Bekijk Volledige Versie : Welke distro voor iemena die zich niet met (Li)nux beveiliging wil bezighouden
Ik heb wat capaciteit over en wilde daar als extra service voor bestaande, kleine, klanten een hosting pakketje op aanbieden.
Lage kosten, weinig structurele inspanning van mijn kant; dat klinkt misschien te billig, maar laten we het er op houden dat klanten bij ons voor de (security)service komen, en ik die lever. Het hosten is een klein beetje extra service.
De laatste linux waar ik mee gespeeld heb, was geen linux maar FreeBSD 2.0, sinds die tijd ben ik van de Windows (en is er bruikbaar internet).
Nou heb ik even rond gekeken en er zijn plenty distros die je standaard kan draaien en al dan niet met handige OSS uitbreiding de gewenste functionaliteit bieden: simplele www/php, pop en webmail (misschien nog een control panel zoals VHCP).
Maar mijn 'probleem' is de patch-updates en dat ik er niet _al_ te veel tijd in wil steken. Engard doet dat patchen wel handig, maar gebruikt iemand van jullie dat ook?
Wat is een goeie, makkelijk up to date te houden, enigzins veilige distro om te gebruiken?
Suggesties welkom.
George/
(Oh, en ja ik heb ook een reseller pakketje maar ben daar niet zo happy mee)
ErikKosters
30/10/06, 09:11
Denk dat je beter voor managed dedicated of reseller kan gaan dan :).
Denk dat je beter voor managed dedicated of reseller kan gaan dan :).
Hij heeft capaciteit over, als je dan nieuwe capaciteit gaat inkopen schiet je er voglens mij niets mee op?
What about: Trustix? Zie dat veel bij 'budget' aanbieders. Ervaringen?
Het gaat hier trouwns om een enkel hostje, met een handjevol aan sites en wat users. Ben niet van plan om me volledig op mail/web hosting te gaan storten; heb het idee dat die markt al wel verzadigd is.
George/
Stefan Mensink
30/10/06, 13:30
Algemene stelregel is volgens mij dat, als je je niet met security wilt bezig houden, dat dan geen enkele distro geschikt is voor webhosting. Dan kan je er mijns inziens beter vanaf zien.
Op zich is de hoeveelheid werk wel tot een minimum te beperken wanneer je e.e.a. op kleine schaal doet en een stevige pak know-how in huis hebt. Bij problemen moet je echter wel in staat zijn adequaat op te treden.
http://www.engardelinux.org/modules/index/index.cgi ziet er wel vriendelijk uit, heb alleen geen idee hoe het draait, zet een virtueel systeem op en doe wat installaties... kijk wat je de beste/makkelijkste distro vindt, personelijk geloof ik niet zo in "look and click" configuraties magoe das imho.
Nog een andere distro:
http://www.nsa.gov/selinux/ - Security-Enhanced Linux. eek NSA z'n eigen distro :/
MvG,
Op zich is de hoeveelheid werk wel tot een minimum te beperken wanneer je e.e.a. op kleine schaal doet en een stevige pak know-how in huis hebt. Bij problemen moet je echter wel in staat zijn adequaat op te treden.
Netwerk en security kennis zijn op niveau. De host komt ook achter een (hardware) firewall met gateway services w.o. IPS te hangen. Ook het dichtzetten van de software firewall op de host is geen probleem. Dat vraagt allemaal niet zoveel beheer.
Is me meer te doen om een distro, waarbij de apps ook eenvoudig up-to-date te houden zijn. Mis daarvoor een beetje 'feeling' met het linux gebeuren en exploits op app/deamon niveau zijn m.i. het grootste risico.
Zit ook niet stil natuurlijk en ben al wat aan het bekijken. Maar hints zijn welkom t.a.v. distro en te gebruiken apps ;)
George/
Engarde getest.... prima. OpenWall, OpenBSD. Trustix een tijd gedraaid.
Persoonlijk vind ik dat je het beste gewoon een goede distro kunt nemen waar je alle kanten mee uit kunt. Ook een veilige. Kwa veiligheid zou ik een degelijke distro pakken.... misschien wel een enterprise-distro. Of een variant daarop.
Ik vind Centos erg goed. Zet je selinux aan en richt de basis goed in. Regelmatig met yum updaten en je hebt een veilige basis. Maar zoiets kan zeker ook met Suse en Apparmor. Hoewel het ook prima zonder mac-systeem kan.
Het meest onveilige aan een distro is dat wat pc's onveilig maakt.... de gebruiker.
Gebruik gewoon CentOS en onthou "yum update -y".
@mrleejohn
Bedankt voor je bericht. Heb met YUM en AppArmor weer twee termen om me (wat) in te verdiepen.
Centos zie ik ook vaak genoemd. Weer wat om te bekijken. Heb geen haast dus we zien wel.
Een bepaalde reden waarom je van Trustix afgestapt bent?
@HY5
Wellicht m'n nieuwe mantra :D
George/
Je kan zoveel pakken, meeste distro's hebben wel aardige securityupdates.
