Τι προτείνεται για έναν ασφαλή server;

[Tassos10]

Επέστρεψα κάνοντας μια παραπάνω έρευνα στο θέμα αυτό τις ασφάλειας, αν και οι συμβουλές σας είναι ξεχωριστές ιδιαίτερες και σας ευχαριστώ πολύ όλους προκαταβολικά!

@lepidas
Σε ευχαριστώ για τις αναλυτικές οδηγίες σου, είσαι πολύ καλός.
Όσο για την την λίστα VEL που αναφέρεις όντως σε ευχαριστώ πολύ που μου το λες και εσύ, την βρήκα και εγώ είναι πάρα πολύ χρήσιμη και εξίσου συμαντική!

@the_eye
Σε ευχαριστώ για τις πολύ ενδιαφέρουσες και εις βάθους συμβουλές σου.

Περιόρισε τις υπηρεσίες που βγάζει ο server προς τα έξω στις απολύτως βασικές.
πχ ένας webserver δεν πρέπει να βγάζει την Mysql προς τα έξω, ούτε samba, κτλ

1) Δεν έχω βάλει samba,ούτε phpmyAdmin και τα λοιπά, αλλά για την sql που αναφέρεις -και γενικά κιόλας- πως τα περιορίζω;

Εμπόδισε το brute force στα logins πχ να μην αφήνεις να δοκιμάζουν άπειρους κωδικούς σε υπηρεσίες web, ftp, ssh.
Καλό εργαλείο για αυτό είναι το fail2ban.

Σε ευχαριστώ πολύ, αυτό είναι κάτι πάρα πολύ σοβαρό. Εγώ ψάχνοντας βρήκα το λεγόμενο Mod_Security ( για τον apache ) όπου ( πάντα με τα λίγα που ξέρω και με βάσει την έρευνα που έκανα ) κάνει ένα βασικό φιλτράρισμα στα request πριν πάνε στο site μας και αν δε κάνω λάθος μετά από κάποιες γρήγορες επαναλήψεις που κρίνει περίεργες κάνει ban τον επιτιθέμενο. Όμως το Mod_Security για να λειτουργήσει αν δε κάνω λάθος πρέπει να το ρυθμίσουμε εμείς και να βάλουμε κάποιους κανόνες και βρήκα αυτά τα δύο links για τους κανόνες που πρέπει να βάλουμε :
https://www.owasp.org/index.php/Categor ... et_Project
http://www.atomicorp.com/wiki/index.php ... rity_Rules
2) Το θέμα μου εμένα είναι τώρα, ότι δε ξέρω καθόλου από το Mod_Security και αν μπορούσατε να με βοηθήσετε για την εγκατάσταση του και το πως να το παραμετροποιήσω σωστά με τους κανόνες θα σας ήμουν ευγνώμον.

3) Όμως βρήκα και το suPHP ( που δε μπόρεσα να καταλάβω πολλά για αυτό, αν θέλει κανόνες κτλπ. αν μπορείτε διαφωτίστε εσείς ), όπου αυτό ρυθμίζει αν κατάλαβα καλά και τα δικαιώματα στα αρχεία και τους φακέλους του server, ώστε να είναι σωστά. Θα μπορούσατε να με βοηθήσετε, με την εγκατάσταση & ρύθμιση του suPHP ;

4) Επίσης και το Mod_Itk και αυτό για την ασφάλεια και φιλτράρισμα είναι; Νομίζω πως είναι αρκετά όμοια αυτά τα τρία ( το Mod_Security, suPHP & Mod_Itk ) αλλά δε με πειράζει πραγματικά για μεγαλύτερη ασφάλεια να τα έχω και τα τρία μαζί ( αν δεν υπάρχει κάποιο πρόβλημα ) στον server μου.
Μπορείτε όμως να μου τα ξεδιαλύνεται; :/ Κάπου διάβασα κιόλας και πως αν έχω το suPHP ή το Mod_itk πρέπει να έχω δικαιώματα 0700 ή 700.
( Τα έχω λίγο μπερδεμένα γιατί τώρα προσπαθώ να μάθω, συγχωρέστε με και ελπίζω να με βοηθήσετε ).

Εδώ να κάνω μια μικρή ερώτηση:

Spoiler: show

Προσοχή στα δικαιώματα που δίνεις σε φακέλους και αρχεία στο /var/www πρέπει να κάνεις ότι λέει το κάθε script και όχι να βάζεις 777.
Ακόμα τα αρχεία να ανήκουν στο group www-data, όχι στον root.

