psad (Intrusion Detection and Log Analysis with iptables) en Ubuntu 13.10

psad emplea iptables para detectar, alertar y opcionalmente bloquear escaneos de puertos y otros tráficos sospechosos. En las exploraciones de TCP psad analiza indicadores TCP para determinar el tipo de escaneado (syn, fin, xmas, etc.) y sus correspondientes opciones en línea de comandos que puedan ser suministrados a nmap para generarla. Además, psad hace uso de de TCP, UDP, ICMP y sus firmas contenidas dentro de la detección de intrusos de la aplicación Snort (ver: http://www.snort.org/) que se usa para detectar el tráfico de red sospechoso, tales como puertas traseras comunes, herramientas DDoS, OS fingerprinting entre otros.

(Fuente xombra)

Para instalarlo simplemente lo podemos hacer desde nuestro repositorio oficial:

apt-get install psad

Una vez instalado, tenemos que personalizar un poco nuestro IDS para que actue según necesitemos. El archivo de configuración es /etc/psad/psad.conf . Aconsejo leer con cuidado este archivo para adecuarlo a nuestras necesidades. Yo hago mención a algunas opciones:

EMAIL_ADDRESSES             micorreo@servidor.edu;

HOSTNAME                    miservidor;

#IPT_SYSLOG_FILE             /var/log/messages;

IPT_SYSLOG_FILE         /var/log/syslog;

El archivo al cual debería mirar es el syslog. Hemos de cambiar la configuración por defecto.

Podemos encontrar un listado de las opciones y su función aquí : http://cipherdyne.org/psad/docs/config.html#HOME_NET

Ahora tenemos que añadir una linea en el rsyslog:

sudo nano /etc/rsyslog.conf

y añadimos:

kern.info |/var/lib/psad/psadfifo

¿Ya hemos terminado?

No, ahora tenemos el psad mirando el archivo /var/log/syslog para ver cuando nuestro iptables deniega o logea algún paquete. Así que evidentemente, sin iptables el psad no va a detectar por si solo nada.

La configuración de iptables es un asunto muy extenso y fuera de este tutorial. La configuración mínima para que psad pueda detectar escaneos seria esta:

sudo iptables -A INPUT -j LOG
sudo iptables -A FORWARD -j LOG
sudo ip6tables -A INPUT -j LOG
sudo ip6tables -A FORWARD -j LOG

Con esto ya podréis ver cosas así (comando psad -S):

psad -S

[+] psadwatchd (pid: 24248)  %CPU: 0.0  %MEM: 0.0

    Running since: Thu Nov 14 13:11:39 2013

[+] psad (pid: 24246)  %CPU: 0.1  %MEM: 0.4

    Running since: Thu Nov 14 13:11:39 2013

    Command line arguments: [none specified]

    Alert email address(es): micorreo@servidor.edu

[+] Version: psad v2.2.1

[+] Top 50 signature matches:

      "ICMP PING" (icmp),  Count: 11,  Unique sources: 2,  Sid: 384

      "MISC Microsoft PPTP communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100082

      "DOS arkiea backup communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 282

      "BACKDOOR PhaseZero Server Active on Network" (tcp),  Count: 2,  Unique sources: 1,  Sid: 208

      "SNMP AgentX/tcp request" (tcp),  Count: 2,  Unique sources: 1,  Sid: 1421

      "P2P Fastrack kazaa/morpheus communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 1383

      "MISC Insecure TIMBUKTU communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 505

      "BACKDOOR SatansBackdoor.2.0.Beta, or BackConstruction 2.1 Connection Attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100041

      "BACKDOOR Doly 1.5 Connection attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 1985

      "MISC LDAP communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100083

      "BACKDOOR Infector.1.x Connection attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100040

      "MISC Alcatel PABX 4400 connection attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 1819

      "BACKDOOR - Dagger_1.4.0 Connection attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100038

      "MISC Microsoft SQL Server communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100205

      "ICMP Timestamp Request" (icmp),  Count: 1,  Unique sources: 1,  Sid: 453

[+] Top 25 attackers:

      4.8.1.174    DL: 4, Packets: 1663, Sig count: 0

      4.8.2.234    DL: 4, Packets: 5834, Sig count: 28

      4.8.1.182    DL: 2, Packets: 433, Sig count: 10

[+] Top 20 scanned ports:

      tcp 443   5 packets

      tcp 80    4 packets

      tcp 127   2 packets

      tcp 1801  2 packets

      tcp 1648  2 packets

      tcp 1481  2 packets

      tcp 1950  2 packets

      tcp 2865  2 packets

      tcp 1698  2 packets

      tcp 520   2 packets

      tcp 2782  2 packets

      tcp 2927  2 packets

      tcp 2266  2 packets

      tcp 2037  2 packets

      tcp 1178  2 packets

      tcp 532   2 packets

      tcp 1193  2 packets

      tcp 2455  2 packets

      tcp 2915  2 packets

      tcp 1387  2 packets

      udp 17500 4622 packets

      udp 5353  258 packets

      udp 67    34 packets

      udp 514   4 packets

      udp 68    2 packets

[+] iptables log prefix counters:

