Советы по безопасности в Linux - История изменений

Misha: Отмена правки 3212, сделанной участником Misha (обс.)

2013-03-05T13:18:51Z

Отмена правки 3212, сделанной участником Misha (обс.)

← Предыдущая версия		Версия от 16:18, 5 марта 2013
Строка 3:		Строка 3:
	Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html \| http://gazette.linux.ru.net]<br />		Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html \| http://gazette.linux.ru.net]<br />
	В этой статье я, на примере RedHat Linux, объясню, как усилить безопасность вашей Linux-машины, проведя базовую настройку безопасности системы. Прочитав статью, любой сможет "уплотнить оборону" Linux.		В этой статье я, на примере RedHat Linux, объясню, как усилить безопасность вашей Linux-машины, проведя базовую настройку безопасности системы. Прочитав статью, любой сможет "уплотнить оборону" Linux.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Безопасность BIOS===		===Безопасность BIOS===
	Всегда устанавливайте на BIOS пароль для запрета изменения установок и запрещайте загрузку с дискеты. Это заблокирует попытку загрузить систему со специального загрузочного диска и защитит вас от людей, пытающихся изменить настройки BIOS: возможность загрузки с дискеты или загрузка сервера без запроса пароля.		Всегда устанавливайте на BIOS пароль для запрета изменения установок и запрещайте загрузку с дискеты. Это заблокирует попытку загрузить систему со специального загрузочного диска и защитит вас от людей, пытающихся изменить настройки BIOS: возможность загрузки с дискеты или загрузка сервера без запроса пароля.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Безопасность LILO===		===Безопасность LILO===
Строка 48:		Строка 40:

	Для дополнительной информации о безопасности и lilo читайте мою [http://www.linux4biz.net/articles/ \| статью.]		Для дополнительной информации о безопасности и lilo читайте мою [http://www.linux4biz.net/articles/ \| статью.]


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Отключите все специальные учётные записи ===		===Отключите все специальные учётные записи ===
Строка 60:		Строка 48:
	Для удаления группы:		Для удаления группы:
	<pre>[root@kapil /]# groupdel lp</pre>		<pre>[root@kapil /]# groupdel lp</pre>


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Выбирайте правильный пароль===		===Выбирайте правильный пароль===
Строка 74:		Строка 58:

	Файл "login.defs" -- конфигурационный файл для программы login.		Файл "login.defs" -- конфигурационный файл для программы login.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Включите поддержку теневых паролей ===		===Включите поддержку теневых паролей ===
	Включите возможность использования теневых [shadow] паролей. Для включения поддержки теневых паролей в вашей системе можно использовать утилиту "/usr/sbin/authconfig". Если хотите конвертировать существующие пароли и группы в теневые, то используйте команды pwconv, grpconv соответственно (Сейчас во многих дистрибутивах, например в дистрибутивах от ALT Linux используется еще более "жесткая" схема защиты паролей, чем shadow -- tbc. прим. ред.).		Включите возможность использования теневых [shadow] паролей. Для включения поддержки теневых паролей в вашей системе можно использовать утилиту "/usr/sbin/authconfig". Если хотите конвертировать существующие пароли и группы в теневые, то используйте команды pwconv, grpconv соответственно (Сейчас во многих дистрибутивах, например в дистрибутивах от ALT Linux используется еще более "жесткая" схема защиты паролей, чем shadow -- tbc. прим. ред.).


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Учётная запись root'а ===		===Учётная запись root'а ===
Строка 92:		Строка 68:

	Значение, указанное в переменной "TMOUT" в секундах -- это один час (60*60=3600). Если указать эту строку в "/etc/profile", то консоль любого пользователя системы автоматически закроется после часа отсутствия активности. В файле "~/.bashrc" вы можете установить эту переменную для каждого пользователя индивидуально. Для того, чтобы изменения вступили в силу, необходимо выйти из системы и войти в нее снова.		Значение, указанное в переменной "TMOUT" в секундах -- это один час (60*60=3600). Если указать эту строку в "/etc/profile", то консоль любого пользователя системы автоматически закроется после часа отсутствия активности. В файле "~/.bashrc" вы можете установить эту переменную для каждого пользователя индивидуально. Для того, чтобы изменения вступили в силу, необходимо выйти из системы и войти в нее снова.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Отключите консольный (console-equivalent) доступ для обычных пользователей===		===Отключите консольный (console-equivalent) доступ для обычных пользователей===
Строка 101:		Строка 73:
	Чтобы сделать это, выполните команду:		Чтобы сделать это, выполните команду:
	<pre>[root@kapil /]# rm -f /etc/security/console.apps/<servicename></pre>		<pre>[root@kapil /]# rm -f /etc/security/console.apps/<servicename></pre>


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Отключите и деинсталлируйте все неиспользуемые сервисы ===		===Отключите и деинсталлируйте все неиспользуемые сервисы ===
Строка 129:		Строка 97:
	Это предотвратит любые изменения файла "inetd.conf". Только один человек может снять атрибут - это суперпользователь root. Для модификации файла нужно снять immutable-флаг. Это делается следующей командой:		Это предотвратит любые изменения файла "inetd.conf". Только один человек может снять атрибут - это суперпользователь root. Для модификации файла нужно снять immutable-флаг. Это делается следующей командой:
	<pre>[root@kapil /]# chattr -i /etc/inetd.conf</pre>		<pre>[root@kapil /]# chattr -i /etc/inetd.conf</pre>


