Unter Verwendung /conf/crontab, als dlawson wies darauf hin, klingt wie eine gute Idee zu mir. Dadurch kann ich einmal pro Minute ein Skript ausführen, das sicherstellt, dass alles außer http und ssh heruntergefahren wird:
/etc/init.d/cdserver stop
/etc/init.d/fdserver stop
/etc/init.d/cim_sfcb stop
/etc/init.d/webgo stop
Dadurch habe ich immer noch einen Webserver mit passwortbasierter Zugriffskontrolle (ich sehe keine Möglichkeit, Client-Zertifikate überprüfen zu lassen) und wer weiß, welche Sicherheitslücken in der Ferne bestehen. Das Ausschalten, wenn ich es nicht benutze (was die meiste Zeit der Fall ist), scheint eine vernünftige Lösung zu sein. Das Hinzufügen eines Crontab-Eintrags, um ihn alle fünf oder zehn Minuten herunterzufahren, würde die Fälle erfassen, in denen jemand vergisst, ihn herunterzufahren, wenn er fertig ist.
Der ssh-Daemon ist eine Version von Dropbear , die ziemlich stark modifiziert zu sein scheint. Es liest Benutzernamen und Klartext-Passwörter /conf/PMConfig.dat(die auch vom Webserver verwendet werden), meldet einen gültigen Namen und ein gültiges Passwort als Root-Benutzer an und ignoriert die ~/.ssh/authorized_keysDatei. Dieses letzte Problem ist ärgerlich; Sie werden gezwungen, Kennwortanmeldungen zuzulassen, und die Möglichkeit von Hintertüren wird geöffnet, je nachdem, woher die Namen und Kennwörter stammen.
Das ist also das Dilemma, vor dem Sie stehen: Wie sehr vertrauen Sie diesem modifizierten ssh-Daemon, der auf einem System installiert ist, das offensichtlich von sicherheitsnaiven Entwicklern entwickelt wurde? Überhaupt nicht viel, angesichts der Anzahl gebrochener Cruft-Teile, die ich in ihren Shell-Skripten gesehen habe. Es gibt ungewöhnliche Namenskonventionen (/etc/rc?.d/sshd ist ein Symlink zu /etc/init.d/ssh), eine große Menge Code, die offenbar nicht verwendet wird, und Funktionen, die nur im ssh-Startskript enthalten sind, z Die /conf/portcfg_sshDatei und sogar der restartBefehl sind völlig kaputt. (Versuchen Sie nicht, diese zu verwenden. Sshd wird nicht neu gestartet, und Sie werden fertig, es sei denn, Sie haben bereits eine Anmeldung. Wir haben den BMC neu gestartet und mussten ihn erneut flashen.)
Die beste Option, die ich mir vorstellen kann, ist, ssh auf einem alternativen Port mit einem Cron-Job zu starten, wenn man das Ding überhaupt verwenden möchte. Es ist also weniger wahrscheinlich, dass es in einem Portscan erscheint.
Die letzte Komponente sind die IPMI-Netzwerkverwaltungsports. Ich kann nicht sehen, wie ich diese ausschalten kann.