Mein erster vServer :)

4

486er

New Member
Guten Morgen zusammen,

nach langer und reiflicher Überlegung plane ich nun, einen kleinen vServer zu mieten. Da ich mir der Verantwortung, die durch den Betrieb eines Servers entsteht, durchaus bewusst bin, habe ich mir eine VM auf dem lokalen PC aufgesetzt, um mal das ganze durchzuspielen.

In der Testumgebung läuft ein CentOS 5-System. Dies wird auch das System auf meinem vServer werden. Als Serverdaministrationssoftware verwende ich "Plesk" (ja, ich weiß: Das Tool nimmt einem nur solche Dinge ab wie Benutzeraccounts und Datenbanken erstellen, für die Sicherheit tut das Ding gar nichts).

Bisher habe ich folgende Sicherungsmaßnahmen gesetzt:
Beim SSH:
  • SSH-Port verschoben [als Schutz vor Scriptkiddies, liegt jetzt auf einem Port >40000
  • Root-Login über SSH verboten
  • Nach 3 fehlerhaften Logins wird die Verbindung getrennt
  • Verwende allerdings immer noch die Authentifizierung über Passwörter

Sonstiges:
  • Verwendung von SFTP, FTP-Port gesperrt
  • PHP läuft als CGI
  • Virenschutz: ClamVM, chkrootkit, Dr. Web [Dr. Web kommt von Plesk]
  • Logwatch

Bei auffälligen Veränderungen bekomme ich über Logwatch eine Mail geschickt, die übrigends nicht an eine Mailadresse auf dem Server geht, sondern in ein googlemail-Konto.

Darüber hinaus werden in einem per Browser erreichbaren, passwortgeschützem (mit .htaccess) Verzeichnis symlinks zu den wichtigsten Logfiles erstellt, sodass ich jederzeit auch ohne SSH-Möglichkeit meine Logfiles einsehen kann und ggf. den Server "notabschalten" kann.

Die große Frage ist nun:
Habe ich was wichtiges übersehen, oder ist diese Konfiguration schon sicher genug?
 
SSH-Port verschieben kannst du dir sparen. Das ist Security by Obscurity.

Virenfilter bei Emails auf dem Server ist trügerisch. Z.B. können verschlüsselte/passwortgeschützte Archive nicht gescannt werden.
 
Das es Security by Obscurity ist, ist mir bewusst. Ich verstehe das Verschieben des SSH-Ports auch nicht als ultimativen Hackschutz, sondern vielmehr als Schutz vor Bots, die einfach stupide auf Port 22 rumhacken. Die sind ja eher selten auf Portscans bei Ports > 40000 ausgelegt, nicht?
 
Hey,

so weit sieht das gut aus. Ich hätte noch:

- tripwire oder ein anderes Tool zur Überwachung von Veränderungen an Dateien
- php absichern, openbasedir, suexec, suhosin und so n Zeugs
- und eine getestete Backup-Strategie, um im Falle das Falles keine Daten zu verlieren.

Zu dem SSH-Port verschieben: Ich mache das auch. Das bringt zwar nix direkt für die Sicherheit, vermindert aber das Grundrauschen der BruteForces in den Logfiles enorm.
 
Last edited by a moderator:
Danke erstmal für die Antwort!

Zu Tripwire: Kannte das Tool bisher nicht, werde es mir auf jeden Fall anschauen!
Zu PHP: Werde dort die gängigsten Maßnahmen treffen. BTW: Bringt der safe_mod viel?
Zur Backup-Strategie: Muss ich mir noch etwas ausdenken :)
Reichen da nicht auch die täglichen Images, die der Hoster anlegt?

Noch eine Abschlussfrage: Bringt SSH über Key-Autentifizierung eine viel bessere Sicherheit als ein Passwort?
 
Die Sache mit dem SSH: Es gibt da n Grundsatz über gute Sicherheit, die da lautet: Wissen und Besitz.

Du musst etwas wissen und etwas haben, um dich anzumelden. Dann ist es nach State of the Art sicher (in der Theorie). Das wäre im Falle SSH ein Passwort (wissen) UND ein Auth-Key (haben).

Nu is das in der Praxis immer etwas haarig. Ich z.B. sitze über den Tag an vielen Linux-Kisten, die ich betreue und daher als einigermaßen sicher erachten kann. Ich möchte mich von Zeit zu Zeit auch gern von Unterwegs anmelden, weil ich mal schnell auf einen meiner Server muss. Ich könnte jetzt nen Auth-Key auf nen USB-Stick packen, den ich (ich kenne mich) mit ziemlicher Sicherheit verschlampen würde. Daher habe ich nur lange und kryptische Passwörter, sperre bei BruteForce relativ fix aus und lass mir jeden Login-Versuch mailen, Das ist eben nicht so sicher, wie es sein könnte, aber für mich ein gängiger Kompromiss.
 
Alles klar :)

Da es sich nur um einen Server handeln wird und ich mich auch nur von max. 2 PCs (mein Heimrechner und mein Laptop) damit einlogge, wäre das Key-Verfahren ja noch sinnvoll, oder?

Fraglich ist es eben dann nur, ob es noch Sinn macht, wenns mehrere Kisten werden.
 
486er said:
Zur Backup-Strategie: Muss ich mir noch etwas ausdenken :)
Reichen da nicht auch die täglichen Images, die der Hoster anlegt?
Click to expand...

Diese Backups sind eine gute "Überlebensversicherung" im Sinne von Grundsicherung. Die Backups Deines Hosters werden Dich aber nicht vollkommen glücklich machen- stell Dir einfach folgendes Szenario vor:
Du hast auf Deinem vServer einen Mailserver laufen, sowie Web- und Datenbankserver für ein Wordpress-Blog.
Nun "zerschießt" Du Dir Dein Wordpress-Blog, sei es durch Fehlbedienung oder bei einem Update. Das Backup Deines Hosters läßt Dich nur Dein gesamtes System zurücksetzen. Du suchst Dir also den Stand von vor 24h aus und setzt Dein System zurück.
Da fällt es Dir siedend heiß ein: Du hast vor dem Wordpress-Update (aber nach der Provider-seitigen Sicherung) eine wichtige eMail erhalten und benutzt IMAP, läßt also Deine eMails auf dem Server liegen. Nun ist die eMail weg! :eek:

Abhilfe ist bei mir ein Shellskript, das zyklisch (täglich/wöchentlich) die Document-Roots (html-Dateien) und die Datenbank der Wordpress-Blogs sichert und ein Archiv (tar mit bzip2) erzeugt. Dieses Archiv lade ich mir dann nach Hause herunter.
 
@siradlib:
Da hast du gar nicht mal Unrecht, danke für den Tipp!

Und noch eine kleine Frage habe ich:
Als Betriebssystem habe ich mit Debian 5.0 Lenny geliebäugelt.
Kann mir jemand sagen, wie lange das System noch mit Sicherheitsupdates versorgt wird?
Und stimmt es, dass Debian generell sehr gut als Serversystem geeignet ist?
 
Last edited by a moderator:
You must log in or register to reply here.
Back
Top