12 μέτρα σε Linux Apache MySQL PHP τον web server LAMP ρίζα εξασφαλίσει

Η συχνότητα της πειρατείας έχει αυξηθεί δραματικά τους τελευταίους μήνες. Ειδικά πολλά στοιχεία που πρέπει να διαβαστεί από αμυχές στο web servers. Ακόμη και η Sony PSN αμυχή εκμεταλλεύτηκε μια ευπάθεια στο unpatched εξυπηρετητή Apache. Έτσι, εδώ είμαι μέτρα ευαισθητοποίησης ότι ο server μπορεί να κατέχει ένα κομμάτι ασφαλέστερο απέναντι σε επιθέσεις από το εξωτερικό. Φυσικά, αυτό δεν παρέχει 100% προστασία, αλλά είναι καλύτερο να κάνουν τους κακούς το παιχνίδι λίγο πιο δύσκολο. Ορισμένα από τα μέτρα που απαιτούν μόνο μια ελάχιστη εγκατάσταση και συντήρηση. Άλλοι χρειάζονται πολύ χρόνο και τη γνώση της PHP για να πιάσει. Πρέπει πάντα να δίνετε προσοχή στη σχέση κόστους-οφέλους για την επιλογή των μέτρων ασφαλείας. Δεν έχει κανένα νόημα να προστατεύσει ένα μικρό, ιδιωτικό χώρο όπως η Ομοσπονδιακή Κεντρική Τράπεζα των ΗΠΑ. Ωστόσο, λίγες συγκεκριμένες αλλαγές στο σύστημα έχει ήδη ένα μεγάλο σημαίνουν περισσότερη ασφάλεια. Και ότι θα πρέπει να αντιμετωπίζει ακόμη και πριν είναι πολύ αργά ....

Όλες οι συμβουλές και Codesnips αναφέρεται σε μια τρέχουσα θέση του Debian.

Πρώτα Το τείχος προστασίας - να απαγορεύουν τη στιγμή που τα πάντα

Οι περισσότερες διανομές Linux προεπιλογή σε εγκαταστάσεις τους να ανοίξει τις θύρες προς τα έξω που δεν είναι απολύτως απαραίτητο. Αυτή η κατάσταση μπορεί να αλλάξει γρήγορα, όμως, ακόμα και όταν ο διακομιστής
παίζοντας γύρω και προσπαθώντας πράγματα. Ξαφνικά, ακόμη και ο διακομιστής πολυμέσων ακούει στο Διαδίκτυο ή της βάσης δεδομένων
δέχεται συνδέσεις από το Internet. Ως εκ τούτου, δεν είναι λάθος για να πειθαρχήσει και να τεθεί σε ένα πολύ περιοριστικό τείχος προστασίας που ουσιαστικά απαγορεύει τη στιγμή όλες τις συνδέσεις από το εξωτερικό και επιτρέπει μόνο (αυτο-) επιλεγμένων ενώσεων. Ευτυχώς, αυτό γίνεται γρήγορα με iptables. Με αυτόν τον τρόπο δεν μπορούν πλέον να παρέχουν υπηρεσίες για να κάνουν προσιτό στον κόσμο που δεν έχουν δουλειά εκεί. Δυστυχώς, πληρώνετε μια μικρή άνεση - το τείχος προστασίας πρέπει να προσαρμόζεται κάθε φορά, όταν επιθυμούν να προσφέρουν νέες υπηρεσίες. Ωστόσο, η προσπάθεια είναι μικρή και τα οφέλη μεγάλα.

 # / Bin / bash

 # Διαγραφή υπάρχοντες πίνακες
 iptables-F

 # Απαγόρευση όλων των εισερχόμενων συνδέσεων
 iptables-P INPUT DROP
 iptables-P FORWARD DROP

 # Αφήστε όλα τα εξερχόμενα
 iptables-P OUTPUT ΑΠΟΔΕΧΟΜΑΙ

 # Αφήστε SSH
 iptables-A INPUT-j ACCEPT-p TCP - dport 22 

 # Αφήστε HTTP
 iptables-A INPUT-j ACCEPT-p TCP - dport 80 

 # Περαιτέρω υπηρεσία (UDP) επιτρέπουν, για παράδειγμα, το διακομιστή παιχνιδιών
 iptables-A INPUT-j ACCEPT-p TCP - dport 4534 

