Ver el código de «Su máquina Debian»

<span data-link_translate_ar_title="تأمين جهاز به دبيان"  data-link_translate_ar_url="%D8%AA%D8%A3%D9%85%D9%8A%D9%86+%D8%AC%D9%87%D8%A7%D8%B2+%D8%A8%D9%87+%D8%AF%D8%A8%D9%8A%D8%A7%D9%86"></span>[[:ar:تأمين جهاز به دبيان]][[ar:تأمين جهاز به دبيان]]
<span data-link_translate_zh_title="确保其 Debian 的机器"  data-link_translate_zh_url="%E7%A1%AE%E4%BF%9D%E5%85%B6+Debian+%E7%9A%84%E6%9C%BA%E5%99%A8"></span>[[:zh:确保其 Debian 的机器]][[zh:确保其 Debian 的机器]]
<span data-link_translate_ro_title="Asigurarea sa maşină de Debian"  data-link_translate_ro_url="Asigurarea+sa+ma%C5%9Fin%C4%83+de+Debian"></span>[[:ro:Asigurarea sa maşină de Debian]][[ro:Asigurarea sa maşină de Debian]]
<span data-link_translate_pl_title="Zabezpieczanie swojej maszynie Debiana"  data-link_translate_pl_url="Zabezpieczanie+swojej+maszynie+Debiana"></span>[[:pl:Zabezpieczanie swojej maszynie Debiana]][[pl:Zabezpieczanie swojej maszynie Debiana]]
<span data-link_translate_de_title="Sicherung ihrer Debian-Rechner"  data-link_translate_de_url="Sicherung+ihrer+Debian-Rechner"></span>[[:de:Sicherung ihrer Debian-Rechner]][[de:Sicherung ihrer Debian-Rechner]]
<span data-link_translate_nl_title="Beveiligen zijn Debian machine"  data-link_translate_nl_url="Beveiligen+zijn+Debian+machine"></span>[[:nl:Beveiligen zijn Debian machine]][[nl:Beveiligen zijn Debian machine]]
<span data-link_translate_it_title="Protezione relativa macchina Debian"  data-link_translate_it_url="Protezione+relativa+macchina+Debian"></span>[[:it:Protezione relativa macchina Debian]][[it:Protezione relativa macchina Debian]]
<span data-link_translate_pt_title="Protegendo sua máquina Debian"  data-link_translate_pt_url="Protegendo+sua+m%C3%A1quina+Debian"></span>[[:pt:Protegendo sua máquina Debian]][[pt:Protegendo sua máquina Debian]]
<span data-link_translate_en_title="Securing its Debian machine"  data-link_translate_en_url="Securing+its+Debian+machine"></span>[[:en:Securing its Debian machine]][[en:Securing its Debian machine]]
<span data-link_translate_fr_title="Sécuriser sa machine Debian"  data-link_translate_fr_url="S%C3%A9curiser_sa_machine_Debian"></span>[[:fr:Sécuriser sa machine Debian]][[fr:Sécuriser sa machine Debian]]
<br />

Este artículo ha sido traducido por un software de traducción automática. Usted puede ver el origen artículo [[:fr:Sécuriser sa machine Debian|aquí]].<br /><span data-translate="fr"></span>



==Introducción ==
Garantizar que la seguridad de su máquina es un punto esencial que No.  se debe subestimar bajo pena de convertirse en el blanco de varios ataques. La potencia actual de los ordenadores hoy en día hacer intrusiones como las técnicas de ataque de fuerza bruta o  ''fuerza bruta '' muy simple de aplicar por a obtener acceso de administrador a la meta en una máquina del tiempo corto.
<br><br>
En esta página encontrará una lista no exhaustiva de pistas con el fin de asegurar su servidor Debian en diferentes puntos como la cuenta raíz  SSH  acceso, firewall, etc....
<div style="background-color: #FF9999;"> '''ADVERTENCIA ''': Antes de realizar cambios a su sistema siempre plan de copia de seguridad de tus archivos en caso de manipulación inadecuada. <br>
En un servidor de producción, asegúrese de realizar estas operaciones durante las horas para minimizar el impacto de sus acciones. </div>

