Разовое выполнение команд — демон atd

Иногда нужно просто выполнить определенные команды в определенное время (однократно), поэтому редактировать для этого таблицу crontab не совсем уместно. Такую задачу можно решить более рационально. Убедитесь, что у вас установлен и запущен демон atd. После этого введите команду:

at <время> [дата]

Затем просто вводите команды, которые вы хотите выполнить в указанное время. Для завершения ввода нажмите комбинацию клавиш <Ctrl>+<D>. Время указыва ется в АМ/РМ-формате— например, если вам нужно выполнить команды в 14:00, то вы должны ввести команду: at 2pm. Просмотреть очередь заданий можно командой atq, а удалить какое-либо задание — командой atrm.
В целях повышения безопасности в файл /etc/at.deny можно добавить команды, которые запрещены для выполнения планировщиком at.

Использование Lynis для проверки защищенности Linux

Установка Lynis на Linux

Защитив систему Linux, произведите ее быстрый аудит системы, чтобы оценить результат своей работы.

Lynis позволяет проверить систему на соответствие рекомендациям CIS. Его также можно использовать в пентесте, но в рамках этой статьи, рассмотрим его, как инструмент проверки защищенности Linux. Инструмент поддерживает работу на Linux, AIX, FreeBSD, HP-UX, Mac OS, NetBSD, OpenBSD, Solaris и даже Raspberry Pi.

Для установки Lynis, выполните команду:

root@debian:~/# sudo apt-get install lynis

Использование Lynis для проверки защищенности Linux
Ознакомитесь с основными параметрами Lynis:



--auditor "имя" — присвоить аудиту имя.
--checkall -c — начать проверку.
--check-update — проверить актуальность Lynis.
--cronjob — запустить Lynis как cronjob (включает -c -Q).
--help — отобразить справку.
--nocolors — не использовать цвета.
--pentest — выполнить тестирование на проникновение (без привилегий).
--quick — не ждать ввода данных пользователем, за исключением ошибок.
--quiet — показать только предупреждения (включает —quick, но не ждет).
--reverse-colors — использовать другую цветовую схему для светлого фона.
--version — проверить версию программы (и выйти).

Читать дальше

@linuxkalii

Использование OpenSCAP - ESGuardian/LittleBeat Wiki

По умолчанию агент Wazuh выполняет некоторые проверки конфигурации машины, и сообщает о несоответствии рекомендациям CIS или требованиям PCI DSS, но если вы хотите чего-нибудь еще, вы можете использовать OpenSCAP.

SCAP предоставляет набор стандартов, определяющий критерии для оценки безопасности инфраструктуры Linux. Разработан институтом NIST (National Institute of Standards and Technology). OpenSCAP - это сканер, который проверяет локальную систему на соответствие этим стандартам. Имеется во всех версиях Linux и может быть установлен из стандартных репозиториев. Wazuh агент устанавливаемый из пакета уже содержит в конфигурационном файле настройки обработки отчетов OpenSCAP для соответствующей операционной системы. Но по умолчанию эта обработка отключена. Как включить?

Для начала установите на хосте OpenSCAP (на том хосте, где установлен агент). Для Ubuntu и Debian так:

sudo apt-get install libopenscap8 xsltproc

Для RHEL, CentOS, Fedora:

sudo yum install openscap-scanner
Теперь надо поправить конфигурацию агента:

sudo nano /var/ossec/etc/ossec.conf
Найдите секцию:

<wodle name="open-scap">
<disabled>yes</disabled>
<timeout>1800</timeout>
<interval>1d</interval>
<scan-on-start>yes</scan-on-start>

<content type="xccdf" path="ssg-ubuntu-1604-ds.xml">
<profile>xccdf_org.ssgproject.content_profile_common</profile>
</content>
</wodle>
Это не далеко от начала файла. Исправьте <disabled>yes</disabled> на <disabled>no</disabled>. Сохраните файл и выполните команду:

sudo /var/ossec/bin/ossec-control restart

Инструкция

@linuxkalii

Методы шифрования в Linux

Шифрование на уровне файловой системы

Этот способ шифрования предполагает наличие какой-то системы-прослойки, которая расположена поверх основной файловой системы и которая защищает файлы пользователя без вмешательства в нижележащие разделы. Рассмотрим, какие же утилиты шифрования этого типа нам предлагает ОС Ubuntu:

eCryptfs – это многоуровневая система шифрования Linux. В Ubuntu именно данный способ используется для шифрования домашней папки пользователя. Файл, зашифрованный этим способом, будет расшифрован в том случае, если у Вас есть ключ.
EncFS – этот метод позволяет установить зашифрованную файловую систему. Используется библиотека FUSE и модуль ядра Linux. Эта система опять же создается поверх существующей файловой системы, как и в первом случае, она не является шифрованным блочным устройством.

