12 تدبيرا لينكس اباتشي الخلية LAMP الويب PHP جذر خادم آمن

وزادت وتيرة القرصنة بشكل كبير في الاشهر الاخيرة. خاصة ويمكن الحصول على الكثير من البيانات من قبل الخارقة على خوادم الشبكة. حتى أخذت PSN سوني ميزة الإختراق من الضعف لم يتم إصلاحها في خادم الويب اباتشي. لذلك انا هنا رفع التدابير التي يمكن أن تمتلك خادم قليلا أكثر أمنا ضد هجمات من الخارج. بالطبع، هذا أيضا لا يوفر حماية بنسبة 100٪، ولكن من الأفضل لجعل الأشرار اللعبة قليلا أكثر صعوبة. بعض التدابير تتطلب سوى تثبيت الحد الأدنى من والصيانة. آخرون في حاجة الى الكثير من الوقت ومعرفة من بي إتش بي للقبض. يجب أن تدفع دائما الانتباه إلى نسبة التكاليف والمنافع في اختيار التدابير الأمنية. ليس هناك من معنى لحماية صغيرة، موقع خاص مثل بنك الاحتياطي الفيدرالي. ومع ذلك، بعض التغييرات المحددة في النظام لديها بالفعل كبير يعني المزيد من الأمن. والتي يجب أن تعالج حتى قبل فوات الاوان ....

جميع النصائح وCodesnips الرجوع إلى مربع ديبيان الحالية.

الأول جدار الحماية - منع كل شيء مرة واحدة

معظم توزيعات لينكس في المنشآت الافتراضية الخاصة بهم فتح أي منافذ على الخارج التي ليست ضرورية تماما. ويمكن هذا الوضع يتغير بسرعة، ولكن، حتى عندما يكون الخادم
حول اللعب ومحاولة أشياء. فجأة، وحتى وسائل الاعلام الخادم هو الاستماع على شبكة الإنترنت أو قاعدة البيانات
يقبل الاتصالات من الإنترنت. ولذلك، فإنه ليس من الخطأ أن يضبطوا أنفسهم، ووضع على جدار حماية مقيدة للغاية الذي يحظر بشكل أساسي مرة واحدة كل الاتصالات من خارج ويسمح فقط (الذاتي) مركبات مختارة. لحسن الحظ، ويتم ذلك بسرعة مع IPTABLES. بهذه الطريقة يمكن للمرء أن لم تعد توفر الخدمات لجعل الوصول إلى العالم بأن ليس لديهم عمل هناك. للأسف، كنت تدفع القليل من الراحة - لا بد من ضبط جدار الحماية في كل مرة عندما كنت ترغب في تقديم خدمات جديدة. ومع ذلك، فإن جهد صغير وكبير الفوائد.

 # أنا! / / حذف باش الجداول الموجودة # [إيبتبلس-F # حظر كافة الاتصالات الواردة IPTABLES-P INPUT DROP IPTABLES-P FORWARD # إسقاط جميع المنتهية ولايته تسمح IPTABLES-P OUTPUT اعقد # SSH تسمح IPTABLES-A INPUT-J-P تقبل TCP - dport 22 # السماح HTTP IPTABLES-A INPUT-J-P تقبل برنامج التعاون الفني - dport 80 خدمة أخرى # (UDP) تسمح، على سبيل المثال، لعبة خادم IPTABLES-A INPUT-J-P تقبل برنامج التعاون الفني - dport 4534 # كل شيء من المضيف المحلي . تسمح  (قد يكون هذا الوصول بحرية الخادم نفسه في خدمتها، على سبيل المثال، PHP # على قاعدة البيانات المحلية IPTABLES-A INPUT-J-S تقبل 127.0.0.1 اتصالات # أنشئت بالفعل في كل ميناء يقبل # (مطلوب لبعض الشياطين) [إيبتبلس - مدخل م دولة - دولة المنشأ، ذات الصلة ي اعقد 

هذا قليل العمود الفقري يمكن أن نستمر ببساطة لتوسيع وإضافة خدمات خاصة بهم. عند العمل على جدار الحماية، يجب عليك ان تجعل دائما الأحكام في القضية التي يؤمن بها نفسك. وخاصة بالنسبة للخدمة المناطق النائية التي لم يكن لديك الوصول المادي، وهو أمر مزعج جدا أن يخسر بواسطة جدار حماية فشل قاعدة وصول الخاصة بهم. من أجل تجنب هذه المشكلة للخروج من الطريق، يمكنك ترك العمل للبدء في جدار الحماية فقط مؤقتا وظيفة كرون ان يعيد جدار الحماية كل بضع دقائق أو إعادة تشغيل الخادم. يتم اختبار النظام في وقت لاحق ويحبها، وسيتم إلغاء تنشيط cronjob والقواعد الجديدة ما زالت نشطة بشكل دائم.

