Como evitar hacks do NFS em sistemas Linux - manequins

Vídeo: 5 truques ESCONDIDOS no Linux Mint (Cinnamon) 2024

O Network File System (NFS) no Linux é usado para montar sistemas de arquivos remotos (semelhantes aos compartilhamentos no Windows) da máquina local. Os hackers adoram esses sistemas remotos! Dada a natureza de acesso remoto do NFS, certamente tem uma parcela justa de hacks.

NFS hacks

Se o NFS foi configurado incorretamente ou sua configuração foi adulterada - ou seja, o arquivo / etc / exports contendo uma configuração que permite ao mundo ler o sistema de arquivos inteiro - os hackers remotos podem facilmente obter controle remoto Acesse e faça o que quiser no sistema. Supondo que nenhuma lista de controle de acesso (ACL) esteja no lugar, tudo o que é preciso é uma linha, como a seguinte, no arquivo / etc / exports:

/ rw

Esta linha diz que qualquer pessoa pode montar remotamente a partição raiz em uma forma de leitura e gravação. Claro, as seguintes condições também devem ser verdadeiras:

O daemon NFS (nfsd) deve ser carregado, juntamente com o daemon portmap que mapearia NFS para RPC.
O firewall deve permitir o tráfego NFS.
Os sistemas remotos que são permitidos no servidor que executa o daemon NFS devem ser colocados no / etc / hosts. permitir o arquivo.

Esta capacidade de montagem remota é fácil de configurar mal. Muitas vezes, está relacionado ao mal entendido do administrador do Linux sobre o que é necessário para compartilhar as montagens do NFS e recorrer à maneira mais fácil de fazê-lo funcionar. Depois que os hackers ganham acesso remoto, o sistema é deles.

Contramedidas contra ataques NFS

A melhor defesa contra o hacking NFS depende de se você realmente precisa do serviço em execução.

Se você não precisa de NFS, desative-o.
Se você precisar de NFS, implemente as seguintes contramedidas:
- Filtra o tráfego NFS no firewall - normalmente, a porta TCP 111 (a porta do portmapper) se quiser filtrar todo o tráfego RPC.
- Adicionar ACL de rede para limitar o acesso a hosts específicos.
- Certifique-se de que seu / etc / exports e / etc / hosts. permitir que os arquivos sejam configurados corretamente para manter o mundo fora da sua rede.