En los sistemas operativos tipo POSIX cada elemento del sistema de archivos, como archivos, directorios, enlaces simbólicos, etc., tiene la característica de poseer permisos que lo ubican dentro del mismo. Éstos sirven como uno más de los niveles de seguridad del sistema operativo al impedir que cualquier usuario pueda leer, escribir, ejecutar o acceder a dichos archivos y directorios de manera arbitraria. Estos permisos vistos de manera básica son: lectura (r, read), escritura (w, write) y ejecución (x, execution) y se agrupan en bloques (rwx) para 3 diferentes clases (usuario, grupo y otros).

Los permisos de acceso de cada archivo y directorio del sistema son mostrados por un conjunto de 10 caracteres, los cuales proporcionan información acerca del tipo de elemento, junto con permisos para el usuario y grupo propietario para leer, escribir y ejecutar, como se muestra en el siguiente ejemplo:

-rwxr-xr-x 1 fulano fulano 0 jul 31 18:11 algo.txt

La asignación de permisos de acceso (de lectura, escritura y ejecución) pueden gestionarse a través de modos, los cuales consisten de combinaciones de números de tres dígitos —usuario, grupo y otros— que son manipulados a través de chmod y setfacl.

La asignación de permisos de acceso (de lectura, escritura y ejecución) pueden gestionarse a través de modos, los cuales consisten de combinaciones de números de tres dígitos —usuario, grupo y otros— que son manipulados a través de chmod y setfacl.

Notación simbólica.

El esquema de notación simbólica se compone de 10 caracteres, donde el primer carácter indica el tipo de archivo:

Como se mencionó anteriormente, cada clase de permisos es representada por un conjunto de tres caracteres. El primer conjunto de caracteres representa la clase del usuario, el segundo conjunto de tres caracteres representa la clase del grupo y el tercer conjunto representa la clase de «otros» (resto del mundo). Cada uno de los tres caracteres representa permisos de lectura, escritura y ejecución, respectivamente y en ese orden.

Ejemplos:

Notación octal.

La notación octal consiste de valores de tres a cuatro dígitos en base-8. Con la notación octal de tres dígitos cada número representa un componente diferente de permisos a establecer: clase de usuario, clase de grupo y clase de otros (resto del mundo) respectivamente. Cada uno de estos dígitos es la suma de sus bits que lo componen (en el sistema numeral binario). Como resultado, bits específicos se añaden a la suma conforme son representados por un numeral:

• El Bit de ejecución (acceso en el caso de directorios) añade 1 a la suma.
• El bit de escritura añade 2 a la suma
• El bit de lectura añade 4 a la suma.

Estos valores nunca producen combinaciones ambiguas y cada una representa un conjunto de permisos específicos. De modo tal puede considerarse la siguiente tabla:

Cabe señalar que el permiso 3 (wx) es el resultado de 1+2 (w+x), que el permiso 5 (rx) es el resultado de 4+1 (r+x), que el permiso 6 (rw) es el resultado de 4+2 (r+w) y que el permiso 7 (rwx) es el resultado de 4+2+1 (r+w+x).

Máscara de usuario.

La máscara de usuario (umask, abreviatura de user mask) es una función que establece los permisos predeterminados para los nuevos archivos y directorios creados en el sistema. Puede establecerse en notación octal de tres o cuatro dígitos o bien en notación simbólica. Puede establecerse cualquier valor para umask, pero debe tomarse en consideración que ésta jamás permitirá crear nuevos archivos ejecutables.

Cuando se utiliza la notación octal de cuatro dígitos, el primer dígito siempre corresponde a los permisos especiales, pero el valor de éste siempre será 0; el segundo dígito corresponde a la máscara de la clase otros; el tercer dígito corresponde a la máscara para la clase de grupo; y el cuarto dígito corresponde a la máscara para la clase de usuario.

.----------- Permisos especiales (siempre es 0 en umask)
| .--------- Clase de otros
| | .------- Clase de grupo
| | | .----- Clase de usuario
| | | |
↓ ↓ ↓ ↓
0 0 2 2

El valor de la máscara de usuario, que se asigna ejecutando umask, corresponde a los bits contrarios del permiso predeterminado que se quiera asignar. Es decir, si por ejemplo se quiere asignar una máscara de usuario equivalente a 0775 (rwxrwxr-x), el valor de la máscara de usuario corresponderá a 0002 (el resultado de la operación 777 menos 775), que será lo mismo que definir u=rwx,g=rwx,o=rx.

