Seguridad para servidores Linux ( Más fácil de leer)

15 min readSep 29, 2017

Asegurar un sistema en producción de las manos de hackers y crackers es una tarea difícil para un administrador del sistema. Este es nuestro primer artículo relacionado a “Cómo proteger el sistema Linux” o “endurecimiento de un Linux”. En este post vamos a explicar 25 consejos y trucos útiles para proteger el sistema Linux. Espero, que los consejos y trucos le ayudarán a ampliar y a proteger sus datos personales.

1. Sistema de Seguridad Física

Configure la BIOS para deshabilitar el arranque desde CD / DVD, dispositivos externos, unidad de disquete en la BIOS. A continuación, habilite la contraseña del BIOS y también protega GRUB con contraseña para restringir el acceso físico de su sistema.

2. La creación de particiones

Es importante tener diferentes particiones para obtener mayor seguridad de los datos en caso de que si ocurre cualquier desastre. Mediante la creación de diferentes particiones, los datos pueden ser separados y agrupados.

Cuando se produce un accidente inesperado, sólo los datos de la partición se dañarán, mientras que los datos en otras particiones sobrevivirán. Asegúrese de que dispone de las siguientes particiones separadas y asegurarse de que las aplicaciones de terceros se deben instalarse en los sistemas de archivos independientes en /opt.

/
/boot
/usr
/var
/home
/tmp
/opt

3. Minimizar Paquetes para minimizar la vulnerabilidad

¿De verdad quieres todo tipo de servicios instalado?. Se recomienda evitar la instalación de paquetes inútiles para evitar vulnerabilidades en los paquetes ya instalados. Esto puede minimizar el riesgo que comprometa un servicio y que puede llevar a comprometer otros servicios. Encontrar y eliminar o deshabilitar los servicios no deseados del servidor para minimizar la vulnerabilidad. Utilice el comando “chkconfig” para averiguar los servicios que se ejecutan en el nivel de ejecución 3.

# /sbin/chkconfig --list |grep '3:on'

Una vez que hayas averiguado cualquier servicio no deseado que se está ejecutando, desactivarlos mediante el siguiente comando.

# chkconfig serviceName off

Utilice el gestor de paquetes RPM, como herramientas “yum” o “apt-get” para listar todos los paquetes instalados en un sistema y eliminarlos mediante el siguiente comando.

# yum -y remove package-name# sudo apt-get remove package-name

Equivalencias entre DEB y RPM, y también APT y YUM para Linux

4. Compruebe Puertos de escucha de red

Con la ayuda de comandos de redes ‘netstat’ se pueden ver todos los puertos abiertos y los programas asociados. Como he dicho anteriormente utilizar el comando “chkconfig ‘para desactivar todos los servicios de red no deseados del sistema.

# netstat -tulpn

5. Use Secure Shell (SSH)

Telnet y rlogin utiliza protocolos de texto plano, sin formato cifrado, de por si, esto ya es un fallo de seguridad. SSH es un protocolo seguro que usa de la tecnología de cifrado durante la comunicación con el servidor.

Nunca entre directamente como root a menos que sea necesario. Utilice “sudo” para ejecutar comandos. sudo se especifican en /etc/sudoers también puede ser editado con la utilidad “visudo”, que se abre en el editor VI.

También es recomendable cambiar el número de puerto 22 por defecto SSH por otro número de puerto más alto. Abra el archivo principal de configuración de SSH y edite algunos parámetros siguientes para evitar que los usuarios tengan acceso.

# vi /etc/ssh/sshd_config

Deshabilitar root Login

PermitRootLogin no

Permitir sólo usuarios específicos

AllowUsers username

Usar SSH Protocolo 2 Version

Protocol 2

Proteger el SSH aquí: SSH

Mantenga actualizados del sistema

Siempre mantenga el sistema actualizado con los últimos parches de versiones, revisiones de seguridad y del núcleo cuando esté disponible.

# yum updates
# yum check-update# sudo apt-get update

7. Cronjobs Lockdown

Cron tiene su propia función incorporada, donde permite especificar quién puede y quién no lo desea, ejecutar los trabajos. Esto se controla mediante el uso de archivos llamado /etc/cron.allow y /etc/cron.deny. Para bloquear a un usuario utilizando cron, sólo tiene que añadir los nombres de usuario en cron.deny y permitir a un usuario ejecutar cron, complemento en el archivo cron.allow. Si desea desactivar todos los usuarios el uso de cron, agregue la línea “ALL” en el archivo cron.deny.

