10 modi per proteggere il tuo server Samba su Linux

Il protocollo SMB (Server Message Block) è una pietra angolare della condivisione di file e stampanti negli ambienti connessi. Tuttavia, la configurazione predefinita di Samba può comportare notevoli rischi per la sicurezza, lasciando la rete vulnerabile ad accessi non autorizzati e attacchi informatici.

Se stai ospitando un server Samba, devi essere particolarmente cauto con le configurazioni che hai impostato. Ecco 10 passaggi fondamentali per garantire che il tuo server PMI rimanga sicuro e protetto.

1. Abilita la crittografia per il traffico SMB

Per impostazione predefinita, il traffico SMB non è crittografato. Puoi verificarlo acquisendo i pacchetti di rete con tcpdump o Wireshark. È fondamentale crittografare tutto il traffico per impedire a un utente malintenzionato di intercettarlo e analizzarlo.

Ti consigliamo di configurare Transport Layer Security (TLS) per crittografare e proteggere il traffico del tuo server Linux Samba.

È necessario implementare controlli di accesso e autorizzazioni rigorosi per garantire che gli utenti connessi non siano in grado di accedere a risorse non richieste. Samba utilizza un file di configurazione centrale/etc/samba/smb.confche consente di definire regole di accesso e permessi.

Utilizzando una sintassi speciale, è possibile definire le risorse da condividere, gli utenti/gruppi a cui concedere l'accesso a tali risorse e se le risorse possono essere esplorate, scritte o lette. Ecco la sintassi di esempio per dichiarare una risorsa e implementare i controlli di accesso su di essa:

 [sambashare]
comment= Samba Example
path = /home/your_username/sambashare
browseable = yes
writable = yes
valid users = @groupname
 

Nelle righe precedenti aggiungiamo una nuova posizione di condivisione con un percorso e con utenti validi limitiamo l'accesso alla condivisione a un solo gruppo. Esistono molti altri modi per definire i controlli e l'accesso a una condivisione. Puoi saperne di più dalla nostra guida dedicata su come configurare una cartella condivisa in rete su Linux con Samba.

3. Utilizza password complesse e univoche per gli account utente PMI

L'applicazione di robuste policy relative alle password per gli account utente delle PMI è una best practice fondamentale per la sicurezza. In qualità di amministratore di sistema, dovresti creare o invitare tutti gli utenti a creare password complesse e univoche per i propri account.

Puoi anche accelerare questo processo generando automaticamente password complesse utilizzando gli strumenti. Facoltativamente, puoi anche ruotare regolarmente le password per mitigare il rischio di perdite di dati e accesso non autorizzato.

4. Aggiorna regolarmente Linux e Samba

La forma più semplice di difesa passiva contro tutti i tipi di attacchi informatici è garantire l'esecuzione di versioni aggiornate del software critico. Le PMI sono soggette a vulnerabilità. È sempre un obiettivo redditizio per gli aggressori.

In passato si sono verificate numerose vulnerabilità critiche per le PMI che hanno portato al completo controllo del sistema o alla perdita di dati riservati. È necessario mantenere aggiornati sia il sistema operativo che i servizi critici su di esso.

5. Evitare di utilizzare il protocollo SMBv1

SMBv1 è un protocollo non sicuro. Ogni volta che si utilizza SMB, sia su Windows che Linux, è sempre consigliabile evitare di utilizzare SMBv1 e utilizzare solo SMBv2 e versioni successive. Per disabilitare il protocollo SMBv1, aggiungi questa riga al file di configurazione:

 min protocol = SMB2 

Ciò garantisce che il livello minimo di protocollo in uso sia SMBv2.

6. Applicare le regole del firewall per limitare l'accesso alle porte SMB

Configura il firewall della tua rete per consentire l'accesso alle porte SMB, generalmente la porta 139 e la porta 445, solo da fonti attendibili. Ciò aiuta a prevenire l'accesso non autorizzato e riduce il rischio di attacchi basati sulle PMI da parte di minacce esterne.

Dovresti anche considerare l'installazione di una soluzione IDS insieme a un firewall dedicato per avere un migliore controllo e registrazione del traffico. Non sei sicuro di quale firewall utilizzare? Potresti trovarne uno adatto a te dall'elenco dei migliori firewall Linux gratuiti da utilizzare.

