Discussion Pour le tuto Sécurisation & Logs V3 : https://mondedie.fr/d/5318-Tuto-Securisation-Logs-V-3-nginx

Un GRAND merci ex_rat Version 2.0 du tuto presque parfaite. J'aurai une question sur la sécurisation SSH, lorsque que on a bloqué le login root et autorise un user perso créé, Il y a un moyen de pouvoir avoir les droits root sur filezilla en sftp avec l'user perso ?

Non. Pour avoir les droits root c'est soit utiliser sudo (pas possible avec filezilla) soit changer l'uid = 0 ce qui revient à renommer le user root en autre chose.

Merci beaucoup pour ce tuto très clair ! Je débute avec mon dédié Kimsufi et j'ai pu tout paramétrer sans problème, beau boulot.

Merci Par contre y'a un os, pas trop embêtant parce que ça risque pas grand chose mais quand même... Je m'étais jamais trop penché sur fail2ban mais la config' pour lighttpd qu'on retrouve sur tout les tuto qui trainent marche pas vraiment. Les 3 fichiers de conf "apache-truc" qu'on utilise en /etc/fail2ban/filter.d/ ne voient rien passer. C'est pour ça qu'on ramasse des bots "myphpadmin" en rafale entre autre. Pareil pour les tentatives d'identification à la porte de rutorrent, ça ban quedale Je teste quelques trucs... Pour l'identification j'ai ça déjà qui marche pas mal même si ça ne ban que si le guignol utilise un pseudo existant sur la box (pas trouvé pour un "toto" mais c'est moins gênant) On édite : nano /etc/fail2ban/filter.d/apache-auth.conf On efface tout et on colle à la place : # Fail2Ban configuration file # for lighttpd htdigest [Definition] # Option: failregex # Notes.: regex to match the password failure messages in the logfile. # Values: TEXT failregex = .*http_auth.*wrong password.*IP: <HOST>\s*$ .*http_auth.*password doesn\'t match.*IP: <HOST>\s*$ # Option: ignoreregex # Notes.: regex to ignore. If this regex matches, the line is ignored. # Values: TEXT ignoreregex = Et on relance fail2ban : /etc/init.d/fail2ban restart J'ai testé c'est ok, je viens de bannir ma mère au bout de 3 tentatives. "Mais t'es sur que je vais pas avoir d'ennuis ?!?" 🙂) J'ai un truc aussi pour les bots phpmyadmin mais j'attends d'avoir plus de retour sur mon test, je manque de pénibles sur le serveur pour l'instant. Votre avis sur la question m’intéresse grandement et si vous pouvez confirmer... Et pas facile "regex" au passage. Ex.

Oui c'est ça, j'ai une regex en stock pour nginx pour ceux qui voudrons passer à nginx quand j'aurais fait le tuto.

Ok je ferais la mise à jour un peu plus tard avec des règles propres. On suit des trucs sans les comprendre et on fait pornawak, c'est malheureux Edit: J'ai corrigé la partie Fail2Ban / Lighttpd avec ajout d'un filtre anti-script, ça marche pas mal du tout Ajout dans la règle anti script de fail2ban d'une ligne anti wootwoot qui marche pas mal du tout.

Bonjour et merci a ex_rat pour ce tuto. Tous c'est parfaitement dérouler, par contre je n'ai pas encore osé toucher la partie sécurité ssh.Du coup j'ai aussi sauté l’étape portsentry. De toute façon je me suis aperçu que dans les mails reçus par fail2ban la plupart des tentatives ont été effectuées sur des ports autre que le 22. J'ai juste 2, 3 questions: - Sur la partie "postfix" pour rediriger les mails vers root a quoi sert pour appliquer les changements `newaliases` Moi j'ai fait `/etc/aliases` modifier en `/etc/newaliases`.Au début j'avais créé un newaliases dans aliases mais cela ne me retourner aucun mail. - Dans la partie "logwatch", on edit le fichier `/usr/share/logwatch/default.conf/logfiles/lighttpd.conf` et on modifie les valeurs. J'ai supprimé la totalité des lignes et j'ai copié les lignes du tuto `LogFile = lighttpd/*access_log......ect` - Et pour finir sur la partie fail2ban mais je crois que du coup c'est bon puisque je reçois les logs par mail sur la création des deux filtres pour Lighttpd.Dans les fichiers, on remplace *HOST* par rien ? Merci.

Salut - Pour ta question sur logwatch, il y a juste l'adresse mail à modifier, le reste des commandes se tape tel quel sans rien changer: nano /etc/aliases Et rajouter à la fin : root: ton_mail@mail.com Tu enregistres la modif' : (ctrl X... Y...) Et après seulement, quand t'es "revenu" sur ta console tu tapes pour valider les changements : newaliases - Pour ta question sur HOST, on laisse comme ça dans les règles sans rien modifier. Par contre, ne fait pas l'impasse sur la sécu SSH, c'est le plus important avec fail2ban, et penses après a modifier le port surveillé par fail2ban pour qu'il fasse son boulot Bon courage Ex.

