Server für geschlossene Benutzergruppe sichern

[Juerg]

Hallo zusammen,

Ich möchte einen dedicated Server betreiben für die interne (vertrauliche) Kommunikation von 2 lokalen Gruppen von Nichtregierungsorganisationen.

Auf dem Server werde ich dazu Drupal installieren (benötigt Apache, php und mySQL). Die totale Anzahl User wird 20 - 30 sein, die maximale Anzahl gleichzeitiger User 2-3.

Da alle Informationen und Dateien nur für den internen Gebrauch dieser Gruppen bestimmt sind, möchte ich den Server so gut wie möglich gegen Unbefugte abschirmen. Deshalb soll der Zugriff nur via HTTPS möglich sein. Die Benutzerverwaltung ist in Drupal integriert.

Frage: Durch welche zusätzlichen Massnahmen kann ich den Server bzw. die darauf gespeicherten Informationen (Files in einem einzelnen Verzeichnis und Infos in einer mySQL Datenbank) noch besser schützen?

Ich hatte schon an VPN gedacht, weiss aber nicht, ob dies wirklich zusätzliche Sicherheit bringen würde. Oder könnte man vielleicht die Infos in der mySQL Datenbank verschlüsselt speichern, mit dem Schlüssel direkt beim User? (Hinweis: Die User haben keine fixen IP-Adressen)

Vielen Dank im voraus für Hinweise!

Jürg

 

[Thorsten]

Hallo Jürg,
soll der Server bei einem Provider stehen? Dann kannst du dir leider aller weiteren Sicherheitsmaßnahmen schenken.

mfG
Thorsten

 

[bwar]

Hallo!

Wen deine Benutzer ein bisschen Geld für die Sicherheit springen lassen, dann kannst du gerne die Dienste einiger Firmen in Ansprung nehmen, die sich auf absolut Sichere Colocations spezialisiert haben. Gängige Methoden sind gesicherte bereiche in Rechenzentren, dezentrale Austellung der Server (viele kleinere Serverstellplätze verteilt), usw. Das kostet leider etwas.
Ich kenne Preise ab 120€.....

Wenn du allerdings den Server bei einem Massenhoster mietest, dann kann jederzeit ein Mitarbeiter an den Server und mal eben den mitnehmen, wenn es hart auf hart kommt. Keine Ahnung, wie wertvoll die Daten sind.

 

[Juerg]

Hallo,

Vielen Dank für Eure Hinweise bzw. Rückfragen. Der Server wird ein Mietserver bei einem Hoster, wie z.B. netdirekt sein. Ich werde der Sponsor für den Server sein, deshalb sind Kosten schon ein Thema...

Die Daten sind nicht wertvoll im Sinne dass man damit z.B. Zugriff auf Bankkonten, usw. erlangen könnte, sondern es handelt sich um vertrauliche Informationen über industrielle Grossprojekte und deren Beurteilung durch NGO's. Evtl. geplante Aktionen der NGO's zur "Begleitung" dieser Projekte, usw. Für die industriellen Partner könnte es fallweise schon sehr interessant sein zu wissen, welche Diskussionen bei den Arbeitsgruppen der NGO's im Gange sind und welche Aktionen, Einsprachen, usw. zu erwarten sind.

Ich möchte von meiner Seite deshalb eine möglichst sichere Umgebung zur internen Kommunikation zur Verfügung stellen, ohne gleich paranoid zu werden. Drupal möchte ich einsetzen, weil ich es als CMS-System bereits kenne und mehrfach im Einsatz habe.

Da ich bisher relativ wenig Erfahrung mit Linux habe (habe für unsere Firma einen Debian Server aufgesetzt und seit 1 Jahr produktiv in Betrieb, allerdings intern hinter einer Firewall und nur zeitweise mit dem Internet verbunden) fühle ich mich ein bisschen hilflos bezüglich Sicherheit und möchte lieber zuviel als zu wenig absichern. Ich bin aber selbstverständlich bereit und willens zu lernen...

In diesem Zusammenhang ist mir auch schon der Einsatz von SELinux empfohlen worden. Oder ist dies nur etwas für erfahrene Spezialisten?

Nochmals vielen Dank im voraus für alle Eure Empfehlungen

Jürg