File Share Security - administrator-tutorials

Dateifreigaben sind ein wesentlicher Bestandteil vieler Netzwerkumgebungen, sei es in kleinen Unternehmen oder großen Rechenzentren. Während die Konfiguration von Dateifreigaben unter Linux mit Tools wie Samba oder NFS relativ einfach ist, stellt die Sicherheit dieser Freigaben eine größere Herausforderung dar. Unzureichend gesicherte Freigaben können Angreifern den Zugang zu sensiblen Daten ermöglichen und das gesamte Netzwerk gefährden.

In diesem Beitrag werde ich erläutern, wie Sie Ihre Linux-Dateifreigaben sicher konfigurieren und Best Practices anwenden, um die Sicherheit zu gewährleisten.

1. Grundlagen der Dateifreigabe-Sicherheit

Bevor wir in die Details der Konfiguration einsteigen, sollten einige Grundprinzipien der Dateifreigabe-Sicherheit bekannt sein:

Minimale Rechtevergabe: Benutzer sollten nur auf die Dateien und Verzeichnisse zugreifen dürfen, die sie tatsächlich benötigen. Die Zuweisung unnötiger Rechte stellt ein Sicherheitsrisiko dar.
Benutzer- und Gruppenverwaltung: Die Zuweisung von Rechten auf Basis von Benutzerkonten und Gruppen ist ein effizientes Mittel, um Zugriff zu kontrollieren.
Verschlüsselung: Daten, die über das Netzwerk übertragen werden, sollten verschlüsselt sein, um Abhörversuche zu verhindern.
Protokollierung und Überwachung: Regelmäßiges Überwachen und Protokollieren von Zugriffsversuchen hilft, unbefugte Zugriffe frühzeitig zu erkennen.

2. Sicherheit bei Samba-Freigaben

Samba ist eine weit verbreitete Software, die es Linux-Systemen ermöglicht, mit Windows-Rechnern Dateien auszutauschen. Durch unsichere Samba-Freigaben können jedoch leicht Angriffe durchgeführt werden. Hier sind einige Maßnahmen, um Samba sicher zu konfigurieren.

Schritt 1: Benutzerbasierte Freigaben

Eine der besten Methoden, um den Zugriff zu sichern, besteht darin, Benutzerkonten zu verwenden. Jeder Benutzer sollte ein eigenes Samba-Konto haben.

Neuen Samba-Benutzer erstellen:

sudo smbpasswd -a username

In der Samba-Konfigurationsdatei (/etc/samba/smb.conf) können Sie spezifische Freigaben auf Benutzer einschränken:

[SichererOrdner]
path = /srv/sicherer_ordner
valid users = username
read only = no
browseable = no

valid users: Beschränkt den Zugriff auf spezifische Benutzer.
browseable = no: Die Freigabe ist im Netzwerk nicht sichtbar, was zusätzliche Sicherheit bietet.

Schritt 2: Verschlüsselung aktivieren

Samba unterstützt die Verschlüsselung des Datenverkehrs, um zu verhindern, dass Daten während der Übertragung abgefangen werden.

In der Datei /etc/samba/smb.conf können Sie die Verschlüsselung aktivieren, indem Sie den folgenden Parameter hinzufügen:

server signing = mandatory

Dies stellt sicher, dass alle Datenübertragungen zwischen dem Server und den Clients digital signiert und verschlüsselt werden.

Schritt 3: Netzwerkzugriff beschränken

Um zu verhindern, dass unautorisierte Benutzer aus anderen Netzwerken auf Ihre Freigaben zugreifen, können Sie den Zugriff auf bestimmte IP-Adressen beschränken. Fügen Sie in der Konfiguration folgendes hinzu:

hosts allow = 192.168.1.0/24
hosts deny = 0.0.0.0/0

Mit diesen Einstellungen wird nur das lokale Netzwerk (192.168.1.0/24) Zugriff erhalten.