 # Αφήστε τα πάντα απο το localhost.  (Για να επιτρέψουν την ανεμπόδιστη πρόσβαση στον ίδιο το διακομιστή, οι υπηρεσίες της,
 # Για παράδειγμα, η PHP στην τοπική βάση δεδομένων
 iptables-A INPUT-s 127.0.0.1-j ACCEPT

 # Ήδη εγκατεστημένες συνδέσεις θα γίνονται δεκτές σε κάθε λιμάνι
 # (Για κάποιους δαίμονες)
 iptables-A INPUT-m κράτους - που έχει δημιουργηθεί, ΣΧΕΤΙΚΑ-j ACCEPT

Αυτό το μικρό κορμό μπορούμε απλά να συνεχίσει να επεκτείνει και να προσθέσετε τις δικές τους υπηρεσίες. Όταν εργάζονται για το τείχος προστασίας, θα πρέπει πάντα διατάξεις για την περίπτωση που κλειδώνει τον εαυτό σας. Ειδικά για τους απομακρυσμένους διακομιστές για τα οποία δεν έχετε φυσική πρόσβαση, είναι πολύ ενοχλητικό να χάσει από ένα τείχος προστασίας δεν αποκλείουν τη δική τους πρόσβαση. Για να αποφύγετε αυτό το πρόβλημα έξω από το δρόμο, μπορείτε να αφήσετε να αρχίσουν οι εργασίες στο τείχος προστασίας προσωρινά μόνο μια περιοδική εργασία που επαναφέρει το τείχος προστασίας κάθε λίγα λεπτά ή επανεκκίνηση του διακομιστή. Είναι οι κανόνες που αργότερα δοκιμαστεί και αγάπησε, ο cronjob θα απενεργοποιηθεί και οι νέοι κανόνες παραμένουν μόνιμα ενεργό.

Για να μάθετε ποιες υπηρεσίες ακριβώς ακούγοντας στον δικό σας διακομιστή, μπορείτε να χρησιμοποιήσετε το netstat:

 # Για το TCP sockets:
 netstat-LPN | grep tcp

 # Ομοίως για UDP:
 netstat-LPN | grep UDP

Για να ελέγξετε εάν το τείχος προστασίας λειτουργεί πραγματικά, μπορείτε να σαρώσετε λιμάνι δικό σας server από έναν άλλο υπολογιστή. Τα πάντα λειτούργησαν έξω και θα πρέπει να οδηγήσει σε ακόμη μόνο τα λιμάνια που είναι ανοικτά:

 # Για το TCP:
 nmap-P1-65 535 meinserver.de

 # Για UDP:
 nmap-SU-P1-65 535 meinserver.de

Δεύτερος SSH απαγόρευση συνδέσεις

Με δική του εξυπηρετητή έχετε πλήρη πρόσβαση SSH. Αυτό είναι αρκετά βολικό, δεδομένου ότι μπορείτε από οποιοδήποτε πρόγραμμα-πελάτη SSH για την εποχή διακομιστή μόνο για να εργάζονται σε αυτό. Το μειονέκτημα αυτού είναι ότι η πορεία μπορεί κάποιος ο οποίος δυστυχώς έχει κάπως αναλάβει τις δικές τους κωδικούς τους. Είναι πολύ ασφαλέστερο να επιτρέπουν SSH συνδέσεις μόνο με ένα έγκυρο κλειδί αρχείο. Ως εκ τούτου, το δημόσιο κλειδί του client στον server και αντιγραφή διαδραστικές συνδέσεις έχουν απενεργοποιηθεί από την εισαγωγή ενός κωδικού πρόσβασης.