==Requisitos ==
Uno de lo requisito previo esencial para la seguridad de su servidor es mantener sus paquetes en su versión la más actualizada posible. Un gran número de defectos descubiertos es corregido rápidamente por los desarrolladores de paquetes y aplicaciones involucradas, siempre que sea posible debe conservar siempre su sistema de actualización y así evitar problemas de seguridad.
Mantener actualizado su sistema Debian, asegúrese de que tener una lista de los repositorios oficiales para actualizar. Usted puede encontrar una lista de las disponibles en repositorios Ikoula e instrucciones de instalación  [[:fr:Quelles_sont_les_sources_des_d%C3%A9p%C3%B4ts_debian_chez_Ikoula| en esta dirección]].

==Raíz de acceso ==
Permitir conexiones desde cuenta  ''raíz '' Después del primer uso no es generalmente una buena idea. De hecho la cuenta  ''raíz '' ou ''superusuario '' tiene acceso completo a su sistema. <br>Si un atacante trata de acceder a cuenta  ''superusuario '' Tendrá control total de su máquina.
===El comando sudo ===
Para reducir el riesgo por ejemplo, puede Agregar un usuario que, si es necesario, los derechos de nuestra  ''superusuario '' mediante el comando  ''sudo''.
;Primero necesitamos crear un nuevo usuario  :
<syntaxhighlight lang="bash"> adduser votre_utilisateur</syntaxhighlight>
A continuación, rellena los campos así como la contraseña que preferentemente se compone de letras minúsculas, letras mayúsculas y números.
;Ahora vamos a instalar sudo :
<syntaxhighlight lang="bash"> apt-get install sudo</syntaxhighlight>
;Ahora que nuestro usuario se crea y que sudo está instalado tendrá que estar en el grupo de sudo para utilizar el comando :
<syntaxhighlight lang="bash"> usermod -a -G sudo votre_utilisateur </syntaxhighlight>

Desde ahora nuestro usuario puede, si es necesario preceder el comando desea sudo para ejecutar con permisos de  ''superusuario ''.
<br>Le pedirá la contraseña antes de ejecutar cualquier comando.
<syntaxhighlight lang="bash"> sudo cat /etc/password </syntaxhighlight> 

===Prohibir el login de root ===
Ahora que ya tenemos otro usuario podemos evitar por ejemplo conectar a nuestro sistema de la cuenta  ''root''.<br>

;Primero tienes que editar la configuración de la ssh servicio archivo 
<syntaxhighlight lang="bash">  vi /etc/ssh/sshd_config </syntaxhighlight>

;Buscar y editar la siguiente línea en el archivo sshd_config, cambiando el  ''Sí '' par ''no''. Necesario que descomentar la línea borrando el símbolo  #.
<syntaxhighlight lang="bash">  PermitRootLogin no </syntaxhighlight>

Recuerda a continuación, guarde y cierre el archivo de configuración. <br>
;Cuando se reiniciará el servicio SSH los cambios surtirán efecto.
<syntaxhighlight lang="bash"> /etc/init.d/ssh restart </syntaxhighlight>
<br>
<div style="background-color: #FFCC99;"> '''Consejo ''': Se recomienda que siempre mantenga el SSH terminal como root para la duración de las pruebas. Maltrato de hecho haría que la conexión a su sistema imposible. <br>
Por lo tanto se recomiendan la apertura de una segunda terminal para probar la conexión y de los cambios en el nuevo usuario. </div>

