Seccheck הוא בודק תכונה עשירה, מודולרי, רמה-מארח אבטחה עבור Solaris 10.
בבדיקת מבחני ביצועים האבטחה המעולה זמינים לעבר CI ביטחון, רציתי להפוך את הבדיקות הביטחוניות של סולאריס 10 השרתים שלי ולהפיק דוח מפורט ביותר המפרט את כל אזהרות האבטחה, יחד עם המלצות לפתרונם. הפתרון היה seccheck - שירות סריקת מארח אבטחת מודולרי. בקלות להרחבה והתכונה עשירה, אם כי ברגע זמין רק עבור Solaris 10.
זו אינה מכסה את הבדיקות המומלצים על ידי CI אבטחת 100%, אבל יש 99% מהם - אלה שאני מחשיב חשוב. לדוגמא, אני לא בודק תצורת X כי אני תמיד להבטיח השרתים שלי לא לרוץ X.
התקנה
הפצת המקור צריכה להיות פרקה למיקום מתאים. אני מציע לעשות משהו כזה:
# Mkdir / usr / local / seccheck
שורש chown #: שורש / usr / local / seccheck
# Chmod 700 / usr / local / seccheck
# Cd / usr / local / seccheck
# Mkdir סל פלט
# CD / בכל מקום / / להוריד / seccheck
# Gzip -dc ./seccheck-0.7.1.tar.gz | XF זפת -
# CD seccheck-0.7.1
# MV modules.d seccheck.sh / usr / local / seccheck / bin
הכל ייעשה באופן תסריטי מעטפת bash, ולכן אין הנחיות להתקנה באמת קפדניות, למקם את הקבצים בכל מקום שתרצה. אתה יכול לציין מיקום חלופי לספריית מודולים עם אפשרות -m בכל מקרה.
באמצעות seccheck
כברירת מחדל, seccheck.sh יחפש ספריית modules.d באותה הספרייה שבה תסריט seccheck.sh ממוקם. אם המודולים שלך לא נמצאים שם, אתה יכול להשתמש באפשרות -m כדי לציין מיקום מודול חלופי, לדוגמא:
# ./seccheck.sh -m / ביטחון / seccheck / mymodules
אז seccheck יסרוק דרך modules.d עבור מודולים תקפים seccheck (שנקבעו על ידי שם הקובץ). שם הקובץ מודול seccheck צריך להיות בפורמט הבא:
seccheck_nn_somename.sh
איפה NN הוא מספר דו ספרתי שקובע את הסדר שבו יש לבצע מודולים. לדוגמא, כלול בהפצת seccheck הנוכחית אתה תמצא את הקבצים בmodules.d הבאים:
# Ls -1 modules.d
seccheck_00_services.sh
seccheck_01_users.sh
seccheck_03_kernelcheck.sh
seccheck_05_logging.sh
seccheck_10_accessauth.sh
seccheck_99_perms.sh
seccheck_NN_template.sh.NOT
אתה יכול לראות seccheck_00_services.sh שיעובד לפני seccheck_01_users.sh, וכן הלאה. אתה יכול להשבית מודול על ידי שינוי שמו משהו אחר מאשר האמנה, למשל, על-ידי צירוף סיומת .not לקובץ מודול.
תבנית מסופקת, כך שאתה יכול לכתוב מודולים seccheck שלך.
כברירת מחדל, seccheck יכתוב את הכל ל stdout וstderr. אם אתה רוצה להפנות לקובץ פלט, פשוט להשתמש באפשרות -o ולציין את ספריית פלט. לאחר הפעלת התסריט, אתה תישאר עם קבצים כגון:
$ {} OUTPUT_DIR / seccheck- <מארח> -YYYYMMDD-hhmm.log
המכיל את הפלט של מודולים שלך.
מה חדש במהדורה זו:
תגובות לא נמצא