Bij Debian/Ubuntu heb je apt-get update; apt-get upgrade, en de security teams daarvan zijn aardig goed.
Bij RHEL/Centos/Fedora heb je dan weer yum update, en daar worden de updates ook wel aardig bijgehouden.
Suse heb je ook nog, updaten met yast volgens mij, ook goed security team.
Dus ik denk niet dat je je heel druk hoeft te maken over welke distro je precies moet kiezen, security updates installeren is niet echt het allerbelangrijkste, als je maar met een goede basisconfig begint.
Bedankt voor de input.
Ga denk ik eerst eens testen met CentOS 4.4 met ISPConfig en wellicht SquirrelMail (dat ken ik nog van vroeger, dus moet wel uitontwikkeld zijn).
Dat is dacht ik ook wel goed gedocumenteerd.
George/
> Een bepaalde reden waarom je van Trustix afgestapt bent?
Eigenlijk niet.... ik zocht gewoon een nieuwe distro. Ik koos toen voor een enterprise-distro. Tenminste een derivaat daarvan: Centos. De ondersteuning is toch uitgebreider.
Misschien heb je nog iets aan http://www.mrleejohn.nl/linux-security.htm
Misschien heb je nog iets aan http://www.mrleejohn.nl/linux-security.htm
Bedankt voor de link :W: - staat een hoop info op je pagina dus heb ik weer wat te doen vanavond.
George/
SebastiaanStok
31/10/06, 19:51
Ik zelf raad Fedora core 6 aan, meest recente Linux van Redhat.
Zelf nog geen ervaring mee maar ik heb goede reverencies g\er over gehoord, doe of SELinux uitschakelen of je er verbieden anders heb je een probleem :)
SELinux Is geen OS maar een kernel Security module ;)
Bedankt voor de input.
Ga denk ik eerst eens testen met CentOS 4.4 met ISPConfig en wellicht SquirrelMail (dat ken ik nog van vroeger, dus moet wel uitontwikkeld zijn).
Dat is dacht ik ook wel goed gedocumenteerd.
George/
Als je wilt testen pak je CentOS 4.3, die staat meen ik ook nog ter download ter beschikking.
Daarna doe je yum update (-Y).
Gaat het daarna nog goed, dan heb je::
a] CentOS 4.4
b] Yum getest
:)
Als je wilt testen pak je CentOS 4.3
Goed idee, maar dan heb ik die 2.2GB DVD gisteren voor nix gedownload :rolleyes:
Denk dat ik van het weekend pas weer echt tijd heb. Heb vandaag wat over Zmanda/Amanda doorgespit (backup!) en gelezen over Kickstart scripting.
George/
Ik zelf raad Fedora core 6 aan, meest recente Linux van Redhat.
Zelf nog geen ervaring mee maar ik heb goede reverencies g\er over gehoord, doe of SELinux uitschakelen of je er verbieden anders heb je een probleem :)
SELinux Is geen OS maar een kernel Security module ;)
Vooral als je tijd overhebt is FC6 een aanrader. Binnen anderhalf jaar heb je een issue omdat er geen security-updates meer uitkomen.
Neem dan Debian of CentOS.
Ik heb me wat in CentOS verdiept en snap wel waarom jullie daar zo positief over zijn. Maakt een goede indruk op me en deze staat nu in de planning om verder uit te werken.
M'n tweede keus zou wellicht Trustix zijn; klinkt wel vertrouwenswaardig:)
Zag ook net dat er een nieuwe ModSecurity is; morgen even kijken of dat nuttig is om te integreren.
Anders heb ik misschien zondag nog tijd over :cool:
George/
SebastiaanStok
01/11/06, 09:11
Vooral als je tijd overhebt is FC6 een aanrader. Binnen anderhalf jaar heb je een issue omdat er geen security-updates meer uitkomen.
Neem dan Debian of CentOS.
Heb ja daar misschien ook een bron van ? :o
Zou wel lekker zijn want dan kan ik weer verder gaan zoeken, ik moet wel de mogelijkheid hebben over SELinux :rolleyes:
SebastiaanStok
02/11/06, 11:58
Ik ben interesseert geraakt in Ubentu :) Wat is jullie mening daar over voor Server toepassingen?
Ik heb echt totaal geen ervaring met Debian, maar ik hoor dat het een van de betere is.
Ik vind Ubuntu nog niet volwassen genoeg op de server. Debian en CentOS/Debian zijn in mijn ogen de beste Linux distro's voor server gebruik.
SebastiaanStok
02/11/06, 18:08
Zijn er nog specifike dingen die verschillend zijn in Debian dan gewone Linux, behalve de packages die via deb lopen i.p.v. van RPM?
Zijn er nog specifike dingen die verschillend zijn in Debian dan gewone Linux, behalve de packages die via deb lopen i.p.v. van RPM?
Tsja, je moet de verschillen niet zo zeer zien in technische verschillen maar meer in het feit dat Debian heel zwaar leunt op een bepaalde filosofie (http://www.debian.org/social_contract). Een goed voorbeeld daarvan is het conflict onlangs tussen Debian en Mozilla over Firefox. Echte Debian guru's praten dan ook over The Debian System en niet over hun linux distro.