      "Rebutjat pel tallafocs:": 10656

    iptables auto-blocked IPs:

        [NONE]

    Total protocol packet counters:

        icmp: 12 pkts

         tcp: 5836 pkts

         udp: 4920 pkts

[+] IP Status Detail:

SRC:  4.8.1.174, DL: 4, Dsts: 2, Pkts: 1663, Total protocols: 2, Unique sigs: 0, Email alerts: 264

    DST: 255.255.255.255

        Scanned ports: UDP 67-17500, Pkts: 1659, Chain: INPUT, Intf: eth0

        Total scanned IP protocols: 1, Chain: INPUT, Intf: eth0

    DST: 224.0.0.251

        Scanned ports: UDP 5353, Pkts: 4, Chain: INPUT, Intf: eth0

        Total scanned IP protocols: 1, Chain: INPUT, Intf: eth0

SRC:  4.8.2.234, DL: 4, Dsts: 1, Pkts: 5834, Total protocols: 2, Unique sigs: 10, Email alerts: 2

    DST: 84.88.61.185

        Scanned ports: TCP 80-3000, Pkts: 5832, Chain: INPUT, Intf: eth0

        Total scanned IP protocols: 2, Chain: INPUT, Intf: eth0

        Signature match: "DOS arkiea backup communication attempt"

            TCP, Chain: INPUT, Count: 2, DP: 617, SYN, Sid: 282

        Signature match: "BACKDOOR PhaseZero Server Active on Network"

            TCP, Chain: INPUT, Count: 2, DP: 555, SYN, Sid: 208

        Signature match: "SNMP AgentX/tcp request"

            TCP, Chain: INPUT, Count: 2, DP: 705, SYN, Sid: 1421

        Signature match: "P2P Fastrack kazaa/morpheus communication attempt"

            TCP, Chain: INPUT, Count: 2, DP: 1214, SYN, Sid: 1383

        Signature match: "MISC Insecure TIMBUKTU communication attempt"

            TCP, Chain: INPUT, Count: 2, DP: 1417, SYN, Sid: 505

        Signature match: "BACKDOOR SatansBackdoor.2.0.Beta, or BackConstruction 2.1 Connection Attempt"

            TCP, Chain: INPUT, Count: 2, DP: 666, SYN, Sid: 100041

        Signature match: "BACKDOOR Doly 1.5 Connection attempt"

            TCP, Chain: INPUT, Count: 2, DP: 1015, SYN, Sid: 1985

        Signature match: "BACKDOOR Infector.1.x Connection attempt"

            TCP, Chain: INPUT, Count: 2, DP: 146, SYN, Sid: 100040

        Signature match: "BACKDOOR - Dagger_1.4.0 Connection attempt"

            TCP, Chain: INPUT, Count: 2, DP: 2589, SYN, Sid: 100038

        Signature match: "MISC Microsoft SQL Server communication attempt"

            TCP, Chain: INPUT, Count: 2, DP: 1433, SYN, Sid: 100205

    Total scan sources: 3

    Total scan destinations: 3

[+] These results are available in: /var/log/psad/status.out

Flexnet Ubuntu 12.04.2 LTS

http://en.wikipedia.org/wiki/FlexNet_Publisher



Flexnet


apt-get install lsb
apt-get install ia32-libs
apt-get install default-jre

descarga

http://www.globes.com/support/fnp_utilities_download.htm#downloads



wget http://www.globes.com/products/utilities/v11.11.1.2/lmadmin-i86_lsb-11_11_1_2.bin
wget http://www.globes.com/products/utilities/v11.11.1.2/lmgrd-x64_lsb-11.11.1.2.tar.gz
wget http://www.globes.com/products/utilities/v11.11.1.2/lmutil-x64_lsb-11.11.1.2.tar.gz

wget http://www.globes.com/support/utilities/fnp_LicAdmin_11_11_1.pdf

Entonces hago:

Ahora ejecutando el binario tendremos este output:

./lmadmin-i86_lsb-11_11_1_2.bin 

Preparing to install...

Extracting the installation resources from the installer archive...

Configuring the installer for this system's environment...