لمعرفة الخدمات التي هي مجرد الاستماع حول إلى الخادم الخاص بك، يمكنك استخدام NETSTAT:

 # للحصول على مآخذ TCP:
 NETSTAT-LPN | GREP TCP

 وبالمثل # لUDP:
 NETSTAT-LPN | GREP UDP

لاختبار إذا كان جدار الحماية يعمل حقا، يمكنك تفحص المنفذ الخادم الخاص بك من كمبيوتر آخر. عملت كل شيء وأنه ينبغي أن يؤدي إلى الموانئ فقط بل أن تكون مفتوحة:

 # للحصول على برنامج التعاون الفني:
 نمب-P1-65 535 meinserver.de

 # للحصول على UDP:
 نمب-SU-P1-65 535 meinserver.de

ثان سه تسجيلات حظر

على الخادم جذر الخاصة لديك كامل SSH الوصول. هذا مفيد جدا، كما يمكنك من أي عميل SSH إلى الأوقات الخادم فقط للعمل على ذلك. الجانب السلبي من هذا هو أن مسار يمكن لأي شخص الذي للأسف أخذ بطريقة أو بأخرى على كلمات السر الخاصة بهم. انها أكثر أمانا للسماح تسجيلات SSH فقط مع ملف مفتاح صالح. لذلك، يتم تعطيل المفتاح العمومي من العميل إلى الخادم وتسجيلات تفاعلية نسخ عن طريق إدخال كلمة السر.

 # على العميل، إنشاء مفتاح العام
 إذا # المحدد عند إنشاء كلمة مرور، يحتاج المرء إلى
 سجل # ملف في وقت لاحق، والمفتاح وكلمة السر.  وإلا
 # هناك حاجة فقط على مفتاح.

 سه، كجن-T RSA

 # نسخ مفتاح ولدت لخادم

 سه-نسخة معرف-I ~ /. SSH / id_rsa.pub root@meinserver.de

 # ضبط الآن sshd_config على الخادم / الخ / SSH /
 .
 .
 لا PasswordAuthentication
 .
 .

 # ثم تبدأ مرة أخرى RearBBpos
 / الخ / init.d / SSH إعادة تشغيل

حتى هنا ينبغي للمرء أن اتخاذ الاحتياطات اللازمة لعدم استبعادها حتى لو كان هناك شيء لا يعمل.
المفتاح العمومي على عصا USB مع كلمة السر المقابلة في رأسك يجعل من الأصعب بكثير على الأشرار لتحصل على صدفة.

ثالث SSH Bruteforcing منع denyhosts

إذا النصيحة ليس من العملي (2) وأنت لا تتخلى عن راحة كلمة السر القائم على تسجيلات أردت، يمكنك على الأقل منع معدلات كلمة المرور الآلي من المهاجمين على الخادم. وهناك الكثير من السير على شبكة الانترنت كل يوم تتطلع الى القيام بأي شيء أكثر من أن خوادم SSH ومحاولة الخروج في مختلف كلمات السر الخاصة بك. مع كلمة مرور آمنة بشكل معقول ليست مشكلة كبيرة، ولكن هناك شعور أفضل، وليس حتى لو كان ذلك ممكنا. وبالإضافة إلى ذلك، لأنه يحمي أيضا مستخدميها، وإذا كان هناك في حسابات الخادم والمستخدم. هنا، لا يمكنك الاعتماد على المستخدمين لاستخدام كلمات مرور آمنة. denyhosts باستمرار استعراض وتسجيلات SSH على تأمين المستخدم لفترة من الوقت الذي دخلت كلمة المرور الخاصة بهم وكرر بشكل غير صحيح. والملكية الفكرية للمستخدمين الانتقال مؤقتا الى / الخ / hosts.deny، بحيث لم يعد لديهم إمكانية الحصول على أمر ممكن. هذا SSH Bruteforcing لمهمة طويلة جدا وليس واعدا جدا.