Wil je verder met Debian dan is dit boek een must voor elke Debian sysadmin: http://debiansystem.info/
SELinux Is geen OS maar een kernel Security module ;)
Je hebt gelijk dat het geen distro is, maar zeker wel een OS,
een OS is de kernel i.c.m. tools GNU/LINUX is dan GNU/SELinux!
maar genoeg ge-bit-f#cked :)
Er zijn genoeg distro's allemaal hebben ze d'r pros en cons, vaak is het een questie van smaak, en security out of the box.... tjah een gat en alle oob's zijn vatbaar, custom is nog altijd best, maggoe als je je niet met beveiliging bezig wil houden is dat natuurlijk weer geen optie.
Check verschillende flavours en blijf plakken bij die die je het tofste vindt.
MvG,
SebastiaanStok
03/11/06, 10:57
Ik heb de komenden tijd niet zo tijd om nieuw OS te testen, maar Debian spreekt me wel aan :)
als je je niet met beveiliging bezig wil houden is dat natuurlijk weer geen optie.
Als TS mag ik je verzekeren dat ik me eigenlijk heel veel met security bezig hou. Dat blijkt ook wel uit de vraag (anders had security geen issue geweest).
Enfin, ik heb veel uit deze thread gehaald en kort door de bocht komt het er op neer dat ik drie distro's overweeg en verder ga onderzoeken:
CentOS 4.x vanwege RHEL upsteam voor vertrouwen en compatibiliteit
EnGarde 3.x vanwege duidelijke security focus en (web)managability
Trustix 3.x vanwege duidelijke security focus en dat ik het veel genoemd zag bij hosters
Mijn voorkeur is ook zo'n beetje deze volgorde.
In de komende week zal ik in ieder geval CentOS en EnGarde beoordelen op installatie, functionaliteit en (security) update "friendlyness". Onder meer de snelheid van updates, eenvoud van installatie en betrouwbaarheid zijn hierbij belangrijk.
Ik ga verder ook wat dieper in de Apache ModSecurity 2.0 om te zien of dit toepasbaar is wanneer ik niet veel tijd (per site) wil besteden aan beheer.
Ook in Bastille, Zmanda en Amanda ga ik me verder verdiepen om te zien of hier samen met een van de distro's tot een goede en betrouwbare omgeving van kan worden getimmerd.
De ondersteuning van (security) updates voor deze componenten is een belangrijke factor in de beslissing voor een distro. Ook kan het zo zijn dat vanwege (beperkte) ondersteuning of risico's naar alternatieve componenten gekeken wordt.
Als laatste staan nog een CP en webmail op m'n lijstje. Ik vindt RoundCube wel strak (maar jong) en overweeg ISPConfig als CP boven VHCS.
Zo jullie ziet is alles OS wat ik overweeg. een van de uitdagingen is dan ook te zien of er een betrouwbare, functionele omgeving gebakken kan worden zonder commerciele software.
De omgeving waarin het komt te draaien is verder een volledig commercieel managed (security) services platform, met (vooralsnog) een hoop extra capaciteit. Een klein (en afgeschermd) deel daarvan overweeg ik voor dit project te gaan gebruiken.
George/ :lovewht:
P.S. Tips over eventuele (betere) alternatieven voor bepaalde componenten zijn hier onder ook welkom :D
Goede keuzes!
Ook nog selinux/apparmor?
Goede keuzes!
Zanks... Je security pagina heb ik ook nog niet helemaal uitgespit, maar was zeker nuttig (headbang)
Ook nog selinux/apparmor?
Ik heb wel een voorkeur voor SE, maar lees ook dat het met name met het CP nogal eens problemen geeft. Begin er wel mee, maar moet het aanzien. Met de hw firewall (met o.m. IPS, GAV en strikte ruleset) i.c.m. met Bastillon en ModSecurity is het ietsiepietsie minder belangrijk. Als er zaken ruimer moeten of niet strak genoeg kunnen, dan verandert dat de zaak.
AppArmor is toch van SUSE/Novell? Ik heb er niet naar gekeken aangezien ik m'n main focus op CentOS en EnGarde heb gezet.
Maar d'r is een hoop om nog in te komen.
George/
Ik ben een tijdje op centOS aan het draaien, en dat gaat perfect.
En is zeer eenvoudig bij te houden. Ik heb dan wel DirectAdmin erbij draaien... maar bevalt goed
Ik heb dan wel DirectAdmin erbij draaien... maar bevalt goed
DirectAdmin heb ik ook als alternatief. We dubben hier nog even opver de (komkommerciele) opbouw en features en ook v.w.b. de techniek staat ook nog lang niet alles vast.
Wellicht wordt het toch DA, of zelfs iets als cP of PLESK.
George/
Wij hadden liever Plesk gehad, maar omdat wij net gestart zijn en toch in het begin voorzichtig moeten zijn met de financien hebben wij gekozen voor DA.
Wij zullen waarschijnlijk in de toekomst wel overstappen naar Plesk.