==SSH access ==
Gracias a las soluciones previamente nuestro sistema ya está asegurado, pero todavía podemos mejorar esta seguridad mediante la implementación de un archivo de clave de autenticación. <br>
Generalmente se realiza la conexión y la autenticación en el sistema a través de un par de inicio de sesión /contraseña. Podemos reemplazar este método no es infalible por la autenticación mediante clave. <br>
Una vez que la implementación de cambio durante cada nuevo sistema de conexión a ver si el usuario intenta conectar tiene una clave válida y si tiene permiso para realizar un inicio de sesión para este usuario. <br>
Aunque ningún método es infalible llave de autenticación requiere que la persona que desea entrar en el sistema que tiene este archivo. Por lo tanto, nos podemos reforzar la seguridad frente a una contraseña que puede ser conjeturada por  ''fuerza bruta ''<br>
Sin embargo, existen varios inconvenientes, cuando se selecciona este método, es imprescindible que el archivo de clave independientemente de la ubicación de la conexión, por ejemplo entre las computadoras en el trabajo y en casa. <br>
También debe agregar manualmente cada nuevo archivo clave que permitirá el acceso a su sistema, en el caso por ejemplo de agregar un nuevo usuario o acceso por una persona autorizada para su sistema.

=== Cambiar el puerto predeterminado  ===
Una de las maneras más eficaces detener pruebas automáticas contra servidores es cambiar el puerto SSH por defecto en su máquina.
Para hacer esto edite su archivo  '''sshd_config'''
<syntaxhighlight lang="bash"> vi /etc/ssh/sshd_config </syntaxhighlight>
; Buscar y editar la siguiente línea del archivo cambiando el valor por uno 
<syntaxhighlight lang="bash"># What ports, IPs and protocols we listen for
Port 22
</syntaxhighlight>
; Reiniciar el servicio SSH 
<syntaxhighlight lang="bash"> /etc/init.d/ssh restart </syntaxhighlight>
<div style="background-color: #FFCC99;"> '''Nota ''': Ahora conectarse a su máquina se especifica el puerto SSH : SSH usuario @Dirección IP  -p Votre_port</div>
<br>
=== Generar un par clave  ===
==== Windows ====
[[File:puttygen.png|thumb|right|PuTTYgen sous Windows]]
Puede generar su clave de PuTTYgen software disponible para Windows.
<br>
==== Linux ====
Bajo linux puede escribir el siguiente comando  :
<syntaxhighlight lang="bash"> ssh-keygen </syntaxhighlight>

=== Copiar un par de claves  ===
Cuando se genera el par que ahora indicamos el servidor Cuáles son las personas autorizadas para conectarse a nuestro nuevo usuario.
Para ello cada usuario de nuestro sistema tiene un archivo  '''ssh/authorized_keys''' presente en el directorio local.

;Si actualmente se genera el par de claves en el sistema Debian puede utilizar el siguiente comando para copiar automáticamente la llave en el archivo.
<syntaxhighlight lang="bash"> ssh-copy-id votre_utilisateur@IP_VotreServeur </syntaxhighlight>

;También puede Agregar manualmente la clave pública al archivo de personas autorizadas 
Si no existe la carpeta .ssh en carpeta local de nuestro usuario lo creamos 
<syntaxhighlight lang="bash">mkdir .ssh
chmod 700 .ssh
</syntaxhighlight>
;Ahora tenemos que crear un archivo  '''authorized_keys''' en nuestra carpeta .ssh 
<syntaxhighlight lang="bash"> vi .ssh/authorized_keys
</syntaxhighlight>
; La clave pública se añaden al archivo, el resultado debe ser similar a este ejemplo 
<syntaxhighlight lang="bash"> ssh-rsa AAAB3NzaC1yc2EAAAADAQaSdMTJXMy3MtlQhva+j9CgguyVbU3nCKneB+KjKiS/1rggpFmu3HbXBnWSUdf votre_utilisateur@machine.locale </syntaxhighlight>
Guarda y cierra el archivo.
; Por razones de seguridad limitará el acceso a nuestro archivo 
<syntaxhighlight lang="bash"> chmod 600 .ssh/authorized_keys
</syntaxhighlight>
A partir de ahora nuestro usuario puede conectarse a la máquina.


