Hvis du er vært for en Samba-server, er det vigtigt, at du er ekstra opmærksom på at sikre serveren mod modstandere.

Nøgle takeaways

  • Aktiver kryptering for SMB-trafik for at forhindre uautoriseret adgang og cyberangreb. Brug Transport Layer Security (TLS) til at sikre din Linux Samba-servers trafik.
  • Implementer strenge adgangskontroller og tilladelser til delte ressourcer ved hjælp af /etc/samba/smb.conf-konfigurationsfilen. Definer regler for adgang, tilladelser og begrænsninger for at sikre, at kun autoriserede brugere kan få adgang til ressourcer.
  • Håndhæv stærke og unikke adgangskoder til SMB-brugerkonti for at øge sikkerheden. Opdater regelmæssigt Linux og Samba for at beskytte mod sårbarheder og cyberangreb, og undgå at bruge den usikre SMBv1-protokol.
  • Konfigurer firewallregler for at begrænse adgangen til SMB-porte, og overvej netværkssegmentering for at isolere SMB-trafik fra ikke-pålidelige netværk. Overvåg SMB-logfiler for mistænkelige aktiviteter og sikkerhedshændelser, og begræns gæsteadgang og anonyme forbindelser.
    • instagram viewer
  • Implementer værtsbaserede begrænsninger for at kontrollere adgang til specifikke værter og nægte adgang til andre. Tag yderligere sikkerhedsforanstaltninger for at styrke dit netværk og hærde dine Linux-servere.

SMB-protokollen (Server Message Block) er en hjørnesten i fil- og printerdeling i tilsluttede miljøer. Standardkonfigurationen af ​​Samba kan dog udgøre betydelige sikkerhedsrisici, hvilket efterlader dit netværk sårbart over for uautoriseret adgang og cyberangreb.

Hvis du er vært for en Samba-server, skal du være ekstra forsigtig med de konfigurationer, du har sat på plads. Her er 10 kritiske trin til at sikre, at din SMB-server forbliver sikker og beskyttet.

1. Aktiver kryptering for SMB-trafik

Som standard er SMB-trafik ikke krypteret. Du kan bekræfte dette ved at indfangning af netværkspakker med tcpdump eller Wireshark. Det er altafgørende, at du krypterer al trafik for at forhindre en hacker i at opsnappe og analysere trafikken.

Det anbefales, at du konfigurerer Transport Layer Security (TLS) til at kryptere og sikre din Linux Samba-servers trafik.

2. Implementer strenge adgangskontroller og tilladelser til delte ressourcer

Du bør implementere strenge adgangskontroller og tilladelser for at sikre, at de tilsluttede brugere ikke er i stand til at få adgang til uopfordrede ressourcer. Samba bruger en central konfigurationsfil /etc/samba/smb.conf der giver dig mulighed for at definere regler for adgang og tilladelser.

Ved hjælp af speciel syntaks kan du definere ressourcer til deling, brugere/grupper til at give adgang til disse ressourcer, og om ressourcen/ressourcerne kan gennemses, skrives på eller læses fra. Her er eksempelsyntaksen til at erklære en ressource og implementere adgangskontrol på den:

[sambashare]
comment= Samba Example
path = /home/your_username/sambashare
browseable = yes
writable = yes
valid users = @groupname

I ovenstående linjer tilføjer vi en ny delingsplacering med en sti, og med gyldige brugere begrænser vi adgangen til delingen til kun en enkelt gruppe. Der er flere andre måder at definere kontroller og adgang til en share på. Du kan lære mere om det fra vores dedikerede guide til, hvordan du opsætter en netværksdelt mappe på Linux med Samba.

3. Brug stærke og unikke adgangskoder til SMB-brugerkonti

Håndhævelse af robuste adgangskodepolitikker for SMB-brugerkonti er en grundlæggende bedste praksis for sikkerhed. Som systemadministrator bør du oprette eller opfordre alle brugere til at oprette stærke og unikke adgangskoder til deres konti.

Du kan også fremskynde denne proces ved automatisk generere stærke adgangskoder ved hjælp af værktøjer. Eventuelt kan du også regelmæssigt rotere adgangskoder for at mindske risikoen for datalæk og uautoriseret adgang.

4. Opdater regelmæssigt Linux og Samba

Den enkleste form for passivt forsvar mod alle former for cyberangreb er at sikre, at du kører opdaterede versioner af kritisk software. SMB er udsat for sårbarheder. Det er altid et lukrativt mål for angribere.

Der har været flere tidligere kritiske SMB-sårbarheder som fører til fuldstændig systemovertagelse eller tab af fortrolige data. Du skal holde både dit operativsystem og de kritiske tjenester på det opdateret.

5. Undgå at bruge SMBv1-protokollen

SMBv1 er en usikker protokol. Det anbefales altid, at når du bruger SMB, kan det være på Windows eller Linux, bør du undgå at bruge SMBv1 og kun bruge SMBv2 og opefter. For at deaktivere SMBv1-protokollen skal du tilføje denne linje til konfigurationsfilen:

min protocol = SMB2

Dette sikrer, at minimumsprotokolniveauet i brug er SMBv2.

