blogoverflow.de
Hetzner - pfsense - Client Einrichtung
- Details
- Geschrieben von: root
- Kategorie: Netzwerke
- Zugriffe: 12
Ein öffentlich im Internet erreichbarer Server birgt Risiken: offene Ports sind ein Einfallstor für Attacken etwa von Botnetzen. Mangelhaft gepflegte Software oder falsch eingerichtete Dienste, die aus dem Internet erreichbar sind, führen zu weiteren Problemen. Um sich in solchen Szenarien sicher schützen zu können, bietet sich eine Firewall an, welche richtig konfiguriert, die erste Hürde für Angreifer darstellt. Hinter der Firewall können dann die Dienste laufen, die man den Netzteilnehmern zur Verfügung stellen will.
In unserem Fall dient eine pfSense als Firewall, welche zuerst die Anfragen aus dem Internet entgegen nimmt. Die Konfigurationsseite selbst in nicht aus dem Internet zugänglich. Erst hinter dieser Firewall befindet sich ein Client, welcher sich im selben Subnetz befindet und nur intern erreichbar ist. Über ein eingerichtetes NAT ist dieser dann in der Lage, die Anfragen von der Firewall zu beantworten. Der Client dient auch dazu auf die GUI der Firewall zuzugreifen um dessen Konfiguration anzupassen. Dazu wird kurzerhand eine Desktop Umgebung eingerichtet.
Synology Monitoring mit Grafana
- Details
- Geschrieben von: root
- Kategorie: Netzwerke
- Zugriffe: 11
Nachdem ich eine halbe Ewigkeit nach einer Lösung zum Monitoring meiner Synology gesucht habe, steht nun das Ergebnis. Es geht! Mein anfängliches Bemühen ein Monitoring aufzubauen, dass auf dem bekannten Dreigespann aus Telegraf, InfluxDB und Grafana basiert ist leider gescheitert. Viele der kursierenden Anleitungen hierzu sind leider nicht praktikabel und schlecht umzusetzen. Auch ist es so, dass die Implementierung fast ausschließlich den Einsatz von Docker voraussetzt. Viele der Synology Geräte, gerade im Einsteigerbereich unterstützen aber keine Dockerinstanzen. Ich Idee also auf den vorhandenen SNMP Dienst der Synology zurückzugreifen, der seine Daten in eine InfluxDB Datenbank schreibt, ist so leider nicht umsetzbar gewesen. Umso mehr überraschte mich eine Alternative, welche mir ein Programm namens Node Exporter bot. Das in vielen Prozessorarchitekturen zur Verfügung stehende Programm wird auf den zu überwachenden Klienten installiert, dessen Daten anschließend über eine Schnittstelle zu Verfügung gestellt wird. Abgegriffen werden die Daten mittels eines zweiten Programms namens Prometheus, welches zudem gleichzeitig als Datenbank dient. Im letzten Schritt erfolgt die Auswertung der Daten über Grafana, welches mächtige Instrumente zur graphischen Auswertung gleich mitbringt. Die Installation der beiden Komponenten Prometheus und Grafana verläuft über eine Docker Instanz, die von einem Raspberry zur Verfügung gestellt wird. Die Installation des Node Exporters erfolgt eigenständig ohne Containernutzung auf der Synology. Praktischerweise erlaubt Synology auch die Erzeugung von Aufgaben mittels eines Aufgabenplaners. Ein dort hinterlegtes Shellskript startet je nach Bedarf den Node Explorer.
Mailserver mit Mailcow und Docker einrichten
- Details
- Geschrieben von: root
- Kategorie: Netzwerke
- Zugriffe: 26
Die Email ist eine der ältesten Kommunikationsformen im Internet. Im Laufe der Zeit haben sich unterschiedliche Technologien entwickelt, welche die Kommunikation per email sicherer und einfacher gestalten lassen. So entstanden Verschlüsselungstechniken und Methoden zur besseren Authentifizierung, welche dazu dienen, den Versand kompromittierter und betrügerischer Emails zu unterbinden. Trotzdem verläuft nach wie vor ein Großteil der Kommunikation zwischen Mailservern über unverschlüsselte Protokolle.
Will man ein eigenen Mailserver betreiben, so ist zumindest eine Komponente im Emailverkehr im eigenen Verantwortungsbereich. Das bedeutet aber auch, dass die Sicherheit des Mailservers maßgeblich von einer ordnungsgemäßen Konfiguration abhängig ist. Werden alle empfohlenen Einstellungen, die einem zur Verfügung stehen, genutzt, lässt sich ein Mailserver relativ sicher betrieben.
Besonders wichtig beim Betrieb eines Mailservers sind die Einträge im DNS System. Neben den Standardeinträgen sind dort auch Einträge vorzunehmen, welche die Sicherheit beim Betrieb eines Mailservers garantieren. Dazu gehören DNS-Einträge wie SPF, DKIM und DMARC. Sind alle Records gesetzt, dauert es meist 24 Stunden bis alle Einträge bei den DNS Servern hinterlegt sind. Nach erfolgreicher Eingabe der Daten kann die Installation unseres Mailserver, in unserem Fall Mailcow, begonnen werden.
CTF - Challenges - Hackathon
- Details
- Geschrieben von: root
- Kategorie: Penetration Testing
- Zugriffe: 2
Im folgenden Beitrag spielen wir wieder einmal ein Walkthrough durch. Die zugrundeliegende VM besitzt den Namen HackathonCTF. Ziel ist es, root Rechte am Zielsystem zu erlangen. Der Schwierigkeitsgrad dieser Challenge ist als leicht einzustufen.
Reconnaissance:
- Zu Beginn müssen wir in Erfahrung bringen, welche IP Adresse unser Zielsystem hat. Da netdiscover oftmals nicht die gewünschten Resultate liefert, nutzen wir die Ping Funktion von nmap. Der entsprechende Befehl lautet wie folgt:
sudo nmap -sn 10.0.2.1/24
Die Option -sn erlaubt es uns, einen einfachen Ping durchzuführen und gleichzeitig die Portscanfunktion deaktivieren.
Portscanning / Vulnerability Scanning -
Als nächsten Schritt führen wir einen Portscan mit der im vorherigen Schritt ermittelten IP-Adresse durch. Die Option -A ist gleichbedeutend mit der Option -sV und bedeutet, dass ein aggressiverer Scan samt Versionsbestimmung und weiterer Optionen durchgeführt wird.
Seite 2 von 2