Bloquear usuario en Dovecot y Samba validando contra LDAP mediante sambaAcctFlags

En algunos escenarios en donde tenemos la validación de usuarios centralizada mediante un directorio LDAP (como por ejemplo OpenLDAP), es posible que cuando queramos bloquear a un usuario queramos que tenga efecto en varios servicios.

En este artículo no trataré de explicar que es Samba ni como se instala un servidor IMAP como Dovecot. Tampoco como hacer que los usuarios validen contra el LDAP. Lo que busco es explicar como una vez esto funcione, que algunos usuarios estén bloqueados.

Imaginemos que tenemos un usuario que se valida en LDAP y que tiene acceso al correo electrónico mediante Dovecot y acceso a un almacén de discos mediante Samba.

Samba

(ver Artículo anterior relacionado con Samba)
Si tenemos Samba instalado nos hará falta el smbldap-tools para que interactue con el directorio ldap:

apt-get install smbldap-tools

Si por ejemplo queremos que no entre en un recurso samba y tenemos en nuestro directorio LDAP el samba3.schema, marcaremos el sambaAcctFlags con una D, es decir, desactivaremos la cuenta:

Flag	Description
D	Account is disabled.
H	A home directory is required.
I	An inter-domain trust account.
L	Account has been auto-locked.
M	An MNS (Microsoft network service) logon account.
N	Password not required.
S	A server trust account.
T	Temporary duplicate account entry.
U	A normal user account.
W	A workstation trust account.
X	Password does not expire.

(Fuente samba.org)

De esta manera al intentar entrar en el samba no le dejará. 

Dovecot

(ver Artículo anterior relacionado con Dovecot+LDAP)

En dovecot lo podemos hacer mediante el parámetro user_filter del archivo /etc/dovecot/dovecot-ldap.conf . Por ejemplo:

user_filter = (&(objectClass=posixAccount)(uid=%u)(!(|(sambaAcctFlags=[UD])(sambaAcctFlags=[DU]))))

Lo que hace este filtro es validar el uid del usuario y mirar que NO tenga el la bandera [UD] o [DU]. Muchas veces nos encontraremos el atributo sambaAcctFlags con 11 carácteres (casi todos ellos con espacios vacíos). Así que tendremos que tenerlo en cuenta en nuestras búsquedas.

Instalar Dovecot+LDAP en Ubuntu

Dovecot es un servidor de IMAP y POP3 de código abierto para sistemas GNU/Linux / UNIX-like, escrito fundamentalmente pensando en la seguridad. Desarrollado por Timo Sirainen, Dovecot fue publicado por primera vez en julio del año 2002. Dovecot apunta fundamentalmente a ser un servidor de correo de código abierto ligero, rápido, fácil de instalar y sobre todo seguro.

(Fuente Wikipedia)

Para instalarlo no tiene más misterio que hacerlo mediante el repositorio oficial de Ubuntu. 

sudo apt-get install dovecot-imapd

Configurarlo es básicamente darle un vistazo al archivo /etc/dovecot/dovecot.conf y rellenarlo según nuestras preferencias. Configuración a destacar:

Uso de SSL

ssl = required
ssl_ca =

ssl_cert = ssl_key =

Uso de LDAP

userdb {
  args = /etc/dovecot/dovecot-ldap.conf
  driver = ldap
}
passdb {
  args = /etc/dovecot/dovecot-ldap.conf
  driver = ldap
}

Ahora editamos el archivo /etc/dovecot/dovecot-ldap.conf con la configuración de nuestro LDAP:
hosts = openldap.servidor.es
debug_level = -1
auth_bind = yes
auth_bind_userdn = uid=%u,ou=People,dc=cttc,dc=es
ldap_version = 3
base = uid=%u, ou=People, dc=cttc , dc=es
scope = subtree

Podemos comprobar la configuración mediante doveconf -a

Habría que configurarlo con la base y userdn particular de cada uno. Con ello ya nos debería funcionar correctamente.

Redmine 2.3.x en Ubuntu 13.10 mediante Apache

En artículos anteriores expliqué como instalar un Redmine e intregrarlo con Apache:

Integrar Redmine con Apache en Ubuntu (21 de Abril 2010)

Instalar Redmine 0.8.6 en Ubuntu 9.10 y 9.04 (8 de Abril 2010)

En esta ocasión, además de explicarlo con las nuevas versiones vamos a intentar no crear un virtualhost, sino usarlo mediante Location de Apache y Alias. Mi objetivo sera que al poner http://mi_servidor/redmine/redmine1 se pueda ver el redmine instalado. Si quisiera luego instalar otro redmine en el mismo servidor buscaría hacer http://mi_servidor/redmine/redmine2 , etc. Así que cada uno siga un poco su objetivo final a la hora de hacer los alias, etc.

