Php WatchDog

Ricardo Coelho ricardo@nexy.com.br

Motivação ● Acesso a PostgreSQL alterando pg_hba.conf ● Novas demandas exigiram uso de túneis SSH e escrita NetFilter ● Removido uso de túneis SSH no início do mês

Onde se encaixa ● Camada adicional de segurança. Não deve ser a única ● Serviços em portas alternativas ● Senhas fortes para os serviços críticos ● HTTPS!!!

Queríamos evitar ● Escrita de regras de firewall na camada de aplicação ● Complexidade no lado cliente: ● Port Knocking ● VPN ● Túneis SSH – Acesso desnecessário

#!/bin/bash Scripts com acesso ao iptables /var/watchdog/bin/enable_rule.sh /var/watchdog/bin/enable_gracetime_rule.sh /var/watchdog/bin/disable_rule.sh /var/watchdog/bin/deactivate_rule.sh /var/watchdog/bin/schedule_disable_rule.sh /etc/sudoers Defaults:www-data env_keep+="PHPWD_*" www-data ALL=(root) NOPASSWD:/var/watchdog/bin/enable_rule.sh NOPASSWD:/var/watchdog/bin/enable_gracetime_rule.sh NOPASSWD:/var/watchdog/bin/disable_rule.sh NOPASSWD:/var/watchdog/bin/deactivate_rule.sh NOPASSWD:/var/watchdog/bin/schedule_disable_rule.sh

<?php config.php define('PHPWD_BINARY_DIR', '/var/watchdog/bin/'); cRuleFile.php `/usr/bin/sudo /var/watchdog/bin/enable_rule example.rule` ?>

Simplicidade ● Quatro passos rápidos: ● Download ● Configurar segurança de pastas ● Autorizar minimamente o Apache ● Configurar o envio de E-mail/SMS

Simplicidade ● Quatro http://www.nexy.com.br/phpwd.tar.bz2 passos rápidos: ● Download ● Configurar segurança de pastas ● Autorizar minimamente o Apache ● Configurar o envio de E-mail/SMS

Simplicidade ● Quatro passos rápidos: ● Download chown -R root:root /var/watchdog/* ● Configurar segurança chmod -R o-w /var/watchdog/* de pastas ● Autorizar minimamente o Apache ● Configurar o envio de E-mail/SMS

Simplicidade ● Quatro passos rápidos: ● Download Defaults:www-data env_keep+="PHPWD_*" ● Configurar segurança www-data ALL=(root) N.../bin/enable_rule.sh www-data ALL=(root) N.../enable_gracetime_rule.sh de pastas www-data ALL=(root) N.../bin/disable_rule.sh www-data ALL=(root) N.../bin/deactivate_rule.sh ● Autorizar minimamente www-data ALL=(root) N.../schedule_disable_rule.sh o Apache ● Configurar o envio de E-mail/SMS

Simplicidade ● Quatro passos rápidos: sudo apt-get install php-pear ● Download sudo pear channel-update pear.php.net sudo pear install Mail ● Configurar segurança sudo pear install Net_SMTP de pastas sudo pear install Net_Socket sudo apt-get install gnokii ● Autorizar minimamente sudo vi /etc/gnokiirc o Apache port = /dev/ttyUSB0 ● Configurar o envio de use_locking = no E-mail/SMS

O futuro ● Cliente GTK para escrita de arquivos de regras ● Suporte a aviso fonado de ativação ● Contador de ativações (tickets) ● Interface de verdade

Dúvidas? Lie Time PHPConfBR

Php WatchDog

by Ricardo Coelho on Dec 01, 2009

Accessibility

Categories

Tags

Upload Details

Usage Rights

1 Embed 1

Statistics

Php WatchDog — Presentation Transcript