Ich kenne den alten Grundschutz Katalog. Die haben den ja seit ca. einem halben Jahr kräftig erweitert. Im alten stand z. B. drin, dass man Datenbank Transaktionen nutzen soll, um BSI konform zu sein, was bekanntlich gerade bei NoSQL Datenbanken wie Redis, Elasticsearch und MongoDB / CouchDB nicht geht...
Aber größtenteils sollte ich diese erfüllen. Prepared Statements, SQL Injection, usw. all das nutze ich bzw. bin dagegen gerüstet.
Die Version ist bei Tumbleweed nicht teil des OS-Names, eine Möglichkeit wäre es den String mit awk direkt aus der /etc/os-release zu holen:
Code${execi 4 awk -F'"' '/VERSION_ID/{print $2}' /etc/os-release}
Vielen Dank, das hat geklappt.
Auch vielen Dank an Igel1954 und an alle anderen, die ich vergessen habe, namentlich zu erwähnen.
Meine Config ist nun eine Mischung aus dem obigen GitHub Link (war irgendeine Grundconfig mitten drin). Dort musste ich noch ein paar feste Sachen ersetzen, sodass es auf meinen Laptop passt, z. B. falscher CPU Name, außerdem waren bei mir andere Lüfternummern zuständig für die darzustellenden Sachen, auch hatte ich nicht so viele Cores wie der Verfasser der Config, das musste vereinfacht werden.
Aktuell bin ich so damit zufrieden. Es könnte höchstens sein, dass ich noch Sachen entferne, da sie schon riesig ist, größer als gedacht.
Hier nun meine komplette Config, gerne zum Kopieren & Weiterverwenden:
conky.config ={
-- CONKY SETTINGS
background = true,
update_interval = 1,
total_run_times = 0,
cpu_avg_samples = 2,
net_avg_samples = 2,
override_utf8_locale = true,
double_buffer = true,
no_buffers = true,
text_buffer_size = 32768,
-- CONKY: WINDOW SPECIFICATIONS
own_window = true,
own_window_argb_value = 192,
own_window_argb_visual = true,
own_window_class = 'conky-semi',
own_window_colour = '#0b0d18',
own_window_hints = 'undecorated,below,sticky,skip_taskbar,skip_pager',
-- own_window_transparent = true,
own_window_transparent = false,
own_window_type = 'normal',
-- own_window_type = 'desktop',
border_inner_margin = 6,
border_width = 5,
minimum_height = 1020,
minimum_width = 280,
maximum_width = 280,
alignment = 'top_right',
gap_x = 10,
gap_y = 15,
-- GRAPHICS SETTINGS
draw_shades = false,
draw_outline = true,
draw_borders = false,
draw_graph_borders = true,
-- draw_graph_borders = false,
-- TEXT SETTINGS
use_xft = true,
font = 'Montserrat Regular:size=10',
xftalpha = 0.2,
uppercase = false,
-- Pad percentages to this many decimals (0 = no padding)
pad_percents = 2,
-- COLOUR SETTINGS
default_color = 'AAAAAA',
default_shade_color = '333333',
-- default_outline_color = '111111',
default_outline_color = '010101',
color1 = '999999',
color2 = 'CCCCCC',
color3 = 'EEEEEE',
color4 = '444444',
color5 = '555555',
color6 = '666666',
};
conky.text = [[
${alignr}${color1}${font Montserrat Bold:size=20}${time %H:%M:%S}${font}${color}${alignr}
${voffset -9}
${alignr}${font Montserrat Light:size=10}${time %A %d %B %Y}${font}${alignr}
${font :size=11}${color1}SYSTEM ${color6}${hr 2}${color}
${voffset -15}
${font :size=11}Hostname:${alignr}$nodename
${font :size=11}Desktop:${alignr}${desktop_name} ${desktop}/$desktop_number
