Защита root после взлома SSH на Proxmox - глубокое погружение

Введение

Proxmox VE (Virtual Environment) — это мощная и гибкая платформа для виртуализации, широко используемая для управления виртуальными машинами и контейнерами. Несмотря на высокий уровень безопасности, в случае ошибки настройки или эксплуатации уязвимости в системе злоумышленники могут получить доступ к серверу через SSH. Если атака приводит к компрометации root-доступа, необходимо немедленно предпринять шаги для предотвращения дальнейшего ущерба и усилить безопасность системы.

В этой статье мы рассмотрим основные меры, которые помогут защитить root-аккаунт после взлома SSH на сервере Proxmox.

1. Отключение прямого входа root через SSH

Один из самых простых, но важных шагов для защиты root-пользователя — это запретить прямой доступ к root через SSH. Даже если злоумышленник смог пройти аутентификацию, доступ к root будет заблокирован.

Шаги:

1. Откройте конфигурационный файл SSH:

   bash

   Копировать

   nano /etc/ssh/sshd_config

2. Найдите строку:

   nginx

   Копировать

   PermitRootLogin yes

3. Замените её на:

   nginx

   Копировать

   PermitRootLogin no

4. Перезапустите службу SSH:

   bash

   Копировать

   systemctl restart sshd

Эта настройка предотвратит прямой вход в систему как root, однако пользователи с правами sudo смогут выполнять административные задачи.

2. Запрет выполнения su обычными пользователями

Если злоумышленник получил доступ к обычному пользователю с правами sudo, он может попытаться перейти в root через команду su. Для защиты можно ограничить использование этой команды, разрешив её только для определенных пользователей.

Шаги:

1. Откройте файл конфигурации для su:

   bash

   Копировать

   nano /etc/pam.d/su

2. Найдите строку:

   arduino

   Копировать

   # auth required pam_wheel.so use_uid

3. Раскомментируйте её, удалив символ #:

   swift

   Копировать

   auth required pam_wheel.so use_uid

4. Добавьте пользователя в группу wheel (группа, имеющая право на использование su):

   bash

   Копировать

   usermod -aG wheel username

Теперь только пользователи из группы wheel смогут использовать команду su для перехода в root.

3. Ограничение прав sudo

Злоумышленники могут использовать команду sudo для выполнения привилегированных команд. Чтобы уменьшить риски, можно ограничить доступ к критичным командам, таким как смена пароля root или запуск su.

Шаги:

1. Откройте файл sudoers с помощью безопасного редактора visudo:

   bash

   Копировать

   visudo

2. Добавьте правило для ограничения команд:

   sql

   Копировать

   username ALL=(ALL) ALL, !/bin/su, !/usr/bin/passwd root

Этот код запрещает пользователю username выполнять команду su и изменять пароль root, даже если у него есть права sudo.

4. Настройка Fail2Ban для блокировки попыток su и sudo

Fail2Ban — это полезный инструмент для защиты от атак подбора паролей. Он анализирует журналы и блокирует IP-адреса, с которых происходит большое количество неудачных попыток аутентификации.

Шаги:

1. Установите Fail2Ban:

   bash

   Копировать

   apt install fail2ban -y

2. Отредактируйте файл конфигурации /etc/fail2ban/jail.local:

   Добавьте следующие разделы для защиты от атак на команды su и sudo:

   ini

   Копировать

   [sudo] enabled = true filter = sudo logpath = /var/log/auth.log maxretry = 3 bantime = 600 [su] enabled = true filter = su logpath = /var/log/auth.log maxretry = 3 bantime = 600

3. Создайте фильтры для отслеживания неудачных попыток выполнения команд sudo и su:

   Для фильтра sudo:

   bash

   Копировать

   nano /etc/fail2ban/filter.d/sudo.conf

   Добавьте следующее правило:

   ini

   Копировать

   [Definition] failregex = .*sudo:.*authentication failure;.* user=.*$

   Для фильтра su:

   bash

   Копировать

   nano /etc/fail2ban/filter.d/su.conf

   Добавьте правило для su:

   ini

   Копировать

   [Definition] failregex = .*pam_unix(su:auth): authentication failure;.*$

4. Перезапустите Fail2Ban для применения изменений:

   bash

   Копировать

   systemctl restart fail2ban

Теперь система будет блокировать IP-адреса, с которых происходят многочисленные неудачные попытки входа через SSH, su или sudo.

5. Мониторинг команд пользователей

Важно отслеживать все действия, которые выполняются пользователями после входа в систему через SSH. Логирование всех команд поможет выявить подозрительную активность.

