[Linux] find
findコマンドはファイルやディレクトリを再帰的に検索してくれます。 [主なオプション] -name ファイル名及びディレクトリ名にマッチするものを表示 -iname -nameと同じだが、大文字小文字を区別しない -regex ファイル名が正規表現にマッチするものを表示 -iregex regexと同じだが、大文字小文字を区別しない -type ファイルタイプを指定。タイプにはd（ディレクトリ）、f（ファイル）、l（シンボリックリンク）を指定 -emtpy ファイルが0byteもしくは中身のないディレクトリを表示 -size ファイルのサイズで検索。通常kオプションをつけてキロバイトにて指定 [使用例] #空のファイルを削除 find . -empty -exec rm {}\; #ユーザ確認を求めない find . -empty -ok rm {}\; #ユーザ確認を求める ※{}には
SSH への総当たり攻撃(brute force attack)と防衛 - World Wide Walker
SSH への総当たり攻撃(brute force attack)と防衛 Posted by yoosee on Debian at 2005-11-08 23:42 JST1 SSHに対するブルートフォース攻撃への対策sshd へのパスワード総当たり攻撃は今年の前半くらいから非常に増えていて、「実際に guest や test などのアカウント名を乗っ取られた」と言うケースも実はそこそこの頻度で聞いている。仕事では既に防御スクリプトを仕込んでいるサーバもあるが、無防備なサーバに実際にどれくらいの攻撃が来ているのか、ログを見てみた。2 存在しないユーザへの攻撃sshd へのアクセスが失敗すると、少なくとも FreeBSD や Debian では /var/log/auth.log にメッセージが残る。上が存在しないユーザ、下が存在するユーザへの総当たり攻撃ログの例Nov 8 11:29:47
ssh ブルートフォースアタックについて。 - trial and error
なんとなく書いてみます。 Linux などのシステムを管理する際、ssh でアクセスすることが非常に多いかと思います。 ssh は便利ではありますが、乗っ取られたら終わり、という側面も持っています。 secure shell というぐらいあって、高度なセキュリティによって通信内容などは保護されています。 さらに、ユーザー名とパスワードでという従来よくあった方法ではなく、鍵を利用した暗号化通信を行うこともできるので、非常に頑丈であり乗っ取るのは難しいです。 しかし、これはあくまでも、理想というか、きちんとセキュリティを理解して設定・管理した場合の話です。 鍵方式でなくても ssh は利用できますし、というか初期設定では、ユーザー名とパスワードで認証する設定になっている場合がほとんどではないかと。 んで、そんな甘いサーバーに力ずくで侵入しようとする輩もいます。 適当なユーザー名とパスワードで、
» 自宅サーバー設定～SSHの設定(1) 寺子屋未満: プログラミング：トライアンドエラーの結果をコツコツ&しっかり記録
自宅サーバーを直接操作せず、 自分のメインマシンからSSH接続で リモート操作できるように設定をします。 ●OpenSSHの設定 CentOS5.3初回インストール時にOpenSSHはインストール済みでした。 SSHのPort(22番)も公開済み。 セキュリティなどを考慮し、設定ファイルの以下項目を書き換えました。 /etc/ssh/sshd_config PermitRootLogin no – rootアカウントでの直接ログインを許可しない PasswordAuthentication no –パスワード認証を許可しない。 UsePAM yes –PAM（Pluggable Authentication Module）認証を使用する。 Protocol 2 –プロトコルバージョンを２に限定する。 MaxAuthTries 3 –最大試行回数を3回に制限 設定ファイルの
RedHat Linux AS4 でログインの失敗回数がしきい値を超えるとアカウントロックする
RedHat Linux AS4 でログインの失敗回数がしきい値を超えると、 アカウントロックするように設定する方法は次の通り。 パスワードクラックのために何回もログインを試行することを 制限することが目的。 /etc/pam.d/ 以下のファイルを編集します。 ここでは、ランレベル 3 のログイン時に失敗を繰り返すと アカウントロックされるように設定します。 この場合、編集するファイルは、 /etc/pam.d/login です。 以下の 2 行を追記する auth required /lib/security/pam_tally.so onerr=fail no_magic_root account required /lib/security/pam_tally.so deny=3 no_magic_root reset auth required
いますぐ実践! Linuxシステム管理
「いますぐ実践! Linux システム管理」はこちらです。 メルマガの解除、バックナンバーなども、以下からどうぞ。 https://www.usupi.org/sysad/ (まぐまぐ ID:149633) その他、作者に関するページは、概ね以下にございます。 https://www.usupi.org/kuri/ (まぐまぐ ID:126454) http://usupi.seesaa.net/ (栗日記ブログ) https://twitter.com/kuriking/ (twitter) https://facebook.com/kuriking3 (facebook) https://jp.pinterest.com/kuriking/pinterest) https://www.instagram.com/kuri_king_/ (instagram) [バックナンバーのトップへ
