Serverio saugumo stiprinimas

Gegužės 6, 2011

Sveiki,

Taigi, sulaukiu išties nemažai klausimų ir prašymų apie tai kaip reiktų apsaugoti savo turimą web serverį. Žemiau pateikiu bazinius būdus kuriais gebėsit užsitikrinti apsaugą nuo įžūlių kirminų.

1. SSH

1.1. Daugelis turinčių serverius palieka SSH prievadą (port) numatytos reikšmės - t.y. 22. Rekomenduojama jį pakeisti į tarkim 6591 .

vi /etc/ssh/sshd_config

Randam:

#Port 22

Pakeičiam į:

Port 6591

Išsaugom ir uždarom. Tuomet perkraunam sshd:

service sshd reload

1.2. Panikos apimties galima uždrausti priėjimą prie SSH su slaptažodžiu, būtų naudojamas tik autentifikavimo raktas. Puikus tutorial'as: https://hkn.eecs.berkeley.edu/~dhsu/ssh_public_key_howto.html

1.3. Leisti priėjimą prie SSH tik iš tam tikro (-ų) IP adreso (-ų).

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup

Tuomet:

vi /etc/ssh/sshd_config

Gale pridedam:

AllowUsers root
AllowUsers [email protected]

Išsaugom ir uždarom. Perkraunam sshd:

service sshd restart

Tai yra paprasčiausias būdas. Galimi dar keli būdai: hosts.deny | hosts.allow | iptables . Panaudokit Google, informacijos daugiau nei apstu.

Pastabos: Tik labai paranojiški vartotojai naudoja iškart visus tris būdus. Gana dažnai būna situacijų jog pameta raktą arba pamiršta "port'ą". Jei taip įvyksta, tuomet belieka susisiekti su paslaugų teikėjų ir prašyti jog atkurtų serverį. Būkit protingi apsaugodami SSH.

2. PhpMyAdmin

Atrodo toks paprastas dalykas... Tačiau, tai galingas įrankis kurio dėka kirminai gali sunaikinti / pavogti / pakeisti jūsų duomenų bazę per kelias sekundes.

2.1. Draudžiam prisijungimą tik tam tikriems IP adresams konkretiems vartotojams.

Randam PhpMyAdmin katalogą (pakeiskit "phpmyadmin" į savo pervadintą katalogą, jei tai padarėte):

find / -name phpmyadmin

Nukeliaukit į aplanką ir:

vi config.inc.php

Įklijuojam eilutes prieš "?>":

$cfg['Servers'][$i]['AllowDeny']['order'] = 'deny,allow';
$cfg['Servers'][$i]['AllowDeny']['rules'] = array(
'deny root from all',
'allow root from localhost',
'allow root from jūsų.ip',
);

Išsaugom ir uždarom.

Nuo šiol asmuo mėginantis prisijungti kaip "root" prie PhpMyAdmin gaus malonią žinutę "Access Denied" jei nesutaps IP adresai.

Pastaba: Jei jūsų IP yra dinaminis, galite pridėti, pvz.: 91.95.185.* . Galite analogiškai pridėti vartotojus bei IP adresus.

Bus tęsinys...

P.S. Kopijuoti draudžiama.

Redagavo Gegužės 9, 2011 Dedica

Gegužės 6, 2011

Šaunus tutorial, manau daug kam pravers :). O apskritai, kur galima būtų pasiskaitysi apie WEB Serverius, įvairias valdymo komandas etc.?

Gegužės 8, 2011

Dedica, SSH porto keitimas - nėra saugumo "stiprinimas", čia daugiau 'security through obscurity'

SSH raktų naudojimas - tai jau dalis saugumo stiprinimo. Ką ir patarčiau visiems besirūpinantiems savo serveriais pasidaryti.

PhpMyAdmin konfiguravimas - vėl tas pats security through obscurity.

- Atsisiuntęs vieną failą iš http://phpminiadmin.sourceforge.net/ aš prisijungčiau su mysql root, jeigu netingėčiau, galėčiau ir phpmyadmin susidėti kur man reikia, nes phpmyadmin yra paprasta programinė įranga kaip ir wordpress ar joomla. :)

Beje MySQL serverio 'root' vartotoją visados galima ištrinti ir naudoti bet kurį kitą pvz "454sad48r4r15df4OKwe", su slaptažodžiu, kurį sudaro simboliai "@+;-" didžiosios/mažosios raidės ir skaičiai.

Gegužės 8, 2011

o prie ko cia web serverio saugumas ir SSH bei phpmyadmin? :) jau galvojau kazka rasiu apie apache sauguma.

cia butu kazkas panasiau i WEB serverio sauguma:

http://www.debuntu.org/2006/07/30/77-how-to-apache-web-server-basic-security-measures - bet tik izangai ir pirmiem dalykam... reikia nepamirsti ir apache apsaugos nuo http DoS :) ir jo veikimo rezimu su PHP specifikos: mod_php, suPHP, fastcgi ir t.t.

SSh zinoma svarbu, bet jei jau SSH, tada reikia dar ir visa kitka pamineti.... ir pavadinti tema: Serverio saugumas :)

Gegužės 9, 2011

Užuot komentavę patys prisijunkit ir papildykit :) . Vienas juk neaprėpsiu net 1 šimtosios. SSH port'o keitimas nuima labai daug rūpesčių dėl brute force, nes būna žmonių kurie slaptažodžiu pasirenka savo vardą...

Gegužės 9, 2011

Užuot komentavę patys prisijunkit ir papildykit :) . Vienas juk neaprėpsiu net 1 šimtosios. SSH port'o keitimas nuima labai daug rūpesčių dėl brute force, nes būna žmonių kurie slaptažodžiu pasirenka savo vardą...

tai nesakom kad blogai. jog kazkas raso, tik parodem kad temos pavadinimas biski neatitinka i tema :) kazkiek ir papildom.

O cia pavyzdis kaip galima web serveri saugoti nuo paprasto DoS:

sudo iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m limit --limit 50/minute --limit-burst 200 -j ACCEPT

sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -m limit --limit 50/second --limit-burst 60 -j ACCEPT

Cia galit paziureti ar kas atakuoja:

netstat -anp |grep 'tcp\|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

dar rekomenduotu naudoti tokia:

http://deflate.medialayer.com/

Taippat nepamirskit apache susitvarkyt:

ServerLimit 128

MaxClients 128

KeepAlive On

KeepAliveTimeout 2

MaxKeepAliveRequests 100

(cia reiktu kiekvienam ziureti kiek jis turi RAM ir koks aplamai VPS, ayuksciau paminetos reiskmes gerai veikia su 1 GB RAM VPS)

Prisijungti

Serverio saugumo stiprinimas

Rekomenduojami pranešimai

BruceW 993

Nuoroda į pranešimą

Dalintis kituose puslapiuose

facis1 683

Nuoroda į pranešimą

Dalintis kituose puslapiuose

Augustinas 663

Nuoroda į pranešimą

Dalintis kituose puslapiuose

ITaptarnavimas 763

Nuoroda į pranešimą

Dalintis kituose puslapiuose

BruceW 993

Nuoroda į pranešimą

Dalintis kituose puslapiuose

ITaptarnavimas 763

Nuoroda į pranešimą

Dalintis kituose puslapiuose

Prisijunkite prie diskusijos

Dabar naršo 0 narių

Prisijunk prie bendruomenės dabar!

Naujausios temos

Karštos temos

Veiklos srautas

Skelbimai