5) Επειδή δε δούλεψα ακόμη με τα εν λόγο "προγράμματα" που βρήκα και σας αναφέρω, που μπορεί να ρυθμίζουν και σωστά τα δικαίωμα ( όπως αν δε κάνω λάθος πάντα, διάβασα ) εγώ με το filezilla τόσο καιρό έκανα αρκετές μεταφορές αρχείων στον server ( με sftp ) και δε με άφηνε να βάζω τα αρχεία λέγοντας μου, πως δεν έχω δικαιώματα. Έτσι άλλαζα τα δικαιώματα στον φάκελο ( κατάλογο όπως λέτε ) που ήταν το αρχείο με την εντολή π.χ.:

Κώδικας: Επιλογή όλων

:~$ sudo chmod 777 -R /var/www/administrator/language/el-GR

και έτσι με άφηνε να αλλάξω ότι θέλω από τα αρχεία. Μετά όμως εγώ, ξέροντας πως τα 777 είναι απαγορευτικά έδινα την εντολή :

Κώδικας: Επιλογή όλων

:~$ sudo chmod 755 -R /var/www/administrator/language/el-GR

για να τα κάνω 755 που ήταν τα καλύτερα από ότι έχω διαβάσει. Έτσι νομίζω διόρθωνα το πρόβλημα - τρύπα - που άνοιγα στο σύστημα μου, σωστά;
Όμως επειδή ο ανθρώπινος εγκέφαλος κάνει λάθη και φοβάμαι μην έχω ξεχάσει πουθενά τα δικαιώματα σε 777, υπάρχει καμία εντολή που να δώσω στον αρχικό μου φάκελο που είναι τα πάντα από το site μου, στον /var/www/ ( ελπίζω να μην είναι λάθος που έχω το site μου στον www κατευθείαν ) και να μου κάνει όλους του φακέλους να έχουν δικαιώματα 755 και τα αρχεία με 644 ώστε να είμαι σίγουρος;
Κάπου τα δικαιώματα ( τα ίδια νομίζω, που είναι τα καλύτερα για το site ) αντί για 755 είδα να τα αναφέρουν 0755 , τα ίδια είναι;

Βρήκα πως ένα από τα καλύτερα firewall για τον server ονόματι CSF (Config Server Firewall) φίλε @the_eye είναι από τα καλύτερα ( αν όχι το καλύτερο ) και έχει και αυτό το ίδιο σύστημα μάλλον που έχει και το fail2ban ( που πολύ σωστά αναφέρεις πως κόβει τα επαναλαμβανόμενα logins και είναι πολύ σοβαρό ) μόνο που το csf αν δε κάνω λάθος κάνει και αυτό με το LFD ( Login Failure Daemon ), και βλέπει αν υπάρχουν πολλά requests π.χ. σε μικρό χρόνο και κάνει αποκλεισμό ( ban ) την ip που κάνει τα εν λόγο requests και έτσι μας γλιτώνει και από dos, ddos attacks . Το fail2ban δε γνωρίζω αν το κάνει αυτό, αλλά είναι πραγματικά περιττό * αν δε κάνω λάθος πάντα ), από τα τόσα που διάβασα για το CSF αν το παραμετροποιήσουμε σωστά.
6) Μόνο που πέρα από αυτές τις πληροφορίες για το CSF, δε γνωρίζω πως να το κάνω εγκατάσταση και πως να το παραμετροποιήσω σωστά, ώστε να λειτουργούν όλες αυτές οι θαυμάσιες δυνατότητες του και να έχω μια πολύ καλή προστασία. Μπορεί κάποιος να με βοηθήσει;

7) Α! Λέτε να βάλω για μεγαλύτερη ασφάλεια στο site μου και HTTPS ;
Αν ναι, πως γίνεται;

8) Επίσης διαβάζοντας για CDN έπεσα πάνω στο CloudFlare , είναι κάτι πάρα πολύ καλό για τον servre/site σωστά; Γίνεται να βάλω και εγώ όμως;

Ακόμερ κάνε ένα καλό firewall με iptables και σε bash script....

