Bekijk Volledige Versie : Beveiliging op elk nivo?
Ik had een discussie laats over beveiliging van Linux servers met een scripter en we verschillen van mening over een aantal punten. Ik ben van mening dat beveiliging inhoud dat je op alle levels zorgt dat het veilig is. Dit wil zeggen dat de eerst ring beveiliging IMO al erg belangrijk is hoewel het niet veel met de echte beveiliging te maken heeft.
De eerste laag zijn de RBL’s als er iemand onze servers wil bezoeken maar hij/zij staat op een RBL dan wordt dit bezoek geblokkeerd. Hier hou je (in zie de logs) al behoorlijk veel mee tegen want die lijsten zijn best lang.
Ook hebben we Geoblocking aan staan, d.w.z. dat we bij voorbaat alle exotische landen al blokkeren, want wat moet ik als NL hoster met bezoekers uit Madagascar of India. Door Geoblocking en RBL aan te zetten hou ik al er erg veel buiten.
Nu zegt mijn discussie partner:
Servers beschermen doe je m.i. door goed te monitoren en te beveiligen, niet door je klanten 1,2 miljard mogelijke bezoekers te onthouden.
Volgens mij hoort Geoblocking en RBL listing juist bij beveiliging en volgens wil je geen bezoekers die op een RBL staan en volgens mij wil je ook bezoekers uit landen waarvan bekent is dat 80% sowieso al op een RBL staat.
Wat vinden jullie? Zoveel mogelijk buiten houden zonder je klanten te benadelen (dus de normale landen hebben toegang)? Of RBL en Geoblocking uit zetten en iedereen de kans geven op te spammen en anders zaken die niet door de beugel kunnen?
Volgens mij hoort Geoblocking en RBL listing juist bij beveiliging en volgens wil je geen bezoekers die op een RBL staan en volgens mij wil je ook bezoekers uit landen waarvan bekent is dat 80% sowieso al op een RBL staat.
Heb je het hier puur over je eigen site/services? Of bepaal je dit ook voor je klanten? met andere woorden, ik ben klant en host een website bij jullie en die is alleen benaderbaar door IP's die jij bepaald??!!
Of ik mag ook alleen maar gemaild worden door IP's die jij bepaald?
Ik ben absoluut voorstander van RBL's, maar het volledig blokken van geografische gebieden gaat mij een stap tever.
want wat moet ik als NL hoster met bezoekers uit Madagascar of India.
Ik denk niet dat je als hoster kan bepalen welke ip adressen 'iets te zoeken hebben' op websites van je klanten.
Maar nogmaals, heb je het hier puur over je eigen websites/services of bepaal je dit dan ook voor je klanten?
Dit is server wide, alle "normale" landen staat wel open maar de exotische landen niet, ik heb dit al 3 jaar draaien en tot nu toe nog nooit een klacht gehad. (en als dit wel zo was had ik dat specifieke land gewoon open gezet) Ik praat hier wel over de PCI Compliant servers. Ik heb ook "budget" shared servers draaien waar RBL en geoblocking uit staan.
ik zou dit nooit doen; enkel wat kleinere netblocks opnemen die gekend zijn, en van waaruit aanvallen voorkomen. Er moet een bescherming zijn op elk niveau, maar dit is geen bescherming...
Laatst hadden we ook nog de discussie toen de OpenSSH-hack-hoax de ronde deed. Iemand stelde voor om SSH enkel nog toe te laten vanuit bvb .be/.nl locaties. Ik garandeer je dat er evenwel nodes van botnets in België en Nederland zitten, en dat dat dus een maat voor niets is.
Ik denk niet dat je als hoster kan bepalen welke ip adressen 'iets te zoeken hebben' op websites van je klanten.
Als hier ook klanten inderdaad door worden 'getroffen' dan vind ik dat je dat als hoster niet kan bepalen voor hun.
De kans is natuurlijk klein dat een normale site bezoekers uit Madagascar krijgt maar het moet wel mogelijk zijn imho.
Evengoed gaat hier ook het principe op van onschuldig tot het tegendeel bewezen is naar mijn mening. Een heel land blokkeren omdat een deel fout bezig is... Tsja..
Persoonlijk denk ik dat je als hoster zoveel mogelijk transparante verbindingen moet leveren.
Thunderbite
29/07/09, 09:51
@Ber Art -> Dit is server wide, alle "normale" landen staat wel open maar de exotische landen niet.
Wie bepaalt wat "normale" landen zijn? Wat voor jou een normaal land is is voor een van je klanten misschien een "abnormaal" land en visa versa.
Ik sluit me dus aan bij Pur dat de kans op normale bezoekers klein is vanuit een land als bijvoorbeeld Madagascar maar dat het natuurlijk wel mogelijk moet zijn.
Mark
marsipulami
29/07/09, 10:30
Ik denk dat het voor de algehele veiligheid wel veel kan schelen, alleen hangt het compleet van de klanten af die erop staan.
