🛡️ Аудит безопасности — vipnet

1. Сводка

2. Учётные записи и привилегии

2.1 Интерактивные пользователи

UID 0 ровно один (root) — скрытых суперпользователей нет ✅ · Пустых паролей нет ✅

2.2 🔴/🟠 sudo и группа docker — детально

root            ALL=(ALL:ALL) ALL              # /etc/sudoers
%admin          ALL=(ALL) ALL                  # группа admin — ПУСТАЯ
%sudo           ALL=(ALL:ALL) ALL              # группа sudo — только r3ddan9
y4tsun0v        ALL=(ALL) NOPASSWD:ALL         # /etc/sudoers.d/90-cloud-init-users 🔴
%google-sudoers ALL=(ALL:ALL) NOPASSWD:ALL     # /etc/sudoers.d/google_sudoers 🟠

• getent group sudo → r3ddan9 (требует пароль).
• getent group admin → пусто.
• getent group docker → r3ddan9, evrotrans.

# sudo cat /etc/sudoers.d/90-cloud-init-users
y4tsun0v ALL=(ALL) NOPASSWD:ALL
# orphan-аккаунт y4tsun0v получает полный root без пароля

# sudo cat /etc/sudoers.d/google_sudoers
%google-sudoers ALL=(ALL:ALL) NOPASSWD:ALL
# любой член группы google-sudoers (из метаданных Yandex Cloud) — беспарольный root

# getent group docker
docker:x:998:r3ddan9,evrotrans
# член группы docker монтирует / в контейнер → root-эквивалент

# getent group sudo
sudo:x:27:r3ddan9
# getent group admin
# группа admin — пустая (вывода нет)

2.3 Политика паролей

PASS_MAX_DAYS   99999   # пароли НИКОГДА не истекают ⚠️
PASS_MIN_DAYS   0
PASS_WARN_AGE   7

🟠 Пароли бессрочные. Влияет на локальный вход / su / графическую консоль (LightDM).

3. SSH — конфигурация и доступ

3.1 Настройки демона (sshd -T)

# sudo sshd -T | grep -Ei '^(port|permitrootlogin|passwordauthentication|pubkeyauthentication|maxauthtries|x11forwarding|allowusers)'
port 48008
permitrootlogin no
passwordauthentication no
pubkeyauthentication yes
maxauthtries 3
x11forwarding yes
allowusers r3ddan9 evrotrans
# только ключи, root запрещён, белый список — но x11forwarding лишний

Итог: конфигурация SSH соответствует лучшим практикам. Единственная придирка — X11Forwarding yes (на этом узле есть GUI, но проброс X11 по SSH обычно не нужен — лучше no).

3.2 Авторизованные ключи (authorized_keys)

# sudo cat /root/.ssh/authorized_keys /home/y4tsun0v/.ssh/authorized_keys
command="echo 'Please login as ...'" ssh-rsa AAAA... danil@IdeaPad-3-14ALC6
ssh-rsa AAAA... danil@IdeaPad-3-14ALC6
# оба — один ключ danil@IdeaPad-3-14ALC6 (у root с командой-заглушкой);
# ключи r3ddan9/evrotrans в выводе отсутствуют — вероятно из метаданных Yandex Cloud, перепроверить

4. Приватные ключи и секреты на диске

На этом узле, в отличие от первого, прикладных приватных ключей в дереве приложения почти нет. Большинство найденного — штатные системные файлы. Ниже разделено на значимое и шум.

4.1 🟠 Заслуживают внимания

# cat /home/evrotrans/stable/.env
TZ="Europe/Moscow"
ENV_TIMEZONE="Europe/Moscow"
DOCKER_CONTENT_TRUST=1
# паролей/токенов нет ✅

# ss -tlpn | grep -E ':590[0-9]'
# вывод пуст — VNC сейчас не слушает
# из ~/.vnc/*.log:
Listening for VNC connections on 127.0.0.1 port 5903
# слушал только localhost:5903 → доступ возможен лишь через SSH-туннель

# cat /home/evrotrans/stable/ftp-*/config/*.conf
DestinationAddress auto.pdp.import.inet.egis-otb.local
DestinationAddress auto.onsi.import.inet.egis-otb.local
DestinationAddress auto.timetable.import.inet.egis-otb.local
DestinationAddress auto.ack.import.inet.egis-otb.local
DestinationPort 21021
User nobody
# цели прокси — ЕГИС ОТБ, монтируются в контейнеры :ro, прокси под nobody

