12 krokov k Linux Apache MySQL PHP root webového servera LAMP bezpečné

Hacking frekvencia prudko zvýšil v posledných mesiacoch. Zvlášť veľké množstvo dát, aby sa zdvihol o hacky na webových serveroch. Dokonca aj Sony PSN hack využil neopravených zraniteľností v webového servera Apache. Preto zbieram akciu tu, server vlastné trochu bezpečnejšie pred útokmi zvonku. Samozrejme, že to tiež neposkytuje 100% ochranu, ale je lepšie, aby tí zlí hra trochu ťažšie. Niektoré z opatrení vyžadujú len minimálnu údržbu a inštaláciu. Iní potrebujú veľa času a znalostí PHP chytiť. Jeden by mal vždy hľadať pomeru nákladov a výnosov pri výbere bezpečnostných opatrení. Nemá zmysel chrániť malé, súkromné ​​stránky, ako je Federálnej rezervnej banky. Avšak len málo konkrétne zmeny v systéme už má veľký priemer väčšiu bezpečnosť. A že by ste mali začať liečiť ešte skôr, než bude príliš neskoro ....

Všetky tipy a Codesnips odkazujú na aktuálnu Debian box.

Prvé Firewall - Akonáhle je všetko zakázať

Väčšina linuxových distribúcií vo východiskovej inštalácii otvárať žiadne porty pre vonkajšie, ktoré nie sú nevyhnutné. Táto situácia sa môže rýchlo meniť, však, aj keď na serveri
hrať sa a snaží sa veci. Zrazu media server počúva na internete alebo v databáze
akceptuje pripojenie z internetu. Z tohto dôvodu, to nie je zlé disciplíne seba a vytvoriť veľmi reštriktívny firewall, ktorý v podstate zakazuje Akonáhle sú všetky spoje z vonkajšej strany a umožňuje iba (self-) vybraných zlúčenín. Našťastie sa to urobiť rýchlo s iptables. Týmto spôsobom možno už poskytovať služby sprístupniť svetu, že nemajú čo tam. Bohužiaľ, budete platiť len malou útechou - firewall musí byť nastavený zakaždým, keď chcete ponúkať nové služby. Avšak úsilie je malý a veľký prínos.

 # / Bin / bash

 # Zmazať existujúcej tabuľky
 iptables-F

 # Zakázať všetky prichádzajúce spojenia
 iptables-P INPUT DROP
 iptables-P FORWARD DROP

 # Povoliť všetky odchádzajúce
 iptables-P OUTPUT ACCEPT

 # Povoliť SSH
 iptables-A INPUT-j ACCEPT-p tcp - dport 22 

 # Povoliť HTTP
 iptables-A INPUT-j ACCEPT-p tcp - dport 80 

 # Ďalej služieb (UDP) umožní napríklad herný server
 iptables-A INPUT-j ACCEPT-p tcp - dport 4534 

 # Povoliť všetko z localhost.  (K tomu, aby samotný server voľný prístup k jeho službám,
 # Napríklad PHP do lokálnej databázy
 iptables-A INPUT-s 127.0.0.1-j ACCEPT

 # Už zavedené spoje budú prijímané v akomkoľvek prístave
 # (Nevyhnutné pre niektoré démonmi)
 iptables-A INPUT-m state - štát zavedené, SÚVISIACE-j ACCEPT

Tento malý chrbticu môžeme jednoducho aj naďalej rozširovať a pridávať svoje vlastné služby. Pri práci na firewall, mali by ste vždy urobí opatrenia pre prípad, že uzamkne sám. Zvlášť na vzdialené servery, ktoré ste žiadny fyzický prístup, to je veľmi nepríjemné stratiť neúspešný vlastný prístup na pravidlo brány firewall. Aby sa zabránilo tomuto problému z cesty, jeden môže začať pracovať na firewalle len dočasne cron, ktorý obnoví firewall každých pár minút, alebo reštartovanie servera. Tieto pravidlá sú potom testované a miloval, úlohy cronu bude deaktivovaná a nové pravidlá zostávajú stále aktívny.