# echo ALL >>/etc/cron.deny

Ejemplos de cron aquí: cron

8. Desactivar detectar la memoria USB

Muchas veces sucede que queremos restringir a otros usuarios el uso de memoria USB en los sistemas para proteger y asegurar los datos de ser robados. Cree un archivo /etc/modprobe.d /no-usb ‘y añadiendo a continuación la línea no detectará el almacenamiento USB.

install usb-storage /bin/true

9. Active SELinux

Security-Enhanced Linux (SELinux) es un mecanismo de seguridad de control de acceso obligatorio previsto en el kernel. Deshabilitando SELinux significa la eliminación de mecanismo de seguridad del sistema. Piense dos veces antes de desactivarlo, si su sistema está conectado a Internet y se accede por el público, luego considere y piense un poco más en él.

SELinux proporciona tres modos básicos de operación y son.

Cumplimiento: Este es el modo por defecto que permitan y hacer cumplir la política de seguridad de SELinux en la máquina.
Tolerante: En este modo, SELinux no hará cumplir la política de seguridad en el sistema, sólo advertir y registrar las acciones. Este modo es muy útil en términos de resolución de problemas relacionados con SELinux.
Desactivado: SELinux está apagado.

Puede ver el estado actual del modo de SELinux desde la línea de comandos con “system-config-selinux ‘comandos’ sestatus’ o ‘getenforce ‘.

# sestatus

Si está deshabilitada, habilite SELinux con el siguiente comando.

# setenforce enforcing

También se puede gestionar desde archivo ‘/etc/selinux/config /’, donde se puede activar o desactivar.

10. Elimine el escritorio del servidor, sea… KDE / GNOME Desktops

No hay necesidad de ejecutar escritorios X Window como KDE o GNOME en su servidor dedicado. Puede quitarlo o deshabilitar para aumentar la seguridad de su servidor y rendimiento. Para desactivarlo, es sencillo abrir el archivo ‘/etc/inittab’ y establezca el nivel de ejecución 3. Si desea eliminar por completo del sistema, utilice el comando siguiente.

# yum groupremove "X Window System"

11. Desactivar IPv6

Si usted no está utilizando un protocolo IPv6, debe desactivarlo porque la mayoría de las aplicaciones o políticas no son necesarios para el protocolo IPv6 actualmente. Ir al archivo de configuración de red y agregar líneas siguientes pasos para desactivarlo.

# vi /etc/sysconfig/networkNETWORKING_IPV6=no
IPV6INIT=no

12. Restringir usuarios de utilizar contraseñas antiguas

Esto es muy útil si desea no permitir que los usuarios utilicen las mismas contraseñas. El archivo de contraseñas se encuentra en /etc/security/ opasswd. Esto se puede lograr mediante el uso de módulo PAM.

Abrir el archivo ‘/etc/pam.d/system-auth’ bajo RHEL / CentOS / Fedora.

# vi /etc/pam.d/system-auth

Archivo en Ubuntu / Debian / Linux Mint Abrir “/etc/pam.d/common-password”

# vi /etc/pam.d/common-password

Agregue la línea siguiente a la sección ‘auth’.

auth        sufficient    pam_unix.so likeauth nullok

Agregue la línea siguiente a la sección ‘password’ para no permitir que un usuario vuelva a utilizar una vieja contraseña.

password   sufficient    pam_unix.so nullok use_authtok md5 shadow remember=5

Sólo las últimos 5 contraseñas se recuerdan por el servidor. Si se trató de utilizar cualquiera de las últimos 5 contraseñas antiguas, obtendrá un error similar.

Contraseña ya ha sido utilizada. Elija otra. 
o
Password has been already used. Choose another.

13. Cómo comprobar la caducidad de la contraseña de usuario

En Linux, las contraseñas de usuario se almacenan en el archivo ‘/etc/shadow’ en formato cifrado. Para comprobar la caducidad de la contraseña de usuario, es necesario utilizar el comando ‘chage’. Muestra información de contraseñas, detalles de vencimiento junto con la última fecha de modificación contraseña. Estos datos son utilizados por el sistema para decidir cuando un usuario debe cambiar su contraseña.

