Защита Сервера

[Ershik]

Купил VDS
Как можно максимально защитить свой сервер от взлома?
Я сделал следующие вещи:
Форум phpBB3 запускается не с правами рута, а с правами обычного пользователя.
Доступ в админку осуществляется через штассер.

Рут и "Обычный пользователь" Имеют разные, сложные, 20 значные пароли.
В php.ini установил следующие настройки:
display_errors = Off
display_startup_errors = Off
log_errors = Off
register_globals = Off
magic_quotes_gpc = On
magic_quotes_runtime = Off

Закрыл 21 порт FTP. Установил chrootkit.


Что еще можно сделать? Подскажите, пожалуйста.

[spider-intruder]

Выключить сервер...
__________________________
Вообще по ситуации конечно.
Поискать баги в ПХПбб.
Бги в серверном ПО.
Попробовать выйти из виртуаки на другие Vds твоего физического сервера (сможешь ты смогут и другие)
Следить за постоянными обновлениями
Не сохранять пароли от сервака у ся на компе.

бла бла бла

[Ershik]

spider-intruder, спасибо.
Сейчас включил Xspider, посмотрю, что он скажет.

Как можно выйти из виртуального сервера? Есть ли статья по данной теме?

Разумно ли будет поставить honepot или snort? Или это бесполезная трата ресурсов? Если, в принципе, все правильно настроить, можно обойтись и без них.



Как можно поменять баннер сервиса на httpd? У меня Fedora 8

[spider-intruder]

Думаю бесполезная софтинка в твоем случае.

Статья не знаю По ситуации. Я с ними толком не сталкивался.
Думаю что это не так просто как иногда хочется :)

(секель на форуме я надеюсь тоже не под рутом?)


Представь что ты получил доступ к админке форума - попробуй сделать чт онибудь с машиной своей с учетом того что есть админка... Поймешь что закрывать..

Подумай о смягчении возможных дДоС атак...
http://www.hostnika.ru/component/idoblog/viewpost/56.html
http://www.securitylab.ru/contest/301949.php

[Ershik]

Секель - chrootkit? Разумеется нет :) Я сейчас работаю под другим пользователем)
Если кто-то получит доступ к админке, шел можно залить очень просто.
Идет разрешение записи php в template файлы.
На основе этого понял, что нужно закрывать штассером саму админку :)

Насчет досс атак, спасибо. О них-то я и не подумал. :)

[spider-intruder]

секель это MySQL или MSSQL- че там у тя не знаю...

[Ershik]

Mysql от базы данных форума работает не под рутом. Под обычным пользоватем.

[Karantin]

Абсолютно защищенный компьютер состоит целиком из бетона, без примеси кремния.
Из чруткит окружения есть способы выйти.
Если кто-то получит доступ к админке, шел можно залить очень просто.
закончил работу с админ панелью - снеси её. Понадобится - снова зальешь, если у тебя настолько уровень паранойи зашкаливает. Чтож у тебя за сервис такой, продажа пятаков по кредам с онлайн хранилищем;)?
от ддос атак тебя спасет антиддос хостинг, с грамотными железками и компетентными админами.

[spider-intruder]

От ддоса тебя ничего не спасет - просто можно заранее об этом подумать и принять хоть какие то меры. надеясь еще и на то, что у тебя грамотный хостинг и железные админы.
По поводу удаления админки - верное решение - это ПЛЮС )

[Ershik]

Зачем так жестко, сносить админ-панель это действительно..жесть :o
Никакой коммерцией я не занимаюсь, врагов очень много. Поэтому и беспокоюсь :rolleyes:
Насчет хостинга и администратов я не сомневаюсь. Я долго выбирал, прежде чем начать пользоваться их услугами.
Да и репутация у них хорошая, практический плохих отзывов нет, и uptime на минимуме :)


Насчет Досс атак.
От всего защититься очень сложно. Вернее невозможно.
Гораздо легче смягчить Doss атаку. Сделать ее менее заметной, чтобы не напрягать сервер.
Тоже относиться и к уязвимостям на форум.
Где гарантия, что нет приватной уязвимостью на phpBB3 и ей не воспользуются?
Чтобы не было "веселых" картинок по утрам, в лучших стилях дефейса и последующей головной, боли разбирания логов, как сказал spider-intruder:
От ддоса тебя ничего не спасет - просто можно заранее об этом подумать и принять хоть какие то меры
лучше принять меры для противодействию, и просчитать все возможные ходы нападения.

Сейчас мне хочется поменять версии системных демонов. Апача для начала. А то не очень хорошо получается, попадаешь на несуществующую страницу, а там все версии демонов и название операционки....

[Ershik]

Вы поняли, что сказали?
Где я написал, что сменил хостинг? Я купил VDS! Это другая услуга, требующая другого сервера!
Или вам нужно разъяснить, что такое Virtual Dedicated Server и чем он отличается от Virtual hosting?

[geezer.code]

uptime на минимуме
не понял, это ж плохо !



Сейчас мне хочется поменять версии системных демонов. Апача для начала. А то не очень хорошо получается, попадаешь на несуществующую страницу, а там все версии
демонов и название операционки....

даже если сменить страницу ошибки сервер можно идентифицировать по заголовку респонса.

[gibson]

Ershik если ты все это сделал, то _большинство_ хеккеров обломяться. Поставь на нужные папки еще бейсик авторизацию и _правильно_ выстави права.
Поставь автоматическое обновление системы, если отключено, через yum update
_http://fedoraproject.org/wiki/YumUpgradeFaq



Если интересуют дополнительные системы защиты, то почитай тут
_https://forum.antichat.ru/thread42040.html

2 Digital Cat вопросы не относящеся к тебе, просьба обсуждать через личку. _Предупреждение_

[Ershik]

Прошу прощения. Перепутал.
http://www.io-hosts.ru/hosting.php
IO-HOSTS гарантирует работоспособность и доступность (uptime) Ваших сайтов, размещенных на нашем оборудовании, на уровне 99.7%.

даже если сменить страницу ошибки сервер можно идентифицировать по заголовку респонса.
Можно изменить таким образом, чтобы nmap индифицировал Apache как Mozzila Porno Star ? :)