Блочное шифрование на уровне устройства

В случае шифрования на уровне устройства используется блочный шифр, который преобразует последовательность блоков открытых данных в последовательность зашифрованных данных. В Linux-системах используются следующие методы блочного шифрования:

Loop-AES – это скоростная и прозрачная файловая система, также с помощью этого метода можно зашифровать и раздел подкачки в Linux. Advanced Encryption Standard (AES) - симметричный алгоритм блочного шифрования.
TrueCrypt – это свободное программное обеспечение с открытым исходным кодом для шифрования диска, программа функционирует, как под ОС Windows, так и под Linux. Но, как нам известно, разработчики прекратили поддерживать TrueCrypt, поэтому шифрование с помощью данной программы сейчас применяется нечасто.
dm-crypt/LUKS – поддерживает шифрование целых дисков, съемных носителей, разделов, томов RAID, логических томов и файлов. dm-crypt – позволяет создавать криптоконтейнер с помощью device-mapper и CryptoAPI ядра. LUKS (Linux Unified Key Setup) - протокол шифрования блочного устройства. Используя пакет dm-crypt, в папке /dev/mapper мы можем создать виртуальное блочное устройство с прозрачным шифрованием, как для файловой системы, так и для пользователя. Причем вся информация расположена на зашифрованном физическом разделе. Когда мы записываем данные на виртуальное устройство, они моментально шифруются и происходит их запись на диск, при чтении с виртуального устройства выполняется обратная операция.

Читать дальше

@linuxkalii

🏎 КАК УСКОРИТЬ LINUX

Читать дальше

@linuxkalii

Познакомьтесь с профессией системного администратора, интерфейсом и возможностями Linux. Узнайте, как стать сисадмином и зарабатывать от 70 000 рублей в месяц, на бесплатном онлайн-интенсиве: ✒️ https://clc.to/GUQeuA.

💡 Освоите базовые навыки системного администрирования.
💡 Научитесь работать с Linux Desktop, настраивать серверы Apache и MySQL, запускать PHP-приложения.
💡 Запустите Linux в виртуальной машине с помощью Vagrant и добавите проект в портфолио.

☝️ Спикером будет Lead DevOps, автор научных статей по DevOps и DevSecOps — Константин Брюханов. Он познакомит вас с профессией системного администратора и расскажет, как развиваться в этой области.

🎁Присоединяйтесь, задавайте вопросы и получите сертификат на 10 000 рублей на любой курс Skillbox.

📢 Подключайтесь к прямым эфирам с 27 по 29 июня в 21:00 по московскому времени. Получите практические знания, рекомендации и подарки!

☠ Чек-лист по повышению привилегий в Linux

https://www.hackingdream.net/2020/03/linux-privilege-escalation-cheatsheet-for-oscp.html

#doc #pentest #linux

Если вы знаете Linux на достаточном уровне — пора двигаться в сторону Devops и изучать Golang

Мы не настаиваем, но очень рекомендуем и вот почему:

Go — один из самых высокооплачиваемых, простых и нужных для devops языков. С его помощью можно работать с микросервисной архитектурой, проводить тесты и писать кастомные операторы Kubernetes.

Неожиданно, но как раз 4 июля в Слёрм стартует курс по Go, который заточен именно под задачи инженеров.

В программе:

▪️Разберемся в простых и продвинутых конструкциях Go, поймем его синтаксис и структуру.
▪️Узнаем, как использовать Docker SDK в Go и как Docker говорит с приложениями.
▪️Познакомимся с различными паттернами и Kubernetes API
▪️Рассмотрим анатомию операторов, их использование в production-е, а также напишем свой оператор.

Занять место: https://slurm.club/3blDmAn

Команда wget

Свободная неинтерактивная консольная программа для загрузки файлов по сети. Поддерживает протоколы HTTP, FTP и HTTPS, а также поддерживает работу через HTTP прокси-сервер. Программа включена почти во все дистрибутивы GNU/Linux.