Primero instalamos los paquetes necesarios:
apt-get install ruby rubygems libruby libapache2-mod-passenger ruby-dev libmysqlclient-dev libmagickcore-dev libmagickwand-dev git git-core

Luego nos descargamos redmine y lo movemos a la carpeta que nos interese:

cd /tmp

wget rubyforge.org/frs/download.php/76933/redmine-2.3.1.tar.gz

tar -xzvf redmine-2.3.1.tar.gz

mkdir /var/www/redmine/
mv redmine-2.3.1 /var/www/redmine/redmine1

chown www-data:www-data /var/www/redmine/redmine1

gem install bundler

gem install rdp-mysql2

Y ahora ya podemos instalar nuestro redmine:

cd /var/www/redmine/redmine1
bundle install --without development test postgresql sqlite

Preparamos la base de datos:

mysql -u root -p

CREATE DATABASE redmine1 CHARACTER SET utf8; 

CREATE USER 'redmine'@'localhost' IDENTIFIED BY 'my_password';

GRANT ALL PRIVILEGES ON redmine1.* TO 'redmine'@'localhost';

Configuramos el redmine para la base de datos que hemos creado:

cd /var/www/redmine/redmine1/config/

cp -a database.yml.example database.yml

Luego editamos database.yml y lo dejamos así (modificando con los datos particulares de cada uno):

production:

  adapter: mysql2

  database: redmine1

  host: localhost

  username: redmine

  password: "my_password"

  encoding: utf8

rake generate_secret_token

RAILS_ENV=production rake db:migrate

RAILS_ENV=production rake redmine:load_default_data

Ahora ya tenemos todo el entorno redmine instalado y configurado. Ahora tenemos que hacer que nuestro servidor Apache de servicio para acceder a él:

Creamos un site (redmine1.conf por ejemplo) y ponemos esta información:

Alias /redmine/redmine1 /var/www/redmine/redmine1/public/

PassengerAppRoot /var/www/redmine/redmine1

AllowOverride all              

RailsEnv production

RailsBaseURI /redmine/redmine1

Allow from all

Order allow,deny

Options -MultiViews

Luego activamos el site:

a2ensite redmine1.conf

Ahora preparamos la carpeta en donde Apache irá a mirar para motrar la información:

cd /var/www/redmine/redmine1/public/

mv dispatch.fcgi.example dispatch.fcgi

y finalmente editamos/modificamos el archivo .htaccess para tener en cuenta los Alias necesarios. Fijaros en el ejemplo del propio .htaccess:


# Example:
#   Alias /myrailsapp /path/to/myrailsapp/public
#   RewriteBase /myrailsapp

Ahora ya podemos reiniciar nuestro apache y acceder a nuestro redmine poniendo http://mi_servidor/redmine/redmine1

Recuperación de partición tras mklabel de parted mediante rescue

GNU Parted (el nombre viene de la conjunción de las dos palabras inglesas partition y editor) es un editor de particioneslibre que se utiliza para crear y destruir particiones. Esto es útil para crear espacio para nuevos sistemas operativos, reorganizar el espacio del disco duro, copiar data entre discos duros y crear imágenes de disco. Fue desarrollado porAndrew Clausen y Lennert Buytenhek.

Está formado por una biblioteca, libparted, y en un front-end para la línea de comandos, parted, que también sirve como implementación de referencia.

En 2013, GNU Parted solo está disponible para Linux y GNU Hurd.¹

(Fuente Wikipedia)

En un artículo anterior explicaba como crear particiones de más de 2TB mediante parted.

Bien, imaginemos que por alguna razón nuestra tabla de particiones cambia (a causa de un mal apagado del servidor, se fué la luz, etc) y que ya no podemos acceder a dicha partición. Esto me pasó a mi tras apagar el servidor 'por la via del botonazo'. La partición sdb1 no era accesible y cuando miraba con el programa parted veía que la tabla de particiones habia cambiado de gpt a loop. Pues bien, pensé en usar el comando mklabel para volverle a cambiar la tabla de particiones a gpt, pero me daba el siguiente aviso: "La etiqueta de disco existente en /dev/sdb se destruirá y todos los datos en este disco se perderán. ¿Desea continuar?" Pues no, no quiero destruir mis datos. Pero.. ¿Que puedo hacer?. Si nos leemos el manual de parted en el apartado de mklabel nos dice que técnicamente no destruye los datos y que estos podrán ser recuperados mediante el comando rescue. Así pues, eso hice:

parted /dev/sdb

GNU Parted 2.3
Usando /dev/sdb
¡Bienvenido/a a GNU Parted! Teclee «help» para ver la lista de órdenes.
(parted) unit GB                                                          
(parted) print                                                            
Modelo: ATA ST4000VN000-1H41 (scsi)
Disco /dev/sdb: 4001GB
Tamaño de sector (lógico/físico): 512B/4096B
Tabla de particiones. loop

Numero  Inicio  Fin     Tamaño  Sistema de archivos  Banderas
 1      0,00GB  4001GB  4001GB  btrfs

