Absicherung ausreichend?

[Ogad]

Hallo!
Tja, nun bin auch ich frisch gebackener vServeradmin

Auf meinem vServer läuft bisjetzt nur der Apache2 Webserver sowie SSH. Bei der Bestellung gab ich an, man möge mySQL und einen Mailserver und FTP weglassen, was auch passierte.

So, nun habe ich folgende Sicherheitsvorkehrungen gemacht:
- SSH:
Rootlogin verboten,
auf Protocol 2 beschränkt,
nur den extra angelegten User den Shellzugriff erlaubt
und die LoginGraceTime heruntergesetzt
Port geändert

Da ich ja keinen Mailserver/Datenbankserver/FTPserver installiert habe, muss ich diese ja auch nicht absichern.

Anschließend flößte ich Debian noch die neusten Updates ein.

Frage nun: Reicht diese Absicherung fürs erste? Was wäre noch zutun?

Gruß,
Ogad

 

[elias5000]

Reicht diese Absicherung fürs erste?

Absicherung reicht nie. Selbst wenn dein System in einem Moment sicher wäre, könnte in der nächsten Sekunde etwas passieren, das das dramatisch ändert.

Du könntest eine unsichere Änderung vornehmen. Oder von einem bis eben noch sicher geglaubten Programm wird eine Lücke bekannt - ein Patch ist aber noch nicht in Sicht...

Es kann dir keiner sagen, ob dein System gut abgesichert ist außer du selbst. Die von dir aufgezählten Maßnahmen sind ein Grundstein.
Die eigentliche Arbeit ist, diese Frage selbst beantworten zu können. Wenn du das _wirklich_ kannst, dann ist deine Maschine mit großer wahrscheinlichkeit sehr sicher.

 

[snakel]

Hallo

also ich kann dir mal ein paar Sicherheitsmaßnahmen aufzählen die ich standardmäßig bei neuen Server durchführe.

1. SSH Port auf einen anderen Port legen und den "banner" weg
2. FTP Banner weg
3. Sämtliche unötige Dienste deaktivieren
4. IP-Tables einrichten inkl Ping Deaktivierung
5. System up to date halten

Aber wie mein Vorgänger schon sagte, man weis nie was kommt und das kann ziemlich schnell gehen

gruß

 

[Firewire2002]

Hallo
4. IP-Tables einrichten inkl Ping Deaktivierung

Mit dem blocken von Ping Requests sollte man vorsichtig sein. Es gibt durchaus sinnvolle Anwendungen bei denen Pings benötigt werden. (Traceroutes, Monitoring, usw.)
Wer für sich selbst explizit sagt "ok brauch ich nicht" solls blocken, ansonsten ist wohl hier zu sagen, lieber offen lassen und via IPTables die Anzahl der Ping Requests, die beantwortet werden, limitieren.

 

[elias5000]

Für das inrichten eines IP-Filters kann ich shorewall wärmstens empfehlen.