Para ver la información de antigüedad de cualquier usuario existente como la fecha y hora de vencimiento, utilice el comando siguiente.

#chage -l username

Para cambiar el envejecimiento de cualquier usuario/contraseña, utilice el siguiente comando.

#chage -M 60 username
#chage -M 60 -m 7 -W 7 userName

Parámetros

-M Númeo el número máximo de días
-m número mínimo de días
-W Ajuste el número de días de aviso

14. Bloquear y desbloquear cuenta manualmente

El bloqueo y desbloqueo de las funciones son muy útiles, en lugar de eliminar una cuenta del sistema, se puede bloquear durante una semana o un mes. Para bloquear a un usuario específico, puede utilizar el comando siguiente.

# passwd -l accountName

Nota: El usuario bloqueado está disponible sólo para el usuario root. El bloqueo se lleva a cabo mediante la sustitución de contraseña cifrada con una cadena (!). Si alguien trata de acceder al sistema utilizando esta cuenta, recibirá un error similar al siguiente.

# su - accountName
This account is currently not available.

Para desbloquear o permitir el acceso a una cuenta bloqueada, utilice el comando igualmente. Esto eliminará (!) Cadena con contraseña cifrada.

# passwd -u accountName

15. La aplicación de contraseñas más seguras

Varios de los usuarios utilizan contraseñas blandas o débiles y su contraseña puede ser hackeado con un diccionario base o ataques de fuerza bruta. El módulo ‘pam_cracklib’ si está disponible en PAM (Pluggable Authentication Modules) obligará al usuario establecer contraseñas seguras. Abra el siguiente archivo con un editor.

Lea también:

# vi /etc/pam.d/system-auth

Y agregue la línea con los parámetros de crédito, (lcredit, ucredit, dcredi t y/o ocredit respectivamente minúsculas, mayúsculas, dígitos y otros)

/lib/security/$ISA/pam_cracklib.so retry=3 minlen=8 lcredit=-1 ucredit=-2 dcredit=-2 ocredit=-1

16. Habilitar Iptables (Firewall)

Es altamente recomendable activar el firewall de Linux para garantizar el acceso no autorizado de sus servidores. Aplicar las reglas de iptables a los filtros de entrada, paquetes salientes y reenvío. Podemos especificar la dirección de origen y de destino para permitir y denegar en concreto el número de puerto udp / tcp.

IPTables Guía y Consejos básicos

17. Desactivar Ctrl + Alt + Delete en Inittab

En la mayoría de las distribuciones de Linux, al pulsar ‘CTRL-ALT-DELETE’ se lleva el sistema para reiniciar el proceso. Por lo tanto, no es una buena idea tener esta opción activada, al menos en los servidores de producción.

Esto se define en el archivo ‘/etc/inittab’, si te fijas bien en ese archivo, verá una línea similar a la siguiente. Por línea por defecto no está comentada. Tenemos que comentar a cabo. Este particular secuencia de teclas de señalización será apagado el sistema.

# Trap CTRL-ALT-DELETE
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

18. Cuentas para contraseñas vacías

Cualquier cuenta con una contraseña vacía significa deja una puerta abierta para el acceso no autorizado a cualquier persona en la web y es una parte de la seguridad en un servidor Linux. Por lo tanto, debe asegurarse de que todas las cuentas engan contraseñas seguras y nadie tenga acceso no autorizado. Las cuentas con contraseñas vacías son los riesgos de seguridad y pueden ser fácilmente crackeadas. Para comprobar si había cuentas con contraseña vacía, utilice el comando siguiente.

# cat /etc/shadow | awk -F: '($2==""){print $1}'

19. Mostrar SSH Banner Antes Login

Siempre es una buena idea mostrar un aviso legal o banners de seguridad con algunas advertencias de seguridad antes de la autenticación en SSH. Para ajustar estos banners leer el siguiente artículo.

Mostrar SSH mensaje de advertencia a los usuarios

20. Supervisar las actividades de los usuarios

Si se trata de un montón de usuarios, entonces es importante recopilar la información de cada uno de las actividades del usuario y procesos consumidos por ellos y analizarlos en un momento posterior o en caso de cualquier tipo de rendimiento, problemas de seguridad. Pero, ¿cómo podemos controlar y recopilar información de las actividades del usuario.