(parted) mklabel gpt                                                      
Aviso: La etiqueta de disco existente en /dev/sdb se destruirá y todos los datos en este disco se perderán. ¿Desea continuar?
Sí/Yes/No? s                                                              
(parted) print                                                            
Modelo: ATA ST4000VN000-1H41 (scsi)
Disco /dev/sdb: 4001GB
Tamaño de sector (lógico/físico): 512B/4096B
Tabla de particiones. gpt

Numero  Inicio  Fin  Tamaño  Sistema de archivos  Nombre  Banderas

(parted) rescue                                                           
¿Inicio? 0                                                                
¿Fin? 4001                                                                
Información: Ha sido encontrada una partición btrfs primary en 0,00GB -> 4001GB.  ¿Quiere añadirla a la tabla de particiones?
Sí/Yes/No/Cancelar/Cancel? S                                              
(parted) print                                                            
Modelo: ATA ST4000VN000-1H41 (scsi)
Disco /dev/sdb: 4001GB
Tamaño de sector (lógico/físico): 512B/4096B
Tabla de particiones. gpt

Numero  Inicio  Fin     Tamaño  Sistema de archivos  Nombre  Banderas
 1      0,00GB  4001GB  4001GB  btrfs

¡Y funcionó! Además, al recuperar la partición, conservamos intacto el UUID de dicha partición. 

Instalar ModSecurity2 (+OWASP) y Mod-Evasive en Ubuntu 13.10 con Apache

modSecurity™ es un firewall de aplicaciones Web embebible que ejecuta como módulo del servidor web Apache, provee protección contra diversos ataques hacia aplicaciones Web y permite monitorizar tráfico HTTP, así como realizar análisis en tiempo real sin necesidad de hacer cambios a la infraestructura existente.

(Fuente Wikipedia)

Mod_Evasive ayudará a detener los ataques básicos en un servidor (HTTP, ataques de denegación DDoS y ataques de fuerza bruta). La detección es realizada por la creación una tabla dinámica interna hash de las direcciones IP y URI, y denegando cualquier dirección IP por las siguientes causas:

-Solicitando las mismas páginas web muchas veces por segundo.

-Solicitando más de 50 conexiones simultaneas sobre el mismo objeto por segundo.

-Realizando solicitudes con listas negras temporales (sobre listas de bloqueo).

(Fuente Internexo)

Así pues, nuestra idea es instalar un servidor web Apache con un módulo que nos haga de cortafuegos de aplicaciones Web y con otro módulo que nos ayuden a detener los ataques básicos que recibimos en un servidor web. Además, tenedremos reglas generadas para programas comunes como:

• Microsoft IIS, ASP, .Net and SharePoint
• WordPress
• cPanel
• osCommerce
• Joomla

Con estos sencillos pasos podremos tener un servidor web bastante más protegido que si simplemente instalamos nuestro servidor y lo dejamos desprotegido cara a Internet. Es hora de armar a nuestro Apache:

modsecurity

Instalamos modsecurity desde el repositorio de Ubuntu oficial:

apt-get install libapache-mod-security

Leyendo lista de paquetes... Hecho

Creando árbol de dependencias       

Leyendo la información de estado... Hecho

Se instalarán los siguientes paquetes extras:

  libapache2-modsecurity liblua5.1-0 modsecurity-crs

Paquetes sugeridos:

  lua geoip-database-contrib ruby

Se instalarán los siguientes paquetes NUEVOS:

  libapache-mod-security libapache2-modsecurity liblua5.1-0 modsecurity-crs

0 actualizados, 4 se instalarán, 0 para eliminar y 7 no actualizados.

Necesito descargar 664 kB de archivos.

Se utilizarán 3.741 kB de espacio de disco adicional después de esta operación.

En otras webs veréis que antes de instalar modsecurity se instalan unas dependencias. Eso tiene sentido si nos descargamos las fuentes de modsecurity y luego las queremos compilar. Nosotros lo estamos haciendo directamente desde el repositorio, así que si hay alguna dependencia ya nos lo dice el propio apt-get.

Ahora ya tenemos instalado el modsecurity. Nos queda configurarlo para que funcione como nosotros deseamos. Lo primero es crear el archivo de configuración basándonos en el que ya viene de ejemplo:

sudo mv /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

Ahora tocará configurar el modsecurity como nosotros deseemos. Cada cual en su servidor sabe que puede o no hacer. O que se espera que pase y que no pase. Si por ejemplo nuestro servidor es un wordpress o Joomla! en donde permitimos subir archivos, seguramente nos va a interesar cambiar la directriz de modsecurity de esta manera:

SecRequestBodyLimit 16384000

SecRequestBodyInMemoryLimit 16384000

De esta manera cambiamos el límite de tamaño de archivos que subimos a nuestro servidor de 128Kb a 16Mb . Pero esto sólo si es lo que deseamos que haga. Si es una web que no espera que se suban archivos, lo mejor seria dejarlo como está. 

