Onderwerp: Server veilig?

Oorspronkelijk geplaatst door MusicMaestro

Eehem.. Fedora Core is een stuk veiliger dan CentOS, mits goed uitgevoerd. En best als server te gebruiken. Enige nadeel is de short lifetime.

Ik weet niet hoe je dat zo durft te zeggen, maar het is bullshit. Beide zijn "onderdeel" van Redhat, waarvan Centos de Enterprise gebruikt van Redhat.

Beide gebruiken de zelfde software, de repostory ziet er vrijwel het zelfde uit en deze kan je zelf bijvullen met leuke urls.

en daar komt bij dat Fedora een desktop distro is en Centos een server distro.

Dus kom met punten hoezo het minder veilig is?

Misschien heb je verder nog wat http://www.mrleejohn.nl/linux-security.htm .

Oorspronkelijk geplaatst door trebbor

Ik weet niet hoe je dat zo durft te zeggen, maar het is bullshit. Beide zijn "onderdeel" van Redhat, waarvan Centos de Enterprise gebruikt van Redhat.

Beide gebruiken de zelfde software, de repostory ziet er vrijwel het zelfde uit en deze kan je zelf bijvullen met leuke urls.

Waar het CentOS maanden kost om nieuwe software draaiende te krijgen (centos blijft afhankelijk van de upstream provider releases, i.e. RH, en de gebruiker moet dan nog wachten op aanpassing naar centos toe), is het in Fedora Core al lang en breed werkend.
De development stream is Fedora Core > RHEL > CentOS.

Er is gewoon geen argument *tegen* de superieure veiligheid van FC te verzinnen. Ik gebruik ook meestal CentOS, maar dat is alleen maar uit gemakzucht. Heb ook jaren servers op FC gerunt, en er nog steeds 1 draaiende, nu op FC6 (was ooit FC3). Geen enkel aspect van deze distro heeft die servers onveilig gemaakt. Alleen mensen die nooit beiden naast elkaar in productie gebruikt hebben zullen beweren dat CentOS veiliger is. Dat is hetzelfde als zeggen dat een oude stabiele Windows 2000 veiliger is dan een nieuwe Windows Longhorn.

Oorspronkelijk geplaatst door MusicMaestro

Waar het CentOS maanden kost om nieuwe software draaiende te krijgen (centos blijft afhankelijk van de upstream provider releases, i.e. RH, en de gebruiker moet dan nog wachten op aanpassing naar centos toe), is het in Fedora Core al lang en breed werkend.
De development stream is Fedora Core > RHEL > CentOS.

Er is gewoon geen argument *tegen* de superieure veiligheid van FC te verzinnen. Ik gebruik ook meestal CentOS, maar dat is alleen maar uit gemakzucht. Heb ook jaren servers op FC gerunt, en er nog steeds 1 draaiende, nu op FC6 (was ooit FC3). Geen enkel aspect van deze distro heeft die servers onveilig gemaakt. Alleen mensen die nooit beiden naast elkaar in productie gebruikt hebben zullen beweren dat CentOS veiliger is. Dat is hetzelfde als zeggen dat een oude stabiele Windows 2000 veiliger is dan een nieuwe Windows Longhorn.

- meer code -> meer bugs -> meer mogelijke security bugs
- FC -> snelle EOL -> niet upgraden = security risk

Wil nu als je veel bakken onderhoud dat je zo weinig mogelijk wilt upgraden naar andere releases? Misschien dat jij niet genoeg bakken beheert om dat te beseffen

Oorspronkelijk geplaatst door MusicMaestro

Waar het CentOS maanden kost om nieuwe software draaiende te krijgen (centos blijft afhankelijk van de upstream provider releases, i.e. RH, en de gebruiker moet dan nog wachten op aanpassing naar centos toe), is het in Fedora Core al lang en breed werkend.
De development stream is Fedora Core > RHEL > CentOS.

