DMZ सुरक्षा निगरानी और हार्डनिंग

CY376: नेटवर्क निगरानी, सुरक्षा और ऑडिटिंग — सेमेस्टर-अंत परियोजना ब्लू टीम | University of Mines and Technology, Tarkwa

लेखक: Kennedy Kumi Holomah इंडेक्स नंबर: FCM.41.018.148.23 छात्र आईडी: 9013004623

अवलोकन

यह परियोजना एक pfSense फ़ायरवॉल के पीछे सार्वजनिक-सामना करने वाले Ubuntu/Apache वेब सर्वर को होस्ट करने वाले विसैन्यीकृत क्षेत्र (DMZ) का निर्माण, सुरक्षा और निगरानी करती है, पूरी तरह से एक पृथक VMware Workstation लैब के भीतर। इसे University of Mines and Technology, Tarkwa में CY376 (नेटवर्क निगरानी, सुरक्षा और ऑडिटिंग) के लिए एक ब्लू टीम अभ्यास के रूप में बनाया गया था, और यह अलगाव में किसी एक नियंत्रण के बजाय एक पूर्ण रक्षात्मक जीवनचक्र प्रदर्शित करता है: एक विभाजित नेटवर्क सीमा, उस सीमा पर इनलाइन डिटेक्शन, एक नामित CVE के विरुद्ध वास्तविक शोषण प्रयास, स्वचालित सुधार, और पुनः-सत्यापन कि फिक्स ने वास्तव में अंतर को बंद कर दिया।

यह परियोजना जानबूझकर प्रत्येक रक्षात्मक परत को केवल कॉन्फ़िगरेशन स्क्रीनशॉट के बजाय साक्ष्य के साथ जोड़ती है: Suricata की डिटेक्शन को वास्तविक समय में एक लाइव Shellshock शोषण प्रयास को पकड़ते हुए दिखाया गया है, वही पेलोड हार्डनिंग लागू होने के बाद पूरी तरह विफल होते हुए दिखाया गया है, और रास्ते में आई गैर-स्पष्ट इंफ्रास्ट्रक्चर समस्याएँ (हार्डवेयर ऑफलोड सेटिंग्स द्वारा पैकेट कैप्चर को चुपचाप अवरुद्ध करना, डिफ़ॉल्ट HOME_NET स्कोपिंग द्वारा दिशात्मक सिग्नेचर को चुपचाप तोड़ना, हार्डनिंग स्क्रिप्ट का अपना अनुमति लॉकडाउन जिसने उस सर्वर को ही तोड़ दिया जिसकी उसे रक्षा करनी थी) को अपने आप में निष्कर्षों के रूप में प्रलेखित किया गया है, संपादित करके हटाया नहीं गया है।

• डिटेक्ट: Suricata, Emerging Threats (ET) Open रूलसेट का उपयोग करके DMZ इंटरफ़ेस पर इनलाइन (IPS मोड) चलता है, जिसमें HOME_NET को DMZ सबनेट तक सही ढंग से स्कोप किया गया है, ताकि LAN-उत्पन्न हमला ट्रैफ़िक को बाहरी माना जाए।
• एक्सप्लॉइट और मान्य करें: एक वास्तविक, CVE-मैप्ड एक्सप्लॉइट (CVE-2014-6271, "Shellshock") एक Kali हमलावर से DMZ होस्ट के विरुद्ध चलाया जाता है। Suricata इसे डिटेक्ट करता है (SID 2022028) और एक कस्टम ड्रॉप रूल के माध्यम से इसे सक्रिय रूप से ब्लॉक कर सकता है।
• हार्डन: एक इडेमपोटेंट Bash स्क्रिप्ट (scripts/dmz_web_hardening.sh) Bash को पैच करती है, उस CGI हैंडलर को अक्षम करती है जिस पर Shellshock निर्भर करता है, SSH को LAN तक सीमित करती है, एक होस्ट फ़ायरवॉल (UFW) और fail2ban सक्षम करती है, और वेब-रूट अनुमतियों को लॉक कर देती है।
• पुनः-मान्य करें: वही Shellshock पेलोड हार्डनिंग के बाद पुनः चलाया जाता है और निष्पादित होने के बजाय HTTP 404 लौटाता है, जिससे पुष्टि होती है कि कमजोरी बंद हो गई है।
• मॉनिटर: केंद्रीकृत लॉग और फ़ाइल-अखंडता निगरानी के लिए LAN पर एक Wazuh मैनेजर (OVA अप्लायंस) तैनात किया गया है, जिसमें DMZ एजेंट पंजीकरण एक प्रगति-रत अगला कदम है।

पूर्ण विस्तृत विवरण, साक्ष्य स्क्रीनशॉट और विश्लेषण: docs/CY376_DMZ_Report_Kennedy_Kumi_Holomah.pdf।

