La mayoría de sistemas UNIX / Linux estándar incluyen múltiples servicios en su instalación por defecto. Mac OS X a menudo sufre de las mismas vulnerabilidades que los sistemas Unix, ya que está basado en Unix. Servicios innecesarios deben ser discapacitados, y todos los servidores frente a las redes abiertas deben ser protegidos por un cortafuegos.

Para los servicios que proporcionan acceso remoto y / o servicio remoto, el tráfico no puede ser simplemente bloqueados por el cortafuegos. Vulnerabilidades de desbordamiento de búfer y defectos en las funciones de autenticación puede permitir a menudo un vector para la ejecución de código arbitrario, a veces con privilegios administrativos, a fin de reunir información sobre la vulnerabilidad y parches rápidamente son muy importantes. Cada año, vulnerabilidades de desbordamiento de búfer en Unix / Linux se encuentran los servicios.

Estos servicios, incluso si todos los parches, puede ser la causa de compromisos no deseados. Ataques de fuerza bruta contra los servicios remotos, tales como SSH, FTP, Telnet y siguen siendo la forma más común de ataque a un compromiso frente a los servidores de Internet. Durante el último par de años un esfuerzo concertado ha sido hecha por los atacantes para recuperar las contraseñas utilizadas por estas aplicaciones a través de ataques de fuerza bruta. Cada vez más los gusanos y los robots han de fuerza bruta contraseña motores incorporados en ellas. Sistemas con contraseñas débiles para las cuentas de usuario se activa y sistemáticamente en entredicho; la escalada de privilegios a menudo se utilizan para obtener más privilegios, y rootkits instalados para ocultar el compromiso. Es importante recordar que bruta forzar contraseñas puede ser un utilizado como una técnica para un compromiso, incluso con todos los parches del sistema.

Consciente de los administradores de seguridad deben utilizar SSH o cualquier otro protocolo de cifrado como su método de acceso remoto interactivo. Si la versión de SSH es actual y es con todos los parches, el servicio es en general, para estar seguro. Sin embargo, con independencia de que esté actualizada y parcheada SSH todavía puede verse comprometida por la fuerza bruta de adivinar la contraseña ataques. Uso de autentificación de clave pública mecanismo de SSH para frustrar esos ataques. Para los demás servicios interactivos, las contraseñas de auditoría para asegurarse de que son de complejidad suficiente para resistir un ataque de fuerza bruta.

Reducir al mínimo el número de funcionamiento de los servicios en una serie también hará más seguro. Muchos servicios han sido utilizados para más hazañas y algunas combinaciones de servicios (tales como servidores web y servidores FTP que comparten publicado directorios) son particularmente propensos a la explota.



===================================
Afectados SOs

Todas las versiones de Unix / Linux / Mac OS Server están expuestos a los riesgos derivados inadecuado y configuraciones por defecto. Todas esas versiones del sistema operativo pueden verse afectados por las cuentas que tengan escasa o diccionario basado en contraseñas para la autenticación.

===================================
Cómo determinar si son vulnerables

Las instalaciones por defecto (ya sea desde el fabricante o por un administrador), de sistemas operativos o aplicaciones de red pueden incluir una amplia gama de servicios innecesarios y no utilizados. En muchos casos, la incertidumbre acerca del funcionamiento del sistema o aplicación, muchas necesidades de los fabricantes o los administradores para instalar una gran cantidad de software en caso de que se necesita en el futuro. Esto simplifica considerablemente el proceso de instalación, pero también introduce una amplia gama de servicios innecesarios y que tienen cuentas de usuario por defecto, débiles, o se sabe las contraseñas.

El uso de un escáner de vulnerabilidades actualización o un puerto mapper puede ser muy efectivo en descubrir las posibles vulnerabilidades de las instalaciones de la izquierda por defecto, como innecesarios y / o servicios o aplicaciones anticuadas. Además, una contraseña de craqueo puede ayudar a evitar el uso de débiles o fácilmente comprometida contraseñas.

Nota: nunca ejecutar una contraseña cracker / escáner de vulnerabilidades, incluso en los sistemas para los que tiene acceso como root-, sin explícita, el permiso por escrito de su empleador. Los administradores con los más benevolente de las intenciones han sido despedidos y perseguidos para ejecutar herramientas de obtención ilegal de contraseña sin la autoridad para hacerlo.




===================================
¿Cómo proteger contra estas vulnerabilidades

Deshabilitar servicios innecesarios

     * Escanear el servidor con un puerto de escáner o la evaluación de la vulnerabilidad herramienta para determinar qué servicios innecesarios se están ejecutando en un sistema. Deshabilite los servicios que no son requeridos por las aplicaciones necesarias.
     * Establecer y hacer cumplir los procedimientos fiables de gestión de parches
     * Instale la última vendedor parches regularmente para mitigar las vulnerabilidades de los servicios expuestos. Gestión de parches es una parte fundamental del proceso de gestión de riesgos.
     * Revisión de las herramientas de gestión son útiles para encontrar los sistemas sin parchear. Especialmente en una red donde hay un montón de servidores de plazo, de parches de todos los servidores es importante, ya que sólo un servidor sin parchear hace explotación de su red.

Uso seguro de configuración

     * Utilice el Center for Internet Security www.cisecurity.org de los puntos de referencia para su sistema operativo y los servicios que utilice. También considerar el uso de la Bastilla (www.bastille-linux.org) para endurecer Linux y HP-UX basado en host.
     * Considere la posibilidad de mover los servicios de los puertos por defecto donde sea posible. Automatizado de los escáneres sólo tienden a escanear los puertos por defecto.
     * Garantizar servicios están protegidos por suministrado por el proveedor de mecanismos de seguridad (por ejemplo, el espacio de direcciones de SELinux o aleatorización).




===================================
Mejorar el perímetro de defensa y seguimiento de registro

     * Despliegue de hardware / software de cortafuegos e IDS / IPS para detectar y bloquear los ataques y proteger los servicios requeridos. Si es posible, limitar la fuente de direcciones IP para acceso remoto y servicios.
     * En una red de misión crítica, la utilización en tiempo real de la supervisión de registros para encontrar pruebas de los ataques. Administración de registros de la tarjeta SIM y herramientas son útiles para el análisis en tiempo real de varios tipos de registros.

Bloquear los ataques de fuerza bruta

     * No use contraseñas por defecto en cualquier cuenta.
     * Aplicar la política de una contraseña segura. No permitir contraseñas débiles o contraseñas basadas en palabras de diccionario.
     * Auditoría contraseña para asegurarse de que su política se cumplen.
     * Limite el número de fracasos en los intentos de acceso a los servicios expuestos.
     * Limitar las cuentas que pueden iniciar sesión en más de la red; raíz no debe ser uno de ellos.
     * Prohibir las cuentas compartidas, y no utilizar los nombres genéricos en cuenta como examinador, invitado, administrador de sistemas, administración, etc
     * Registrarse fracasado los intentos de acceso. Un gran número de inicios de sesión no a un sistema puede requerir una nueva inspección sobre el sistema para ver si se ha visto comprometida.
     * Considere la posibilidad de utilizar la autenticación basada en certificado.
     * Si su sistema Unix permite el uso de módulos de autenticación PAM, la aplicación de los módulos PAM comprobar que la fortaleza de la contraseña.