Si por ejemplo se quiere asignar una máscara de usuario equivalente a 0744 (rwxr–r–), el valor de la máscara de usuario corresponderá a 0033 (el resultado de la operación 777 menos 744), que será lo mismo que definir u=rwx,g=r,o=r.

Los valores nunca producen combinaciones ambiguas y cada una representa un conjunto de permisos específicos. De modo tal puede considerarse la siguiente tabla:

El valor predeterminado de la máscara de usuario del sistema en CentOS, Fedora™, Red Hat™ Enterprise Linux, openSUSE™ y SUSE™ Linux Enterprise es 0022, es decir se asigna permiso 0755 (-rwxr-xr-x) para nuevos directorios y 0644 (-rw-r–r–) para nuevos archivos. El sistema jamás permite crear nuevos archivos con atributos de ejecución. El valor predeterminado se define en una variable de entorno del archivo /etc/profile y puede ser cambiado por el que el administrador del sistema considere pertinente. El valor también puede establecerse por usuario en el archivo ~/.bash_profile (CentOS, Fedora™ y Red Hat™ Enterprise Linux) o bien en el archivo ~/.profile (openSUSE™ y SUSE™ Linux Enterprise).

El valor predeterminado de la máscara de usuario utilizado por useradd, para la creación de directorios de inicio de usuarios, se define en el archivo /etc/login.defs.

En CentOS, Fedora™ y Red Hat™ Enterprise Linux el valor predeterminado de la máscara de usuario utilizada por useradd es 0077, es decir que los directorios de inicio de cada usuario que sea creado en el sistema tendrá un permiso 0700 (rwx——).

En openSUSE™ y SUSE™ Linux Enterprise el valor predeterminado de la máscara de usuario utilizada por useradd es 0022, es decir 0755 (rwxr-xr-x), debido a que la variable UMASK está deshabilitada con una almohadilla en el archivo /etc/login.defs, pues se recomienda se defina ésta variable en el archivo /etc/default/useradd. Ejemplo:

GROUP=100
HOME=/home
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes
UMASK=0077

Para determinar el valor en notación octal para la máscara de usuario predeterminada del sistema, ejecute umask sin opciones ni argumentos.

umask

Para determinar el valor en notación simbólica para la máscara de usuario predeterminada del sistema, ejecute umask con la opción -S (mayúscula), sin argumentos.

umask -S

Para cambiar la mascara de usuario en la sesión activa y procesos hijos, se requiere ejecutar umask con el valor octal deseado. En el siguiente ejemplo, se definirá 0002 (0775, rwxrwxr-x) como máscara de usuario:

umask 0002

Lo anterior también se puede hacer utilizando notación simbólica:

umask u=rwx,g=rwx,o=rx

Permisos adicionales.

Hay una forma de cuatro dígitos. Bajo este esquema el estándar de tres dígitos descrito arriba se convierte en los últimos tres dígitos del conjunto. El primer dígito representa el bit de los permisos adicionales. En sistemas y equipamiento lógico donde es obligatorio incluir este primer dígito del conjunto de cuatro y se prescinde de asignar permisos adicionales, se debe establecer cero como valor de éste. Ejemplo:

chmod 0755 /lo/que/sea

El primer dígito del conjunto de cuatro es también la suma de sus bits que le componen:

1. El bit pegajoso (sticky bit) añade 1 al total de la suma.
2. El bit setgid añade 2 al total de la suma.
3. El bit setuid añade 4 al total de la suma.

El permiso SUID o bit setuid hace que cuando se ha establecido ejecución, el proceso resultante asumirá la identidad del usuario dado en la clase de usuario (propietario del elemento).

El permiso SGID o bit setgid hace que cuando se ha establecido ejecución, el proceso resultante asumirá la identidad del grupo dado en la clase de grupo (propietario del elemento). Cuando setgid ha sido aplicado a un directorio, todos los nuevos archivos creados debajo de este directorio heredarán el grupo propietario de este mismo directorio. Cuando se omite establecer setgid, el comportamiento predeterminado es asignar el mismo grupo del usuario utilizado para crear nuevos archivos o directorios.