ssh の brute force アタックパケットの制限 -- DOS 的パケットをフィルタリングする : DSAS開発者の部屋
KLab はコンテンツの開発と共に運用も日々担っていますが，その活動の全ての拠点は社内のシステムです．そのため，社のシステムにはいつでも外からアクセスできる必要があります．システムへのアクセスは ssh を使うのですが，この ssh へのアクセスは前記の理由で世界中からアクセスできる必要があります．こういった公開されている ssh のポートへは日々飽きもせずに brute force アタックが繰り返されています．sshd はこのような成功するはずのないアタックであっても律儀にログを出力してくれます．しかしながら，無意味なログの羅列は，重要なログが埋もれる結果になって嬉しくありません．それに，アタックによるログインの試行のために CPU 時間を無駄に費やすのもばかばかしいことです． ログの出力や CPU 時間の浪費を低減するには，これらの攻撃パケットをフィルタリングしてやればいいのですが，
iptables の ipt_recent で ssh の brute force attack 対策
必要な知識 このドキュメントでは、次のことは分かっているものとして話を進めます。 iptables の使いかた TCP におけるコネクション確立の手順（SYN の立ってるパケット、って何？ というくらいが分かっていればよい） 用語 試行・ログイン試行・攻撃 どれも、ログインをしようとすること（ ssh -l fobar example.com 等 を実行すること）を指します。 foobar@example.com's password: とか が表示される状態まで行けたら「試行が成功した」ということにします。こ のドキュメントで説明している対策では、それ以前の段階で弾かれるように なります（ ssh -l fobar example.com を実行すると ssh: connect to host example.com port 22: Connection refused 等と表示される
韓国 IP アドレスからのパケットを遮断する
韓国（.kr）・中国（.cn）・台湾（.tw）・香港（.hk）等，アジア地域からのアクセスを フィルタリングするための iptables を用いたシェルスクリプトです。もちろん Linux 専用です。 APNIC の IP アドレス割り当てリスト に掲載されている上記の国と地域のネットワークからの TCP 接続を遮断します。 ただし，自分から上記の国と地域のネットワークへ接続することはできます。 FreeBSD をお使いでしたら，水無川研究所さんの ipfwとBINDによるNaverRobot対策フィルタ が参考になると思います（というか知ってる人ですが……）。 日本の IP 領域にアクセスしてくるワームは，おおかた上記の国と地域からのものです。特に韓国からがひどいといえます。 また，韓国には，悪名高い NaverRobot ように DoS まがいのアクセスを仕掛けてくる自称サ
#00 VMWare×CentOS5 Windowsでカンタン開発環境
自分が自宅で開発してる環境をさらしておきます。 前までは、Windowsのいつも使ってるPCに直接AMP環境入れてたんですが、それがすごく嫌なので、最近はVM使って開発してます。 理由は 家のパソコンは遊びにも使う 常にApacheだのMySQLだのサービス起動してるのはヤダし かといっていちいち起動したり起動しなかったりを分けるのが面倒 Linuxを使いたい Linuxの勉強にもなる 何度でもやりなおせる。 インストールと設定だけで何度やったことか。。 実際のサーバのシミュレーションができる 公開用サーバにWindows使ってる人のことなんて知りません。 レンタルサーバだとできることも限られる 自宅サーバ立てると電気代・音・気温など、面倒が多い 不要になったときはvmdkごと削除すればいいだけ Windowsだと、「Apache削除してPHP削除して・・」とか面倒 バックアップも楽 OS
RedHat Enterprise Linux ES4でtracを使えるようにする
RedHat Enterprise Linux ES4でtracを使えるようにする しかも全部RPMでインストール。aptとか使えると一発でインストールできるみたいですが・・・。 ちなみにRedHatLinuxでソースからビルドしようとすると大変苦労するみたいです・・。 tracとは何ぞや、というのがここのWikiによくまとまってます。 ■何はともあれhttpdをインストール apacheはソースからビルドして使う、というルール（慣例？）になっているんだけど、今回構築しようとしているのはかなり特殊な環境なので従わなくてもOKでしょ、ということでRPMに頼る。こういうことをやるヤツが退職すると後に残された管理者が大変な思いをするんだろうけど、まぁいいや。 apache2.0のRPMパッケージはRedHatES4のCD（Disk2）に収められているので httpd-2.0.52-9.ent.i
あなたのLinuxマシンをセキュアにするために知っておくべきiptablesのルール10選 - builder by ZDNet Japan
