Sicherheit -realistisch gesehen-

[ThomasChr]

Hallo Forum,

ich hab schon den einen oder anderen Server in Betrieb und wollte mal eure Meinung wissen.

Fangen wir mit dem ketzerischen an:
Meiner Meinung nach ist ein Server sicher wenn
a) seine nach außen offenen Dienste aktuell sind (SSH, MAIL, WEB...), und
b) alle Anmeldedaten für diese Dienste (FTP-Zugänge, SSH-Zugänge, ...) starke Passwörter aufweisen.

So einfach.

Was meiner Meinung nach heutzutage das Hauptproblem ist (und da hilft kein Fail2Ban, PortKnock und SSH-KeyAuthentifizierung): PHP und Co.

Die beiden oberen Punkte a) + b) kann ich relativ einfach sicherstellen. Nur überblicken welche PHP-Software welche Lücken hat halte ich für fast unmöglich.
Letzendlich bedeutet eine kleine Lücke in irgendeiner Zeile PHP-Code schon das jemand den Server mit einem Mailingscript als Spamschleuder verwendet.

Sicherlich sollten entsprechende Linux-Rechte und open_basedir() den Ausbruch aus der Webumgebung verhindern - aber die Spamschleuder hab ich trotzdem.
Und das aktuell halten aller PHP-Softwareprodukte (die teilweise evtl. von Kunden installiert werden) ist nicht machbar.

Man könnte jetzt allerhöchstens noch den Mailserver so konfigurieren dass er nicht gleich zur Spamschleuder wird wenn irgendwo ein Spam-PHP Script um die Ecke kommt..., oder?

Eigentlich wollt ich nur die Bestätigung dass sowas wir Portknocking und Key-Authentifizierung vom SSH am Spam-Problem vorbei geht.
Und wenn die SSH Passwörter stark sind braucht man imho das drumrum nicht.

Sehe ich das sooo falsch ?

Thomas

 

[ThomasChr]

... ach und noch so ein Mythos bezüglich auf Sicherheit:
Die Schadensersatzklagen wenn der Server für Angriffe benutzt wird.

Gibts die tatsächlich?
Bislang hatte ich das immer nur in der Richtung
- Server macht Angriff
- Server landet auf Blacklist XY
- Nachdem das Ding neu aufgesetzt ist stellt man Antrag und wird von Blacklist XY entfernt

Mittlerweile prasseln doch auf jeden Server im Internet ständig Angriffe ein. Wenn da jeder die IPs überprüfen würde und gerichtliche Verfahren eröffnen würde hätte man doch nichts anderes mehr zu tun.
Und wenn einem einer die Büchse aufmacht kriegt man doch auch nix wieder nur weil man den Serverbetreiber verklagt von dem der Angriff kam. Oder irre ich da ?

 

[Deleted member 3190]

Moin

Meiner Meinung nach ist ein Server sicher wenn ...

er keinen Netzwerkzugang hat und in einem besonders gesicherten Raum steht.
Alles andere sind unterschiedliche Grade von Unsicherheit.

a) seine nach außen offenen Dienste aktuell sind (SSH, MAIL, WEB...), und
b) alle Anmeldedaten für diese Dienste (FTP-Zugänge, SSH-Zugänge, ...) starke Passwörter aufweisen.

... und deine Konfiguration sicher ausgelegt ist.

Damit erfüllst Du dann gerade mal die Mindestanforderungen.
Für ein möglichst sicheres System solltest Du dann noch Monitoring, Alerting, proaktive Tools (z.B.: Fail2ban), Bandbreitenmanagement, etc. einsetzen.

Eigentlich wollt ich nur die Bestätigung dass sowas wir Portknocking und Key-Authentifizierung vom SSH am Spam-Problem vorbei geht.

Ist Dir langweilig?
Du hast eine einfache Frage und versteckst die in einem Diskussionsthread zu einem Thema, das deine Frage nur ganz am Rande behandelt.

Portknocking schließt nur einen (ohnehin teuren) Angriffsvektor.

Key-Authentifizierung erhöht die Kosten für einen erfolgreichen Angriff auf den SSH-Zugang. Das kannst Du mit einem komplexen Passwort genau so gut erreichen.

Für die Verbreitung von SPAM sind andere. wesentlich billigere Angriffsvektoren (fehlerhafte Webseiten, ...) verfügbar.

Die Schadensersatzklagen wenn der Server für Angriffe benutzt wird.

Gibts die tatsächlich?

Ja.

Es geht dabei nicht um das übliche Rauschen im Internet, das regelmäßig vorkommt. Da reicht es im Zweifelsfall auch, wenn Du belegen kannst, das Du Maßnahmen ergriffen hast, um solche Vorfälle zu erkennen und darauf reagieren zu können (kosten tut dich das trotzdem was).

Die Probleme fangen da an, wo ein System für sowas wie:
- Urheberrechtsverletzungen
- Kinderpornografie
- Angriffe auf Regierungs- oder strategische Systeme
- Terroristische Aktivitäten
genutzt wird.

Und sowas findest Du normalerweise nicht in der Presse.

Thorashh

 

[Jesaja]

Hallo Forum,
Meiner Meinung nach ist ein Server sicher wenn
a) seine nach außen offenen Dienste aktuell sind (SSH, MAIL, WEB...), und
b) alle Anmeldedaten für diese Dienste (FTP-Zugänge, SSH-Zugänge, ...) starke Passwörter aufweisen.

Dazu dann aber auch eine passende Konfiguration. Stichwort: Open Relais, eng eingeschränkte Rechte, usw.

Was meiner Meinung nach heutzutage das Hauptproblem ist (und da hilft kein Fail2Ban, PortKnock und SSH-KeyAuthentifizierung): PHP und Co.

Volle Zustimmung!
Insbesondere das extreme Konzetrieren auf SSH, wobei viele den Rest schleifen lassen.
Was nutzt eine Haustür aus Stahl, wenn das Fenster offen steht?

Man könnte jetzt allerhöchstens noch den Mailserver so konfigurieren dass er nicht gleich zur Spamschleuder wird wenn irgendwo ein Spam-PHP Script um die Ecke kommt..., oder?

Verhindern, dass PHP direkt sendet und Mailserver entsprechend konfigurieren, ja.

 

[chris4000]

Nur überblicken welche PHP-Software welche Lücken hat halte ich für fast unmöglich.

Ich würde PHP als CGI installieren, damit es unter dem jeweiligen Benutzer läuft und zunächst mal nur der von Sicherheitslücken in seinem Code betroffen ist.

Letzendlich bedeutet eine kleine Lücke in irgendeiner Zeile PHP-Code schon das jemand den Server mit einem Mailingscript als Spamschleuder verwendet.

Bei kleineren Internetseiten begrenze ich die Anzahl der ausgehenden Mails.

 

[bloons]

Sicherheit und Server ist wirklich eine große Baustelle!
Zum einen kann man das Thema Sicherheit aus der Sicht vor Angriffen, Hackern, etc. sehen und zum anderen spielt hier auch die Daten- und Ausfallsicherheit eine wichtige Rolle.
Hat man privat einen Server laufen, dann ist wohl eher der Schutz vor Außen das wichtigste. Im betrieblichen Umfeld sind aber Daten- und Ausfallschutz gleichermaßen wichtig.

Aus welcher Sicht möchtest du das Thema beleuchten?