Launching installer...

Graphical installers are not supported by the VM. The console mode will be used instead...

===============================================================

FlexNet Publisher License Server Manager         (created with InstallAnywhere)

-------------------------------------------------------------------------------

Preparing CONSOLE Mode Installation...

===============================================================
Introduction

------------

InstallAnywhere will guide you through the installation of FlexNet Publisher 

License Server Manager (lmadmin) 11.11.1.2

It is strongly recommended that you quit all programs before continuing with 

this installation.

Respond to each prompt to proceed to the next step in the installation.  If you

want to change something on a previous step, type 'back'.

You may cancel this installation at any time by typing 'quit'.

PRESS TO CONTINUE: 

===============================================================

Choose Install Folder

---------------------

Where would you like to install?

  Default Install Folder: /opt/FNPLicenseServerManager

ENTER AN ABSOLUTE PATH, OR PRESS TO ACCEPT THE DEFAULT: 

===============================================================

Get User Input

--------------

Do you want to import files from previous installation? (By default importing 

is disabled)

    1- Import Installation files

ENTER A COMMA-SEPARATED LIST OF NUMBERS REPRESENTING THE DESIRED CHOICES, OR

   PRESS TO ACCEPT THE DEFAULT: 

===============================================================

Pre-Installation Summary

------------------------

Please Review the Following Before Continuing:

Product Name:

    FlexNet Publisher License Server Manager

Install Folder:

    /opt/FNPLicenseServerManager

Disk Space Information (for Installation Target): 

    Required:  23.457.358 Bytes

    Available: 11.780.853.760 Bytes

PRESS TO CONTINUE: 

(.......)

===============================================================

Launch Configuration

--------------------

Configure the HTTP port number at which the License Server Management Interface

can be accessed using a web browser.

Enter the HTTP Port Number (DEFAULT: 8090): 

===============================================================

Launch Configuration

--------------------

Configure the TCP/IP port number at which licensing application will 

communicate with the License Server Manager

Enter the License Server Port Number (DEFAULT: 0): 

===============================================================

Start the Server

----------------

Do you want to launch the License Server Manager now and access the License 

Server Management Interface via a web browser? (By default License Server 

Manager is not started)

    1- Start server now

ENTER A COMMA-SEPARATED LIST OF NUMBERS REPRESENTING THE DESIRED CHOICES, OR

   PRESS TO ACCEPT THE DEFAULT: 

===============================================================

Installation Complete

---------------------

Congratulations. FlexNet Publisher License Server Manager has been successfully

installed to:

   /opt/FNPLicenseServerManager

PRESS TO EXIT THE INSTALLER:

Ahora ya podemos arrancar /opt/FNPLicenseServerManager/lmadmin

http://forums.autodesk.com/t5/Installation-Licensing/Installing-the-FLEXnet-License-Administrator/td-p/3204280


Para saber nuestro hostID:

./lmutil lmhostid
lmutil - Copyright (c) 1989-2013 Flexera Software LLC. All Rights Reserved.
The FlexNet host ID of this machine is ""00151946a05e 0050567c2f7a""
Only use ONE from the list of hostids.

Problema con el temporal

sudo ln -s /tmp /usr/tmp

Como copiar una carpeta a otra igual reemplazando archivos existentes

En algunas ocasiones nos puede suceder que tenemos dos carpetas que se llaman iguales y queremos juntarlas en una. Entonces se nos ocurre que si copiamos la carpeta en el mismo lugar donde esta la otra (y que además se llama igual) combinará los archivos de las dos carpetas. Ahora bien... ¿que decisión toma cuando se encuentra archivos dentro de esa carpeta que se llaman igual? ¿Los sobreescribe o no? 

La verdad es que todas estas preguntas se resuelven fácilmente con el MAN de cp, pero al ser tareas habituales vale la pena reparar en ellas:

Imaginemos que tenemos una web hecha en Wordpress y un archivo php contiene errores. Se lo comentamos a la empresa que se encarga del diseño web y nos manda el patch patch_web.tgz :

Descomprimos el patch 

tar xzfv patch_web.tgz 

y nos encontramos con una carpeta wp-content. Nosotros ya tenemos una carpeta /var/www/wp-content/ y lo que se espera que hagamos es que el archivo erroneo (con fallos) que tenemos se sustituya por el que la empresa diseñadora nos ha enviado. 

Lo primero que se nos ocurre es hacer

cp -a wp-content /var/www/wp-content/

¿Esto funcionaria? No como esperamos, ya que lo que hará es copiar la carpeta wp-content dentro de /var/www/wp-content . Y lo que queremos es que copie el contenido, no la carpeta. Así pues hacemos:

cp -a wp-content/* /var/www/wp-content/

Y ahora si que copiará el contenido, sustituyendo los archivos que se llamen igual. 

