Server absichern

[Mark0100]

Hall zusammen,

ich suche schon länger (auch hier) nach einer Liste sinvoller Erweiterungen für Plesk.

Ich möchte meinen Server sicherer machen, weiß aber nicht welche Erweiterungen ich installieren soll. Vor allem bei den kostenpflichtigen Erweiterungen bin ich mir nicht sicher welche sinvoll sind und welche nicht.

Ich hatte zwei Probleme mit meinem Server
1. wurden schön viele SPAM Mails verschickt
2. wurden Dateien über (höchstwahrscheinlich) http auf den Server geladen.

zu 1:
ich brauche die Emails eigentlich nicht, daher würde ich den Mailserver gerne komplett abschalten. Das klappt aber nicht dauerhaft, da er sich immer wieder selbst aktiviert (Keine Ahnung warum und vor allem wie).
Aber wenn er sich nicht abschalten lässt möchte ich Ihn gerne sicher machen. Welche Erweiterungen sind dafür nötig?

zu 2. lag es wahrscheinlich an einer veralteten Version von Joomla oder irgendeiner Komponente oder Plugin. Aber auch für diese Fälle würde ich gerne was installieren was Sinn macht.

Ich habe im Moment folgende Erweiterungen installiert:
Admin-Ahead Realtime File Upload Scanner
VirusTotal Website Check
Watchdog

Für die Emails habe ich Postausgangskontrolle aktiviert und auf 0/Stunde gesetzt.

Es wäre super wenn mir hier jemand helfen könnte. Google und Suche habe ich natürlich schon eingesetzt, aber nichts wirklich Passendes gefunden.

Vielen Dank im Voraus.

Gruß Mark

 

[Thunderbyte]

Plesk Klickerei oder irgendwelche Plugins sind kein Ersatz für Linux Adminkenntnisse. Daher ist der wichtigste Schritt, den Server abzusichern, Dir Linux Kenntnisse zu verschaffen.

Alternativ solltest Du in Betracht ziehen, Webservices nur als solche hosten zu lassen. Dann brauchst Du Dich um die Administration des Servers nicht kümmern. Insbesondere wenn der Server bereits als kompromittiert betrachtet werden muss (das ist bei Dir der Fall).

 

[Mark0100]

Sicher, da gebe ich Dir recht. Einige Sicherheitseinstellungen wurde auch über Linux gemacht.

Der Server ist auch wieder clean, nur die Webadressen sind noch "gebranntmarkt" inkl. der IP

Aber bevor ich den Server neu aufsetze mit geänderter IP hätte ich gerne gewußt welche Plesk Erweiterungen Sinn machen.

MagicSpam Embedded Protection 2.0.6 oder Admin-Ahead ServerWatch Extension 1.1 oder beide?

 

[greystone]

Hmm. Ich sollte auch solche Plugins verkaufen. Es gibt einfach genug Leute, die meinen, durch so etwas einen sicheren Server zu bekommen.

Der erste Schritt um einen sicheren Server aufzusetzen, wäre, ...

• Plesk nicht zu installieren
• Den Server zu Hause aufzusetzen(Firewalled/Internal Zone)

 

[nexus]

Der Server ist auch wieder clean

Worauf basiert diese Aussage? Hast du den Server seit dem Einbruch neu aufgesetzt oder nur gesäubert?

wurden Dateien über (höchstwahrscheinlich) http auf den Server geladen.

lag es wahrscheinlich an einer veralteten Version von Joomla oder irgendeiner Komponente oder Plugin.

Jetzt nicht falsch verstehen...Aber solche Aussagen mit "wahrscheinlich" lassen vermuten, daß dir wichtige Kenntnisse in der Serveradministration fehlen. Und wie auch schon Thunderbyte sagte, ist dieses Basiswissen nun mal notwendig, um einen Server vernünftig zu administrieren. Es reicht eben nicht, in Plesk ein bissel rumzuklicken. Man muß auch verstehen, was man da macht und was die einzelnen Serverdienste machen und wie die verschiedenen Programme zusammenarbeiten.