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===TCP_WRAPPERS ===		===TCP_WRAPPERS ===
Строка 159:		Строка 123:

	Добавление флага "-h" в конце заставляет демон выводить приглашение для входа в систему, не показывая никакой системной информации. Кроме того, я рекомендую использовать вместо telnet sshd.		Добавление флага "-h" в конце заставляет демон выводить приглашение для входа в систему, не показывая никакой системной информации. Кроме того, я рекомендую использовать вместо telnet sshd.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Изменения в файле "/etc/host.conf" ===		===Изменения в файле "/etc/host.conf" ===
Строка 174:		Строка 134:

	(Ещё желательно добавить опцию "spoofalert on", что позволит резольверу с помощью syslogd записывать сообщения об ошибках в системный журнал . Прим. перев.)		(Ещё желательно добавить опцию "spoofalert on", что позволит резольверу с помощью syslogd записывать сообщения об ошибках в системный журнал . Прим. перев.)


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	==="Иммунизация" файла "/etc/services"===		==="Иммунизация" файла "/etc/services"===

Misha: Откат правок Misha (обсуждение) к версии Impsonsw

2013-03-05T13:17:34Z

Откат правок Misha (обсуждение) к версии Impsonsw

← Предыдущая версия		Версия от 16:17, 5 марта 2013
Строка 3:		Строка 3:
	Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html \| http://gazette.linux.ru.net]<br />		Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html \| http://gazette.linux.ru.net]<br />
	В этой статье я, на примере RedHat Linux, объясню, как усилить безопасность вашей Linux-машины, проведя базовую настройку безопасности системы. Прочитав статью, любой сможет "уплотнить оборону" Linux.		В этой статье я, на примере RedHat Linux, объясню, как усилить безопасность вашей Linux-машины, проведя базовую настройку безопасности системы. Прочитав статью, любой сможет "уплотнить оборону" Linux.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Безопасность BIOS===		===Безопасность BIOS===
	Всегда устанавливайте на BIOS пароль для запрета изменения установок и запрещайте загрузку с дискеты. Это заблокирует попытку загрузить систему со специального загрузочного диска и защитит вас от людей, пытающихся изменить настройки BIOS: возможность загрузки с дискеты или загрузка сервера без запроса пароля.		Всегда устанавливайте на BIOS пароль для запрета изменения установок и запрещайте загрузку с дискеты. Это заблокирует попытку загрузить систему со специального загрузочного диска и защитит вас от людей, пытающихся изменить настройки BIOS: возможность загрузки с дискеты или загрузка сервера без запроса пароля.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Безопасность LILO===		===Безопасность LILO===
Строка 40:		Строка 48:

	Для дополнительной информации о безопасности и lilo читайте мою [http://www.linux4biz.net/articles/ \| статью.]		Для дополнительной информации о безопасности и lilo читайте мою [http://www.linux4biz.net/articles/ \| статью.]


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Отключите все специальные учётные записи ===		===Отключите все специальные учётные записи ===
Строка 48:		Строка 60:
	Для удаления группы:		Для удаления группы:
	<pre>[root@kapil /]# groupdel lp</pre>		<pre>[root@kapil /]# groupdel lp</pre>


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Выбирайте правильный пароль===		===Выбирайте правильный пароль===
Строка 58:		Строка 74:

	Файл "login.defs" -- конфигурационный файл для программы login.		Файл "login.defs" -- конфигурационный файл для программы login.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Включите поддержку теневых паролей ===		===Включите поддержку теневых паролей ===
	Включите возможность использования теневых [shadow] паролей. Для включения поддержки теневых паролей в вашей системе можно использовать утилиту "/usr/sbin/authconfig". Если хотите конвертировать существующие пароли и группы в теневые, то используйте команды pwconv, grpconv соответственно (Сейчас во многих дистрибутивах, например в дистрибутивах от ALT Linux используется еще более "жесткая" схема защиты паролей, чем shadow -- tbc. прим. ред.).		Включите возможность использования теневых [shadow] паролей. Для включения поддержки теневых паролей в вашей системе можно использовать утилиту "/usr/sbin/authconfig". Если хотите конвертировать существующие пароли и группы в теневые, то используйте команды pwconv, grpconv соответственно (Сейчас во многих дистрибутивах, например в дистрибутивах от ALT Linux используется еще более "жесткая" схема защиты паролей, чем shadow -- tbc. прим. ред.).


