Server absichern

    Hallo zusammen..

    ich glaube, ich hab das schon gut gemacht... root deaktiviert, user auf unmöglichen Namen geändert, SSH auf über 40000.. hab ca. 40 Docker Container laufen, mit Traefik v2.. nur webtop und photoprism sind offen wie ein Scheunentor.. any ideas?

    RS 3000 G9.5 SE auch genannt OST22 L - 24 GB RAM, 8 Kerne, AMD Epyc, 960 GB SSD

    Webhosting 8000 SE BF22

    Neues Spielzeug: VPS 1000 ARM G11

    RS 4000 G11

    1. SSH-Direktzugang nur via VPN; Fallback über öffentliche IP-Adresse via knock ab­sich­ern
    2. Docker (oder, als Ersatz: Podman) seinerseits in einen oder mehrere LXD-Container verfrachten, wodurch man vollständige Kontrolle über offe­ne Ports/Zu­griffs­rechts­be­schränk­un­gen er­hält
    3. Exponierten Webserver um eine Web Application Firewall ergänzen, mit welcher das OWASP ModSecurity Core Rule Set (CRS) eingesetzt und an­ge­passt wer­den kann

    2. und 3. sind nicht ganz trivial (nach Schwierigkeitsgrad geordnet).

    VServer IOPS Comparison Sheet: https://docs.google.com/spreadsheets/d/1w38zM0Bwbd4VdDCQoi1buo2I-zpwg8e0wVzFGSPh3iE/edit?usp=sharing

    Einmal editiert, zuletzt von m_ueberall ()

    Insbesondere wenn man diverse verschiedene Webapplikationen am Laufen hat, kann ich den dritten Punkt sehr empfehlen.

    Zitat von m_ueberall
    1. ...
    2. ...
    3. Exponierten Webserver um eine Web Application Firewall ergänzen, mit welcher das OWASP ModSecurity Core Rule Set (CRS) eingesetzt und an­ge­passt wer­den kann

    Meist geht es bei Absicherungen ja um ssh, fail2ban, iptables etc, also die unteren Netzwerkschichten. Die Absicherung auf dieser Ebene ist zwar unabdingbar, schützt aber leider nicht gegen Angriffe über den Webserver. (SQL-Injections, XSS etc). Dazu ist eine WAF (Web Application Firewall) nötig.


    Wenn man nicht jede einzelne Anwendung mit einem eigenen WAF-Plugin ausstatten will, ist z.B. Modsecurity (mit den von m_ueberall erwähnten OWAPS Regeln) eine gute Wahl.


    Man muss dabei allerdings noch manuell nachsteuern, um die "false positves" auszusortieren.

    Das kann durchaus etwas mühsam sein. Ich habe mir deshalb ein kleines Tool ('pamsel') speziell dafür gestrickt, das mir inzwischen gute Dienste leistet: ;)

    https://github.com/aranemac/pamsel

    Hallo,


    das meiste wurde ja schon bereits genannt. Was noch fehlt wäre ein ordentliches Berechtigungskonzept.


    Viele nutzen zwar Sudo (weil es bereits durch die Distribution vorinstalliert ist) aber nutzen leider nur die Standardkonfiguration. (Benutzer hat standardgemäß volle Sudo bzw. Root Rechte - was natürlich nicht sinnvoll ist und natürlich auch nicht der Gedanke von Sudo ist)


    MfG

    Hallo und Danke..


    jede Menge neuer Lerninput..


    natürlich habe ich SSH-Login auf Zertifikat, nur vergessen zu erwähnen


    Backups - naja... ich mache alle paar Tage mal nen Snapshot im SCP...


    Vielleicht sollte ich dazu sagen, das ich den Server nicht kommerziell betreibe... ist nur privat

    RS 3000 G9.5 SE auch genannt OST22 L - 24 GB RAM, 8 Kerne, AMD Epyc, 960 GB SSD

    Webhosting 8000 SE BF22

    Neues Spielzeug: VPS 1000 ARM G11

    RS 4000 G11

    Snapshots werden auf der gleichen Platte gespeichert wie der Server selbst, sind also als Backup ziemlich ungeeignet.


    Das nur als Info, wie wichtig dir deine Daten letzendlich sind weißt nur du.


    Ich denke Backups auf ein externes Datengrab (z.B. die Storageboxen von der roten Konkurrenz) sind wohl das sinnvollste.

    Auf diesen kann man dann noch mal extra Snapshots machen.


    Afaik hat netcup auch extra Speicherplatz den man dazu buchen kann. Den kenne ich aber nicht.

    Zitat von ThomasChr

    Afaik hat netcup auch extra Speicherplatz den man dazu buchen kann. Den kenne ich aber nicht.

    Der ist im selben RZ und damit für ein Backup ungeeignet. Entweder man nimmt dazu einen Netcup Server in Wien oder einen Server (oder anderweitige Storagelösung) woanders. Beim roten H wäre in dem Falle darauf zu achten, dass man als Standort nicht Nürnberg nimmt, weil es dann auch im selben RZ wäre.

    "Denn der radikalste Zweifel ist der Vater der Erkenntnis."

    -Max Weber

    Danke 2 Gefällt mir 4
    Zitat von whoami0501

    Beim roten H wäre in dem Falle darauf zu achten, dass man als Standort nicht Nürnberg nimmt, weil es dann auch im selben RZ wäre.

    Die "Box" gibt es sowieso nur in Falkenstein und Helsinki, da kann das schon mal nicht passieren.


    (Davon habe ich für Backups auch eine.)

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    Danke 1
    Zitat von aRaphael

    netcup und H. sind in Nürnberg im gleichen RZ?

    Das war auf jeden Fall mal so und hat sich afaik nicht gändert. Habe von einem H root Server auf netcup 2.75 ms Ping und 5 hops. Zu google.de sinds schon 5 ms.


    Code
    2  * core24.fsn1.hetxxxx.com (213.239.245.45)  0.689 ms  0.481 ms
3  juniper5.nbg1.hetxxxx.com (213.239.252.249)  2.691 ms  2.684 ms  2.691 ms
4  ae6-0.bbr01.anx84.nue.de.anexia-it.net (78.47.7.1)  2.794 ms  2.787 ms  2.779 ms
5  netcup-gw.bbr02.anx84.nue.de.anexia-it.net (144.208.211.11)  2.891 ms  2.905 ms 94.16.25.77 (94.16.25.77)  2.689 ms

    Ist bei mir ähnlich (hier in die andere Richtung):

    Code
    2   144.208.211.10 (ae3-4019.bbr02.anx84.nue.de.anexia-it.net)  0.594ms  0.322ms  0.922ms
3   78.47.7.6 (static.6.7.47.78.clients.your-server.de)  0.504ms  0.517ms  0.382ms
4   213.239.245.77 (213-239-245-77.clients.your-server.de)  2.940ms  6.564ms  0.771ms
5   213.239.203.226 (ex9k1.dc1.nbg1.hötznör.com)  0.419ms  0.386ms  0.363ms