Bücher / Anleitungen zum Sichern eines Servers [geschlossen]

13

Geschlossen . Diese Frage ist meinungsbasiert . Derzeit werden keine Antworten akzeptiert.

Möchten Sie diese Frage verbessern? Aktualisieren Sie die Frage, damit sie mit Fakten und Zitaten beantwortet werden kann, indem Sie diesen Beitrag bearbeiten .

Geschlossen vor 5 Jahren .

Ich habe eine Website-Idee, die ich erstellen und starten möchte, und ich denke darüber nach, einen kleinen VPS für das Hosting zu bekommen (ich mag Linode für ihren Preis und sie scheinen allgemein empfohlen zu werden). Ich bin ziemlich pleite und kann mir keinen verwalteten Server leisten.

Ich habe Ubuntu Lucid Server heruntergeladen und in einer VirtualBox ausgeführt, um zu lernen und eine gute Annäherung an den späteren Produktionsserver zu schaffen. Ich bin dem Lernen verpflichtet, aber ich habe große Angst, etwas Dummes zu verpassen und einen Kompromiss einzugehen. Daher würde ich gerne gute Anleitungen / Bücher kennen, in denen die wichtigsten Punkte zur Sicherung eines LAMP-Servers erläutert werden.

Ich habe die Grundlagen in den jeweiligen Tutorials von Linode und Slicehost durchgearbeitet, möchte aber so gut wie möglich vorbereitet sein. Die Site ist noch nicht geschrieben, und ich werde wahrscheinlich zuerst als Testlauf auf einem freigegebenen Host bereitgestellt, sodass ich Zeit habe, zumindest die Grundlagen zu erlernen.

Ich weiß, dass ich alles auf dem neuesten Stand halten und iptables so konfigurieren muss, dass nur die benötigten Lücken zugelassen werden (was für ssh / scp / sftp nur für TCP-Ports 22 angezeigt wird) durch Obscurity Bonus - und 80 für http) - obwohl ich durch einige Tutorials verwirrt bin, die sagen, ICMP zu blockieren, da ich nicht weiß, warum ich nicht auf Ping antworten möchte - und nur Software zu installieren, die ich benötige / entferne nicht brauchen.

security

— AgentConundrum
quelle

1

Ich persönlich denke, dass diese Frage auf Serverfehler gehört. Der AMP in LAMP sollte hier offen sein, IMO.

— Xenoterracide

@xenoterracide: Fair genug, obwohl ich nicht wirklich nach Hilfe bei den AMP-Bits gesucht habe. Sie werden bemerken, dass der Fragentitel LAMP nicht speziell erwähnt - ich habe nach dem Schutz eines Servers im Allgemeinen gefragt, was mir ziemlich thematisch vorkam. Ich habe den gesamten Stapel in der Frage erwähnt, aber ich habe ihn mehr als Kontext als alles andere hinzugefügt. Mein eigentliches Problem ist, dass ich ein Neuling bei Linux bin und ich dachte, die Linux SE hätte das richtige Fachwissen, um zu helfen. Übrigens, ich habe dies zuvor bei SF nachgefragt, aber ich dachte, es würde hier mehr Aufmerksamkeit erregen, und ich dachte, Sicherheitsinformationen wären hier gut zu haben.

— AgentConundrum

Nun ... mein Problem ist, wie Sie sagten, es ist eine Frage zur Serversicherheit im Allgemeinen. Aber es ist nicht meine Aufgabe, zu entscheiden, was Ontopic hier ist.

— Xenoterracide

IMHO Benutze Debian anstelle von Ubuntu, starte Nginx anstelle von Apache. Der Rest hört sich gut an. Berühren Sie keinen freigegebenen Host mit einer Lastkahnumfrage.

— Alex Chamberlain

8

Lesen Sie das Gentoo Sicherheitshandbuch . Das meiste sollte für jede Linux-Distribution gelten.

— Xenoterracid
quelle

6

Wie Sie bereits Ubuntu verwenden, empfehle ich das Server - Handbuch , das einen grundlegenden Überblick über einen gemeinsamen Satz von Standarddienste bietet.

Schauen Sie sich auch Linux Server Security an von O'Reilly an. Eigentlich suchen Sie einfach bei Amazon nach etlichen Angeboten.

Googeln Checkliste zur Server-Härtung beim scheint einige gute, praktische Möglichkeiten , wie Sie schnell herausfinden können, ob etwas offensichtlich mit Ihrem Setup nicht stimmt.

Schließlich geht es weiter zu Gehen Sie schließlich zum Sicherheitsbereich serverfault und fragen Sie nach.

Bearbeiten: ICMP sollte auch basierend auf der Nachricht blockiert werden. Weitere Informationen finden Sie unter ICMP-Paketfilterung .

— Pedro Silva
quelle

Ich habe das O'Reilly-Buch schon früher gesehen (über dieselbe Suche, die Sie auch erwähnt haben), war aber zum Zeitpunkt der Veröffentlichung etwas verunsichert. Ist ein fünf Jahre altes Buch heute wirklich noch aktuell? Ich werde auch den Rest Ihrer Links überprüfen (außer dass ich SF diese Frage bereits vor einiger Zeit gestellt habe, sodass es keinen Sinn macht, diese Bemühungen zu duplizieren). Vielen Dank.

— AgentConundrum

5

Vorgeschlagene Lektüre aus (meist) maßgeblichen und seriösen US-Quellen:

Sie sollten auch die Warnhinweise im Kleingedruckten in den Handbüchern Ihres Betriebssystems lesen.

— Hirschjäger
quelle

1

Nur eine teilweise Antwort, aber ich habe ein IPtables-Tutorial geschrieben, das für Sie von Nutzen sein kann. http://www.ellipsix.net/geninfo/firewall/index.html

Neben IPtables müssen Sie auch SSH und Apache konfigurieren. Die Standardkonfigurationen sind jedoch bereits sicher, sodass Sie wahrscheinlich nur ein paar Dinge ändern müssen. Wenn Sie Ihrer Website weitere Funktionen hinzufügen, müssen Sie die Konfiguration natürlich entsprechend aktualisieren. Jemand anderes kann dafür wahrscheinlich gute Referenzen empfehlen.

Tatsächlich werde ich dieses Community-Wiki so gestalten, dass jeder, der Lust hat, Links hinzuzufügen, dies auch tun kann.

— David Z
quelle

Vielen Dank, ich werde Ihre Website überprüfen. Mir war nicht klar, dass Apache oder vor allem SSH, wenn man bedenkt, wofür das S steht, von vornherein unsicher waren. Hoffentlich kann jemand anderes mit einer Anleitung für sie kommen, wenn Sie keine haben. Danke noch einmal!

— AgentConundrum

Nun, das "Sichere" in SSH bedeutet nur, dass es Ihre Daten in verschlüsselter Form sendet, so dass die Leute keine bestehende Verbindung aufspüren können. Bei der Erstellung einer sicheren SSH-Konfiguration geht es jedoch eher darum, sicherzustellen, dass niemand eine Verbindung herstellen kann, wenn er nicht wirklich dazu autorisiert ist. Die Verschlüsselung schützt dagegen nicht.

— David Z