 الرابطة بين الحصول على تثبيت denyhosts

 Denyhosts # يعمل مباشرة بعد التثبيت.  يمكن أن يكون
 # وفي تناغم الملف / etc / denyhosts.conf غرامة

4 استخدام القوائم السوداء لحجب البرامج المتكاملة مشكلة معروفة

ويحتفظ في القوائم السوداء الإنترنت المختلفة، والتي قائمة على عدد كبير من خوادم الجنائية / المفروم / مزعجة / الاحتيالية. ويمكن ادخال هذه القوائم الملكية الفكرية مباشرة في جدار الحماية، حتى من يعرف هذا ليس لأجهزة الكمبيوتر موثوق به لا يمكن الاتصال على الإطلاق إلى الخادم الخاص بها. حتى تتمكن من الحد من كمية الرسائل غير المرغوب فيها على الخادم الخاصة بها بشكل كبير واحد او كيدي النصي الأخرى قفل خارج، وذلك لأن وكيله الروسي توقف فجأة عن العمل. كيف نفعل ذلك لقد كنت في مقال آخر بلوق وصفت سبيل المثال من القائمة السوداء من Infiltrated.net.

5 لا تستخدم بروتوكول نقل الملفات للعمل على خادم

FTP هي من بقايا أوقات أفضل عندما كانت الإنترنت قرية صغيرة لا يزال موثوق. مدراء العديد من المواقع لا تزال تستخدم FTP لنقل الملفات إلى الخادم أو للعمل على موقع الويب الخاص بها. لسوء الحظ، هذا غير مؤكد جدا، منذ FTP تنقل كل البيانات غير المضمونة. ويمكن قراءة كلمات السر والبيانات من دون أي مشاكل عند كل مرحلة، بين الملقمات والعملاء. أكثر أمانا للذهاب مع سشفس. يسمح لك لتحميل دليل عن طريق SSH على نظام الملقم البعيد ملف محلي. يمكنك العمل بعد ذلك على الخادم كما لو كان على الكمبيوتر المحلي. كل الوصول إلى الملفات على الملفات الموجودة على الخادم شفافة تماما، حتى تتمكن من فتح مع برنامج الرسومات المحلية لتحرير صورة على الخادم مباشرة، ثم حفظ. مزيد من الراحة والأمان من دون بذل الكثير من الجهد.

 # تثبيت سشفس
 الرابطة بين الحصول على تثبيت سشفس

 # إنشاء mountpoint على نظام الملفات المحلية
 MKDIR / الإعلام / MYSERVER

 خادم # لتحميل ملف النظام المحلي
 سشفس www-data@mein-server.de :/ فار / على شبكة الاتصالات العالمية / وسائل الإعلام / MYSERVER

 الآن # الدليل هو / فار / على شبكة الاتصالات العالمية في خدمة بلدي المحلية تحت / وسائل الإعلام / MYSERVER متاح

6 تثبيت التحديثات

وهناك نظام السوبر آمنة لا تساعد إذا كان النظام في حد ذاته معيب ويمكن استغلال نقطة ضعف معروفة. في معظم الحالات، وإغلاق هذه الثغرات الأمنية بسرعة، ولكن غالبا ما ينسى تحديثات منتظمة مشرف للنظام لجعل. ما إذا كان يجب تمكين التحديثات التلقائية على خوادم لينكس أم لا هي مسألة مثيرة للجدل. وبعض أبدا القيام به، لأنه بطبيعة الحال مع الكثير من سوء الحظ قد يكون أن التحديثات جعل النظام غير صالحة للاستعمال. هذا ما حدث لي في أكثر من 10 سنوات من العمل على نظم ديبيان، لكن أبدا وأنا أقدر مزايا التحديثات في الوقت المناسب وبصورة منتظمة، والكثير أعلى من المخاطر الناجمة عن ذلك.

 # بتحديث هذا الخط في كرونتاب / / الخ، وساعة النظام كل يوم في الساعة 6 صباحا
 0 6 جذر *** الرابطة بين الحصول على التحديث && الرابطة بين الحصول على ترقية ذ

عملت هذه طريقة سريعة وقذرة بالنسبة لي حتى الآن دائما جيدة. ولقد قرأت مؤخرا أن في مستودع ديبيان وحزمة وغير المراقب، وجود ترقيات أن يحل المشكلة وربما أكثر أناقة، لكني لم تم اختبارها.

