Bekijk Volledige Versie : Server veilig?
Ik heb nu een server draaiende. Centos als Os
En Directadmin is mijn controlepaneel. Ik vroeg mij af hoe ik weet of mijn server veilig is, en welke zaken moeten angepast worden om de veiligheid te optimaliseren.
Kunnen jullie me helpen?
kijk eens naar de volgende tutorials van snaaps (loopt ook rond op dit forum)
http://www.ccchosting.nl/dedicated-servers/dedicated/howtos.html
daarmee kan je je server goed optimaliseren!
Ik zou sowieso de ssh poort veranderen, omdat hackers vaak poort 22 gebruiken om toegang te krijgen tot je server aangezien dat de standaard poort is.
Ik zou sowieso de ssh poort veranderen, omdat hackers vaak poort 22 gebruiken om toegang te krijgen tot je server aangezien dat de standaard poort is.Dat gaat je server echt niet veiliger maken.
Ik draai de SSH gewoon op poort 22, maar regel met mijn firewall wie waar bij mag.
En dan nog, al zet je je SSH open voor de gehele wereld, je bent niet per definitie gehacked dan.
Zorg dat je de laatste versie draait e.d. Zet RootLogin uit en neem een goed password :)
Welke updates van welke pakketten zijn het belangrijkst?
Ik ken CentOS verder niet, maar ik denk dat je graag je OpenSSH-server up to date wil houden.
In ieder geval _alles_ wat onder root draait. Maar eigenlijk wil je alles up to date houden.
Dat gaat je server echt niet veiliger maken.
Ik draai de SSH gewoon op poort 22, maar regel met mijn firewall wie waar bij mag.
En dan nog, al zet je je SSH open voor de gehele wereld, je bent niet per definitie gehacked dan.
Zorg dat je de laatste versie draait e.d. Zet RootLogin uit en neem een goed password :)
en kies voor je user login vooral niet hetzelfde wachtwoord als voor je SU ;)
Verder alles up2date houden is ook aan te raden :)
Zou mijn server optimaal beveiligd zijn moest ik volgend script uitvoeren?
http://www.directadmin.com/forum/showthread.php?t=12099&highlight=plugin
En houdt dat enig (groo) risico in?
Ryan Kalkhoven
18/05/07, 17:38
Wellicht is het verstandig om je eerst wat verder in linux te verdiepen ipv direct scripjes van andere te gebruiken waarvan je zelf niet kan bepalen wat het gaat doen....
Ik heb chkrootkit & rkhunter gedraaid en zij geven geen veiligheidsprobleem aan.
Zit ik goed? Ik heb de laatste updates uitgevoerd van belangrijke pakketten.
Hoe kom je er uberhaupt bij om een eigen server te nemen/onderhouden? Goed serverbeheer leer je niet even in een paar uur en is iets heel anders dan "hup CentOS (valt nog mee dat je geen Fedora hebt draaien) erop, DirectAdmin erop, eventueel nog wat scriptjes van jan en alleman runnen en klaar is kees". Voordat je een systeem goed kan beveiligen zal je eerst moeten weten hoe het exact werkt en in elkaar zit, waar bij jou duidelijk nog geen sprake van is.
Tip: neem een servicecontract voor deze server en laat een professional het onderhoud doen, zet thuis een oud pc'tje neer en installeer daar ook CentOS op en ga heel veel lezen, oefenen, lezen, oefenen etc. etc.
@Ospito: Wat maakt het uit wat voor distro je draait, hangt er puur vanaf hoe dat je het installeerd en beveiligd, ok, een fedora update veel en heeft maar een hele korte periode tussen nieuwe releases, maar edoch, als je zelf alles compiled dan maakt het in principe niet uit wat voor distro je er op draait.
@Ospito: Wat maakt het uit wat voor distro je draait, hangt er puur vanaf hoe dat je het installeerd en beveiligd, ok, een fedora update veel en heeft maar een hele korte periode tussen nieuwe releases, maar edoch, als je zelf alles compiled dan maakt het in principe niet uit wat voor distro je er op draait.
Dat maakt in zoverre uit dat Fedora geen OS is waar je een server op wil laten draaien, als je dan een gratis RedHat variant wil neem dan CentOS. Fedora is leuk voor op een werkstation maar niet geschikt voor op een server. Nog steeds veel "hosters" (voornamelijk de mensen die zich eigenlijk geen eens hoster zouden mogen noemen) gebruiken Fedora op hun server.
Link: http://en.wikipedia.org/wiki/Fedora_%28Linux_distribution%29
...and it is intended to replace the consumer distributions of Red Hat Linux aimed towards home users...