Si por el contrario, tenemos otro escenario en el que no siempre queremos sustituir los archivos, podemos mirar las opciones -u o -n

u, --update

            copy only when the SOURCE file is newer than the destination file or when the destination file is missing

-n, --no-clobber

              do not overwrite an existing file (overrides a previous -i option)

WPMU Ldap Authentication: Como habilitar LDAP para todos los usuarios

Mediante el plugin WPMU Ldap Authentication tendremos la posibilidad de validarnos contra un servidor LDAP en un entorno MU, es decir, un entorno multisite.

El plugin se instala facilmente desde el propio repositorio del Wordpress y para configurarlo no tiene más secreto que configurar los parámetros de conexión con nuestro servidor LDAP.

Para más info: http://wpmuldap.tuxdocs.net/

Yo para instalar este entorno usé un Ubuntu 10.04.3 LTS, MySQL, Apache, OpenLDAP, Wordpress 3.5 y WPMU Ldap Authentication 4.0.2. .

¿Cual fué mi problema? Pues que yo tenia una base de datos local de usuarios de Wordpress (unos 250 usuarios) y cuando instalas el plugin automáticamente no te los pone a validar en LDAP. Es decir, que cuando creas el usuario, te da a escoger si quieres que se valide en LDAP o Local. Si el usuario ya existia una vez instalaste el plugin, tienes que editar el usuario y cambiar de Local a LDAP. Bien, pues cambiar a mano 250 usuarios tampoco era un suplicio, pero como suelo automatizar este tipo de procesos hice un pequeño script en bash y luego lo apliqué con MySQL Workbench.

Cuando miras la base de datos y como la trata WPMU para saber si el usuario se debe de validar en Local o LDAP, te das cuenta que lo hace en la tabla wp_usermeta. Alli crea un registro con el ID del usuario, el string ldap_login y un valor true. Así pues, si hacemos un insert por cada usuario con estos valores, tendremos la base de datos migrada:

for i in `cat ids.txt.csv`; do echo "INSERT INTO \`mi_schema\`.\`wp_usermeta\` (\`user_id\`,\`meta_key\`,\`meta_value\`) VALUES ("$i",\"ldap_login\",\"true\");"; done

El output será algo como esto:


INSERT INTO `mi_schema`.`wp_usermeta` (`user_id`,`meta_key`,`meta_value`) VALUES (725,"ldap_login","true");
INSERT INTO `mi_schema`.`wp_usermeta` (`user_id`,`meta_key`,`meta_value`) VALUES (726,"ldap_login","true");
INSERT INTO `mi_schema`.`wp_usermeta` (`user_id`,`meta_key`,`meta_value`) VALUES (727,"ldap_login","true");
INSERT INTO `mi_schema`.`wp_usermeta` (`user_id`,`meta_key`,`meta_value`) VALUES (728,"ldap_login","true");

(....)

Luego abrí el MySQL Workbench, conecté con la base de datos MySQL del Wordpress y pegué toda esa salida en un script y lo ejecuté. Podría haber usado mysqldump pero esta vez lo hice así. 

Con esto solucioné el pequeño problema de migración.

No se pudo bloquear /var/lib/apt/lists/lock

En alguna ocasión nos puede ocurrir que al intentar actualizar (apt-get update) nuestro repositorio nos salga este error:


E: No se pudo bloquear /var/lib/apt/lists/lock - open (11: Recurso no disponible temporalmente)
E: No se pudo bloquear el directorio /var/lib/apt/lists/

Para solucionarlo basta con borrar el archivo /var/lib/apt/lists/lock

sudo rm /var/lib/apt/lists/lock

Este archivo se genera para bloquear el repositorio cuando se esta usando para evitar problemas de que dos programas (linea de comandos y synaptic, por ejemplo) actuen a la vez. Hay veces que este archivo pudiera quedar por error y entonces lo podemos borrar a mano sin problema.

ACL + Samba + Btrfs

Hoy quiero explicaros como realizar un caso práctico de gestión de ficheros con la información de diversos tutoriales anteriores. Nos planteamos dar acceso via Samba a un grupo de usuarios a los cuales deberemos de otorgar diferentes niveles de acceso. Como la información que se moverá en estas carpetas nos interesará comprimirla, usaremos un sistema de ficheros que nos proporcione compresión.