${font :size=11}Distro:${alignr}${exec hostnamectl | grep System | cut -c21-40} ${execi 4 awk -F'"' '/VERSION_ID/{print $2}' /etc/os-release}
${font :size=11}Arch:${alignr}${exec hostnamectl | grep Architecture | cut -c7-30}
${font :size=11}Kernel:${alignr}${exec hostnamectl | grep Kernel | cut -c13-32}
${font :size=11}UPTIME:${alignr} $uptime_short
${font :size=11}${color1}MEMORY ${color6}${hr 2}${color}
${voffset -15}
${font :size=10}${font Montserrat Light:size=8}${color1}RAM: ${goto 70}USED:${color}${font} ${alignr}$mem ${goto 200}${font Montserrat Light:size=8}${color1}MAX:${color}${font} ${goto 100}${alignr} $memmax${font}
${color4}${memgraph 15,300, 32CD32 8B0000 -t}${color}
${voffset -20}
${font Montserrat Light:size=8}${color1}RAM %:${color}${font} ${goto 100}$memperc% ${goto 150}${font Montserrat Light:size=8}${color1}SWAP %:${color}${font} ${alignr}$swapperc%
${font :size=11}${color1}CPUs ${color6}${hr 2}${color}
${voffset -15}
${font :size=10}${font Montserrat Light:size=8}${color1}CPU:${color}${font} ${alignr}${color4}Intel Core i5-421OU @ 1.7GHz${color}${font}
${voffset -15}
${font Montserrat Light:size=8}${color1}01 - 04:${color}${font} ${goto 100}${cpu cpu1}% ${goto 150}${cpu cpu2 }% ${goto 200}${cpu cpu3 }% ${goto 250}${cpu cpu4 }%
${voffset -8}
${font Montserrat Light:size=8}${color1}CPU TEMPS:${color}${font} ${font :size=10}${alignr}${hwmon 3 temp 1}°${color4}C${color} ${hwmon 3 temp 2}°${color4}C${color}
${font :size=11}${color1}NETWORK ${color6}${hr 2}${color}
${voffset -15}
${font Montserrat Light:size=8}${color1}LAN IP ADDR:${color}${font} ${alignr}${addr enp4s0}
${font :size=10}${font Montserrat Light:size=8}${color1}SPEED: ${goto 70}UP:${color}${font} ${alignr}${upspeed enp4s0} ${goto 180}${font Montserrat Light:size=8}${color1}DOWN:${color}${font} ${goto 220}${alignr}${downspeed enp4s0}${font}
${voffset -6}
${font Montserrat Light:size=8}${color1}UPLOAD: ${color}${font} ${goto 80}${color4}${upspeedgraph enp4s0 15,210 ADFF2F 32CD32 -t}${color}
${voffset -14}
${font Montserrat Light:size=8}${color1}DOWN:${color}${font} ${goto 80}${color4}${downspeedgraph enp4s0 15,210 FF0000 8B0000 -t}${color}
${voffset -14}
${font :size=10}${font Montserrat Light:size=8}${color1}TOTAL: ${goto 70}UP:${color}${font} ${goto 120}${totalup enp4s0} ${goto 180}${font Montserrat Light:size=8}${color1}DOWN:${color}${font} ${goto 220}${alignr}${totaldown enp4s0}${font}
${voffset 6}
${font :size=11}${color1}DISKS ${color6}${hr 2}${color}
${voffset -15}
${font :size=10}${font Montserrat Light:size=8}${color1}SSD Linux:${color}${font} ${goto 100}${fs_used /} ${color4}/${color} ${fs_size /} ${alignr} ${fs_free_perc /}%${font}
${voffset -12}
${font Montserrat Light:size=8}${color1}HD DATA:${color}${font} ${goto 100}${fs_used /home} ${color4}/${color} ${fs_size /home} ${alignr}${fs_free_perc /home}%
${voffset -6}
${font Montserrat Light:size=8}${color1}DISK I/O:${color}${font} ${alignr}$diskio
${voffset -6}
${font Montserrat Light:size=8}${color1}READ: ${color}${font} ${goto 80}${color4}${diskiograph_read 15,210 ADFF2F 32CD32 750}${color}
${voffset -14}
${font Montserrat Light:size=8}${color1}WRITE:${color}${font} ${goto 80}${color4}${diskiograph_write 15,210 FF0000 8B0000 750}${color}