Ak chcete zistiť viac o tom, aké služby len počúvať svoj vlastný server, môžete použiť netstat:

 # Pre zásuvky TCP:
 netstat-LPN | grep tcp

 # Podobne pre UDP:
 netstat-LPN | grep udp

Ak chcete otestovať, či skutočne funguje firewall, môžete port scan svoj vlastný server z iného počítača. Je to všetko vyšlo, by sa mal objaviť vo výsledku len i porty, ktoré sú otvorené:

 # Pre TCP:
 nmap-P1-65 535 meinserver.de

 # Pre UDP:
 nmap-su-P1-65 535 meinserver.de

Druhý SSH prihlásenie zákaz

Na vlastné root server má neobmedzený prístup k SSH. Toto je celkom šikovný, ako môžete z ľubovoľného klienta SSH na server doby len na ňom pracovať. Nevýhodou je, že samozrejme môže každý, kto má bohužiaľ nejako prevzal vlastné heslo. Je to oveľa bezpečnejšie, aby SSH prihlásenie iba s platným súbor kľúča. Jedná sa o verejný kľúč klienta na server a skopírovať interaktívne prihlásenie sú vypnuté po zadaní hesla.

 # Na klienta, vytvoriť verejný kľúč
 # Ak je zadané pri generovaní hesla, je potrebné
 # Prihláste sa neskôr súbor kľúče a heslá.  Inak
 # Iba potrebné klávesy.

 ssh-keygen-t RSA

 # Generovaný kľúč skopírovať na server

 ssh-copy-id-i ~ /. ssh / id_rsa.pub root@meinserver.de

 Potom nastavte # sshd_config na serveri / etc / ssh /
 .
 .
 PasswordAuthentication nie
 .
 .

 # Potom spustite nové SSH
 / Etc / init.d / ssh restart

Aj tu by mali prijať opatrenia, aby sa zatvárať, aj keď niečo nefunguje.
Verejný kľúč na USB flash disk s zodpovedajúce heslo v hlave je oveľa ťažšie pre zlé ľudí, aby si shell.

Tretia SSH Bruteforcing zabrániť denyhosts

Ak je rada nie je praktické, a jeden dva opustiť pohodlie na základe hesla prihlasovanie chcete, môžete aspoň zabrániť automatickej heslo sadzieb útočníkov na server. Mnoho botov na internete celý deň snaží urobiť nič iné, než na SSH servery a vyskúšať v rôznych hesiel. S primerane bezpečné heslo nie je veľký problém, ale tam je lepší pocit, aj keď je to možné. Okrem toho tiež chráni svojich užívateľov, ak existuje na serveri a užívateľských účtov. Tu nemôžete veriť, že užívatelia používajú zabezpečenie hesiel. denyhosts neustále kontrolované SSH prihlásenie a užívateľ uzamkne po určitú dobu, ktorá sa dostala na svoje nesprávne heslo opakovať. IP adries užívateľov dočasne ísť do / etc / hosts.deny, takže už nemáte prístup, je to možné. To SSH Bruteforcing na veľmi zdĺhavé a nie príliš nádejná úloha.

 apt-get install denyhosts

 # Denyhosts funguje hneď po inštalácii.  To môže byť
 # V súbore / etc / denyhosts.conf doladiť

4. Zakázané slúži na blokovanie IP adries známy problém

V rôznych internetových databáz, sú zachované, ktoré uvádzajú veľké množstvo trestných / nasekané / spam / podvodné servery. Tieto zoznamy IP možno zadať priamo do firewallu tak, aby z toho je známe, že dôveryhodných serverov žiadne spojenie nie je možné na vlastný server. Takže môžete obmedziť množstvo spamu na vlastný server, a tiež výrazne vec alebo script-dieťatko lock out, pretože jeho ruský zástupca náhle prestane fungovať. Ako na to, že som v inom článku v blogu popísal na príklade čiernej listiny Infiltrated.net.

5. Nepoužívajte FTP pre prácu na serveri

FTP je pamiatka na lepšie časy, kedy Internet bol ešte malé obce dôveryhodné. Mnoho Správcovia internetových stránok stále používať FTP pre prenos súborov na server, alebo pracovať na svojom vlastnom webe. Bohužiaľ, je to veľmi neisté, pretože FTP prenos všetkých dát nezabezpečené. Heslá a dáta možno čítať bez problémov na oboch hop medzi servermi a klientmi. Je to oveľa bezpečnejšie sshfs. Umožňuje pripojiť adresár cez SSH na vzdialenom serveri lokálny súborový systém. Jeden môže potom pracovať na serveri, ako by bol v lokálnom počítači. Všetky súbor prístup k súborom na serveri aj úplne priehľadné, takže si môžete otvoriť aj program, miestne grafický obrázok na serveri, upraviť a uložiť znovu. Viac komfortu a bezpečnosti bez väčšej námahy.