Hay dos herramientas útiles llamados ‘psacct’ y ‘ACCT’ se utilizan para el seguimiento de las actividades y procesos de usuario en un sistema. Estas herramientas se ejecuta en un fondo del sistema y hacen un seguimiento continuo de cada actividad del usuario en un sistema y los recursos consumidos por los servicios como Apache, MySQL, SSH, FTP, etc Para obtener más información sobre la instalación, configuración y uso, visite el siguiente URL.

Supervisar la actividad del usuario con psacct o ACCT comandos

21. Revisar los registros con regularidad

Compruebe los registros de log del servidor dedicado, esto evita que los intrusos puedan modificar fácilmente los registros locales. Estos son los nombres más común en Linux por defecto para los archivos de registro y su uso:

/var/log/message — Donde están disponibles los registros del sistema entero o registros de actividad actuales.
/var/log/auth.log — Registros de autenticación.
/var/log/kern.log — logs del kernel.
/var/log/cron.log — logs crond (cron).
/var/log/maillog — los registros del servidor de correo.
/var/log/boot.log — registro de arranque del sistema.
/var/log/mysqld.log — archivo de registro del servidor de bases de datos MySQL.
/var/log/secure — registro de autenticación.
/var/log/utmp o /var/log/wtmp: Login archivo de registros.
/var/log/yum.lo g: archivos de registro de Yum.

22. Copia de seguridad de archivos importantes

En un sistema de producción, es necesario tener copias de seguridad de archivos importantes y mantenerlos en condiciones de seguridad bóveda, sitios remotos o fuera de las instalaciones para recuperación de desastres.

23. NIC Bonding

Hay dos tipos de modo de unión NIC, deben mencionar en la interfaz de unión.

mode = 0 — Round Robin
mode = 1 — Activa y Backup

NIC Bonding nos ayuda a evitar puntos de fallo. En unión NIC, que es unir dos o más tarjetas de red Ethernet juntos y hacemos una interfaz virtual único donde se puede asignar una dirección IP a hablar con otros servidores. Nuestra red estará disponible en el caso de una tarjeta NIC esté inactivo o no esté disponible por cualquier motivo.

Lea también: Crear NIC Channel Bonding en Linux

24. Mantener / arrancar en modo de sólo lectura

Linux kernel y los archivos relacionados se encuentran en el directorio /boot, que es por defecto como de lectura y escritura. Cambiar a sólo lectura reduce el riesgo de modificación no autorizada de archivos de arranque críticos. Para ello, abra el archivo “/etc/fstab”.

# vi /etc/fstab

Agregue la siguiente línea en la parte inferior, guardar y cerrar.

LABEL=/boot     /boot     ext2     defaults,ro     1 2

Tenga en cuenta que usted necesita reiniciar para restablecer el cambio de lectura y escritura si necesita actualizar el kernel en el futuro.

25. No haga caso de petición ICMP o Broadcast

Agregue la línea siguiente en el archivo “/etc/sysctl.conf” para hacer caso omiso de petición ping o broadcast.

Ignore ICMP request:
net.ipv4.icmp_echo_ignore_all = 1

Ignore Broadcast request:
net.ipv4.icmp_echo_ignore_broadcasts = 1

Cargar nuevos ajustes o cambios, mediante la ejecución comando siguiente

#sysctl -p

Escriba primero:

# chkconfig --list# chkconfig --list | grep :on

O simplemente utilizar el siguiente comando para ver los servicios que se activan sólo para el nivel de ejecución 3.

# chkconfig --list | grep 3:on

A continuación, podría utilizar un comando como este para eliminar el servicio de puesta en marcha.

# chkconfig --del 'service-name'

Consejo # 13 — Desinstale X Windows
Considere la posibilidad de la eliminación total de X Windows en su sistema, y utilice sólo la línea de comandos para la gestión. No hay nada que usted pueda hacer en la interfaz gráfica que no se puede hacer desde la línea de comandos y la eliminación no sólo va a mejorar la seguridad, sino también el rendimiento porque no se desperdician los recursos del sistema cuando se muestra la interfaz gráfica de usuario.

Consejo # 14 — Secure Kernel Linux
Usted puede asegurar su Kernel Linux modificando el archivo / etc / sysctl.conf, este archivo es leído por el núcleo durante el arranque y puede ser editado con los siguientes valores para añadir seguridad adicional.

