Kako zastititi server?

[MorenoArdohain]

Posto imam jedan dedicated server (Fedora), na kom su neke moje custom skripte, i test sajtovi, a moje znanje administracije je prilicno oskudno, rekoh da pokrenem ovu temu..
Interesuju me koje su sve mere zastite potrebne, makar i one minimalne?
Trenutno imam aktivan iptables, koji dozvoljava ssh, ftp i http konekcije, dok ostale odbija.
U vsftpd je iskljucen anonimni FTP.

Jos neki predlog?

[dinke]

1) Stopiraj sve nepotrebne servise
2) Radi redovan update software-a (mozda da se prijavis na na neku security mailing listu gde dobijas podatke o security propustima na e-mail)
3) Povedi racuna o kvalitetu passworda
4) Prati logove
5) S vremena na vreme odradi neki "intruder scan" (sa programima tipa aide i sl) koji proveravaju da li je ista od sistemskih fajlova menjano i sl.
6) Podseti me da ti posaljem neku knjigu o administraciji (ako vec nisam

[MorenoArdohain]

1. Koji su to nepotrebni servisi, a koji su ukljuceni po defaultu?
4. Koje logove?

[dinke]

Poslao sam ti odgovor na icq (posto mi DPT-ov "security by obscurity" ne dozvoljava drugacije).

[MorenoArdohain]

Posto verujem da ce i ostalima koristiti:

Originalno napisao MorenoArdohain

1. Koji su to nepotrebni servisi, a koji su ukljuceni po defaultu?

To zavisi od instalacije. U principu, nisam se bakcao sa fedorom, ali generalno rhl dize gomilu servisa koji ti na serveru generalno ne trebaju. Primer, s#endmail (ako si instalirao q#mail), a#mpd, k#udzu, p#ortmap itd. itd. Kod rhl-a postojala je lepa komanda u konzolnom okruzenju, ntsysv sa kojom si mogao lepo da vidis sta je od servisa ukljuceno, ka i da poiskljucujes nepotrebno. Ne znam kako je sada kod fedore, ali uvek mozes da koristis ps k-du, kao i da bacis pogled u /etc/rc.x/... scriptove (za runlevel 3).

Originalno napisao MorenoArdohain

4. Koje logove?

Sve u /var/logs, a posebno messages .

inace preporucujem knjigu Securing and Optimizing Linux - Hacking Solutions. Tamo sve lepo imas objasnjeno (doduse, knjiga je prilagodnjena rhl-u, ali snaci ces se

[zextra]

Ko sad tu pita, a ko odgovara?

Meni se ucinilo da je fedora projekat nastao od rhl?

[MorenoArdohain]

Zextra, citaj pazlijvije, dinke mi je poslao odgovor na icq, posto mu vbulletin nije dozvolio da postuje..
A ja sam njegov odgovor pastovao ovde, i izmenio neke reci koje su pravile problem (sa #)

Jeste izveden od RH, mnogo toga je isto..

[zextra]

Moja greska, protumacio sam da je quoted text ono sto je onaj drugi napisao... Never mind.

[ivanhoe]

samo da se nadovezem na dinketove savete:

za kontrolu servisa: man chkconfig, konkretno korisne komande su
chkcofig --list |grep ime_servisa
da se pogleda jel ukljucen i na kom run-levelu, i
chkconfig --level 345 ime_servisa off
da iskljucis servis na levelima 345 (i ON da ih ukljucis ako treba)

[lilit]

Jos jedna korisna stvar je zabrana root logina na ssh.

Pogledaj i zvanicni dokument od Red Hat-a,
tu ces sigurno pokupiti dosta informacija i nauciti ponesto

I ja da se nadovezem na Ivanov savet oko chkconfiga,
jedan lep mini howto za manipulaciju sa servisima na redhetolikim OS-ovima.