Sea como sea, lo que seguro que tendremos que hacer es activar el motor modsecurity. Para ello modificaremos el modsecurity.conf :

SecRuleEngine On

Una vez configurado como deseamos el modsecurity, lo siguiente es bajarnos las reglas de OWASP Core Rule Set

OWASP Core Rule Set

OWASP Core Rule Set nos va a mejorar el conjunto de reglas de nuestro modsecurity de manera que se convierte en el compañero ideal en este viaje de seguridad que estamos haciendo. 

Esto si que no lo podemos instalar desde repositorio, y aunque pudiéramos en esta ocasión si que creo que vale la pena bajarse la última versión. Es el corazón de reglas que hara que estemos seguros. Lo bajamos y lo descomprimimos:

wget -O SpiderLabs-owasp-modsecurity-crs.tar.gz https://github.com/SpiderLabs/owasp-modsecurity-crs/tarball/master

tar -zxvf SpiderLabs-owasp-modsecurity-crs.tar.gz

Bien, ahora ya tenemos el conjunto de reglas que copiaremos en la carpeta de configuración de modsecurity (todos los .conf copiados allí se consideran archivos de configuración del programa modsecurity):

cp -R SpiderLabs-owasp-modsecurity-crs-*/* /etc/modsecurity/

mv /etc/modsecurity/modsecurity_crs_10_setup.conf.example /etc/modsecurity/modsecurity_crs_10_setup.conf

Llegado a este punto debemos activar las normas. Funciona del mismo modo que apache. Están disponibles pero sino creamos el acceso directo no las dejamos activadas (de esa manera puedes activar unas normas si y otras no si fuera el caso). Las normas disponibles se guardan en /etc/modsecurity/base_rules y las normas activadas se guardan en /etc/modsecurity/activated_rules. Vamos a activarlas todas:

cd /etc/modsecurity/base_rules

for f in * ;

do

 sudo ln -s /etc/modsecurity/base_rules/$f /etc/modsecurity/activated_rules/$f ;

done

cd /etc/modsecurity/optional_rules

for f in * ;

do

sudo ln -s /etc/modsecurity/optional_rules/$f /etc/modsecurity/activated_rules/$f ;

done

Podemos comprobar que el directorio /etc/modsecurity/activated_rules de estar vacio ahora presenta muchos archivos:

/etc/modsecurity/activated_rules# ls

modsecurity_35_bad_robots.data                   modsecurity_crs_21_protocol_anomalies.conf     modsecurity_crs_47_common_exceptions.conf

modsecurity_35_scanners.data                     modsecurity_crs_23_request_limits.conf         modsecurity_crs_47_skip_outbound_checks.conf

modsecurity_40_generic_attacks.data              modsecurity_crs_25_cc_known.conf               modsecurity_crs_48_local_exceptions.conf.example

modsecurity_42_comment_spam.data                 modsecurity_crs_30_http_policy.conf            modsecurity_crs_49_header_tagging.conf

modsecurity_50_outbound.data                     modsecurity_crs_35_bad_robots.conf             modsecurity_crs_49_inbound_blocking.conf

modsecurity_50_outbound_malware.data             modsecurity_crs_40_generic_attacks.conf        modsecurity_crs_50_outbound.conf

modsecurity_crs_10_ignore_static.conf            modsecurity_crs_41_sql_injection_attacks.conf  modsecurity_crs_55_application_defects.conf

modsecurity_crs_11_avs_traffic.conf              modsecurity_crs_41_xss_attacks.conf            modsecurity_crs_55_marketing.conf

modsecurity_crs_13_xml_enabler.conf              modsecurity_crs_42_comment_spam.conf           modsecurity_crs_59_outbound_blocking.conf

modsecurity_crs_16_authentication_tracking.conf  modsecurity_crs_42_tight_security.conf         modsecurity_crs_60_correlation.conf

modsecurity_crs_16_session_hijacking.conf        modsecurity_crs_43_csrf_protection.conf        

modsecurity_crs_16_username_tracking.conf        modsecurity_crs_45_trojans.conf

modsecurity_crs_20_protocol_violations.conf      modsecurity_crs_46_av_scanning.conf

No basta con activarlas en modsecurity, ya que lo que tenemos que hacer es que el módulo modsecurity de apache las tenga en cuenta. Para ello haremos lo siguiente:

vim /etc/apache2/mods-available/security2.conf

y añadiremos la siguiente linea antes del

IfModule del final de linea

Include "/etc/modsecurity/activated_rules/*.conf"

Ya estamos en disposición de activar el módulo en nuestro servidor Apache:

sudo a2enmod security2

Considering dependency unique_id for security2:

Module unique_id already enabled

Module security2 already enabled

También tenemos que habilitar el módulo mod_headers para evitar este error que nos sale al reiniciar el Apache:

Invalid command 'Header', perhaps misspelled or defined by a module not included in the server configuration

Así que lo activamos:

sudo a2enmod headers

Enabling module headers.