 # Την πελάτης, δημιουργήστε ένα δημόσιο κλειδί
 # Αν έχει καθοριστεί κατά τη δημιουργία ενός κωδικού πρόσβασης, πρέπει κανείς να
 # Σύνδεση αρχείο αργότερα, το κλειδί και ο κωδικός πρόσβασης.  Αλλιώς
 # Χρειάζεται μόνο το κλειδί.

 ssh-keygen-t RSA

 # Αντιγράψτε το κλειδί που δημιουργείται στο διακομιστή

 ssh-copy-id-i ~ /. ssh / id_rsa.pub root@meinserver.de

 # Τώρα ρυθμίστε το sshd_config στον server / etc / ssh /
 .
 .
 PasswordAuthentication δεν
 .
 .

 # Στη συνέχεια, ξεκινήστε πάλι RearBBpos
 / Etc / init.d / ssh επανεκκίνηση

Ακόμα και εδώ θα πρέπει να λαμβάνουν προφυλάξεις για να μην αποκλείσει ακόμη και αν κάτι δεν λειτουργεί.
Το δημόσιο κλειδί σε ένα USB stick με τον αντίστοιχο κωδικό πρόσβασης στο κεφάλι σας καθιστά πολύ πιο δύσκολο για τους κακούς για να πάρει ένα κέλυφος.

Τρίτος SSH Bruteforcing πρόληψη denyhosts

Εάν οι συμβουλές δεν είναι πρακτικό 2 και να μην εγκαταλείψουν την άνεση του θέλουν κωδικό πρόσβασης που βασίζεται συνδέσεις, μπορείτε τουλάχιστον να αποτρέψει τις αυτοματοποιημένες κωδικό ποσοστά των επιτιθέμενων στο διακομιστή. Πολλά bots στο διαδίκτυο όλη την ημέρα θέλει να κάνει τίποτα περισσότερο από το να SSH σας και να δοκιμάσετε σε διάφορους κωδικούς πρόσβασης σας. Με ένα αρκετά ασφαλή κωδικό πρόσβασης δεν είναι ένα μεγάλο πρόβλημα, αλλά υπάρχει μια καλύτερη αίσθηση, έστω και αν αυτό είναι δυνατόν. Επιπλέον, προστατεύει τους χρήστες του, αν υπάρχουν σχετικά με τους λογαριασμούς χρήστη και διακομιστή. Εδώ, δεν μπορείτε να βασιζόμαστε στους χρήστες να χρησιμοποιούν ασφαλείς κωδικούς πρόσβασης. denyhosts συνεχώς αξιολόγηση και ssh συνδέσεις στο χρήστη κλειδώνει για μια στιγμή που έχουν εισέλθει κωδικό τους λανθασμένα επαναλαμβάνεται. Η IP των χρηστών του προσωρινά στο / etc / hosts.deny, έτσι ώστε να μην έχουν πλέον πρόσβαση σε είναι δυνατή. Αυτό το SSH Bruteforcing σε μια πολύ χρονοβόρα και δεν είναι πολύ ελπιδοφόρα εργασία.

 apt-get install denyhosts

 # Denyhosts λειτουργεί αμέσως μετά την εγκατάσταση.  Μπορεί να είναι
 # Στο αρχείο / etc / denyhosts.conf τελειοποιήσουν

4ο Μαύρες λίστες που χρησιμοποιούνται για να μπλοκάρει διευθύνσεις IP γνωστό πρόβλημα

Σε διατηρούνται διάφορες μαύρες λίστες του Internet, η οποία απαριθμεί ένα μεγάλο αριθμό ποινικών / ψιλοκομμένο / spammy / δόλια διακομιστές. Αυτές οι λίστες IP μπορεί να εισαχθεί απευθείας στο τείχος προστασίας, έτσι ώστε από αυτή δεν είναι γνωστή η αξιόπιστους υπολογιστές δεν μπορούν να συνδεθούν καθόλου στο δικό του server. Έτσι, μπορείτε να μειώσετε το ποσό spam με δική τους server δραματικά και το ένα ή το άλλο παιδάκι σενάριο ανταπεργία, επειδή ρωσική μεσολάβησης του σταματά ξαφνικά να λειτουργεί. Πώς να το κάνουμε αυτό είμαι σε ένα άλλο άρθρο στο blog περιγράφεται το παράδειγμα της μαύρης λίστας των Infiltrated.net.