 # Install sshfs
 apt-get install sshfs

 # Vytvoriť prípojný bod v miestnom systéme súborov
 mkdir / media / myserver

 # Server Miestne prípojný bod súborového systému
 www-data@mein-server.de sshfs: / var / www / media / myserver

 # Teraz je adresár / var / www na mojom lokálnom serveri v / media / myserver k dispozícii

6. Inštalácia aktualizácií

Super zabezpečený systém nepomôže, ak systém sám je chybný a známe zraniteľnosti môžu byť zneužité. Vo väčšine prípadov sú tieto bezpečnostné nedostatky rýchlo, často zabúda, ale pravidelné aktualizácie systému, aby administrátori. Či už by malo umožniť automatické aktualizácie na linuxových serveroch, alebo nie, je spornou otázkou. Niektorí by nikdy neurobil to, lebo to funguje prirodzene s množstvom smoly môže byť, že aktualizácia je systém nepoužiteľný. To sa mi stalo vo viac ako 10 rokov práce na systémoch Debian, ale nikdy som oceniť výhody včasné a pravidelné aktualizácie, oveľa vyššie ako riziko plynúce.

 # Tento riadok v / etc / crontab, Aktualizuje systémové hodiny každý deň v 6 hodín ráno
 0 6 * * * root apt-get update & & apt-get-y aktualizovať

Tieto rýchle a hrubé metódy pracoval pre mňa doteraz vždy dobre. Nedávno som čítal, že v úložisku balík existuje aj bez dozoru, aktualizácia, ktorá rieši problém možno niečo viac elegantné, ale nebola testovaná.

Aj s plne automatickým systémom aktualizácií, toto je úplne z obliga. Ak je jadro aktualizácia bola doručená, je potrebné zaviesť systém opäť ručne, inak sa zmeny nebudú aktívne.

Ak jeden používa non-PHP kód na serveri, ako je open source CMS, alebo fórum, je absolútne nevyhnutné, samozrejme, aj tento kód novej verzie aktuálne. Vzhľadom k tomu, Debian neaktualizuje so zmenami jeho žiadosti v týchto pravidiel sa týka, je ručné práce potrebné tu. V najlepšom prípade si prečítajte konferencií príslušných produktov, ktoré majú byť vždy aktuálne.

7. PHP open_basedir uväzniť

Mnoho hacky na základe skutočnosti, že chybu v kóde PHP sa používa pre prístup k súborom v prístupe systéme súborov, ktoré nepatria na stránky, ale systém sám o sebe je dôvod, prečo by ste mali zamknúť PHP tak, že si len na to určených adresároch a písať môže. Pre to, php.ini konfigurácie open_basedir možnosť. PHP má možnosť dať povolený len prístup k adresárom tam. Súbory, ako je / etc / passwd sú mimo dosah. Hosting viac webov na jednom serveri, mali by ste nastaviť open_basedir v každom VirtualHost konfigurácii pre každú stránku.

 # Globálne php.ini pomocou:
 # / Etc/php5/apache2/php.ini
 open_basedir = / var / www /: / tmp /

 # Na mieste v VirtualHost config:
 php_value open_basedir / var / www / site /: / tmp /

Je dôležité zvážiť, či všetky stránky boli pridané skripty obvykle potrebujú mať prístup, inak to môže byť, že sú vypnuté a legitímne funkcií aplikácie PHP.

8. Vytvorte si vlastné webové stránky pre užívateľov MySQL

Používa vlastný PHP, MySQL, mali by ste vytvoriť absolútne pre Apllikation samostatné používateľov MySQL, a za žiadnych okolností používať MySQL požiadaviek užívateľa root. Mali by ste tiež obmedziť práva používateľov tak ďaleko, že naozaj len operácie sú povolené, ktorá vyžaduje PHP skriptu. CREATE TABLE a DROP TABLE sú bežné v SQL injekcie sa používajú a vo väčšine aplikácií v PHP nikdy potrebná. Hostí na niekoľko stránok s viac databáz na serveri, mali by ste si vytvoriť vlastnú databázu pre všetkých užívateľov. A tak, po úspešnom útoku, útočník má prístup iba k jednému z databáz, a nie priamo na všetky. Ak si nechcete skúsiť príkazový riadok pre správu MySQL používateľských účtov, správu užívateľov funguje tiež veľmi ľahké sa phpMyAdmin pod "práva" na kartu.

