Comment éviter les piratages NFS sur les systèmes Linux - nuls

Le système de fichiers réseau (NFS) de Linux est utilisé pour monter des systèmes de fichiers distants (similaires aux partages de Windows) depuis la machine locale. Les pirates aiment ces systèmes à distance! Compte tenu de la nature d'accès à distance de NFS, il a certainement sa juste part de hacks.

NFS hacks

Si NFS n'a pas été configuré correctement ou si sa configuration a été altérée - à savoir, le fichier / etc / exports contient un paramètre permettant au monde entier de lire le système de fichiers complet. accéder et faire tout ce qu'ils veulent sur le système. En supposant qu'aucune liste de contrôle d'accès (ACL) n'est en place, tout ce qu'il faut, c'est une ligne, comme celle-ci, dans le fichier / etc / exports:

/ rw

Cette ligne indique que n'importe qui peut monter à distance la partition racine en mode lecture-écriture. Bien sûr, les conditions suivantes doivent également être remplies:

• Le démon NFS (nfsd) doit être chargé, ainsi que le démon portmap qui mapperait NFS à RPC.

• Le pare-feu doit autoriser le trafic NFS.

• Les systèmes distants autorisés sur le serveur exécutant le démon NFS doivent être placés dans / etc / hosts. autoriser le fichier.

Cette capacité de montage à distance est facile à configurer. Cela est souvent lié à une mauvaise compréhension par un administrateur Linux de ce qu'il faut pour partager les montages NFS et recourir le plus simplement possible à son fonctionnement. Après que les pirates aient eu accès à distance, le système leur appartient.

Contre-mesures contre les attaques NFS

La meilleure défense contre le piratage NFS dépend du fait que vous avez réellement besoin du service en cours d'exécution.

• Si vous n'avez pas besoin de NFS, désactivez-le.

• Si vous avez besoin de NFS, implémentez les contre-mesures suivantes:

  • Filtrez le trafic NFS sur le pare-feu - généralement, le port TCP 111 (port portmapper) si vous souhaitez filtrer tout le trafic RPC.

  • Ajouter des ACL réseau pour limiter l'accès à des hôtes spécifiques.

  • Assurez-vous que votre fichier / etc / exports et / etc / hosts. Autoriser les fichiers sont configurés correctement pour garder le monde en dehors de votre réseau.