ви отримаєте: матеріали 1-го курсу з циклу 4-х (64 уроки)
Для кого:
- розширений курс для фахівців просунутого рівня по захисту операційної системи, що працює в якості хоста для контейнерів від однієї з найкращих освітніх платформ в світі-Linux Academy
- Це перший курс з циклу 4 курсів, присвячених захисту контейнерів. Мета курсу-навчити вас, як підготувати і зміцнити операційну систему, зробити її максимально захищеною до того, як ви почнете розгортати на ній контейнери.
- ви розглянете різні конфігурації і розберетеся, як використовувати механізми забезпечення безпеки в операційних системах для найкращого захисту і зміцнення нашої системи.
- У першій частині курсу дається інформація по firewalld і SELinux. firewalld-це інструмент у Linux, який використовується для управління iptables. Вам потрібен брандмауер, щоб ви могли контролювати, якому трафіку дозволено проходити, А який буде заборонено. Ви пройдете встановлення та правильне налаштування firewalld. Розгляньте основні команди firewalld і як їх застосовувати в залежності від зон, портів, сервісів та інших аспектів, що стосуються системи.
- дізнаєтеся про контроль трафіку, як дозволити трафік з одного IP на порт, як дозволити трафік зі списку IP-адрес (білі списки), як створювати список IP-адрес, доступ з яких ми хочемо заборонити (чорні списки) і багато іншого.
- після firewalld ви перейдете до SELinux. SELinux-це інструмент, який дозволяє точно контролювати доступ до файлів, елементів керування, процесів та інших речей у системі. Він дуже ефективний і використовується практично у всіх дистрибутивах на базі Red Hat. У цьому розділі ми обговоримо стани SELinux, контекст SELinux, Налаштування контексту.
- далі перейдете до корисних команд, які дозволять вам складати список заборонених портів і протоколів, поговоримо про перемикачах (booleans), мітках портів, модулях SELinux і логах. Обговоримо автоматичні скрипти для firewalld і SELinux.
- після детального розгляду основ firewalld і SELinux, ви перейдете до вивчення доступу до сервера і налаштування аутентифікації. На цьому етапі ви пограєте з доступом до системи. Для початку виконайте базову настройку шляхом зміни дефолтного порту для підключення по SSH. Додасте додаткові шари аутентифікації і створимо jump-сервер за аналогією з VPN через SSH. Ви дізнаєтеся, як налаштувати одночасну роботу різних методів аутентифікації: стандартну аутентифікацію на основі ключів, аутентифікацію на основі паролів, плюс третій шар аутентифікації, в якому ми інтегруємо Google Authenticator. Для входу на сервер буде вимагатися смартфон. Це значно покращить нашу безпеку, оскільки вкрай малоймовірно, що хтось зможе одночасно отримати доступ до ключа, смартфона та пароля.
- ви розберетеся з точками стрибків (jump points). Ви дізнаєтеся, що це таке і для чого вони використовуються. Точка стрибка-це місце, до якого ми підключаємося. Вона дозволяє нам підключатися до іншої частини нашої інфраструктури. Вони можуть значно поліпшити безпеку наших світять в світ серверів і серверів інфраструктури.
- Далі ви познайомитеся про seccomp (режим безпечних обчислень). Це дуже важливий інструмент, який ви будете використовувати разом з контейнерами. З його допомогою ви зможете правильно накласти деякі додаткові обмеження. Ви будете використовувати його для обмеження системних викликів. В цілому, він бере участь в ув'язненні процесу в "в'язницю" і обмежує, що можна зробити з самого процесу. Це дає вам можливість диктувати, що процес не може зробити.
- після роботи з seccomp ви перейдете до довгого розділу, присвяченого логінгу. Вивчіть вкрай корисні команди, які допомагають в навігації по дуже великим файлам логів. Розберетеся з системами сповіщень. А в заключній частині курсу дізнаєтеся про сканування на уразливості і звітах.
- firewalld
Порти і сервіси
Блокування пінгу
ipset, blacklist, whitelist
ipset, blacklist, redirect
Lockdown, Panic
- SELinux
Move, Copy, Create
Контексти SELinux
*
Налаштування контексту
Booleans
Мітки портів
Домени SELinux
Модулі SELinux
Логи SELinux
- первинне налаштування SSH
Порти і firewalld
- багатоетапна верифікація по SSH
Налаштування 3-х крокової верифікації для SSH-додавання аутентифікації на основі паролів
Налаштування 3-х крокової верифікації для SSH-Google Authenticator
- точка стрибка для SSH
Конфігурація сервера з контейнерами
SSH-тунель, SOCKS5
SOCKS5 Proxy
- Seccomp-безпечні обчислення
Перевірка стану seccomp з програми
Strace і системні виклики
Seccomp і обмеження коду
Виправлення проблем при обмеженні коду з seccomp
Аргументи командного рядка при обмеженні коду з seccomp
Виправлення проблем при обмеженні systemd з seccomp
- Логи
cat
Файли логів
Демон auditd: запуск, зупинка, перезапуск, перезавантаження, статус, правила і загальна інформація
Налаштування аудиту, Налаштування логування, службовий файл systemd
Правила для файлової системи
Правила для системних викликів
Виправлення проблем при налаштуванні аудиту
journalctl
- сповіщення
Сповіщення по SMS, AWS, LAMBDA
Сповіщення по SMS, AWS, виклики REST API
- сканування на уразливості і звіти
Автоматична відправка звітів по e-mail
https://privatelink.de/?https://linuxacademy.com/course/secure-container-host-operating-system/