MusicMaestro
19/05/07, 18:03
Hoe kom je er uberhaupt bij om een eigen server te nemen/onderhouden? Goed serverbeheer leer je niet even in een paar uur en is iets heel anders dan "hup CentOS (valt nog mee dat je geen Fedora hebt draaien) eropEehem.. Fedora Core is een stuk veiliger dan CentOS, mits goed uitgevoerd. En best als server te gebruiken. Enige nadeel is de short lifetime.
Eehem.. Fedora Core is een stuk veiliger dan CentOS, mits goed uitgevoerd. En best als server te gebruiken. Enige nadeel is de short lifetime.
Jij draait zeker ook liever Windows XP op een server dan Windows 2003 Server? Fedora is niet gemaakt als server OS. Tuurlijk kan je Fedora verder dicht timmeren (en dus veiliger maken) dan een standaard CentOS installatie, maar dat kan je ook bij een CentOS installatie doen.
Nou ben ik helemaal niet zo'n fan van Linux (geef mij maar BSD), maar als je dan persee Linux wil/moet gebruiken dan het liefst Debian (of variant) en anders CentOS. Fedora is wel het laatste dat op een server thuishoort en ik er op zou zetten. Maar goed, we gaan te ver offtopic.
Eehem.. Fedora Core is een stuk veiliger dan CentOS, mits goed uitgevoerd. En best als server te gebruiken. Enige nadeel is de short lifetime.
Ik weet niet hoe je dat zo durft te zeggen, maar het is bullshit. Beide zijn "onderdeel" van Redhat, waarvan Centos de Enterprise gebruikt van Redhat.
Beide gebruiken de zelfde software, de repostory ziet er vrijwel het zelfde uit en deze kan je zelf bijvullen met leuke urls.
en daar komt bij dat Fedora een desktop distro is en Centos een server distro.
Dus kom met punten hoezo het minder veilig is?
Misschien heb je verder nog wat http://www.mrleejohn.nl/linux-security.htm .
MusicMaestro
21/05/07, 17:42
Ik weet niet hoe je dat zo durft te zeggen, maar het is bullshit. Beide zijn "onderdeel" van Redhat, waarvan Centos de Enterprise gebruikt van Redhat.
Beide gebruiken de zelfde software, de repostory ziet er vrijwel het zelfde uit en deze kan je zelf bijvullen met leuke urls.Waar het CentOS maanden kost om nieuwe software draaiende te krijgen (centos blijft afhankelijk van de upstream provider releases, i.e. RH, en de gebruiker moet dan nog wachten op aanpassing naar centos toe), is het in Fedora Core al lang en breed werkend.
De development stream is Fedora Core > RHEL > CentOS.
Er is gewoon geen argument *tegen* de superieure veiligheid van FC te verzinnen. Ik gebruik ook meestal CentOS, maar dat is alleen maar uit gemakzucht. Heb ook jaren servers op FC gerunt, en er nog steeds 1 draaiende, nu op FC6 (was ooit FC3). Geen enkel aspect van deze distro heeft die servers onveilig gemaakt. Alleen mensen die nooit beiden naast elkaar in productie gebruikt hebben zullen beweren dat CentOS veiliger is. Dat is hetzelfde als zeggen dat een oude stabiele Windows 2000 veiliger is dan een nieuwe Windows Longhorn.
Waar het CentOS maanden kost om nieuwe software draaiende te krijgen (centos blijft afhankelijk van de upstream provider releases, i.e. RH, en de gebruiker moet dan nog wachten op aanpassing naar centos toe), is het in Fedora Core al lang en breed werkend.
De development stream is Fedora Core > RHEL > CentOS.
Er is gewoon geen argument *tegen* de superieure veiligheid van FC te verzinnen. Ik gebruik ook meestal CentOS, maar dat is alleen maar uit gemakzucht. Heb ook jaren servers op FC gerunt, en er nog steeds 1 draaiende, nu op FC6 (was ooit FC3). Geen enkel aspect van deze distro heeft die servers onveilig gemaakt. Alleen mensen die nooit beiden naast elkaar in productie gebruikt hebben zullen beweren dat CentOS veiliger is. Dat is hetzelfde als zeggen dat een oude stabiele Windows 2000 veiliger is dan een nieuwe Windows Longhorn.
- meer code -> meer bugs -> meer mogelijke security bugs
- FC -> snelle EOL -> niet upgraden = security risk
Wil nu als je veel bakken onderhoud dat je zo weinig mogelijk wilt upgraden naar andere releases? Misschien dat jij niet genoeg bakken beheert om dat te beseffen :)
Waar het CentOS maanden kost om nieuwe software draaiende te krijgen (centos blijft afhankelijk van de upstream provider releases, i.e. RH, en de gebruiker moet dan nog wachten op aanpassing naar centos toe), is het in Fedora Core al lang en breed werkend.