Salut , je doit bien avoir tous fait car je reçois parfaitement tous les mails. C'est aussi ok pour la partie SSH. Par contre comment supprimer quelques lignes dans le logserver ? Tu compte faire une partie pour AWStats ? ça permet bien de vérifier toutes les adresses ip banni sur le serveur? sudo nano checklist_ban Merci.

Pour AWStats il y avait ça dans l'ancien post sécurité qui est un peu plus bas sur la première page. Mais d'après les commentaires il y avait des soucis donc j'ai pas remis au propre, si quelqu’un a un tuto 100% fonctionnel, qu'il hésite pas Logserver, y'a une rotation du log sur 7 jours, c'est vrai qu'en fin de semaine le fichier est un peu lourd mais c'est pas trop gênant, j'ai pas soluce pour faire plus light mais si quelqu’un a ça et veut faire évoluer le truc avec un script ou autre idée, il est le bienvenue.... Fail2ban utilise Iptables, d'après la faq pour voir les ban en cours: `iptables -L` Pour un log plus parlant voir ici en bas de page: FAQ Fail2ban , faut ajouter des trucs dans les actions de jail.local Après y'a toujours moyen de voir les dernières entrées et suivre ça en live dans fail2ban.log quand y'a rien à la tv : tail -f -n 50 /var/log/fail2ban.log | ccze (toujours avec des jolies couleurs, parce que j'aime bien ! ) Ex.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd} : Page 11

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] : Sécurisation & Logs {nginx} {lighttpd}

Demolig

Bonjour,

J'ai un petit souci avec logwatch, toute les minute je reçois un mail de ce type :

Cron Daemon <root@ns468644.eu>

Starting rtorrent: rtorrentstty: entrée standard: Ioctl() inappropré pour un périphérique

ex_rat

Salut
Tente ça, c'est un soucis apparu avec la dernière version de rotrrent: http://mondedie.fr/d/5552/6
Ca doit régler le problème.
Ex.

Demolig

Merci, ca fonctionne.

pachti

salut, j'ai un petit soucis dès le début avec l'installation de Postfix...
Lors du test, ça me met message "d'erreur" :

mail: impossible d'expédier le message: Processus terminé avec un état de sortie non nul
mail: Impossible d'ouvrir le fichier /root/dead.letter: Aucun fichier ou dossier de ce type

en fait lors de l'installation j'ai eu une sorte d'interface graphique dans la console et j'ai eu tous les mal du monde à essayer de sélectionner les options (je tournais en rond dans les menus) et puis à un moment je suis revenu à la console version "normale).

Bref, je n'ai rien du paramétré...

une idée de comment faire?
Merci

Jedediah

Je te dirais bien de virer postfix et je le réinstaller mais j'avais eu une galère du même type et ça n'avait pas corrigé le souci.
Normalement tu laisses les trucs par défaut à l'installation, sauf pour le nom du serveur où je te conseille de mettre ton ndd.

Le souci c'est que même en réinstallant, il risque de ne pas te redemander ces infos.

ex_rat

Je dirais aussi de tenter la désinstall' et de recommencer

apt-get remove --purge postfix

et comme dit Jedediah, pendant le "menu" à l'installation, il n'y a vraiment que le nom du serveur à mettre, le reste bouge pas
Ex.

pachti

merci pour la ligne de désintall
et là je m'en suis sorti de la reinstall.. je ne sais pas qué passa mais le test du mail à fonctionner

Merci

pachti

je reviens ici pour faire un petit retour...
et bien tous c'est finalement bien passé...
j'ai désormais un serveur propre et securisé et je crois avoir tout compris à ce que j'ai fait donc les ban et unban devrait bien le faire...

Merci pour ces supers tutos

ActuallyNM

salut,

j'ai voulu installer donc mon serveur mail, le seul souci, a la deuxième étape, lorsque j'essaye d'envoyer un mail donc, j'ai ça comme erreur :

mail: error while loading shared libraries: libmailutils.so.4: cannot open shared object file: No such file or directory

Bien sur, comme j'ai vu que c'était une librairie qui me manquait, je me suis empressé de faire un coup de :

ldd /usr/bin/mail

et j'ai donc bien les libs suivantes manquantes, mais je ne vois pas comment y remédier :

 libmailutils.so.4 => not found
        libmailutils.so.4 => not found
        libmailutils.so.4 => not found
        libmailutils.so.4 => not found
        libmailutils.so.4 => not found
        libmailutils.so.4 => not found
        libmailutils.so.4 => not found
        libmailutils.so.4 => not found

j'ai donc essayé de réinstaller la librairie manuellement :

apt-get install libmailutils4

mais la réponse donnée est comme quoi, la lib est déjà bien installée.

Si vous avez une idée, je suis preneur.

ex_rat

Salut
Je vais pas pouvoir t'aider la dessus

Tu devrais ouvrir un topic à part pour que ton soucis soit plus visible, ou tenter le topic postfix peut-être: http://mondedie.fr/d/5751
Ex.

