Skip to content

Ubuntu - immer Up2date mit unbeaufsichtigten Updates

Die Woche war lang und das Wochenende hat schon einen Fuß in der Tür. 
Dennoch ein kleiner Tipp zum Freitag.

Damit ein System auf einem aktuellen Stand bleibt und keine Sicherheitslücken aufweist, müssen regelmäßig Updates installiert werden.
Dies kann händisch via apt-get upgrade oder mit Orchestrierungs- Lösungen alà Landscape (siehe Artikel), Ansible und Co gelöst werden.


Ubuntu selbst bringt allerdings ebenfalls Funktionen mit, ein System mit den neuesten Updates zu versorgen.
Bei kleinen Netzwerken mit drei bis vier Ubuntu Systemen, bietet sich diese Möglichkeit durchaus an, denn Landscape und Co wären hier zuviel des Guten.

Unattended Updates unter Ubuntu nutzen

Das Paket "unattended-upgrades" ermöglicht die automatische Installation von Updatepaketen.
Aber nicht nur die Installation, sondern auch Neustarts und Prioritäten von Updatepaketen können darüber definiert werden.

unattended-updates-einrichtungBevor das Paktet konfiguriert werden kann, sollte es installiert werden.

sudo apt-get install unattended-upgrades apt-listchanges

Nach der Installation wird eine Config Datei benötigt. Diese kann händisch angelegt werden oder automatisch mit

sudo dpkg-reconfigure -plow unattended-upgrades

Creating config file /etc/apt/apt.conf.d/20auto-upgrades with new version

angelegt werden. Hier erscheint eine zusätzliche Abfrage auf dem Bildschirm (siehe Screenshot).

Bei einem Blick auf die nun generierte Datei finden sich ein paar Einträge.

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

 
Hier muss eigentlich Nichts weiter angepasst werden.
Nutzer die bereits apticron in Verwendung haben, könnten die erste Zeile theoretisch entfernen, da über dieses Paket bereits die Listen regelmäßig aktualisiert werden

Konfiguration von unbeaufsichtigten Updates

Jedoch wird eine weitere Datei angelegt, in der diverse Einstellungen gemacht werden sollten.

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

  • In diesem Beispiel werden nur Sicherheitsupdates automatisch installiert.
  • Danach wird eine Mail an root versendet.
  • Im Fehlerfall wird ebenfalls eine Nachricht versendet (der Punkt // Unattended-Upgrade::MailOnlyOnError "true"; sollte auskommentiert bleiben).
  • Nicht mehr verwendete Abhängigkeiten werden mit diesen Einstellungen automatisch entfernt.
  • Um den automatischen Updatevorgang abzuschließen, wird das System um 3:30 Uhr neu gestartet.

Alle aktiven Punkte sind fett markiert.



// Automatically upgrade packages from these (origin:archive) pairs
Unattended-Upgrade::Allowed-Origins {

"${distro_id}:${distro_codename}-security";

//      "${distro_id}:${distro_codename}-updates";
//      "${distro_id}:${distro_codename}-proposed";
//      "${distro_id}:${distro_codename}-backports";

};


// This option allows you to control if on a unclean dpkg exit
// unattended-upgrades will automatically run
//   dpkg --force-confold --configure -a
// The default is true, to ensure updates keep getting installed
//Unattended-Upgrade::AutoFixInterruptedDpkg "false";

// Split the upgrade into the smallest possible chunks so that
// they can be interrupted with SIGUSR1. This makes the upgrade
// a bit slower but it has the benefit that shutdown while a upgrade
// is running is possible (with a small delay)
//Unattended-Upgrade::MinimalSteps "true";

// Install all unattended-upgrades when the machine is shuting down
// instead of doing it in the background while the machine is running
// This will (obviously) make shutdown slower
//Unattended-Upgrade::InstallOnShutdown "true";

// Send email to this address for problems or packages upgrades
// If empty or unset then no email is sent, make sure that you
// have a working mail setup on your system. A package that provides
// 'mailx' must be installed. E.g. "user@example.com"

Unattended-Upgrade::Mail "root";

// Set this value to "true" to get emails only on errors. Default
// is to always send a mail if Unattended-Upgrade::Mail is set
// Unattended-Upgrade::MailOnlyOnError "true";

// Do automatic removal of new unused dependencies after the upgrade
// (equivalent to apt-get autoremove)

