Védje otthoni szerverét a külső támadásokkal szemben.

Ma adok néhány tippet arról, hogyan lehet biztonságosabb otthoni szerver (vagy egy kicsit nagyobb). De mielőtt élve széttépnének.

SEMMI NEM TELJESEN BIZTONSÁGOS

Ezzel a jól körülhatárolható fenntartással folytatom.

Részletenként megyek, és nem fogom nagyon alaposan elmagyarázni az egyes folyamatokat. Csak megemlítem és tisztázom az egyik vagy másik apróságot, így egyértelműbb elképzeléssel mehetnek a Google-hez, hogy mit keresnek.

Telepítés előtt és közben

Erősen ajánlott, hogy a szervert a lehető legkevésbé telepítsék. Így megakadályozzuk olyan szolgáltatások futtatását, amelyekről nem is tudjuk, hogy vannak-e, vagy mire szolgálnak. Ez biztosítja, hogy az összes beállítás önállóan fusson.
Javasoljuk, hogy a kiszolgálót ne használja mindennapi munkaállomásként. (Amellyel ezt a bejegyzést olvassa. Például)
Remélem, hogy a szerver nem rendelkezik grafikus környezettel

Felosztás.

Javasoljuk, hogy a felhasználó által használt mappákat, például a "/ home /" "/ tmp /" "/ var / tmp /" "/ opt /" más partícióhoz rendelje, mint a rendszer.
A kritikus mappák, például a "/ var / log" (ahol az összes rendszernapló tárolva van) egy másik partícióra kerülnek.
Most, a kiszolgáló típusától függően, ha például egy levelező szerverről van szó. Mappa "/var/mail és / vagy a /var/spool/mail»Külön partíciónak kell lennie.

Jelszó.

Senki előtt nem titok, hogy a rendszerhasználók és / vagy az őket használó más típusú szolgáltatások jelszavának biztonságosnak kell lennie.

Az ajánlások a következők:

Ez nem tartalmazza: Neve, háziállata neve, rokonai neve, különleges időpontok, helyek stb. Összefoglalva. A jelszónak nem szabad kapcsolódnia magához, semmihez, ami körülveszi Önt vagy a mindennapi életét, és semmilyenhez nem kapcsolódhat magához a fiókhoz. Példa: 123. twitter.
A jelszónak meg kell felelnie a következő paramétereknek is: Nagybetűk, kisbetűk, számok és speciális karakterek kombinálása. Példa: DiAFsd · 354 USD

A rendszer telepítése után

Valami személyes. De szeretem törölni a ROOT felhasználót, és minden jogosultságot egy másik felhasználóhoz rendelni, ezért kerülöm az adott felhasználó elleni támadásokat. Nagyon gyakori.

Az / etc / sudoers fájlt szerkeszteni kell. Ott hozzáadjuk a felhasználót, hogy gyökér akarunk lenni, majd töröljük a régi Szuperfelhasználónkat (ROOT)

Nagyon praktikus feliratkozni egy levelezőlistára, ahol bejelentik az Ön által használt terjesztés biztonsági hibáit. A blogokon kívül a bugzilla vagy más olyan esetek, amelyek figyelmeztethetnek a lehetséges hibákra.
Mint mindig, ajánlott a rendszer és annak összetevőinek folyamatos frissítése.
Vannak, akik azt javasolják, hogy a Grub vagy a LILO és a BIOS-t is védjék jelszóval.
Vannak olyan eszközök, mint a "chage", amelyek lehetővé teszik a felhasználók számára, hogy minden X alkalommal megváltoztassák a jelszavukat, a minimális várakozási idő mellett és az egyéb lehetőségek mellett.

Számos módon biztosíthatjuk számítógépünket. A fentiek mindegyike a szolgáltatás telepítése előtt volt. És csak említsen meg néhány dolgot.

Vannak elég terjedelmes kézikönyvek, amelyeket érdemes elolvasni. hogy megismerje a lehetőségek óriási tengerét. Idővel megtanul egy-egy apróságot. És rájössz, hogy mindig hiányzik .. Mindig ...

Most pedig biztosítsuk tovább a SZOLGÁLTATÁSOKAT. Az első ajánlásom mindig: „NE HAGYJA MEG AZ ALAPÉRTELMEZETT KONFIGURÁCIÓKAT .” Mindig nyissa meg a szolgáltatás konfigurációs fájlját, olvassa el az egyes paraméterek funkcióját, és ne hagyja úgy, ahogyan telepítve volt. Ez mindig problémákat okoz.

Azonban:

SSH (/ etc / ssh / sshd_config)

Az SSH-ban sok mindent megtehetünk, hogy ne legyen olyan könnyű megsérteni.

Például:

-Ne engedélyezze a ROOT bejelentkezést (ha nem változtatta meg):

"PermitRootLogin no"

-Ne hagyd, hogy a jelszavak üresek legyenek.

"PermitEmptyPasswords no"

-Változtassa meg azt a portot, ahol hallgat.

"Port 666oListenAddress 192.168.0.1:666"

- Csak bizonyos felhasználókat engedélyezhet.

"AllowUsers alex ref me@somewhere" A me @ valahol arra kényszeríti a felhasználót, hogy mindig ugyanarról az IP-ről csatlakozzon.

- Engedélyezzen meghatározott csoportokat.

"AllowGroups wheel admin"

Tippek.

Elég biztonságos és szinte kötelező az ssh felhasználók ketrecbe helyezése a chroot révén.
Letilthatja a fájlátvitelt is.
Korlátozza a sikertelen bejelentkezési kísérletek számát.

Szinte nélkülözhetetlen eszközök.

Fail2ban: Ez az eszköz, amely a tárolókban található, lehetővé teszi számunkra, hogy korlátozzuk a különféle szolgáltatásokhoz (például ftp, ssh, apache stb.) való hozzáférések számát azáltal, hogy letiltjuk azokat az IP-címeket, amelyek túllépik a kísérletek számát.

Keményítők: Ezek olyan eszközök, amelyek lehetővé teszik számunkra, hogy "keményítsük", vagy inkább megerősítsük a telepítésünket tűzfalakkal és/vagy más biztonsági intézkedésekkel. Ilyen például a " Harden és a Bastille Linux ".

Behatolásérzékelő rendszerek: Számos NIDS, HIDS és egyéb eszköz létezik, amelyek lehetővé teszik számunkra, hogy naplók és riasztások segítségével megelőzzük és megvédjük magunkat a támadásoktól. Számos egyéb eszköz mellett ott van az „ OSSEC ”.

Összefoglalva. Ez nem egy biztonsági kézikönyv volt, inkább egy sor tétel volt, amelyeket figyelembe kell venni, hogy meglehetősen biztonságos szerver legyen.

Személyes tanácsként. Sokat olvashat a LOGS megtekintéséről és elemzéséről, és váljunk néhány Iptables nerd-ként. Ráadásul minél több szoftvert telepít a szerverre, annál sérülékenyebbé válik, például egy CMS-t jól kell kezelni, frissíteni kell és alaposan meg kell nézni, hogy milyen plugineket adunk hozzá.

Később szeretnék küldeni egy bejegyzést arról, hogyan lehet biztosítani valami konkrét dolgot. Ott, ha tudok további részleteket megadni és gyakorolni.