उपयोग किए गए उपकरण

• VMware Workstation — पृथक होस्ट-ओनली लैब (WAN/LAN/DMZ VMnet)
• pfSense (कम्युनिटी एडिशन) — फ़ायरवॉल, रूटिंग, WAN/LAN/DMZ विभाजन
• Suricata (pfSense पैकेज) — DMZ इंटरफ़ेस पर इनलाइन IDS/IPS
• Emerging Threats (ET) Open रूलसेट — सिग्नेचर कवरेज
• Kali Linux — हमलावर होस्ट (Nmap, curl-आधारित शोषण)
• Ubuntu Server + Apache — DMZ वेब सर्वर (लक्ष्य / संरक्षित परिसंपत्ति)
• Wazuh (OVA अप्लायंस) — केंद्रीकृत लॉग संग्रह और फ़ाइल-अखंडता निगरानी
• UFW, fail2ban, unattended-upgrades — DMZ सर्वर पर होस्ट-स्तरीय हार्डनिंग

लैब टोपोलॉजी

सभी अंतर-खंड ट्रैफ़िक विशेष रूप से pfSense से होकर गुजरता है; कोई भी मार्ग फ़ायरवॉल को बायपास नहीं करता।

रिपॉजिटरी संरचना

.
├── README.md
├── .gitignore
├── scripts/
│   └── dmz_web_hardening.sh   # Host hardening script for the DMZ web server
├── docs/
│   └── CY376_DMZ_Report_Kennedy_Kumi_Holomah.pdf   # Full project report
└── evidence/
    └── figure01_lab_topology.png ... figure11_wazuh_dashboard.png
        # The 11 captioned screenshots from the report, numbered to match
        # the figure numbers used throughout docs/CY376_DMZ_Report_*.pdf

हार्डनिंग स्क्रिप्ट का उपयोग

scripts/dmz_web_hardening.sh DMZ Ubuntu/Apache होस्ट को लक्षित करती है। इसे पुनः चलाने के लिए सुरक्षित रखा गया है: यह जिस भी कॉन्फ़िगरेशन फ़ाइल को छूती है उसका पहले बैकअप लिया जाता है (.bak-YYYYmmdd-HHMMSS सफ़िक्स), और सभी क्रियाएँ /var/log के अंतर्गत एक टाइमस्टैम्प्ड फ़ाइल में लॉग होती हैं।

# On the DMZ web server
sudo bash scripts/dmz_web_hardening.sh

चलाने से पहले, स्क्रिप्ट के शीर्ष पर मौजूद CONFIG अनुभाग की समीक्षा करें (LAN सबनेट, HTTP/HTTPS पोर्ट) ताकि यह आपकी अपनी टोपोलॉजी से मेल खाए।

यह क्या करती है:

1. सिस्टम पैकेज अपडेट करती है और Bash को स्पष्ट रूप से पैच करती है (CVE-2014-6271 का वास्तविक फिक्स)।
2. SSH को हार्डन करती है, यदि मौजूद हो (रूट लॉगिन और पासवर्ड प्रमाणीकरण अक्षम करती है, LAN सबनेट तक सीमित करती है)।
3. UFW कॉन्फ़िगर करती है: इनबाउंड के लिए डिफ़ॉल्ट-अस्वीकार, HTTP/HTTPS खुला, SSH केवल LAN तक सीमित।
4. Apache को हार्डन करती है: वर्जन बैनर छिपाती है, डायरेक्ट्री लिस्टिंग अक्षम करती है, mod_cgi/mod_cgid अक्षम करने का संकेत देती है (Shellshock अटैक सरफेस को पूरी तरह हटाते हुए), और वेब-रूट स्वामित्व/अनुमतियों को लॉक कर देती है।
5. SSH और Apache-विशिष्ट जेल के लिए fail2ban इंस्टॉल और कॉन्फ़िगर करती है।
6. अनअटेंडेड सुरक्षा अपग्रेड सक्षम करती है।
7. विरासती, उच्च-जोखिम वाली सेवाओं (telnet, ftp, rsh) को, यदि मौजूद हों, हटा देती है।

अंत में एक पूर्णता सारांश मुद्रित होता है, और प्रत्येक चरण का पूरा विवरण रिपोर्ट में है।

प्रमुख परिणाम

ज्ञात सीमाएँ

• Suricata का SID प्रबंधन परिवर्तन (SID 2022028 को केवल-अलर्ट से सक्रिय ड्रॉप में बदलना) pfSense GUI में रूल रीबिल्ड के माध्यम से स्थायी नहीं रहा — इसे एक खुले मुद्दे के रूप में दर्ज किया गया है।
• DMZ होस्ट के लिए Wazuh एजेंट पंजीकरण शुरू किया गया था, लेकिन लेखन के समय तक रिपोर्टिंग की पुष्टि नहीं हुई है।
• डिटेक्शन को एक सुप्रलेखित CVE के विरुद्ध मान्य किया गया था; नई/एप्लिकेशन-विशिष्ट कमजोरियों के लिए ET Open रूलसेट का कवरेज इस लैब में संबोधित नहीं किया गया है।

पूरी चर्चा के लिए रिपोर्ट का अनुभाग 6 (विश्लेषण और अनुशंसाएँ) देखें।

संदर्भ

• MITRE ATT&CK T1190 — सार्वजनिक-सामना करने वाले एप्लिकेशन का शोषण
• NVD — CVE-2014-6271
• pfSense दस्तावेज़ीकरण
• Suricata उपयोगकर्ता गाइड
• Emerging Threats Open Ruleset
• Wazuh दस्तावेज़ीकरण