Bekijk Volledige Versie : belangijke onderdelen voor sever beveiliging
Wat zijn nu eigenlijk de belangrijkste punten op een server die je moet updaten o.i.d. om de beveiliging goed op orde te houden voor een server met Centos 5 en Directadmin ? En hoe kan je controleren of iets uptodate is ? (a.u.b. geen antwoorden van dat je zonder verstand hiervan geen server moet beheren zelf etc. :) )
In ieder geval zo af en toe eens een yum update draaien.
Controleer ook of er een kernel update is. Zo ja, dan de server een reboot geven of je kunt ksplice gebruiken om rebootless de kernel te updaten.
Verder de normale software (apache, php, etc) up2date houden. Dit kan heel mooi met de cron functie van DA zelf. Die geeft netjes aan dat er updates zijn (beter DA niet zelf de updates laten installeren, maar zelf controleren).
Spamassassin up2date houden, eventuele mod_security regels bijhouden enzovoorts.
Heb wat topics voor je opgezocht ;)
SSH tut: http://www.webhostingtalk.nl/beveiliging/156560-tutorial-ssh-beveiliging-gebruik-optimaliseren.html
http://www.webhostingtalk.nl/beveiliging/74905-beveilig-een-directadmin-server.html (vrij oud maar misschien heb je er iets aan)
http://www.webhostingtalk.nl/shared-webhosting/154809-server-inrichten.html (ook daar staat her en der wat)
http://www.webhostingtalk.nl/shared-webhosting/158513-beveiliging-shared-webhosting-servers.html
Verder:
yum update (let op je exclude list want dat kan je hele bak naar de haaien helpen)
apache, php, mysql up2date houden
ssh ander poortje / geen root login
mod_ruid
LFD (CSF als hulpmiddel)
beveiligen /tmp
etc. etc.
Verder de normale software (apache, php, etc) up2date houden. Dit kan heel mooi met de cron functie van DA zelf. Die geeft netjes aan dat er updates zijn (beter DA niet zelf de updates laten installeren, maar zelf controleren).
Waar kan ik die cron functie ergens vinden ?
http://help.directadmin.com/item.php?id=247 - nummer 3. Staan voor de rest ook andere nuttige dingen daar :)
LFD / CSF is al gemeld zie ik, maar hier zit ook een check tool in en dat helpt je ongetwijfeld al aardig op weg
Hoe werkt dat LFD/CSF precies ? En als ik directadmin update is mysql/php etc. nog niet uptodate lijkt me, hoe kan ik dat dan het beste doen. Met Yum update ?
Nee, dat staat in die howto vermeld ;)
Met directadmin kun je alles updaten met de custombuild script.
Dus bijvoorbeeld:
cd /usr/local/directadmin/custombuild
./build update mysql of ./build php n
Of als je alles wilt bijwerken:
./build update all
Als je wilt weten wat je allemaal kunt bijwerken met custombuild, doe dan een:
./build
Als aanvulling op de post van ichosting: Custombuild FAQ - DirectAdmin Forums
Punt 14. over updates.
kasumi_ninja
01/09/10, 22:14
Op de Gentoo forums staat een goede opsomming, verder zijn security updates erg belangrkijk. Debian heeft unattended-upgrades, elke dag wordt er gecontroleerd op security update en geinstalleerd als nodig.
- key/certificate-based auth; if possible never password-auth, never ever plaintext
- sshd_config AllowUsers, AllowGroups, DenyGroups, AcceptEnv, Ciphers, ClientAlive*, LoginGraceTime, MaxAuthTries, Permit*, X11Forwarding, only ssh v2, _no_ v1
- maybe portknocking
- firewalling for incoming and outgoing traffic, where appropriate based on UID/PID
- when e.g. squid is in use implement sane ACLs which allow only your/internal IP addresses
- tcpwrapper for apps without own ACLs
- minimal rights per process
- no unneeded services listening
- mod_security for apache
- fail2ban/denyhosts
- system hardening - SELinux/RSBAC/hardened kernel+toolchain
- regular system scans both 'on box' like rkhunter/aide and 'off box' like nessus, nmap, etc.
- log everything to a second system, use event correlation (sec), if possible via stunnel
- (when using Cisco) no CDP/VTP, PVLAN per port, dhcp snooping, arp limits per switch port, broadcast controls/limits, prune vlans from trunks, trunks only where really needed
- case intrusion detection
- arpwatch
- full disk encryption (token+passphrase)
- (secure) ntp on all systems
- no unencrypted traffic (neither wired nor wireless)
- normal user without wheel-rights
- root-login disabled
- don't rely on WEP/WPA/WPA2, use an additional VPN 'above'
- use a dedicated authentication host
- snort
- !skype
- ....
http://forums.gentoo.org/viewtopic-t-757478-highlight-glsacheck.html
avanmessen
02/09/10, 07:41
Kijk hier ook eens naar :
http://www.howtoforge.com/bastille_firewall_centos
Niet zo PSAD, maar vooral bastille als je het over de
beveiliging hebt. Erg makkelijk uit te voeren en zorgt
voor een heleboel al ...
:yes: