Как защитить комп от сетевых атак?

3axapp,
По-поводу Интернета: поставщиком услуг Интернета является государственная телекоммуникационная компания предоставляющая услуги фиксированной связи и доступ в Интернет. Доступ базируется на технологии ADSL, которая позволяет организовать постоянно действующий высокоскоростной доступ к Интернет по существующей телефонной линии, которая при использовании Интернет остаётся свободной. То есть выхожу в Интернет через стационарный телефон.
Модем настраивала не я, но, насколько я знаю, настроен он как роутер.

3axapp написал:

Какие?

Ммм... А разве безопасно предоставлять такую информацию?

Husky, после модема кроме твоего компа что-нибудь еще есть?

Husky написал:

Ммм... А разве безопасно предоставлять такую информацию?

Жить вообще не безопасно, периодически некоторые даже умирают =)
iptables -I INPUT -p tcp -s 0.0.0.0 -d 3306 -j DROP
вместо 3306 номер порта. выполнить от рута. И засунуть в автозагрузку(можно просто записать в /etc/rc.local перед exit 0)

3axapp написал:

Она как касперский во всем видит злой умысел

я тоже во всём вижу злой умысел. ЧЯДНТ?
если, кто-то ломится в мою дверь, я беру нож. Гости не ломятся, они вообще-то сначала позвонят, чтоб я за бутылью сходил и всё такое.

drBatty написал:

я тоже во всём вижу злой умысел. ЧЯДНТ?

Ну допустим мастербраузер виндовых ресурсов(самбы) должен опрашивать ресурсы машины в локалке, и это нормально, а интерактивный firewall мандривы с пеной сообщает что все ппц! И касперский так же поступает. Это не нормально.
Хотя делать какие-то выводы рано. С одной стороны если она за роутером к ней никто ломится не должен(если горе-настройщик не прокинул все порты на ее комп), а с другой стороны так и не ясно че у нее с сеткой(может у нее сосед через вайфай прикалывается)

3axapp написал:

Ну допустим мастербраузер виндовых ресурсов(самбы) должен опрашивать ресурсы машины в локалке, и это нормально, а интерактивный firewall мандривы с пеной сообщает что все ппц! И касперский так же поступает. Это не нормально.

нормально. самба - это УЖЕ ППЦ.

3axapp написал:

Хотя делать какие-то выводы рано. С одной стороны если она за роутером к ней никто ломится не должен(если горе-настройщик не прокинул все порты на ее комп), а с другой стороны так и не ясно че у нее с сеткой(может у нее сосед через вайфай прикалывается)

сосед может зло приколоться...

drBatty написал:

самба - это УЖЕ ППЦ

Хоть я люблю scp/sftp, но не все системы их поддерживают(правда вспоминается только винда). Но расшарить папку для гостевого доступа нельзя. FTP тоже не без косяков(особено для параноиков). Про NFS вообще молчу-No File Security(хотя с четвертой версией что-то изменилось). + еще не говорю про групповые политики. Так что самба остается самым нормальным решением.

drBatty написал:

сосед может зло приколоться...

мда... помню как у нас появился ДСЛ эх как я любил удалять boot.ini =)

3axapp написал:

Хоть я люблю scp/sftp, но не все системы их поддерживают(правда вспоминается только винда).

putty уже не умеет scp?

3axapp написал:

Но расшарить папку для гостевого доступа нельзя.

блжд...
вы чего хотели?! ну поставьте FTP.

3axapp написал:

FTP тоже не без косяков(особено для параноиков).

я вам одну страшную вещь скажу, только вы не обижайтесь: ОК?

на всех серверах оно работает. и их не взломали.


ну-ка, подробнее про косяки: мне уже интересно...

3axapp написал:

Про NFS вообще молчу-No File Security(хотя с четвертой версией что-то изменилось). + еще не говорю про групповые политики.

ага. нету там никакой секьюрити. прям как в этой вашей

3axapp написал:

самба остается самым нормальным решением.

ага, ACL, которая отлично работает и поверх NFS, если вы не знали.

drBatty написал:

я вам одну страшную вещь скажу, только вы не обижайтесь: ОК?
на всех серверах оно работает. и их не взломали.
ну-ка, подробнее про косяки: мне уже интересно...

шифрования нет-параноики не пользуются. Да и архитектура соединения не радует.

drBatty написал:

ага. нету там никакой секьюрити. прям как в этой вашей

Что будет если я подключу nfs-шару в /mnt/nfs на чтение/запись и сделаю sudo rm -R /mnt/nfs? =)

Husky написал:

Подключаюсь к Интернету через dsl-модем.

IP прямой? нет? вопрос закрыт.
ssh, mysql, http не подняты. вопрос закрыт.
вас не взломают .

Два дня назад взломали мой e-mail, злоумышленник написал письмо

3axapp написал:

Что будет если я подключу nfs-шару в /mnt/nfs на чтение/запись и сделаю sudo rm -R /mnt/nfs?