Unattended-Upgrade::Remove-Unused-Dependencies "true";

// Automatically reboot *WITHOUT CONFIRMATION*
//  if the file /var/run/reboot-required is found after the upgrade
//Unattended-Upgrade::Automatic-Reboot "false";

// If automatic reboot is enabled and needed, reboot at the specific
// time instead of immediately
//  Default: "now"

Unattended-Upgrade::Automatic-Reboot-Time "03:30";

// Use apt bandwidth limit feature, this example limits the download
// speed to 70kb/sec
//Acquire::http::Dl-Limit "70";

Viel mehr muss nicht konfiguriert werden. Sollte ein Update gelaufen sein, wird automatisch eine E-Mail versendet, welche über die gelaufenen Updates oder entstandene Fehler informiert.

unattended-updates-linux


 

pgAdmin4 - Installation und ein erster Blick auf die neue PostgreSQL Schaltzentrale

Vor gut einem Monat ist die erste Beta Version von pgAdmin erschienen.
Die neue Version 4 (der mittlerweile in die Jahre gekommenen Version 3) wurde komplett überarbeitet und neu geschrieben.

Inzwischen wurde Beta 3 veröffentlicht, höchste Zeit einen kurzen Blick auf die Installation und das neuen Design zu werfen.

pgadmin4-logoDie Schaltzentrale für PostgreSQL Datenbanken hat einen modernen Anstrich erhalten und zeigt sich bei einem ersten Blick auf die neue Weboberfläche recht übersichtlich. So stellt das neue Dashboard die wichtigsten Aktivitäten auf einer Datenbank live dar. Die Ansicht ist responsive und erlaubt somit auch den Aufruf via Tablet und Co.

Insgesamt wurde auf eine einfache und übersichtliche Darstellung geachtet, so sind viele Einstellungen via Schieberegler zu aktivieren (siehe Screenshot).

Auch die Flexibilität wurde stark erhöht. Tabs lassen sich nun beliebig auf der Oberfläche verschieben und platzieren.

Besonders zu erwähnen ist die doppelte Funktion von pgAdmin. Es kann als Webserverwendung oder Clientsoftware genutzt werden.

pgadmin4-stats

Die komplett überarbeitete DB Software wurde in Python geschrieben und verwendet das  Flask Framework als Backend. Das Frontend besteht aus dem bekannten Mix von Javascript und jQuery.

Durch das moderne Redesign von pgAdmin sind aber auch ein paar wenige Funktionen auf der Strecke geblieben, so stehen der Query Builder, sowie der Datenbank Designer nicht mehr zur Verfügung.

pgadmin4-einstellungen

Die Installation

fällt durch die Hilfe von PIP recht leicht und kann in wenigen Schritten erledigt werden.

Zunächst müssen die benötigten Pakete geladen werden. Dazu zählt natürlich ein Datenbank Server, sowie der Python Pakete Manager PIP. Basis System ist Ubuntu 16.04 LTS.

sudo apt-get install postgresql-9.5
sudo apt-get install python-pip
sudo apt-get install libpq-dev
wget https://ftp.postgresql.org/pub/pgadmin3/pgadmin4/v1.0-beta3/pip/pgadmin4-1.0b3-py2-none-any.whl

Alte Versionen sind hier zu finden

https://ftp.postgresql.org/pub/pgadmin3/pgadmin4/v1.0-beta1/pip/pgadmin4-1.0_beta1-py2-none-any.whl
https://ftp.postgresql.org/pub/pgadmin3/pgadmin4/v1.0-beta2/pip/pgadmin4-1.0b2-py2-none-any.whl

Nun folgt die Paketinstallation

pip install pgadmin4-1.0_beta3-py2-none-any.whl

Please add the directory containing pg_config to the PATH

or specify the full executable path with the option:

    python setup.py build_ext --pg-config /path/to/pg_config build ...

or with the pg_config option in 'setup.cfg'.

pgadmin4-installation

Vor dem ersten Start muss eine Config Datei angelegt werden

cd /usr/local/lib/python2.7/dist-packages/pgadmin4
touch config_local.py

Diese lokale Konfiguration muss auf jeden Fall folgende Werte enthalten:

SECRET_KEY = 'GeheimesGeheimnis2'
SECURITY_PASSWORD_SALT = 'GeheimesGeheimnis3'
CSRF_SESSION_KEY = 'GeheimesGeheimnis1'