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Учётная запись root'а ===		===Учётная запись root'а ===
Строка 68:		Строка 92:

	Значение, указанное в переменной "TMOUT" в секундах -- это один час (60*60=3600). Если указать эту строку в "/etc/profile", то консоль любого пользователя системы автоматически закроется после часа отсутствия активности. В файле "~/.bashrc" вы можете установить эту переменную для каждого пользователя индивидуально. Для того, чтобы изменения вступили в силу, необходимо выйти из системы и войти в нее снова.		Значение, указанное в переменной "TMOUT" в секундах -- это один час (60*60=3600). Если указать эту строку в "/etc/profile", то консоль любого пользователя системы автоматически закроется после часа отсутствия активности. В файле "~/.bashrc" вы можете установить эту переменную для каждого пользователя индивидуально. Для того, чтобы изменения вступили в силу, необходимо выйти из системы и войти в нее снова.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Отключите консольный (console-equivalent) доступ для обычных пользователей===		===Отключите консольный (console-equivalent) доступ для обычных пользователей===
Строка 73:		Строка 101:
	Чтобы сделать это, выполните команду:		Чтобы сделать это, выполните команду:
	<pre>[root@kapil /]# rm -f /etc/security/console.apps/<servicename></pre>		<pre>[root@kapil /]# rm -f /etc/security/console.apps/<servicename></pre>


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Отключите и деинсталлируйте все неиспользуемые сервисы ===		===Отключите и деинсталлируйте все неиспользуемые сервисы ===
Строка 97:		Строка 129:
	Это предотвратит любые изменения файла "inetd.conf". Только один человек может снять атрибут - это суперпользователь root. Для модификации файла нужно снять immutable-флаг. Это делается следующей командой:		Это предотвратит любые изменения файла "inetd.conf". Только один человек может снять атрибут - это суперпользователь root. Для модификации файла нужно снять immutable-флаг. Это делается следующей командой:
	<pre>[root@kapil /]# chattr -i /etc/inetd.conf</pre>		<pre>[root@kapil /]# chattr -i /etc/inetd.conf</pre>


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===TCP_WRAPPERS ===		===TCP_WRAPPERS ===
Строка 123:		Строка 159:

	Добавление флага "-h" в конце заставляет демон выводить приглашение для входа в систему, не показывая никакой системной информации. Кроме того, я рекомендую использовать вместо telnet sshd.		Добавление флага "-h" в конце заставляет демон выводить приглашение для входа в систему, не показывая никакой системной информации. Кроме того, я рекомендую использовать вместо telnet sshd.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Изменения в файле "/etc/host.conf" ===		===Изменения в файле "/etc/host.conf" ===
Строка 134:		Строка 174:

	(Ещё желательно добавить опцию "spoofalert on", что позволит резольверу с помощью syslogd записывать сообщения об ошибках в системный журнал . Прим. перев.)		(Ещё желательно добавить опцию "spoofalert on", что позволит резольверу с помощью syslogd записывать сообщения об ошибках в системный журнал . Прим. перев.)


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	==="Иммунизация" файла "/etc/services"===		==="Иммунизация" файла "/etc/services"===

Misha: Откат правок Impsonsw (обсуждение) к версии Misha

2013-03-05T13:02:52Z

Откат правок Impsonsw (обсуждение) к версии Misha

← Предыдущая версия		Версия от 16:02, 5 марта 2013
Строка 3:		Строка 3:
	Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html \| http://gazette.linux.ru.net]<br />		Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html \| http://gazette.linux.ru.net]<br />
	В этой статье я, на примере RedHat Linux, объясню, как усилить безопасность вашей Linux-машины, проведя базовую настройку безопасности системы. Прочитав статью, любой сможет "уплотнить оборону" Linux.		В этой статье я, на примере RedHat Linux, объясню, как усилить безопасность вашей Linux-машины, проведя базовую настройку безопасности системы. Прочитав статью, любой сможет "уплотнить оборону" Linux.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Безопасность BIOS===		===Безопасность BIOS===
	Всегда устанавливайте на BIOS пароль для запрета изменения установок и запрещайте загрузку с дискеты. Это заблокирует попытку загрузить систему со специального загрузочного диска и защитит вас от людей, пытающихся изменить настройки BIOS: возможность загрузки с дискеты или загрузка сервера без запроса пароля.		Всегда устанавливайте на BIOS пароль для запрета изменения установок и запрещайте загрузку с дискеты. Это заблокирует попытку загрузить систему со специального загрузочного диска и защитит вас от людей, пытающихся изменить настройки BIOS: возможность загрузки с дискеты или загрузка сервера без запроса пароля.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Безопасность LILO===		===Безопасность LILO===
Строка 48:		Строка 40:

	Для дополнительной информации о безопасности и lilo читайте мою [http://www.linux4biz.net/articles/ \| статью.]		Для дополнительной информации о безопасности и lilo читайте мою [http://www.linux4biz.net/articles/ \| статью.]


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Отключите все специальные учётные записи ===		===Отключите все специальные учётные записи ===
Строка 60:		Строка 48:
	Для удаления группы:		Для удаления группы:
	<pre>[root@kapil /]# groupdel lp</pre>		<pre>[root@kapil /]# groupdel lp</pre>


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Выбирайте правильный пароль===		===Выбирайте правильный пароль===
Строка 74:		Строка 58:

	Файл "login.defs" -- конфигурационный файл для программы login.		Файл "login.defs" -- конфигурационный файл для программы login.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Включите поддержку теневых паролей ===		===Включите поддержку теневых паролей ===
	Включите возможность использования теневых [shadow] паролей. Для включения поддержки теневых паролей в вашей системе можно использовать утилиту "/usr/sbin/authconfig". Если хотите конвертировать существующие пароли и группы в теневые, то используйте команды pwconv, grpconv соответственно (Сейчас во многих дистрибутивах, например в дистрибутивах от ALT Linux используется еще более "жесткая" схема защиты паролей, чем shadow -- tbc. прим. ред.).		Включите возможность использования теневых [shadow] паролей. Для включения поддержки теневых паролей в вашей системе можно использовать утилиту "/usr/sbin/authconfig". Если хотите конвертировать существующие пароли и группы в теневые, то используйте команды pwconv, grpconv соответственно (Сейчас во многих дистрибутивах, например в дистрибутивах от ALT Linux используется еще более "жесткая" схема защиты паролей, чем shadow -- tbc. прим. ред.).