==Firewall ==
Utilizando un firewall se recomienda asegurar su sistema. <br>
El firewall es a menudo la primera línea de defensa de su equipo contra el exterior, es de hecho quien analizará el tráfico que pasa entre su máquina y el exterior. <br>
Gracias a lo cortafuegos son capaces de bloquear o permitir acceso a su máquina desde el exterior a ciertos protocolos o puertos, garantizando la seguridad de su sistema.
===Las políticas de seguridad ===
En el caso de un servidor de seguridad es necesario definir una política de seguridad a implementar. Sin una definición efectiva la opción de bloqueo o permiso de los puertos y protocolos sería bastante al azar. <br>
Por lo tanto es necesario definir de antemano una política clara para la seguridad de su red informática o su máquina. <br>
<br>
Las diferentes políticas de uso general incluyen políticas de  '''lista blanca ''' y de  '''la lista negra '''.
====Lista blanca ====
El principio de la política de la  '''lista blanca ''' es para bloquear todo el tráfico de entrar sin excepción y permitir explícitamente sólo los puertos y protocolos que estamos absolutamente seguros de su seguridad.
Esta política de seguridad tiene muchas ventajas en comparación con el  '''lista negra '''. De hecho todo el tráfico no sea explícitamente permitido será bloqueado, esto evitará que más intentos de conexión que no necesariamente habría tenido el reflejo para garantizar. <br>
Una de las desventajas de esta política es la obligación de tener que definir cada puertos o protocolos utilizados para no bloquear la ejecución de nuestros servicios  ( por ejemplo el protocolo  ''http'' en el puerto  80 )Por lo tanto debemos saber cada puerto utilizado por la máquina y mantener las reglas cuando agregar o eliminar un servicio.
Respecto a la saliente en la mayoría de los casos no se considera como riesgoso a todos autorizados, de hecho se supone que sabe el tráfico dejando su máquina o red. Sin embargo, se recomienda mantener un seguimiento de la seguridad saliente.
====Lista negra ====
El principio de la política de la  '''lista negra ''' para permitir todo el tráfico entrante sin excepción y bloquear explícitamente sólo los puertos y protocolos que estamos seguros que suponen un riesgo para la seguridad. <br>
Esta política de seguridad tiene muchos inconvenientes en comparación con el  '''lista blanca '''. De hecho permite entrar sin ninguna restricción todo el tráfico no se recomienda, bloqueo involucrado sólo en el caso de un puerto o protocolo establecido explícitamente.
Respecto a la saliente en la mayoría de los casos no se considera como riesgoso a todos autorizados, de hecho se supone que sabe el tráfico dejando su máquina o red. Sin embargo, se recomienda mantener un seguimiento de la seguridad saliente.
===IPTables ===
IPTables es seguramente el más conocido firewall de software disponible para Debian.

Aquí están algunos comandos prácticos sobre :
;Instalación de iptables 
<syntaxhighlight lang="bash"> sudo apt-get install iptables </syntaxhighlight>
; Lista de las normas actualmente establecidas 
<syntaxhighlight lang="bash"> sudo iptables -L </syntaxhighlight>
; Las normas establecidas de purga 
<syntaxhighlight lang="bash">
sudo iptables -F
sudo iptables -X
</syntaxhighlight>
;Agregar una regla 
<syntaxhighlight lang="bash">
# Autoriser les connexions entrantes sur le port ssh(22) tcp depuis l'adresse ip x.x.x.x par exemple
sudo iptables -A INPUT -p tcp --dport ssh -s x.x.x.x -j ACCEPT
</syntaxhighlight>
<div style="background-color: #FFCC99;"> '''Nota ''': Atención en el caso de una dirección IP dinámica, como cambiará tu IP no podrás iniciar sesión en SSH en su servidor !<br>
Tenga cuidado al asignar una dirección IP puede ser dinámica, por ejemplo el de tu internet en el hogar de la caja. </div>
;Eliminar una regla
<syntaxhighlight lang="bash">
# Supprimer la règle n°2 de la catégorie OUTPUT
sudo iptables -D OUTPUT 2
</syntaxhighlight>

[[Category:Servidor_dedicado]]
[[Category:Linux]]
<br />
<comments />