Kullanılması /conf/crontabdlawson belirttiği gibi, benim için mükemmel bir fikir gibi geliyor. Bu, http ve ssh dışında her şeyin kapatılmasını sağlayan bir komut dosyasını dakikada bir çalıştırmamı sağlıyor:
/etc/init.d/cdserver stop
/etc/init.d/fdserver stop
/etc/init.d/cim_sfcb stop
/etc/init.d/webgo stop
Bu hala beni şifre tabanlı erişim kontrolü olan bir web sunucusuna bırakıyor (istemci sertifikalarını doğrulatmanın bir yolunu göremiyorum) ve hangi uzak güvenlik açıklarını bilen. Kullanmadığımda kapatmak (çoğu zaman) makul bir çözüm gibi görünüyor; beş veya on dakikada bir kapatmak için bir crontab girişi eklemek, birisinin bittiğinde kapatmayı unuttuğu durumları yakalar.
Ssh arka plan programı, oldukça yoğun bir şekilde değiştirilmiş gibi görünen bir dropbear sürümüdür . Kullanıcı adını ve düz metin parolaları /conf/PMConfig.dat(web sunucusu tarafından da kullanılır) okur , kök kullanıcı olarak geçerli herhangi bir ad ve parolayla oturum açar ve ~/.ssh/authorized_keysdosyayı yok sayar . Bu son sorun sinir bozucu; sizi şifre girişlerine izin vermeye zorlar ve adlarını ve şifrelerini nereden aldığına bağlı olarak arka kapı olasılığını açar.
Yani karşılaştığınız ikilem bu: Güvenlik açısından saf geliştiriciler tarafından oldukça açık bir şekilde tasarlanmış bir sisteme kurulmuş olan bu modifiye ssh daemon'a gerçekten ne kadar güveniyorsunuz? Çok fazla değil, kabuk senaryolarında gördüğüm kırık parça bitleri göz önüne alındığında. Olağandışı adlandırma kuralları (/etc/rc?.d/sshd, /etc/init.d/ssh) için bir simge bağlantısı, kullanılmayan büyük miktarda kod ve yalnızca ssh başlangıç komut dosyasında bulunan özellikler gibi /conf/portcfg_sshdosya ve hatta restartkomut tamamen kırılır. (Bunları kullanmayı denemeyin; sshd yeniden başlatılmaz ve mevcut bir girişiniz yoksa vidalanırsınız. BMC'yi yeniden başlattık ve yeniden yanıtlamak zorunda kaldık.)
Düşünebileceğim en iyi seçenek, eğer bir şey hiç kullanacaksa, bir cron işi kullanarak alternatif bir bağlantı noktasında ssh'yi başlatmaktır, bu yüzden en azından bir Portscan'da görünme olasılığı daha azdır.
Son bileşen IPMI ağ yönetimi bağlantı noktalarıdır; Bunları nasıl kapatacağımı göremiyorum.