Onderwerp: Server beveiliging / hardening.

Vanuit een aantal andere topics heb ik begrepen dat er wel animo is voor een topic met daarin 'het beveiligings verhaal' / hoe van een kale outta box server naar een veilige server, misschien handig als checklist voor andere beheerders of beheerders in wording.

Ik doe zelf altijd het volgende:

- Apache/Php/Mysql/ProFTPd/phpMyAdmin updaten (evt met behulp van http://www.directadmin.com/forum/sho...threadid=12099 en andere topics op DirectAdmin forum.)

- In DA onder administrator settings. automatische updates aanzetten, ip's laten blacklisten die meer dan 10x fout inloggen, elke minuut op vrije partition space checken en waarschuwen op 90% partitie usage

- Apache server status aan in httpd.conf, tevens ServerSignature Off

- SSH op een ander ip binden dan het 'normale' server ip, op andere port zetten, protocol naar 2 en permit root login uit.

- Spam Assassin aan

- Open DNS servers uit

- In /etc/hosts.deny, alles denyen voor SSH - in /etc/hosts.deny alleen mijn eigen IP en het IP van een windows server toegang geven tot SSH

- disable_functions in php.ini: exec,system,pcntl_exec,parse_ini_file,show_source, curl_exe,shell_exec,passthru,escapeshellarg,escape shellcmd,proc_close,proc_get_status,proc_nice,proc _open,proc_terminate,apache_note,apache_setenv,clo selog,debugger_off,debugger_on,define_syslog_varia bles,openlog,syslog

- /tmp met noexec mouten (via: http://forum.ev1servers.net/printthread.php?t=27771), echer.. via de manier in dit topic laat na reboot de tmp partitie /TMPmnt zich niet meer zien, niet 100% correct dus.

- wget down locken tot root (chmod 700 geven).

- YUM laten checken op updates.

Er zijn waarschijnlijk nog veel meer dingen, aanvullingen zijn dus van harte welkom... wellicht kan het een heel handig topic worden voor server owners.

Ik doe meestal zoiets:

+ eventueel beginnen met de juiste 'perfect setup' van howtoforge.
+ je zooite chrooten
+ firewall bad-ass-kickin' maken
+ eventeel snortachtige dingen
+ je backups testen
+ free (of betaalde) remote securitycheck erop los laten (incl dos)
+ performancetest scriptjes draaien (om te checken of allen na 5000 hist of zo, oook nog goed draait)
+ hierna even kijken of de logrotate fatsoenlijk werkt en geen volle disk oplevert bij een ddos.

Dan vertrouw ik het nog niet eigenlijk, maar ja... je moet toch ooit online komen, niet

Ik zorg ook altijd dat als je telnet naar een poort je geen versie nummers tegenkomt.

Ik vind eth0.us altijd erg prettig om te lezen, erg nuttige topics enzo.

Nieuwe kernel compilen -> module support UIT, alleen er in stoppen wat die server nodig heeft, grsecurity patch er in en configureren naar wens.

Seriele kabel aansluiten op een andere server in de buurt + /etc/inittab en lilo.conf aanpassen zodat er vanaf de seriele console geboot en ingelogd kan worden bij problemen.

Naast wget ook lynx, links, ncftpget, ftp, ncftp en curl ontoegankelijk maken voor normale users.

/tmp naast noexec ook mounten met nodev

MySQL root password wijzigen

En heel belangrijk bij het ophangen in 't datacenter: rebooten en kijken of alles goed start, voor je 't datacenter weer verlaat!

Ik overweeg vanalles uit http://www.mrleejohn.nl/linux-security.htm

Oorspronkelijk geplaatst door X-Hosted

- SSH op een ander ip binden dan het 'normale' server ip, op andere port zetten, protocol naar 2 en permit root login uit.

[...]
- In /etc/hosts.deny, alles denyen voor SSH - in /etc/hosts.deny alleen mijn eigen IP en het IP van een windows server toegang geven tot SSH

Zoals bekend ben ik geen fan van ssh op een andere poort, maar dit is wel erg dubbel op, niet?
Naar mijn idee is het laatste (/etc/hosts.deny) afdoende, te samen met ssh 2 en permit root login uit.

Verder (nog niet in deze thread gezien):
- draai zo weinig mogelijk services op een server, alleen datgene wat je nodig hebt.

Oorspronkelijk geplaatst door Digiover

Zoals bekend ben ik geen fan van ssh op een andere poort, maar dit is wel erg dubbel op, niet?
Naar mijn idee is het laatste (/etc/hosts.deny) afdoende, te samen met ssh 2 en permit root login uit.

De meeste scanbots komen toch uit op de standard port van ssh, deze kunnen vast ook leaks vinden in sshd.
Als je ssh op een andere port zet mis je al heel veel van dit soort bots, en ben je iets minder snel gevoelig voor dit soort ongevallen.
Lijkt mij.

Ik overweeg vanalles uit http://www.mrleejohn.nl/linux-security.htm

Deze staat nu in mijn favo's! erg handig

Als je die /tmp image in dev will plaatsen zul je udev er van moeten overtuigen dat die na een reboot ook terug moet komen, ofwel met een tar van /dev of door met een script deze opnieuw aan te maken.

home directories chmod 700

Oorspronkelijk geplaatst door _arno_

De meeste scanbots komen toch uit op de standard port van ssh, deze kunnen vast ook leaks vinden in sshd.
Als je ssh op een andere port zet mis je al heel veel van dit soort bots, en ben je iets minder snel gevoelig voor dit soort ongevallen.
Lijkt mij.

Zolang het IP adres van de betreffende bot niet in /etc/hosts.allow staat krijgt deze geen toegang, omdat in /etc/hosts.deny een ALL: ALL is opgenomen.

/etc/hosts.allow checkt hij toch pas op het moment dat je inlogd, dus je username pass invult?
Want in dat geval heb je nog wel vrijheid om dingen te kunnen vervelen.

Tenminste ik heb de illusie dat dit zo is

En als je Linux gebruikt dan is http://www.bastille-linux.org/ ook wel handig. Die pakt sowieso veel van de stappen die hierboven genoemd zijn mee.

Ik vind wel dat je een keer de moeite moet nemen om te doorgronden wat bastille eigenlijk allemaal doet. Heb je een enterprise-distro dan is dat spul allemaal ook wel gedaan.

Oorspronkelijk geplaatst door mrleejohn

Ik vind wel dat je een keer de moeite moet nemen om te doorgronden wat bastille eigenlijk allemaal doet. Heb je een enterprise-distro dan is dat spul allemaal ook wel gedaan.

Dat sowieso. De eerste keer dat ik bastille draaide heb ik er zeker wel wat van opgestoken. Gelukkig vertelt bastille ook wat ie allemaal wil gaan doen, en waarom.

Oorspronkelijk geplaatst door coolvibe

En als je Linux gebruikt dan is http://www.bastille-linux.org/ ook wel handig. Die pakt sowieso veel van de stappen die hierboven genoemd zijn mee.

Coolvibe... Toch niet... ?