступеней7 лаб~7 часов средний
Прогресс
Ступеней: 0 из 10
Трек не начат. Первая ступень — «Аудит слушающих служб», ~1 час.
Модуль 1
Что сервер показывает наружу
Какие службы слушают лишние адреса и как закрыть их привязкой и фильтром; когда обновление требует перезапуска.
3 ступени · ~2 часа
-
Ступень 1 из 10
1 · Аудит слушающих службАудит слушающих служб
7 шагов · 1 лаба · ~1 час 7 шагов · 1 лаба · ~1 час- Сервер глазами чужой машины упражнения 0 из 1 на машине 5 мин
- 2 Опись слушающих сокетов на машине 7 мин
- 3 Привязка: служба слушает только себя на машине 6 мин
- 4 Фильтр: пропускать только нужное теория 6 мин
- 5 Админка за фильтром на машине 4 мин
- 6 Лишнее видно из сети лаба 35 мин
- 7 Итог итог 2 мин
-
Ступень 2 из 10
2 · Обновление есть — уязвимость ещё живаОбновление есть — уязвимость ещё жива
7 шагов · 1 лаба · ~55 мин 7 шагов · 1 лаба · ~55 мин- Обновление поставлено упражнения 0 из 1 на машине 5 мин
- 2 Имя ушло, файл остался теория 5 мин
- 3 Перезапуск и проверка на машине 5 мин
- 4 Одна библиотека — много служб на машине 8 мин
- 5 Данные тоже стареют на машине 5 мин
- 6 После обновления лаба 25 мин
- 7 Итог итог 2 мин
-
3 · Тест модуля 10 вопросов · порог 70%
Модуль 2
Вход и пароли
Политика паролей и блокировка после неверных попыток в PAM; jail fail2ban по журналу и проверка бана.
3 ступени · ~2 часа
-
Ступень 4 из 10
4 · PAM: политика паролей и блокировкаPAM: политика паролей и блокировка
8 шагов · 1 лаба · ~1 час 8 шагов · 1 лаба · ~1 час- Слабый пароль проходит упражнения 0 из 1 на машине 4 мин
- 2 Стек PAM теория 3 мин
- 3 Политика качества пароля теория 3 мин
- 4 Проверить и включить на машине 7 мин
- 5 Промахи без последствий на машине 5 мин
- 6 Блокировка учётки на машине 6 мин
- 7 Пароль может быть любым лаба 30 мин
- 8 Итог итог 2 мин
-
Ступень 5 из 10
5 · Перебор паролей и fail2banПеребор паролей и fail2ban
7 шагов · 1 лаба · ~55 мин 7 шагов · 1 лаба · ~55 мин- Перебор идёт, банов нет упражнения 0 из 1 на машине 6 мин
- 2 Как устроен fail2ban теория 3 мин
- 3 Откуда fail2ban берёт отказы теория 4 мин
- 4 Когда срабатывает бан теория 5 мин
- 5 Направь jail на журнал на машине 4 мин
- 6 Перебор продолжается лаба 30 мин
- 7 Итог итог 3 мин
-
6 · Тест модуля 9 вопросов · порог 70%
Модуль 3
Ограничение и аудит
Ограничения службы средствами systemd, отказ AppArmor без выключения профиля, правило аудита и поиск того, кто менял файл.
4 ступени · ~3 часа
-
Ступень 7 из 10
7 · Служба с минимальными правамиСлужба с минимальными правами
6 шагов · 1 лаба · ~55 мин 6 шагов · 1 лаба · ~55 мин- Служба просит больше, чем ей нужно упражнения 0 из 1 на машине 5 мин
- 2 От кого работает служба на машине 8 мин
- 3 Отобрать доступ к системе на машине 8 мин
- 4 Оценка и возможности на машине 7 мин
- 5 Служба может всё лаба 25 мин
- 6 Итог итог 2 мин
-
Ступень 8 из 10
8 · AppArmor: когда доступ запрещает профильAppArmor: когда доступ запрещает профиль
5 шагов · 1 лаба · ~50 мин 5 шагов · 1 лаба · ~50 мин- Права верные, а доступа нет упражнения 0 из 1 на машине 7 мин
- 2 Профиль поверх прав на машине 10 мин
- 3 Что запрещено и как добавить на машине 10 мин
- 4 Службе отказано в доступе лаба 20 мин
- 5 Итог итог 3 мин
-
Ступень 9 из 10
9 · Кто изменил файл: auditdКто изменил файл: auditd
6 шагов · 1 лаба · ~50 мин 6 шагов · 1 лаба · ~50 мин- Файл меняется сам упражнения 0 из 1 на машине 6 мин
- 2 Наблюдение за файлом на машине 8 мин
- 3 Кто и чем теория 6 мин
- 4 Чтобы правило не пропало на машине 7 мин
- 5 Конфиг меняется сам лаба 20 мин
- 6 Итог итог 3 мин
-
10 · Тест модуля 10 вопросов · порог 70%
-
-
Итоговый тест 18 вопросов · порог 80%