حتى مع هذه التحديثات نظام vollautomtischen أنها ليست تماما ورطتها. إذا تم تسليم عملية تحديث النواة، لديك لتشغيل النظام مرة أخرى من جهة، وإلا فإن التغييرات لن تكون نشطة.

إذا كان لنا أن استخدام طرف ثالث رمز PHP على الخادم، مثل CMS المصدر المفتوح أو منتدى، هو بطبيعة الحال ضرورية للغاية، ورمز هذا مع الإصدارات الجديدة حتى الآن. مطلوب منذ ديبيان لا يتم تحديث التغييرات على تلك الطلبات وفقا لقواعد تغطية هذا العمل اليدوي. أفضل وسيلة لقراءة القوائم البريدية الخاصة بك مع المنتجات المماثلة من أجل أن يصل دائما إلى تاريخ.

7 PHP مع open_basedir سجن

الخارقة كثير استنادا إلى حقيقة أن يستخدم ثغرة في قانون PHP للوصول إلى الملفات الموجودة في ملف الوصول إلى النظام التي لا تنتمي إلى الموقع، ولكن النظام نفسه هو لماذا يجب أن حبس PHP بحيث يقرأ فقط في دلائل معينة على وجه التحديد والكتابة المسموح به. لهذا، فإن php.ini وخيار التكوين open_basedir. PHP لديه خيار لوضع وصول سمح فقط إلى الدلائل هناك. ملفات مثل باسود / / وما هي بعيدة المنال. استضافة مواقع متعددة على ملقم واحد يجب تعيين open_basedir في كل تكوين المضيف الظاهري على كل جانب.

 # php.ini والعالمية من خلال:
 # / Etc/php5/apache2/php.ini
 open_basedir = / فار / على شبكة الاتصالات العالمية / :/ تمة /

 # لكل موقع في التكوين VirtualHost:
 php_value open_basedir / فار / على شبكة الاتصالات العالمية / موقع / :/ تمة /

من المهم أن تنظر في ما إذا كان قد تم إضافة جميع المواقع إلى مخطوطات وعادة ما تحتاج إلى الوصول، وإلا قد يكون من أنك وظائف المعاقين والمشروعة لتطبيق PHP.

8 إنشاء المواقع الخاصة بك لمستخدمي ماي

استخدام الخاص بك PHP-الخلية تطبيق، يجب إنشاء تماما للمستخدم Apllikation الخلية الخاصة وتحت أي ظرف من الظروف استخدام المستخدم الجذر طلبات الخلية. يجب عليك أيضا تقييد حقوق المستخدم حتى الآن أن يتم السماح العمليات فقط حقا، الأمر الذي يتطلب PHP السيناريو. إنشاء الجدول والجدول DROP شائعة كما هو الحال في حقن SQL وتستخدم في معظم تطبيقات PHP أبدا مطلوب. فهي تستضيف مواقع متعددة مع قواعد بيانات متعددة على ملقم، يجب إنشاء قواعد البيانات الخاصة بك لجميع المستخدمين. وهكذا، وبعد الهجوم الناجح، لمهاجم لديه فقط الحصول على واحدة من قواعد البيانات وليس مباشرة على الإطلاق. إذا كنت لا ترغب في محاولة لسطر الأوامر لإدارة حسابات المستخدمين الخلية، وظائف إدارة المستخدم أيضا من السهل جدا مع بريس تحت عنوان "حقوق" التبويب.

9 رسائل الخطأ PHP قبالة

رسائل الخطأ PHP يمكن للمهاجم تكشف الكثير عن الخادم الخاص بك: بنية الدليل، وهياكل قاعدة البيانات، وأخطاء التكوين، وما إلى ذلك انها تبدو كذلك بالنسبة للمستخدم غير محترف للغاية. لهذا السبب ينبغي أن تكون على خادم الويب مباشرة، قم دائما بإيقاف لأنك مجرد الذهاب الى ما زالوا يرون في السجلات.

