Обсуждение статьи тематического каталога: Что поправить в FreeBSD для увеличения безопасности (freebsd security howto)

Ссылка на текст статьи: http://www.opennet.me/base/sec/freebsd_checklist.txt.html

• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),Anton, 07:08 , 21-Авг-03
  • Что поправить в FreeBSD для увеличения безопасности (freebsd...,Gritt, 10:08 , 08-Дек-03
• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),FLY, 10:21 , 25-Авг-03
• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),sky, 16:14 , 19-Сен-03
• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),Insane, 02:54 , 26-Сен-03
• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),sgy, 18:20 , 26-Фев-04
• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),citrin, 20:08 , 31-Окт-04
• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),MDV, 12:28 , 20-Апр-06
  • Что поправить в FreeBSD для увеличения безопасности (freebsd...,nEwUR, 15:41 , 26-Сен-06
• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),Mister_Lu, 14:22 , 12-Сен-06
• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),кирюха, 23:42 , 06-Дек-06
• Что поправить в FreeBSD для увеличения безопасности (freebsd security howto),Аноним, 13:35 , 17-Июл-08
  • Что поправить в FreeBSD для увеличения безопасности (freebsd...,fsdfssssd, 11:21 , 12-Июн-10

Есть одна очень неприятная ошибка, по крайне мере мне она бросилась в глаза и остался неприятный осадок.
/etc/crontab - это системный кронтаб !!!
Не надо в него свои задачи писать...
Это настолько же плохой тон, как и исправления в /etc/defaults/*

А собственно чем это плохой тон?
chmod 600 /etc/crontab
vi /etc/crontab только из по rootа.

Это гораздо удобнее и практичнее, чем писать отдельные кронтабчики, а потом вспоминать что и где, а главное из под какого пользака пускается.

/security/chrootkit
такого порта нет :-(
есть только:
/usr/ports/security/chkrootkit

Полезная статья. ( :) мое мнение)

Про kern.ps_showallprocs не знал... Спасибо!
Кстати в пятой фре этот параметр переименовали в
security.bsd.see_other_uids...

Под рутом crontab -e и вставляй записи сколько угодно в рутовый cron, а зачем в системный писаться не понятно совсем.

Стоит сюда добавить про /usr/ports/security/portaudit
IMHO эта программа должна стоять на каждом сервере.

Ошибка в /etc/ttys

Если поставить все консоли в insecure, то вообще на получится локально войти по root, PAM выдаст ошибку. Чтобы в однопользовательском режиме запрашивался пароль, достатосчно прописать:
console  none   unknown   off   insecure
Как, в принципе, и сказано в комментах в файле.

Если поставить режим insecure для всех виртуальных терминалов, то чтобы войти на сервер из локального терминала, необходимо сначала зарегестрировать пользователем из группы wheel, а уж потом su

log_in_vain="YES"  # Установите эту опцию, если вы хотите записывать все попытки подключения
# к закрытым портам вашего сервера.
Неверно указано значение. Здесь указываеться bool значение, одноко это значение int, по умолчанию присвоенно значение 0.
И я бы сказал что логичние прописать в sysctl.conf:
net.inet.tcp.log_in_vain=1
net.inet.udp.log_in_vain=1
читаем man rc.conf:
log_in_vain
                 (int) Set to 0 by default.  The  sysctl(8) variables,
                 net.inet.tcp.log_in_vain and net.inet.udp.log_in_vain, as
                 described in tcp(4) and udp(4), are set to the given value.

Что то options ICMP_BANDLIM не работает %)

сделал так: chmod 0700 /usr/home/*
пытаюсь теперь зайти на сайт. мне выдается You don't have permission to access / on this server.
в чем проблемаа ХЕЛП

>сделал так: chmod 0700 /usr/home/*
>пытаюсь теперь зайти на сайт. мне выдается You don't have permission to
>access / on this server.
>в чем проблемаа ХЕЛП

проблема в том...что статья хз какого года и частично не актуальна...а еще твои и мои кривые руки...проблема в том, что в плане безопасности очень Х1овая идея играться с правами на директории и fstab'ами всякими...проблема в том, что Бл1тть! спустя 5 лет с написания статьи все еще находятся те, кто напарываются на эти грабли....п13дец аааааааааааааа!