De development stream is Fedora Core > RHEL > CentOS.
Er is gewoon geen argument *tegen* de superieure veiligheid van FC te verzinnen. Ik gebruik ook meestal CentOS, maar dat is alleen maar uit gemakzucht. Heb ook jaren servers op FC gerunt, en er nog steeds 1 draaiende, nu op FC6 (was ooit FC3). Geen enkel aspect van deze distro heeft die servers onveilig gemaakt. Alleen mensen die nooit beiden naast elkaar in productie gebruikt hebben zullen beweren dat CentOS veiliger is. Dat is hetzelfde als zeggen dat een oude stabiele Windows 2000 veiliger is dan een nieuwe Windows Longhorn.Man, wat blaat jij een onzin zeg! :)
FC is de Playground voor RHEL, alles wordt daar getest vóórdat het naar RHEL gaat.
Daarom heb je een hele korte support-tijd en wijzigt er tussen alle versies van alles en nog wat.
Onder veiligheid wordt ook stabiliteit verstaan, integriteit van het systeem en noem het maar op.
FC is gewoon geen superveilig OS. Dus dat superieure veiligheid is totale nonsens.
In mijn ogen lopen jullie allemaal als een kudde schapen te blaten.
Iedere distro, of het nou CentOS, Fedora, AkkermansOS is goed te beveiligen. Er bestaat in het algemeen geen superveilig en superstabiel OS, als dat zo was dan hadden we alleen maar een wereld gedoopt in de idealen van utopia.
Iedere distro heeft zo zijn voor en nadelen, meetal hangt dit samen met de persoonlijke keuze van de beheerder. Maar het blijft toch echt allemaal Linux met libc met wat sysV init troep en een package manager. niets meer en niets minder. en dat kun je ook lekker zelf upgraden. (Of zelf maken!)
Vuistregels van security zijn gewoon dat je dingen goed firewalled (of niet natuurlijk. met hosts.deny/hosts.allow en wat handy ACLs in je router/switch kom je ook al een heel eind). Alle onnodige dingen natuurlijk niet installeert en de software die functioneel is die erop draait beetje up2date houdt. Eventueel voor de webhosterts hier een mod_security eroverheen doseren en je hebt weer voldoende dingen om de kiddos buiten de deur te houden :)
Bovendien levert filteren op je server ook gelijk gezeur op als je een DDoS attack krijgt. Iets met conntrack tables die volslibben zegmaar en een kernel stack die het dan niet meer kan bijbenen. Hoge pp/s. 2Mbit aan DDoS. Capaciteit genoeg over...doos toch plat... volgende keer dan maar geen iptables meer ;)
Daarbij is de hele vuistregel van het hacken toch, dat als ze je willen pakken ze het tóch doen. kijk naar apache.org. Die was ook gehackt en dat was puur op configfout en een samenhang van omstandigheden. Het lag niet eens aan de distro.
Het enigste gevaar wat je loopt met mainstream dingen (Zoals Windows, Fedora e.d.) is dat mensen die er exploits voor vinden vaak mass-scanners gaan bouwen en dat indien je zo **** bent om alles out of the box default draait je zo het slachtoffer bent van een mass-scanner. Out of the box is niets secure.
Gewoon je koppie koppie erbij houden, alle onnodige dingen verwijderen en beetje logisch nadenken.
Just my 50 cents.
rayden (Die helaas maar 1 laptop beheert.. boohoo :( )
Ik ben het 1000% eens met rayden.
Tuurlijk, het ligt zeker aan de beheerder, maar dat neemt niet weg dat een beheerder een RC veilig kan hebben draaien.
Het ligt aan de keuzes die je maakt, maar als jij alles via de package manager doet en niets installeert, is jouw systeem tot op zekere hoogte even veilig als de package manager jouw levert.
Wie had het hier over package managers? Maak alles van source, build je kernel custom, omdat je de onnodige bullshit als bluetooth, sound en USB crap niet wilt hebben, je wilt immers je server optimaal hebben voor hetgeen wat het moet serveren, maak alles van source uit, zodat je, mocht je problemen krijgen, weet waar je moet zoeken, en alles extreem goed kunt beheren, zonder de vraag te hoeven stellen op een forum van "Mijn apt-get doet het niet" of "./build apache " doet het niet, leer jezelf verdiepen in een server, en ga dan kijken om en hosting bedrijf te starten, het niveau vind ik, is hier de afgelopen jaren bijzonder gedaald.
