सुरक्षा में सुधार के लिए बुनियादी सिफारिशें * निक्स वेब सर्वर

हैकिंग के निशान खोजने पर लेख से प्रेरित होकर, मैंने सर्वर हैकिंग की संभावना को कम करने के लिए हैकिंग की रोकथाम और बुनियादी कदमों पर एक लेख लिखने का फैसला किया।

सभी कदम अत्यंत महत्वपूर्ण हैं, और सबसे महत्वपूर्ण या माध्यमिक को बाहर करना असंभव है।

यह आलेख चरण-दर-चरण निर्देश नहीं है, बल्कि केवल अनुशंसित चरणों की एक सूची है।

चरण शून्य। मूर्खतापूर्ण निर्देशों का पालन करते हुए अलग सेट करें।

कभी नहीं, क्या आप सुनते हैं? कभी नहीं! किए गए कार्यों से क्या होगा, इसकी पूरी समझ के बिना, इंटरनेट से निर्देश (पुस्तकों और आम तौर पर किसी भी स्रोत) और विशेष रूप से मंच युक्तियों का पालन न करें (आप अभी भी प्रसिद्ध एकल-पंक्ति perl'e भूल नहीं गए हैं?)। यहां तक ​​कि अगर आप वेब सर्वर को अपाचे डेवलपर्स से सुपर कूल लेख के अनुसार कॉन्फ़िगर करते हैं और लिनस टॉर्वाल्ड्स के निर्देशों के अनुसार कर्नेल को संकलित करते हैं, तो याद रखें कि लोग गलतियां करते हैं और कोई भी टाइपोस और निर्देशों में त्रुटियों से सुरक्षित नहीं है, जिससे घातक परिणाम हो सकते हैं। इसलिए, यदि आप निर्देशों में कुछ नहीं समझते हैं, तो आपको पहले इसे समझना चाहिए, और फिर करना चाहिए।

दरअसल, इस पैराग्राफ को देखे बिना, सामान्य रूप से आईटी में यह बेहतर है कि इसे न करें।

पहला कदम। रिमोट एक्सेस (ssh) स्थापित करना।

• हम गैर-मानक पोर्ट पर ssh को अग्रेषित करते हैं। यह एक हमलावर से नहीं बचा होगा जिसने यह फैसला किया था कि यह आपके सर्वर को हैक नहीं करेगा, लेकिन हमें ब्रेकिंग बॉट के एक झुंड से छुटकारा मिल जाएगा और कुछ होने पर लॉग में आवश्यक लाइन ढूंढना बहुत आसान हो जाएगा।
  
  विरोधाभास के लिए, आप पोर्ट दस्तक को लागू कर सकते हैं (यह तब है जब हम ssh के साथ पोर्ट डिफ़ॉल्ट रूप से बंद हो जाते हैं और केवल एक निश्चित दूसरे पर दस्तक देने के बाद खुलते हैं)। पूरी तरह से निराशाजनक paranoids के लिए, आप बंदरगाहों की एक श्रृंखला का निर्माण कर सकते हैं जिन्हें आपको दस्तक देने की आवश्यकता है।
• हम लॉगिन को रूट से प्रतिबंधित करते हैं (डिफ़ॉल्ट रूप से, यह अजीब तरह से पर्याप्त है, अनुमति है)।
• स्पष्ट रूप से उन उपयोगकर्ताओं की सूची सेट करें, जिन्हें सर्वर में लॉग इन करने की अनुमति है।
• हम एक फिल्टर सेट करते हैं जो ipshniki पर प्रतिबंध लगाता है, कहते हैं, लॉग इन करने के लिए असफल प्रयास (उदाहरण के लिए, विफलता 2ban)।
• (वैकल्पिक, क्योंकि यह हमेशा संभव नहीं होता है) हम एक पासवर्ड के साथ लॉगिन को प्रतिबंधित करते हैं और केवल सार्वजनिक कुंजी तक पहुंच की अनुमति देते हैं।

चरण दो दरअसल वेब सर्वर ही।

वेब सर्वर के रूप में, अपाचे मुख्य रूप से उपयोग किया जाता है, या अपाचे + नगनेक्स, कम अक्सर सिर्फ नगनेक्स, यहां तक ​​कि कम अक्सर विभिन्न लाइटटीडी, चेरोकी और इतने पर। इसलिए, कदम सबसे अधिक भाग के लिए लागू होता है सब कुछ विशेष रूप से अपाचे और नग्नेक्स से संबंधित है।

• ओपन_बेडिर की उपेक्षा न करें (कई लोग इसे बंद कर देते हैं क्योंकि वे इसके साथ सामना नहीं कर सकते हैं: वे देखते हैं कि ओपन_बेडिर के कारण एक त्रुटि होती है और बस इसे तुरंत काट दिया जाता है)
• महत्वपूर्ण वस्तुओं (यदि उन्हें अन्य सभी आगंतुकों को दिखाने की आवश्यकता नहीं है) को .htaccess (अपाचे में) या limit_excepts (nginx में) और कुछ चीज़ों (उदाहरण के लिए .htaccess) के सीधे संकेत द्वारा (या पासवर्ड की आवश्यकता नहीं है) तक पहुँच को प्रतिबंधित करें। और वेब पर पूरी तरह से प्रतिबंध का उपयोग करें।
• उपयोग किए गए सॉफ़्टवेयर का संस्करण छिपाएं। Apache में यह ServerSignature और ServerTokens है, nginx में यह server_tokens बंद है; ( alxsad से अपडेट )।
• Php.ini में, प्रदर्शित जानकारी को ट्रिम करना भी संभव है
• edhell से अपडेट : हम php.ini (निष्पादन, पेसस्ट्रू, शेल_एक्सएके, सिस्टम, proc_open, popen, curl_multi_exec, parse -ini_file, show_source, आदि) में खतरनाक कार्यों को भी अक्षम करते हैं।

चरण तीन सॉफ्टवेयर अपडेट।

सर्वर पर समय पर सॉफ्टवेयर अपडेट सबसे महत्वपूर्ण बिंदुओं में से एक है। कमजोरियों के बारे में समय पर सूचना प्राप्त करने के लिए सुरक्षा समाचार पत्र की सदस्यता लेना भी बेहतर है। इसके अलावा, यह आइटम न केवल स्थापित यूनिक्स-सिस्टम पर लागू होता है, बल्कि उपयोग किए गए सेमी पर भी लागू होता है।

चरण चार अधिकार।

777 cms' ( , 777, ). , -. php- 644 755 . , noexec.

hint:find /path/to/dir -type f -exec chmod 644 {} \;





, .

. .

( ). munin ( , ).

upd gunya: csf + lfd — , .

. iptables.

, ssh + 80 443 - + . .

FTP , .., , scp.

upd. farcaller: shell, , ssh.



, 123456 qwerty . :

$ apg -t -q -n 2

dickluer (dick-luer)

JicNeut3 (Jic-Neut-THREE)

$ apg -t -q -m 12 -a 1 -n 2

@%p-a^b`kI>R

dKYeK{7)E`Es









, , .