Dzisiaj b\u0119dzie troch\u0119 z dzia\u0142ki administrator\u00f3w. Dok\u0142adnie, to powiemy sobie o grz\u0105dkach, kt\u00f3re \u017ale oplewili\u015bmy. Mam na my\u015bli list\u0119 standardowych b\u0142\u0119d\u00f3w, jakie robi si\u0119 przy konfiguracji sieci LAN. Szczeg\u00f3lnie chodzi mi o sieci firmowe, akademickie, czy kampusowe. W sieci domowej raczej trudno o b\u0142\u0119dy, aczkolwiek,<\/p>\n
<\/p>\n
tak\u017ce znam przyk\u0142ady takich, nad wyraz zabawnych. Sk\u0105d bior\u0105 si\u0119 b\u0142\u0119dy w projektowaniu\/konfiguracji\/zabezpieczeniu LAN? S\u0105 trzy mo\u017cliwo\u015bci: niewiedza, przeoczenie lub przedobrzenie. Na potrzeby tego artu om\u00f3wimy kilka takich robaczk\u00f3w, kt\u00f3re mog\u0105 czai\u0107 si\u0119 tak\u017ce w waszych sieciach.<\/p>\n
B\u0142\u0105d numer 0. Niewybaczalny, jak dla mnie!!! Gorsze, ni\u017c nie robienie backup\u00f3w!!! Jak widz\u0119 w firewall wpisy all to all, to mnie trafia co\u015b. Dla niewtajemniczonych, wpis taki oznacza, \u017ce wpuszczany jest ruch z ka\u017cdego adresu, do ka\u017cdego. Musimy sobie u\u015bwiadomi\u0107, jak wielkim zagro\u017ceniem jest taka regu\u0142a. Regu\u0142y na zaporze musz\u0105 by\u0107 zdefiniowane bardzo sztywno. Tylko wtedy gwarantuj\u0105 bezpiecze\u0144stwo. Te, bardziej nara\u017cone powinny by\u0107 opatrzone dodatkowym logowaniem.<\/p>\n
Z jakiego DNS korzysta\u0107 w sieci? Ano z takiego, kt\u00f3ry jest zaufany. Je\u017celi ufamy sobie, jako adminowi stawiamy w\u0142asny serwer. Je\u017celi nie (tak, zdarzaj\u0105 si\u0119 takie przypadki), korzystamy z DNS operatora, albo z DNS Google (8.8.8.8 na przyk\u0142ad).<\/p>\n
Skoro ci si\u0119 nie chce, to zmie\u0144 prac\u0119. Mo\u017ce sk\u0142adanie pude\u0142ek, b\u0119dzie lepszym zaj\u0119ciem. Upgrade to punkt obowi\u0105zkowy. B\u0142\u0119dy wyst\u0119puj\u0105 zawsze i tylko poprawki s\u0105 w stanie je za\u0142ata\u0107. Ostatnio dosta\u0142am w \u0142apy serwer, kt\u00f3ry dzia\u0142a, jako produkcja. Jako system operacyjny ma Debiana Lenny 5.0. Nie musz\u0119 przypomina\u0107, \u017ce wersja Stable to 8.0 Jessie. My\u015bl\u0119, \u017ce specjalnie dla takich admin\u00f3w powinno tworzy\u0107 si\u0119 osobne branche – Archaic Stable, albo Mamut Stable. :\/<\/p>\n
Zostawienie pustego has\u0142a, login i has\u0142o standardowe, imi\u0119 ukochanej lub rasa psa. Ile razy spotkali\u015bcie si\u0119 z takimi has\u0142ami? Najgorsze jest to, \u017ce userzy absolutnie nie respektuj\u0105 polityki zarz\u0105dzania has\u0142ami. Wys\u0142anie „mietkowi” has\u0142a na przyk\u0142ad dziesi\u0119cio-znakowego to obraza majestatu. Jest p\u0142acz i zgrzytanie z\u0119b\u00f3w i pro\u015bby o „co\u015b \u0142atwiejszego”, na przyk\u0142ad imi\u0119 \u017cony. Nie musz\u0119 chyba m\u00f3wi\u0107, \u017ce odpalenie s\u0142ownikowego ataku za\u0142atwi spraw\u0119 szybciej, ni\u017c zd\u0105\u017cycie sobie zrobi\u0107 kaw\u0119.<\/p>\n
Ok. Nie jeste\u015bmy w domku. Mamy pod sob\u0105 kilka serwer\u00f3w produkcyjnych, du\u017co wa\u017cnych klient\u00f3w. Musimy monitorowa\u0107 sie\u0107, sprawdza\u0107 logi, kontrolowa\u0107 co do nas wchodzi i wychodzi. Dobrze jest te\u017c czasami odpali\u0107 jaki\u015b analizator ruchu, zw\u0142aszcza, jak mamy jakie\u015b korki na sieci (wireshark, iperf, iptraf,netstumbler<\/em>). Logi podstaw\u0105 egzystencji admina!<\/p>\n Dobrze jest wprowadzi\u0107 ograniczenia pr\u0119dko\u015bci niekt\u00f3rych us\u0142ug. I nie m\u00f3wi\u0119 tu tylko o du\u017cych sieciach korporacyjnych. W ma\u0142ych sieciach tak\u017ce problemem jest du\u017c\u0105 wykorzystanie \u0142\u0105cza przez niekt\u00f3re aplikacje. Problemem mo\u017ce by\u0107 na przyk\u0142ad p2p lub torrent w sieci. Ciekawym rozwi\u0105zaniem jest tworzenie na routerze tuneli z przypisan\u0105 szeroko\u015bci\u0105 pasma, dla danej us\u0142ug. Je\u017celi korzystacie z iptabes, to takim rozwi\u0105zaniem jest np. pipe.<\/p>\n Otwarte formowe AP, DHCP w sieci lokalnej… To s\u0105 pomys\u0142y admin\u00f3w na „u\u0142atwienie sobie \u017cycia”. Bo nie trzeba wpisywa\u0107 ludziom IP, lub spisywa\u0107 MAC adres\u00f3w, albo wysy\u0142am ka\u017cdemu klucza. Ciekawe, kto b\u0119dzie odpowiada\u0142 g\u0142ow\u0105 przy wyp\u0142yni\u0119ciu firmowych danych??!!<\/p>\n \n","protected":false},"excerpt":{"rendered":" Dzisiaj b\u0119dzie troch\u0119 z dzia\u0142ki administrator\u00f3w. Dok\u0142adnie, to powiemy sobie o grz\u0105dkach, kt\u00f3re \u017ale oplewili\u015bmy. Mam na my\u015bli list\u0119 standardowych b\u0142\u0119d\u00f3w, jakie robi si\u0119 przy konfiguracji sieci LAN. Szczeg\u00f3lnie chodzi mi o sieci firmowe, akademickie, czy kampusowe. W sieci domowej raczej trudno o b\u0142\u0119dy, aczkolwiek,<\/p>\n","protected":false},"author":2,"featured_media":635,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"jetpack_post_was_ever_published":false,"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":true,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":false,"jetpack_social_options":{"image_generator_settings":{"template":"highway","enabled":false},"version":2}},"categories":[4,57,13],"tags":[105,103,101,104,102],"table_tags":[],"class_list":["post-157","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administracja","category-internet-mobilny","category-wifi","tag-bledy","tag-konfiguracja","tag-lan","tag-siec","tag-wan"],"jetpack_publicize_connections":[],"yoast_head":"\nRureczki otworzone na szeroko\u015b\u0107<\/h2>\n
Niekontrolowany dost\u0119p do sieci<\/h2>\n