Ubuntu-gr Forum

Επέστρεψα κάνοντας μια παραπάνω έρευνα στο θέμα αυτό τις ασφάλειας, αν και οι συμβουλές σας είναι ξεχωριστές ιδιαίτερες και σας ευχαριστώ πολύ όλους προκαταβολικά!

@lepidas
Σε ευχαριστώ για τις αναλυτικές οδηγίες σου, είσαι πολύ καλός.
Όσο για την την λίστα VEL που αναφέρεις όντως σε ευχαριστώ πολύ που μου το λες και εσύ, την βρήκα και εγώ είναι πάρα πολύ χρήσιμη και εξίσου συμαντική!

@the_eye
Σε ευχαριστώ για τις πολύ ενδιαφέρουσες και εις βάθους συμβουλές σου.

the_eye έγραψε:Περιόρισε τις υπηρεσίες που βγάζει ο server προς τα έξω στις απολύτως βασικές.
πχ ένας webserver δεν πρέπει να βγάζει την Mysql προς τα έξω, ούτε samba, κτλ

1) Δεν έχω βάλει samba,ούτε phpmyAdmin και τα λοιπά, αλλά για την sql που αναφέρεις -και γενικά κιόλας- πως τα περιορίζω;

the_eye έγραψε:Εμπόδισε το brute force στα logins πχ να μην αφήνεις να δοκιμάζουν άπειρους κωδικούς σε υπηρεσίες web, ftp, ssh.
Καλό εργαλείο για αυτό είναι το fail2ban.

Σε ευχαριστώ πολύ, αυτό είναι κάτι πάρα πολύ σοβαρό. Εγώ ψάχνοντας βρήκα το λεγόμενο Mod_Security ( για τον apache ) όπου ( πάντα με τα λίγα που ξέρω και με βάσει την έρευνα που έκανα ) κάνει ένα βασικό φιλτράρισμα στα request πριν πάνε στο site μας και αν δε κάνω λάθος μετά από κάποιες γρήγορες επαναλήψεις που κρίνει περίεργες κάνει ban τον επιτιθέμενο. Όμως το Mod_Security για να λειτουργήσει αν δε κάνω λάθος πρέπει να το ρυθμίσουμε εμείς και να βάλουμε κάποιους κανόνες και βρήκα αυτά τα δύο links για τους κανόνες που πρέπει να βάλουμε :
https://www.owasp.org/index.php/Categor ... et_Project
http://www.atomicorp.com/wiki/index.php ... rity_Rules
2) Το θέμα μου εμένα είναι τώρα, ότι δε ξέρω καθόλου από το Mod_Security και αν μπορούσατε να με βοηθήσετε για την εγκατάσταση του και το πως να το παραμετροποιήσω σωστά με τους κανόνες θα σας ήμουν ευγνώμον.

3) Όμως βρήκα και το suPHP ( που δε μπόρεσα να καταλάβω πολλά για αυτό, αν θέλει κανόνες κτλπ. αν μπορείτε διαφωτίστε εσείς ), όπου αυτό ρυθμίζει αν κατάλαβα καλά και τα δικαιώματα στα αρχεία και τους φακέλους του server, ώστε να είναι σωστά. Θα μπορούσατε να με βοηθήσετε, με την εγκατάσταση & ρύθμιση του suPHP ;

4) Επίσης και το Mod_Itk και αυτό για την ασφάλεια και φιλτράρισμα είναι; Νομίζω πως είναι αρκετά όμοια αυτά τα τρία ( το Mod_Security, suPHP & Mod_Itk ) αλλά δε με πειράζει πραγματικά για μεγαλύτερη ασφάλεια να τα έχω και τα τρία μαζί ( αν δεν υπάρχει κάποιο πρόβλημα ) στον server μου.

Μπορείτε όμως να μου τα ξεδιαλύνεται; :/ Κάπου διάβασα κιόλας και πως αν έχω το suPHP ή το Mod_itk πρέπει να έχω δικαιώματα 0700 ή 700.
( Τα έχω λίγο μπερδεμένα γιατί τώρα προσπαθώ να μάθω, συγχωρέστε με και ελπίζω να με βοηθήσετε ).