ActuallyNM

Salut ex_rat, je te remercie tout de même pour ta réponse, je pense que je vais ouvrir un nouveau sujet, en expliquant précisément mon souci.

Merci

anisVR6

salut
j'ai un petit problème j'ai une ip dynamique et je me suis fait ban 2 ip déjà je voudrai ajouter mon ip
voici mon ip

123.456.xxx.yyy

les 2 dernier bloc xxx.yyy change tout le temps 2 a 3 fois par jours même sans redémarrer la box
je voudrai savoir si je peut ajouter par exemple ca a fail2ban et portsentry

123.456.0/255.0/255

merci

ex_rat

Salut
Ça marchera pas le double /255
Si je dis pas de bêtises (mais les pros de l'ip me corrigeront), tu devrais plutôt partir sur 123.456.0.0/16
pour taper sur 123.456.0.0 - 123.456.255.255
Je ne sais pas trop comment Fail2ban gère ça par contre, à voir si il couine au redémarrage ou pas

Et augmente un peu le nombre de tentatives avant ban, ça peut aider si on se trompe régulièrement dans ses passes.
Ex.

Gravefield

Salut,

J'ai une erreur au niveau de Logwatch. Sur le restart :
logwatch restart

'cat '/tmp/logwatch.yXIEMXIN/syslog-archive' '/var/log/syslog' '/var/log/syslog.1'  | /usr/bin/perl /usr/share/logwatch/scripts/shared/expandrepeats ''| /usr/bin/perl /usr/share/logwatch/scripts/shared/removeservice 'talkd,telnetd,inetd,nfsd,/sbin/mingetty'| /usr/bin/perl /usr/share/logwatch/scripts/shared/applystddate ''>/tmp/logwatch.yXIEMXIN/syslog' failed: 2 at /usr/sbin/logwatch line 871.

Je suis donc allé voir à la ligne 871 du fichier /usr/sbin/logwatch

   #Instead of trying to cat non-existent logs we test for it above -mgt
   if ($FileText) {
      my $Command = $FileText . $FilterText . ">" . $TempDir . $LogFile;
      if ($Config{'debug'}>4) {
         print "\nPreprocessing LogFile: " . $LogFile . "\n" . $Command . "\n";
      }
      if ($LogFile !~ /^[-_\w\d]+$/) {
         print STDERR "Unexpected filename: [[$LogFile]]. Not used\n"
      } else {
         #System call does the log processing
         system("$Config{'pathtocat'} $Command") == 0
            or die "system '$Config{'pathtocat'} $Command' failed: $?"
      }
   }

la ligne 871 :

system("$Config{'pathtocat'} $Command") == 0

Donc si je comprend bien le test ci-dessus renvoie FALSE. J'ai un peu de mal à comprendre le test ^^ Il ne trouve pas le chemin de 'cat' ?

Autre chose pour recevoir les mails lors de la connexion root, ça fonctionnait pas j'ai suivie la directive de ce tutoriel http://www.alsacreations.com/tuto/lire/622-Securite-firewall-iptables.html à savoir :

echo 'Accès Shell Root le ' `date` `who` | mail -s `hostname` Shell Root de `who | cut -d"(" -f2 | cut -d")" -f1` monitoring@test.com

Et là je reçois les mails.

ex_rat

Salut
Malheureusement, j'ai aucune idée du soucis, ni de comment résoudre la problème... On va attendre pour voir si ça parle à quelqu’un de plus malin.
J'ai pas souvenir d'une galère avec Logwatch dans les retours en plus

Cumulé avec l'histoire du mail root c'est pas normal du tout, t'es sure de pas avoir fait de loupé la dessus pour ça ? :
Redirection des mails root :

nano /etc/aliases

Et rajouter à la fin :

root: mail@gmail.com

Pour valider les changements :

newaliases

Parce que le "hello word", c'est du basic, ça doit rouler tout seul normalement.
Ex.

Gravefield

Hum... enfaite cette commande fonctionne:

echo 'Salut, je suis un email.' | mail -s 'Hello world' admin@monDomain.tld

Celle-ci non :

echo 'Salut, je suis un email.' | mail -s 'Hello world' root

Voici le contenu du fichier /etc/aliases:

# See man 5 aliases for format
postmaster:    root
root: admin@monDomain.tld

Et j'ai bien exécuté cette commande :

sudo newaliases

Est-ce que je dois reboot le server?

ex_rat

Ton "sudo" m’inquiète là, t'es sur Ubuntu?
Si oui y'a peut-être des différences de distri qui expliquerait les choses.
Ex.

Gravefield

je suis sous raspbian, le debian pour la petit framboise lol

Magicalex

Connecte toi en root.

Su root ou sudo su

Gravefield

Le problème est identique même en étant en root.

J'ai suivi le tuto sur les mail automatisé, je ne sais si ça peut avoir un rapport.

EDIT :

S'il vous plait me taper pas dessus, enfaite ça fonctionne le "restart" j'étais juste impatient...
Pour l'envoi du mail au lieu de mettre root j'ai mi on adresse directement.

Bon je continu le tuto, navré pour le dérangement

« Page précédente Page suivante »