Sicherheitsbedenken bei meinem Root-Server: Bin ich ausreichend geschützt?

    Hallo zusammen ich mal wieder,

    ich habe einige Sicherheitsbedenken bezüglich meines Root-Servers und möchte mich gerne absichern. Ich habe bereits einige Maßnahmen ergriffen, bin aber immer noch besorgt über mögliche Angriffe. Hier ist, was ich bisher getan habe:

    • SSH-Zugriff nur mit Schlüsseln und Änderung des Standardports.
    • Verwendung von ufw zur Firewall-Verwaltung.
    • Installation von Fail2Ban zur Abwehr von Brute-Force-Angriffen.
    • Regelmäßige System- und Paketupdates.
    • Verwendung von AIDE zur Überwachung der Systemintegrität.
    • Installation und Konfiguration von AppArmor.
    • Nutzung von Suricata zur Netzwerküberwachung.

    Bisher habe ich nur die Absicherung vorgenommen. Als nächstes plane ich, Python mit Flask, eine PostgreSQL-Datenbank und einige Python-Skripte zu installieren.

    Trotzdem habe ich Angst, etwas falsch konfiguriert zu haben. Was könnte im schlimmsten Fall passieren, wenn eine Konfiguration nicht korrekt ist? Welche zusätzlichen Maßnahmen könnt ihr empfehlen, um meinen Server besser zu sichern? Gibt es spezifische Best Practices oder Tools, die ich noch in Betracht ziehen sollte?

    Vielen Dank im Voraus für eure Hilfe!

    Durch deine 3 letzten Punkte hast du schon deutlich mehr als die allermeisten Leute, würde ich mal behaupten.

    Im Prinzip solltest du immer wissen auf welchen Ports welche Services laufen. Durch deine Firewall kannst du alles sperren und nichts versehentlich der Welt präsentieren. Es schützt ein wenig vor eigenen Fehlern und unerwarteten Ereignissen :)

    Deine Services sind nur so sicher wie sie auch programmiert wurden. Deswegen wird gerne alles hinter einem VPN wie Wireguard oder SSH versteckt, da beides in der Regel als sehr sicher eingestuft wird.

    Vor deiner Python Anwendung könntest du theoretisch noch einen Reverse Proxy mit WAF setzen. Es kommt eben ziemlich drauf an was du da betreibst, weil wenn deine Anwendung beispielsweise erlaubt, dass dritte einfach Dateien auf deinem Server ablegen dürfen, wird es unangenehm.

    Zitat von Valkyrie

    Durch deine 3 letzten Punkte hast du schon deutlich mehr als die allermeisten Leute, würde ich mal behaupten.

    Ist doch auch so.. man ist ja nicht in Fort Knox. Angenommen man sperrt den Root Login und setzt einen schwierigen Port.

    Dann braucht der Angreifer den Port, muss einen beliebigen User erraten, dessen schwieriges Passwort herausfinden und am Ende noch für SU das schwierige Root Passwort ermitteln.

    Die Keys sind für mich eigentlich nur interessant damit man keine Klartext Passwörter in Scripts benutzen muss.

    Man kann das natürlich Weiterspinnen.. aber das setzt letzendlich voraus, das jemand in unmittelbarere nähe im eigenen Umfeld quasi ein Kollege, Mitbewohner Hacker ist und einem etwas Böses will.