Debian Dienste und Ports

[Operaiter]

Hallöchen alle zusammen,

ich bin gerade dabei ein möglichst sicheres System aufzusetzen. Ich bin mir bewusst dass das nicht bedeutet, dass ich jetzt einmal alles richtig mache, sondern dass ich daran immer weiter arbeiten muss.

Ich hab mir jetzt mal in einer VM Debian 5.0 Minimal Installation installiert.

Ich würde jetzt gerne sehen welche Dienste auf dem Server alle laufen, und die Dienste die ich gar nicht brauche wegschmeißen, bzw. blockieren

Ziel des Servers: Web(Apache MYSQL PHP) Mail FTP [OpenVPN(-Client)]

Meiner Meinung nach kann ich also alle anderen Dienste deaktivieren. Aber welche Dienste tragen zu einem sauberen Debian betrieb bei? Den DNS-Service sollte ich nicht abschalten. z.B.

Aber was gibt es noch so für Sachen die ich abschalten kann?

Gibt es ein Programm mit dem ich die Ports des Server Scannen kann?

Dann kommen wir zu meiner zweiten Frage:
Zurzeit nutze ich IPTables die nur einen Zugriff auf SSH (Port != 22)weiterleitet. Ansonsten alle einkommende Pakete verwirft. Bald will ich natürlich Mail HTTP FTP auch freigeben...

Momentan erlaube ich alle ausgehenden Verbindungen. Würde es denn Sinn machen dies auch zu unterbinden? Ich stell mir das Szenario so vor, dass sich jemand bei mir einhackt, und ein Programm einbettet welches z.B. BruteForce Attacken auf andere Server ausführen will. Was aber wenn dieses Programm nun keinen Port nach außen findet?

Fraglich wäre dann aber wieder welche Ports ich freigeben müsste, für einen normalen (server) Debian betrieb, und ob das Programm nicht auch diese Ports nutzen könnte. Aber wenn einer Port 88998 konfiguriert und dieser ist zu ist das EIN weiterer Schritt ...

Theoretisch ist es möglich. Aber funktioniert dann das System noch?!

Das Ziel ist es halt, dass WENN ein Hacker in meinem System ist, oder irgendein Exploid ausnutzt nicht sofort über meinen Server andere Server kompromittieren kann.
Natürlich wäre man in der Lage WENN man Zugriff auf das System hat die IPTABLES zu editieren, ABER es ist EIN Schritt mehr zu Sicherheit.

Also zwei Punkte:

1. Welche Dienste kann ich abschießen, weil Ich sie nicht nutze, und sie potentielle Schwachstellen sind
2. Wie kann ich das System abschotten dass wenn ich gehackt bin nichts rauskommt.

Stichwort Chroot? Wie sicher ist es wirklich? Ich les immer nur dass man da easy ausbrechen kann. Aber wäre wieder ein Schritt mehr oder?

Wäre dankbar für ein paar Rückmeldungen.
LG OP

Edit:

Momentan habe ich nur openSSH nachinstalliert.
-Root Login verboten.
-NUR ein bestimmter User darf sich einloggen.
-Momentan nutze ich noch das Passwort verfahren, bin aber gerade parallel dabei auf Zertifikate umzustellen :]

 

[DerMitSkill]

Gibt es ein Programm mit dem ich die Ports des Server Scannen kann?

nmap

*10 Zeichen*

 

[Operaiter]

Laut nmap hat mein Server keine offene Ports

Aber ich hab auf einem Port meinen SSH-Server liegen... :-/

Habs so probiert:

nmap -v -sS -O 85.25.64.92

Hmpf

Edit

mit -p den Portrange vergrößert, nun EINEN offenen Port gefunden :]

Das ist doch mal sehr schön

 

[virtual2]

Prüf doch einfach immer wieder die md5 Prüfsummen der entsprechenden Datein wie z.B. md5sum /bin/netstat.

 

[Cenic]

Warum mühsam von außen scannen, wenn

netstat -l

auf der Maschine selber schön die Ports auflistet? UNIX domain sockets kann man ignorieren, da die nur lokal erreicht werden (Sockets mit Filenamen im Dateisystem). Ebenso alles was an localhost hängt. Die Ports mit dem Hostnamen oder einem * sind von außen erreichbar. Die Option -p als root zeigt sogar den Prozeß, der den jeweiligen Port geöffnet hat.

 

[Glamdring]

Warum mühsam von außen scannen[...]?

Weil Deine Methode ein vertrauenswürdiges netstat-binary voraussetzt.

Bei einer frisch aufgesetzten Kiste kann man das zwar höchstwahrscheinlich, trotzdem ist es IMHO sinnvoll, sich eine gewisse Paranoia anzuerziehen.

 

[Operaiter]

Prüf doch einfach immer wieder die md5 Prüfsummen der entsprechenden Datein wie z.B. md5sum /bin/netstat.

Hallo virtual2, was bewirkt das?

Danke! LG

 

[dev]

Nix, ausser dass man Gewissheit darüber erlangt, dass die eigenen Pakete nicht modifiziert worden sind. Macht meiner Ansicht nach aber nun Sinn, wenn man die Kiste steril offline aufsetzt und dann gleich damit anfängt.