Er is gewoon geen argument *tegen* de superieure veiligheid van FC te verzinnen. Ik gebruik ook meestal CentOS, maar dat is alleen maar uit gemakzucht. Heb ook jaren servers op FC gerunt, en er nog steeds 1 draaiende, nu op FC6 (was ooit FC3). Geen enkel aspect van deze distro heeft die servers onveilig gemaakt. Alleen mensen die nooit beiden naast elkaar in productie gebruikt hebben zullen beweren dat CentOS veiliger is. Dat is hetzelfde als zeggen dat een oude stabiele Windows 2000 veiliger is dan een nieuwe Windows Longhorn.

Man, wat blaat jij een onzin zeg!

FC is de Playground voor RHEL, alles wordt daar getest vóórdat het naar RHEL gaat.

Daarom heb je een hele korte support-tijd en wijzigt er tussen alle versies van alles en nog wat.

Onder veiligheid wordt ook stabiliteit verstaan, integriteit van het systeem en noem het maar op.

FC is gewoon geen superveilig OS. Dus dat superieure veiligheid is totale nonsens.

In mijn ogen lopen jullie allemaal als een kudde schapen te blaten.

Iedere distro, of het nou CentOS, Fedora, AkkermansOS is goed te beveiligen. Er bestaat in het algemeen geen superveilig en superstabiel OS, als dat zo was dan hadden we alleen maar een wereld gedoopt in de idealen van utopia.

Iedere distro heeft zo zijn voor en nadelen, meetal hangt dit samen met de persoonlijke keuze van de beheerder. Maar het blijft toch echt allemaal Linux met libc met wat sysV init troep en een package manager. niets meer en niets minder. en dat kun je ook lekker zelf upgraden. (Of zelf maken!)

Vuistregels van security zijn gewoon dat je dingen goed firewalled (of niet natuurlijk. met hosts.deny/hosts.allow en wat handy ACLs in je router/switch kom je ook al een heel eind). Alle onnodige dingen natuurlijk niet installeert en de software die functioneel is die erop draait beetje up2date houdt. Eventueel voor de webhosterts hier een mod_security eroverheen doseren en je hebt weer voldoende dingen om de kiddos buiten de deur te houden

Bovendien levert filteren op je server ook gelijk gezeur op als je een DDoS attack krijgt. Iets met conntrack tables die volslibben zegmaar en een kernel stack die het dan niet meer kan bijbenen. Hoge pp/s. 2Mbit aan DDoS. Capaciteit genoeg over...doos toch plat... volgende keer dan maar geen iptables meer

Daarbij is de hele vuistregel van het hacken toch, dat als ze je willen pakken ze het tóch doen. kijk naar apache.org. Die was ook gehackt en dat was puur op configfout en een samenhang van omstandigheden. Het lag niet eens aan de distro.

Het enigste gevaar wat je loopt met mainstream dingen (Zoals Windows, Fedora e.d.) is dat mensen die er exploits voor vinden vaak mass-scanners gaan bouwen en dat indien je zo **** bent om alles out of the box default draait je zo het slachtoffer bent van een mass-scanner. Out of the box is niets secure.

Gewoon je koppie koppie erbij houden, alle onnodige dingen verwijderen en beetje logisch nadenken.

Just my 50 cents.

rayden (Die helaas maar 1 laptop beheert.. boohoo )

Ik ben het 1000% eens met rayden.

Tuurlijk, het ligt zeker aan de beheerder, maar dat neemt niet weg dat een beheerder een RC veilig kan hebben draaien.

Het ligt aan de keuzes die je maakt, maar als jij alles via de package manager doet en niets installeert, is jouw systeem tot op zekere hoogte even veilig als de package manager jouw levert.

Wie had het hier over package managers? Maak alles van source, build je kernel custom, omdat je de onnodige bullshit als bluetooth, sound en USB crap niet wilt hebben, je wilt immers je server optimaal hebben voor hetgeen wat het moet serveren, maak alles van source uit, zodat je, mocht je problemen krijgen, weet waar je moet zoeken, en alles extreem goed kunt beheren, zonder de vraag te hoeven stellen op een forum van "Mijn apt-get doet het niet" of "./build apache " doet het niet, leer jezelf verdiepen in een server, en ga dan kijken om en hosting bedrijf te starten, het niveau vind ik, is hier de afgelopen jaren bijzonder gedaald.

Oorspronkelijk geplaatst door Wido

FC is de Playground voor RHEL, alles wordt daar getest vóórdat het naar RHEL gaat.