# Turn on execshield
 kernel.exec-shield =1
 kernel.randomize_va_space =1
# Don't reply to broadcasts. Prevents joining a smurf attack
 net.ipv4.icmp_echo_ignore_broadcasts =1
# Enable protection for bad icmp error messages
 net.ipv4.icmp_ignore_bogus_error_responses =1
# Enable syncookies for SYN flood attack protection
 net.ipv4.tcp_syncookies =1
# Enable IP spoofing protection
 net.ipv4.conf.all.rp_filter =1
 net.ipv4.conf.default.rp_filter =1
# Log spoofed, source routed, and redirect packets
 net.ipv4.conf.all.log_martians =1
 net.ipv4.conf.default.log_martians =1
# Don't allow source routed packets
 net.ipv4.conf.all.accept_source_route =0
 net.ipv4.conf.default.accept_source_route =0
# Don't allow outsiders to alter the routing tables
 net.ipv4.conf.all.accept_redirects =0
 net.ipv4.conf.default.accept_redirects =0
 net.ipv4.conf.all.secure_redirects =0
 net.ipv4.conf.default.secure_redirects =0
# Don't pass traffic between networks or act as a router
 net.ipv4.ip_forward =0
 net.ipv4.conf.all.send_redirects =0
 net.ipv4.conf.default.send_redirects =0

Consejo # 15 — Instalar los parches del kernel Linux
Debe tener una política de seguridad para el manejo de los parches del kernel Linux, la cual debe incluir los parches de seguridad de Linux para recibir las actualizaciones y probarlos para asegurar que los problemas no se plantean y que los parches se han instalado en el sistema. Asegúrese siempre de que los servidores en producción se actualizan con regularidad para evitar cualquier posible vulnerabilidad conocida de la explotación en el sistema.

Consejo # 16 — particiones separadas
Debe crear particiones separadas para los directorios, modificables sólo por usuarios permitidos y bloquear el acceso de escritura y ejecución a las particiones que no sean necesarios. Usted debe considerar la colocación de los siguientes sistemas de archivos en particiones diferentes.

/usr 
 /home 
 /var y /var/tmp 
 /tmp

A continuación, puede editar el archivo /etc/fstab para impedir la ejecución de archivos binarios, desactivar los dispositivos de bloques en la partición y evitar que poner SUID / SGID en los archivos. He aquí una entrada fstab común para limitar el acceso del usuario al directorio ftpdata.

/dev/sda5 /ftpdata ext3 defaults,noexec,nodev,nosuid 1 2

Consejo # 17 — Use las extensiones de seguridad de Linux
Hacer uso de software como SELinux, AppArmor o GRSecurity para proporcionar endurecimiento adicional a su Kernel Linux. Estos productos proporcionan las políticas adicionales para restringir los procesos y servicios basados en listas de control de acceso.

Consejo # 18 — servidores separados para distintos servicios
Considerar la creación de diferentes servidores físicos o virtuales para diferentes funciones, es decir, separar su servidor de correo y el servidor web, o el servidor de base de datos y el servidor de aplicaciones. Esto garantiza que si un determinado servicio se ve comprometido, está contenido en un solo servidor.

Consejo # 19 — Seguridad física de los servidores
Usted puede proteger su servidor lo más posible de los ataques a distancia, pero si no hacen nada para proteger el hardware físico no tiene sentido. Si alguien tiene acceso a su servidor físico, puede eliminar el disco duro y acceder a los datos confidenciales o arrancar desde un CD y acceder a sus datos. Considerar la creación de una contraseña de BIOS y deshabilitar el arranque desde CD o USB. También se debe proteger con contraseña el gestor de arranque (GRUB o LILO, etc) para evitar que los usuarios accedan a modo de usuario único o entornos de recuperación, donde no se requieren contraseñas.

Consejo # 20 — Configuración de NTP
Contar con un sistema de reloj preciso es importante para la revisión de los archivos de registro y determinar cuándo se produjo un evento. A menudo, los relojes del sistema, pueden producirse problemas de sincronización o de ser puesto a una fecha más antigua y esto puede causar estragos en el seguimiento de los errores. Considere la posibilidad de crear una tarea programada en lugar de ejecutar ntpd (ver el consejo # 12) para actualizar la hora del día o por hora con una fuente común para todos los servidores.