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Учётная запись root'а ===		===Учётная запись root'а ===
Строка 92:		Строка 68:

	Значение, указанное в переменной "TMOUT" в секундах -- это один час (60*60=3600). Если указать эту строку в "/etc/profile", то консоль любого пользователя системы автоматически закроется после часа отсутствия активности. В файле "~/.bashrc" вы можете установить эту переменную для каждого пользователя индивидуально. Для того, чтобы изменения вступили в силу, необходимо выйти из системы и войти в нее снова.		Значение, указанное в переменной "TMOUT" в секундах -- это один час (60*60=3600). Если указать эту строку в "/etc/profile", то консоль любого пользователя системы автоматически закроется после часа отсутствия активности. В файле "~/.bashrc" вы можете установить эту переменную для каждого пользователя индивидуально. Для того, чтобы изменения вступили в силу, необходимо выйти из системы и войти в нее снова.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Отключите консольный (console-equivalent) доступ для обычных пользователей===		===Отключите консольный (console-equivalent) доступ для обычных пользователей===
Строка 101:		Строка 73:
	Чтобы сделать это, выполните команду:		Чтобы сделать это, выполните команду:
	<pre>[root@kapil /]# rm -f /etc/security/console.apps/<servicename></pre>		<pre>[root@kapil /]# rm -f /etc/security/console.apps/<servicename></pre>


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Отключите и деинсталлируйте все неиспользуемые сервисы ===		===Отключите и деинсталлируйте все неиспользуемые сервисы ===
Строка 129:		Строка 97:
	Это предотвратит любые изменения файла "inetd.conf". Только один человек может снять атрибут - это суперпользователь root. Для модификации файла нужно снять immutable-флаг. Это делается следующей командой:		Это предотвратит любые изменения файла "inetd.conf". Только один человек может снять атрибут - это суперпользователь root. Для модификации файла нужно снять immutable-флаг. Это делается следующей командой:
	<pre>[root@kapil /]# chattr -i /etc/inetd.conf</pre>		<pre>[root@kapil /]# chattr -i /etc/inetd.conf</pre>


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===TCP_WRAPPERS ===		===TCP_WRAPPERS ===
Строка 159:		Строка 123:

	Добавление флага "-h" в конце заставляет демон выводить приглашение для входа в систему, не показывая никакой системной информации. Кроме того, я рекомендую использовать вместо telnet sshd.		Добавление флага "-h" в конце заставляет демон выводить приглашение для входа в систему, не показывая никакой системной информации. Кроме того, я рекомендую использовать вместо telnet sshd.


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	===Изменения в файле "/etc/host.conf" ===		===Изменения в файле "/etc/host.conf" ===
Строка 174:		Строка 134:

	(Ещё желательно добавить опцию "spoofalert on", что позволит резольверу с помощью syslogd записывать сообщения об ошибках в системный журнал . Прим. перев.)		(Ещё желательно добавить опцию "spoofalert on", что позволит резольверу с помощью syslogd записывать сообщения об ошибках в системный журнал . Прим. перев.)


	~~'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]~~


	==="Иммунизация" файла "/etc/services"===		==="Иммунизация" файла "/etc/services"===

Impsonsw в 02:36, 5 марта 2013

2013-03-05T02:36:00Z

← Предыдущая версия		Версия от 05:36, 5 марта 2013
Строка 3:		Строка 3:
	Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html \| http://gazette.linux.ru.net]<br />		Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html \| http://gazette.linux.ru.net]<br />
	В этой статье я, на примере RedHat Linux, объясню, как усилить безопасность вашей Linux-машины, проведя базовую настройку безопасности системы. Прочитав статью, любой сможет "уплотнить оборону" Linux.		В этой статье я, на примере RedHat Linux, объясню, как усилить безопасность вашей Linux-машины, проведя базовую настройку безопасности системы. Прочитав статью, любой сможет "уплотнить оборону" Linux.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Безопасность BIOS===		===Безопасность BIOS===
	Всегда устанавливайте на BIOS пароль для запрета изменения установок и запрещайте загрузку с дискеты. Это заблокирует попытку загрузить систему со специального загрузочного диска и защитит вас от людей, пытающихся изменить настройки BIOS: возможность загрузки с дискеты или загрузка сервера без запроса пароля.		Всегда устанавливайте на BIOS пароль для запрета изменения установок и запрещайте загрузку с дискеты. Это заблокирует попытку загрузить систему со специального загрузочного диска и защитит вас от людей, пытающихся изменить настройки BIOS: возможность загрузки с дискеты или загрузка сервера без запроса пароля.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Безопасность LILO===		===Безопасность LILO===
Строка 40:		Строка 48:

	Для дополнительной информации о безопасности и lilo читайте мою [http://www.linux4biz.net/articles/ \| статью.]		Для дополнительной информации о безопасности и lilo читайте мою [http://www.linux4biz.net/articles/ \| статью.]