To activate the new configuration, you need to run:

  service apache2 restart

Y ya lo tenemos todo instalado y configurado. Ahora reiniciamos Apache:

service apache2 restart

Y... ¿nos creemos que funciona y ya está?. No.. ¡vamos a probarlo!

Abre tu navegador y pon en la dirección http://nombredelhost/?id=23' or '1'='1 (Si es nuestro pc local podemos poner http://localhost/?id=23' or '1'='1 ) . Es importante darle un nombre al servidor que se resuelva, ya que sino puede detectar el sistema un problema con severidad "WARNING". 

Una vez puesta esa dirección, el servidor nos devolverá un MSG 403 de error, pero además en el archivo /var/log/apache2/modsec_audit.log podremos apreciar que nos sale entre otras cosas:

msg "SQL Injection Attack: SQL Tautology Detected."

¡Ataque detectado! Ya tenemos a nuestro cortafuegos de aplicaciones web trabajando.

mod-evasive

Para instalarlo nos apoyaremos en el repositorio oficial de Ubuntu:

apt-get install libapache2-mod-evasive

Una vez instalado el paquete, el modulo ya estará activado.

El archivo de configuración del módulo es bien sencillo:



    DOSHashTableSize    3097
    DOSPageCount        2
    DOSSiteCount        50
    DOSPageInterval     1
    DOSSiteInterval     1
    DOSBlockingPeriod   10

    DOSEmailNotify      mail@mimail.edu
    #DOSSystemCommand    "su - someuser -c '/sbin/... %s ...'"
    DOSLogDir           "/var/log/apache2/mod_evasive"

Como veis no hay mucho que configurar. Hay una explicación muy buena y extensa en www.tail-f.com.ar que transcribo tal cual:

• DOSHashTableSize  – Establece el número de nodos a almacenar para cada proceso de peticiones de la tabla hash (contenedor asociativo de recuperación de peticiones por medio de claves que agiliza las respuestas del servidor). Si aplicamos un número alto a este parámetro obtendremos un rendimiento mayor, ya que las iteraciones necesarias para obtener un registro de la tabla son menores. Por contra, y de forma evidente, aumenta el consumo de memoria necesario para el almacenamiento de una tabla mayor. Se hace necesario incrementar este parámetro si el servidor atiende un número abultado de peticiones, aunque puede no servir de nada si la memoria de la máquina es escasa.
• DOSPageCount  – Indica el valor del umbral para el número de peticiones de una misma página (o URI) dentro del intervalo definido en DOSPageInterval. Cuando el valor del parámetro es excedido, la IP del cliente se añade a la lista de bloqueos.
• DOSSiteCount  – Cuenta cuántas peticiones de cualquier tipo puede hacer un cliente dentro del intervalo definido en DOSSiteInterval. Si se excede dicho valor, el cliente queda añadido a la lista de bloqueos.
• DOSPageInterval  – El intervalo, en segundos, para el umbral de petición de páginas.
• DOSSiteInterval  – El intervalo, en segundos, para el umbral de petición de objetos de cualquier tipo.
• DOSBlockingPeriod  – Establece el tiempo, en segundos, que un cliente queda bloqueado una vez que ha sido añadido a la lista de bloqueos. Como ya se indicó unas líneas atrás, todo cliente bloqueado recibirá una respuesta del tipo 403 (Forbidden) a cualquier petición que realice durante este periodo.
• DOSEmailNotify  – Un e-mail será enviado a la dirección especificada cuando una dirección IP quede bloqueada. La configuración del proceso de envío se establece en el fichero mod_evasive.c de la forma /bin/mail -t %s, siendo %s el parámetro que queda configurado en este parámetro. Será necesario cambiar el proceso si usamos un método diferente de envío de e-mails y volver a compilar el módulo con apxs (por ejemplo, la opción t ha quedado obsoleta en las últimas versiones del comando).
• DOSSystemCommand  – El comando reflejado se ejecutará cuando una dirección IP quede bloqueada. Se hace muy útil en llamadas a herramientas de filtrado o firewalls. Usaremos %s para especificar la dirección IP implicada. Por ejemplo, podemos establecer su uso con iptables de la forma siguiente:

  DOSSystemCommand “/sbin/iptables –I INPUT –p tcp –-dport 80 –s %s –j DROP”

• DOSLogDir  – Establece una ruta para el directorio temporal. Por defecto, dicha ruta queda establecida en /tmp, lo cual puede originar algunos agujeros de seguridad si el sistema resulta violado.
• DOSWhitelist  – La dirección IP indicada como valor del parámetro no será tenida en cuenta por el módulo en ningún caso. Para cada dirección IP a excluir ha de añadirse una nueva línea con el parámetro. Por ejemplo, dejaremos fuera del chequeo del módulo a un posible bot que use los siguientes rangos de direcciones:

  DOSWhitelist 66.249.65.*
  DOSWhitelist 66.249.66.*
  

  
  

Es quizás la opcion DOSSystemCommand la que nos da mucho juego ya que una vez detectado el ataque... ¿Que hacemos? Pues podemos crearnos un script y hacer lo que queramos. En el ejemplo de arriba te pone una posibilidad, que es añadir la ip en el iptables:

DOSSystemCommand “/sbin/iptables –I INPUT –p tcp –dport 80 –s %s –j DROP”

Si queremos hacer algo más complejo, pues nos hacemos un script que antes nos mande un mail, etc.. 