4.2 ⚪ Штатные системные файлы (не риск)

• /etc/ssl/certs/ssl-cert-snakeoil.pem + /etc/ssl/private/ssl-cert-snakeoil.key — дефолтный самоподписанный snakeoil-сертификат Ubuntu.
• /etc/pki/fwupd*/LVFS-CA.pem, /var/lib/fwupd/pki/{secret.key,client.pem} — ключи демона обновления прошивок fwupd.
• /etc/tigervnc/ecparams.pem — параметры эллиптической кривой TigerVNC (не приватный ключ).
• /etc/pollinate/entropy.ubuntu.com.pem — пиннинг-сертификат сервиса энтропии Ubuntu.
• /var/lib/Acronis/CurlCaCertificates/cert_bundle.pem — CA-бандл Acronis (публичные сертификаты).

5. Запущенные сервисы

systemctl — значимое и нетипичное для сервера:

# systemctl list-units --type=service --state=running | grep -E 'lightdm|cups|avahi|colord|switcheroo|rtkit'
lightdm.service
cups.service
cups-browsed.service
avahi-daemon.service
colord.service
switcheroo-control.service
rtkit-daemon.service
# набор рабочей станции на сервере — лишняя поверхность атаки

6. Сетевые порты (ss -tulpn)

6.1 Доступны извне (0.0.0.0 / * / [::])

6.2 Только localhost (127.0.0.1 / ::1) — ✅ безопасно

53 (resolved), 631 (CUPS — слушает только localhost ✅), 33159 (task-manager), 35375 (aakore), 43234/9850 (Acronis mms), 6109 (active-protection), 9772 (adp-agent), 24100–24102 (mms udp).

# ss -tulpn
tcp LISTEN 0.0.0.0:48008        users:(("sshd",...))
tcp LISTEN 0.0.0.0:48080        users:(("vsftpd",...))
tcp LISTEN 0.0.0.0:21001        users:(("ftp-proxy",...))
tcp LISTEN 0.0.0.0:21002        users:(("ftp-proxy",...))
tcp LISTEN 0.0.0.0:21003        users:(("ftp-proxy",...))
tcp LISTEN 0.0.0.0:21004        users:(("ftp-proxy",...))
tcp LISTEN *:10050              users:(("zabbix_agent2",...))
tcp LISTEN *:41765              users:(("grpm-sync-unit",...))
udp UNCONN *:5353               users:(("avahi-daemon",...))
udp UNCONN *:41034              users:(("vipnetclient",...))
udp UNCONN *:55781              users:(("vipnetclient",...))
tcp LISTEN 127.0.0.1:631        users:(("cupsd",...))
# FTP/Zabbix/Acronis/Avahi на 0.0.0.0; CUPS (631) — только localhost ✅

# grep -E 'ssl_enable|listen_port|userlist' /etc/vsftpd.conf
listen_port=48080
ssl_enable=NO
userlist_enable=YES
userlist_deny=NO
# cat /etc/vsftpd.userlist
r3ddan9
evrotrans
# ssl_enable=NO → пароли привилегированных учёток идут открытым текстом

# ss -tlpn | grep -E '2100[1-4]'
LISTEN 0.0.0.0:21001  users:(("ftp-proxy",...))
LISTEN 0.0.0.0:21002  users:(("ftp-proxy",...))
LISTEN 0.0.0.0:21003  users:(("ftp-proxy",...))
LISTEN 0.0.0.0:21004  users:(("ftp-proxy",...))
# четыре прокси к ЕГИС ОТБ слушают на всех интерфейсах (0.0.0.0)

7. Активность входов

7.1 Текущие/недавние сессии (who, last)

• Сейчас в системе: r3ddan9 с 10.128.0.20 (pts/0, с 6 июня 00:08).
• Все входы — из внутренней сети 10.128.0.x (.15, .20): r3ddan9 и evrotrans, с января по июнь. ✅
• Внешних/резидентных IP в истории нет — доступ к узлу идёт изнутри периметра (через bastion/ViPNet), что заметно лучше, чем прямой вход с интернет-адресов.

7.2 Неудачные входы (lastb)

• Практически пусто: 2 попытки с 10.128.0.15 (внутренний). ✅
• Публичного брутфорса нет — подтверждает, что SSH-порт не торчит в открытый интернет (или закрыт security-group). Это существенно лучше первого сервера.