Шаги:

1. Добавьте следующую строку в файл /etc/profile, чтобы записывать команды в журнал:
   bash

   Копировать

   echo 'export PROMPT_COMMAND="history -a; logger -t bash -p user.info \"$(history 1)\""' >> /etc/profile

Теперь каждое выполнение команды будет записываться в системный лог, что позволит отслеживать действия пользователей и выявлять возможные попытки эксплуатации системы.

6. Усиленная аутентификация для sudo (2FA)

Для повышения безопасности можно добавить двухфакторную аутентификацию (2FA) для команд, выполняемых с правами sudo. Для этого используем Google Authenticator.

Шаги:

1. Установите пакет для поддержки 2FA:

   bash

   Копировать

   apt install libpam-google-authenticator -y

2. Запустите настройку для пользователя:

   bash

   Копировать

   google-authenticator

3. Добавьте следующую строку в файл /etc/pam.d/sudo:

   bash

   Копировать

   auth required pam_google_authenticator.so

Теперь для выполнения команд с правами sudo потребуется ввести одноразовый код из приложения Google Authenticator, что значительно повышает безопасность.

7. Дополнительная защита через AppArmor

AppArmor (Application Armor) — это система контроля доступа, которая ограничивает действия процессов, запущенных на сервере, в зависимости от заранее заданных политик безопасности. Это своего рода "песочница" для процессов, предотвращающая их доступ к чувствительным файлам или выполнение опасных операций, даже если эти процессы были скомпрометированы.

AppArmor, в отличие от SELinux (еще одного популярного средства контроля доступа), использует проще настраиваемые профили безопасности, что делает его удобным для администраторов.

AppArmor работает, блокируя процессы в рамках "профилей безопасности", которые описывают, какие действия процесс может выполнять и к каким ресурсам может обращаться. Эти профили включают список разрешенных или запрещенных файловых путей, сетевых портов, а также системных вызовов.

Применение AppArmor на сервере Proxmox после взлома SSH может значительно снизить последствия компрометации, так как это поможет изолировать и ограничить доступ нарушителя к важным системным ресурсам.

Как работает AppArmor?

AppArmor применяет "профили" для каждого приложения или процесса, ограничивая его действия на основе описанных правил. Профили могут разрешать или запрещать различные действия, такие как доступ к определенным файлам, запуск сетевых соединений, доступ к устройствам и другим системным ресурсам.

Когда процесс запускается, система проверяет, какой профиль безопасности применяется к этому процессу. Если профиль для процесса ограничивает доступ к системным ресурсам, то процесс не сможет получить доступ к этим ресурсам, даже если он был скомпрометирован. Это делает невозможным использование таких процессов для дальнейших атак, например, для передачи данных на удаленные серверы или модификации конфиденциальных файлов.

Как установить и настроить AppArmor на Proxmox

Шаг 1. Установка AppArmor

AppArmor должен быть установлен в системе. На Proxmox, основанном на Debian, его можно установить с помощью команды:

Шаг 2. Активация и запуск AppArmor

После установки необходимо включить AppArmor и убедиться, что он работает:

Чтобы проверить состояние AppArmor, используйте команду:

Если все настроено корректно, в выводе будет указано, что AppArmor активно.

Шаг 3. Настройка профилей

AppArmor использует профили для каждой программы, которые описывают, что может и что не может делать эта программа. Например, профиль может разрешить процессу доступ только к определенным файлам и блокировать его доступ к другим системным данным.

Если вы хотите настроить или создать профиль для приложения (например, для вашего виртуализатора или другой критически важной программы), используйте следующую команду для создания профиля:

Это будет запускать программу в интерактивном режиме, где вы можете задать необходимые разрешения и ограничения для конкретных действий.

Шаг 4. Применение профилей

После того как профили настроены, вы можете применить их с помощью команды:

Если вы хотите временно отключить профиль для отладки, используйте:

Преимущества использования AppArmor на Proxmox

• Минимизация последствий взлома: Даже если злоумышленник получает доступ к приложению, его действия будут ограничены профилем, что снижает риск дальнейших атак и утечек данных.
• Простота настройки: AppArmor проще в настройке по сравнению с SELinux, и администратор может легко управлять и настраивать профили для различных приложений.
• Дополнительный слой защиты: Использование AppArmor добавляет дополнительный уровень безопасности, который работает независимо от других механизмов защиты.

Заключение

Защита root-доступа на сервере Proxmox после взлома SSH — это комплекс мер, направленных на ограничение прав, мониторинг действий пользователей и дополнительную аутентификацию. Применение описанных рекомендаций значительно повысит безопасность системы и усложнит злоумышленнику задачу по эскалации привилегий и захвату контроля над сервером.

Соблюдение этих практик — это не только уменьшение рисков, но и гарантированное повышение уровня защиты вашего сервера и виртуальной среды.