9. PHP chybové hlásenia off

PHP-Fehlermeldungen können einem Angreifer viel über den eigenen Server verraten: Verzeichnisstrukturen, Datenbankstrukturen, Konfigurationsfehler, etc. Außerdem sehen sie für den Benutzer sehr unprofessionell aus. Aus diesem Grund sollte man sie auf einem Live-Webserver grundsätzlich abschalten, da man sie ohnehin weiterhin in den Logs sehen kann.

# Global per php.ini:
# /etc/php5/apache2/php.ini
display_errors = Off

# Per Site in der VirtualHost Config:
php_flag display_errors Off

# Fehlermeldungen trotzdem lesen:
cat /var/log/apache2/error.log | grep PHP

10. Angriffsfläche für SQL-Injections einschränken mit modSecurity

SQL-injections sind die wohl am häufigsten genutzte Angriffsmethode auf Webserver. Der Zugriff erfolgt direkt über die Webapplikation und es genügt ein Browser um sie durchzuführen. Dabei werden über vom User übermittelte Variablen geschickt SQL-Abfragen eingebaut, die mit den Rechten des Datenbankbenutzers alles an der eigenen Datenbank nach belieben auslesen, löschen oder bearbeiten können. Ein wirklicher echter Schutz gegen SQL-Injections besteht nur, wenn der PHP-Code der Site im Hinblick auf diese Angriffe geschrieben wurde. Jede Variable aus Benutzereingaben, die in eine SQL-Abfrage gelangen könnte, muss geprüft und escaped werden. PHP bietet dafür die Funktion real_mysql_escape_string().

Ist man nicht sicher, ob der Code sauber ist, kann mod_security für den Apache helfen eine große Menge dieser Angriffe trotzdem abzuwehren. mod_security überprüft ständig alle Requests an den Webserver und reagiert auf vorgefertigte Muster mit denen viele SQL-Injection-Angriffe abgewehrt werden können. Leider funktioniert auch mod_security nur gut mit manuellem Aufwand. Oft blockt mod_security nach einer frischen Installation auch gewünschte (normale) Funktionen des eigenen PHP-Codes, so dass einem nichts anderes übrig bleibt, als die komplette Applikation nach der Installation einmal durchzutesten. Nur so findet man heraus, ob mod_security nicht eventuell auch gewünscht Funktionen blockt. Ist das der Fall, muss die Filterliste angepasst werden, so dass die false-positives verschwinden.

Die Konfiguration von mod_security ist etwas komplizierter und würde den Umfang dieses Artikels sprengen, es gibt aber massenweise gute Tutorials zu mod_security im Internet.

11. Ausweiskontrolle - Der Apache sagt nicht mehr, wer er ist
Dies ist keine wirklich wirkungsvolle Methode gegen einen Hack, sie macht es automatisierten Skripten, die nach Server-Versionen suchen aber etwas schwerer. Normalerweise zeigt der Apache auf Seiten mit Fehlermeldungen (zB 404 Not Found) seine Serversignatur.

Apache/2.2.16 (Debian) Server at www.daniel-ritter.de Port 80

So erhalten potentielle Angreifer zumindest schon einmal Informationen über den eigesetzten Webserver und den Versionsstand. Die Serversignatur ist schnell ausgeschaltet:

#/etc/apache2/conf.d/security
ServerSignature Off

12. Nicht benutze Apache-Module deaktivieren

Per default hat der Apache einige Module geladen, die fast nie benötigt werden. Unter Debian findet man die geladenen Module
als Softlinks in /etc/apache2/mods-enabled.

Fast immer entfernt werden können:

mod_cgi

Dient dem ausführen von CGI-Skripten. Diese Technik stammt noch aus den Urzeiten des Web und war der Vorvater der modernen Skriptsprachen um dynamische Webseiten zu ermöglichen. mod_cgi ist auf 99% der PHP-Websites unnötig und bei einer fehlerhaften Apache-Config eine potentielle Sicherheitslücke

a2dismod cgi

mod_status

Ermöglicht es Browsern Statusinformationen über den Apache auszulesen. Es wird so gut wie nie für "normale" Sites genutzt, bietet Angreifern aber Statusinformationen über den Apache.

a2dismod status

mod_autoindex

mod_autoindex sorgt dafür, dass Verzeichnisse auf dem Webserver aufgelistet werden können, wenn es keine gültige Index-Seite in dem entsprechenden Verzeichnis gibt. Falls diese Funktionalität nicht erwünscht ist, sollte man sie abschalten, da durch sie ganze Verzeichnisbäume auf dem Webserver nach aussen sichtbar werden können.

a2dismod autoindex