Ik vind ook niet dat je verkeer mag beperken vanuit 'exotische' landen. Als een klant nu zaken doet met bvb India, dan heeft die een probleem. Dit is geen veiligheid maar schijnveiligheid. Een goede firewall (voor de machines, niet op de machines zelf), zo weinig mogelijk brakke scripts, servers correct configureren ... en je komt al een heel eind.
Het enige wat wij beperken is het verkeer naar onze betalingspagina's (creditcard e.d.). Daar laten we alleen de 'normale' landen toe + CC moet uitgegeven zijn in het land van waar de betaler betaalt (ip-adres), dit heeft ook te maken met de verzekering die daaraan is gekoppeld (betalingen met gestolen cc's bijvoorbeeld zijn niet ten onze laste in dat geval).
Ik vind ook niet dat je verkeer mag beperken vanuit 'exotische' landen. Als een klant nu zaken doet met bvb India, dan heeft die een probleem.
en hiermee sla je de spijker op zn kop. Je moet geen landen blokkeren als de klant dat niet wil. Wie weet heeft hij wel een domein die speciale fietsroutes aanbied in Madagascar ;)
Dan kun je beter logs scannen op bekende exploits en de hosts in je iptables van alle servers opnemen voor een X tijd.
een deel van het internet afsluiten is tegen het idee van netneuraliteit en daar moet je niet aan beginnen :) (tenzij de klant het zelf wil/doet)
Je begeeft je natuurlijk op een glijdende helling. Zoals iemand al aanhaalt wat voor jou exotische landen zijn is dat voor een klant niet per definitie. Daarnaast is India imho nog niet eens zo exotisch gezien daar veel IT oursourcing naartoe gebeurd.
Maar what's next? Ook bepalen waarheen mails mogen worden gestuurd, of waarnaar toe een externe verbinding mag worden gelegd?
Het is denk ik te vergelijken met een club waar je een portier voor de deur hebt staan die op basis van "uiterlijk" bepaald wie er naar binnen mag. Het bespaart vast vandalisme, maar voorkomt ook de goede burger die niks kwaads in zin heeft om naar binnen te komen. En niemand kan garanderen dat iemand die je binnenlaat niet alsnog het hele interieur gaat slopen. Het is voornamelijk een kwestie van je interieur hufter-proof maken.
Je begeeft je natuurlijk op een glijdende helling. Zoals iemand al aanhaalt wat voor jou exotische landen zijn is dat voor een klant niet per definitie. Daarnaast is India imho nog niet eens zo exotisch gezien daar veel IT oursourcing naartoe gebeurd.
Maar what's next? Ook bepalen waarheen mails mogen worden gestuurd, of waarnaar toe een externe verbinding mag worden gelegd?
Het is denk ik te vergelijken met een club waar je een portier voor de deur hebt staan die op basis van "uiterlijk" bepaald wie er naar binnen mag. Het bespaart vast vandalisme, maar voorkomt ook de goede burger die niks kwaads in zin heeft om naar binnen te komen. En niemand kan garanderen dat iemand die je binnenlaat niet alsnog het hele interieur gaat slopen. Het is voornamelijk een kwestie van je interieur hufter-proof maken.
Totally agree. Een "beveiliging" zoals deze zou ons klanten kosten, aangezien wij klanten hebben die veel onderweg zijn en dus ook in het buitenland op hun kantoor/hotelkamer/internetcafe/ telefoon hun mail willen kunnen benaderen en die daar ook hun afzetgebied hebben.
Daarnaast vind ik deze maatregel ook wel verder gaan dan bijv een RBL, aangezien je nu mensen al blokkeert voordat ze iets goede of foute dingen hebben kunnen doen.
Triloxigen
29/07/09, 13:09
Bescherming zoals Microsoft zou doen, alles blokkeren en het is veilig :p
Denk bijvoorbeeld aan de Internet Explorer security met betrekking tot http://user@website.nl
Heb laatst ook een lijstje met "probleemgebieden" gehad van een Duitse partij.
Drie keer raden welk land daar in het rijtje naast Nigeria en Indonesie staat. :chinese:
"Netherlands, particularly Amsterdam (Hakfort)"
Voel er weinig voor om klanten op basis van hun postcode te gaan weigeren.
eXtreme Service
29/07/09, 13:50
Voor bepaalde klanten zou dit zeker een oplossing betekenen inzake veiligheid. Voor andere klanten dan eerder een beperking. Dan lijkt het voor mij ideaal om deze op te splitsen en een server te plaatsen die voldoet aan deze beperkingen en een server zonder. Dan kan de klant natuurlijk zelf kiezen op welke server hij komt te staan.
Zomaar op alle servers en diensten zou ik dit zeker niet draaien met uitzondering van RBL's.
Voor een gratis forum dienst die ik aanbied, gericht op Benelux, heb ik Geoblocking wel eens overwogen. Al is het maar op de shitload aan spammers op de diverse fora te weren. Maar als standaard onderdeel van de securitylagen: nee. Argumenten zijn al meerdere keren genoemd.
