Separar el log de Ssh

Días atrás mostré como Securizar SSH y deje pendiente como separar el log de ssh. Esto es bastante cómodo si tienes ssh a la vista y quieres revisar sus eventos, ataques, ... evitando el "ruido" y los eventos de otros servicios.

Esto se puede aplicar no solo para ssh sino para cualquier servicio que deseemos. Los cambios los realizaré en un Ubuntu Maverik pero es transcribible a cualquier distribución o unix que use rsyslogd. Lo primero es decirle que cuando encuentre una línea de log que contenga ssh nos lo escriba en un archivo aparte. Creamos el siguiente archivo y escribimos el siguiente contenido

Crear par de claves RSA para SSH

Continuando con el articulo de como Securizar SSH vamos a ver una opción para mi imprescindible.
Crear un par de claves para cada usuario para acceder al servidor significa que, para entrar necesitaremos saber el nombre de usuario, tener el archivo de la clave encriptada y la contraseña de la misma. Por lo que añade una capa de seguridad importante.

Securizar SSH

La seguridad es un tema controvertido ya que por mucho que "securices" un servicio (como ssh en este caso) siempre puedes estar expuesto a un bug de otro servicio y/o aplicación, pero hay que intentar no ponerlo fácil.

Hace poco me pidieron consejo ya que vieron en los logs de ssh un nada despreciable número de ataques al día. Cuando ves esto te da un poco de (como mínimo) respeto ya que piensas que alguno puede lograr algo. Se que de ssh se ha escrito mucho y quizás no aporte nada nuevo, pero para ayudar a alguien o para reunir información os retoco el mail que le envié.

Detectar rootkits en Linux / Unix

Una tarea que se debería realizar periódicamente es verificar si nuestro sistema tiene algún rootkit para nuestra tranquilidad. Por mucha atención que prestemos a la seguridad no hay ningún sistema cien por cien seguro. Lo interesante sería crear una tarea programada con cron y mandar los resultados a un log para revisarlo más tarde.

Existen varias herramientas para comprobar si tenemos algún rootkit en nuestro sistema. Voy a comentar tres de ellas:

Lynis Auditoría de seguridad para Linux / Unix

Es una herramienta para realizar auditorías de seguridad en sistemas basados en Unix. Escanea el sistema en busca de posibles fallos de seguridad en los métodos de autenticación, parches de software, permisos de archivos y usuarios, configuración del firewall ...

La aplicación no corrige errores solo nos informa de ellos por pantalla y/o a través de un log. Podemos descargar lynis para ejecutarlo desde un medio extraíble o instalarlo desde los repositorios en la misma máquina.