Onderwerp: Server beveiliging / hardening.

Oorspronkelijk geplaatst door X-Hosted

- /tmp met noexec mouten (via: http://forum.ev1servers.net/printthread.php?t=27771), echer.. via de manier in dit topic laat na reboot de tmp partitie /TMPmnt zich niet meer zien, niet 100% correct dus.

Beginnen met het aanmaken van aparte partities lijkt mij geen overbodige luxe.
/tmp
/home


Betreft disable_functions in php.ini, zou het een cool idee zijn dat je dit soort instellingen met flags in de costom httpd config zou kunnen regelen. (net zoals de safemode) echter volgens mij is dit helaas niet mogelijk.

Ik kan me voor stellen dat je klanten niet echt blij zijn met jouw disable functies.

*heeft weer een extra bookmark erbij ;-)*

Ontopic: Als je mod_ruid draait, hebben de functies exec() etc. toch wel weer een stuk minder bedreiging. En stel een klant wilt exec() met een legitiem doel, hoe kan je zorgen dat bv alleen hij er gebruik van kan maken, of dat het gewoon een stuk veiliger is om niet in de disable_functions te stoppen.

Oorspronkelijk geplaatst door X-Hosted

Vanuit een aantal andere topics heb ik begrepen dat er wel animo is voor een topic met daarin 'het beveiligings verhaal' / hoe van een kale outta box server naar een veilige server, misschien handig als checklist voor andere beheerders of beheerders in wording.

Ik doe zelf altijd het volgende:

- Apache/Php/Mysql/ProFTPd/phpMyAdmin updaten (evt met behulp van http://www.directadmin.com/forum/sho...threadid=12099 en andere topics op DirectAdmin forum.)

- In DA onder administrator settings. automatische updates aanzetten, ip's laten blacklisten die meer dan 10x fout inloggen, elke minuut op vrije partition space checken en waarschuwen op 90% partitie usage

- Apache server status aan in httpd.conf, tevens ServerSignature Off

- SSH op een ander ip binden dan het 'normale' server ip, op andere port zetten, protocol naar 2 en permit root login uit.

- Spam Assassin aan

- Open DNS servers uit

- In /etc/hosts.deny, alles denyen voor SSH - in /etc/hosts.deny alleen mijn eigen IP en het IP van een windows server toegang geven tot SSH

- disable_functions in php.ini: exec,system,pcntl_exec,parse_ini_file,show_source, curl_exe,shell_exec,passthru,escapeshellarg,escape shellcmd,proc_close,proc_get_status,proc_nice,proc _open,proc_terminate,apache_note,apache_setenv,clo selog,debugger_off,debugger_on,define_syslog_varia bles,openlog,syslog

- /tmp met noexec mouten (via: http://forum.ev1servers.net/printthread.php?t=27771), echer.. via de manier in dit topic laat na reboot de tmp partitie /TMPmnt zich niet meer zien, niet 100% correct dus.

- wget down locken tot root (chmod 700 geven).

- YUM laten checken op updates.

Er zijn waarschijnlijk nog veel meer dingen, aanvullingen zijn dus van harte welkom... wellicht kan het een heel handig topic worden voor server owners.

Ik heb zelf geen ervaring met host.deny maar ik doe het gewoon via iptables met drop Ik kreeg laast van verschillende ips allemaal ssh bruteforces op de iptables gegooit en geen last meer van