 # php.ini والعالمية من خلال:
 # / Etc/php5/apache2/php.ini
 display_errors = إيقاف

 # لكل موقع في التكوين VirtualHost:
 php_flag display_errors معطلة

 # رسائل الخطأ قراءتها على أي حال:
 القط / var/log/apache2/error.log | GREP PHP

10 هدف لحد حقن SQL مع ModSecurity

حقن SQL هي الطريقة الأكثر استخداما من الهجوم على خوادم الشبكة. الوصول إليها مباشرة من خلال التطبيق على شبكة الإنترنت وتجتمع مستعرض للقيام بها. هنا تنتقل بواسطة متغيرات المستخدم بنيت استعلامات SQL إرسالها إلى امتيازات المستخدم قاعدة البيانات كل من قاعدة البيانات الخاصة به في وحذف قراءة أو تحريرها. حماية حقيقية حقيقي ضد حقن SQL موجود فقط إذا تم كتابة شفرة PHP في الموقع فيما يتعلق بهذه الهجمات. كل متغير من إدخال المستخدم، والتي يمكن ان تحصل في استعلام SQL، لا بد من اختباره وهرب. PHP يوفر real_mysql_escape_string وظيفة ().

إذا كنت غير متأكد إذا كان رمز نظيفة، ويمكن للاباتشي mod_security مساعدة في درء كمية كبيرة من هذه الهجمات على أي حال. استعراض mod_security ثابت جميع الطلبات إلى خادم ويب ويستجيب لنمط ما قبل والتي يمكن أن يتم حظر العديد من هجمات حقن SQL. لسوء الحظ، لا تعمل إلا بشكل جيد مع الجهد اليدوي mod_security. بعد كثير من الأحيان mod_security تركيب جديد كتل مطلوب أيضا (العادية) وظائف من برامجك، بحيث أحد لديه أي خيار آخر، والتطبيق الكامل لاختبار التثبيت مرة أخرى. عندها فقط يمكن للمرء معرفة ما إذا كان mod_security قد لا تريد حتى حجب الوظائف. إذا كان الأمر كذلك، ثم لائحة التصفية، بحيث يتم تعديله بحيث تختفي إيجابية كاذبة.

معقد الى حد ما من تكوين mod_security ويقع خارج نطاق هذا المقال، ولكن هناك طن من الدروس الجيدة على mod_security الإنترنت.

11th رقم الشيك - أباتشي لا يعرف من هو
هذا ليس حقا وسيلة فعالة ضد الإختراق، فإنه يجعل النصوص التلقائية التي تبحث عن الإصدارات الخادم، ولكن أثقل قليلا. عادة ما تكون نقاط أباتشي لصفحات مع رسائل الخطأ (على سبيل المثال 404 غير موجود) التوقيع عليه الخادم.

 Apache/2.2.16 (يونيكس) خادم في www.daniel-ritter.de المنفذ 80

أنه يقضي على أي معتد محتمل سوف تتلقى على الأقل مرة واحدة قبل حوالي خادم ويب eigesetzten ومستوى الإصدار. تم تشغيل خادم التوقيع قبالة بسرعة:

 # / Etc/apache2/conf.d/security
 ServerSignature معطلة

12TH لا تستخدم تعطيل وحدات أباتشي

افتراضيا، وقد حملت أباتشي بعض الوحدات التي يتم أبدا تقريبا اللازمة. في ديبيان يمكنك العثور على وحدات تحميل
كحلقة وصل لينة في / etc/apache2/mods-enabled.

ويمكن إزالة دائما تقريبا:

mod_cgi

تستخدم لتشغيل البرامج النصية CGI. هذه التقنية يعود الى فجر ويب، وكان السلف من لغات البرمجة الحديثة للسماح لمواقع الويب الديناميكية. mod_cgi لا لزوم لها 99٪ من المواقع PHP مع وجود خلل أباتشي هو التكوين ثغرة أمنية محتملة

 a2dismod CGI

mod_status

يسمح المتصفحات لقراءة معلومات عن حالة أباتشي. وتقريبا انها لم تستخدم قط لمواقع "عادية"، ويقدم معلومات عن حالة المهاجمين لكن أباتشي.

 a2dismod حالة

mod_autoindex

mod_autoindex يضمن يمكن سرد الدلائل على خادم الويب، إذا لم يكن هناك مؤشر صفحة صالح في الدليل المناسب. إذا لم يتم المطلوب هذه الوظيفة، يجب تعطيله، لأنها أشجار الدليل بأكمله على خادم الويب يمكن أن تكون مرئية من الخارج.

 a2dismod autoindex