Hay que tener en cuenta crear la carpeta para los logs en /var/log/mod_evasive y darle permisos al usuario:grupo www-data (chown -R www-data:www-data /var/log/mod_evasive)

Ahora nos quedaría probarlo, para quedarnos tranquilos de que funciona. Para ello el mod-evasive viene con un script que nos hace la prueba:

perl /usr/share/doc/libapache2-mod-evasive/examples/test.pl


/var/log/apache2# perl /usr/share/doc/libapache2-mod-evasive/examples/test.pl
HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 403 Forbidden
HTTP/1.1 403 Forbidden
HTTP/1.1 403 Forbidden
HTTP/1.1 403 Forbidden
HTTP/1.1 403 Forbidden
(...)

Podemos observar que hay tantos 200 0K como hemos configurado en la directiva DOSBlockingPeriod   10

Al /var/log/syslog podemos ver:
mod_evasive[28508]: Blacklisting address 127.0.0.1: possible DoS attack.

Enlaces de interes:

http://www.root25.com/2012/11/how-to-install-modsecurity-on-apache-ubuntu12-stepbystep-tutorial.html

http://www.thefanclub.co.za/how-to/how-install-apache2-modsecurity-and-modevasive-ubuntu-1204-lts-server

http://pauldotcommunity.blogspot.com.es/2008/09/installing-modsecurity-module-for.html

http://www.jpereira.net/web/instalacion-mod-security-debian-ubuntu

http://www.tail-f.com.ar/servicios/httpd/apache-httpd-servicios/instalar-mod_evasive-en-apache-para-dificultar-ataques-dos.html

psad (Intrusion Detection and Log Analysis with iptables) en Ubuntu 13.10

psad emplea iptables para detectar, alertar y opcionalmente bloquear escaneos de puertos y otros tráficos sospechosos. En las exploraciones de TCP psad analiza indicadores TCP para determinar el tipo de escaneado (syn, fin, xmas, etc.) y sus correspondientes opciones en línea de comandos que puedan ser suministrados a nmap para generarla. Además, psad hace uso de de TCP, UDP, ICMP y sus firmas contenidas dentro de la detección de intrusos de la aplicación Snort (ver: http://www.snort.org/) que se usa para detectar el tráfico de red sospechoso, tales como puertas traseras comunes, herramientas DDoS, OS fingerprinting entre otros.

(Fuente xombra)

Para instalarlo simplemente lo podemos hacer desde nuestro repositorio oficial:

apt-get install psad

Una vez instalado, tenemos que personalizar un poco nuestro IDS para que actue según necesitemos. El archivo de configuración es /etc/psad/psad.conf . Aconsejo leer con cuidado este archivo para adecuarlo a nuestras necesidades. Yo hago mención a algunas opciones:

EMAIL_ADDRESSES             micorreo@servidor.edu;

HOSTNAME                    miservidor;

#IPT_SYSLOG_FILE             /var/log/messages;

IPT_SYSLOG_FILE         /var/log/syslog;

El archivo al cual debería mirar es el syslog. Hemos de cambiar la configuración por defecto.

Podemos encontrar un listado de las opciones y su función aquí : http://cipherdyne.org/psad/docs/config.html#HOME_NET

Ahora tenemos que añadir una linea en el rsyslog:

sudo nano /etc/rsyslog.conf

y añadimos:

kern.info |/var/lib/psad/psadfifo

¿Ya hemos terminado?

No, ahora tenemos el psad mirando el archivo /var/log/syslog para ver cuando nuestro iptables deniega o logea algún paquete. Así que evidentemente, sin iptables el psad no va a detectar por si solo nada.