${voffset 6}
${font :size=11}${color1}PROCESSES ${color6}${hr 2}${color}
${voffset -15}
-- ${font :size=10}${font Montserrat Light:size=8}${color1}TOTAL:${color}${font} ${alignr}${processes} ${color4}${font :size=8}processes${font}${color}${font}
${voffset -8}
${font Montserrat Light:size=9}${color1}APP NAME: ${goto 160}MEMORY: ${goto 245}CPU: ${color}${font}
${voffset -8}
${font Montserrat Light:size=9}${color1}${top_mem name 1} ${color}${font} ${goto 160}${top mem 1} % ${goto 235}${top cpu 1} %
${font Montserrat Light:size=9}${color1}${top_mem name 2} ${color}${font} ${goto 160}${top mem 2} % ${goto 235}${top cpu 2} %
${font Montserrat Light:size=9}${color1}${top_mem name 3} ${color}${font} ${goto 160}${top mem 3} % ${goto 235}${top cpu 3} %
${font Montserrat Light:size=9}${color1}${top_mem name 4} ${color}${font} ${goto 160}${top mem 4} % ${goto 235}${top cpu 4} %
${font Montserrat Light:size=8}${color1}${alignr}by Kematzy${color}${font}
${voffset 6}
]];Nochmals vielen Dank an die vielen Unterstützer, die mich auf den richtigen Weg geleitet haben! 
Bevor ihr über die Sicherheit einer Linuxkiste schwadroniert, macht erst einmal die primären Hausaufgaben: Lernt TCP/IP (den kompletten Stack samt ICMP usw.)
Danach werden die Postings hier sicherlich spärlicher.
Ja, daran ist wohl viel Wahres. Ich muss zugeben, dass die Netzwerkseite in meiner Ausbildung nur recht späh beleuchtet wurde. Bei mir ging es mehr um Softwareentwicklung, als um Netzwerken und Leitungen buddeln - mal ganz platt gesagt.
Btw wie war das mit Ping und Datendurchsatzrate? Der Ping ist soviel nicht abhängig vom Internetvertrag (also von der Datendurchsatzrate [upstream und downstream]), weil Wasser immer nur gleich schnell durch eine Leitung fließen kann. Wenn man den Ping optimieren will, dann kommt es laut meines Wissens darauf an, dass die Route keine Umwege nimmt und so wenig Hops wie möglich macht. Fastpath wäre wohl auch eine Option den Ping zu senken, habe ich gehört. Allerdings gibt es mit Fastpath weniger Fehlerkorrektur bei der Übertragung, was eventuell anderweitig negative Folgen haben könnte.
Alles anzeigenIch hätte da ein gehärtetes Linux. Auf das kommt weder Nsa, Cia, Bnd, HNaA oder Ndb.
Wie das mit der Gru ist, kann ich nicht sagen.
Als Gui wird Fly (ist irgendwie etwas von Kde3) genutzt.
Operating System: Astra Linux (Orel 2.12.29)
Kernel: Linux 4.15.3-2-hardened
Architecture: x86-64
Vielen Dank, aber kann man nicht auch openSUSE mit dem gehärteten Kernel betreiben? Müsste doch auch gehen, oder?
Ach so? Von wem denn? Mich würden Links und / oder Beiträge dazu interessieren. Und was ich mich frage .... nutzt du ein Smartphone mit Android und sämtlichem Google-Gedöhns? Nutzt du auch Facebook, Twitter, Whatsapp und Instagram? Nutzt du die Google Suchmaschine?
Hauptsächlich nehme ich meine Infos der versteckten Telegram Gruppe "BlackBox Security". Dort tummeln sich eine Linux und UNIX Experten, sowie Experten in Sachen Security und Privatsphäre. Daneben liest man ja regelmäßig auf heise und prolinux das hier und da Lücken klaffen, die längst bekannt sind.