[ostlan]nokkieG
21/05/07, 20:41
FC is de Playground voor RHEL, alles wordt daar getest vóórdat het naar RHEL gaat.
Deze stelling slaat alvast nergens op. Fedora is afgesplits van RedHat omdat bedrijven als IBM/HP/ORACLE gevraagd hebben om een release die niet iedere dag geupdate werd. Dit omdat het moeilijk was om de software die hen gebruiken af te stemmen op het immer veranderende OS. (wat grappig is omdat ze nu klagen dat er juist te weinig OS updates zijn).
Fedora is de versie, die een aantal RedHat ontwikkelaars door wilden ontwikkelen voor de trouwe schare gebruikers. Dat kon je met name in het begin erg goed merken!
Een bijkomend voordeel voor RedHat is wel dat software eerst in de Fedora release te bewonderen valt. Maar dat was toendertijd zeker niet de insteek.
En beveiliging ligt helemaal aan hoe je het OS gebruikt. Als je niet weet wat je aan het doen bent dan is ieder OS zo lek als een mandje.
My 2 cents.
Dan heb ik op de CeBIT toch echt iets heel anders gezien bij de stand van RedHat.
@ phreak, alles op je server zelf compilen is natuurlijk tijd verspillen. Ik weet prima hoe te compilen e.d., maar waarom zou ik gaan compilen als de package maintainers bij Ubuntu voor mij al dat werk al doen? Zij zoeken de dependencies uit en regelen dat het werkt.
Ik doe het beheer, zij het compile werk.
Dan heb ik op de CeBIT toch echt iets heel anders gezien bij de stand van RedHat.
@ phreak, alles op je server zelf compilen is natuurlijk tijd verspillen. Ik weet prima hoe te compilen e.d., maar waarom zou ik gaan compilen als de package maintainers bij Ubuntu voor mij al dat werk al doen? Zij zoeken de dependencies uit en regelen dat het werkt.
Ik doe het beheer, zij het compile werk.
Wido, dan weet ik dat je je ding wel kan, maar dan praat ik over 70% wat hier komt wat die kennis niet in huis heeft, en ergens moet je het gaan leren, ik geef toe dat compilen een hoop tijd kost, maar edoch heb ik dan wel een behoorlijke beheersbaarheid, in configure's (opties) en weet ik beter fouten te traceren als je alles van de grond af opbouwd, ik doe er misschien wel iets langer over, maar doe het wel goed, en heb verder ook prima versie beheer, iets wat heel handig kan zijn.
MusicMaestro
22/05/07, 18:16
In mijn ogen lopen jullie allemaal als een kudde schapen te blaten.
Iedere distro, of het nou CentOS, Fedora, AkkermansOS is goed te beveiligen.Natuurlijk, het zijn dan ook meestal luie beheerders die ruzie hebben over de 'veiligheid' van een distributie. Als je gewoon via ssh je servers beheert, geen controlpanel watje bent, dan is elke linux distributie zo veilig te maken als je maar wilt. Er zijn ook enorme secure websites die op Gentoo draaien. Gentoo is in feite een soort Fedora Core, gezien het voorop lopen met bijv. hardware-support en nieuwe software-releases.
Mijn punt is vooral dat je soortgenoten, zoals CentOS en FC, niet tegen elkaar kunt uitspelen op basis van veiligheid, zonder te beseffen dat veiligheid voor een groot deel bepaald wordt door ondersteuning van nieuwe software releases. Dat in ogenschouw nemend is FC gegarandeerd veiliger, omdat je veel sneller je servers gepatched zult krijgen dan in CentOS. SELinux werd bijv. eerst hardcore ingezet voor Fedora, later ging RH het ook doen, en daarmee CentOS pas. Er zijn wel veel pakketten die van FC naar CentOS geporteerd worden, maar daarbij bots je tegen een boel lastige dependencies, die je 'stabiele' CentOS ineens een package management chaos bezorgen. (en dus blijft die centOS op de oudere versies draaien)
Ontopic nu?
Fedora / CentOS gezeik is onzin en stopt bij deze..
Topic: Hoe maak je een server veilig
ps. Bedankt voor de link naar de howto's van CCC-hosting, deze zijn wel eens handig.
Deze howto's zijn inderdaad zeer interessant. Bedankt daarvoor
Ontopic nu?
Fedora / CentOS gezeik is onzin en stopt bij deze..
Topic: Hoe maak je een server veilig
ps. Bedankt voor de link naar de howto's van CCC-hosting, deze zijn wel eens handig.
Vertel me eens eerlijk waarom Fedora / CentOS gezeik onnuttig is? and who made you moderator?