Установка:
▪️apt install wget

Опции:
-V (--version) - вывести версию программы
-h (--help) - вывести справку
-b (--background) - работать в фоновом режиме
-o файл (--out-file) - указать лог файл
-d (--debug) - включить режим отладки
-v (--verbose) - выводить максимум информации о работе утилиты
-q (--quiet) - выводить минимум информации о работе
-i файл (--input-file) - прочитать URL из файла
--force-html - читать файл указанный в предыдущем параметре как html
-t (--tries) - количество попыток подключения к серверу
-O файл (--output-document) - файл в который будут сохранены полученные данные
-с (--continue) - продолжить ранее прерванную загрузку
-S (--server-response) - вывести ответ сервера
--spider - проверить работоспособность URL
-T время (--timeout) - таймаут подключения к серверу
--limit-rate - ограничить скорость загрузки
-w (--wait) - интервал между запросами
-Q (--quota) - максимальный размер загрузки
-4 (--inet4only) - использовать протокол ipv4
-6 (--inet6only) - использовать протокол ipv6
-U (--user-agent)- строка USER AGENT отправляемая серверу
-r (--recursive)- рекурсивная работа утилиты
-l (--level) - глубина при рекурсивном сканировании
-k (--convert-links) - конвертировать ссылки в локальные при загрузке страниц
-P (--directory-prefix) - каталог, в который будут загружаться файлы
-m (--mirror) - скачать сайт на локальную машину
-p (--page-requisites) - во время загрузки сайта скачивать все необходимые ресурсы

Подробнее

@linuxkalii

NEOFETCH — кроссплатформенная утилита, позволяющая отображать информацию о системе в терминале.
В качестве картинки в терминале, можно использовать логотип дистрибутива.
Данная утилита похожа на ScreenFetch или LinuxLogo, но она более гибкая и содержит дополнительные функции. Изображение выводится в формате ASCII рядом с информацией о системе.

Установить в Ubuntu: sudo apt install neofetch
Запустить: neofetch

https://losst.ru/neofetch-informatsiya-o-sisteme-linux-i-logotip-v-terminale

@linuxkalii

Команда chown

Команда chown позволяет использовать соответствующую утилиту для изменения владельца файла или директории.

В Linux и других UNIX-подобных операционных системах каждый пользователь имеет свои собственные файлы, причем он может регламентировать возможность доступа других пользователей к ним. Применение концепции владения файлами имеет ряд последствий, причем в некоторых случаях бывает полезно изменять владельца некоторых файлов.

Изменение владельца файла может привести к получению возможности изменения его прав доступа, а также ограничению доступа к нему другого пользователя. По этой причине обычным пользователям запрещено изменять владельцев файлов, не принадлежащих им, и только суперпользователь (root) может изменять владельцев любых файлов.

Базовый синтаксис команды выглядит следующим образом:

$ chown [параметры] <имя владельца:имя группы владельцев> <имя файла или директории>

Примеры использования
Смена владельца файла
Например, если вы хотите предоставить пользователю с именем john возможность распоряжаться файлом picture.jpg по своему усмотрению, вы можете воспользоваться следующей командой:

$ chown john picture.jpg

Помимо изменения владельца файла, может изменяться группа его владельцев или его владелец и группа его владельцев одновременно. Следует использовать символ двоеточия для разделения имени пользователя и имени группы пользователей (без символа пробела):

$ chown john:family picture.jpg

В результате владельцем файла picture.jpg станет пользователь с именем john, а группой его владельцев — family.

Рекурсивная смена владельцев файлов
Если вы хотите изменить владельцев файлов из любого фрагмента дерева директорий, вы можете воспользоваться параметром -R. Например, если вам нужно изменить владельцев файлов дерева поддиректорий текущей директории на root, вы можете использовать следующую команду:

# chown -R root:root .

Вам наверняка захотелось использовать шаблон «*» для ссылки на все файлы. Однако, в этом случае не будет изменен владелец скрытых файлов (имена которых начинаются с символа точки). Также вы можете предположить, что следовало бы использовать шаблон «.*», однако, он будет соответствовать также директории с именем «..», в результате чего будет изменен владелец всех файлов также и в родительской директории! Следует помнить о том, что при использовании параметра -R утилите должно передаваться имя директории, а не имена отдельных файлов.

