Sécurité et Linux. Philippe Biondi Cédric Blancher 14 mai 2002

Transcription

1 Sécurité et Linux Philippe Biondi Cédric Blancher 14 mai 2002

2 Plan 1 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP

3 Plan SI Linux 2 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP

4 SI Linux Aperçu Points forts Points faibles 3 Vocabulaire Linux = noyau OS = noyau plus utilitaires de base (ex: GNU/Linux, GNU/Hurd) SI = OS+applications

5 SI Linux Aperçu Points forts Points faibles 4 Déroulement du boot: boot loader noyau init getty xdm rcs.d rc2.d login mountall networking crond inetd sshd httpd gdm

6 SI Linux Aperçu Points forts Points faibles 5 OS Modularité Extensibilité Transparence Profusion de logiciels

7 SI Linux Aperçu Points forts Points faibles 6 Noyau tourne sur une quinzaine d architectures supporte une trentaine de systèmes de fichiers ainsi que la plupart des formats de disques (Sun, SGI, Ultrix, etc.) possibilité d une couche logicielle cohérente sur une couche matérielle hétéroclite

8 SI Linux Aperçu Points forts Points faibles 7 Logiciel libre pérennité (ex: les noyaux 2.0 sont toujours maintenus, possibilité de maintenir soi-même un vieux logiciel, etc.) sureté de fonctionnement (audits internes, pas de spyware, etc.) réaction rapide face aux failles (full disclosure, possibilité de corriger soi-même, etc.)

9 SI Linux Aperçu Points forts Points faibles 8 Points faibles nécessite une bonne connaissance pour l utiliser sûrement parfois trop de choix

10 Plan Sécurité 9 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP

11 Sécurité Tour d horizon Durcissement 10 Applications Authentification (PAM, LDAP, etc.) Proxys (HTTP, FTP, SMTP, DNS, Socks, etc.) Wrappers NIDS (Prelude, Snort, Firestorm, Tamandua, FWLogWatch, FireParse, etc.) HIDS (Tripwire, AIDE, md5mon, bsign, Abacus (LogCheck, PortSentry, HostSentry), Swatch, etc.) etc.

12 Sécurité Tour d horizon Durcissement 11 Noyau Firewalling (iptables/netfilter) Emprisonnement (chroot()) Capabilities IPSec (FreeS/WAN) Systèmes de fichiers chiffrés patchs divers (ACL, etc.) Durcissement (OpenWall, GrSecurity, LIDS, LoMaC, SE Linux, LSM, etc.) etc.

13 Sécurité Tour d horizon Durcissement 12 Outils, audit Scanners automatiques (hping2, nmap, nessus, etc.) Analyseurs réseau (tcpdump, ethereal, etc.) Pots de miels virtuels (User-Mode Linux, Plex86, Bochs) etc.

14 Sécurité Tour d horizon Durcissement 13 Sureté de fonctionnement Systèmes de fichier journalisés (ext3, ReiserFS, XFS, etc.) LVS (Linux Virtual Server) (failover, répartition de charge) LVM (Logical Volume Manager) (hotplug sans RAID matériel) etc.

15 Sécurité Tour d horizon Durcissement 14 Premières mesures Désactiver les services inutiles Désinstaller les packages inutiles (L A T E X, compilateurs, X11, packages contenant des programmes SUID/SGID) Utiliser des applications robustes, simples, minimales. Éviter les SUID/SGID Possibilité d utiliser des wrappers Firewalling (la machine filtre ses propres flux réseaux ) Filtrer les logs, remonter les alertes Vérification d intégrité

16 Sécurité Tour d horizon Durcissement 15 Pour aller plus loin... capabilities, UID non privilégié, chroot Retirer CAP_SYS_MODULE et CAP_SYS_RAW_IO du système Recompilation du noyau minimal, sans module, et retirer le CAP_SYS_RAW_IO Utilisation de bibliothèques du type libsafe Utilisation d extensions de compilateurs (StackGuard, StackShield, etc.) Utilisation de distributions sécurisées (Immunix, Engarde, etc.) ou des scripts de durcissements Utilisation de patchs de sécurité (durcissement, contrôle d accès)

17 Plan Exemple 16 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP

18 Exemple Architecture Firewall Frontal HTTP 17 <<<<<<<<<<<<;;;;;;;;;;;; FFFFFFFFFFFFEEEEEEEEEEEEE :::::::::::: VVVUUU >>>>>>>>>>>>============ BBBBBBBBBBBBAAAAAAAAAAAA RRRQQQ DDDDDDDDDDDDCCCCCCCCCCCC TTTSSS HHHHHHHHHHHHGGGGGGGGGGGGG Filiale Internet Poste nomade Firewall VLANs IPSEC PPTP L2TP RAS & RADIUS DNS IIJ KL MM NN OP Administration Système & Réseau /// ,, Frontal HTTP Supervision Relais SMTP NIDS Monitor Terminaux X Ethernet Switch Stations HTTP intra/extra LAN `X`X`X`X`X`X`X` `X`X`X`X`X`X`X` axaxaxaxaxaxa axaxaxaxaxaxa bxbxbxb cxcxc Serveur TX Serveur Mail SMB ### $$$!!! "" DNS interne Pont filtrant ))) ** '' (( %%% &&& Proxy/Cache PKI / LDAP authentification forte LAN restreint WXWXWXWXWXWXW YXYXYXYXYXYXYZXZXZ [X[X[ \X\X\X\X\X\X\ \X\X\X\X\X\X\ ]X]X]X]X]X]X] ]X]X]X]X]X]X]^X^X^ _X_X_ SGBD

19 Exemple Architecture Firewall Frontal HTTP 18 Le firewall Environnement applicatif minimal Serveur SSHv2 sur l interface d admin seulement Noyau minimum avec restriction d accès (LIDS) Pas de service sur les interfaces réseau Un firewall peut fonctionner en runlevel 0 (halt)!

20 Exemple Architecture Firewall Frontal HTTP 19 Le frontal HTTP Apache avec support PHP, SSL, rewrite et proxy Serveur HTTP en environnement restreint PHP restreint, safe_mode activé Authentification forte par certificats Firewalling Accès SSHv2 seulement depuis le réseau d administration restrictions d accès au niveau noyau (LIDS).

21 Liens (1/2) 20 Linux Noyau Réseau

22 Liens (2/2) 21 Applications Distributions