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Отключите все специальные учётные записи ===		===Отключите все специальные учётные записи ===
Строка 48:		Строка 60:
	Для удаления группы:		Для удаления группы:
	<pre>[root@kapil /]# groupdel lp</pre>		<pre>[root@kapil /]# groupdel lp</pre>


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Выбирайте правильный пароль===		===Выбирайте правильный пароль===
Строка 58:		Строка 74:

	Файл "login.defs" -- конфигурационный файл для программы login.		Файл "login.defs" -- конфигурационный файл для программы login.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Включите поддержку теневых паролей ===		===Включите поддержку теневых паролей ===
	Включите возможность использования теневых [shadow] паролей. Для включения поддержки теневых паролей в вашей системе можно использовать утилиту "/usr/sbin/authconfig". Если хотите конвертировать существующие пароли и группы в теневые, то используйте команды pwconv, grpconv соответственно (Сейчас во многих дистрибутивах, например в дистрибутивах от ALT Linux используется еще более "жесткая" схема защиты паролей, чем shadow -- tbc. прим. ред.).		Включите возможность использования теневых [shadow] паролей. Для включения поддержки теневых паролей в вашей системе можно использовать утилиту "/usr/sbin/authconfig". Если хотите конвертировать существующие пароли и группы в теневые, то используйте команды pwconv, grpconv соответственно (Сейчас во многих дистрибутивах, например в дистрибутивах от ALT Linux используется еще более "жесткая" схема защиты паролей, чем shadow -- tbc. прим. ред.).


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Учётная запись root'а ===		===Учётная запись root'а ===
Строка 68:		Строка 92:

	Значение, указанное в переменной "TMOUT" в секундах -- это один час (60*60=3600). Если указать эту строку в "/etc/profile", то консоль любого пользователя системы автоматически закроется после часа отсутствия активности. В файле "~/.bashrc" вы можете установить эту переменную для каждого пользователя индивидуально. Для того, чтобы изменения вступили в силу, необходимо выйти из системы и войти в нее снова.		Значение, указанное в переменной "TMOUT" в секундах -- это один час (60*60=3600). Если указать эту строку в "/etc/profile", то консоль любого пользователя системы автоматически закроется после часа отсутствия активности. В файле "~/.bashrc" вы можете установить эту переменную для каждого пользователя индивидуально. Для того, чтобы изменения вступили в силу, необходимо выйти из системы и войти в нее снова.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Отключите консольный (console-equivalent) доступ для обычных пользователей===		===Отключите консольный (console-equivalent) доступ для обычных пользователей===
Строка 73:		Строка 101:
	Чтобы сделать это, выполните команду:		Чтобы сделать это, выполните команду:
	<pre>[root@kapil /]# rm -f /etc/security/console.apps/<servicename></pre>		<pre>[root@kapil /]# rm -f /etc/security/console.apps/<servicename></pre>


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Отключите и деинсталлируйте все неиспользуемые сервисы ===		===Отключите и деинсталлируйте все неиспользуемые сервисы ===
Строка 97:		Строка 129:
	Это предотвратит любые изменения файла "inetd.conf". Только один человек может снять атрибут - это суперпользователь root. Для модификации файла нужно снять immutable-флаг. Это делается следующей командой:		Это предотвратит любые изменения файла "inetd.conf". Только один человек может снять атрибут - это суперпользователь root. Для модификации файла нужно снять immutable-флаг. Это делается следующей командой:
	<pre>[root@kapil /]# chattr -i /etc/inetd.conf</pre>		<pre>[root@kapil /]# chattr -i /etc/inetd.conf</pre>


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===TCP_WRAPPERS ===		===TCP_WRAPPERS ===
Строка 123:		Строка 159:

	Добавление флага "-h" в конце заставляет демон выводить приглашение для входа в систему, не показывая никакой системной информации. Кроме того, я рекомендую использовать вместо telnet sshd.		Добавление флага "-h" в конце заставляет демон выводить приглашение для входа в систему, не показывая никакой системной информации. Кроме того, я рекомендую использовать вместо telnet sshd.


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	===Изменения в файле "/etc/host.conf" ===		===Изменения в файле "/etc/host.conf" ===
Строка 134:		Строка 174:

	(Ещё желательно добавить опцию "spoofalert on", что позволит резольверу с помощью syslogd записывать сообщения об ошибках в системный журнал . Прим. перев.)		(Ещё желательно добавить опцию "spoofalert on", что позволит резольверу с помощью syslogd записывать сообщения об ошибках в системный журнал . Прим. перев.)


			'''Source(s):''' [http://www.downloadranking.com/product_detail.php/pid/12214-38/pa/Glg-Toolkit-Bundle--Linux- Советы по безопасности в Linux]


	==="Иммунизация" файла "/etc/services"===		==="Иммунизация" файла "/etc/services"===

Misha: Защищена страница «Советы по безопасности в Linux» [edit=autoconfirmed:move=autoconfirmed]

2007-10-25T05:17:00Z

Защищена страница «Советы по безопасности в Linux» [edit=autoconfirmed:move=autoconfirmed]

← Предыдущая версия	Версия от 08:17, 25 октября 2007
(нет различий)

172.16.130.19: Новая: Автор: (C) Kapil Sharma
Перевод: (C) Александр Куприн
Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html | http://gazett...