9) Σε ευχαριστώ για την απάντηση σου. Το CSF τι σου λέει; Εγώ προσωπικά έχω διαβάσει τα καλύτερα. Iptables τι είναι;

10) Τώρα ειδικά για joomla, είναι καλό από ότι είδα, γενικά να έχει κάποιος ένα καλό security extension πάνω όπως, jSecure , Admin Tools , καλό σε free όμως δεν υπάρχει έτσι;

11) Μετά για παρακολούθηση στον server μου, μπορώ να παρακολουθώ τα logs, αλλά που είναι αυτά;
Μπαίνοντας στο αρχείο : sudo vi /var/log , μου δίνει αυτό :

Κώδικας: Επιλογή όλων

" ============================================================================
" Netrw Directory Listing (netrw v143)
" /var/log
" Sorted by name
" Sort sequence: [\/]$,\<core\%(\.\d\+\)\=\>,\.h$,\.c$,\.cpp$,\~\=\*$,*,\.o$,\.obj$,\.info$,\.swp$,\.bak$,\~$
" Quick Help: <F1>:help -:go up dir D:delete R:rename s:sort-by x:exec
" ============================================================================
../
apache2/
apt/
dist-upgrade/
fsck/
installer/
landscape/
mysql/
news/
unattended-upgrades/
upstart/
alternatives.log
auth.log
boot
boot.log
btmp
dmesg
dmesg.0
dmesg.1.gz
dmesg.2.gz
dmesg.3.gz
dmesg.4.gz
dpkg.log
faillog
kern.log
lastlog
mail.err
mail.log
mysql.err
mysql.log
syslog
udev
ufw.log
wtmp


12) Όλα αυτά πρέπει να τα κοιτώ; Αρχείο με logs από τα requests υπάρχει;
13) Πέρα από όλα αυτά όμως, πως θα μπορούσα να παρακολουθώ τα αρχεία .php ;

14) Α! πρέπει να απενεργοποιήσω και το f_open ( κάπως έτσι λέγεται ); Αν ναι πως;
Ενεργοποιημένο αν δε κάνω λάθος επιτρέπει κάποια είδη επιθέσεων ( όταν υπάρχουν αντίστοιχα κενά ασφαλείας από εφαρμογές που τρέχουν πάνω στο site ) ;

@kakomiris2
Δες όσα λέμε θα σε βοηθήσουν πολύ νομίζω ( και ας μιλάμε για server ) και προσπάθησε να κάνεις και εσύ μια έρευνα - αναζήτηση γύρο από το θέμα. Ότι μπορέσεις να βρεις - καταλάβεις υπέρ σου θα είναι και το συζητάμε εδώ μετά.

Edit : Για περαιτέρω ενημέρωση.

Για παρακολούθηση του server βρήκα επιπλέον τα παρακάτω εργαλεία.

[*]Για να μπορείς να βλέπεις πως πάει ο server σου:
1 ) MONIT : Μπορείς να βλέπει και να ελέγχεις όμως διάφορα service στον server σου. ( Εγώ διάβασα για το monit, το mmonit που δείχνουν στο site τους το ίδιο είναι και ποιο αναβαθμισμένο ή όχι; )
2 ) MUNIN

[*]Για να ελέγχεις αν ο server σου είναι όντως πάνω, βρήκα δύο άλλα καλά εργαλεία ( δεν είναι δωρεάν όμως ) :
3 ) Nodeping
4 ) Pingdom : είναι πιο εύκολο από το Noteping αλλά σε σύγκριση μαζί του είναι πολύ κατώτερο.

[*]Για να βλέπω τι τρέχει καλά και τι όχι :
5 ) New Relic : ( Είναι δωρεάν ) *
6 ) Server Density : ( Όχι δωρεάν )

[*]Για να βλέπω πως τρέχει η σελίδα μου :
7 ) PageSpeed Service

[the_eye]

Εμείς σου δείξαμε τον δρόμο, τις πληροφορίες μπορείς να τις βρεις στο διαδίκτυο. Εξάλλου όλο είναι ανοιχτά.

Γενικά όλες οι υπηρεσίες (servers, deamons) στο linux ρυθμίζονται σε .conf αρχεία.
Για firewall δες εδώ https://forum.ubuntu-gr.org/viewtopic.php?f=9&t=451

Δες τους οδηγούς https://forum.ubuntu-gr.org/viewtopic.php?f=9&t=859

[Tassos10]

Εμείς σου δείξαμε τον δρόμο, τις πληροφορίες μπορείς να τις βρεις στο διαδίκτυο. Εξάλλου όλο είναι ανοιχτά.