Und ja, ich nutze noch Facebook, aber nur da, wo es wirklich braucht. Ich meide zudem Amazon wo es geht, wegen der Privatsphäre (siehe das Buch "Schnautze Alexa"). Amazon weiß teilweise was man als nächtes tut, bevor man es selber weiß. Es ist schon krass, dass man diese Erkenntnis aufgrund von unserem Einkaufsverhalten schließen kann.
Thema Android und Google
Ja, ich nutze Android. Es ist sicher und sandboxt alles, ganz im Gegenteil zu vielen Linux Distros. Nur Android hat soviel ich weiß einen sicheren Ansatz Apps in einem Berechtigungssystem laufen zu lassen und zwar komplett separiert von jeder anderen. Das haben so nur ganz wenige Desktop-PC Linux Distributionen. Deswegen ist Android sicher. Man sollte hier auch nicht Sicherheit mit Privatsphäre verwechseln. Sicher ist es, da gibt es keine Zweifel. Aber was wird alles an Google gesendet => Privatsphäre
Ich vermeide Google Apps wo es geht und bin auch drauf und dran die zu löschen. Das soll wohl auch ohne rooten und ohne Custom ROM gehen, indem man die USB Debug Schnittstelle nutzt: Hier kann man den Package Manager sagen, dass es sicher ist ein nicht löschbare App zu löschen. Weiß nur noch nicht genau wie, dazu muss ich erst tiefer in die Materie einlesen. Außerdem gibt es ja noch MicroG: Ein Drop-In Replacement für die Google Services auf Android, openSource!
Ich habe aktuell schon andere Apps für Kalender, Cloud (NextCloud) und Photoalbum. YouTube ist als nächstes dran, hier gibt es einige gute offene und freie Alternativen im F-Droid Store.
Alles anzeigenUm eine Endlosdebatte zu vermeiden, sei kurz angemerkt, dass es unabhängig vom OS (Linux, Windows, Virtuelle OS usw.) immer Leute / Einrichtungen gibt, die alles sehen, was auch du an deinem Bildschirm siehst - und das live, wenn du am Netz bist..
Bzgl. Firewall:
Um auch nur annähernd die Basics zu verstehen, gingen bei uns mehrere Semester bei drauf.
Will damit sagen, dass es mit einer Frage / Antwort in einem Forum nicht getan ist.
Du wirst wohl nicht drum rum kommen, dich in dieses spezielle,interessante und zugleich komplexe Thema einzuarbeiten.
Wie schon jemand mehrfach hier treffend im Forum schrieb:
"Sicherheit ist kein Zustand, sondern ein Prozess"
An dieser Stelle Gruß Berichtigung
Ich hätte liebend gerne die eine, perfekte Antwort gegeben - aber die gibt es nicht.
Zum Thema Firewall / Sicherheit / Hardening gibt es sehr gute Manuals - und ich bin mir sicher, dass du, als alter Linux-Hase, viele von denen kennst
Ja, das mag sein, dass es hier nicht das eine richtig oder falsch gibt. Es kommt natürlich auch immer auf die Situation und die individuellen Bedürfnisse an. Und ja, komplett sicher ist natürlich nichts, das ist ebenfalls richtig. Ich erinnere mich hierzu immer wieder an ein Zitat von einem Professor der freien TU Berlin aus seinem Buch "Cyberwar": "Je größer ein System, desto mehr Angriffsvektoren gibt es". Das ist leider direkt proportional. Also denke ich, dass es sinnvoll ist, wenigstens unnötige Lücken zu vermeiden. Klar kann man nicht alle schließen oder gar vermeiden, aber man kann den Hackern bzw. Crackern zumindest so viele Steine in den Weg legen wie möglich. Und ehrlich gesagt ganz ohne Maßnahmen möchte ich mit einer Linux auch nicht ans Netz gehen. Das ist verständlich, oder? 