El bit pegajoso (sticky bit) significa que un usuario sólo podrá modificar y eliminar archivos y directorios subordinados dentro de un directorio que le pertenezca. En ausencia de éste, se aplican las reglas generales y el derecho de acceso de escritura en si sólo permite al usuario crear, modificar y eliminar archivos y directorios subordinados dentro de un directorio. Los directorios a los cuales se les ha establecido bit pegajoso restringen las modificaciones de los usuarios a sólo adjuntar contenido, manteniendo control total sobre sus propios archivos y permitiendo crear nuevos archivos; sólo permitirá adjuntar o añadir contenido a los archivos de otros usuarios. El bit pegajoso es utilizado en directorios como /tmp y /var/spool/mail.

De modo tal puede considerarse la siguiente tabla:

Cuando un archivo carece de permisos de ejecución o bien si un directorio carece de permiso de acceso en alguna de las clases y se le es asignado un permiso especial, éste se representa con una letra mayúscula.

Ejemplos.

Ejemplos permisos regulares.

Ejemplos permisos especiales.

Uso de chmod.

chmod [opciones] modo archivo

Ejecute lo siguiente:

mkdir -p ~/tmp/
touch ~/tmp/algo.txt
ls -l ~/tmp/algo.txt
chmod 755 ~/tmp/algo.txt
ls -l ~/tmp/algo.txt
chmod u=rw,g=r,o=r ~/tmp/algo.txt
ls -l ~/tmp/algo.txt
chmod u=rw,g-r,o-r ~/tmp/algo.txt
ls -l ~/tmp/algo.txt
chmod u+x,g+rx,o+rx ~/tmp/algo.txt
ls -l ~/tmp/algo.txt
chmod a-x ~/tmp/algo.txt
ls -l ~/tmp/algo.txt
chmod a-w ~/tmp/algo.txt
ls -l ~/tmp/algo.txt

La salida debe ser similar a la siguiente:

Opciones de chmod.

-R Cambia permisos de forma descendente en un directorio dado. Es la única opción de los estándares POSIX.-cMuestra cuáles archivos han cambiado recientemente en una ubicación dada
-f Omite mostrar errores de archivos o directorios que haya sido imposible cambiar
-v Descripción detallada de los mensajes generados por el proceso

Para obtener una descripción completa del uso de chmod, ejecute:

man 1 chmod

Uso de chmod y los enlaces simbólicos.

Cabe señalar que aunque es posible cambiar el propietario y/o grupo al cual pertenece un enlace simbólico con chown y chgrp, chmod jamás cambia los permisos de acceso de enlaces simbólicos, los cuales de cualquier forma carecen de relevancia pues los que importan son los permisos de los archivos o directorios hacia los cuales apuntan. Si ejecuta chmod sobre un enlace simbólico, invariablemente se cambiará el permiso del archivo o directorio hacia el cual apunta. Cuando se aplica chmod de forma descendente en un directorio, éste ignora los enlaces simbólicos que pudiera encontrar en el recorrido.

Fuente: Alcancelibre

La entrada Permisos, permisos y más permisos se publicó primero en SoyAdmin.com.

Buscando en el manual de find veremos:

# man find
-mtime n    File's data was last modified n*24 hours ago.  See the comments for -atime to understand how rounding affects the interpretation of file modification times.

Entonces por ejemplo deseamos buscar dentro de un directorio llamado «admin» y que nos liste solo los archivos modificados en las últimas 25 hs,concatenando el find + mtime podemos hacerlo:

# find /admin -type f -mtime -1

Acá buscamos en el directorio «admin» solo los archivos (-type f) y que fueron modificados dentro de las 24hs (-mtime -1).

La entrada SSH: Listar archivos modificados en las últimas 24hs se publicó primero en SoyAdmin.com.

Existe un comando ssh, el cual realiza un escaneo del log «secure» y nos da un detalle de aquellas ip que estan realizando intentos de conexión y listando la cantidad de intentos.

cat /var/log/secure* | grep 'Failed password' | awk '{print $9 " " $11 }' | sort | uniq -c | sort -rn | head -7

El código mostrará un ordenamiento de los primeros 7 (condicionado por el -7) puestos en cuanto a logueos erroneos desde cualquier IP.

La salida del comando sería, por ejemplo:

cat /var/log/secure* | grep 'Failed password' | awk '{print $9 " " $11 }' | sort | uniq -c | sort -rn | head -7
6597 root 62.152.34.74
2351 root 122.49.119.206
1725 root 61.55.135.59
1074 root 221.181.42.1
926 root 190.24.10.11
675 root 112.216.82.130
565 root 69.64.57.155

Nos indica la cantidad de loguins erróneos, el usuario utilizado y la IP. Este comando es importantísimo dado que nos ayuda a mejorar la seguridad del server y previendo mediante un bloqueo con nuestro firewall que dichas ip sigan molestando.