Γενικά όλες οι υπηρεσίες (servers, deamons) στο linux ρυθμίζονται σε .conf αρχεία.
Για firewall δες εδώ viewtopic.php?f=9&t=451

Δες τους οδηγούς viewtopic.php?f=9&t=859

@the_eye
Σε ευχαριστώ πολύ για την μέχρι τώρα βοήθεια σου πραγματικά φίλε.
Όσο για τα θέματα που μου δίνεις να διαβάσω, σε ευχαριστώ πολύ το πρώτο δεν το είχα διαβάσει.

Παρόλα αυτά όποιος άλλος θα μπορούσε να με βοηθήσει με τις παραπάνω απορίες που μου έχουν δημιουργηθεί θα το εκτιμούσα και θα τον ευχαριστούσα ιδιαίτερα.
Πέρα από το ότι θέλω να μάθω εγώ, συνεχίζω αυτό το θέμα παραθέτοντας ότι έχω βρει ( μετά από κόπο ), γιατί πιστεύω πως θα ήταν καλό ένα topic σαν και αυτό να είναι στην ελληνική κοινότητα ( και πόσο μάλλον εδώ.. ) όσο γίνεται πιο οργανωμένο και εμπεριστατωμένο κατά την άποψη μου, γιατί δεν υπάρχουν και πολλά τέτοια θέματα, ορθά και εις βάθους στα ελληνικά για να ενημερωθεί - απευθυνθεί κάποιος.
Ευχαριστώ πολύ!

Υ.Σ.: Εγώ παιδιά συνεχίζω το ψάξιμο πάνω στο θέμα και μπορεί να σας ρωτώ χίλια δυο τώρα και να σας φαίνεται πως τα θέλω έτοιμα αλλά θέλω να σας ξεκαθαρίσω πως δεν είναι έτσι.
Απλώς έχω στήσει έναν Ubuntu 12.04 διακομιστή (Server) στον υπολογιστή μου σε εικονική μηχανή ( Virtual box ) και εκεί έχω ανεβάσει και ένα joomla site, ε και καταλαβαίνεται τα έχω όλα έτοιμα τώρα και ο μόνος λόγος που δε δημοσιεύω το site μου είναι, για να έχω μια καλά φτιαγμένη άμυνα - ασφάλεια από τυχόν επιτιθέμενους. Σκέφτηκα πως έστω μερικά από όλα αυτά που ρωτώ μερικοί τα έχετε κάνει είδει και θα μπορούσατε να με βοηθήσετε ώστε να τα καταλάβω - ρυθμίσω πιο εύκολα και βέβαια θα τα έψαχνα και εγώ, για να μην χάσω τόσο πολύ χρόνο στην προσαρμογή κιόλας. Γιατί, όπως και να έχει εγώ θα τα ψάξω όλα αυτά, έχω δύο ίδιους διακομιστές με το site μου πάνω όπου στον ένα όπως έχω πει, κάνω δοκιμές και στον άλλον βάζω ότι θέλω και έτσι θα τα δοκιμάσω όλα αυτά, απλώς είπα να γλίτωνα λίγο χρόνο.

[lepidas]

ένας ακόμα καλός τρόπος να τσεκάρεις το server σου είναι το Kali Linux, κατέβασε το, κάνε το dd σε ένα usb stick και μπούταρε απο εκεί, εκεί υπάρχουν διάφορα εργαλεία να τσεκάρεις την ασφάλεια του site σου.

[Tassos10]

ένας ακόμα καλός τρόπος να τσεκάρεις το server σου είναι το Kali Linux, κατέβασε το, κάνε το dd σε ένα usb stick και μπούταρε απο εκεί, εκεί υπάρχουν διάφορα εργαλεία να τσεκάρεις την ασφάλεια του site σου.

Σωστά ναι το kali ( δημιουργείται και αυτό από τους κατασκευαστές του backtrack ή πλέον το backtrack λέγεται kali ; μου διαφεύγει αυτή την στιγμή ). Ναι πάντως σε ευχαριστώ πολύ, μετά θα τρέξω τέτοια πράγματα ενάντιας του server/site μου, όπως και το w3af & acunetix ( να ξέρετε και άλλα πείτε μου ), θα ψάξω και για άλλα, αλλά πρώτα θα πρέπει να λύσω τις απορίες ( που έχω αριθμήσει κιόλας ) από αυτά που βρήκα και σας ανάφερα ( 3ης απαντήσεις πιο πίσω ).