Die vorhandenen Werte können der config.py entnommen werden

cat config.py |grep CSRF
CSRF_SESSION_KEY = 'GeheimesGeheimnis1'

cat config.py |grep SECRET_KEY
SECRET_KEY = 'GeheimesGeheimnis2'

cat config.py |grep SECURITY_PASSWORD_SALT
SECURITY_PASSWORD_SALT = 'GeheimesGeheimnis3'

Weitere Konfigurationen, wie beispielsweise eine andere Serveradresse "DEFAULT_SERVER = '0.0.0.0" müssen nicht zwingend hinterlegt werden, hier gelten die Default Werte aus der Hauptkonfiguration. 

Bei einem Betrieb als Webserver sollten die einzelnen Einstellungen genau unter die Lupe genommen werden.

Danach kann die Anwendung zum ersten Mal gestartet werden

cd /usr/local/lib/python2.7/dist-packages/pgadmin4
python ./pgAdmin4.py

        pgAdmin 4 - Application Initialisation
        ======================================


        The configuration database - '/home/lars/.pgadmin/pgadmin4.db' does not exist.
        Entering initial setup mode...
        NOTE: Configuring authentication for SERVER mode.

        Enter the email address and password to use for the initial pgAdmin user account:

        Email address: xxx@test.de

Ein Aufruf der Anwendung erfolgt über den Browser

http://127.0.0.1:5050

Die Anmeldung erfolgt mit den bei der Ersteinrichtung hinterlegten Daten.

Für die Einrichtung und Verwendung des neuen pgAdmin4 wurde bereits eine ausführliche Dokumentation zur Verfügung gestellt.

Fazit

Über den Release Termin der finalen Version konnte ich leider keine Informationen finden. Die aktuelle Beta Version sieht schick aus, besticht durch ihre aufgeräumte Oberfläche und macht Lust auf mehr. Auch für Windowsnutzer steht bereits eine lauffähige Testversion zur Verfügung.

Nun heißt es warten auf die finale Version, um ein endgültiges Fazit ziehen zu können. Bis jetzt ist die Tendenz sicherlich positiv.

Security Distros: LionSec Linux 5, Pentoo RC5 und NST Version 24-7977 veröffentlicht

Ein kurzer Einschub zu neuen Releases im Security Distributions Sektor.


Pentoo 2015.0 RC5

Pünktlich zum Start der DEF CON 2016 wurde Pentoo 2015.0 RC5 veröffentlicht. Das finale Release lässt somit weiterhin auf sich warten.

Dies ist aber nicht weiter tragisch, denn die vorhandene Version läuft recht stabil.

pentoo

Die größte Änderungen dürften die neuen Benutzerrechte darstellen. Anders als bei anderen Distributionen hat der Standardnutzer "pentoo" nun keine root Rechte mehr nach dem Booten. 

Wie von Ubuntu bekannt, wird für Befehle  aus den Verzeichnissen /sbin or /usr/sbin "sudo" benötigt.

Zusätzlich wurden alle Pakete auf Vordermann gebracht.

Die laaange Liste aller integrierten Tools findet ihr auf der Entwicklerseite von Pentoo.

pentoo download


Network Security Toolkit 24 SVN:7977

Die neueste Version des Network Security Toolkit (siehe Artikel) ist bereits im Juli veröffentlicht worden, soll hier aber nicht unerwähnt bleiben.

nst-gui

(alter Screenshot)

NST ist inzwischen nur noch als 64bit Variante erhältlich. Mit dem Update wurde ein Multi-Traceroute (MTR) Tool eingebunden. 

Die unter ntop bekannte Deep Packet Inspection kann nun als 3D Grafik ausgewertet werden.

Mit SSLyze ist inzwischen ein guter SSL Sicherheits Scanner mit an Bord (siehe Artikel)

NST

LionSec Linux 5

Neu im Bunde der Sicherheits Distributionen ist LionSec Linux.

Aktuell unter der Version 5.0 verfügbar handelt es sich um eine Ubuntu basierte Distributionen, welche eine breite Sammlung an Tools für Computer Forensik, Penetrations Tests  und Wlan Analyse mitbringt. Die Oberfläche macht laut Screenshots einen recht schicken Eindruck.

