Onderwerp: Server beveiligen

Daar ik binnen een paar dagen toegang heb tot een dedicated server die we besteld hebben wil ik me nu al informeren over het beveiligen van deze server.

De server draait op RH9 en WHM/CPanel.
Welke services/applicaties/protocollen mogen of moeten uitgeschakeld worden om scriptkiddies buiten te houden?

beter voorkomen dan genezen zeggen ze he

- Disable SUEXEC
- Disable TELNET
- Bij voorkeur geen SSH-accounts
- Steeds STABILE updates

Bind SSH naar één IP én een andere poort.
Disable root login.
Installeer Firewall (bijvoorbeeld APF)
Installeer Chrootkit
Installeer Brute Force Detection


@DennisCitus.
- Disable SUEXEC Dan draaien alle cgi scripts toch onder nobody?
Of heb ik wat gemist?

Ik bedoel gewoon PHP niet onder SuExec draaien. PHP kun je beter gewoon als module draaien.

Mwah, kan. Maar php/cgi is niet onveilig.

Origineel geplaatst door host3000
Mwah, kan. Maar php/cgi is niet onveilig.

Dat ligt natuurlijk aan de installatie en de scripting "skillz" van degene die de scripts bakt...

Voor een tarief kun je je server laten beveiligen door vakmensen inclusief een GRsecurity compiled kernel.

Verwacht niet dat je zelf ff de server tiptop kan beveiligen. Indien je wenst kan ik je doorverwijzen naar een goed beveiligingscontact.

Origineel geplaatst door Beyonder
Voor een tarief kun je je server laten beveiligen door vakmensen inclusief een GRsecurity compiled kernel.

Verwacht niet dat je zelf ff de server tiptop kan beveiligen. Indien je wenst kan ik je doorverwijzen naar een goed beveiligingscontact.

Hij vroeg niet om een betaalde dienst van jouw kant, maar om zaken die hij zelf kan doen voor de beveiliging !

Ik refereerde niet naar een betaalde dienst van mij, maar naar een dergelijke dienst van Amerikaanse collega's

Onze dienst hierin is nog niet opgezet, maar door marktonderzoek heb ik inzicht wat de betere bedrijven zijn op dit gebied.

Origineel geplaatst door Beyonder
Voor een tarief kun je je server laten beveiligen door vakmensen inclusief een GRsecurity compiled kernel.

Verwacht niet dat je zelf ff de server tiptop kan beveiligen.

De eerste persoon die zijn server tiptop kan beveiligen moet ik nog tegen komen (nou ja, bij wijze van...). Daarnaast kan iedereen met enige Linux kennis, die ook nog weet hoe en welke documenten hij moet lezen, een GRSecurity of SELinux patch op de kernel toepassen.
Echter, iemand die zijn server tiptop weet te beveiligen zal niet snel voor Linux kiezen. En hoe veiliger jij je server inricht, hoe meer deze een uitdaging wordt voor (h|cr)ackers. Hier zal je een tussenweg in moeten vinden.

OpenBSD is bijvoorbeeld een veiligere keuze.

Elk systeem heeft zijn zwakke punten en de beveiliging hiervan is eigenlijk een dagelijkse taak die men in de praktijk helaas al te licht op vat.

Interresante linkjes om mee te beginnen ->
http://forum.ev1servers.net/showthre...threadid=30333
http://www.r-fx.org/proj.php

Origineel geplaatst door Beyonder
OpenBSD is bijvoorbeeld een veiligere keuze.

Dat heb ik nou te vaak gehoord, maar waarom?

... Denk dat je beter kunt richten op een goede IPtables script. Gooi alles wat je niet gebruikt dicht (en uit ). Maar dat zou ik wel op een test bak "leren" voordat je iets te strak beveiligd .

Op google kun je wel wat vinden, ook standaard scripjtes enz.

Origineel geplaatst door Albert
... Denk dat je beter kunt richten op een goede IPtables script. Gooi alles wat je niet gebruikt dicht (en uit ). Maar dat zou ik wel op een test bak "leren" voordat je iets te strak beveiligd .

Op google kun je wel wat vinden, ook standaard scripjtes enz.

Even mugge(n)ziften...

"Gooi alles wat je niet gebruikt dicht (en uit )", dat klinkt alsof je een service installeerd die je later toch niet gaat gebruiken (default RedHat install dus ). Waarom zou je uberhaupt die bepaalde service installeren?
Op een MySQL server zal ik geen installatie van ProFTPd / WU-Ftpd hebben dus hoeft die poort ook niet dicht (hence, hij is niet eens open ). Enkelt Ssh, SMTP (local delivery only) en MySQLd.