Εδώ να κάνω μια μικρή ερώτηση:

Spoiler: show

the_eye έγραψε:Προσοχή στα δικαιώματα που δίνεις σε φακέλους και αρχεία στο /var/www πρέπει να κάνεις ότι λέει το κάθε script και όχι να βάζεις 777.
Ακόμα τα αρχεία να ανήκουν στο group www-data, όχι στον root.

5) Επειδή δε δούλεψα ακόμη με τα εν λόγο "προγράμματα" που βρήκα και σας αναφέρω, που μπορεί να ρυθμίζουν και σωστά τα δικαίωμα ( όπως αν δε κάνω λάθος πάντα, διάβασα ) εγώ με το filezilla τόσο καιρό έκανα αρκετές μεταφορές αρχείων στον server ( με sftp ) και δε με άφηνε να βάζω τα αρχεία λέγοντας μου, πως δεν έχω δικαιώματα. Έτσι άλλαζα τα δικαιώματα στον φάκελο ( κατάλογο όπως λέτε ) που ήταν το αρχείο με την εντολή π.χ.:

Κώδικας: Επιλογή όλων: :~$ sudo chmod 777 -R /var/www/administrator/language/el-GR

και έτσι με άφηνε να αλλάξω ότι θέλω από τα αρχεία.

Μετά όμως εγώ, ξέροντας πως τα 777 είναι απαγορευτικά έδινα την εντολή :

Κώδικας: Επιλογή όλων: :~$ sudo chmod 755 -R /var/www/administrator/language/el-GR

για να τα κάνω 755 που ήταν τα καλύτερα από ότι έχω διαβάσει. Έτσι νομίζω διόρθωνα το πρόβλημα - τρύπα - που άνοιγα στο σύστημα μου, σωστά;
Όμως επειδή ο ανθρώπινος εγκέφαλος κάνει λάθη και φοβάμαι μην έχω ξεχάσει πουθενά τα δικαιώματα σε 777, υπάρχει καμία εντολή που να δώσω στον αρχικό μου φάκελο που είναι τα πάντα από το site μου, στον /var/www/ ( ελπίζω να μην είναι λάθος που έχω το site μου στον www κατευθείαν ) και να μου κάνει όλους του φακέλους να έχουν δικαιώματα 755 και τα αρχεία με 644 ώστε να είμαι σίγουρος;
Κάπου τα δικαιώματα ( τα ίδια νομίζω, που είναι τα καλύτερα για το site ) αντί για 755 είδα να τα αναφέρουν 0755 , τα ίδια είναι;

Βρήκα πως ένα από τα καλύτερα firewall για τον server ονόματι CSF (Config Server Firewall) φίλε @the_eye είναι από τα καλύτερα ( αν όχι το καλύτερο ) και έχει και αυτό το ίδιο σύστημα μάλλον που έχει και το fail2ban ( που πολύ σωστά αναφέρεις πως κόβει τα επαναλαμβανόμενα logins και είναι πολύ σοβαρό ) μόνο που το csf αν δε κάνω λάθος κάνει και αυτό με το LFD ( Login Failure Daemon ), και βλέπει αν υπάρχουν πολλά requests π.χ. σε μικρό χρόνο και κάνει αποκλεισμό ( ban ) την ip που κάνει τα εν λόγο requests και έτσι μας γλιτώνει και από dos, ddos attacks

. Το fail2ban δε γνωρίζω αν το κάνει αυτό, αλλά είναι πραγματικά περιττό * αν δε κάνω λάθος πάντα ), από τα τόσα που διάβασα για το CSF αν το παραμετροποιήσουμε σωστά.
6) Μόνο που πέρα από αυτές τις πληροφορίες για το CSF, δε γνωρίζω πως να το κάνω εγκατάσταση και πως να το παραμετροποιήσω σωστά, ώστε να λειτουργούν όλες αυτές οι θαυμάσιες δυνατότητες του και να έχω μια πολύ καλή προστασία. Μπορεί κάποιος να με βοηθήσει;

7) Α! Λέτε να βάλω για μεγαλύτερη ασφάλεια στο site μου και HTTPS ;
Αν ναι, πως γίνεται;

8) Επίσης διαβάζοντας για CDN έπεσα πάνω στο CloudFlare , είναι κάτι πάρα πολύ καλό για τον servre/site σωστά; Γίνεται να βάλω και εγώ όμως;

pc_magas έγραψε:Ακόμερ κάνε ένα καλό firewall με iptables και σε bash script....