La entrada ¿Como saber que IP’s están atacando nuestro servicio SSH? en centOS y RHEL se publicó primero en SoyAdmin.com.

Aunque es un protocolo muy seguro también es muy utilizado y atacado por eso mismo existen un par de medidas con las cuales podremos securizar bastante nuestra conexión.

Un atacante lo que busca es lograr hacerse con el control del servidor, ya sea explotando alguna vulneración de un demonio SSH mal configurado o desactualizado o lo más grave con datos de acceso «débiles» o por intento de corromper el acceso mediante ataques de fuerza bruta contra el loguin. Esto último es el intento infinito de acceso mediante script hacia el user «root».

En este post trataremos de explicar como securizar nuestro servidor SSH y poder así proteger y securizar nuestro server.

LO PRIMERO Es identificar las opciones o configuraciones que podemos realizar en SSH:

# vi /etc/ssh/sshd_config

En el archivo de configuración podemos editar:
– Port: Es el puerto que utilizará el demonio de SSH para conectarse, normalmente se utiliza el puerto 22 por default, lo cual debería ser  cambiado por alguno de nuestro gusto. Ejemplo: Port 4025
– Protocol: Es el protocolo SSH  que utilizará por default el SSH, normalmente esta colocado 2, 1 pero el protocolo 1 de conexión está en desuso y por consiguiente es más vulnerable, acá cambiaremos el valor a solamente 2.
– LoginGraceTime: Es el tiempo que posee cada usuario en colocar los datos de acceso o intentarlo en varias ocaciones si ingresa mal los datos. Este punto es muy importante porque por default, esta configurado en 2 minutos tiempo suficiente para que un script haga cientos de intentos de loguin. Para un usuario normal bastan 10 o 20 segundos para poder loguearse.
– PermitRootLogin: Este interesante punto es el que SIEMPRE tendremos que modificar para tener nuestro sistema seguro, todos los servers linux y unix usan al usuario root como administrador del sistema, es decir que el usuario default con más privilegios se llama «root» en consecuencia es el usuario más atacado y forzado. Por eso mismo es altamente recomendable usar cualquier usuario para ingresar al SSH, negando el loguin directo al Root y manejandose con la escala de privilegios que da el su o sudo.
– MaxAuthTries: Este valor es el que nos da la cantidad de loguins incorrectos que podemos tener antes de cerrar la pantalla de loguin, normalmente y por default este valor es 6 pero lo recomendable es dejarlo en 2 para así evitar el intento masivo de loguin.
– MaxStartups: Indica la cantidad de ssh que se pueden abrir por IP, este valor por default es de 100 lo cual permitirá abrir 100 conexiones hacia nuestro servidor desde una misma IP. Este valor es muy exagerado, pasándolo a 3 o 5 es más que suficiente.
– AllowUsers: Si solo usamos un par de usuarios el ssh lo mejor es limitar el acceso a dichos users y tener una tabla de accesos. Por ejemplo:
AllowUsers soyadmin
AllowUsers quemiras
AllowUsers otromas
Aquí estamos otorgando permisos de acceso a estos 3 usuarios.

¿NECESITAMOS SSH? En algunos casos no se usa, si es así lo mejor es desactivarlo 

# vi /etc/hosts.deny

# hosts.deny    This file describes the names of the hosts which are
#        *not* allowed to use the local INET services, as decided
#        by the '/usr/sbin/tcpd' server.
#
sshd: all

SI TENEMOS IP FIJA podemos permitir el acceso mediante a SSH a las IP que deseamos:

# vi /etc/hosts.allow

# hosts.allow This file describes the names of the hosts which are
#  allowed to use the local INET services, as decided
#  by the '/usr/sbin/tcpd' server.
#
sshd: 32.32.22.12 128.111.69.244

Les dejo la configuración que poseo:

Port 1122
Protocol 2
LoginGraceTime 10
PermitRootLogin No
MaxAuthTries 2
MaxStartups 2
AllowUsers soyadmin

No es difícil y es muy recomendable «tocar» y mantener nuestro ssh configurado correctamente. Con un par de pasos y de valores lograremos tener fuera de nuestra puerta a visitantes deseados de poder ingresar.

La entrada Securizando nuestro SSH se publicó primero en SoyAdmin.com.