Ik vind dat geoblocking je laatste redmiddel moet zijn. Al is het alleen maar omdat het een schijn middel is (iemand uit NL kan net zo makkelijk kwaad doen als iemand uit Madegaskar).
Je moet als eerste proberen je server en de software die daarop draait zo goed mogelijk te beveiligen. Communicatie met je klant daarover is enorm belangrijk (laat je klant weten als je iets tegen komt wat niet aan de haak is, en informeer de klant hoe het anders ook kan).
Ik krijg er het gevoel 'security by obscurity' bij. Ofwel: je blokkeert wellicht alle automatisch scripts uit die hoek, maar ik mag hopen dat je daar sowieso geen last van hebt (e.g. je server is voldoende beveiligd). Als iemand vanuit zo'n land echt kwaad wilt, dan is een proxyservertje instellen voldoende.
Dit valt een beetje in de categorie SSH port veranderen. Leuk om de bruteforce aanvallen af te slaan, maar het is verder een schijngevoel van veiligheid (een simpele portscan en ik weet op welke poort je SSH draait).
Mocht het echt qua performance uitmaken (de RBL gebruiken vs de RBL niet gebruiken), dan is er misschien nog wat voor te zeggen. Maar dan niet uit beveiligingsopzicht, natuurlijk.
Ook hebben we Geoblocking aan staan,
Dat heb ik ook vaker overwogen, alleen ben ik er nog niet uit wat de beste methode is, want ik kan het met CSF doen, maar dat kost je dus hopen iptables lijntjes en dus geheugen.
Persoonlijk lijkt het mij dat dit gerust onder een deel van de beveiliging mag vallen. De machine van een concullega van me wordt uit zoveel exotische landen aangevallen, het zou al een heel stuk rustiger worden als dat allemaal gewoon standaard geblokkeerd wordt.
En dan hebben we het dus bijv. over .cn, .tw, .ru, .br, .hu. en zels panama en nog landen waarvan ik niet eens wist dat daar internet bestond.:)
Tevens ben je dan van de meeste spam af.
Van de andere kant kan het best zijn dat een klant zaken wil gaan doen met china en japan en die gaat daar dan last van krijgen.
Dus het lijkt me best wel een optie, niet goed en niet slecht, maar afhankelijk van welk soort klanten je op die server gaat bedienen.
Eventueel is het ook mogelijk om dit van tevoren bij een klant aan te geven dat je dit op bepaalde servers doet en indien klant dan zaken wilt doen met exotische landen, dat hij dit kan aangeven op het aanmeldformulier en hij dan een account krijgt op een server die meer toegankelijk is ingesteld.
Mijns inziens hebben de meesten toch geen boodschap aan landen als Brazilie of China bijv.
Dus IMO is het niet goed en niet slecht maar ligt het gewoon er aan welk klantentype je hebt en hoe je het per server inregelt. Het kan je een hoop rommel en ellende schelen.
Iedereen in de IT wereld houdt zijn eigen visie op beveiliging. Zo ook de programmeur en bijvoorbeeld de netwerk specialist. Dit omdat ze beide een andere visie hebben qua beveiliging.
Geo informatie kan wel nuttig zijn voor het bepalen van een bedreiging, zoals bijvoorbeeld cisco doet in de antispam dozen (en vast nog wel meer vendors, zit meer in netwerken dan anti-spam:) ) Dus als het een twijvelgeval is uit nederland: doorlaten, twijfelgeval uit wit-rusland: drop. Als algeheel filter vindt ik het eng. Wil je op vakantie even checken hoe de zaak er bij staat, kom je niet op de site...
Dit is server wide, alle "normale" landen staat wel open maar de exotische landen niet, ik heb dit al 3 jaar draaien en tot nu toe nog nooit een klacht gehad. (en als dit wel zo was had ik dat specifieke land gewoon open gezet) Ik praat hier wel over de PCI Compliant servers. Ik heb ook "budget" shared servers draaien waar RBL en geoblocking uit staan.
Het kan aan mij liggen, maar ik snap je link tussen een PCI compliant server en GeoBlocking niet. Elaborate yourself...
dreamhost_nl
09/05/10, 13:08
Wil je op vakantie even checken hoe de zaak er bij staat, kom je niet op de site...
Dan moet net dat land geblokkeerd zijn in je firewall. Daarnaast... zat free proxy servers om via te controleren... ;)
Dan moet net dat land geblokkeerd zijn in je firewall. Daarnaast... zat free proxy servers om via te controleren... ;)
Handig om over een proxy die mogelijk onbetrouwbaar is gevoelige data te versturen... Verder is dit een oud topic.
Ik vind ook, net als het merendeel hier, dat het uitsluiten van hele landen niet de bedoeling van het internet kan zijn. Ook 'lijkt' het inderdaad veilig, terwijl het niet eens een echte blokkade is voor de kwaadwillende uit die landen.
Daarnaast lijkt mij het grootste probleem al dat je India als exotisch bestempeld. Er wordt in de IT zeer veel zaken gedaan met India, en dat is dan al een land dat je blokkeert?