3. Sicherheit bei NFS-Freigaben

NFS (Network File System) wird häufig in Unix- und Linux-Umgebungen eingesetzt. Während NFS in leistungsorientierten Umgebungen sehr nützlich ist, erfordert es zusätzliche Sicherheitsvorkehrungen, um unbefugte Zugriffe zu verhindern.

Schritt 1: Einschränken des Zugriffs auf spezifische IPs

In der Konfigurationsdatei /etc/exports können Sie genau festlegen, welche IP-Adressen auf die Freigabe zugreifen dürfen. Hier ein Beispiel:

/srv/nfs 192.168.1.100(rw,sync,no_subtree_check)

rw: Erlaubt Lese- und Schreibzugriff.
sync: Stellt sicher, dass alle Änderungen sofort auf die Festplatte geschrieben werden.
no_subtree_check: Verhindert unnötige Prüfungen, was die Performance erhöht, aber ohne dies könnte ein Angreifer versuchen, über Symbolische Links auf Bereiche außerhalb des freigegebenen Verzeichnisses zuzugreifen.

Schritt 2: NFS über eine VPN-Verbindung

NFS selbst verschlüsselt die Daten nicht. Es ist daher ratsam, die Verbindung über ein virtuelles privates Netzwerk (VPN) zu leiten. Auf diese Weise wird der gesamte Datenverkehr verschlüsselt, was die Sicherheit erheblich erhöht.

Schritt 3: Root-Squashing aktivieren

NFS bietet eine Funktion namens Root-Squashing, die verhindert, dass ein Remote-Client als Root auf die Freigaben zugreift. Dies schützt vor Root-Rechten, die lokal auf dem Client-Rechner bestehen, aber nicht auf den NFS-Server übertragen werden sollen.

In der Datei /etc/exports können Sie dies so konfigurieren:

/srv/nfs 192.168.1.100(rw,sync,no_root_squash)

Das no_root_squash-Flag sollte nicht verwendet werden, es wird nur zu Testzwecken gezeigt. Standardmäßig ist root_squash aktiviert, was empfohlen ist.

4. Protokollierung und Überwachung

Die Protokollierung und Überwachung von Netzwerkzugriffen ist eine wichtige Komponente der Sicherheitsstrategie.

Samba-Protokollierung

Samba bietet integrierte Protokollierungsfunktionen. Sie können die Protokollierung in der Datei /etc/samba/smb.conf konfigurieren:

log level = 1
log file = /var/log/samba/log.%m

Hiermit wird eine einfache Protokollierung von Verbindungen aktiviert. Sie können den Wert von log level erhöhen, um detailliertere Informationen zu erhalten.

NFS-Protokollierung

Für NFS können Sie das allgemeine Syslog verwenden, um Verbindungsversuche zu überwachen. Konfigurieren Sie dies in der Datei /etc/syslog.conf oder /etc/rsyslog.conf, indem Sie die NFS-bezogenen Nachrichten an eine separate Datei weiterleiten.

5. Firewalls und Netzwerksegmentierung

Eine Firewall ist unerlässlich, um den unautorisierten Netzwerkzugriff auf Dateifreigaben zu verhindern.

UFW (Uncomplicated Firewall) für Samba:

sudo ufw allow from 192.168.1.0/24 to any port 137,138,139,445

UFW für NFS:

sudo ufw allow from 192.168.1.0/24 to any port 2049

Außerdem sollten Sie den Datenverkehr von Dateifreigaben in separate Netzwerksegmente (VLANs) isolieren, um den Zugriff weiter einzuschränken.

Fazit

Die Sicherung von Dateifreigaben unter Linux erfordert eine durchdachte Kombination aus Zugriffssteuerung, Verschlüsselung und Protokollierung. Durch den Einsatz von Benutzer- und Gruppenrechten, Netzwerkzugriffslisten und der richtigen Konfiguration der Protokolle (Samba oder NFS) können Sie sicherstellen, dass nur autorisierte Benutzer auf Ihre freigegebenen Dateien zugreifen können. Vergessen Sie nicht, die Verbindung zu verschlüsseln und Zugriffsversuche zu überwachen, um ein Höchstmaß an Sicherheit zu gewährleisten.