La configuración de iptables es un asunto muy extenso y fuera de este tutorial. La configuración mínima para que psad pueda detectar escaneos seria esta:

sudo iptables -A INPUT -j LOG
sudo iptables -A FORWARD -j LOG
sudo ip6tables -A INPUT -j LOG
sudo ip6tables -A FORWARD -j LOG

Con esto ya podréis ver cosas así (comando psad -S):

psad -S

[+] psadwatchd (pid: 24248)  %CPU: 0.0  %MEM: 0.0

    Running since: Thu Nov 14 13:11:39 2013

[+] psad (pid: 24246)  %CPU: 0.1  %MEM: 0.4

    Running since: Thu Nov 14 13:11:39 2013

    Command line arguments: [none specified]

    Alert email address(es): micorreo@servidor.edu

[+] Version: psad v2.2.1

[+] Top 50 signature matches:

      "ICMP PING" (icmp),  Count: 11,  Unique sources: 2,  Sid: 384

      "MISC Microsoft PPTP communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100082

      "DOS arkiea backup communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 282

      "BACKDOOR PhaseZero Server Active on Network" (tcp),  Count: 2,  Unique sources: 1,  Sid: 208

      "SNMP AgentX/tcp request" (tcp),  Count: 2,  Unique sources: 1,  Sid: 1421

      "P2P Fastrack kazaa/morpheus communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 1383

      "MISC Insecure TIMBUKTU communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 505

      "BACKDOOR SatansBackdoor.2.0.Beta, or BackConstruction 2.1 Connection Attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100041

      "BACKDOOR Doly 1.5 Connection attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 1985

      "MISC LDAP communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100083

      "BACKDOOR Infector.1.x Connection attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100040

      "MISC Alcatel PABX 4400 connection attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 1819

      "BACKDOOR - Dagger_1.4.0 Connection attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100038

      "MISC Microsoft SQL Server communication attempt" (tcp),  Count: 2,  Unique sources: 1,  Sid: 100205

      "ICMP Timestamp Request" (icmp),  Count: 1,  Unique sources: 1,  Sid: 453

[+] Top 25 attackers:

      4.8.1.174    DL: 4, Packets: 1663, Sig count: 0

      4.8.2.234    DL: 4, Packets: 5834, Sig count: 28

      4.8.1.182    DL: 2, Packets: 433, Sig count: 10

[+] Top 20 scanned ports:

      tcp 443   5 packets

      tcp 80    4 packets

      tcp 127   2 packets

      tcp 1801  2 packets

      tcp 1648  2 packets

      tcp 1481  2 packets

      tcp 1950  2 packets

      tcp 2865  2 packets

      tcp 1698  2 packets

      tcp 520   2 packets

      tcp 2782  2 packets

      tcp 2927  2 packets

      tcp 2266  2 packets

      tcp 2037  2 packets

      tcp 1178  2 packets

      tcp 532   2 packets

      tcp 1193  2 packets

      tcp 2455  2 packets

      tcp 2915  2 packets

      tcp 1387  2 packets

      udp 17500 4622 packets

      udp 5353  258 packets

      udp 67    34 packets

      udp 514   4 packets

      udp 68    2 packets

[+] iptables log prefix counters:

      "Rebutjat pel tallafocs:": 10656

    iptables auto-blocked IPs:

        [NONE]

    Total protocol packet counters:

        icmp: 12 pkts

         tcp: 5836 pkts

         udp: 4920 pkts

[+] IP Status Detail:

SRC:  4.8.1.174, DL: 4, Dsts: 2, Pkts: 1663, Total protocols: 2, Unique sigs: 0, Email alerts: 264

    DST: 255.255.255.255

        Scanned ports: UDP 67-17500, Pkts: 1659, Chain: INPUT, Intf: eth0

        Total scanned IP protocols: 1, Chain: INPUT, Intf: eth0

    DST: 224.0.0.251

        Scanned ports: UDP 5353, Pkts: 4, Chain: INPUT, Intf: eth0

        Total scanned IP protocols: 1, Chain: INPUT, Intf: eth0

SRC:  4.8.2.234, DL: 4, Dsts: 1, Pkts: 5834, Total protocols: 2, Unique sigs: 10, Email alerts: 2

    DST: 84.88.61.185

        Scanned ports: TCP 80-3000, Pkts: 5832, Chain: INPUT, Intf: eth0

        Total scanned IP protocols: 2, Chain: INPUT, Intf: eth0

        Signature match: "DOS arkiea backup communication attempt"

            TCP, Chain: INPUT, Count: 2, DP: 617, SYN, Sid: 282

        Signature match: "BACKDOOR PhaseZero Server Active on Network"

            TCP, Chain: INPUT, Count: 2, DP: 555, SYN, Sid: 208

        Signature match: "SNMP AgentX/tcp request"

            TCP, Chain: INPUT, Count: 2, DP: 705, SYN, Sid: 1421

        Signature match: "P2P Fastrack kazaa/morpheus communication attempt"

            TCP, Chain: INPUT, Count: 2, DP: 1214, SYN, Sid: 1383

        Signature match: "MISC Insecure TIMBUKTU communication attempt"

            TCP, Chain: INPUT, Count: 2, DP: 1417, SYN, Sid: 505

        Signature match: "BACKDOOR SatansBackdoor.2.0.Beta, or BackConstruction 2.1 Connection Attempt"

            TCP, Chain: INPUT, Count: 2, DP: 666, SYN, Sid: 100041

        Signature match: "BACKDOOR Doly 1.5 Connection attempt"