Consejo # 21 — Monitor de todos los registros
Configuración de registro y software de auditoría de seguimiento de errores y cambios en sus servidores, tales como auditd y Logwatch / Logcheck. Considere la posibilidad de configurar un servidor de registro remoto que se actualiza regularmente para protegerse de un intruso poner en peligro los archivos de registro sin su conocimiento.

Consejo # 22 — Desactivar IPv6
IPv6 muy rara vez se necesita en esta etapa ya que la mayoría sólo utiliza el tráfico IPv4 e IPv6 es permitido sólo una red que necesita controlar y proteger.

Deshabilitar IPv6 es la opción más fácil, pero si por alguna razón que lo requiere, entonces debería configurar un firewall IPv6.

Consejo # 23 — Elimina SUID y SGID de archivos
Después de haber instalado y configurado el sistema y el software que deben ejecutar los siguientes comandos para buscar todos los archivos y carpetas con el conjunto de SUID, SGID:

Puede escribir estos comandos.
Para encontrar todos los archivos SUID:

# find / -xdev -type f -perm +u=s -print

Para encontrar todos los archivos SGID:

# find / -xdev -type f -perm +g=s -print

Para encontrar riesgos globales:

# find / -xdev -perm +o=w ! ( -type d -perm +o=t ) ! -type l -print

Para buscar ficheros (y directorios) que el grupo puede escribir:

# find . -perm /g+w

Para buscar idem, que “otros” puede escribir

# find . -perm /o+w

# Para buscar directorios en los que “otros” puede escribir:

find . -type d -perm /o+w

# Para evitar justo lo anterior, quitando los permisos a aquellos directorios en los que “otros” puede escribir:

chmod o-x `find . -type d -perm /o+w`

A continuación, debe inspeccionar cada archivo y carpeta para determinar si tienen la configuración correcta y si no se utiliza el comando chmod para realizar cambios en ellos.

Consejo # 24 — Cifrar los datos confidenciales
Sus datos se suelen almacenar en un disco duro en un formato no cifrado por lo que cualquier usuario que tenga acceso al servidor puede quitar el disco duro e instalarlo en otro sistema y leer todos sus datos. Usted debe considerar la configuración del disco Linux o cifrar la carpeta ya sea su HOME o directorios / carpetas sensibles (es decir, archivos de bases de datos, correos electrónicos, etc.) Si bien se puede cifrar todo el disco se trata de una gran cantidad de trabajo y no suele valer la pena.

Consejo # 25 — Seguridad del software
Es bueno tener un servidor Linux de alta seguridad, pero el sistema sólo es seguro, como el software que se ejecutan en él. Siempre se debe instalar las últimas versiones de software y asegurese de que está al día. También la mayoría de los programas tienen la manera de hacerlos más seguros mediante la edición de sus archivos de configuración y desactivar las partes innecesarias del software. El siguiente es un ejemplo para el endurecimiento de la configuración del servidor OpenSSH, sólo tiene que añadir lo siguiente a su fichero de configuración de OpenSSH.

# Use only SSH Protocol Ver 2
Protocol 2
# Only allow the following users SSH Access
AllowUsers User1 User2 etc
# Deny access to the following users
DenyUsers admin etc
# Set the timeout period for idle sessions (in seconds)
ClientAliveInterval 300
ClientAliveCountMax 0
# Disable .rhosts files
IgnoreRhosts yes
# Disable Host-Based Authentication
HostbasedAuthentication no
# Remove ability to login as Root
PermitRootLogin no
# Change the default SSH Port (Not essential but can help uncomment if you want)
#Port 22
#ListenAddress 192.168.1.1
# Consider CHRooting users to their own directories.
# Subsystem sftp internal-sftp
#Match group sftponly
# ChrootDirectory /home/%u
# X11Forwarding no
# AllowTcpForwarding no
# ForceCommand internal-sftp
# Disable empty passwords from login
PermitEmptyPasswords no
# Set your required Log Level (Either INFO or DEBUG)
LogLevel INFO
# Turn on privilege separation
UsePrivilegeSeparation yes
# Prevent the use of insecure home directory and key file permissions
StrictModes yes
# Turn on reverse name checking
VerifyReverseMapping yes
# Do you need port forwarding?
AllowTcpForwarding no
X11Forwarding no
# Specifies whether password authentication is allowed. The default is yes.
PasswordAuthentication no