SEGURIDAD EN UNIX Y REDES

272APÉNDICE A. SEGURIDAD BÁSICA PARA ADMINISTRADORESrm -rf $HOME/* sin que nosotros nos demos cuenta, con las consecuencias que esta ordenimplica.• DesconfianzaHemos de desconfiar de cualquier correo electrónico, llamada telefónica o mensaje de otro tipoque nos indique realizar una determinada actividad en el sistema, especialmente cambiar laclave o ejecutar cierta orden; con frecuencia, un usuario se convierte en cómplice involuntariode un atacante: imaginemos que recibimos una llamada de alguien que dice ser el administradordel sistema y que nos recomienda cambiar nuestra clave por otra que él nos facilita,con la excusa de comprobar el funcionamiento del nuevo software de correo. Si hacemos esto,esa persona ya tiene nuestra contraseña para acceder ilegalmente a la máquina y hacer allí loque quiera; hemos de recordar siempre que el administrador no necesita nuestra ayuda paracomprobar nada, y si necesita cambiar nuestra clave, lo puede hacer él mismo.• Un último consejo. . .Cualquier actividad sospechosa que detectemos, aunque no nos implique directamente a nosotros,ha de ser notificada al administrador o responsable de seguridad del equipo. Estanotificación, a ser posible, no se ha de realizar por correo electrónico (un atacante puedeeliminar ese mail), sino en persona o por teléfono.En muchas ocasiones, cuando un usuario nota un comportamiento extraño en el sistema, nonotifica nada pensando que el administrador ya se ha enterado del suceso, o por miedo aquedar en ridículo (quizás que lo que nosotros consideramos ‘extraño’ resulta ser algo completamentenormal); esta situación es errónea: si se trata de una falsa alarma, mucho mejor,pero. . . ¿y si no lo es?A.6 Referencias rápidasA.6.1Prevención• Cerrar los servicios de inetd que no sean estrictamente necesarios.• No lanzar demonios en el arranque de máquina que no sean estrictamente necesarios.• Minimizar el número de ficheros setuidados o setgidados en la máquina.• Instalar TCP Wrappers y utilizar una política restrictiva: echo ALL:ALL >/etc/hosts.deny.• Utilizar TCP Wrappers para controlar el acceso a nuestro sendmail, o utilizar un wrapperpropio para este demonio.• Sustituir telnet, ftp o similares por ssh y scp.• No permitir ficheros $HOME/.rhosts en los directorios de usuarios, y no establecer relacionesde confianza en /etc/hosts.equiv.• Deshabilitar las cuentas del sistema que no corresponden a usuarios reales (uucp, lp. . . ).• Instalar un sistema Shadow Password para que los usuarios no puedan leer las claves cifradas.• Deshabilitar las cuentas de usuarios que no conecten al sistema.• Utilizar versiones actualizadas del núcleo del sistema operativo.• Evitar sobrecargas de servicio planificando pkill -HUP inetd en nuestro fichero crontab.