            TCP, Chain: INPUT, Count: 2, DP: 1015, SYN, Sid: 1985

        Signature match: "BACKDOOR Infector.1.x Connection attempt"

            TCP, Chain: INPUT, Count: 2, DP: 146, SYN, Sid: 100040

        Signature match: "BACKDOOR - Dagger_1.4.0 Connection attempt"

            TCP, Chain: INPUT, Count: 2, DP: 2589, SYN, Sid: 100038

        Signature match: "MISC Microsoft SQL Server communication attempt"

            TCP, Chain: INPUT, Count: 2, DP: 1433, SYN, Sid: 100205

    Total scan sources: 3

    Total scan destinations: 3

[+] These results are available in: /var/log/psad/status.out

Flexnet Ubuntu 12.04.2 LTS

http://en.wikipedia.org/wiki/FlexNet_Publisher



Flexnet


apt-get install lsb
apt-get install ia32-libs
apt-get install default-jre

descarga

http://www.globes.com/support/fnp_utilities_download.htm#downloads



wget http://www.globes.com/products/utilities/v11.11.1.2/lmadmin-i86_lsb-11_11_1_2.bin
wget http://www.globes.com/products/utilities/v11.11.1.2/lmgrd-x64_lsb-11.11.1.2.tar.gz
wget http://www.globes.com/products/utilities/v11.11.1.2/lmutil-x64_lsb-11.11.1.2.tar.gz

wget http://www.globes.com/support/utilities/fnp_LicAdmin_11_11_1.pdf

Entonces hago:

Ahora ejecutando el binario tendremos este output:

./lmadmin-i86_lsb-11_11_1_2.bin 

Preparing to install...

Extracting the installation resources from the installer archive...

Configuring the installer for this system's environment...

Launching installer...

Graphical installers are not supported by the VM. The console mode will be used instead...

===============================================================

FlexNet Publisher License Server Manager         (created with InstallAnywhere)

-------------------------------------------------------------------------------

Preparing CONSOLE Mode Installation...

===============================================================
Introduction

------------

InstallAnywhere will guide you through the installation of FlexNet Publisher 

License Server Manager (lmadmin) 11.11.1.2

It is strongly recommended that you quit all programs before continuing with 

this installation.

Respond to each prompt to proceed to the next step in the installation.  If you

want to change something on a previous step, type 'back'.

You may cancel this installation at any time by typing 'quit'.

PRESS TO CONTINUE: 

===============================================================

Choose Install Folder

---------------------

Where would you like to install?

  Default Install Folder: /opt/FNPLicenseServerManager

ENTER AN ABSOLUTE PATH, OR PRESS TO ACCEPT THE DEFAULT: 

===============================================================

Get User Input

--------------

Do you want to import files from previous installation? (By default importing 

is disabled)

    1- Import Installation files

ENTER A COMMA-SEPARATED LIST OF NUMBERS REPRESENTING THE DESIRED CHOICES, OR

   PRESS TO ACCEPT THE DEFAULT: 

===============================================================

Pre-Installation Summary

------------------------

Please Review the Following Before Continuing:

Product Name:

    FlexNet Publisher License Server Manager

Install Folder:

    /opt/FNPLicenseServerManager

Disk Space Information (for Installation Target): 

    Required:  23.457.358 Bytes

    Available: 11.780.853.760 Bytes

PRESS TO CONTINUE: 

(.......)

===============================================================

Launch Configuration

--------------------

Configure the HTTP port number at which the License Server Management Interface

can be accessed using a web browser.

Enter the HTTP Port Number (DEFAULT: 8090): 

===============================================================

Launch Configuration

--------------------

Configure the TCP/IP port number at which licensing application will 

communicate with the License Server Manager

Enter the License Server Port Number (DEFAULT: 0): 

===============================================================

Start the Server

----------------

Do you want to launch the License Server Manager now and access the License 

Server Management Interface via a web browser? (By default License Server 

Manager is not started)

    1- Start server now

ENTER A COMMA-SEPARATED LIST OF NUMBERS REPRESENTING THE DESIRED CHOICES, OR

   PRESS TO ACCEPT THE DEFAULT: 

===============================================================

Installation Complete

---------------------

Congratulations. FlexNet Publisher License Server Manager has been successfully

installed to:

   /opt/FNPLicenseServerManager

PRESS TO EXIT THE INSTALLER:

Ahora ya podemos arrancar /opt/FNPLicenseServerManager/lmadmin

http://forums.autodesk.com/t5/Installation-Licensing/Installing-the-FLEXnet-License-Administrator/td-p/3204280


Para saber nuestro hostID:

./lmutil lmhostid
lmutil - Copyright (c) 1989-2013 Flexera Software LLC. All Rights Reserved.
The FlexNet host ID of this machine is ""00151946a05e 0050567c2f7a""
Only use ONE from the list of hostids.

Problema con el temporal

sudo ln -s /tmp /usr/tmp