2007-10-23T09:49:23Z

Новая: Автор: (C) Kapil Sharma Перевод: (C) Александр Куприн Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html | http://gazett...

Новая страница

Автор: (C) Kapil Sharma 
Перевод: (C) Александр Куприн 
Статья взята из [http://gazette.linux.ru.net/etc/rus-sharma.html | http://gazette.linux.ru.net] 
В этой статье я, на примере RedHat Linux, объясню, как усилить безопасность вашей Linux-машины, проведя базовую настройку безопасности системы. Прочитав статью, любой сможет "уплотнить оборону" Linux.

===Безопасность BIOS===
Всегда устанавливайте на BIOS пароль для запрета изменения установок и запрещайте загрузку с дискеты. Это заблокирует попытку загрузить систему со специального загрузочного диска и защитит вас от людей, пытающихся изменить настройки BIOS: возможность загрузки с дискеты или загрузка сервера без запроса пароля.

===Безопасность LILO===
Добавьте в файл "/etc/lilo.conf" три параметра: time-out, restricted и password. Эти опции будут указывают на необходимость ввода пароля, если в процессе загрузки LILO будут указаны такие опции загрузки, как "linux single".

'''Шаг 1''' 
Отредактируйте файл lilo.conf (vi /etc/lilo.conf) и добавьте или измените три опции:
<pre>boot=/dev/hda
map=/boot/map
install=/boot/boot.b
time-out=00 # измените эту строку на 00
prompt
Default=linux
restricted # добавьте эту строку
password=<password> # добавьте эту строку и укажите ваш пароль
image=/boot/vmlinuz-2.2.14-12
label=linux
initrd=/boot/initrd-2.2.14-12.img
root=/dev/hda6
read-only </pre>

'''Шаг 2''' 
Файл "/etc/lilo.conf" должен быть доступен только пользователю root, так как он содержит незашифрованный пароль (В любом случае lilo откажется сохранять изменения, если вы не укажете правильные права. Прим. перев.):
<pre>[root@kapil /]# chmod 600 /etc/lilo.conf </pre>

'''Шаг 3''' 
Чтобы изменения вступили в силу, выполните команду:
<pre>[root@kapil /]# /sbin/lilo -v </pre>

'''Шаг 4''' 
Ещё одной мерой по усилению безопасности может стать установка атрибута "неизменяемости" (immutable -- "i") файла "/etc/lilo.conf" при помощи команды chattr. Для этого воспользуйтесь командой:
,pre>[root@kapil /]# chattr +i /etc/lilo.conf </pre>
Это предотвращает любые изменения (случайные и не только) в файле "lilo.conf".

Для дополнительной информации о безопасности и lilo читайте мою [http://www.linux4biz.net/articles/ | статью.]

===Отключите все специальные учётные записи ===
Удалите из системы всех пользователей и все группы, которые не используются: например lp, sync, shutdown, halt, news, uucp, operator, games, gopher и т.д.

Для удаления пользователя используйте команду:
<pre>[root@kapil /]# userdel lp</pre>
Для удаления группы:
<pre>[root@kapil /]# groupdel lp</pre>

===Выбирайте правильный пароль===
Прежде чем выбирать пароль, выполните следующие рекомендации.

Длина пароля: после установки Linux минимально возможная длина пароля по умолчанию -- 5 символов. Этого недостаточно, должно быть 8. Отредактируйте файл "login.defs" (vi /etc/login.defs) и измените следующую строку: 
'''PASS_MIN_LEN 5''' 
на 
'''PASS_MIN_LEN 8''' 

Файл "login.defs" -- конфигурационный файл для программы login.

===Включите поддержку теневых паролей ===
Включите возможность использования теневых [shadow] паролей. Для включения поддержки теневых паролей в вашей системе можно использовать утилиту "/usr/sbin/authconfig". Если хотите конвертировать существующие пароли и группы в теневые, то используйте команды pwconv, grpconv соответственно (Сейчас во многих дистрибутивах, например в дистрибутивах от ALT Linux используется еще более "жесткая" схема защиты паролей, чем shadow -- tbc. прим. ред.).

===Учётная запись root'а ===
Учётная запись "root" -- наиболее привелигерованная в Unix. Когда администратор забывает выйти из системы, то система может автоматически закрыть консоль после заданного периода неактивности. Для того, чтобы этого добиться, нужно выставить значение в секундах в специальной переменной "TMOUT". Отредактируйте файл "vi /etc/profile", добавив в него следующую строку: 

'''TMOUT=3600'''

Значение, указанное в переменной "TMOUT" в секундах -- это один час (60*60=3600). Если указать эту строку в "/etc/profile", то консоль любого пользователя системы автоматически закроется после часа отсутствия активности. В файле "~/.bashrc" вы можете установить эту переменную для каждого пользователя индивидуально. Для того, чтобы изменения вступили в силу, необходимо выйти из системы и войти в нее снова.