Ach ja, was ist eig mit den guten alten Berichtigung lange schon nichts mehr von Ihm gehört
Thema Firewall
Ja also ich weiß, dass es die klassische Firewall gibt, die nur Ports blockt, ganz simpel eben ohne Heuristikerkennung und so erweiterte Techniken. Darunter fällt meines Wissens auch firewalld. Man kann zwar mit firewalld viel machen, trotzdem ist und bleibt es aber eine klassiches Firewall ohne Einbruchserkennung- oder gar verhinderung.
Alles anzeigenSchau dir mal in meiner conky.conf die ersten 5 Zeilen nach conky.text = an. Die 3. Zeile erzeigt bei mir das an, was auch in /etc/os-release hinter PRETTY_NAME steht.
Das sieht dann bei mir wo aus:
Ich hab meine conky.conf noch ein bisschen modifiziert. Wenn du die aktuelle Version haben möchtest, sag Bescheid
Du kannst aber auch mal die folgenden Zeilen ausprobieren:
CodeAlles anzeigenconky.text = [[ ${time %H:%M:%S}${alignr}${time %d-%m-%y} ${voffset -16}${font sans-serif:bold:size=18}${alignc}${time %H:%M}${font} ${voffset 4}${alignc}${time %A %B %d, %Y} ${font}${voffset -4} ${font sans-serif:bold:size=10}SYSTEM ${hr 2} ${font sans-serif:normal:size=8}$sysname $kernel $alignr $machine Host:$alignr$nodename Uptime:$alignr$uptime File System: $alignr${fs_type} Processes: $alignr ${execi 1000 ps aux | wc -l}Die Zeilen sind aus der conky.conf, die ich auf dem HP-Laptop meiner Frau laufen hab.
Vielen dank, nun gibt er zumindest "openSUSE Tumbleweed" aus, aber die TW Version fehlt immer noch?!
Meine Signatur hast du aber schon ’mal gesehen?
Nein, aber jetzt schon 🙈 Manchmal sieht man den Wald vor lauter Bäumen nicht xD
Danke für den Hinweis, ist nun geschlossen!
Alero Ich würde das Thema gerne als erledigt markieren, kann ich aber nicht, weil den den 1. Post aus mir unerklärlichen Gründen, nicht mehr bearbeiten kann. Normalerweise kann man ja hier im Forum einen Thread als erledigt markieren, wenn man auf bearbeiten desselbigen klickt und dann auf "erledigt" klickt. Geht hier aber seltsamerweise nicht???!
Hallo,
in letzter Zeit erfahre ich immerzu, wie unsicher doch Linux sei und frage mich, was man dagegen tun könnte?
Es gibt ein paar Distros, wie QubeOS & Co., die standardmäßig alles in eine eigene Sandbox packen und die auch die Bootkette im laufenden Kernel fortsetzen, um den Kernel nach außen abzuhärten gegen Angreifer auch über die Boot Phase hinaus.
Vorallem aber frage ich mich, ob man den über Jahre klaffenden Lücken im Kernel mit erweiterten Rechtemanagement, wie AppArmor, begegnen kann um so mit einem zusätzlichen Layer die Sicherheitslücken stopfen kann?
Grundlage für meine Frage war der Artikel hier: https://searx.travnewmatic.com…es.github.io%2Flinux.html
Und ja, ich weiß, dass der manche Sachen in dem Artikel nur teilweise beleuchtet oder gar nicht beleuchtet werden. Zum Beispiel könnte man C und C++ Applikationen durch Benutzen von ASLR und eines soliden Löschen-Models absichern. Doch nachdem die Verwendung eines solchen freiwillig ist, scheren sich leider viele große Linux Applikationen immer noch nicht darum.
Außerdem gäbe es da noch Wayland, was von Haus aus sicher ist, was dort aber keinerlei Erwähnung findet.
PS: Wenn jemand einen guten Tipp hat für eine IPS Firewall und wie man diese betreibt, dann wäre ich dafür sehr dankbar. Soviel ich weiß gibt es in dem Sektor nur Snort und ossec-hids und beide sind veraltet oder in der Einrichtung sehr kompliziert.
MFG
derwunner
