Onderwerp: Linux server

Ik vroeg me af ben nu beetje aan et aanklooien met Debian wat jullie zoal installeren aan firewall etc software, heb een klein lijstje waar ik aan dacht maar misschien hebben jullie nog ideeën ?

Tripware
ProFTPd
Apache
MySQL
PHP
BIND
Postfix
Webalizer
Nagios ??
rootkit checker ???


Alvast bedankt,

Norman

gewoon wat tooltjes zoals nmap, traceroute, wget etc

Hieronder wat tips/opmerkingen:

Als je dan een rootkit checker installeert doe het dan zeker niet op de server die je wilt checken. Je rootkitchecker zal maar geroot worden.... Zet zo'n checker bij voorkeur op een read-only partitie (ook niet echt veilig als iemand root heeft) of nog beter op een CDROM die je in je server laat zitten. Zelfde geldt voor alle security tools die je puur alleen nodig hebt om te scannen of je server nog in orde is.

Firewall software heb je eigenlijk alleen nodig als je bv. het aantal pings wilt beperken. Voor de rest draai je als het goed is alleen maar diensten die vanaf het internet benaderd moeten worden dus een firewall heeft weinig zin naar mijn idee.

Kijk voor de statistieken ook eens naar awstats. Erg goed statiestiekenprogramma en naar mijn mening beter dan webalizer.

Nagios zet je bij voorkeur op een aparte server. Mocht je web/mail/etc server eruit liggen dan detecteert nagios dat tenminste. Je web/mail/etc server zal vanwege alle gebruikers die erop zitten eerder problemen veroorzaken dan een server waar jijzelf alleen actief op bent.

Plaats bij voorkeur ook bind op een aparte server. Draai het in iedergeval in chroot.

Voor de rest heb je denk ik wel een aardig lijstje. Misschien nog een kernel toevoegen met grsec erin en een goede configuratie erbij.

PS. het is overigens Tripwire (met een i)

Ik zou je aanraden om php met flink wat extra opties te compilen, zoals gd, imap, ftp, enz enz.. en bijv iets als suphp (www.suphp.org) (zie de handleiding daarvoor die hier ergens op het forum staat) te draaien, want php is standaard namelijk lek: users kunnen elkaars php files lezen omdat die leesbaar moeten zijn voor de webserver.

Origineel geplaatst door svbeek
Ik zou je aanraden om php met flink wat extra opties te compilen, zoals gd, imap, ftp, enz enz.. en bijv iets als suphp (www.suphp.org) (zie de handleiding daarvoor die hier ergens op het forum staat) te draaien, want php is standaard namelijk lek: users kunnen elkaars php files lezen omdat die leesbaar moeten zijn voor de webserver.

PHP is niet lek, de manier (een van de manieren) van integratie met de webserver software is niet goed geregeld waardoor PHP onder dezelfde permissies draait als de webserver. Das wel een verschil.

Mjah ok lek is misschien niet helemaal het goede woord.. maar tis iig wel handig om het niet zo te laten draaien.. t ging me er vooral om dat even duidelijk te maken

Ach, als je de gebruikers geen shell geeft, proftp zo instelt dat ze niet buiten hun homedir kunnen komen en safemode aanzet in PHP, is er mijns inziens niet zoveel aan de hand.

Zelf ben ik niet zo'n fan van postfix, gebruik liever Qmail of Exim, overigens.

Bind is overigens ook een afrader. Gebruik liever PowerDNS.

Wat verder handig is: grsecurity kernelpatch, webmin en alle development tools (apt-get install build-essential).

kijk dit zijn handige reacties

Trouwens nog een vraag, hoe hebben de meeste van jullie je server gepartitioneerd ?
Alles apart + aparte voor mail, of gewoon 1 partitie of al1 root en home ?

Origineel geplaatst door Unexplained
Ach, als je de gebruikers geen shell geeft, proftp zo instelt dat ze niet buiten hun homedir kunnen komen en safemode aanzet in PHP, is er mijns inziens niet zoveel aan de hand.

Zelf ben ik niet zo'n fan van postfix, gebruik liever Qmail of Exim, overigens.

Bind is overigens ook een afrader. Gebruik liever PowerDNS.

Wat verder handig is: grsecurity kernelpatch, webmin en alle development tools (apt-get install build-essential).

Development tools op een hostingserver? Waarom? Eigenlijk is het niet nodig en alleen handig voor de gasten die op je server proberen binnen te komen. Debian heeft ook een kernel package systeem waarmee je makkelijk een nieuwe kernel versie kunt compilen op een development systeem en daarna het .deb bestand naar je server overzet en installeert.

PS. Gisteren weer een leuke kernel compile dag geweest...

Je zou bijv je logfiles en je tmp dir op een aparte partitie kunnen zetten om ervoor te zorgen dat de rest van het systeem er geen last van heeft als deze te groot worden / de partitie volloopt. Enneuh je kan ze mounten met een nosuid optie, wat ook weer wat extra veiligheid geeft. Maar dat is wel terug te vinden in de partition howto (http://www.tldp.org/HOWTO/Partition/...-4.html#NUMBER) En verder zou je dit docje eens door kunnen lezen, het bevat veel goede tips: http://www.faqs.org/docs/securing/

Suc6 ermee

Origineel geplaatst door Myrdhin
Hieronder wat tips/opmerkingen:

Firewall software heb je eigenlijk alleen nodig als je bv. het aantal pings wilt beperken. Voor de rest draai je als het goed is alleen maar diensten die vanaf het internet benaderd moeten worden dus een firewall heeft weinig zin naar mijn idee.

Is het niet juist handig om alle andere poorten (die je dus niet benaderd wilt hebben) dicht te zetten?

Als daar nix op draait hoef je ze dus ook niet te blokkeren
Alleen wel ff oplettten dat users geen dingen gaan draaien die je niet wilt..

Zit wat in... toch neem ik liever het zekere voor het onzekere en zet er maar een firewall op :-)

Origineel geplaatst door RobTD
Zit wat in... toch neem ik liever het zekere voor het onzekere en zet er maar een firewall op :-)

[wat minder nuttige reply]
Je zal je SSH poort maar dichtgooien met een firewall, dan moet je weer langs het datacentre om er wat aan te doen...
[/wat minder nuttige reply]

Wij firewallen op een zeer eenvoudige manier.

Gewoon alles dicht, BEHALVE een lijstje met poorten, zoals HTTP/HTTPS/DNS/POP3/SMTP/SSH etc.

Dit is iets wat wij eigenlijk iedereen graag adviseren