iptablesをマスターするには時間がかかるものの、セキュリティに関する基本的なニーズを満たすことのできるいくつかのルールを知っておくだけで、あなたのLinuxシステムのセキュリティを向上させることができる。本記事では、その手始めとなる重要なルールを解説する。 iptablesは、Linuxマシンをセキュアにするための強力なツールだ。とは言うものの、その機能の多さには圧倒されてしまいがちである。そして、コマンドの構造をしっかりと理解し、マシンのどの部分をどのようにセキュアにすべきかを把握した後であっても、ややこしいことに変わりはない。しかし、iptablesの良いところは、極めて広いその適用範囲にある。このため、iptablesのルールのいくつかをスクリプトにまとめておくことで、管理作業をずっと容易にすることができるのだ。 こういったことを念頭に置き、コマンドを10個見ていくことにしよう
IPマスカレード/パケットフィルタリング
IPマスカレード（Linuxでの呼び名で機能的にはNAPT(Network Address Port Translation)と呼ばれる）は簡単に言えば、 1つのグローバルアドレスで複数のローカルホストをインターネットに接続できる機能です。 ローカルアドレスが割り当てられたローカルネットワーク(LAN）のホストはそのままではインターネットに接続できないため （ルータをこえることができない）ためローカルアドレスをグローバルアドレスに変換する必要があります。 IPマスカレードはNAT（Network Address Translation）と同じ技術ですが、NATはローカルネットワークのホスト数に制限はないが、 インターネットに同時接続するだけのグローバルアドレスが必要である（10台同時接続したいのであれば10個のグローバルアドレスが必要。これは1つの ローカルアドレスに1つのグロ
iptables 参考
LinuxでIPマスカレードおよびパケットフィルタリングを実現するソフトウェアとしてipchains、iptablesがありますが、 カーネルバージョン2.4からiptablesがデフォルトで使用されるため今後使用されていくでしょう。 ipchainsとiptablesを同時に起動することはできません。まずipchainsがロードされているか確認します。 #lsmod を実行し、ipchainsがロードされているのであれば削除します。 #rmmod ipchains iptablesを使用するのであれば、ipchainsは必要ないので削除します。 #rpm -qa | grep ipchains #rpm -e ipchains 次にiptable_natをロードします。 #modprobe iptable_nat 次の3つのモジュールがロードされていればOKです。最後にipt
Manpage of IPTABLES
Section: (8) Updated: Mar 09, 2002 Index JM Home Page roff page 名前 iptables - IPv4 のパケットフィルタと NAT を管理するツール 書式 iptables [-t table] -[AD] チェイン ルールの詳細 [オプション] iptables [-t table] -I チェイン [ルール番号] ルールの詳細 [オプション] iptables [-t table] -R チェイン ルール番号 ルールの詳細 [オプション] iptables [-t table] -D チェイン ルール番号 [オプション] iptables [-t table] -[LFZ] [チェイン] [オプション] iptables [-t table] -N チェイン iptables [-t table] -X [チェイン] ip
Linux/iptablesでルータを作る - Dream-Seed -wiki版-
2008-10-05 RecentDeleted YukiWiki 2008-08-15 InterWikiName 2008-05-15 LayoutMarge 2008-04-09 Windows/Active+Perlのインストール(AN+HTTPD) 2008-03-27 水芹 2008-02-07 Help 2008-01-23 ActivePerl JavaScript MyAdmin iptablesでルータを作る iptablesを使ってサーバをルータ兼用にしてみます。そうすれば別途ルータを用意する必要もなく、コンセントも１つ減らせます。タコ足配線に悩んでいる人はチャレンジしてみる価値はあるかと。 ↑ 下調べ VINEの2.4系カーネルでは、そのままでiptablesが使える設定になっています。iptables本体も標準的なインストールで入っているはずですが、念のために確認
natテーブルを利用したLinuxルータの作成
サーバとして ・外部からの接続パケットは基本的にすべて破棄 ただし接続済み通信のパケットは許可 ・内部からの接続パケットは基本的にすべて許可 ・ループバックアドレスに関してはすべて許可 ・メンテナンスホストからのping、メンテナンスホストへのpingを許可 ・メンテナンスホストからのssh（TCP 22）を許可 ルータとして ・内部アドレスやプライベートアドレスが外部に漏れないようにブロック ・外部から内部ネットに入ってくるパケットを書き換え 対象パケット：ディスティネーションポートがTCP 80/443 ディスティネーションアドレスを内部ネットのHTTPサーバアドレスに 対象パケット：ディスティネーションポートがTCP 25/110 ディスティネーションアドレスを内部ネットのメールサーバアドレスに ・外部（eth0）からHTTP／HTTPS／SMTP／POP3サーバへの転送を許可 サー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「sshの設定について」（1） Linux Square － ＠IT
File Not Found!
恭喜，站点创建成功！