Deze stelling slaat alvast nergens op. Fedora is afgesplits van RedHat omdat bedrijven als IBM/HP/ORACLE gevraagd hebben om een release die niet iedere dag geupdate werd. Dit omdat het moeilijk was om de software die hen gebruiken af te stemmen op het immer veranderende OS. (wat grappig is omdat ze nu klagen dat er juist te weinig OS updates zijn).

Fedora is de versie, die een aantal RedHat ontwikkelaars door wilden ontwikkelen voor de trouwe schare gebruikers. Dat kon je met name in het begin erg goed merken!

Een bijkomend voordeel voor RedHat is wel dat software eerst in de Fedora release te bewonderen valt. Maar dat was toendertijd zeker niet de insteek.

En beveiliging ligt helemaal aan hoe je het OS gebruikt. Als je niet weet wat je aan het doen bent dan is ieder OS zo lek als een mandje.

My 2 cents.

Dan heb ik op de CeBIT toch echt iets heel anders gezien bij de stand van RedHat.

@ phreak, alles op je server zelf compilen is natuurlijk tijd verspillen. Ik weet prima hoe te compilen e.d., maar waarom zou ik gaan compilen als de package maintainers bij Ubuntu voor mij al dat werk al doen? Zij zoeken de dependencies uit en regelen dat het werkt.

Ik doe het beheer, zij het compile werk.

Oorspronkelijk geplaatst door Wido

Dan heb ik op de CeBIT toch echt iets heel anders gezien bij de stand van RedHat.

@ phreak, alles op je server zelf compilen is natuurlijk tijd verspillen. Ik weet prima hoe te compilen e.d., maar waarom zou ik gaan compilen als de package maintainers bij Ubuntu voor mij al dat werk al doen? Zij zoeken de dependencies uit en regelen dat het werkt.

Ik doe het beheer, zij het compile werk.

Wido, dan weet ik dat je je ding wel kan, maar dan praat ik over 70% wat hier komt wat die kennis niet in huis heeft, en ergens moet je het gaan leren, ik geef toe dat compilen een hoop tijd kost, maar edoch heb ik dan wel een behoorlijke beheersbaarheid, in configure's (opties) en weet ik beter fouten te traceren als je alles van de grond af opbouwd, ik doe er misschien wel iets langer over, maar doe het wel goed, en heb verder ook prima versie beheer, iets wat heel handig kan zijn.

Oorspronkelijk geplaatst door rayden

In mijn ogen lopen jullie allemaal als een kudde schapen te blaten.

Iedere distro, of het nou CentOS, Fedora, AkkermansOS is goed te beveiligen.

Natuurlijk, het zijn dan ook meestal luie beheerders die ruzie hebben over de 'veiligheid' van een distributie. Als je gewoon via ssh je servers beheert, geen controlpanel watje bent, dan is elke linux distributie zo veilig te maken als je maar wilt. Er zijn ook enorme secure websites die op Gentoo draaien. Gentoo is in feite een soort Fedora Core, gezien het voorop lopen met bijv. hardware-support en nieuwe software-releases.

Mijn punt is vooral dat je soortgenoten, zoals CentOS en FC, niet tegen elkaar kunt uitspelen op basis van veiligheid, zonder te beseffen dat veiligheid voor een groot deel bepaald wordt door ondersteuning van nieuwe software releases. Dat in ogenschouw nemend is FC gegarandeerd veiliger, omdat je veel sneller je servers gepatched zult krijgen dan in CentOS. SELinux werd bijv. eerst hardcore ingezet voor Fedora, later ging RH het ook doen, en daarmee CentOS pas. Er zijn wel veel pakketten die van FC naar CentOS geporteerd worden, maar daarbij bots je tegen een boel lastige dependencies, die je 'stabiele' CentOS ineens een package management chaos bezorgen. (en dus blijft die centOS op de oudere versies draaien)

Ontopic nu?
Fedora / CentOS gezeik is onzin en stopt bij deze..

Topic: Hoe maak je een server veilig

ps. Bedankt voor de link naar de howto's van CCC-hosting, deze zijn wel eens handig.

Deze howto's zijn inderdaad zeer interessant. Bedankt daarvoor