5ο Μην χρησιμοποιείτε το FTP για να εργαστούν στον server

FTP είναι ένα απομεινάρι της καλύτερης φορές, όταν το Διαδίκτυο ήταν ένα μικρό χωριό ακόμα αξιόπιστες. Πολλοί διαχειριστές των ιστοσελίδων εξακολουθούν να χρησιμοποιούν το FTP για να μεταφέρετε τα αρχεία στον server ή να αναπτύξουν τη δική τους ιστοσελίδα. Δυστυχώς, αυτό είναι πολύ αβέβαιη, επειδή FTP μεταδίδει όλα τα δεδομένα ακάλυπτο. Οι κωδικοί πρόσβασης και τα δεδομένα μπορούν να διαβαστούν χωρίς προβλήματα σε κάθε λυκίσκου μεταξύ των διακομιστών και των πελατών. Πολύ πιο ασφαλές να πάμε με sshfs. Σας επιτρέπει να τοποθετήσετε έναν κατάλογο μέσω ssh στο τοπικό σύστημα αρχείων του απομακρυσμένου διακομιστή. Μπορείτε έπειτα να εργαστούν στον server σαν να ήταν στον τοπικό υπολογιστή. Η πρόσβαση αρχείων σε αρχεία στον server είναι απολύτως διαφανή, ώστε να μπορείτε να ανοίξετε με το τοπικό πρόγραμμα γραφικών για να επεξεργαστείτε μια εικόνα στο διακομιστή άμεσα, και στη συνέχεια, αποθηκεύστε. Περισσότερη άνεση και ασφάλεια χωρίς πολλή προσπάθεια.

 # Εγκαταστήστε sshfs
 apt-get install sshfs

 # Δημιουργία σημείο προσάρτησης στο τοπικό σύστημα αρχείων
 mkdir / media / ο_διακομιστής_μου

 # Διακομιστή στο τοπικό σύστημα αρχείων βουνό
 sshfs www-data@mein-server.de :/ var / www / media / ο_διακομιστής_μου

 # Τώρα ο κατάλογος είναι / var / www σε τοπικό server μου στο / media / ο_διακομιστής_μου διαθέσιμα

6ο Εγκατάσταση ενημερωμένων εκδόσεων

Ένα σούπερ ασφαλές σύστημα δεν θα βοηθήσει εάν το ίδιο το σύστημα είναι προβληματικό και ένα γνωστό θέμα ευπάθειας μπορεί να αξιοποιηθεί. Στις περισσότερες περιπτώσεις, αυτά τα τρωτά σημεία κλείνουν γρήγορα, αλλά συχνά ξεχασμένο διαχειριστή τακτική ενημέρωση του συστήματος να κάνει. Είτε θα πρέπει να ενεργοποιήσετε τις αυτόματες ενημερώσεις για Linux servers ή δεν είναι ένα αμφιλεγόμενο ζήτημα. Μερικοί δεν θα κάνει, γιατί φυσικά με πολύ κακή τύχη μπορεί να είναι ότι οι ενημερώσεις να καταστεί το σύστημα άχρηστο. Αυτό συνέβη σε μένα, πάνω από 10 χρόνια εργασίας σε Debian συστήματα, αλλά ποτέ και εκτιμώ τα οφέλη από την έγκαιρη και τακτική ενημέρωση, πολύ υψηλότερο από την προκύπτουσα κίνδυνο.

 # Αυτή η γραμμή στο / etc / crontab, ενημερώνει το ρολόι του συστήματος κάθε μέρα στις 6 π.μ.
 0 6 ρίζα *** apt-get update && apt-get-y αναβάθμιση

Αυτά γρήγορη και βρώμικη μέθοδος λειτούργησε για μένα μέχρι τώρα πάντα καλό. Διάβασα πρόσφατα ότι το repository του Debian και το πακέτο χωρίς επίβλεψη-υπάρχει αναβαθμίσεις που λύνει το πρόβλημα ίσως πιο κομψά, αλλά δεν έχουν δοκιμαστεί.

Ακόμη και με αυτές τις ενημερώσεις του συστήματος vollautomtischen δεν είναι εντελώς από το γάντζο. Αν μια ενημερωμένη έκδοση του πυρήνα έχει παραδοθεί, θα πρέπει να εκκινήσετε το σύστημα και πάλι με το χέρι, αλλιώς οι αλλαγές δεν θα είναι ενεργό.

