Ist der Server Sicher

Mordor

Mordor

Registered User
So, nach einigem Rumprobieren und ausprobieren, hab ich meinen ersten Webserver der öffentlich verfügbar ist auch fertig. Die Frage die sich mir nun stellt ist, ob ich was vergessen hab und ob der Server jetzt auch allgemeinen Sicherheitsansprüchen genüge tut.

Hier mal kurz die Auflisten, was ich gemacht habe:

1. SSH-zugang
- Nur SSH2 möglich
- SSH Port in einen hohen Portbereich verschoben
- Root-zugriff verboten
- Authentifizierung über einen unpreviligierten user via Passworteingabe. (RSAkey ist nicht möglich, da ich auf den Server von mehreren teils wechselnden Rechner zugreifen möchte)
- Nach dem einloggen über den User gehe ich über su weiter

2. iptables
- iptables erstellt für alle dienste die ich brauche
- Pings und unnötige Pakete werden geblockt
- Policy steht auf DROP, es darf also nur das rein und raus, was ich angegeben hab

3. Dienste und Programme
- Alle unnötigen Dienste deinstalliert
- Es läuft nur Apache, Mysql und die benötigten Systemdienste
- Eigener User und Gruppe für Apache und Mysql
- Mysql von Aussen nicht erreichbar nur über localhost
- Regelmäsiges Einspielen von Updates und Patches

4. Logfiles und Kontrolle
- Logrotate mit weiterleitung der Archive via E-Mail (Sendmail)
- Sysscan
- SRVreport für die tägliche benachrichtigung via E-Mail
- Snort

Apache PHP
- PHP Safe-Mode
- register_globals off
- all_url_fopen off
- display_errors off
- open_base_dir pfad zu htdocs

Zum Server:
- Suse 9.3 mit deinstalliertem Plesk
- 1und1 vServer

Ich hab jetzt über ein halbes Jahr daehim an nem kleinen Server rumprobiert, und jetzt soll in spätestens zwei Monaten das alte Hosting aufgegeben werden, und alle Seiten auf den vServer umziehen. Deshalb eben die Frage, ob das System sicher ist, oder ob ich was vergessen/falsch gemacht hab.

danke schon mal

Gruß Mordor
 
Last edited by a moderator:
Ein System ist nie "sicher" - das gibt es nicht. Es sieht aber schonmal gar nicht so schlecht aus.

Das Login per Passwd solltest du verbieten. Für Zugang von wechselnden Rechnern gibt es USB-Sticks, auf denen man den Key transportieren kann. Sollte man immer als OpenSSL- und PuTTY-Version dabei haben. Einen _sicheren_ Passphrase (>10 Stellen) nicht vergessen, falls der Stick mal verloren geht.
 
Last edited by a moderator:
Klar ist ein Rechner der ein Netzwerkkabel dran hat und nicht im boden vergraben ist nie wirklich sicher. Viel mehr ging und geht es mir darum, den Rechner so sicher wie nötig und auch möglich (eben mit dem richtigen Verhältnis zu Zeit und Nutzen) zu machen.

Das mit dem USB-stick ist ne gute Idee. Vorallem hat man dann eben wirklich nen Schlüssel dabei.

Und klar, das Passwort ist lang genug ca. 20 Zeichen mit wechselnden Buchstaben Zahlen und Groß und Kleinschreibung. Wundert mich, dass ich mir das selber merken kann!:rolleyes:

Danke erst mal für die Antwort
 
Eine Frage hätte ich da noch:

Mir ist heute aufgefallen, dass trotz der iptables Virtuozo über https und nen hohen Port noch erreichbar ist. Dort melde ich mich mit dem RootPasswort an. Die Frage ist nun, ob man Virtuozo so konfigurieren kann, dass es nicht mehr öffentlich im Netz liegt, sondern dass es nur noch über das 1und1 Controlpenal erreichbar ist.

Gruß Mordor
 
Hallo,

ich gehe mal davon aus das du Plesk meinst ?

Ich nutze eine andere Software und bin alleine auf dem Server von daher hab ich das htaccess geschützt mit IP Range vergabe und zusätzlich ab Resseler das ganze noch mit IP Range in der PHP.

mfg
the_condor
 
elias5000 said:
Für Zugang von wechselnden Rechnern gibt es USB-Sticks, auf denen man den Key transportieren kann.
Click to expand...

Das nützt einem alles nichts, wenn man vor einem Windows NT Rechner sitzt und keine Rechte hat Treiber zu installieren. (So wie ich jetzt eben. :rolleyes:)
 
Hätte ich Plesk gemeint, hätte ich Plesk geschrieben ;)
Plesk ist dass, was ich vom Server verbannt hab.

Nein, ich meine die Steuerung für den vServer. Mitlerweile und nach einigem Nachvorsche gehe ich mal davon aus, dass ich darauf keinen Einfluss habe. Mit ipTables sind die Ports zwar dicht, aber anscheinend geht das vom realen Server aus, dass die Steuerung für den vServer immer noch über einen Highport erreichbar ist.
 
Deine Konfiguration sieht schonmal nicht schlecht aus, wobei das Verschieben des sshd-Ports keine Sicherheit bringt, aber die nervigen sshd-Zombies ins Leere laufen läßt.

Ich persönlich würde gar keine Verwaltungstools (Confixx, Plesk, Webmin usw.) einsetzen, weil sie root-Rechte verlangen und das bereitet Unbehagen.

Schließlich sehe ich keinen Sinn darin, ICMP zu blockieren.
 
Ich blocke auch ICMP

Ach ja:
Sagt mal schreib ich eigentlich chinesisch?:D
Ich glaub im ganzen Thread steht mindestens zweimal drin, dass ich PLESK von der Platte verbannt habe!!!;)
 
@stefan444
Genau meine Rede. Zwar nur ein kleines Steinchien, aber ein Mosaik wird ja auch erst richtig, wenn man mehrere Steine zusammen fügt.
 
You must log in or register to reply here.
Back
Top