Onderwerp: Server beveiligen

Origineel geplaatst door Qweb
Debian stable is een uitstekende keuze! Als het software aanbod van Debian stable voor jou voldoende is, stick to it, heb je nieuwere software nodig, kijk eens op backports.org (liever niet, maar als het niet anders kan dan wel).

Nieuwere software zal ik niet nodig hebben, zolang het maar goed functioneerd als webserver.

Daarnaast nog letten op het volgende:
- basis kennis van het bestandssysteem en file permissions op *NIX systemen is iets waar je je op zijn minst in moet verdiepen
- als je een webserver draait, en je hebt dynamische content (CGI, PHP enz.) zorg ervoor dat je je goed in de kwestie hebt verdiept. Met name PHP is standaard niet zo veilig ingesteld IMHO, maar je kan met disable_functions en een aantal andere wijzigingen heel erg ver komen (dus ja, je moet wel configuraties tweaken, maar we gaan hier niet alles voorkouwen, je zult jezelf in de materie moeten verdiepen)

Ik werk vooral met PHP ja. Over SQL injections heb ik veel gelezen, dus dat zal één van de belangrijkste punten zijn.
Ik vraag ook niet dat jullie alles voor mij voorkouwen, maar zoals nu, op pad geholpen worden stel ik zeer op prijs.

Zoals ook eerder vermeld is het zeer belangrijk dat je volgt wanneer er weer security leaks zijn gevonden en er updates beschikbaar zijn. De mailinglists van Debian zijn een uitstekende plaats om mee te beginnen, kijk ook eens op securityfocus.com

Op de mailing lists heb ik ook sinds gister aangemeld

als je safe_mode van php niet gebruikt kan ik je de volgende instellingen aanraden (in je php.ini):

Code:

disable_functions = "phpinfo,dl,system,exec,shell_exec,passthru,proc_open,proc_close,proc_get_status,proc_nice,proc_terminate"
expose_php = Off
register_globals = Off
magic_quotes_gpc = On
magic_quotes_sybase = Off
allow_url_fopen = Off

[edit] disable_functions moet op 1 regel

Dit is niet compleet. maar wel goed genoeg. Als je niet met uploads werkt, zet dat dan ook uit.

En niet te vergeten per website heel goed je open_basedir restricties opzetten!

Deze instellingen maken heel erg veel verschil.

Ik raad je ook aan in apache alle overbodige modules die je niet nodig hebt gewoon uit te zetten. Zoals eerder vermeld, het is een goed idee om alles wat je niet gebruikt gewoon te verwijderen of uit te schakelen. Dat geldt met name voor daemons, maar zeer zeker ook voor features in software.

Qweb aan zo een post heb ik weer iets, thanks.
Er gaat alleen maar 1 website draaien op de server, tenminste, misschien meerdere maar allemaal onder mijn beheer.
Het is namelijk voor persoonlijk gebruik met een groot website (groot aantal bezoekers).

Ik zal me eens verdiepen in de modules van php/apache.
(Ik installeer het altijd 'standaard'.)

(Ik installeer het altijd 'standaard'.)

Daar zul je zsm van moeten afstappen. Gelukkig heb je gekozen voor Debian, dit is standaard minder uitgebreid dan andere distributies.

ipchains is een ouder firewall meganism.

apf is vervolgens een goede keuze als je nog niet bekend bent met iptables.


ICMP verkeer is on default gelimiteerd, ik zou dus niet weten waarom je het helemaal uit wilt zetten.

Debian stable/unstable zouden allebij moeten voldoen, testing is waar ik een beetje bang voor ben

Origineel geplaatst door Unixboy
ipchains is een ouder firewall meganism.

apf is vervolgens een goede keuze als je nog niet bekend bent met iptables.


ICMP verkeer is on default gelimiteerd, ik zou dus niet weten waarom je het helemaal uit wilt zetten.

Debian stable/unstable zouden allebij moeten voldoen, testing is waar ik een beetje bang voor ben

APF werkt dus met ipchains ?

ICMP hoeft niet perse uit, maar stel ik heb het een keer nodig, dan weet ik hoe dat gaat
Just for 'to know'

Origineel geplaatst door Sinan


APF werkt dus met ipchains ?

ICMP hoeft niet perse uit, maar stel ik heb het een keer nodig, dan weet ik hoe dat gaat
Just for 'to know'

1. Nee iptables
2. icmp.rules ergens in /etc/apf als ik het zo uit het bollehoofd aan je vertel.

ow ja, ik kreeg ineens een lampje ... verdiep jezelf in mod_security mijn favorieten Apache module .

www.modsecurity.org

Origineel geplaatst door Unixboy


1. Nee iptables
2. icmp.rules ergens in /etc/apf als ik het zo uit het bollehoofd aan je vertel.

Helaas is die rule (bestand er niet), wel heb ik dit gevonden;

# Common ICMP (inbound) types
# 'internals/icmp.types' for type definition; 'all' is wildcard for any
IG_ICMP_TYPES="3,5,11,0,30,8"

Alleen ik weet niks van ICMP types af.

Over modsecurity -> ik zal eens kijken, lezen en waarschijnlijk gebruiken

/edit
Ik heb 8 eruit gehaald, en krijg geen ping replies meer, dat was hem (denk ik).

Origineel geplaatst door Sinan


Helaas is die rule (bestand er niet), wel heb ik dit gevonden;

# Common ICMP (inbound) types
# 'internals/icmp.types' for type definition; 'all' is wildcard for any
IG_ICMP_TYPES="3,5,11,0,30,8"

Alleen ik weet niks van ICMP types af.

Over modsecurity -> ik zal eens kijken, lezen en waarschijnlijk gebruiken

/edit
Ik heb 8 eruit gehaald, en krijg geen ping replies meer, dat was hem (denk ik).

Dat is hem indd.
(Is al weer een tijd geleden dat ik... et gebruikt heb )