ACL

Para la designación de accesos usaremos el paquete acl tal y como se explica en los tutoriales "Como extender las posibilidades de UGO hacia ACL" Parte I y Parte II

BTRFS

Podemos escoger el sistema de ficheros de Oracle Btrfs para dotarlo de compresión a tiempo real. En el tutorial "btrfs (Butter FS) en Ubuntu 11.04" explico como instalarlo y usarlo.


btrfs: unrecognized mount option 'acl'

Esto es normal ya que si miramos en https://btrfs.wiki.kernel.org/index.php/Mount_options :

noacl
Do not enable ACL's.

pero en ningún lado pone que para que las 'entienda' debamos poner ninguna opción. Así pues, en btrfs por defecto ya tiene el acl en cuenta.

SAMBA

Samba es una implementación libre del protocolo de archivos compartidos de Microsoft Windows (antiguamente llamado SMB, renombrado recientemente a CIFS) para sistemas de tipo UNIX. De esta forma, es posible que computadoras con GNU/Linux, Mac OS X o Unix en general se vean como servidores o actúen como clientes en redes de Windows. Samba también permite validar usuarios haciendo de Controlador Principal de Dominio (PDC), como miembro de dominio e incluso como un dominio Active Directory para redes basadas en Windows; aparte de ser capaz de servir colas de impresión, directorios compartidos y autentificar con su propio archivo de usuarios.

(Fuente Wikipedia)

Samba v3 ya viene por defecto con soporte acl y por tanto no tenemos que configurarlo de ninguna manera especial par que lo tenga en cuenta.

Para instalar el samba es facil:

sudo apt-get install samba samba-common

y para configurar un recurso compartido editaremos /etc/samba/smb.conf :

[ACLS]
        comment = Test de acls
        path = /con_acl/mi_ruta/aqui
        public = no
        writable = yes
        browseable = yes
 

Resumiendo, instalando los paquetes por defecto no tendremos mayor problema para usarlo.

Instalar y usar Tenable Nessus en Ubuntu 13.04

Nessus es un programa de escaneo de vulnerabilidades en diversos sistemas operativos. Consiste en un daemon, nessusd, que realiza el escaneo en el sistema objetivo, y nessus, el cliente (basado en consola o gráfico) que muestra el avance e informa sobre el estado de los escaneos. Desde consola nessus puede ser programado para hacer escaneos programados con cron.

En operación normal, nessus comienza escaneando los puertos con nmap o con su propio escaneador de puertos para buscar puertos abiertos y después intentar varios exploits para atacarlo. Las pruebas de vulnerabilidad, disponibles como una larga lista de plugins, son escritos en NASL (Nessus Attack Scripting Language, Lenguaje de Scripting de Ataque Nessus por sus siglas en inglés), un lenguaje scripting optimizado para interacciones personalizadas en redes.

(Fuente Wikipedia)

Lo primero que vamos a hacer para instalar el programa es descargarnos el paquete para Ubuntu desde la página oficial. Yo lo hice aquí:


http://www.tenable.com/products/nessus/select-your-operating-system

 

Para instalar el paquete deberíamos poder usar cualquiera de las herramientas típicas de instalación. Para mirar de hacerlo lo más visual y estándard posible podemos mirar de usar el Centro de software de Ubuntu aunque la instalación a mi no me fue bien:

Si no podeis hacerlo con el Centro de software de Ubuntu hacerlo por linea de comandos:

root@eithel-inside:~/Escritorio# dpkg -i Nessus-5.2.1-ubuntu1110_amd64.deb
(Leyendo la base de datos ... 439156 ficheros o directorios instalados actualmente.)
Preparando para reemplazar nessus 5.2.1 (usando Nessus-5.2.1-ubuntu1110_amd64.deb) ...
$Shutting down Nessus : .
Desempaquetando el reemplazo de nessus ...
Configurando nessus (5.2.1) ...
nessusd (Nessus) 5.2.1 [build N24021] for Linux
Copyright (C) 1998 - 2013 Tenable Network Security, Inc

Processing the Nessus plugins...
[##################################################]

All plugins loaded

 - You can start nessusd by typing /etc/init.d/nessusd start
 - Then go to https://localhost:8834/ to configure your scanner

Procesando disparadores para ureadahead ...

Una vez instalado el paquete, hagamos lo que nos dice. Primero arrancamos el servicio con /etc/init.d/nessusd start y luego accedemos al scanner mediante la URL https://localhost:8834

Tendremos que rellenar un formulario muy intuitivo:

• Initial Account Setup
• Plugin Feed Registration (aqui debereis seleccionar si es para uso empresarial o para casa).
• Download plugins
• Nessus Initializing

Con esto ya lo tendremos todo instalado y podremos empezar a usarlo.

¡Buen escaneo a todos!