===Отключите консольный (console-equivalent) доступ для обычных пользователей===
На вашем сервере отключите консольный доступ обычных пользователей к таким программам, как shutdown, reboot и halt. 
Чтобы сделать это, выполните команду:
<pre>[root@kapil /]# rm -f /etc/security/console.apps/<servicename></pre>

===Отключите и деинсталлируйте все неиспользуемые сервисы ===
Чтобы избавить себя от лишних волнений отключите и деинсталлируйте все сервисы, которые вы не используете. Просмотрите файл "/etc/inetd.conf" и отключите ненужные сетевые сервисы, закомментировав их (добавив # в начало строки) и пошлите демону inetd сигнал SIGHUP для того, чтобы изменения вступили в силу (В настоящее время вместо inetd предпочтительней использование демона xinetd, как более защищенного и/или менее ресурсоёмкого. Но действия, которые указаны здесь для inetd, подходят и для xinetd. Прим.перев.). Для этого выполните следующее: 

'''Шаг 1''' 
Смените права доступа к файлу "/etc/inetd.conf" на 600 для того, чтобы читать и писать в него мог только root.
<pre>[root@kapil /]# chmod 600 /etc/inetd.conf</pre>

'''Шаг 2''' 
УБЕДИТЕСЬ, что владельцем файла "/etc/inetd.conf" является root. 

'''Шаг 3''' 
Отредактируйте inetd.conf (vi /etc/inetd.conf) и отключите те сервисы, которые вы не используете (ftp, telnet, shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger, auth, и т.д) Отключение ненужных сервисов снижает уровень риска взлома системы.

'''Шаг 4''' 
Пошлите HUP сигнал демону inetd
<pre>[root@kapil /]# killall -HUP inetd </pre>

'''Шаг 5''' 
Сделайте "прививку" файлу "/etc/inetd.conf", используя команду chattr, чтобы никто не мог модифицировать этот файл. Выполните команду:
<pre>[root@kapil /]# chattr +i /etc/inetd.conf </pre>

Это предотвратит любые изменения файла "inetd.conf". Только один человек может снять атрибут - это суперпользователь root. Для модификации файла нужно снять immutable-флаг. Это делается следующей командой:
<pre>[root@kapil /]# chattr -i /etc/inetd.conf</pre>

===TCP_WRAPPERS ===
Используя TCP_WRAPPERS можно сделать сервер более защищенным от вторжения. Лучшая политика -- запретить доступ к серверу всем хостам, поместив в файл "/etc/hosts.deny" строку "ALL: ALL@ALL, PARANOID" и поместить список хостов, которым вы разрешаете доступ к вашему серверу, в "/etc/hosts.allow". TCP_WRAPPERS контролируется из двух файлов и поиск в них прекращается при первом совпадении.

'''Шаг 1''' 
Отредактируйте файл hosts.deny (vi /etc/hosts.deny) и добавьте такие строки:
<pre># Отказать в доступе всем
ALL: ALL@ALL, PARANOID </pre>
Имеется в виду, что все сервисы и хосты блокируются, если им не разрешён доступ в hosts.allow

'''Шаг 2''' 
Отредактируйте файл hosts.allow (vi /etc/hosts.allow) и добавьте в него, например, следующую строку:
<pre>ftp: 202.54.15.99 foo.com </pre>
Клиентской машине с ip-адресом 202.54.15.99 и именем foo.com разрешён доступ к серверу через службу ftp.

'''Шаг 3''' 
tcpdchk -- программа проверки конфигурации tcpd wrapper. Она просматривает конфигурацию tcp wrapper и сообщает обо всех потенциальных и реальных проблемах, которые сможет найти. По окончании настройки запустите программу tcpdchk:
<pre>[root@kapil /]# tcpdchk</pre>

Не давайте системе показывать issue-файл
Не показывайте issue-файл вашей системы при удаленном подключении. Для этого можно изменить опции запуска telnet в файле "/etc/inetd.conf". Строка в "/etc/inetd.conf"
<pre>telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd </pre>
будет выглядеть так:
<pre>telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h </pre>

Добавление флага "-h" в конце заставляет демон выводить приглашение для входа в систему, не показывая никакой системной информации. Кроме того, я рекомендую использовать вместо telnet sshd.

===Изменения в файле "/etc/host.conf" ===
Файл "/etc/host.conf" содержит настройки для библиотеки разрешения имен (resolver). (Разрешением имен или резолвером называется механизм преобразования имён узлов сети в ip-адреса и обратно. Прим. перев.) Отредактируйте файл host.conf (vi /etc/host.conf) и добавьте следующие строки:
<pre># Просматривать имена хостов сперва через DNS, потом в файле /etc/hosts.
order bind,hosts
# Мы имеем машины с несколькими ip-адресами.
multi on
# Проверка ip-адресов на спуфинг.
nospoof on</pre>

(Ещё желательно добавить опцию "spoofalert on", что позволит резольверу с помощью syslogd записывать сообщения об ошибках в системный журнал . Прим. перев.)

==="Иммунизация" файла "/etc/services"===
Вы должны установить атрибут "i" у файла "/etc/services" для предотвращения неавторизованного удаления или добавления сервисов. Используйте команду:
<pre>[root@kapil /]# chattr +i /etc/services </pre>

===Запрещение для root входа с разных консолей ===
Файл "/etc/securetty" разрешает вам выбирать какие TTY-устройства пользователь "root" будет использовать для входа в систему. Отредактируйте файл "/etc/securetty" для отключения тех tty, которые вам не нужны (символ # в начале строки).