Αν χρησιμοποιήσουμε τρίτους PHP κώδικα στο διακομιστή, όπως ένα open source CMS ή ένα φόρουμ, είναι βέβαια απολύτως αναγκαία και αυτό κώδικα με νέες εκδόσεις μέχρι σήμερα. Δεδομένου ότι το Debian δεν ενημερώνει τις αλλαγές του σε εκείνες τις εφαρμογές των κανόνων που διέπουν αυτή την χειρωνακτική εργασία που απαιτείται. Ο καλύτερος τρόπος για να διαβάσετε τις λίστες αλληλογραφίας σας με τα αντίστοιχα προϊόντα, ώστε να είναι πάντοτε ενημερωμένα.

7ο PHP με open_basedir φυλακίζουν

Πολλοί αμυχές με βάση το γεγονός ότι μια ευπάθεια στον κώδικα PHP χρησιμοποιείται για την πρόσβαση στα αρχεία της πρόσβασης στο σύστημα αρχείων που δεν ανήκουν στην περιοχή, αλλά το ίδιο το σύστημα είναι γιατί θα πρέπει να κλειδώσει την PHP, έτσι ώστε να διαβάζεται μόνο σε ειδικά καθορισμένα καταλόγους και να γράψουν επιτρέπονται. Για το σκοπό αυτό, το php.ini η επιλογή διαμόρφωσης open_basedir. Η PHP έχει τη δυνατότητα να θέσει μόνο επιτρέπεται η πρόσβαση στους καταλόγους εκεί. Αρχεία όπως το / etc / passwd είναι μακριά. Φιλοξενία πολλαπλές ιστοσελίδες σε ένα διακομιστή, πρέπει να ορίσετε τις ρυθμίσεις open_basedir σε κάθε εικονική διαμόρφωση υποδοχής σε κάθε πλευρά.

 # Παγκόσμια php.ini μέσω:
 # / Etc/php5/apache2/php.ini
 open_basedir = / var / www / tmp :/ /

 # Ανά ιστοθέση στα config VirtualHost:
 php_value open_basedir / var / www / τοποθεσία / tmp :/ /

Είναι σημαντικό να εξεταστεί κατά πόσον όλες οι τοποθεσίες που έχουν προστεθεί στα σενάρια που συνήθως πρέπει να έχουν πρόσβαση, αλλιώς μπορεί να είναι ότι είστε άτομα με ειδικές ανάγκες και νόμιμες λειτουργίες της εφαρμογής της PHP.

8ο Δημιουργήστε το δικό σας ιστοσελίδες για τους χρήστες MySQL

Χρησιμοποιήστε το δικό PHP-MySQL την αίτησή σας, θα πρέπει να δημιουργήσει απόλυτα για τη δική Apllikation χρήστη MySQL και σε καμία περίπτωση χρήση των αιτημάτων της MySQL χρήστης root. Θα πρέπει επίσης να περιορίσει τα δικαιώματα του χρήστη μέχρι τώρα ότι επιτρέπονται μόνο οι ενέργειες που πραγματικά, η οποία απαιτεί την PHP script. Δημιουργία πίνακα και ΠΙΝΑΚΑΣ DROP έχουν ως κοινό σε SQL ενέσεις και χρησιμοποιούνται στις περισσότερες εφαρμογές PHP δεν απαιτείται. Φιλοξενεί πολλαπλές ιστοσελίδες με πολλαπλές βάσεις δεδομένων σε ένα διακομιστή, θα πρέπει να δημιουργήσετε τις δικές σας βάσεις δεδομένων για όλους τους χρήστες. Έτσι, μετά από μια επιτυχημένη επίθεση, ένας εισβολέας έχει πρόσβαση μόνο σε μία από τις βάσεις δεδομένων και δεν είναι άμεσα καθόλου. Εάν δεν θέλετε να δοκιμάσετε τη γραμμή εντολών για τη διαχείριση των λογαριασμών των χρηστών της MySQL, διαχείριση χρηστών λειτουργεί επίσης αρκετά εύκολο με το phpMyAdmin στο πλαίσιο των "δικαιωμάτων" καρτέλα.

9ο PHP μηνύματα λάθους από

PHP-Fehlermeldungen können einem Angreifer viel über den eigenen Server verraten: Verzeichnisstrukturen, Datenbankstrukturen, Konfigurationsfehler, etc. Außerdem sehen sie für den Benutzer sehr unprofessionell aus. Aus diesem Grund sollte man sie auf einem Live-Webserver grundsätzlich abschalten, da man sie ohnehin weiterhin in den Logs sehen kann.

