🚀 go-pugleaf

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Hola Santiago!

El Tue, 23 May 2000 11:38:16 +0200, Santiago Romero no ten�a nada mejor que 
hacer, y dijo en es.comp.os.linux.redes:

>  - �Tener el puerto de telnet cerrado es ya suficiente para
>    considerarse medianamente seguro? (digo yo que si no pueden
>    hacer login en mi m�quina se les acaban muchos chollos por
>    m�s que me arrancaran passwords o lo que fuera).

	Tener el puerto de telnet abierto es un agujero bastante gordo, pero
cerrarlo no te proteje de todos los ataques. Por ejemplo, si tienes tambi�n
el 110 abierto, con tus passwords podr�an leer el correo.

	De todas formas, en los linux modernos, si capturan tu contrase�a
por medio del archivo de contrase�as (/etc/passwd - /etc/shadow) es porque
ya tienen privilegios de root, y entonces poca falta hacen las contrase�as.
La raz�n es que el passwd no contiene las contrase�as, las contiene el
shadow, y:

linux:~ # ls -lha /etc/shadow
- -rw-r-----   1 root     shadow       1.2k May 16 02:50 /etc/shadow

s�lo puede leerlo el root (esto es en suse, lo habitual es que el propietario 
sea root:root y los permisos 600)



>  - �C�mo puedo limitar el uso de sendmail y qpopper s�lo a mi
>    ordenador y al otro ordenador de mi red?
>    (192.168.5.1 y 192.168.5.2). Quiero evitar de este modo que
>    alguien pudiera usar mi sendmail para enviar correos, por
>    ejemplo.

	El qpopper va por inetd, con lo que con poner la l�nea

ALL:ALL EXCEPT LOCAL

en tu /etc/hosts.deny cortar�as el acceso a todo lo que viniera de fuera
hacia un daemon lanzado desde inetd. Pero como quieres tenerlo para dos
direcciones, deber�as ponerlas en /etc/hosts.allow, o modificar la l�nea del
/etc/hosts.deny adecuadamente (man -e 8 tcpd, man -e 5 hosts_access)

>  - Actualmente tengo lo siguiente abierto... �alguna sugerencia?
>    �cerrar�ais alguno de ellos?

	Bueno, vamos por partes:

> 
>[sromero@compiler sromero]$ nmap localhost
>Starting nmap V. 2.51 by fyodor@insecure.org ( www.insecure.org/nmap/ )
>Interesting ports on localhost (127.0.0.1):
>(The 1507 ports scanned but not shown below are in state: closed)

	�Por qu� has utilizado nmap? Con netstat -a tienes la lista de todos
los puertos locales abiertos.

>Port       State       Service
>37/tcp     open        time                    

No te hace falta, tampoco pasa nada por tenerlo abierto. Ci�rralo con inetd
(comentando la l�nea que lo nombre en el archivo /etc/inetd.conf)

>111/tcp    open        sunrpc                  

�jecuta rpcinfo -p (host) y si no te sale nada distinto de 'portmapper' es 
que no lo est�s utilizando. �Es un daemon stand-alone! (no se cierra por
inetd, tendr�s que matar el proceso 'portmap' (ps -a | grep 'portmap')

>113/tcp    open        auth                    

Tampoco hace falta, ci�rralo con inetd

>139/tcp    open        netbios-ssn             

�Usas Samba? �Uno de los dos ordenadores es un win? Si ha respondido s� a
ambas preguntas, d�jelo. Si ha respondido no, cierre este puerto (�ste es el
primero *realmente* peligroso, la mayor�a de los usuarios de win lo tienen
abierto, y con la configuraci�n por defecto, con lo que comparten su disco
duro entero en modo s�lo lectura)

>513/tcp    open        login                   
>514/tcp    open        shell                   

�stos dos no s� exactamente qu� pueden dar de s�, pero s�lo con el nombre ya
suenan bastante sospechosos... ;) El 513 es el login remoto, y el 514 es el
shell remoto.

>901/tcp    open        samba-swat              

The Samba Web Administration Tool. No s� si te har� falta si usas Samba, si
no lo usas seguro que no te hace falta.

>1024/tcp   open        unknown                 

	�ste puerto suele estar abierto... no s� para qu�...

	Luego, el 25 es el del sendmail, el 110 el del qpop, el 119 el del
leafnode y el 6000 el de las X. No _debes_ cerrar ninguno de ellos.

>   - �O simplemente deber�a ponerme un firewall que deje caer todo
>     aquello que venga de fuera de mi red por debajo de determinados
>     puertos?

	Bueno, en tu distribuci�n tendr�s el ipchains, porque es un paquete
b�sico. Tira del c�mo (y de las news, of course ;) ) y hazlo funcionar.

>
>   - �Hay alguna "Gu�a de Seguridad para el Super-Novato"?

	Creo que en LUCAS hay varias gu�as de seguridad.

>   Gracias por cualquier ayuda.
>   ah!, uso Redhat :-)

P.D: Hago cross con es.comp.hackers porque creo que all� tambi�n es on-topic.

- -- 
Seldon
Linux user: 164.255 <-- http://counter.li.org/
seldon@SPAMseldon.4mg.com (Para responder, desecha el SPAM)
�Clave p�blica GnuPG disponible pinchando aqu�:
http://seldon.4mg.com/seldon.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.1 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQE5K8X2igO8cGR5SvgRAk1YAKCB7s0SFlT7QPu2liBm+JXZpTesSQCfUtLd
mnFMzgmZkNnjDmXiUCLsYFw=
=YfHE
-----END PGP SIGNATURE-----