===Блокирование получения прав "root" при помощи команды su ===
Команда su (Substitute User) предоставляет вам возможность становиться другими существующими пользователями системы. Если вы хотите, чтобы никто не мог получить права пользователя "root" или хотите ограничить использование команды "su" для определённых пользователей, то добавьте две следующие строки в начале файла конфигурации "su" в каталоге "/etc/pam.d/".

'''Шаг 1''' 
Отредактируйте файл su (vi /etc/pam.d/su) и добавьте следующие две строки в начале файла:
<pre>auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/Pam_wheel.so group=wheel </pre>

Вторая строка подразумевает, что только пользователи группы "wheel" могут получить права "root" при помощи su. Вы можете добавить пользователей в группу wheel и только эти пользователи смогут получать через su права суперпользователя.

===Ведение логов командной оболочки ===
Bash хранит до 500 введенных ранее команд в файле ~/.bash_history, упрощая повторное использование команд. Каждый пользователь, который имеет в системе учётную запись, имеет и этот файл в домашнем каталоге. Bash может хранить меньшее число команд, чем указано выше и удалять их при выходе пользователя из системы.

'''Шаг 1''' 
Строки HISTFILESIZE и HISTSIZE в файле "/etc/profile" определяют размер файла ".bash_history" для всех пользователей системы. Я настоятельно рекомендую установить значение HISTFILESIZE и HISTSIZE не более 30. (Дистрибутив ASPLinux 7.1 выставляет эти значения в 1000. Прим. перев.). Отредактируйте файл profile (vi /etc/profile) и измените строки на:
<pre>
HISTFILESIZE=30
HISTSIZE=30</pre>

Это позволит файлу ".bash_history" хранить не более 30 команд.

'''Шаг 2''' 
Администратор может добавить в файл "/etc/skel/.bash_logout" строку "rm -f $HOME/.bash_history", которая будет удалять файл ".bash_history" каждый раз, когда пользователь будет выходить из системы. Отредактируйте файл ".bash_logout" (vi /etc/skel/.bash_logout) и добавьте следующую строку:
<pre>
rm -f $HOME/.bash_history </pre>

===Отключите команду перезагрузки системы с клавиатуры(Control-Alt-Delete) ===
Чтобы сделать это закомментируйте следующую строку в файле "/etc/inittab":
<pre>
ca::ctrlaltdel:/sbin/shutdown -t3 -r now </pre>

Для того, чтобы изменения вступили в силу, выполните команду:
<pre>
[root@kapil /]# /sbin/init q </pre>

===Зафиксируйте права на скрипты в каталоге "/etc/rc.d/init.d" ===
Зафиксируйте права доступа для скриптов, которые ответственны за запуск и останов всех процессов, которые нужны для работы в процессе загрузки:
<pre>
[root@kapil/]# chmod -R 700 /etc/rc.d/init.d/* </pre>

Эта команда предоставляет возможность читать, писать и исполнять скрипты только пользователю "root". (Проверьте, чтобы владельцем скриптов был root. Прим.перв.)

===Сокрытие вашей системной информации ===
По умолчанию, когда вы входите в систему, вам сообщается название дистрибутива Linux, версию, версию ядра и имя сервера. Кракерам достаточно и такой информации о сервере. Лучше оставить пользователю только приглашение "Login:" и всё.

'''Шаг 1''' 
Отредактируйте файл "/etc/rc.d/rc.local" и поставьте "#" перед следующими строками (Содержание может меняться, но одно будет оставаться неизменным -- формирование файла /etc/issue. По этому признаку и можно будет найти то, что нужно закомментировать. Прим. перев.):
<pre>
# This will overwrite /etc/issue at every boot. So, make any changes you
# want to make to /etc/issue here or you will lose them when you reboot.
#echo "" > /etc/issue
#echo "$R" >> /etc/issue
#echo "Kernel $(uname -r) on $a $(uname -m)" >> /etc/issue
#
#cp -f /etc/issue /etc/issue.net
#echo >> /etc/issue </pre>

'''Шаг 2''' 
Удалите также следующие файлы: "issue.net" и "issue" в каталоге "/etc":
<pre>
[root@kapil /]# rm -f /etc/issue
[root@kapil /]# rm -f /etc/issue.net </pre>

===Отключите неиспользуемые программы с битами SUID/SGID ===
Постоянные пользователи имеют возможность запускать программы с правами "root", если у них выставлен бит SUID. Системный администратор должен минимизировать использование таких программ (SUID/SGID) и отключить те программы, которые не нужны.

'''Шаг 1''' 
Чтобы найти программы с владельцем root и установленным битом 's', воспользуйтесь командой:
<pre>
[root@kapil /]# find / -type f $ -perm -04000 -o -perm -02000 $ \-exec ls -lg {} \;
</pre>
Для отключения у выбранных программ бита suid выполните:
<pre>
[root@kapil /]# chmod a-s [имя программы]
</pre>
После выполнения всего вышесказанного, системный администратор может рассчитывать на то, что он настроил основной уровень безопасности системы. Некоторые из перечисленных задач по настройке системы представляют собой непрерывный процесс.
----
Kapil Sharma