[console]ksu@ksu:~$ sudo rm -R /mnt/nfs
Password:
Sorry, user ksu is not allowed to execute '/usr/bin/rm -R /mnt/nfs' as root on ksu.
[/console]
"извините, юзер ксю не имеет права выполнять эту команду с правами рута на компьютере "ксю""
что-то не так?
если имеет, то самба тут не поможет. точнее, поможет никак не лучше nfs.

3axapp написал:

шифрования нет-параноики не пользуются.

в этой вашей самбе шифрование уже есть?
что не так с архитектурой?

system-root написал:

IP прямой? нет? вопрос закрыт.
ssh, mysql, http не подняты. вопрос закрыт.
вас не взломают .

зачем так категорично? враги могут подкинуть ссылку, перейдя по которой пользователь скачает и запустит руткит. Для этого жертве нужно иметь старый браузер, или врагу нужно найти дыру в новом (немного погуглив можно найти дыру в IE. для последнего FF так не получится - разрабы быстро затыкают дыры)
ну а руткит может и сам соединиться с центром (например для получения эксплоита под конкретное ядро жертвы). правда это конечно сложнее - врагу нужно сломать какой-нибудь компьютер для транзитного сервера.

kostik написал:

Вы можете посмотреть в почтовом ящике, когда, с какого IP , в какое время был доступ к вашей почте, в Gmail есть такая функция, думаю и в других есть аналогичное.

ну там будет IP какого-то ламера из америки, который уже свою венду переустановил. что это даст?

drBatty написал:

враги могут подкинуть ссылку, перейдя по которой пользователь скачает и запустит руткит. Для этого жертве нужно иметь старый браузер, или врагу нужно найти дыру в новом (немного погуглив можно найти дыру в IE. для последнего FF так не получится - разрабы быстро затыкают дыры)

какие сложности
главное - ради чего всё это?

drBatty написал:

"извините, юзер ксю не имеет права выполнять эту команду с правами рута на компьютере "ксю""
что-то не так?

Если на своем компе я могу зайти под рутом я могу удалить любые файлы с nfs-шары. В nfs ограничения только на права (ro/rw) и по ip. Поменять ip-адрес на своем ноуте я не могу конечно. Даже если настроить iptables на ограничение mac-адреса, его тоже можно поменять. И конечно я не смогу пронести какой-либо ноут в помещение с локалкой. Так что безопасностью тут пахнет только в сферическом вакууме.

drBatty написал:

в этой вашей самбе шифрование уже есть?

с Samba 3.2.0, а пароль изначально шифровался
FTP

FTP слишком стар. Его архитектура не предназначалась изначально для тех задач которые нужны сегодня и сегодняшних возможностях(тот же NAT). А сейчас его подперли кастылями, вместо того что бы полностью переделать или отказаться.

Termo написал:

главное - ради чего всё это?

+1
на самом деле нужно подумать где могла быть информация с ФИО=)

Husky написал:

Насколько я знаю, на Linux вирусов нет

нету эпидемий: компьютеры с линуксом не заражают друг-друга. что не мешает хакерам ломать компьютеры других хакеров (которые естественно под линуксом).

Husky написал:

Но у меня возникла проблема, кто-то постоянно сканирует мои порты. Вчера это было просто беспрерывно в течении дня. В Интернет боюсь выйти, у меня уже начинается паранойя.

это вирусы, но не ваши вирусы. они на взломанных компьютерах. многие из этих вирусов сканируют порты, с целью получить доступ в ВАШУ систему. с этим ничего не поделать - львиная часть компьютеров == РЕШЕТО. банить(блокировать) их не имеет никакого смысла.

Husky написал:

Вопрос: сможет ли фаервол справится со всем этим?

нет. как выше подмечено, нужно лишь проверить, отключены-ли у вас службы удалённого доступа (удалённый рабочий стол, ssh, http, ftp и прочие). если у вас нет ssh-сервера, то очевидно, его невозможно взломать.

Husky написал:

Я до ужаса боюсь, что мой комп будут использовать как прокси-сервер.

к счастью, на сегодня это возможно только тем(из линуксоидов), кто имеет врага-хакера. К счастью, вирусы пока ещё не умеют ломать линукс-системы. Я вам сообщу, когда сумеют ;)

Husky написал:

Поможет ли переустановка?

сейчас меня будут бить :)
поможет. Атаковать линукс сложно - венда одна, (точнее 2 - семёрочка и хп), а вот линуксов много. Но больше всего убунты. Именно на неё будет направлена атака вирусмейкеров (когда, и если, она случится). Потому лучше ставить НЕ убунту. Впрочем у вас и так мандрива, это хороший выбор - её создатели подумали о безопасности (иные тут даже считают, что слишком). Потому в вашем случае лучше не переставлять (если конечно chkrootkit не посоветует иное. Кстати, проверьте).

