Претраживање интернета данас је у суштини као ходање кроз минско поље ако не предузмете одговарајуће мере предострожности. Само повезивање на интернет је довољно да хакери и злонамерни софтвер потраже било какав отвор – било да је у питању погрешна конфигурација или системска рањивост – како би покушали да се ушуњају и преузму контролу над вашим личним подацима.
Често се мисли да коришћење Линукс дистрибуције значи да смо потпуно заштићени. И док је истина да је то веома робустан систем, безбедност није статична ; то је активан процес. Да бисмо имали праву контролу над тим ко улази и излази са наше машине, морамо да савладамо алате за филтрирање саобраћаја, и ту долази до изражаја заштитни зид (фајервол).
Шта је тачно заштитни зид (фајервол) и како функционише?
Једноставно речено, заштитни зид је као избацивачи у ноћном клубу: он одлучује ко улази, а ко остаје напољу на основу скупа правила. Његова мисија је да заштити приватне мреже спречавањем неовлашћеног или непровереног приступа нашем рачунару. Иако постоје решења заснована на хардверу, фокусираћемо се на софтвер, који инсталирамо директно на оперативни систем.
Магија се дешава кроз филтрирање пакета . Сваки податак који путује кроз мрежу подељен је на мале пакете. Заштитни зид (фајервол) не чита садржај поруке (то би била друга прича), већ проверава ознаку или заглавље. Он прегледа изворну и одредишну IP адресу , порт који ће се користити (на пример, 22 за SSH или 80 за прегледање веба) и протокол (TCP, UDP или ICMP) како би одлучио да ли ће дозволити да пакет прође (ACCEPT) или га одбацити (DROP/REJECT).
UFW: Заштитни зид за оне који не желе компликације
Ако користите Ubuntu или дистрибуцију засновану на Debian-у, највероватније сте наишли на UFW, што је скраћеница од Uncomplicated Firewall (Некомпликовани заштитни зид) . Да бисмо то ставили у контекст, Linux већ има веома моћан уграђени систем под називом iptables, али његово конфигурисање представља праву главобољу за просечног корисника. Зато су људи из Canonical-а креирали UFW, врсту поједностављеног слоја који нам омогућава да управљамо iptables-ом једноставним и директним командама .
Овај софтвер је бесплатан, отвореног кода и развијен у Пајтону. Иако често долази унапред инсталиран на многим верзијама Убунтуа, обично је подразумевано онемогућен како би се спречило закључавање корисника због неправилно конфигурисаног правила.
Савладавање UFW-а преко терминала
Ако желимо да почнемо да радимо са UFW-ом, постоје неке команде које су неопходне. Да бисмо проверили да ли систем ради, користимо sudo ufw statusАко желимо да га заиста покренемо и активирамо, покрећемо sudo ufw enableи да га искључим, sudo ufw disable.
Али заштитни зид без правила је као отворена врата. Да бисмо започели филтрирање, можемо користити команду ufw app list да видимо које апликације већ имају креиране профиле. На пример, ако желимо да наш сервер буде доступан преко SSH-а, покрећемо sudo ufw allow 'OpenSSH'Ако такође имамо веб сервер са Apache-ом, можемо користити sudo ufw allow 'Apache Full' да отвори портове 80 и 443 одједном.
Када нам је потребно нешто конкретније, можемо отворити опсеге портова. Замислите да користите торент клијенте; могли бисте да покренете sudo ufw allow 50000:53000/tcp да дозволимо тај саобраћај. Ако желимо да урадимо супротно и затворимо порт, једноставно променимо „дозволи“ у „забрани“. Такође је могуће ограничити приступ одређеној IP адреси на нашој локалној мрежи помоћу команди као што су sudo ufw allow from 192.168.1.100/24 to any port 8080.
Ако нас збуни толико правила, можемо погледати нумерисану листу са sudo ufw status numbered и обришемо онај који нам смета sudo ufw delete numeroА ако ствари измакну контроли, sudo ufw reset Оставите све како је било у фабрици.
GUFW: Визуелна алтернатива
За оне који не желе да користе терминал, ту је GUFW. То је интуитиван графички интерфејс који управљање заштитним зидом чини једноставним за неколико кликова. Одавде можете активирати или деактивирати систем, креирати корисничке профиле и додавати правила помоћу дугмета „+“.
У GUFW-у можемо дефинисати четири главна стања за саобраћај: Дозволи (пусти га да прође), Забрани (блокира без упозорења), Одбиј (блокира али упозорава пошиљаоца) и Ограничи , што је веома корисно против напада јер ако IP адреса покуша да се повеже превише пута у кратком временском периоду, заштитни зид је аутоматски прекида.
Заштитни зид: Снага за професионална окружења
У свету Red Hat-а, Fedora-е или CentOS-а, Firewalld је врховни владар. За разлику од UFW-а, то није једноставан слој, већ динамички демон управљања који се ослања на iptables, ebtables и ipset. Његова кључна разлика лежи у концепту поузданих зона.
Уместо појединачних правила, додељујете свој мрежни интерфејс зони (као што је јавна, кућна или интерна). Свака зона има своја унапред дефинисана правила. Да бисмо додали услугу, користимо sudo firewall-cmd --zone=public --add-service=ssh --permanent а затим извршавамо sudo firewall-cmd --reload како би промене ступиле на снагу. Најбоља ствар код Firewalld-а је то што Омогућава промене у реалном времену без потребе за поновним покретањем компликованих сервиса.
Брзо поређење: Који одабрати?
- УФВ: Идеалан је за кућне кориснике или администраторе који траже брзину. Практично нема криву учења и савршен је за Дебијан и Убунту.
- Заштитни зид: То је опција за сложене сервере и професионална окружења. Нуди много већу флексибилност захваљујући својим зонама, иако је потребно више времена за учење.
Додатни савети и митови о безбедности Линукса
Пре затварања заштитног зида (фајервола), топло се препоручује скенирање отворених портова како би се избегла изненађења. Одличан алат за ово је Netcat , који вам омогућава да скенирате портове и проверите да ли, на пример, SSH порт 22 заиста ради и да није грешком блокиран.
Што се тиче текуће дебате о томе да ли је Линукс безбеднији од Виндоуса, будимо реални. Није ствар у томе да је код магично нерањив, већ зато што Виндоус има много већи тржишни удео, креатори злонамерног софтвера усмеравају своје напоре тамо јер је то профитабилније. Док Линукс доживљава мање напада, конфигурисање заштитног зида остаје кључно за смањење површине напада и заштиту наших података.
Одржавање заштићеног сервера подразумева избор правог алата за дистрибуцију, било да је то једноставност UFW-а или снага Firewalld-а, увек успостављање јасних подразумеваних правила забране и дозвољавање само саобраћаја који је строго неопходан да би се спречио било какав нежељени упад.