[lepidas]

το fail2ban προτείνεται,
sudo apt-get install fail2ban
το configuration του γίνεται πολύ εύκολα και είναι αποτελεσματικό

[Tassos10]

το fail2ban προτείνεται,
sudo apt-get install fail2ban
το configuration του γίνεται πολύ εύκολα και είναι αποτελεσματικό

Πως γίνεται το confiquration του;
Αν και δε σκέφτομαι να το βάλω. Το CSF το έχεις δοκιμάσει; Το CSF θα προσπαθήσω να μάθω και να βάλω.. εξηγώ πιο πάνω τους λόγους.

[lepidas]

ψαξε λιγο στο google για manual fail2ban, εχει παρα πολλα που εξηγουν(γενικα ειναι πανευκολο)
Το CSF οχι δεν το εχω δοκιμασει παντως το fail2ban το χρειαζομουν γιατι εβλεπα παρα ssh login προσπαθειες με κατι ονοματα αλλα(απο λεξικο συγκεκριμενα, ξεκιναει μια αυτοματη μηχανη και διαβαζει ενα λεξικο ολες τις λεξεις απο το A εως το Z, με αυτες μια μια κανει προσπαθεια συνδεσης με τυχαιο κωδικο και οτι καταφερει).

τωρα πλεον στις 3 του κανει ban για πολλες ωρες(ο χρονος ρυθμιζεται)

[Tassos10]

ψαξε λιγο στο google για manual fail2ban, εχει παρα πολλα που εξηγουν(γενικα ειναι πανευκολο)
Το CSF οχι δεν το εχω δοκιμασει παντως το fail2ban το χρειαζομουν γιατι εβλεπα παρα ssh login προσπαθειες με κατι ονοματα αλλα(απο λεξικο συγκεκριμενα, ξεκιναει μια αυτοματη μηχανη και διαβαζει ενα λεξικο ολες τις λεξεις απο το A εως το Z, με αυτες μια μια κανει προσπαθεια συνδεσης με τυχαιο κωδικο και οτι καταφερει).

τωρα πλεον στις 3 του κανει ban για πολλες ωρες(ο χρονος ρυθμιζεται)

Επίθεση ωμής βίας = Brute-force attack. Κατάλαβα και πολύ καλά έκανες και το έβαλες, όμως πως το είδες, από που; Ότι γινόταν τέτοια επανειλημμένα logins ; Ίσος μπορείς να το καταλάβεις αν επιβραδύνεται η ταχύτητα του site σου όμως δεν είναι έγκυρη "γνωμάτευση", και επίσης εσύ φίλε μου λες ότι το έκανε από ssh, μπορεί να ήταν στην login page τους site σου... ή κάπου άλλου, άρα από κάπου το είδες.

Στις ποιο πάνω ερωτήσεις μου ( που δυστυχώς αν και καταλαβαίνω είναι πολλές, δεν έχει υπάρξει κάποια απάντηση ακόμη ) υπάρχει και μία, που ρωτάω πως βλέπω τα logins του site/server μου, αν και ρωτάω για να βλέπω τυχών επιθέσεις sql,xss,lfi...κτλπ από τα requests αν αποθηκεύονται κάπου, και κάτι τέτοιο επίσης θα μου ήταν πολύ χρήσιμο.

Πάντως ακριβώς ότι λες για το fail2ban με χρόνο που βάζεις εσύ.. κτλπ.. το κάνει και το csf χώρια που έχει και άλλα και σε προστατεύει και από dos,ddos επιθέσεις.. και άλλα αν το ψάξεις νομίζω θα εκπλαγείς..

[lepidas]

διαβαζω τα logs αρχεια καθε τοσο, ολα τα logs του Ubuntu βρισκονται στο /var/log/ - συγκεκριμενα για τα logins ειναι το auth.log. σιγουρα επιβραδυνει(απειροελαχιστα)την ταχυτητα αλλα δεν εκανα απο εκει γνωματευση αλλα οπως ειπα πριν /var/log.

για το Joomla μονο ο admin ειναι να κανει login σε αυτο, εχω βαλει αυτο: http://extensions.joomla.org/extensions ... tion/22982 και βλεπω οτι τα παει καλα[γιατι μου δειχνει ποιες IP εχει αποκλεισει] για το forum μου (SMF) υπαρχει default μετα απο Χ προσπαθειες να σε μπαναρει)

θα το δω το CSF