7. Implementare la segmentazione della rete per isolare il traffico PMI dalle reti non attendibili

La segmentazione della rete è la tecnica di divisione di un singolo modello monolitico di una rete di computer in più sottoreti, ciascuna denominata segmento di rete. Questo viene fatto per migliorare la sicurezza, le prestazioni e la gestibilità della rete.

Per isolare il traffico SMB dalle reti non attendibili, puoi creare un segmento di rete separato per il traffico SMB e configurare le regole del firewall per consentire solo il traffico SMB da e verso questo segmento. Ciò ti consente di gestire e monitorare il traffico delle PMI in modo mirato.

Su Linux, puoi utilizzare iptables o uno strumento di rete simile per configurare le regole del firewall per controllare il flusso di traffico tra i segmenti di rete. Puoi creare regole per consentire il traffico SMB da e verso il segmento di rete SMB bloccando tutto il resto del traffico. Ciò isolerà efficacemente il traffico PMI dalle reti non attendibili.

8. Monitorare i registri SMB per attività sospette e incidenti di sicurezza

Il monitoraggio dei registri SMB per attività sospette e incidenti di sicurezza è una parte importante del mantenimento della sicurezza della rete. I registri SMB contengono informazioni sul traffico SMB, inclusi accesso ai file, autenticazione e altri eventi. Monitorando regolarmente questi registri, puoi identificare potenziali minacce alla sicurezza e mitigarle.

Su Linux, puoi utilizzare il comando journalctl e reindirizzare il suo output al comando grep per visualizzare e analizzare i log SMB.

 journalctl -u smbd.service 

Verranno visualizzati i registri per ilservizio.smbdunità responsabile della gestione del traffico SMB. Puoi usare il-Fopzione per seguire i log in tempo reale o utilizzare il file-Ropzione per visualizzare prima le voci più recenti.

Per cercare nei log eventi o modelli specifici, reindirizzare l'output del comando journalctl a grep. Ad esempio, per cercare tentativi di autenticazione non riusciti, eseguire:

 journalctl -u smbd.service | grep -i "authentication failure" 

Verranno visualizzate tutte le voci di registro che contengono il testo "errore di autenticazione", consentendoti di identificare rapidamente qualsiasi attività sospetta o tentativo di forza bruta.

9. Limitare l'uso dell'accesso ospite e delle connessioni anonime

L'abilitazione dell'accesso ospite consente agli utenti di connettersi al server Samba senza fornire nome utente o password, mentre le connessioni anonime consentono agli utenti di connettersi senza fornire alcuna informazione di autenticazione.

Entrambe queste opzioni possono rappresentare un rischio per la sicurezza se non gestite correttamente. Si consiglia di disattivarli entrambi. Per fare ciò è necessario aggiungere o modificare un paio di righe nel file di configurazione di Samba. Ecco cosa devi aggiungere/modificare nella sezione globale del filesmb.conffile:

 map to guest = never
restrict anonymous = 2 

10. Implementare le restrizioni basate sull'host

Per impostazione predefinita, qualsiasi host (indirizzo IP) può accedere a un server Samba esposto senza restrizioni. Per accesso si intende stabilire una connessione e non accedere letteralmente alle risorse.

Per consentire l'accesso a host specifici e negare il riposo, è possibile utilizzaregli host lo consentonoEi padroni di casa neganoopzioni. Ecco la sintassi da aggiungere al file di configurazione per consentire/negare gli host:

 hosts allow = 127.0.0.1 192.168.1.0/24
hosts deny = 0.0.0.0/0 

Qui stai comandando a Samba di negare tutte le connessioni tranne quelle dell'host locale e della rete 192.168.1.0/24. Questo è uno dei modi fondamentali per proteggere anche il tuo server SSH.

Linux è ottimo per ospitare server. Tuttavia, ogni volta che hai a che fare con i server, devi procedere con cautela ed essere estremamente consapevole poiché i server Linux sono sempre un obiettivo redditizio per gli autori delle minacce.

È fondamentale che tu faccia uno sforzo sincero per rafforzare la tua rete e rafforzare i tuoi server Linux. Oltre a configurare correttamente Samba, ci sono alcune altre misure che dovresti adottare per garantire che il tuo server Linux sia al sicuro dal mirino degli avversari.