9) Σε ευχαριστώ για την απάντηση σου. Το CSF τι σου λέει; Εγώ προσωπικά έχω διαβάσει τα καλύτερα. Iptables τι είναι;

10) Τώρα ειδικά για joomla, είναι καλό από ότι είδα, γενικά να έχει κάποιος ένα καλό security extension πάνω όπως, jSecure , Admin Tools , καλό σε free όμως δεν υπάρχει έτσι;

11) Μετά για παρακολούθηση στον server μου, μπορώ να παρακολουθώ τα logs, αλλά που είναι αυτά;
Μπαίνοντας στο αρχείο : sudo vi /var/log , μου δίνει αυτό :

Κώδικας: Επιλογή όλων: " ============================================================================ " Netrw Directory Listing (netrw v143) " /var/log " Sorted by name " Sort sequence: [\/]$,\<core\%(\.\d\+\)\=\>,\.h$,\.c$,\.cpp$,\~\=\*$,*,\.o$,\.obj$,\.info$,\.swp$,\.bak$,\~$ " Quick Help: <F1>:help -:go up dir D:delete R:rename s:sort-by x:exec " ============================================================================ ../ apache2/ apt/ dist-upgrade/ fsck/ installer/ landscape/ mysql/ news/ unattended-upgrades/ upstart/ alternatives.log auth.log boot boot.log btmp dmesg dmesg.0 dmesg.1.gz dmesg.2.gz dmesg.3.gz dmesg.4.gz dpkg.log faillog kern.log lastlog mail.err mail.log mysql.err mysql.log syslog udev ufw.log wtmp

12) Όλα αυτά πρέπει να τα κοιτώ; Αρχείο με logs από τα requests υπάρχει;
13) Πέρα από όλα αυτά όμως, πως θα μπορούσα να παρακολουθώ τα αρχεία .php ;

14) Α! πρέπει να απενεργοποιήσω και το f_open ( κάπως έτσι λέγεται ); Αν ναι πως;
Ενεργοποιημένο αν δε κάνω λάθος επιτρέπει κάποια είδη επιθέσεων ( όταν υπάρχουν αντίστοιχα κενά ασφαλείας από εφαρμογές που τρέχουν πάνω στο site ) ;

@kakomiris2
Δες όσα λέμε θα σε βοηθήσουν πολύ νομίζω ( και ας μιλάμε για server ) και προσπάθησε να κάνεις και εσύ μια έρευνα - αναζήτηση γύρο από το θέμα. Ότι μπορέσεις να βρεις - καταλάβεις υπέρ σου θα είναι και το συζητάμε εδώ μετά.

Edit : Για περαιτέρω ενημέρωση.

Για παρακολούθηση του server βρήκα επιπλέον τα παρακάτω εργαλεία.

[*]Για να μπορείς να βλέπεις πως πάει ο server σου:
1 ) MONIT : Μπορείς να βλέπει και να ελέγχεις όμως διάφορα service στον server σου. ( Εγώ διάβασα για το monit, το mmonit που δείχνουν στο site τους το ίδιο είναι και ποιο αναβαθμισμένο ή όχι; )
2 ) MUNIN

[*]Για να ελέγχεις αν ο server σου είναι όντως πάνω, βρήκα δύο άλλα καλά εργαλεία ( δεν είναι δωρεάν όμως ) :
3 ) Nodeping
4 ) Pingdom : είναι πιο εύκολο από το Noteping αλλά σε σύγκριση μαζί του είναι πολύ κατώτερο.

[*]Για να βλέπω τι τρέχει καλά και τι όχι :
5 ) New Relic : ( Είναι δωρεάν ) *
6 ) Server Density : ( Όχι δωρεάν )

[*]Για να βλέπω πως τρέχει η σελίδα μου :
7 ) PageSpeed Service

Ubuntu-gr Forum

Τι προτείνεται για έναν ασφαλή server;