How to: Beveiliging onder Linux

Firewall

Firewall

Ubuntu heeft een ingebouwde firewall, deze heet IPTables en is meteen de enige Firewall die beschikbaar is voor Ubuntu. Er zijn echter een hoop verschillende programma’s die gebruik maken van IPTables. Ik zal er hier een aantal toelichten.

Firestarter

Firestarter is waarschijnlijk de bekendste firewall GUI voor Ubuntu. Hoewel ik van plan was hier een heel verhaal over te schrijven, kwam ik er achter dat het niet zo’n hele goede GUI is om IPTables in te stellen. Het project ligt al een tijdje stil, het crasht als je voor de optie vergrendelen kiest (alleen het opnieuw opstarten van de computer helpt) en het zorgt er niet voor dat je firewall automatisch opstart bij een reboot.

Gaurddog

Vroeger werd Guarddog vooral op andere distributies van Linux gebruikt, maar door de afnemende populariteit van Firestarter en de vele mogelijkheden van Guarddog wordt deze GUI steeds populairder. Omdat Guarddog zo uitgebreid is, wordt het afgeraden om met Guarddog te gaan werken, omdat de kans groot is dat je door de bomen het bos niet meer ziet.

Guarddog laat zich installeren via het terminalvenster door dit commando in te typen:
Zodra Guarddog is geïnstalleerd, kun je via het terminalvenster gksu guarddog intypen, omdat je anders niet genoeg rechten hebt om de firewall aan te passen. De eerste keer krijg je een waarschuwing te zien waarin staat dat hij geen database kan vinden, maar dit klopt want het programma is nog nooit opgestart. Eenmaal in Guarddog zelf krijg je nogmaals een waarschuwing, met de mededeling dat het programma pas gestart wordt op het moment dat je op OK of Apply drukt. Druk niet meteen op Apply, want vanaf dat moment heb je geen verbinding meer met het internet.

Om ervoor te zorgen dat je je computer helemaal buitensluit, maar nog wel vervinding hebt met internet ga je naar het tabje "Protocol" en zorg je ervoor dat je "Internet" geselecteerd hebt. Ga nu aan de rechterkant helemaal naar onderen en druk op het plusje bij "Netwerk". Zet een vinkje bij "DNS – Domain Name Server". Ook bij "Bestandsoverdracht" -> "HTTP – World Wide Web" moet je een vinkje zetten. Als je nu op Apply drukt wordt alles geblokkeerd, maar heb je nog wel verbinding met internet.

Voor thuisgebruik is het verder verstandig om ook FTP, POP3, SMTP, en MSN Messenger te selecteren. FTP wordt gebruikt om bestanden te up- en downloaden. POP3 gebruik je op het moment dat je een mailtje stuurt. SMTP wordt gebruikt bij het ontvangen van mailtjes. MSN Messenger is de algemene poort voor alle programma’s die overweg kunnen met het MSN Messenger-netwerk.

Het begin van je configuratie is nu gemaakt. Guarddog beschikt over de mogelijkheid om deze configuratie te exporteren naar een bestand. Dit doe je door naar het tabje Geavanceerd te gaan. Aan de rechterkant zie je een wit invulvlak waar je de eigenschappen van je configuratie kunt invullen. Deze worden meegeschreven naar je back-up. Druk nu op "Exporteren" en kies een gewenste naam en opslagplaats. Op het moment dat je te veel wijzigingen hebt gemaakt en door de bomen het bos niet meer ziet kun je heel simpel weer op "Importeren" drukken.

Maar deze functie is nog veelzijdiger. Als je jouw computer als server gebruikt, staan er vaak specifieke poorten open om je server draaiende te houden. Als je al die poorten heb ingesteld exporteer je jouw configuratie. Als je server overhoop ligt en je moet zonder nadenken je hele computer veiligstellen door alle poorten dicht te gooien, wil je niet een half uur bezig zijn met het opschrijven van de juiste poorten die weer open moeten. Je drukt nu simpelweg op "Terug naar fabrieksinstellingen" onder het tabje Geavanceerd en past de wijziging toe. Alle poorten zijn nu weer gesloten. Als je alles gerepareerd/aangepast hebt, importeer je je server configuratie weer en alles draait weer.

Ook beschikt Guarddog over de mogelijkheid om "Zones" te maken. Een zone zorgt er in feite voor dat bepaalde IP-adressen apart toegankelijk zijn, waardoor een potentiële hacker niet verder kan komen dan alleen de onderdelen die zich in die betreffende zone bevinden. Een kort voorbeeld. Stel, je maakt een aparte zone voor je mail.

In het midden kies je voor "Nieuw adres". Vul hier de mailserver gegevens van je ISP in. Ik heb ze van HetNet gebruikt, omdat ik die toevallig ken. Aan de rechterkant vink je "Lokaal" aan, omdat je niet wilt dat de zone direct contact met het internet maakt. Nu ga je naar het tabje protocol en selecteer je aan de linkerkant de groep "Mail".

Aan de rechterkant zet je nu vinkjes bij POP2, POP3 en SMTP. Vanzelfsprekend moet je ze bij Internet wel weer uitvinken, anders heeft de beveiliging geen zin. Dat zou hetzelfde zijn als een nieuwe deur met een nieuw slot kopen, maar de oude deur ernaast gewoon open laten staan.

Dan is er nog het tabje Geavanceerd. Hier kun je de poorten die niet in de standaardlijst met protocollen staan zelf toevoegen. Klik hiervoor op de knop "Nieuw protocol". Je krijgt nu de mogelijkheid om de naam van de poort (beschrijving) in te geven en vervolgens te selecteren of het een TCP (Transmission Control Protocol) of een UDP (User Datagram Protocol) poort is. Het verschil tussen die twee is dat UDP onbetrouwbaarder is, maar wel sneller is. Het wordt daarom vooral voor actiespellen, videogesprekken en DNS gebruikt. Daarna kun je de gewenste poort invullen.

Als je meer wilt weten over het instellen van Guarddog, kun je kijken in de gebruiksaanwijzing.

Lokkit

Lokkit is een programmaatje dat speciaal geschreven is voor de huis-, tuin- en keukengebruiker van Linux. Het is een simpel textbased programma, wat wil zeggen dat het in het terminalvenster draait en heeft weinig instellingen.

Je installeert Lokkit in het terminalvenster met het commande Hierna is het op te starten door "sudo lokkit" als commando te gebruiken. Hier dus geen gksu, want Lokkit heeft geen GUI. Als je het programma opstart zie je meteen dat de mogelijkheden beperkt zijn. Je kunt kiezen uit een hoge, lage of geen beveiliging. In het tweede scherm kun je een paar uitzonderingen aankruisen en er zelf een aantal toevoegen.

Voor diegene die toch liever een grafische interface ziet, is er ook het programma gnome-lokkit. Dit is te installeren via het commando:
Opstarten gaat via het terminalvenster door het volgende in te typen: Er worden nu een aantal vragen gesteld, zonder de mogelijkheid om zelf een afwijkend antwoord te geven. Je zorgt er op deze manier wel voor dat je makkelijk en snel tegen de gemiddelde hacker beschermd bent.