Debian 8.6 Absichern?

Moin,

Hier gibts eine ausführliche Anleitung zu dem Thema.

Ansonsten:
- Webmin - weglassen, Konfiguration per ssh erledigen
- prosftp - weblassen, up/downloads per SFTP oder scp
- ssh port ändern - nicht nötig.

lg,
Slainte

Moin,

Gute sache.

Blöde Idee -> https://www.adayinthelifeof.nl/2012/03/12/why-putting-ssh-on-another-por ...

richtig so

Wenn du den root login komplett deaktivierst und dafür einen normalen Account anlegst, der sudo nutzen kann, bist du noch etwas besser unterwegs.

Das macht natürlich den ganzen Hickhack von eben hinfällig. Webmin ist genau wie Dinge wie Plesk und Co. eine nette Sache, wenn man keine ahnung hat, aber ich empfehle es grundsätzlich nicht zu installieren.

Webmin setzt auch wieder auf klassische Username Passwort Methoden und endet in einem quasi root zugang für jeden der es schafft den passenden Account zu knacken. Absichern wirst du es damit nicht.

Was ich empfehlen kann:
https://www.digitalocean.com/community/tutorials/7-security-measures-to- ...
https://www.digitalocean.com/community/tutorials/an-introduction-to-secu ...
https://github.com/virus2500/blocklist-with-ipset

Es gibt so viele andere Ressourcen die ebenfalls zu empfehlen sind, aber das sprengt einfach den Rahmen.

Gruß
Chris

Hallo,

Bringt keine Sicherheit

Gut

Am besten wäre wenn sich root über ssh garnicht einloggen köännte sondern nur ein normaler Benutzer und dann erfolgt die Anmeldung als Root mit su und einem langen, sicheren root-passwort.

Gleich wieder deinstallieren.

Zum administrieren des Server sollte nur die konsole verwendet werden oder die Webadministration ist so weit abgesichert, das da kein anderer Außer Dir da hin kommt.

Was Du noch brauchst ist iptables mit brauchbaren Filterregeln! Nur die Ports erlauben die von den Diensten benötigt werden.
Ausgehende neue Verbindungen z.B. darf nur der Benutzer root, alle anderen dürfen keine Verbindungen ins Internet aufbauen.

Fail2ban mit entsprechenden Regeln.

Gruß

Chonta

Moin,

• ssh auf Standard-Port lassen
• Fail2Ban
• root-login deaktiveren
• ssh nur mit key, ohne Paßwort
• Nur öffentlich anzubietende Dienste (webserver, Mail, etc) erreichbar. Alle andere Dienste beenden/deaktivieren oder nur auf 127.0.0.1 binden
• Administration nur über VPN oder ssh.

lks

Moin ...
Ich möchte dein Weltbild nicht zerstören, aber es gibt durchaus vielfältige sinnvolle Gründe dafür Plesk einzusetzen und du kannst gerne empfehlen was immer du möchtest ... aber deine abwertende Beurteilung dazu darfst du gerne für dich behalten!

VG

Ashnod

Da möchte ich mal nachhaken:
Es macht doch eher Sinn Dienste die man nicht benötigt gleich wegzulassen.
Dann erledigt sich doch auch die Firewall, oder?
Was soll ich verbieten, wenn an den Ports eh nichts ist.

VG,
deepsys

Das ist die grundregel:

Alles was man nicht braucht, abstellen!

Und das was man braucht, was aber nicht für die öffentlichkeit bestimmt ist, nur auf 127.0.0.1 binden.

iptables-regeln um z.B. den Zugriff von ssh nru von bestimmten systemen zu erlauben sind nciht verkehrt.

lks

Das ist Standard!

Es gibt aber Dineste die Du installierst die dann über ein Port erreichbar sind man aber nicht will das man die außer von localhost oder bestimmten IP-Adressen erreichen kann.
- Monitoring
- Dein Webmin könnte so konfiguriert werden das es auf 8443 lauscheot oder 8080 und nur von IPxyz ereichbar ist.
- Auch ohne rotrechte können Programme ausgeführt werden, die auf einem Port lauschen oder nach hause telefonieren wollen.
Ab dem Moment wo Du sicherstellen willst das deine Serverdienste nur auf Anfragen von außen reagieren und nur root selber Daten aus dem Interent nachladen darf brauchst Du iptables.
Firewalls sind ein Tor in Beiderichtungen, wenn so eingestellt, nicht nur von Internet zu deinem Rechner, auch von Deinem Rechner ins Internet.

Und Du weißt immer 100% welche Ports von Programmen geöffnet werden wenn Du was nach installierst?
Soll der nrpe von überall Verbindungen annehmen?
Es macht das Leben einfach nur einfacher
Und in Verbindung mit Fail2Ban und dessen Filterregeln werden IP die z.B. logins versuchen oderanderweitig auffällg sind geblockt.
Also ja das macht Sin
Man muss natürlich immer wissen was man macht.

Gruß

Chonta

@lka und Chonta.
OK, soweit verstanden
Bei mini-Webservern die eh nur port 80,443 und 22 machen, vielleicht nicht, aber schaden kann es auch nicht

Vor allem das Argument mit den nicht root-Programmen hat mich überzeugt

Genauergesagt stellst Du ein welche UserID nach draußen darf und welche nicht.
Du kannst ja mal auf deinem frisch installierten Server
machen, dann weißt Du auf was der so lauscht.

Gruß

Chonta

Da ist aber jemand gekränkt. Klingt fast so, als wäre jemandes Weltbild zerstört worden. Vielfalt, Sinn und Plesk sind Worte, die in einem gemeinsamen Satz nichts verloren haben. Sheogorath hat allerdings ebenfalls ein klein wenig Unrecht, denn Plesk ist niemals eine nette Sache - Niemals. Ich wiederhole - Niemals. Und weil's so wahr ist, gleich nochmal: niemals.

Hinsichtlich der sicherheitsbezogenen Konfiguration von Debian lohnt es sich im Übrigen tatsächlich, diesen trockenen, und sich ziehenden Stoff einmal Hand in Hand mit Debby durchzugehen:
https://www.debian.org/doc/manuals/securing-debian-howto/