Aber bevor ich den Server neu aufsetze mit geänderter IP

Die IP zu ändern, wird dir nur für kurze Zeit was bringen, bis dein Server das nächste mal kompromittiert ist.

Es ist sicher nicht das, was du hören willst...Aber meine Empfehlung an dich lautet: Zieh deine Webseite auf vernünftigen Webspace um und kündige den Server.
Das ist billiger und wesentlich streßfreier für dich, da du dich dann nicht mehr um administrative Aufgaben kümmern mußt und dich ganz auf deine Webseite konzentrieren kannst.
Wenn du dich trotzdem für Serveradministration ansich interessierst, dann besorge dir gute Literatur und trainiere am heimischen PC in einer virtualisierten Testumgebung. Und zwar solange, bis du fit genug bist auch einen Server zu verwalten, der üblicherweise mit 1GBit/s am Netz hängt.

 

[reccon]

Der erste Schritt um einen sicheren Server aufzusetzen, wäre, ...

• Plesk nicht zu installieren

Plesk macht also einen Server unsicher? Aha

Mich nervt echt dieses "wer ein Adminpanel benutzt kann nicht administrieren" gelaber.
Es mag vielleicht auf einzelne zutreffen, aber diese Pauschalisierung ist echt quatsch.

Ich finde es spart einfach eine Menge Zeit gegenüber einer manuellen Einrichtung.
Ich konfiguriere ja auch meinen Windows Server nicht über die Powershell, nur weil ich es könnte.

Und was machst du, wenn dein Kunde gerne über Plesk seine email Adressen und sein WebPaket konfigurieren möchte?
Schickst du ihn dann zu einem anderen Anbieter?

 

[nexus]

Plesk macht also einen Server unsicher?

Teilweise schon. Da sich Plesk nicht an die Systemvorgaben hält und sein eigenes Süppchen kocht, was z.B. die Pfade zu den Konfigurationsfiles u.ä. angeht, gibt es oft genug Probleme, wenn ein (Hobby-)Admin mit unzureichenden Kenntnissen versucht, nach irgendwelchen Anleitungen und HowTo's Änderungen am System durchzuführen oder weitere Programme zu installieren und dann nix mehr zueinander paßt.
Zu den vielen Fehlern in Plesk selber kann ich nichts sagen, da ich den Mist nicht nutze und nur immer wieder darüber lese.

Mich nervt echt dieses "wer ein Adminpanel benutzt kann nicht administrieren" gelaber.
Es mag vielleicht auf einzelne zutreffen, aber diese Pauschalisierung ist echt quatsch.

Dieses "Gelaber" ist aber nicht ganz unberechtigt.
Oft genug wird durch die Werbung verschiedenster Hoster suggeriert, wie kinderleicht es doch wäre, mit ein paar Klicks ein komplexes Serversystem zum Laufen zu bringen und zu verwalten.
Viele Leute begreifen eben nicht, daß Adminpanels (und das betrifft nicht nur Plesk) nur eine Arbeitserleichterung für den versierten Admin darstellen und das man zur sinnvollen Nutzung eben auch das nötige Grundlagenwissen braucht und verstehen muß, was auf dem Server passiert, wie die einzelnen Dienste arbeiten und voneinander abhängig sind.

 

[GwenDragon]

Ja, solche Pauschalisierungen helfen wirklich nicht weiter.

Gegen ein Adminpanel ist nicht einzuwenden. Wer Kunden hat, braucht sowas.
Und Plesk ist nicht per se unsicher.

Aber man muss den Server auch per Konsole administrieren können, weil es manches gibt, das nicht per Plesk-Panel geht.

