backup / schadsoftware scan

[heppi]

hallo,

ich habe aktuell einen root server den ich selbst betreue und mache mir nun einige gedanken zu möglichen problemen die sowas mit sich bringen kann.

1. backup:

aktuell verwende ich eine ganz einfache sicherung indem der ganze server via tar wöchentlich gesichert wird. ist sowas für den ernstfall genug - als ernstfall meine ich einen kompletten restore des servers. da ich diesen fall noch nicht hatte - wie muss man sich die herangehensweise dafür vorstellen - server im rescue starten - platten und backup mounten und einfach über die ordnerstruktur kopieren - server wieder starten? funktioniert das wirklich so einfach?

2. schadsoftware

generell betreibe ich kein klassisches hosting - alle accounts auf dem server werden grundsätzlich von mir genutzt - dennoch kommt es auch hier vor das natürliche in gewissen accounts alte cms versionen am laufen sind die sicher mit der zeit die ein oder andere schwachstelle haben. ich frage mich nun wie ich zumindest regelmäßig den server nach schadsoftware untersuchen kann - welche tools gibt es dafür - ich habe mir vor kurzem "maldet" angeschaut - taugt so ein script was - gibt es bessere alternativen? - wie handeln das die "linus profis" unter euch. denke mir gerade bei anbietern die viele user drauf haben - da weiss man ja nie was wer macht?

3. fachmagazine

gibt es gute fachmagazine die ihr empfehlen könnt? auch ein guter linux kurs wäre mal interessant - vielleicht im raum münchen? kennt jemand diesen kurs / anbieter: https://mathias-kettner.de/linux_schulung_muenchen.html

wäre dankbar für einige tipps ...

danke,
heppi

 

[d4f]

aktuell verwende ich eine ganz einfache sicherung indem der ganze server via tar wöchentlich gesichert wird. ist sowas für den ernstfall genug

Wenn tar mit den entsprechenden preserve-Parameter aufgerufen wird SOLLTE es grösstenteils funktionieren. Einmal die Woche halte ich allerdings generell für nicht oft genug, eventuell wäre falls möglich ein rsync-Backup mit --link-dest und bspw Wochenrotation sinnvoller.

- server im rescue starten - platten und backup mounten und einfach über die ordnerstruktur kopieren - server wieder starten? funktioniert das wirklich so einfach?

Nein, zuerst mal darfst du grub sowie u.U. die fstab (HDD UUID) neu installieren und ggf anpassen. Sofern du nur eine Partition hast sollte es danach recht schmerzlos sein. Erfahrungsgemäss klappt es aber nie auf Anhieb, buche dir also ne KVM-Konsole vom Anbieter

ich frage mich nun wie ich zumindest regelmäßig den server nach schadsoftware untersuchen kann - welche tools gibt es dafür - ich habe mir vor kurzem "maldet" angeschaut - taugt so ein script was - gibt es bessere alternativen?

Ich kann CXS empfehlen. Wird zwar ausschliesslich für Redhat-Derivate und cPanel vertrieben, läuft aber prinzipiell auf jeder aktuellen Distro wenn man den Start per Konsolenbefehle anwirft. Kombiniert mit Clamav und "unofficial signatures" (https://github.com/extremeshok/clamav-unofficial-sigs) hat man für einen überschaubaren Startkostenpreis ein sehr zuverlässiges und vernünftiges System.
Ich habe für meinen Einsatz ein Cronjob rundherum gebaut der nach dem rsync-Backup auf dem Backupserver die Dateien überprüft und dann Warnungen per Email versendet sofern was gefunden wurde.

gibt es gute fachmagazine die ihr empfehlen könnt?

Ich finde Fachmagazine generell rausgeworfenes Geld weil üblicherweise NICHTS sinnvolles drin steht was ich nicht schon lange über die Newsfeeds mitgekriegt habe.

 

[xxRAAITxx]

Hi,

@Virenscan:
Mache es ähnlich wie d4f beschrieben hat,
nach jeder Backup-Rotation lasse ich nen AVScan auf die Betroffenen Ordner los
und mich bei fund alamieren.

@Backups:
Backups soltest du eig Täglich machen!
- 1x Wöchentlich fullbackup
- 6x Tagesbackup (Inkrementell) via rsync / rsnapshot

Beim Wiederherstellen bsp über nen Backup-Space
und nem Echten Server via KVM ins Rescue Menü booten.

- Altes System und Backup einhängen
- Alte System clean machen
- rsync backup auf systemplatte (soltest du nur eine partition nutzen)
-- bei mehreren ist die vorgehensweise ähnlich nur müssen diese auch eingehengt werden.

- Grub Installieren auf die Systemplatte
- ggf /etc/fstab für UUID's Anpassen

Reboot und hoffen das das system wieder leuft.
Schau dir mal das folgende Projekt an:

http://relax-and-recover.org/

Damit kanst du dir ein rescue image bauen das bsp ein backup-ftp einbindet und den rest des recovery komplett alleine macht Relax and Recovery.

Setze ich nun schon eine ganze weile für Desaster Recovery ein und hat mir oft
zeit / nerven gespart!

Das ISO für das Recovery kanst du bsp via KVM direckt einbinden

@Linux Fachmagazine:
Ist rausgeschmissenes Geld! Es stehen zwahr oft Step-by-Step Anleitungen drinne
zum Ausprobieren ABER! Diese kann man sich auch selber zusammensuchen im Netz
und dazu ist alles was in diesen sog. Fachmagazinen steht in newsfeeds schneller zu bekommen daher nur zusammengefast!

Ich würde dir eher parr gute Bücher empfehlen zu lesen diese bieten einen deutlichen mehrwert und sind oft ihr geld demnach wert!

 

[heppi]

hi,

danke für eure antworten - ich würde gerne mal so einen notfall in einer testumgebung ausprobieren - hab das noch nie gemacht.

also ich boote im rescue, hänge alte platte und backup ein und kopiere den gesamten tar auf die systemplatte - korrekt?

was muss ich dann noch machen - also mit grub - was muss da noch gemacht werden - einfach ein z.B. grub-install /mnt/sda - und bitte erklär mir noch etwas genauer die thematik mit den UUID's in der fstab ...

danke!

 

[budspencer]

Sobald du auch nur ein einziges CMS wie Joomla, Wordpress, typo... etc einsetzt solltest du maldet installieren.

es gibt immer wieder plugins etc. die einen File Uploade erlauben und so unbemerkt einen phpmailer oder was auch immer auf deinen webserver schieben.

bei mir läuft maldet im monitor mode und hat vergangenes Jahr 4 Angriffe abgewehrt in dem es die Datei sofort in Quarantäne verschoben hat und mir einen E-Mail gesendet hat. Nach kurzer Recherge war klar, wieder ein exploit in einem Plugin, Theme...

 

[IP-Projects.de]

Ich habe wegen Virenscan einmal vor etwas längerer Zeit ein Script veröffentlicht - http://blog.ip-projects.de/automatischer-virenschutz-debian-ubuntu-server/ - Das kannst du auch installieren. Du musst aber ggf. ein paar Parameter beim Scan selbst auf die richtigen Ordner anpassen je nach Verwaltungsoberfläche.