Przeprowadziłem „szeroko zakrojone” badania nad zabezpieczeniem serwera WWW z linuksem. Oprócz tego, co uważa się za „podstawy” (usuwanie nieużywanych usług, hartowanie ssh, iptables itp.), Czy rozsądnie jest włączyć programy antywirusowe (Tripwire) i antywirusowe (ClamAV)? Czy to tylko przesada dla serwera WWW? Wiem, że to bardzo niejasne pytanie, ale jestem ciekawa opinii innych.
Moje przyszłe środowisko: - ubuntu 10.04 - fail2ban - nginx 0.8.x - php 5.3.x (suhosin, apc, memcached) - mongodb 1.6.x
Możliwe zastosowania: - serwisy internetowe - aplikacje internetowe z przesyłaniem przez użytkowników (zdjęcia, pliki pdf itp.) - typowe strony internetowe (formularze itp.)
Jeśli masz jakieś inne wskazówki, dodaj je!
Dzięki
Nie, nie posunąłeś się wystarczająco daleko.
1) Potrzebujesz zapory sieciowej, takiej jak mod_security, i upewnij się, że jest skonfigurowana do blokowania ataków, a nie tylko ich rejestrowania.
2) Zablokuj php za pomocą phpsecinfo .
3) Zablokuj konto MySQL swojej aplikacji internetowej, upewnij się, że Twoja aplikacja nie ma
FILEuprawnień, jest to zdecydowanie najbardziej niebezpieczne w MySQL.4) Firewall wyłącza wszystkie UDP i wszystkie TCP, których nie potrzebujesz. Rozważ użycie pukania portów dla ssh. Brak banowania nie jest tak dobry, jak uzyskanie zerowych prób.
źródło
Prawdopodobnie możesz bezpiecznie zainstalować AIDE na serwerze sieciowym - dodawanie i usuwanie klientów nie zmienia zbyt wielu plików konfiguracyjnych, i prawdopodobnie możesz łatwo odfiltrować normalne rozmowy.
Jednak w wielu instrukcjach bezpieczeństwa serwera WWW nie ma wzmianki o tym, że należy włączyć noexec na partycji / tmp w / etc / fstab. Jeśli oferujesz hosting dla społeczeństwa, wiele osób zainstaluje niepewne aplikacje internetowe bez Twojej wiedzy (i nie będą miały wystarczającej wiedzy, aby aktualizować swoje aplikacje), a ty w zasadzie ścigasz te błędy na zawsze. Jeśli upewnisz się, że jedynym miejscem, w którym osoba atakująca może zapisać oprogramowanie, jest katalog osobisty klienta i katalog / tmp, osoba atakująca może pokazać, gdzie się włamuje, jeśli nie może skorzystać z katalogu / tmp. Nie lubią tego robić.
Dzięki temu rozwiązano większość problemów bezpieczeństwa na naszym serwerze hostingowym.
źródło
„Witamy na pokładzie! Na pokładzie naszego nowego samolotu możesz cieszyć się restauracją, kinem, siłownią, sauną i basenem. Teraz zapnij pasy, nasz kapitan spróbuje uwolnić to gówno w powietrzu.”
mod_security to problem zarówno dla ciebie, jak i dla serwera. Jest głodny zasobów, a jego zasady wymagają poważnego utrzymania i będzie to niekończące się zadanie. I nie, nie działa samodzielnie ani z Nginx. Jeśli czujesz, że naprawdę go potrzebujesz, skonfiguruj osobny serwer proxy (Apache, mod_proxy, mod_security). Działa również jako DMZ, twoje prawdziwe serwery mogą być całkowicie zamknięte na świat zewnętrzny, a jeśli serwer proxy zostanie naruszony, nic nie będzie.
ClamAV jest również bardzo ciężki, jeśli działa jako demon. Lepiej jest uruchamiać clamscan okresowo podczas nieaktywnych godzin z Cron.
Tripwire to przesada, IMHO. Przydałoby się jednak coś zdolnego do wyłapania rootkitów, istnieje wiele skryptów (rkhunter, chkrootkit).
Uważam, że co najmniej 90% rootkitów itp. Dostaje się na serwery poprzez przesyłanie z urządzeń deweloperskich Windows. Nie ma naprawdę dobrego sposobu, aby temu zapobiec, oprócz zmuszenia deweloperów do nigdy nie używania systemu Windows. Większość trojanów szuka poświadczeń FTP, więc nigdy nie używaj FTP.
źródło
Czy używanie ochrony formularzy captcha w popularnym silniku CMS (Wordpress, Jomlaa, Drupal) jest uważane za praktykę bezpieczeństwa? Jeśli tak, możesz użyć tych:
źródło