Zum Administrieren gehört möglicherweise auch solche Handarbeit ohne Panel:
man macht einen Linux-Kurs
man bildet sich im Bereich Linux-Server weiter
man weiß eine VM zum Testen zu installieren
man weiß wie man einen Server neu frisch aufsetzt
man weiß wie man wichtige Server- und Nutzerdaten auf einen gesicherten Backupspace rettet
man weiß wie man außerplanmäßige Updates macht
man kompiliert notfalls selbst wenn es nicht so schnell Update für Serverdienste gibt
man kann die kann Firewall mit eigenen Regeln versorgen
man kann Zertifikate erzeugen
man kann Logfiles auswerten und interpretieren
man benutzt Software welche Dateiänderungen protokolliert und warnt man führt Monitoring durch
man überprüft Webanwendungen auf Sicherheitsprobleme
man liest diverse CERT- und CVE-Meldungen
man liest die Manuals zu den verwendeten Diensten und Programmen
man abonniert Feeds zur Sicherheit der Linux-Distribution und der Webanwendungen bzw. der hauptsächlich verwenden Sprachen
man übernimmt nicht einfach (so mit der Haltung "wird schon-stimmen...") irgendwelche Konfigurationstipps von Freunden, anderen Websites oder Admins
man lernt Tipps anderer Leute zu interpretieren und zu hinterfragen
usw...

Manches kann man schnell lernen, manches durch Erfahrung.

Sicher können Leute Anfänger abschrecken und sagen: 'Lass das, mach keinen Server auf!'. Und manche machen das auch hier im Forum und Andersdwo, teilweise mit einer ziemlich großkotzigen Einstellung und Arroganz.
Manche Admins verabscheuen Konkurrenz, Nichtwissende und Leute, die angeblich unsichere Server betreiben. Natürlich pöbeln solche Admins gerne anonym oder nur gegen Leute, die sich nicht wehren können.
So eine negative Haltung hat auch eine abschreckende Tradition in diversen Chats oder Foren.

Das muss nicht sein.

Sicher gibt es Hilfesuchende, die was fragen und wo man denkt: 'WTF, schon wieder so einer, der diesen Fehler macht' und dann abwehrend oder gar aggressiv reagiert. Aber da hilft nur durchatmen, Finger weg vom Keyboard und wie Nuhr oft sagt: Einfach mal Fresse halten.

Alle Anfänger und weniger Erfahrenen können von anderen lernen, aber das geht nur mit Wohlwollen und Offenheit der Anderen.

Ein offenes und freies Internet gibt es nur, weil Leute das so vor über 30 Jahren ersonnen und entwickelt haben. Und diese waren freundlich zu allen die Lernen wollten - ohne den oberlehrerhaften Ton. Und sie haben Wissen geteilt ohne irgendwelche Dünkel.

Und frei und freundlich soll es bleiben. Das Internet haben nicht die Bernds und pubertierenden gepachtet, auch nicht arrogante Admins oder Sprachentwickler, auch nicht Geheimdienste oder Serveranbieter.

Ich bin mehr für TIMTOWDY als für RTFM oder WTF.

SCNR

 

[nexus]

Gwen, das hast du schön auf den Punkt gebracht

Sicher können Leute Anfänger abschrecken und sagen: 'Lass das, mach keinen Server auf!'. Und manche machen das auch hier im Forum und Andersdwo, teilweise mit einer ziemlich großkotzigen Einstellung und Arroganz.
Manche Admins verabscheuen Konkurrenz, Nichtwissende und Leute, die angeblich unsichere Server betreiben. Natürlich pöbeln solche Admins gerne anonym oder nur gegen Leute, die sich nicht wehren können.
So eine negative Haltung hat auch eine abschreckende Tradition in diversen Chats oder Foren.

Das muss nicht sein.

Das stimmt.
Es macht eben schon einen Unterschied, ob man sagt "Du hast keine Ahnung davon. Laß es sein." oder "Du hast noch Wissenslücken, hier hast du ein paar Links zu guter Literatur. Übe zuhause und wenn du fit genug bist, setze es auf deinem Server um".
Die erste Aussage führt oft dazu, daß die Leute dann auf stur schalten. Die zweite Aussage bringt eben doch manche zum Nachdenken (und dann auch zum Lernen).
Man kann jemandem schon von gewissen Absichten abraten, nur sollte man das dann auch sachlich begründen, warum man diesen Rat gibt.