6. Håndhæve firewallregler for at begrænse adgangen til SMB-porte

Konfigurer dit netværks firewall til at tillade adgang til SMB-porte, normalt kun port 139 og port 445 fra pålidelige kilder. Dette hjælper med at forhindre uautoriseret adgang og reducerer risikoen for SMB-baserede angreb fra eksterne trusler.

Du bør også overveje installation af en IDS-løsning sammen med en dedikeret firewall for at få bedre kontrol og logning af trafik. Usikker på, hvilken firewall du skal bruge? Du kan finde en, der passer dig, fra listen over bedste gratis Linux firewalls at bruge.

7. Implementer netværkssegmentering for at isolere SMB-trafik fra ikke-pålidelige netværk

Netværkssegmentering er teknikken til at opdele en enkelt monolitisk model af et computernetværk i flere undernet, hver kaldet et netværkssegment. Dette gøres for at forbedre sikkerheden, ydeevnen og administrationen af ​​netværket.

For at isolere SMB-trafik fra netværk, der ikke er tillid til, kan du oprette et separat netværkssegment til SMB-trafik og konfigurere firewallregler til kun at tillade SMB-trafik til og fra dette segment. Dette giver dig mulighed for at administrere og overvåge SMB-trafik på en fokuseret måde.

På Linux kan du bruge iptables eller et lignende netværksværktøj til at konfigurere firewall-regler for at kontrollere strømmen af ​​trafik mellem netværkssegmenter. Du kan oprette regler for at tillade SMB-trafik til og fra SMB-netværkssegmentet, mens du blokerer al anden trafik. Dette vil effektivt isolere SMB-trafik fra ikke-pålidelige netværk.

8. Overvåg SMB-logfiler for mistænkelige aktiviteter og sikkerhedshændelser

Overvågning af SMB-logfiler for mistænkelige aktiviteter og sikkerhedshændelser er en vigtig del af opretholdelsen af ​​dit netværks sikkerhed. SMB-logfiler indeholder oplysninger om SMB-trafik, herunder filadgang, godkendelse og andre hændelser. Ved regelmæssigt at overvåge disse logfiler kan du identificere potentielle sikkerhedstrusler og afbøde dem.

På Linux kan du bruge kommandoen journalctl og rør dets output til grep kommando til at se og analysere SMB-logfiler.

journalctl -u smbd.service

Dette vil vise logfilerne for smbd.service enhed, der er ansvarlig for styring af SMB-trafik. Du kan bruge -f mulighed for at følge loggene i realtid eller bruge -r mulighed for at se de seneste poster først.

For at søge i logfilerne efter specifikke hændelser eller mønstre, skal du overføre output fra journalctl-kommandoen til grep. For at søge efter mislykkede godkendelsesforsøg skal du f.eks. køre:

journalctl -u smbd.service | grep -i "authentication failure"

Dette vil vise alle logposter, der indeholder teksten "godkendelsesfejl", så du hurtigt kan identificere enhver mistænkelig aktivitet eller brute-force-forsøg.

9. Begræns brugen af ​​gæsteadgang og anonyme forbindelser

Aktivering af gæsteadgang giver brugerne mulighed for at oprette forbindelse til Samba-serveren uden at angive et brugernavn eller adgangskode, mens anonyme forbindelser tillader brugere at oprette forbindelse uden at give nogen godkendelse Information.

Begge disse muligheder kan udgøre en sikkerhedsrisiko, hvis de ikke administreres korrekt. Det anbefales, at du slår begge disse fra. For at gøre det skal du tilføje eller ændre et par linjer i Samba-konfigurationsfilen. Her er hvad du skal tilføje/ændre i den globale sektion af smb.conf fil:

map to guest = never
restrict anonymous = 2

10. Implementer værtsbaserede begrænsninger

Som standard kan en udsat Samba-server tilgås af enhver vært (IP-adresse) uden begrænsninger. Med adgang er det meningen at etablere en forbindelse og ikke bogstaveligt talt få adgang til ressourcerne.

For at tillade adgang til specifikke værter, og nægte at hvile, kan du gøre brug af værter tillader og værter nægter muligheder. Her er syntaksen, der skal tilføjes til konfigurationsfilen for at tillade/afvise værter:

hosts allow = 127.0.0.1 192.168.1.0/24
hosts deny = 0.0.0.0/0

Her beordrer du Samba til at nægte alle forbindelser undtagen dem fra den lokale vært og 192.168.1.0/24-netværket. Dette er en af ​​de grundlæggende måder at sikre din SSH-server på også.

Nu ved du, hvordan du sikrer din Samba Linux-server

Linux er fantastisk til hosting af servere. Men når du har med servere at gøre, skal du træde varsomt og være ekstra opmærksom, da Linux-servere altid er et lukrativt mål for trusselsaktører.

Det er altafgørende, at du gør en oprigtig indsats for at styrke dit netværk og hærde dine Linux-servere. Udover at konfigurere Samba korrekt, er der et par andre foranstaltninger, du bør tage for at sikre, at din Linux-server er sikker fra modstandernes trådkors.