Husky написал:

Два дня назад взломали мой e-mail, злоумышленник написал письмо называя меня по МОЕМУ ИМЕНИ (!!!!) хотя я его нигде не указывала!!! Откуда он мог узнать мое настоящее имя????????? Этот человек знает мой IP-адрес, пишет, что знает все мои данные включая ФИО и место жительства и угрожает выложить их в Интернете! Эти данные я нигде не выкладывала, в соц.сетях не сижу, называюсь разными именами.

это уже серьёзно. особенно если это gmail. и если конечно он действительно знает, и если у вас постоянный IP (насколько я знаю, обычно это платная дополнительная услуга. оно вам надо?).
Вообще говоря, IP узнать довольно просто, но если это серый IP или динамический, то письмо это от бота (вируса), и на него не нужно обращать внимания. Мне и не такое приходит :)

Husky написал:

Проверяла все папки антивирусом - ничего нет.

а антивирусы и не ловят руткиты (хотя в рекламе и пишут обратное).

3axapp написал:

Если на своем компе я могу зайти под рутом я могу удалить любые файлы с nfs-шары. В nfs ограничения только на права (ro/rw)

зачем так криво расшаривать? так никто не делает.

3axapp написал:

Поменять ip-адрес на своем ноуте я не могу конечно.

нет конечно. какой вам шлюз дал IP, тот у вас и будет. если админ разрешил вам получить IP 1.2.3.4, то разрешил. если ещё и дал право удалять файлы в шаре - то дал.

3axapp написал:

Так что безопасностью тут пахнет только в сферическом вакууме.

хорошо. вот и получите IP 172.16.1.17 от моего шлюза. Сможете кильнуть всю мою музыку. Как кильнёте, пишите.
получить такой IP можно лишь локально, взломав мою квартиру. Но если вы уж её взломаете, не проще-ли вынуть винчестер?

3axapp написал:

Чтобы предотвратить перехват трафика, необходимо использовать протокол шифрования данных SSL, который поддерживается многими современными FTP-серверами и некоторыми FTP-клиентами.

даже самый примитивный lftp его поддерживает. а на маздайщиков с их Exploer'ом мне, честно говоря, наплевать :)

3axapp написал:

FTP слишком стар. Его архитектура не предназначалась изначально для тех задач которые нужны сегодня и сегодняшних возможностях(тот же NAT).

причём тут NAT?
если вам нужно передавать секретную информацию, используйте GnuPG, в чём проблема?

Termo написал:

какие сложности
главное - ради чего всё это?

подскажите способ проще.

drBatty написал:

Это переопределяет UID любого пользователя, объявившего себя root

Да не обязательно объявлять себя рутом, достаточно узнать UID хозяина файла. А создать/изменить у пользователя UID на своем ноуте легко.

drBatty написал:

хорошо. вот и получите IP 172.16.1.17 от моего шлюза. Сможете кильнуть всю мою музыку. Как кильнёте, пишите.
получить такой IP можно лишь локально, взломав мою квартиру. Но если вы уж её взломаете, не проще-ли вынуть винчестер?

И нет wifi? Хотя при правильной настройке легче действительно взломать квартиру.

drBatty написал:

причём тут NAT?

Есть две сети нужно что бы пользователи первой видели и пользовались шарами из второй, а из второй не пользовались шарами из первой. Ставим сервер между сетками и натим. При создании FTP такой возможности не было, а потом уже придумали костыль для этого. Тем более сколько портов должно быть открытыми для работы ftp?

drBatty написал:

а на маздайщиков с их Exploer'ом мне, честно говоря, наплевать

Ну они тоже люди =)
ЗЫ
Все убедил. NFS подходит для дома. И неужто гостей не подключаешь к своей сетке? или среди них нет людей с виндой?)

3axapp написал:

Да не обязательно объявлять себя рутом, достаточно узнать UID хозяина файла. А создать/изменить у пользователя UID на своем ноуте легко.

а там рут - хозяин :)

3axapp написал:

И нет wifi?

а вы не знали? нет конечно.

3axapp написал:

Есть две сети нужно что бы пользователи первой видели и пользовались шарами из второй, а из второй не пользовались шарами из первой. Ставим сервер между сетками и натим. При создании FTP такой возможности не было, а потом уже придумали костыль для этого. Тем более сколько портов должно быть открытыми для работы ftp?

один. №21.
я не очень понимаю, причём тут NAT? обычное TCP соединение..

3axapp написал:

Ну они тоже люди

кто ж спорит? люди конечно. но зачем им доступ на мой секретный FTP? пусть для начала поставят нормальную ось, а потом я им дам права доступа.

3axapp написал:

Все убедил. NFS подходит для дома. И неужто гостей не подключаешь к своей сетке? или среди них нет людей с виндой?)

для гостей есть FTP. он отлично работает. проверенно. но снаружи его не видно. NFS для себя. SSH снаружи, у меня не настолько крутой канал внешней связи, что-бы шифрование что-то нагружало. cifs - не нужна.

Сор за флуд но мне кажется Husky в шоке от такого количества инфы=)