# last | head
r3ddan9   pts/0   10.128.0.20   ...still logged in
r3ddan9   pts/0   10.128.0.20   ...
evrotrans pts/1   10.128.0.15   ...
# все входы — только из внутренней сети 10.128.0.x
# sudo lastb | head
... 10.128.0.15 ...
# почти пусто (2 попытки с 10.128.0.15) — публичного брутфорса нет ✅

8. Задачи по расписанию (cron / timers) — ✅ в норме

• /etc/crontab, /etc/cron.d/* — только штатные системные задачи (apt, e2scrub, popularity-contest). Посторонних записей нет. ✅
• Персональных crontab нет ни у одного пользователя. ✅
• systemd timers — штатные (apt-daily, fwupd, logrotate, man-db, fstrim) + vipnetclientdaemon1002.timer (часть ViPNet, ожидаемо). ✅

9. Firewall и сетевая фильтрация — 🔴 выключен

ufw Status: inactive
iptables -S: -P INPUT ACCEPT / -P FORWARD DROP / -P OUTPUT ACCEPT
            (только авто-цепочки DOCKER/DOCKER-ISOLATION/DOCKER-USER)

10. Docker (FTP-стек)

По docker-compose.yml + docker inspect. Это не FTP-серверы, а прокси ftp-proxy (proxy-suite, /usr/sbin/ftp-proxy -n -d). Compose-проект stable, образы на базе ubuntu:20.04.

11. SUID/SGID (хост)

Список штатный — аномалий нет ✅: sudo, su, mount/umount, passwd, chsh/chfn, gpasswd, newgrp, pkexec, fusermount, at, crontab, ssh-keysign, ssh-agent, chage/expiry, pppd (группа dip), а также десктоп-хелперы Xorg.wrap, dbus-daemon-launch-helper, polkit-agent-helper-1, mc/cons.saver.

• pkexec (Polkit) присутствует — убедитесь, что система пропатчена от CVE-2021-4034 (на актуальном 20.04.6 с unattended-upgrades — должно быть закрыто).
• Десктоп-SUID (Xorg.wrap и пр.) — следствие графического окружения; ещё один аргумент убрать GUI, если он не нужен.

12. Незавершённые проверки (повторить)

13. План действий (приоритизированный)

🔴 Высокий приоритет

1. Включить firewall (ufw/nftables, default deny incoming) и/или жёстко настроить облачные security-groups: разрешить SSH 48008, FTP-порты — только из доверенных подсетей, Zabbix/Acronis — с IP мониторинга.
2. Разобраться с y4tsun0v: удалить аккаунт или убрать NOPASSWD:ALL из /etc/sudoers.d/90-cloud-init-users (orphan от первичной настройки, как и на первом сервере).
3. Закрыть/защитить FTP: ограничить источники firewall'ом, перейти на FTPS/SFTP, убедиться, что vsftpd (48080) и ftp-proxy (21001–21004) недоступны за пределами доверенного периметра.
4. Сократить десктоп-стек: если GUI не нужен — отключить lightdm, cups/cups-browsed, avahi-daemon, colord, switcheroo-control. Если нужен (АРМ ViPNet) — трактовать узел как рабочую станцию и изолировать соответственно.

🟠 Средний приоритет

5. Группа docker: пересмотреть членство r3ddan9/evrotrans — это root-эквивалент в обход паролей. Минимум для evrotrans (сервисный аккаунт) рассмотреть отказ от прямого доступа к Docker.
6. %google-sudoers / метаданные Yandex Cloud: проверить, кто реально попадает в эту группу через облако; ограничить OS Login.
7. Avahi/mDNS: выключить на серверном узле (systemctl disable --now avahi-daemon).
8. X11Forwarding no в sshd_config, если проброс X11 не используется.
9. Установить fail2ban (на будущее) и/или продолжать держать SSH вне публичного интернета.
10. Политика паролей: задать PASS_MAX_DAYS (напр. 365) — важно из-за локального входа через LightDM.
11. Пересобрать Docker-образы FTP (крутятся 4 месяца) для получения свежих патчей.

🟢 Дополнительно

12. Перепроверить ключи r3ddan9/evrotrans и состояние VNC (см. §12).
13. Проверить права на ~/.vnc/*SrvKey.pem и .vipnet/.../for_rand.key (600, владелец evrotrans).
14. Проаудировать .env и docker-compose.yml FTP-стека на хранение паролей в открытом виде.
15. Развести переиспользуемый ключ danil@IdeaPad на отдельные ключи по ролям/хостам.

14. Что настроено хорошо (сохранить)

15. Сравнение с первым сервером (...-global-...)