# Global per php.ini:
# /etc/php5/apache2/php.ini
display_errors = Off

# Per Site in der VirtualHost Config:
php_flag display_errors Off

# Fehlermeldungen trotzdem lesen:
cat /var/log/apache2/error.log | grep PHP

10α Angriffsfläche für SQL-Injections einschränken mit modSecurity

SQL-injections sind die wohl am häufigsten genutzte Angriffsmethode auf Webserver. Der Zugriff erfolgt direkt über die Webapplikation und es genügt ein Browser um sie durchzuführen. Dabei werden über vom User übermittelte Variablen geschickt SQL-Abfragen eingebaut, die mit den Rechten des Datenbankbenutzers alles an der eigenen Datenbank nach belieben auslesen, löschen oder bearbeiten können. Ein wirklicher echter Schutz gegen SQL-Injections besteht nur, wenn der PHP-Code der Site im Hinblick auf diese Angriffe geschrieben wurde. Jede Variable aus Benutzereingaben, die in eine SQL-Abfrage gelangen könnte, muss geprüft und escaped werden. PHP bietet dafür die Funktion real_mysql_escape_string().

Ist man nicht sicher, ob der Code sauber ist, kann mod_security für den Apache helfen eine große Menge dieser Angriffe trotzdem abzuwehren. mod_security überprüft ständig alle Requests an den Webserver und reagiert auf vorgefertigte Muster mit denen viele SQL-Injection-Angriffe abgewehrt werden können. Leider funktioniert auch mod_security nur gut mit manuellem Aufwand. Oft blockt mod_security nach einer frischen Installation auch gewünschte (normale) Funktionen des eigenen PHP-Codes, so dass einem nichts anderes übrig bleibt, als die komplette Applikation nach der Installation einmal durchzutesten. Nur so findet man heraus, ob mod_security nicht eventuell auch gewünscht Funktionen blockt. Ist das der Fall, muss die Filterliste angepasst werden, so dass die false-positives verschwinden.

Die Konfiguration von mod_security ist etwas komplizierter und würde den Umfang dieses Artikels sprengen, es gibt aber massenweise gute Tutorials zu mod_security im Internet.

11 Ausweiskontrolle - Der Apache sagt nicht mehr, wer er ist
Dies ist keine wirklich wirkungsvolle Methode gegen einen Hack, sie macht es automatisierten Skripten, die nach Server-Versionen suchen aber etwas schwerer. Normalerweise zeigt der Apache auf Seiten mit Fehlermeldungen (zB 404 Not Found) seine Serversignatur.

Apache/2.2.16 (Debian) Server at www.daniel-ritter.de Port 80

So erhalten potentielle Angreifer zumindest schon einmal Informationen über den eigesetzten Webserver und den Versionsstand. Die Serversignatur ist schnell ausgeschaltet:

#/etc/apache2/conf.d/security
ServerSignature Off

12 Nicht benutze Apache-Module deaktivieren

Per default hat der Apache einige Module geladen, die fast nie benötigt werden. Unter Debian findet man die geladenen Module
als Softlinks in /etc/apache2/mods-enabled.

Fast immer entfernt werden können:

mod_cgi

Dient dem ausführen von CGI-Skripten. Diese Technik stammt noch aus den Urzeiten des Web und war der Vorvater der modernen Skriptsprachen um dynamische Webseiten zu ermöglichen. mod_cgi ist auf 99% der PHP-Websites unnötig und bei einer fehlerhaften Apache-Config eine potentielle Sicherheitslücke

a2dismod cgi

mod_status

Ermöglicht es Browsern Statusinformationen über den Apache auszulesen. Es wird so gut wie nie für "normale" Sites genutzt, bietet Angreifern aber Statusinformationen über den Apache.

a2dismod status

mod_autoindex

mod_autoindex sorgt dafür, dass Verzeichnisse auf dem Webserver aufgelistet werden können, wenn es keine gültige Index-Seite in dem entsprechenden Verzeichnis gibt. Falls diese Funktionalität nicht erwünscht ist, sollte man sie abschalten, da durch sie ganze Verzeichnisbäume auf dem Webserver nach aussen sichtbar werden können.

a2dismod autoindex