BSD-FAQ-it
Indietro | Capitolo 10. Il Firewalling e FreeBSD | Avanti

# 10.2. Modificare il file /etc/rc.conf

Una macchina FreeBSD appena installata generalmente esegue come default tre applicazioni di rete

1. Openssh per la gestione remota del sistema

2. Sendmail come relay per l'inltro dei messaggi di elettronica

3. Syslog per la gestione e l'archiviazione dei log di sistema

Di seguito vediamo come disabilitare queste applicazioni senza intaccare le funzionalità del sistema stesso. Modificando come segue il file /etc/rc.conf bloccheremo l'esecuzione del demone sendmail e sshd

    sendmail_enable="NONE"
    sshd_enable="NO"

Sempre modificando il file /etc/rc.conf potremmo abilitare il demone del syslogd alla sola registrazione degli eventi del sistema locale (localhost). Come default Il demone del syslog di FreeBSD, grazie al protocollo UDP, consente la registrazione gli eventi di sistema anche per le altre macchine della rete.

    syslogd_enable="YES"
    syslogd_flags="-ss"

Nel caso si disponga di un sistema che esegue il logging centralizzato è anche possibile specificare al demone syslogd di accettare l'invio dei messaggi anche da alcuni host remoti

    syslogd_flags="-a 192.168.1.0/24 -a *.merlinobbs.net"

In alcuni casi è consigliabile verificare che non vi sia in esecuzione il servizio dell'inetd

    inetd_enable="NO"

Il servizio dell'inetd viene comunemente utilizzato per controllare alcuni servizi di sistema come il demone del telnetd oppure il demone del pop3. Il demone telnetd, nel tempo, è stato sostituito dal demone sshd(Secure Shell) che utilizza la crittografia per rendere il transito dei dati sicuro, mentre il demone del pop3 da accesso agli utenti remoti e consente la consultazione ed il download dei messaggi di posta elettronica. Nel caso in cui sia necessario utilizzare il servizio dell'inetd il file /etc/rc.conf deve contenere questa linea

    inetd_enable="YES"

Dato corso alle modifiche sinora consigliate, compresa la disattivazione del servizio inetd, la nostra macchina FreeBSD non dovrebbe più eseguire alcun demone, quindi nessuna applicazione che utilizza il protocollo TCP o UDP dovrebbe essere attiva. Per maggiore sicurezza è comunque sempre una norma verificare la situazione accertandosi dell'esistenza di eventuali ``socket'' grazie al comando sockstat

    [root@relay root]# sockstat -4
    USER     COMMAND    PID   FD PROTO  LOCAL ADDRESS         FOREIGN ADDRESS

un'altro sistema per verificare l'esistenza di eventuali programmi in ascolto è quello di utilizzare l'utility netstat

    [root@picard root]# netstat -a | grep LISTEN

Per migliorare ancora di più la sicurezza del sistema si possono suggerire altre modifiche da apportare al file /etc/rc.conf. Nel caso in cui si vogliano registrare tutte le scansioni remote e tutti i tentativi di accesso alle porte chiuse del sistema potrà essere utilizzata questa entry

    log_in_vain="YES"

un'altra opzione molto interessante offerta da FreeBSD è la possibilità di effettuare il system accounting quindi registrare delle informazioni statatistiche relative sia ai comandi utilizzati che alle attività svolte dagli utenti, le informazioni verranno memorizzate nella directory /var/account e per visualizzare le informazioni potremmo successivamente ricorrere alle utility sa e lastcomm

    accounting_enable="YES"

ripulire la directory /tmp all'avviamento del sistema, in alcuni casi, può essere una buona idea

    clear_tmp_enable="YES"

un attacker si può servire di diverse tecniche per ottenere informazioni su un sistema remoto, il maleintenzionato potrebbe inviare dei pacchetti ``speciali'' verso un nostro server e ottenere alcune informazioni relativamente al tipo di sistema operativo utilizzato

    tcp_drop_synfin="YES"

Questa opzione da attivare in /etc/rc.conf è RFC compliance e non deve essere utilizzata su una macchina che esegue un web server

Indietro | Partenza | Avanti
Il Firewalling e FreeBSD | Risali | Utilizziamo il file /etc/inetd.conf