Подробнее

@linuxkalii

💀 Скрипт DDoS-атаки с 36 методами

🔌 Код: https://github.com/MHProDev/MHDDoS

@linuxkalii

КАК РАЗМОНТИРОВАТЬ ДИСК В LINUX

При прекращении работы с диском в Linux, чтобы полностью закрыть к нему доступ и избежать повреждения данных при выключении, следует его размонтировать. Для этих целей существует утилита umount, которая запускается через терминал.
В данной статье мы разберемся с ее синтаксисом и опциями. А заодно рассмотрим, как размонтировать диск в Linux. Для удобства все будет описано на конкретных примерах.

Читать дальше

@linuxkalii

©️ КАК КОПИРОВАТЬ В ТЕРМИНАЛЕ LINUX

Буфер обмена операционной системы и возможность копировать и вставлять текст из одного места в другое очень сильно облегчает работу в терминале. Теперь вам необязательно искать команду в истории или набирать её вручную. Вы можете скопировать текст с другого терминала, файла или браузера, а затем выполнить его. Сложно представить как передать команде длинные и сложные параметры без возможности копирования и вставки.

Читать дальше

@linuxkalii

Port knocking и не только

Какие инструменты будут использоваться?
Мне привычнее иметь дело с iptables. Он нужен для всего: запрета пакетов, добавления адресов в списки и прочих файрвольных штучек.

Для составления списков используем ipset.

Принцип работы:

Пользователь посылает серию специальных пакетов нужному серверу.

Сервер, получив первый правильный пакет, заносит кандидата в первый список.

Сервер, получив второй правильный пакет, переносит кандидата во второй список, при условии нахождения его в первом.

Несколько итераций с переносом кандидата по спискам.

Сервер, получив последний правильный пакет, переносит кандидата в список разрешенных подключений, при условии нахождения в предпоследнем списке.

Для примера рассмотрю комбинацию из трех пакетов ICMP (Ping) разного размера (999, 1028 и 500 байтов).

Читать дальше

@linuxkalii

​webcam-filters

Инструмент, что позволяет добавить размытие фона и другие фильтры к своей веб-камере в GNU/Linux

Приложение создает виртуальную веб-камеру с общим набором фильтров, которую вы можете использовать в других приложениях для видеоконференцсвязи

@linuxkalii | #Linux #Video #Interesting

Откройте для себя DevOps! Участвуйте в бесплатном интенсиве Skillbox 11–13 июля в 21:00 по московскому времени. Испытайте свои силы на практике: 👉 https://clc.to/44M1fg.

За 3 дня вы узнаете, что такое DevOps и как в нём ориентироваться, как работать с Docker, использовать методологию CI/CD и решать реальные задачи на практике.

🎁 Всех участников интенсива ждут подарки от образовательной платформы Skillbox.

Присоединяйтесь!

Наблюдаем за командами

Иногда возникает необходимость запускать ту или иную команду несколько раз. К примеру, если были замечены неполадки в работе сервера и есть основания полагать, что их причина кроется в использовании памяти либо выполнении операций ввода и вывода. Также это может понадобиться для отслеживания изменений в каталогах. Во всех этих и других случаях на помощь придет команда watch.

Например, чтобы следить за средней загрузкой, выполняем:
watch "cat /proc/loadavg"
Каждые две секунды watch будет запускать команду cat. (Для завершения выполнения команды нажмите сочетание клавиш CTRL+C).

Чтобы увеличить частоту обновления до 10 секунд, выполняем:
watch -n 10 "ls -l"

Чтобы выделить разницу между обновлениями на экране, выполните:
watch -d "ls -l"

Для выполнения выделения необходимо, чтобы файлы изменялись. 

Перечень опций невелик, но их достаточно для эффективного использования команды:

-d (--differences) — служит для выделения тех данных в выводе команды, которые отличаются от предыдущих.
-n (--interval seconds) — позволяет установить желаемый интервал запуска команды.
-t (--no-title) — выключает отображение заголовков.
-b (--beep) — если при выполнении команды возникнет ошибка, будет подан звуковой сигнал.
-e (--errexit) — при возникновении ошибки вывод данных будет заморожен, команда watch прекратит работу после нажатия комбинации клавиш.
-g (--chgexit) — выход при условии, что в выводе команды обнаружатся изменения.
-c (--color) — интерпретирует последовательность цветов и стилей ANSI.
-x (--exec) — выполнение команды будет передано интерпретатору sh -c поэтому, возможно, вам придется использовать дополнительные кавычки чтобы добиться желаемого эффекта. При использовании полной версии написания (--exec) команда будет выполняться в с помощью утилиты exec.

Подробнее

@linuxkalii