LionSec-Linux

Ähnlich wie Tails hat das System einen anonymen Modus, welcher das verschleierte Surfen erlaubt.

Ich hatte noch keine Zeit das System genauer unter die Lupe zu nehmen, darum verweise ich hier auf das youtube Video.

LionSec hat folgenden Systemvoraussetzungen

  • 1.7 GHz processor (for example Intel Celeron) or better.
  • 2.0 GB RAM (system memory).
  • 8 GB of free hard drive space for installation.
  • Either a CD/DVD drive or a USB port for the installer media.
  • Internet access is helpful (for installing updates during the installation process

LionSec


Überblick forensische Sicherheitsdistributionen

Eine Gesamtübersicht der bereits erwähnten Systeme.

Name Version Tools Besonderheiten Basis GUI
Autopsy 4.0 ??? The Sleuth Kit Windows  
BackBox 4.6 70+ eigenes Repo Ubuntu Xfce
BackTrack 5 300+ out of date Ubuntu Gnome
CaINE 5 100+ WinUFO Ubuntu Mate
DEFT Zero RC1 250+ Dart2 Lubuntu Lxde
Kali Linux 2016 300+ ARM fähig Debian Gnome
LionSec 2016 ???   Ubuntu  
Matriux v3 RC1 300+ out of date Debian Gnome
NST 24 ??? Server integriert Fedora  
NetSecLOS 6.0 50+   OpenSuse Lxde
Paladin 6.0 30+   Ubuntu  
Pentoo 2015.0 RC5 ??? 64bit Gentoo Xfce
Ronin   150+ out of date Lubuntu Lxde
Sans SIFT 3.0 20+   Ubuntu  

SANS Security Poster - Infografiken zu Pen Testing, SWAT und Windows Forensik

Die Sommerpause neigt sich langsam den Ende zu, darum hier ein kleiner Hinweis auf die PDF Poster vom SANS Institut (SysAdmin, Networking und Security).

Die Genossenschaft hat mit SIFT (SANS Investigative Forensic Toolkit) nicht nur eine eigene Security Distribution im Programm, sondern veröffentlich auch regelmäßig Übersichten in Form von PDF Postern. Hier werden verschiedene Themen Rund um IT Sicherheit behandelt.

Das Poster Securing Web Application Technologies (SWAT) listet beispielsweise die wichtigsten Schritte zum Absichern einer Web Anwendung auf.

swat

Windows Forensiker werden mit der Infografik Windows Forensic Analysis an die richtige Vorgehensweise zum Aufspüren von Malware und dem Sichern von Beweisen herangeführt.

Forensik

Ebenfalls interessant ist der Überblick verschiedener Web Frameworks, Techniken und Tools, welche sich ganz der Sicherheit von Anwendungen widmen und die Möglichkeit bieten das eigene Wissen zu verbessern.

pen-test-web-apps

In der schnelllebigen IT Zeit sind sicherlich nicht mehr alle Informationen up2date, dennoch bieten sich einige Poster für die Pinnwand im Büro an, da sie einen guten Überblick bieten.

Die komplette Auswahl findet ihr auf der SANS Seite.

SANS

 

Sticker.js - Aufkleber Effekte für die Homepage

Sticker, landläufig auch als Aufkleber bekannt, sind allgegenwärtig, sei es an der Laterne um die Ecke oder auf dem Heck des Nachbarautos.

Es wird also höchste Zeit diesen Trend in die digitale Welt zu portieren.

Sticker.js hat hierfür einen Ansatz und stellt die typischen Aufklebereigenschaften als JavaScript Bibliothek zur Verfügung. Ganz ohne Abhängigkeiten und unter MIT Lizenz.

stickerjs

Sollte eine Stickervorlage vorhanden sein, erfolgt die Einbindung durch einen einfachen Aufruf innerhalb einer DIV Klasse. Größe und Hintergrund werden via CSS realisiert.

Somit hat der Anwender nach wenigen Arbeitsschritten einen "bedienbaren" Sticker auf der Webseite. Hört sich etwas komisch an, ist aber so.

 

 

Der Leser fragt sich sicherlich, wo die Einsatzgebiete so eines Stickereffekts sein könnten?

Ich denke in den Weiten des Internets lassen sich sicherlich Nerd,- Geek, - oder Hipsterseiten finden, die genau diesen Effekt seit Langem suchen.

Schönen Sonntag :)